So nutzt du deinen Spoke¶
Zugriff erhalten¶
- Stelle sicher, dass du Mitglied der Entra-ID-Gruppe deines Teams bist (die Gruppe, die in deiner Spoke-Anfrage genannt wurde).
- Wenn deine Rolle PIM nutzt: Öffne Privileged Identity Management → My roles → Groups und aktiviere die
Gruppe
SG_SPOKE_<workload>_<env>_<role>(das Präfix kann je Plattform abweichen). Bei approval warte auf einen Genehmiger. - Öffne das Azure-Portal und wähle deine subscription (
sub-<workload>-<env>oder den vereinbarten Namen).
Mehr Details: Zugriff, Gruppen und PIM. Für den Zugriff auf VMs siehe Verbindung zu VMs.
Rollen auf der subscription:
| Gruppe | Rolle |
|---|---|
…_Owners |
Owner |
…_Contributors |
Contributor |
…_Readers |
Reader |
…_Support |
Für Support-Mitarbeitende; immer berechtigt (eligible) mit Genehmigung |
Aus deinen pipelines deployen¶
- Nutze den Spoke Service Principal
SPN-SPOKE-<workload>-<env>(Owner auf deiner subscription). - Wenn du eine Azure DevOps Service Connection angefragt hast, wird sie mit diesem SPN für dich erstellt.
- Andernfalls liegt das SPN-Secret in deinem Spoke Key Vault. Die Plattform rotiert es regelmäßig; lies es zur Laufzeit aus dem Key Vault, statt es zu kopieren.
- Bevorzuge Federated Credentials (Workload Identity Federation) gegenüber Secrets.
Bauen mit Blick auf die Plattform¶
| Tu das | Weil |
|---|---|
| Nutze private endpoints für PaaS-Dienste, im Private-Link-Subnet | Öffentliche Endpunkte werden oft per Policy blockiert; die DNS-Registrierung erfolgt automatisch |
Lege keine eigenen Private DNS zones für privatelink.* an |
Es werden die zentralen Zonen genutzt; eine Policy registriert deine Endpunkte dort |
| Beantrage Firewallregeln, bevor du den Verkehr brauchst | Ausgehender Verkehr ohne Regel wird blockiert |
| Nutze den Spoke Key Vault für Secrets | Er ist privat, RBAC-basiert und bereits angebunden |
| Sende deine Logs an deinen Log Analytics workspace | Er gehört dir für Anwendungs-Logging und Alerts |
| Tagge deine Ressourcen | Kostenzuordnung und Eigentümerschaft |
| Prüfe Azure Policy → Compliance für deine subscription | Behebe nicht konforme Ressourcen; sie gehören dir |
| Deploye eigene Ressourcen mit Code und halte eigene Storage Accounts aus dem Baseline-Storage-Account heraus | Der Baseline-Storage-Account und der Key Vault gehören zur Spoke-Baseline. Viele Plattformen raten, den Baseline-Storage-Account nur für das zu nutzen, was das Plattform-Team nennt (zum Beispiel den Terraform state). Deploye Storage, den deine Anwendung braucht, zusammen mit dem Rest deiner Infrastruktur. Frag dein Plattform-Team, was gilt. |
Änderungen in Abnahme und Produktion¶
Viele Plattformen erwarten, dass jede Änderung in acc und prd aus einer pipeline deployt wird, mit einem geprüften pull request
(Vier-Augen-Prinzip) und nicht von Hand im Portal. Manuelle Änderungen hinterlassen keine Spur, wer was warum geändert hat, und
sie werden überschrieben oder als Drift markiert. Contributor- oder Owner-Rechte in diesen Umgebungen sind für Notfälle
(„Break-Glass“) und kurzes Troubleshooting gedacht. Wenn du sie nutzt, nenne den Grund im PIM-Grund und bringe die Änderung danach
zurück in den Code. Frag dein Plattform-Team, welche Regeln für dich gelten. Siehe auch
Zugriff, Gruppen und PIM.
Wenn deine Plattform eine Bibliothek verwalteter Terraform- oder Bicep-Module anbietet, siehe Managed Templates nutzen.
Wenn etwas nicht funktioniert¶
| Symptom | Wahrscheinliche Ursache | Was du tun kannst |
|---|---|---|
Deployment abgelehnt mit RequestDisallowedByPolicy |
Eine Deny-Policy | Lies, welche Policy greift; passe dein Design an oder beantrage eine Ausnahme (Policy und Ausnahmen) |
QuotaExceeded oder AllocationFailed |
Kontingent oder regionale Kapazität | Kontingent und Kapazität |
| Eine Internetadresse ist nicht erreichbar | Keine Firewallregel | Beantrage eine Firewallregel |
| Private endpoint wird nicht aufgelöst | DNS-Policy noch nicht angewendet oder eigener DNS in deinem VNet | Warte ein paar Minuten; prüfe, ob das VNet den Plattform-DNS nutzt; kontaktiere das Plattform-Team |
| Die subscription ist nicht sichtbar | Nicht in der Team-Gruppe oder PIM nicht aktiviert | Prüfe deine Gruppenmitgliedschaft und aktiviere PIM |
| SPN-Login schlägt fehl | Secret wurde rotiert | Lies das aktuelle Secret aus dem Key Vault oder wechsle zu Federated Credentials |