Beperkingen: wat je niet (of beter niet) kunt doen

Het platform wordt gedeeld. Deze beperkingen houden het veilig, compliant en beheersbaar voor iedereen.

Netwerk

Beperking	Waarom	Wat je in plaats daarvan doet
Geen direct inkomend verkeer van internet naar je spoke	Al het verkeer wordt centraal geïnspecteerd	Publiceer webapps via de centrale Application Gateway met WAF (aanvraag). Voor SFTP naar een storage account vraag je een DNAT-regel aan (Inbound SFTP)
Uitgaand internet alleen naar toegestane bestemmingen	Internetverkeer loopt via de centrale firewall	Vraag firewallregels aan voor de FQDN's, IP's en poorten die je nodig hebt
Geen VNet peering naar andere spokes of je eigen VPN-gateways	Routering wordt in de hub beheerd	Vraag een firewallregel aan voor spoke-naar-spoke-verkeer
Je kunt het adresbereik, de subnets, NSG's of route tables van je VNet niet wijzigen in de portal	Het platform beheert ze als code; handmatige wijzigingen worden overschreven	Vraag een spoke-wijziging aan
Je adresbereik komt uit het centrale IP-plan	Overlappende bereiken verstoren de routering	Laat het platformteam weten hoeveel adressen je nodig hebt
Firewallregels tussen productie- en niet-productiespokes zijn normaal niet toegestaan	Productiedata mag niet naar omgevingen die geen productie zijn stromen	Gebruik testdata in niet-productie. Vraag je security officer als je denkt dat je een uitzondering nodig hebt.
Normaal geen publieke IP-adressen op je resources	Publieke toegang loopt via de Application Gateway (web) of de firewall (andere protocollen)	Gebruik private endpoints en de centrale toegangspunten (Ontwerpprincipes)
Wijzig de priority van een bestaande NSG-regel in de spoke JSON niet	Terraform maakt de regel opnieuw aan, en dat kan mislukken en de NSG in een inconsistente staat achterlaten	Vraag een nieuwe regel met een nieuwe naam en prioriteit aan, en verwijder de oude regel in een latere wijziging
Inkomend verkeer van andere workloads naar je spoke wordt geweigerd totdat je met een regel instemt	Regels worden bij de bestemming gedefinieerd, dus de eigenaar van de bestemming bepaalt wie binnen mag	Verwacht dat je om goedkeuring wordt gevraagd als een ander team toegang tot je spoke aanvraagt, en geef je redenen als je weigert (Hoe het achter de schermen werkt)

Identiteit en toegang

Beperking	Waarom	Wat je in plaats daarvan doet
Toegang loopt via de vier spoke-groepen	Consistente, controleerbare toegang	Vraag of de groep van je team kan worden toegevoegd aan ProductTeamGroupNames
Verhoogde rollen kunnen PIM-activatie vereisen	Least privilege	Activeer de rol in PIM wanneer je hem nodig hebt
Wijzig de leden of owners van de spoke-groepen niet zelf	Het platform beheert ze	Wijzig de leden van de groep van je team in Entra ID

Governance

Beperking	Waarom	Wat je in plaats daarvan doet
Sommige Azure Policies weigeren deployments (bijvoorbeeld publieke endpoints of ontbrekende encryptie)	Security baseline	Ontwerp voor private endpoints; als je echt een uitzondering nodig hebt, vraag een policy-uitzondering aan met een onderbouwing en een einddatum
Verplichte tags op de subscription: owner, department, workload, pii, costcentre, environment	Kostentoewijzing en eigenaarschap	Houd ze actueel; vraag een wijziging aan als het eigenaarschap verandert
Alleen de prd-spoke mag productiedata bevatten	Datagovernance	Gebruik testdata in dev, tst en acc
Verplaats je subscription niet naar een andere management group, hernoem of verwijder hem niet	De plaatsing bepaalt welke policies je krijgt	Vraag een spoke-wijziging of verwijdering aan
Geen handmatige wijzigingen in productie	Een handmatige wijziging heeft geen historie en is foutgevoelig; in je spoke wordt ze bovendien overschreven als ze de baseline raakt	Wijzig productie alleen via je pipeline, gereviewd door een tweede persoon (Ontwerpprincipes)
Gebruik de Key Vault, het storage account of de workspace van de baseline niet voor doelen waarvoor ze niet bedoeld zijn	Ze ondersteunen de spoke zelf	Deploy je eigen met je code, en vraag je platformteam waarvoor de baseline-resource wordt gebruikt

Naamgeving en levenscyclus

Beperking	Details
Korte naam van de workload: maximaal 6 tekens, vast voor het leven	Hij zit in elke resourcenaam en in de state van het platform. Wijzigen betekent een nieuwe spoke.
De omgeving staat vast voor het leven	dev blijft dev. Een nieuwe omgeving is een nieuwe spoke.
Regio's	Alleen de regio's waarin de hub draait. Een regio aan de hub toevoegen is een aparte aanvraag.
Een spoke verwijderen zegt de subscription niet op	Het platformteam schakelt die apart uit.