Hoe gebruik je je spoke

Toegang krijgen

1. Zorg dat je lid bent van de Entra ID-groep van je team (de groep die in je spoke-aanvraag is genoemd).
2. Als je rol PIM gebruikt: open Privileged Identity Management → My roles → Groups en activeer de groep SG_SPOKE_<workload>_<env>_<role> (het voorvoegsel kan per platform verschillen). Bij approval wacht je op een goedkeurder.
3. Open de Azure portal en selecteer je subscription (sub-<workload>-<env> of de afgesproken naam).

Meer details: Toegang, groepen en PIM. Om VM's te bereiken, zie Verbinden met VM's.

Rollen op de subscription:

Groep	Rol
…_Owners	Owner
…_Contributors	Contributor
…_Readers	Reader
…_Support	Voor supportmedewerkers; altijd eligible met goedkeuring

Deployen vanuit je pipelines

• Gebruik de spoke service principal SPN-SPOKE-<workload>-<env> (Owner op je subscription).
• Als je een Azure DevOps service connection hebt aangevraagd, wordt die met deze SPN voor je aangemaakt.
• Anders staat het SPN-secret in de Key Vault van je spoke. Het platform roteert het periodiek; lees het tijdens runtime uit de Key Vault in plaats van het te kopiëren.
• Geef de voorkeur aan federated credentials (workload identity federation) boven secrets.

Bouw met het platform in gedachten

Doe	Omdat
Gebruik private endpoints voor PaaS-services, in het private link-subnet	Publieke endpoints worden vaak door policy geweigerd; DNS-registratie gaat automatisch
Maak geen eigen private DNS zones aan voor privatelink.*	De centrale zones worden gebruikt; een policy registreert je endpoints daar
Vraag firewallregels aan voordat je het verkeer nodig hebt	Uitgaand verkeer zonder regel wordt geblokkeerd
Gebruik de Key Vault van de spoke voor secrets	Hij is privé, RBAC-gebaseerd en al aangesloten
Stuur je logs naar je Log Analytics workspace	Die is van jou voor applicatielogging en alerts
Tag je resources	Kostentoewijzing en eigenaarschap
Controleer Azure Policy → Compliance voor je subscription	Los niet-compliant resources op; die zijn van jou
Deploy je eigen resources met code, en houd je eigen storage accounts buiten het baseline-account	Het baseline storage account en de Key Vault horen bij de spoke-baseline. Veel platforms adviseren het baseline storage account alleen te gebruiken voor wat het platformteam noemt (bijvoorbeeld Terraform state). Deploy storage die je applicatie nodig heeft samen met de rest van je infrastructuur. Vraag je platformteam wat van toepassing is.

Wijzigingen in acceptatie en productie

Veel platforms verwachten dat elke wijziging in acc en prd vanuit een pipeline wordt gedeployd, met een gereviewde pull request (vierogenprincipe), en niet met de hand in de portal. Handmatige wijzigingen laten geen spoor na van wie wat en waarom heeft gewijzigd, en ze worden overschreven of als drift gemarkeerd. Contributor- of Owner-rechten in deze omgevingen zijn bedoeld voor noodgevallen ("break-glass") en korte troubleshooting. Gebruik je ze, vermeld dan waarom in de PIM-reden en breng de wijziging daarna terug in code. Vraag je platformteam welke regels voor jou gelden. Zie ook Toegang, groepen en PIM.

Als je platform een bibliotheek met managed Terraform- of Bicep-modules biedt, zie dan Managed templates gebruiken.

Als iets niet werkt

Symptoom	Waarschijnlijke oorzaak	Wat te doen
Deployment geweigerd met RequestDisallowedByPolicy	Een deny-policy	Lees welke policy; pas je ontwerp aan of vraag een uitzondering aan (Policy en uitzonderingen)
QuotaExceeded of AllocationFailed	Quota of regionale capaciteit	Quota en capaciteit
Kan een internetadres niet bereiken	Geen firewallregel	Vraag een firewallregel aan
Private endpoint wordt niet opgelost	DNS-policy nog niet toegepast, of custom DNS op je VNet	Wacht een paar minuten; controleer of het VNet de DNS van het platform gebruikt; neem contact op met het platformteam
Kan de subscription niet zien	Geen lid van de teamgroep, of PIM niet geactiveerd	Controleer je groepslidmaatschap en activeer PIM
SPN-login mislukt	Secret is geroteerd	Lees het actuele secret uit Key Vault, of stap over op federated credentials