Zum Inhalt

Managed VMs: Servicebeschreibung

Diese Seite beschreibt, was der Managed-VM-Service bietet, wie Änderungen laufen und wo die Grenzen liegen. Die anderen Seiten dieses Abschnitts gehen ins Detail: Anfragen und Änderungen, Betriebssystem, Backup und Wiederherstellung, Updates und Patching und Kostenoptimierung.

Optionales Angebot, pro Plattform festgelegt

Der Service ist ein optionaler Baustein, den das Plattform-Team im Rahmen einer Vereinbarung liefert (Betriebsmodelle). Support-Zeiten, Reaktionszeiten, Kontakte und Gebühren sind Teil dieser Vereinbarung und stehen nicht in dieser Dokumentation. Wo diese Seite einen Standard nennt (ein Image, ein Fenster, eine Aufbewahrungsfrist), ist das der übliche Wert des Moduls. Deine Plattform kann abweichen.

Kurz gesagt

Workload-Teams betreiben verwaltete, konforme und überwachte virtuelle Maschinen in Azure, ohne Infrastruktur-Know-how zu brauchen. Das Plattform-Team baut und pflegt die VMs als Infrastructure as Code mit Terraform. Die Konfiguration der VMs eines Spokes und einer Umgebung ist von jedem anderen Spoke und jeder anderen Umgebung getrennt. Die VMs liegen in einem Spoke der Plattform, verbunden mit dem hub (Was du bekommst).

Keine Managed VM hat eine öffentliche IP-Adresse. Aller SSH- und RDP-Zugriff läuft über Azure Bastion, mit Anmeldung über Entra ID (Mit virtuellen Maschinen verbinden).

Was angeboten wird

Bereich Enthalten
Compute Managed VMs pro VM-Konfiguration. Anzahl der Instanzen, Größe und Betriebssystem werden pro Konfiguration festgelegt. Windows Server 2019, 2022 und 2025. Ubuntu 20.04, 22.04 und 24.04. Red Hat Enterprise Linux 8, 9 und 10. Oder ein eigenes Image aus dem Azure Marketplace. Ältere Versionen laufen beim Hersteller aus dem Support. Welche Images deine Version unterstützt, steht unter Betriebssystem.
Zugriff Azure Bastion mit Entra-ID-Anmeldung. Serial Console für Administratoren. Keine öffentlichen Endpunkte.
Identität Zwei Entra-ID-Gruppen pro VM-Konfiguration (Benutzer und Administratoren). Optional zwei Access Packages mit Genehmigung durch die Owners und regelmäßigem Access Review. Owners weisen den Zugriff zu (Managed VMs).
Patching Azure Update Manager mit Maintenance Configurations, die über einen Tag ausgewählt werden. Das Standard-Wartungsfenster einer VM-Konfiguration ist Montag 03:00 bis 05:00, und du kannst es pro Konfiguration ändern (Updates und Patching).
Backup Ein Recovery Services vault für vollständige VM-Backups, optional der Backup Vault für häufige operative Disk-Backups (Backup und Wiederherstellung).
Security Microsoft Defender for Servers, Zugriff über Entra-ID-Gruppen, Encryption at Host und Azure Disk Encryption als Optionen, ein Key Vault pro Deployment für die Zugangsdaten des lokalen Administrators.
Monitoring Verfügbarkeit der VM, freier Platz auf OS- und Daten-Disks, Update-Compliance sowie Change Tracking and Inventory in Log Analytics (Monitoring).
Kosten Auto-shutdown per Tag, Reservation-Empfehlung, Disk-Review (Kostenoptimierung).

Wie Änderungen laufen

Alle Änderungen laufen über das Konfigurations-Repository als pull request, und ein Ticket ist der Änderungsnachweis (Anfragen und Änderungen).

  1. Die Änderung ist ein pull request. Du kannst das Plattform-Team bitten, ihn zu erstellen (ein Anfrageformular), oder ihn selbst vorbereiten, wenn deine Plattform es erlaubt (Einen Managed-VM-Pull-Request vorbereiten).
  2. Die Validierungs-pipeline des pull request muss vor einem Review bestehen. Sie scannt den Code auf Security-Findings, validiert das Terraform und plant die Änderung.
  3. Das Plattform-Team prüft und genehmigt und deployt über die pipeline.
  4. Das Plattform-Team informiert dich und schließt das Ticket.

Manuelle Änderungen im Azure-Portal an Ressourcen, die von Terraform verwaltet werden, sind nicht erlaubt: Das nächste Deployment macht sie rückgängig.

Die üblichen Standardänderungen:

  • eine VM-Konfiguration zu einem Spoke hinzufügen oder ein ganz neues Deployment für einen neuen Spoke;
  • die OS-Version oder die Größe einer VM ändern;
  • die Anzahl der Instanzen ändern;
  • ein optionales Feature ein- oder ausschalten;
  • die Owners einer VM-Konfiguration ändern.

Was dem Plattform-Team und was dem Workload-Team gehört

Die Aufteilung steht unter Managed Virtual Machines: Verantwortlichkeiten. Kurz gesagt: Das Plattform-Team verantwortet das Modul, die Baseline, den Patch-Zeitplan und das Tooling sowie den Backup vault. Du verantwortest alles innerhalb des Betriebssystems, die Anwendung, die Daten und die Benutzer, und du beantragst die Änderungen.

Grenzen

Nicht Teil des Services Warum
Konfiguration innerhalb des Betriebssystems: Partitionen, eingebundene Disks, Dienste, Software, Virenschutz, Benutzer und Hardening Das Modul und das Plattform-Team enden an der Grenze des Betriebssystems.
Die Anwendung, ihre Daten und ihre Benutzer Sie gehören zum workload.
Eine öffentliche IP-Adresse für eine VM Nicht standardmäßig. Nur wo die Plattform es erlaubt und du ausdrücklich darum bittest.
VMs, die im Portal geändert werden Alles ist Code. Eine manuelle Änderung wird zurückgesetzt.
Server außerhalb von Azure Sie brauchen Azure Arc (Azure Arc), und es hängt von der Plattform ab, ob das angeboten wird.
Geschäftskritische Patching-Entscheidungen, etwa die Anwendung nach einem Update zu testen Dein Team entscheidet über Fenster und Priorität und prüft, dass die Anwendung funktioniert.

Vergleiche die Varianten eines Spokes, wenn du mehr als virtuelle Maschinen brauchst: Bei einem Managed Spoke baut und betreibt das Plattform-Team auch die anderen Azure-Ressourcen des workloads (Managed Spokes).

Asset-Tracking

Jede Managed VM ist in Terraform beschrieben und wird vom Modul mit der Konfiguration, aus der sie stammt, und mit ihren Owners getaggt, sodass sich eine laufende VM immer auf ihre Definition zurückführen lässt. Change Tracking and Inventory ergänzt das Software-Inventar innerhalb der Maschine, wenn du es einschaltest. Nutze die Tags und das Inventar für deine eigene Asset-Übersicht (Namen und Tags).

Reporting

Das Plattform-Team kann pro workload berichten, zum Beispiel einmal im Monat, über: Monitoring der VMs, den Zustand der Backups und den Stand der Sicherheitsupdates und des Patchings. Frag nach dem Bericht, seiner Form und wo er veröffentlicht wird. Eine Checkliste für die Operatoren steht unter Managed-VM-Modul: regelmäßige Prüfung.

Service Levels und Gebühren

Verfügbarkeit des Supports, Ziele für Reaktion und Lösung, die Gebühr und das Reporting sind Teil der Vereinbarung mit deinem Plattform-Team. Nutze den Support-Weg deiner Plattform (Support, <support channel>).