Einschränkungen: Was du nicht tun kannst (oder solltest)

Die Plattform wird gemeinsam genutzt. Diese Einschränkungen halten sie für alle sicher, compliant und beherrschbar.

Network

Einschränkung	Warum	Stattdessen
Kein direkter eingehender Traffic aus dem Internet zu deinem Spoke	Der gesamte Traffic wird zentral geprüft	Veröffentliche Web-Apps über das zentrale Application Gateway mit WAF (Anfrage). Für SFTP zu einem Storage Account fordere eine DNAT-Regel an (Eingehendes SFTP)
Ausgehendes Internet nur zu erlaubten Zielen	Internet-Traffic läuft über die zentrale firewall	Fordere Firewallregeln für die FQDNs, IPs und Ports an, die du brauchst
Kein VNet Peering zu anderen Spokes oder zu eigenen VPN-Gateways	Das Routing wird im Hub verwaltet	Fordere eine Firewallregel für Spoke-zu-Spoke-Traffic an
Du kannst Adressbereich, Subnets, NSGs oder Route Tables deines VNets nicht im Portal ändern	Sie werden von der Plattform als Code verwaltet; manuelle Änderungen werden überschrieben	Fordere eine Spoke-Änderung an
Firewallregeln zwischen Produktions- und Nicht-Produktions-Spokes sind normalerweise nicht erlaubt	Produktionsdaten dürfen nicht in Umgebungen fließen, die keine Produktion sind	Verwende Testdaten in Nicht-Produktion. Frag deinen Security Officer, wenn du glaubst, eine Ausnahme zu brauchen.
Normalerweise keine öffentlichen IP-Adressen an deinen Ressourcen	Öffentlicher Zugriff läuft über das Application Gateway (Web) oder die firewall (andere Protokolle)	Verwende private endpoints und die zentralen Einstiegspunkte (Design-Prinzipien)
Ändere die priority einer bestehenden NSG-Regel in der Spoke-JSON nicht	Terraform erstellt die Regel neu, das kann fehlschlagen und die NSG in einem inkonsistenten Zustand hinterlassen	Fordere eine neue Regel mit neuem Namen und neuer Priorität an und entferne die alte Regel in einer späteren Änderung
Eingehender Traffic anderer Workloads zu deinem Spoke wird abgelehnt, bis du einer Regel zustimmst	Regeln werden am Ziel definiert, daher entscheidet der Owner des Ziels, wer hinein darf	Rechne damit, um Genehmigung gebeten zu werden, wenn ein anderes Team Zugriff auf deinen Spoke anfordert, und nenne deine Gründe, wenn du ablehnst (So funktioniert es)
Dein Adressbereich stammt aus dem zentralen IP-Plan	Überlappende Bereiche stören das Routing	Teile dem Plattform-Team mit, wie viele Adressen du brauchst

Identity and access

Einschränkung	Warum	Stattdessen
Der Zugriff läuft über die vier Spoke-Gruppen	Einheitlicher, nachvollziehbarer Zugriff	Bitte darum, die Gruppe deines Teams zu ProductTeamGroupNames hinzuzufügen
Erhöhte Rollen erfordern gegebenenfalls eine PIM-Aktivierung	Least Privilege	Aktiviere die Rolle in PIM, wenn du sie brauchst
Ändere die Mitglieder oder Owner der Spoke-Gruppen nicht selbst	Sie werden von der Plattform verwaltet	Ändere die Mitglieder der Gruppe deines Teams in Entra ID

Governance

Einschränkung	Warum	Stattdessen
Einige Azure Policies verweigern Deployments (zum Beispiel öffentliche Endpunkte oder fehlende Verschlüsselung)	Security-Baseline	Plane mit private endpoints; wenn du wirklich eine Ausnahme brauchst, fordere eine Policy-Ausnahme mit Begründung und Enddatum an
Erforderliche Tags auf der Subscription: owner, department, workload, pii, costcentre, environment	Kostenzuordnung und Verantwortlichkeit	Halte sie aktuell; bitte um eine Änderung, wenn sich die Verantwortung ändert
Nur der prd-Spoke darf Produktionsdaten enthalten	Data Governance	Verwende Testdaten in dev, tst und acc
Keine manuellen Änderungen in Produktion	Eine manuelle Änderung hat keine Historie und ist fehleranfällig; in deinem Spoke wird sie außerdem überschrieben, wenn sie die Baseline berührt	Ändere Produktion nur über deine Pipeline, geprüft von einer zweiten Person (Design-Prinzipien)
Nutze das Key Vault, das Storage Account oder den Workspace der Baseline nicht für Zwecke, für die sie nicht gedacht sind	Sie unterstützen den Spoke selbst	Deploye eigene mit deinem Code und kläre mit deinem Plattform-Team, wofür die Baseline-Ressource genutzt wird
Verschiebe deine Subscription nicht in eine andere management group, benenne sie nicht um und lösche sie nicht	Die Platzierung bestimmt, welche Policies für dich gelten	Fordere eine Spoke-Änderung oder das Löschen an

Namensgebung und Lebenszyklus

Einschränkung	Details
Workload-Kurzname: höchstens 6 Zeichen, ein Leben lang fest	Er steckt in jedem Ressourcennamen und im state der Plattform. Eine Änderung bedeutet einen neuen Spoke.
Die Umgebung ist ein Leben lang fest	dev bleibt dev. Eine neue Umgebung ist ein neuer Spoke.
Regionen	Nur die Regionen, in denen der Hub läuft. Eine Region zum Hub hinzuzufügen ist eine separate Anfrage.
Das Löschen eines Spokes kündigt die Subscription nicht	Das Plattform-Team nimmt sie separat außer Betrieb.