Was die Plattform deployt: Katalog der Azure-Ressourcen¶
Eine Referenz der Azure-Ressourcen, die die hub-layers deployen, mit dem Layer und dem Schalter, der jede Ressource steuert. Nutze sie, um die Frage „Gehört das zur Plattform?“ zu beantworten, um ein Inventar abzugrenzen (Asset Management) und um den Flag zu finden, mit dem du ein Feature ein- oder ausschaltest.
Diese Seite ist eine Landkarte. Die Einstellungen stehen in der Referenz der feature flags, die Reihenfolge der layers in den Deployment-Layern, und die Wege, ein Feature zu ändern, in den Plattform-Features.
Welche Ressourcen existieren, hängt von deiner Konfiguration ab
Die meisten Ressourcen sind optional und werden nur erstellt, wenn ihr Flag an ist. Die Beispiel-Standardwerte in der Referenz sind nicht
deine Konfiguration. Lies deine Dateien <region>/<layer>.auto.tfvars.
Networking¶
| Azure-Ressource | Rolle in der Plattform | Layer | Schalter |
|---|---|---|---|
| Virtual WAN | Globales Transitnetzwerk, das Regionen, Niederlassungen, Benutzer und spokes verbindet | connectivity |
create_virtual_wan |
| Virtual hub | Der regionale hub im Virtual WAN. Ein secured hub trägt die firewall | connectivity |
use_virtual_hub_module |
| Hub virtual network | Subnetze, Network Security Groups und Route Tables des hub (Bastion, DNS Resolver, Application Gateway) | connectivity |
use_virtual_network_hub_module |
| Virtual Networks für management und identity | Netzwerke der subscriptions für management und identity, mit dem hub verbunden | management, identity |
create_virtual_network |
| VPN Gateway (Site-to-Site) | Verschlüsselte Anbindung an On-Premises-Standorte | connectivity |
create_vpn_gateway |
| Point-to-Site-VPN-Gateway | Remote-Benutzer und Entwickler, siehe Entwicklerzugriff | connectivity |
create_point_to_site_vpn_gateway |
| ExpressRoute-Circuit, -Gateway und -Verbindung | Private Anbindung an On-Premises | connectivity |
use_express_route_circuit_module, create_express_route_gateway, create_express_route_connection |
| Klassisches Virtual Network Gateway | Ein Gateway außerhalb des Virtual WAN | connectivity |
use_virtual_network_gateway_module |
| Private DNS Resolver und Forwarding-Ruleset | Hybrides DNS: Conditional Forwarding zwischen Azure und On-Premises (DNS-Design) | connectivity |
create_private_dns_resolver, create_private_dns_resolver_dns_forwarding_ruleset |
| Private DNS zones | Die zentralen privatelink.*-Zonen für private endpoints |
connectivity |
create_private_dns_zones |
| Azure Bastion | Browserbasiertes RDP und SSH zu VMs ohne öffentliche IPs | connectivity |
create_bastion_host |
| Network Watcher | Netzwerkdiagnose | connectivity |
create_network_watcher |
| DDoS protection plan | Schutz für öffentliche IPs auf angebundenen Virtual Networks | foundation, angebunden in connectivity/management |
create_network_ddos_protection_plan, virtual_network_hub_ddos_protection_plan_enable |
| Azure Virtual Network Manager (optional) | IPAM-Pools und Security-Admin-Regeln | foundation, firewall |
deploy_network_manager, deploy_network_manager_security_admin_rules |
Netzwerksicherheit und Application Delivery¶
| Azure-Ressource | Rolle in der Plattform | Layer | Schalter |
|---|---|---|---|
| Azure Firewall | Zentrale Filterung des Verkehrs zwischen spokes, zu On-Premises und ins Internet, mit DNS-Proxy | connectivity |
use_firewall_module |
| Firewall policy | Die policy, die die Rule Collection Groups enthält | connectivity |
use_firewall_policy_module |
| IP-Gruppen, Rule Collection Groups, Regeln | Netzwerk-, Anwendungs- und NAT-Regeln aus JSON | firewall |
Immer, außer bei use_third_party_firewall_solution (Firewallregeln) |
| Application Gateway | Layer-7-Load-Balancing, TLS-Terminierung und Veröffentlichung von Web-workloads | connectivity |
use_application_gateway_module |
| Web-Application-Firewall-policies | Schutz des Gateways vor gängigen Webangriffen | connectivity |
use_web_application_firewall_policy_module |
| Öffentliche IP-Adressen | Für das Gateway, das VPN und andere öffentliche Endpunkte | connectivity |
Mit ihrer Ressource |
Governance und Sicherheit¶
| Azure-Ressource | Rolle in der Plattform | Layer | Schalter |
|---|---|---|---|
| Management groups | Die Hierarchie, über die policies und RBAC vererbt werden | foundation (einmal pro Tenant) |
management_group_structure |
| Policy-Definitionen und -Initiativen | Eigene policies und Initiativen aus JSON | foundation |
Dateien in den policy-Ordnern |
| Policy-Assignments und Remediation | Eingebaute Compliance-Initiativen, eigene Assignments, Remediation-Tasks | postdeployment |
Dateien in den Assignment-Ordnern; automatically_start_policy_remediation |
| Policy-Ausnahmen | Zeitlich begrenzte Ausnahmen auf vier Scopes | postdeployment |
Dateien in den Exemption-Ordnern (Ausnahmen) |
| Policies für private DNS zones | Registrieren private endpoints in den zentralen Zonen | Definitionen in foundation, Assignment in postdeployment |
enable_private_dns_zone_policies |
| Microsoft Defender for Cloud | Security-Posture und Bedrohungsschutz für die subscriptions der Plattform, optional für spokes | postdeployment |
enable_defender_for_cloud_for_spokes; Einstellungen per policy |
| Key Vault | Secrets, Schlüssel und Zertifikate für die Plattform und das Gateway | management, connectivity |
use_management_module |
| Rollenzuweisungen und Managed Identities | Zugriff für die pipelines und das Gateway | Pro Layer | Mit ihrer Ressource |
Monitoring und Betrieb¶
| Azure-Ressource | Rolle in der Plattform | Layer | Schalter |
|---|---|---|---|
| Log-Analytics-Workspace | Zentrale Logs und Abfragen (KQL). Aufbewahrung und tägliches Limit sind Einstellungen | management |
use_management_module |
| Diagnostic Settings | Senden Logs und Metriken an den Workspace, meist per policy | postdeployment und policy |
Policy-Assignments |
| Action Groups | Empfänger von Alerts | foundation |
Empfänger-Variablen (Monitoring ausrollen) |
| Alert Rules und Alert Processing Rules | Baseline-Alerts und Routing | foundation, connectivity, identity, management, postdeployment |
enable_activity_log_alerts, alerting_management_groups (Wie Alerting funktioniert) |
| 24/7-Alert-Route des hub | Eigene Action Group und Processing Rule für Alerts außerhalb der Geschäftszeiten | connectivity |
hub_247_support.enabled |
| Automation Account | Runbooks für operative Aufgaben | management |
use_management_module |
| Storage Account | Speicher für Diagnose-Logs | management |
create_storage_account |
| Microsoft Sentinel | SIEM auf dem Log-Analytics-Workspace | management |
deploy_sentinel |
Optionale layers, die nicht zur hub-pipeline gehören¶
| Layer | Zweck |
|---|---|
ghrunners |
Ein Virtual Network mit Network Security Groups für selbst gehostete GitHub-Actions-Runner, damit Runner Azure über private endpoints erreichen |
policy_exemptions |
Policy-Ausnahmen mit Ablaufdatum. Der Layer postdeployment deployt Ausnahmen heute |
| Shared-Services-Addons | Application Gateway, Container Registry, Container-Agent-Pool und weitere in einem Shared-Services-Spoke, deployt aus einer eigenen pipeline. Siehe Shared Services |
Siehe Deployment-Layer.
Multi-Region¶
| Scope | Ressourcen |
|---|---|
| Einmal pro Tenant oder Plattform-Umgebung | Management groups, policy-Definitionen und -Assignments, Alert-Initiativen, das Virtual WAN und die private DNS zones, die globale Ressourcen sind |
| Pro Region | Ein virtual hub und seine firewall, die regionalen Action Groups, das hub virtual network mit seinen Gateways, DNS Resolver und Application Gateway sowie die Netzwerke für management und identity |
Eine Plattform kann in einer Region oder in mehreren laufen, in beliebiger Kombination von Azure-Public-Regionen (Eine Region hinzufügen, Regionserweiterung).
DNS-Abdeckung für private endpoints¶
Die Plattform deployt die privatelink.*-Zonen und policies, damit private endpoints ohne
manuelle DNS-Arbeit in den zentralen Zonen aufgelöst werden (DNS-Design). Ein Config test prüft, dass die Zonen, die connectivity
erstellt, und die Zonen, die die policies nutzen, übereinstimmen, damit sie nicht auseinanderdriften.
Abgedeckte Service-Familien:
| Familie | Services |
|---|---|
| Storage | Blob, File, Queue, Table, Data Lake Storage |
| Datenbanken | SQL Database, SQL Managed Instance, Cosmos DB, MySQL, PostgreSQL, MariaDB |
| Daten und Analytics | Synapse Analytics, Data Factory, Event Hubs, Service Bus, Data Explorer |
| KI und Machine Learning | Cognitive Services, Azure OpenAI, AI Foundry, Machine Learning, Bot Service |
| Web und Mobile | App Service, Function Apps, Static Web Apps, API Management |
| Integration | Event Grid, Service Bus, Relay |
| Sicherheit | Key Vault, Managed HSM, App Configuration |
| IoT | IoT Hub, Digital Twins, Device Provisioning, IoT Central |
| Management | Automation, Backup, Site Recovery, Azure Monitor Private Link Scope, Azure Arc |
Gut zu wissen:
- Manche Zonen hängen von der Region ab (zum Beispiel für AKS, Container Apps, Data Explorer und Backup). Der Code erweitert sie um den Regionsnamen und -code.
- Static Web Apps nutzen eine Partitionsnummer im Zonennamen. Connectivity legt die Zonen für die Partitionen 0 bis 10 vorab an, und die policy bindet an die richtige.
- Services, die mehrere Zonen in einer Zone Group brauchen (Azure Monitor Private Link Scope, Azure Arc, Machine Learning, Power BI, Data Explorer, Redis Enterprise, Managed Redis), haben eigene policy-Module.
- Cognitive Services, Azure OpenAI und AI Foundry sind Sonderfälle mit expliziten Zonen-IDs.
- Die policies für SQL Managed Instance und Data Explorer überspringen die Remediation, wenn die richtige Zone bereits konfiguriert ist.
- IoT Hub braucht zwei private endpoints: einen für Geräte- und Service-Verkehr (
privatelink.azure-devices.net) und einen für den Event-Hubs-kompatiblen Endpunkt (privatelink.servicebus.windows.net). - Die Validierung deckt nur die Azure Public Cloud ab.
Resource Provider¶
Die Plattform braucht diese registrierten Resource Provider: Microsoft.Network,
Microsoft.Compute, Microsoft.Storage, Microsoft.KeyVault, Microsoft.OperationalInsights, Microsoft.Insights,
Microsoft.Automation, Microsoft.Security, Microsoft.Authorization, Microsoft.Management und Microsoft.ResourceGraph.
Der Layer foundation registriert Resource Provider (Deployment-Layer). Registriere sie in einer subscription,
die er nicht verwaltet, zuerst selbst. Ein Script, um Resource Provider für neue
Implementierungen zu registrieren, gibt es seit v4.5.1 (Historie).
Logs und Defender¶
Diese Ressourcen senden Logs an den Log-Analytics-Workspace: Activity Logs, Azure Firewall, Application Gateway, Key Vault und Storage Accounts. Defender for Cloud deckt Server, SQL-Datenbanken, Storage Accounts, Key Vaults, Container Registries und Kubernetes-Services ab, wo aktiviert.