Wat er moet bestaan voordat het Integratieplatform werkt: in Azure en Entra ID, in het netwerk en in de repositories. Deze
pagina is voor het platformteam. Workload teams vinden hun eigen korte lijst aan het eind.
| Vereiste |
Waarom |
Wie levert het |
| MCP hub en spokes |
Het platform draait op spokes en gebruikt de hub voor netwerk, firewall en DNS (Architectuurreferentie) |
Platformteam (MCP) |
| Een shared services-spoke per omgeving |
Bevat de gedeelde services. In het referentieontwerp is de basisdeployment alleen de container registry. |
Platformteam |
| Gedeelde services gedeployd naar behoefte |
De Service Bus-namespace (Premium), Event Hubs, API Management. Hun resource-ID's komen in het blok shared_services van de platformconfiguratie (Spoke-extensies). |
Platformteam |
| Spoke-extensies ingeschakeld per integratiespoke |
Geven de spoke toegang tot de gedeelde services. Zie de checklist. |
Platformteam |
| Entra ID administrative unit per omgeving |
Isoleert de groepen die de automatisering aanmaakt. Een aparte unit per omgeving wordt sterk aangeraden (ADR-004). |
Identiteitsteam van de klant |
| Groups Administrator op die unit voor de automatiseringsidentity |
Laat de automatisering groepen aanmaken en beheren, maar alleen binnen de unit |
Identiteitsteam van de klant |
| Groep platform readers |
Een groep met leestoegang tot de Service Bus-namespace, aangemaakt door de Service Bus-spoke-extensie. De object-ID ervan is een input van de automatisering. |
Aangemaakt door de spoke-extensie |
| Azure-rollen van de automatiseringsidentity |
Owner of Contributor op de resource group van de namespace. Toegang tot het storage account van de Terraform-state. |
Platformteam |
| Terraform state-backend |
De rootconfiguratie gebruikt een azurerm-backend met Entra ID-authenticatie |
Platformteam |
| Pipeline-runners binnen het netwerk |
Privé-resources kunnen alleen vanuit het netwerk worden gedeployd. Het referentieontwerp deelt self-hosted runners tussen MCP en de integratieworkloads (Build agents). |
Platformteam |
| DNS-resolutie voor private endpoints |
Vanuit je eigen netwerken heeft naamresolutie van de private endpoints forwarding nodig (DNS voor private endpoints) |
Netwerkteam van de klant, platformteam |
| Defender for APIs |
Het platform schakelt Defender for APIs in op de integratiesubscriptions |
Platformteam |
| Tool |
Versie in de code |
| Terraform |
Service Bus-automatisering: 1.10.1 of later. Modulerepository: 1.9 of later, lager dan 2.0. De herbruikbare workflow gebruikt standaard een gepinde versie, zie Integratieresources deployen. |
| Providers |
azurerm 4.x, azuread (3.x in de automatisering, 2.x in de modulerepository), azapi 2.x in de modulerepository |
| Azure CLI |
Gebruikt voor authenticatie en door één module die een managed private endpoint goedkeurt |
Controleer de versies aan de hand van de code die je draait. Ze veranderen met releases.
Netwerk
- Elk spoke virtual network is gepeerd met de hub. Standaard staat de firewall alleen verkeer binnen een spoke toe.
- Een verbinding van een integratieworkload naar een gedeelde service, of naar een on-premises of extern systeem, heeft een firewallregel
nodig (Firewallregels en IP groups).
- Spoke-subnets voor private endpoints en voor uitgaande VNet-integratie moeten bestaan voordat modules ze kunnen gebruiken. De
modules lezen subnets op naam uit de spoke-configuratie (Modules).
Voor workload teams
| Wat je nodig hebt |
Hoe je het krijgt |
| Een integratiespoke |
Een spoke aanvragen. Vraag om de extensies van de gedeelde services die je nodig hebt (Gedeelde services). |
| Het outputbestand van de spoke |
Bevat de details van je spoke (resource group, subnets, Key Vault, storage account, Log Analytics workspace). Je platform levert het, zie Integratieresources deployen |
| Een workloadrepository met de deploymentworkflow |
Van je platformteam |
| Firewallregels naar de systemen die je integreert |
Aanvragen |
| Namen van de Entra ID-groepen voor je entiteiten |
Van je platformteam, nadat de entiteiten zijn aangemaakt |