Base Fabric Data Platform: servicebeschrijving¶
Deze pagina beschrijft wat het Base Fabric Data Platform biedt, hoe wijzigingen verlopen en waar de grenzen liggen. De andere pagina's gaan dieper in op de details: Aanvragen en wijzigen, Toegang en rollen, Connectiviteit, Monitoring en Kostenoptimalisatie.
Optioneel aanbod, per platform ingesteld
De service wordt door het platformteam geleverd onder een overeenkomst (Beheermodellen). Supporturen, reactietijden, SLA-doelen, contactpersonen en tarieven maken deel uit van die overeenkomst en staan niet in deze documentatie. Waar deze pagina een standaardwaarde noemt, is dat de gebruikelijke waarde van de oplossing. Jouw platform kan afwijken.
In het kort¶
Datateams krijgen een productieklare, volledig beheerde Microsoft Fabric-omgeving zonder infrastructuurexpertise nodig te hebben. Het platformteam onderhoudt het platform als infrastructure as code met Terraform en rolt het uit via CI/CD- pipelines. Elke omgeving heeft zijn eigen geïsoleerde resources. Alle connectiviteit loopt via het private netwerk van het platform: data wordt niet over het publieke internet getransporteerd. Uitzonderingen worden expliciet genoemd (zie Netwerk en beveiliging) en goedgekeurd door de service delivery manager en de klant.
| Waarde | Wat het betekent |
|---|---|
| Dag 1 productiviteit | Vooraf geconfigureerde workspaces met capacity, OneLake, Lakehouses en Warehouses, en geautomatiseerde provisioning |
| Monitoring en alerting | Beschikbaarheid en prestaties van de platformcomponenten worden gemonitord, afwijkingen worden gesignaleerd |
| Governance en beveiliging | Entra ID-groepen met role-based access, private endpoints, netwerkisolatie en versleutelde opslag |
| Time to value | Gedeelde infrastructuur en standaardconfiguraties laten nieuwe omgevingen en workspaces snel en consistent uitrollen |
Wat er wordt aangeboden¶
Het platform heeft vier groepen componenten. Zie Architectuur voor hoe ze samenhangen.
Platformservices¶
| Component | Beschrijving |
|---|---|
| Fabric capacity | De reken- en factureringseenheid van alle Fabric workspaces. Capacities worden in een gedeelde deployment aangemaakt, zodat meerdere omgevingen er één kunnen hergebruiken, wat de kosten verlaagt. De SKU is configureerbaar binnen de Fabric F-serie en kan worden gewijzigd. |
| VNet data gateway | Een gateway die Fabric outbound connectiviteit geeft naar databronnen in het spoke-netwerk en, via ExpressRoute of VPN, naar on-premises systemen. Hij activeert bij het eerste gebruik en gaat na een periode van inactiviteit slapen om kosten te besparen. |
Workspaceservices¶
| Component | Beschrijving |
|---|---|
| Fabric workspace | De container voor alle data-items. Toegang wordt geregeld met Entra ID-groepen voor de rollen Admin (optioneel), Contributor, Member en Viewer. Elke workspace heeft een system-assigned managed identity en kan aan een Git-repository worden gekoppeld. |
| OneLake | De standaard data lake-opslag van elke workspace. |
| Lakehouses | Opslag voor analytische workloads in open formaten (Delta). Schema-ondersteuning kan per Lakehouse worden ingeschakeld. Meerdere per workspace. |
| Warehouses | Relationele opslag voor SQL-gebaseerde analyses. De collation is configureerbaar. Meerdere per workspace. |
Connectiviteit¶
| Verbindingstype | Beschrijving |
|---|---|
| ADLS | Naar containers van het storage account van de omgeving, via de VNet data gateway, met een service principal waarvan de credentials uit de Key Vault komen |
| SQL | Naar SQL Server-databases, via de gateway, met een service principal of met basic credentials uit de Key Vault |
| Oracle Cloud Storage | Naar Oracle Cloud Storage, via de gateway, met basic credentials uit de Key Vault |
| Workspace naar workspace | Managed private endpoints tussen workspaces, zodat Lakehouses en Warehouses van een andere workspace kunnen worden gebruikt |
| Managed private endpoints | Directe private verbindingen van een workspace naar specifieke Azure-resources via Private Link |
Details en aanvraagvelden: Connectiviteit.
Opslag¶
| Component | Beschrijving |
|---|---|
| Storage account (data lake) | Eén per omgeving. Premium block blob-opslag met hierarchical namespace, zone-redundant, versleuteld met een customer-managed key plus infrastructure encryption, bereikbaar via private endpoints voor blob en dfs. Voor de ADLS-verbindingen die je configureert worden containers aangemaakt. |
| Key Vault | Bevat de encryptiesleutel van het storage account en de credentials waarnaar verbindingen verwijzen. Het is de Key Vault van de spoke. |
Optionele bouwstenen¶
| Component | Beschrijving | Pagina |
|---|---|---|
| Capacity auto-pause | Pauzeert capacities volgens een dagelijks schema om kosten te besparen, hervatten is standaard handmatig | Kostenoptimalisatie |
| Observability (Managed Grafana) | Dashboards en alerts op pipelinefouten uit Log Analytics | Monitoring |
| Governance (Microsoft Purview) | Catalogus, classificatie en lineage voor de Fabric workspaces | Governance |
Dit zijn aparte deployments. Vraag het platformteam of ze deel uitmaken van jouw overeenkomst.
Netwerk en beveiliging¶
Het platform gebruikt defence in depth: netwerkisolatie, encryptie en toegangsbeheer samen.
| Aspect | Beschrijving |
|---|---|
| Inbound | Elke workspace krijgt een Private Link Service voor Fabric en een private endpoint in het private endpoint-subnet van de spoke |
| Outbound | Standaard geblokkeerd (outbound Deny). Alleen toegestaan via de aangewezen VNet data gateway of managed private endpoints. Zie Workspace network policy voor hoe dit per workspace wordt ingesteld en voor de beperkingen. |
| Gatewaybeperking | Per workspace is gatewaygebruik standaard geweigerd en is alleen de gateway van de omgeving toegestaan |
| Git-uitzondering | Een workspace met een Git-koppeling krijgt een benoemde outbound-uitzondering voor Git-verkeer. Workspaces zonder Git niet. |
| DNS | Namen van private endpoints worden via de private DNS-zones van het platform opgelost |
| Toegang voor ontwikkelaars | Via VPN of ExpressRoute. Er is geen publiek internetpad voor ontwikkelaars. |
| Databescherming | Beschrijving |
|---|---|
| Customer-managed key | RSA 4096-bit sleutel in de Key Vault met automatische rotatie, gebruikt voor het storage account |
| Infrastructure encryption | Ingeschakeld naast de customer-managed key (dubbele versleuteling at rest) |
| Soft delete | Blobs 90 dagen, containers 95 dagen |
| Replicatie | Zone-redundant (ZRS) |
| Authenticatie | Shared access keys zijn uitgeschakeld op het storage account. Toegang loopt alleen via Entra ID. |
| Credentials | Verbindingscredentials worden in de Key Vault opgeslagen, nooit in code of configuratiebestanden |
Afstemming op frameworks¶
De technische configuratie sluit aan op de CIS Microsoft Azure Foundations Benchmark 2.0, ISO 27001 en de Microsoft Cloud Security Benchmark. Dit betreft alleen de technische configuratie. Formele certificering is een organisatorisch proces en blijft bij de klant.
Hoe wijzigingen verlopen¶
De coderepository is de enige bron van waarheid. Wijzigingen worden gedaan als pull request op de Terraform-configuratie en door de pipeline uitgerold. Handmatige wijzigingen in de Azure portal of de Fabric portal aan resources onder Terraform- beheer zijn niet toegestaan: de volgende pipeline-run draait ze terug. Zie Aanvragen en wijzigen.
Standaardwijzigingen¶
Standaardwijzigingen zijn vooraf gedefinieerd en geautomatiseerd via de Terraform-configuratie. Elke volgt het gecontroleerde wijzigings- proces, en het platformteam legt de pull request en de hersteltijd (MTTR) vast in de SLA-rapportage.
| Standaardwijziging |
|---|
| Een nieuwe Fabric workspace aanmaken |
| Rolgroepen van een workspace wijzigen (admins, contributors, members, viewers) |
| Een Lakehouse aanmaken of verwijderen |
| Een Warehouse aanmaken of verwijderen |
| Een ADLS-verbinding toevoegen, wijzigen of verwijderen |
| Een SQL-verbinding toevoegen, wijzigen of verwijderen |
| Een Oracle Cloud Storage-verbinding toevoegen, wijzigen of verwijderen |
| Een workspace-naar-workspace-verbinding configureren |
| Een managed private endpoint toevoegen of verwijderen |
| De Git-koppeling configureren of wijzigen |
| De Fabric capacity schalen of de SKU wijzigen |
| Een storage container toevoegen via een ADLS-verbinding |
SLA-metrics¶
De beschikbaarheid van het platform wordt gemeten met de onderstaande metrics. De doelen worden per klant afgesproken en vastgelegd in de overkoepelende SLA, niet in deze documentatie.
| Metric | Meet |
|---|---|
| Beschikbaarheid Fabric capacity | De geprovisioneerde capacity kan workloads draaien |
| Beschikbaarheid VNet data gateway | Netwerkconnectiviteit tussen Fabric en databronnen |
| Beschikbaarheid storage account | De storage accounts die als data landing worden gebruikt |
| Beschikbaarheid verbindingen | De geconfigureerde verbindingen (ADLS, SQL, Oracle Cloud Storage, workspace naar workspace) |
Recovery objectives¶
| Metric | Doel | Basis |
|---|---|---|
| RPO | maximaal 1 uur | Zone-redundante opslag repliceert synchroon over drie availability zones. De platformconfiguratie staat als Terraform in Git. Het uur dekt randgevallen zoals lopende pipeline-runs of niet-gecommitte metadata op het moment van een incident. |
| RTO | maximaal 4 uur | De infrastructuur kan in ongeveer 30 tot 90 minuten opnieuw vanuit Terraform worden uitgerold. De rest dekt validatie, het herstellen van verbindingen, het activeren van de gateway en het controleren van end-to-end connectiviteit. Bij een storing van een availability zone die Azure transparant afhandelt, is herstel doorgaans ruim binnen 1 uur. |
Reikwijdte van de doelen
RPO en RTO gelden voor de platforminfrastructuur en de data in het storage account. Herstel van dataworkloads (pipelines, notebooks, semantic models, dataproducten) is de verantwoordelijkheid van het workload team en vraagt om eigen herstelplanning op workloadniveau.
Incidentproces¶
- Detectie: platformmonitoring signaleert een afwijking, of jij meldt het.
- Triage: het platformteam beoordeelt impact en urgentie.
- Oplossing: het platformteam werkt aan herstel en houdt je op de hoogte.
- Afsluiting: je hoort de root cause en de genomen maatregelen.
Severities, reactietijden en supporturen komen uit je overeenkomst. In het zelfbeheermodel worden ze door je eigen platformteam gedefinieerd (Incidentmanagement).
Grenzen¶
| Platformteam | Workload team |
|---|---|
| Capacity, gateway, storage account, sleutelrotatie, private endpoints, rolgroepen en verbindingen als code | OneLake-inhoud, de data in Lakehouses en Warehouses |
| Platformmonitoring (capacity, gateway, storage, verbindingen) | Workloadmonitoring: queryprestaties, datakwaliteit en versheid |
| Opnieuw proberen van mislukte baseline pipelines | Het dataprobleem oplossen als een nieuwe poging niet helpt |
| Terraform-pipelines, modules en code | Git-repositories van de workload |
| Technische afstemming op de frameworks | Formele compliance en certificering |
De volledige verdeling staat op Verantwoordelijkheden.