Insights: kosten, netwerk, security en compliance¶

Het portaal heeft vier insightgebieden. Ze beginnen allemaal bij een catalog-entiteit (workload, team, domein, organisatie of subscription) en tonen de data van de Azure-subscriptions die eraan zijn gekoppeld. Vier dingen gelden voor alle gebieden.

Data wordt op de achtergrond gesynchroniseerd en opgeslagen in de database van het portaal, behalve de netwerklogregels, die op verzoek worden bevraagd. Een pagina kan dus achterlopen op Azure. Wanneer het portaal verouderde data detecteert, toont het een waarschuwingspaneel en kunnen resultaten onvolledig zijn tot de volgende geslaagde sync.
Samenvattingen volgen de hiërarchie organisatie, domein, team, workload, subscription (Catalog en entiteitenmodel).
Samenvattingen zijn open, detail is afgeschermd. Kosten, de secure score en het compliancepercentage zijn standaard zichtbaar voor elke aangemelde gebruiker. Aanbevelingen, policydetails en firewall- of WAF-logs zijn alleen zichtbaar voor eigenaren van de workload (Authenticatie en toegang).
Alles heeft een MCP-tool, zodat de agents en je editor dezelfde vragen kunnen stellen (MCP-server).

Gebied	Bron in Azure	Sync	Detail zichtbaar voor
Kosten	Azure Cost Management-exports (FOCUS, Parquet), geladen met Azure Data Factory in Azure SQL	Export door Azure, ingestion één keer per dag	Alle aangemelde gebruikers (standaard)
Netwerk	Azure Firewall- en Application Gateway-diagnostics in Log Analytics	Inventaris elke 10 minuten (standaard). Logs op verzoek	Eigenaren van de workload
Security	Microsoft Defender for Cloud (secure score, assessments) via Azure Resource Graph	Elk uur (standaard)	Eigenaren, voor aanbevelingen. Score voor iedereen.
Compliance	Azure Policy regulatory compliance-initiatives via Azure Resource Graph	Elk uur (standaard)	Eigenaren, voor policydetail. Percentages voor iedereen.

De syncintervallen zijn standaardwaarden van de gedeelde configuratie. Het platformteam kan ze wijzigen (Configuratie).

Kosten¶

Cost insights toont de Azure-uitgaven per maand, met historie, voor subscriptions, workloads, teams en domeinen.

Weergaven¶

Entiteit	Wat de pagina toont
Workload	Alle subscriptions van de workload, elk als eigen item. Handig om omgevingen zoals ontwikkeling, test en productie te vergelijken.
Team (groep)	De workloads die het team beheert (via de `ownerOf`-relatie), elk als de som van zijn subscriptions
Domein	De workloads van het domein (via `hasPart`), en per team dat er workloads in beheert

De grafieken kunnen groeperen per subscription, workload of groep (team). Kosten die niet aan een eigenaar kunnen worden toegewezen, worden getoond als UNKNOWN, als laatste en met een gestreept patroon. De kleuren zijn afgeleid van het actieve thema van de omgeving, dus er is geen kleurenlijst per klant om bij te houden.

Dataflow¶

flowchart LR
    azure["Azure Cost Management"] -->|"scheduled FOCUS export<br/>Parquet, Snappy"| lake["Storage account<br/>billingdata container"]
    lake --> adf["Azure Data Factory<br/>daily pipeline"]
    adf --> sql["Azure SQL database<br/>billing table and views"]
    portal["Portal backend"] -->|"queries"| sql
    portal -->|"creates exports<br/>through the managed identity"| azure

Het portaal maakt en onderhoudt de exports zelf: een geplande taak ontdekt de subscriptions binnen scope en maakt per subscription één month-to-date-export aan, in batches, binnen een venster buiten kantooruren. Zie Cost insights-setup.
Exports gebruiken het FOCUS-schema, in Parquet met Snappy-compressie. Zo krijg je werkelijke en afgeschreven kosten in één export op basis van een open standaard.
De Data Factory-pipeline draait dagelijks (04:00, West-Europese tijd in de referentiecode) en laadt de data incrementeel in SQL.

Wat je kunt verwachten¶

Na een nieuwe setup maakt Azure de eerste export meestal binnen 24 uur aan en volgt de nachtelijke ingestion. Het kan één tot twee dagen duren voordat kostendata verschijnt. Een platformengineer kan exports en ingestion handmatig starten.
Een subscription waarvan de resource provider Microsoft.CostManagement niet is geregistreerd, wordt overgeslagen en bij de volgende run opnieuw geprobeerd.
De standaardscope is elke subscription die de managed identity van het portaal kan zien. Die kan worden beperkt tot management groups.

Kostendata is standaard niet afgeschermd. Een klant kan om een strengere instelling vragen. Het toegangsmodel ondersteunt dat (Authenticatie en toegang).

Netwerk¶

De netwerkweergave is een kaart op het tabblad Network van een workload. Voor een instelbaar tijdsbereik (standaard één dag) toont de kaart:

Geblokkeerde firewallverzoeken: verzoeken die Azure Firewall heeft geweigerd. De logtabellen voor network, application, NAT, threat intelligence en IDPS worden gelezen. Zowel de resource-specifieke tabellen als het oudere AzureDiagnostics-formaat worden ondersteund.
Application Gateway-logs: WAF-events en toegangslogs.

Status van een WAF-verzoek¶

Status	Betekenis
`Blocked`	De WAF heeft het verzoek geblokkeerd
`Matched`	Het verzoek droeg bij aan de anomaly score, maar werd niet geblokkeerd
`Detected`	De WAF draaide in detectiemodus en had het verzoek in preventiemodus geblokkeerd
`Allowed`	De WAF liet het verzoek door zonder regelmatch

De schakelaar "Show blocked and flagged only" verbergt Allowed-verzoeken.

Hoe verzoeken aan een workload worden gekoppeld¶

Log	Een verzoek hoort bij de workload wanneer
Azure Firewall	het bron- of doel-IP binnen een adresprefix valt van een virtual network in de subscriptions van de workload. Alleen geweigerde verzoeken worden getoond.
Application Gateway	het bron-IP binnen zo'n prefix valt, of de hostnaam (en optioneel padprefix) overeenkomt met een external URI van de workload

Verkeer van het internet naar een door WAF beschermde applicatie komt zelden uit het eigen netwerk van de workload, dus de external-uris-tag bepaalt de scope van internetverkeer. Hostnamen worden hoofdletterongevoelig vergeleken. Een URI zonder pad komt overeen met elk pad op die host. Een URI met een pad komt overeen met verzoeken waarvan de request-URI met dat pad begint.

Actualiteit van data¶

De inventaris van firewalls, Application Gateways en virtual networks wordt op de achtergrond ververst (standaard elke tien minuten). De logregels zelf worden uit de Log Analytics workspace opgehaald wanneer de pagina wordt geopend. De identity van het portaal heeft daarom Reader en Monitoring Reader nodig op de scopes waar de firewalls en gateways staan (Vereisten).

Zie Application Gateway-logs om de gatewaylogs zelf met KQL te bevragen.

Security¶

Security insights toont de Microsoft Defender for Cloud secure score van de geselecteerde entiteit en de aanbevelingen erachter.

Een score op subscription-niveau komt rechtstreeks uit Defender for Cloud.
Een score op workload-, team- of domeinniveau is de gemiddelde secure score van de bijbehorende subscriptions. Het is geen alles-of-niets- status.
De pagina kan groeperen per workload, domein, team of subscription.
Aanbevelingen zijn de unhealthy assessments, op de pagina gegroepeerd per aanbeveling of per resource, met een link naar het Azure-portaal om ze op te lossen. Assessments van container images worden weggelaten, omdat ze dezelfde bevinding herhalen voor elke resource waarop de image draait. Aanbevelingen zijn alleen zichtbaar voor eigenaren van de workload.

De subscription heeft Defender for Cloud met een secure score nodig. Een subscription zonder score toont een score van nul.

Compliance¶

Compliance insights toont de status van regulatory compliance-standaarden: policy-initiatives in de categorie Regulatory Compliance, en de Microsoft cloud security benchmark. Elke cel van de matrix is één standaard voor één scope en toont geslaagde ten opzichte van totale policydetails.

Regel	Betekenis
Een scope is alleen compliant bij 100%	Als één vereist policydetail in een scope faalt, is de scope niet compliant voor die standaard
De regel werkt door naar boven	Als een onderliggende scope niet compliant is, is de bovenliggende scope dat ook niet
Drill-down	De lijst met policydetails is beschikbaar per subscription, en alleen voor eigenaren van de workload

De data komt uit Azure Policy-states: toewijzingen van de standaarden en de compliancestatus van elke resource per policydefinitie. Een standaard die niet aan de subscription is toegewezen, verschijnt niet. Zie Policies en uitzonderingen voor hoe policies en uitzonderingen op het platform werken.

Vereisten per gebied¶

Gebied	Vereist
Kosten	Cost insights-resources, `Cost Management Contributor` voor de identity van het portaal, `Microsoft.CostManagement` geregistreerd per subscription
Netwerk	Diagnostics van Azure Firewall en Application Gateway naar een Log Analytics workspace, `Reader` en `Monitoring Reader` voor de identity van het portaal, virtual networks in de subscriptions van de workload, `external-uris`-tags voor verkeer vanaf het internet
Security	Microsoft Defender for Cloud op de subscriptions, `Reader` voor de identity van het portaal
Compliance	Regulatory compliance-initiatives toegewezen met Azure Policy, `Reader` voor de identity van het portaal

De roltoewijzingen staan in Vereisten.