Referenz der feature flags¶

Boolesche Schalter in den hub layers. Setze sie in <env-folder>/<region>/<layer>.auto.tfvars. Der Default gilt, wenn die Variable gar nicht gesetzt ist. File ist die Variablendatei unter infra/deploy/<layer>/.

Die Ressourcen hinter den Schaltern findest du unter Was die Plattform deployt.

Die meisten Schalter benötigen zugehörige Variablen, etwa Namen, SKUs, Adressbereiche oder IDs. Diese sind in derselben Variablendatei deklariert. Lies diese Datei, bevor du ein Feature aktivierst.

connectivity¶

Flag	Default	Datei	Wirkung
`create_virtual_wan`	`true`	`variables_virtual_wan.tf`	Virtual WAN
`use_virtual_hub_module`	`true`	`variables_virtual_hub.tf`	Virtual hub (secured hub mit der firewall)
`create_vpn_gateway`	`false`	`variables_virtual_hub.tf`	Site-to-site-VPN-Gateway im virtual hub
`vpn_gateway_bgp_route_translation_for_nat_enabled`	`false`	`variables_virtual_hub.tf`	BGP-Route-Translation für NAT auf dem VPN-Gateway
`create_express_route_gateway`	`false`	`variables_virtual_hub.tf`	ExpressRoute-Gateway im virtual hub
`create_express_route_connection`	`false`	`variables_virtual_hub.tf`	ExpressRoute-Verbindung
`express_route_connection_enable_internet_security`	`false`	`variables_virtual_hub.tf`	Internet-Sicherheit auf der ExpressRoute-Verbindung
`create_virtual_hub_security_partner_provider`	`false`	`variables_virtual_hub.tf`	Security Partner Provider
`create_virtual_hub_bgp_connection`	`false`	`variables_virtual_hub.tf`	BGP-Verbindung auf dem virtual hub
`use_express_route_circuit_module`	`false`	`variables_express_route_circuit.tf`	ExpressRoute-Circuit
`create_express_route_circuit`	`true`	`variables_express_route_circuit.tf`	Wird zusammen mit dem obigen Flag verwendet
`use_firewall_module`	`false`	`variables_firewall.tf`	Azure Firewall
`use_firewall_policy_module`	`false`	`variables_firewall_policy.tf`	Azure Firewall policy (vom layer `firewall` benötigt)
`firewall_policy_sql_redirect_allowed`	`false`	`variables_firewall_policy.tf`	SQL-Redirect auf der firewall policy
`create_point_to_site_vpn_gateway`	`false`	`variables_point_to_site_vpn_gateway.tf`	Point-to-site-VPN
`create_private_dns_zones`	`false`	`variables_private_dns_zone.tf`	Zentrale private DNS zones für Private Endpoints
`use_virtual_network_hub_module`	`true`	`variables_virtual_network_hub.tf`	Hub-Virtual-Network (Subnetze, NSGs, Route Tables)
`create_virtual_network`	`true`	`variables_virtual_network_hub.tf`	Wird zusammen mit dem obigen Flag verwendet
`virtual_network_hub_ddos_protection_plan_enable`	`false`	`variables_virtual_network_hub.tf`	Den DDoS-Plan an das Hub-VNet anhängen
`create_bastion_host`	`true`	`variables_virtual_network_hub.tf`	Azure Bastion
`create_private_dns_resolver`	`true`	`variables_virtual_network_hub.tf`	Private DNS Resolver
`create_private_dns_resolver_dns_forwarding_ruleset`	`true`	`variables_virtual_network_hub.tf`	DNS-Forwarding-Ruleset
`create_network_watcher`	`false`	`variables_virtual_network_hub.tf`	Network Watcher
`use_virtual_network_gateway_module`	`false`	`variables_virtual_network_gateway.tf`	Klassisches VNet-Gateway (ohne vWAN)
`virtual_network_gateway_active_active`	`false`	`variables_virtual_network_gateway.tf`	Active-active für das obige Gateway
`virtual_network_gateway_default_local_network_gateway_enabled`	`false`	`variables_virtual_network_gateway.tf`	Standard-Local-Network-Gateway
`use_web_application_firewall_policy_module`	`false`	`variables_web_application_firewall_policy.tf`	WAF-Policies aus JSON
`use_new_application_firewall_policy_naming`	`false`	`variables_web_application_firewall_policy.tf`	WAF-Policies über `name` statt über den Dateipfad als Key verwenden. Eine Änderung vergibt alle Keys neu (destroy + create).
`use_application_gateway_module`	`false`	`variables_application_gateway.tf`	Application Gateway aus JSON (der einzige wirksame App-Gateway-Schalter)
`create_application_gateway`	`true`	`variables_application_gateway.tf`	Wird übergeben, aber in `infra/templates/application_gateway/main.tf` auf `true` überschrieben
`use_new_application_gateway_naming`	`false`	`variables_application_gateway.tf`	Gateways über `name` statt über den Dateipfad als Key verwenden. Bei einer Änderung werden die Keys neu vergeben.
`hub_247_support.enabled`	`false`	`variables_hub_247_support.tf`	Alert-Routing außerhalb der Geschäftszeiten an einen Webhook (ADR-0007)

firewall¶

Flag	Default	Datei	Wirkung
`use_third_party_firewall_solution`	`false`	`variables_firewall_general.tf`	Azure-Firewall-Regeln und IP groups überspringen (NVA eines Drittanbieters)
`use_multiregion_fwp_rulecollectiongroup_naming`	`false`	`variables_firewall_rules.tf`	Globale und regionale Regelordner zusammenführen
`use_new_fwp_rulecollectiongroup_naming`	`false`	`variables_firewall_rules.tf`	Rule collection groups über `name` als Key verwenden. Bei einer Änderung werden die Keys neu vergeben.
`use_new_ip_group_naming`	`true`	`variables_ipgroups.tf`	IP groups über `name` als Key verwenden. Bei einer Änderung werden die Keys neu vergeben.
`deploy_network_manager_security_admin_rules`	`false`	`variables_network_manager.tf`	Security-Admin-Regeln des Network Managers aktivieren

foundation¶

Flag	Default	Datei	Wirkung
`create_network_ddos_protection_plan`	`false`	`variables_ddos_protection_plan.tf`	DDoS protection plan (primäre Region)
`enable_activity_log_alerts`	`true`	`variables_monitor.tf`	Activity-Log-Alerts auf den Plattform-subscriptions
`deploy_network_manager`	`false`	`variables_network_manager.tf`	Azure Virtual Network Manager + IPAM-Pools

management¶

Flag	Default	Datei	Wirkung
`use_management_module`	`true`	`variables_management.tf`	Management-Komponenten (Key Vault, Automation, Log Analytics, Storage)
`create_storage_account`	`false`	`variables_management.tf`	Management-Storage-Account
`deploy_sentinel`	`true`	`variables_management.tf`	Microsoft Sentinel auf dem Log Analytics workspace
`log_analytics_workspace_allow_resource_only_permissions`	`false`	`variables_management.tf`	Zugriff im Ressourcenkontext auf dem workspace
`create_virtual_network` / `use_virtual_network_hub_module`	`true`	`variables_virtual_network.tf`	Management-Virtual-Network
`virtual_network_hub_ddos_protection_plan_enable`	`false`	`variables_virtual_network.tf`	DDoS-Plan auf dem Management-VNet

identity¶

Flag	Default	Datei	Wirkung
`create_virtual_network`	`true`	`variables_virtual_network.tf`	Identity-Virtual-Network

postdeployment¶

Flag	Default	Datei	Wirkung
`enable_defender_for_cloud_for_spokes`	`false`	`variables_policy.tf`	Defender-for-Cloud-initiative auf `landingzones` (+ zugehörige Ausnahmen)
`automatically_start_policy_remediation`	`true`	`variables_policy.tf`	Remediation-Tasks für Zuweisungen auf management groups
`mirror_exemptions_to_mcsb`	`true`	`variables_policy.tf`	Ausnahmen in die MCSB-Zuweisung spiegeln
`enable_private_dns_zone_policies`	`true`	`variables_private_dns_policies.tf`	Policy-initiative, die Private Endpoints in den zentralen DNS zones registriert
`alerting_management_groups.<key>.deploy_alerting_*`	`false`	`variables_alerts.tf`	AMBA-Alert-initiatives pro management group (siehe Monitoring-Regeln)

Naming-Flags (use_new_*_naming, use_multiregion_*). Diese ändern die Terraform-Keys bestehender Ressourcen. Wird eines auf einer laufenden Plattform umgeschaltet, zeigt der Plan ein destroy und recreate jeder betroffenen Ressource. Behandle es als Migration, nicht als Standardänderung.