Häufige Anfragen (Standardänderungen)¶
Eine Standardänderung ist eine vorab genehmigte Änderung mit geringem Risiko und einem bekannten Vorgehen. Jedes der folgenden Runbooks enthält:
- die Anfragefelder, die du erfassen musst
- die Dateien, die du bearbeitest, und was jede Änderung in Azure bewirkt
- die Pipeline, die du ausführst
- Schritte zum Prüfen
- Schritte für den Rollback
Jedes Runbook baut auf dem allgemeinen Vorgehen in Änderungen sicher durchführen auf. Reviewer nutzen die Checkliste in Pull-request-Review und die Runbooks für Reviewer und Operatoren. Für Firewallregeln, Namensgebung, Prioritäten und IP groups siehe die Richtlinien für Firewallregeln und IP groups. Der Prozess rund um eine Anfrage (Intake, Status, wer was macht, Kategorien) steht in Der Standardänderungsprozess. Um die JSON-Dateien in deinem Editor mit Vorschlägen und Validierung zu bearbeiten, siehe JSON-Dateien mit Schema-Unterstützung bearbeiten.
Die beiden häufigsten Anfragen sind Standardänderungen am Hub (Firewallregeln, App Gateway, Policies, Tags) und das Hinzufügen einer Region. Consumer-Teams stellen diese Anfragen über den Consumer-Anfrageprozess.
| # | Standardänderung | Runbook | Dateien, die du bearbeitest | Pipeline | Hub layer |
|---|---|---|---|---|---|
| 1 | Neuer workload / spoke / Application Landing Zone (spoke canvas) | Neuer spoke | <env-folder>/spokes/**/<file>.json (neu) |
spoke |
– |
| 2 | Löschen von workload / spoke / Application Landing Zone | spoke löschen | spoke-JSON (anschließend entfernt) | spoke-destroy |
– |
| 3 | Änderungen am spoke canvas (RBAC-Owner, Service Principal, Netzwerk, …) | spoke ändern | bestehende spoke-JSON | spoke |
– |
| 4 | Erstellen und Ändern von Tags (Hub) | Hub-Tags | <region>/<layer>.auto.tfvars (*_tags-Variablen) |
hub |
layer der getaggten Ressource |
| 5 | Löschen von Tags (Hub) | Hub-Tags | gleich | hub |
gleich |
| 6 | Neue Firewallregeln hinzufügen | Firewallregeln | firewall_rule_configuration/*.json, ip_groups/*.json |
hub |
firewall |
| 7 | Firewallregeln ändern | Firewallregeln | gleich | hub |
firewall |
| 8 | workload zum Application Gateway hinzufügen | Application Gateway | application_gateways/*.json, web_application_firewall_policies/*.json |
hub |
connectivity |
| 9 | Änderungen an der workload-Konfiguration im Application Gateway | Application Gateway | gleich | hub |
connectivity |
| 10 | Neue Azure-Sandbox-subscription | Sandbox-subscription (in Arbeit) | foundation.auto.tfvars |
hub |
foundation |
| 11 | Neue Azure Policy assignment | Policy assignments | policies/policy_assignments/0x_*/*.json |
hub |
postdeployment |
| 12 | Verwaltete Azure Policy assignment aktualisieren | Policy assignments | gleich | hub |
postdeployment |
| 13 | Verwaltete Policy-initiative einer management group zuweisen | Verwaltete initiative auf einer management group | policy_assignments/01_management_groups/*.json (+ Definitionen) |
hub |
foundation + postdeployment |
| 14 | Features / Ressourcen der Azure Cloud Landing Zone aktualisieren | Plattform-Features | <region>/<layer>.auto.tfvars (feature flags) |
hub |
layer des Features |
| 15 | Verwaltete Monitoring-Regeln zuweisen / löschen | Monitoring-Regeln | postdeployment.auto.tfvars, spoke-JSON-Tags |
hub oder spoke |
postdeployment |
| 16 | Eine Region zum Hub hinzufügen | Region hinzufügen | global.auto.tfvars, neuer <region>/-Ordner |
hub |
alle layer |
| 17 | Zertifikat eines veröffentlichten Workloads erneuern oder ersetzen | Zertifikat ersetzen | keine (Key Vault), oder application_gateways/*.json, wenn die Secret-URI eine Version enthält |
hub (nur wenn sich die JSON ändert) |
connectivity |
| 18 | Eingehender Zugriff über eine Firewall-DNAT-Regel (zum Beispiel SFTP) | Firewallregeln | firewall_rule_configuration/*.json |
hub |
firewall |
| 19 | IP group erstellen oder ändern | IP groups | ip_groups/*.json |
hub |
firewall |
| 20 | Policy-Ausnahme (und Review auslaufender Ausnahmen) | Policy-Ausnahmen | policies/policy_exemptions/0x_*/*.json |
hub |
postdeployment |
| 21 | DNS Conditional Forwarder hinzufügen | DNS Conditional Forwarder | <region>/connectivity.auto.tfvars (private_dns_resolver_forwarding_rules) |
hub |
connectivity |
Anfragefelder, die für jede Standardänderung gelten¶
| Feld | Pflicht | Verwendung |
|---|---|---|
| Begründung | ja | Warum die Änderung nötig ist. Kommt in die pull request-Beschreibung und in den Change-Eintrag. |
| Umgebung | ja | Welche Plattformumgebung (canary, prod) bzw. bei spokes welche spoke-Umgebung (dev, tst, acc, prd, shared). |
| Kommentare | nein | Alles Weitere, was der Umsetzer wissen muss. |
Die änderungsspezifischen Felder stehen in den einzelnen Runbooks.
Abgrenzung des Umfangs¶
Diese Regeln ergeben sich aus dem Verantwortungsmodell der Plattform. Halte sie ein, wenn du die Plattform selbst betreibst:
- spoke-Tags gehören dem workload-Team und werden im
tags-Block der spoke-JSON gesetzt. Sie sind keine Standardänderung am Hub. - Policy-initiatives auf einem einzelnen spoke liegen in der Verantwortung des workload-Teams. Standardänderungen decken nur Zuweisungen verwalteter initiatives auf management group-Ebene ab.
- Feature-Schalter betreffen Features, die bereits im Code vorhanden sind. Ein Feature, das neuen Terraform-Code erfordert, ist eine Entwicklungsänderung im Code-Repository und keine Standardänderung.