Ga naar inhoud

Wat je krijgt: een spoke

Een spoke is jouw product op het platform: een Azure subscription voor één workload in één omgeving, voor je ingericht en aangesloten.

Per spoke

Je krijgt Details
Een subscription Hernoemd naar de afgesproken naam (bijvoorbeeld sub-app1-dev), getagd en in de juiste management group geplaatst (bijvoorbeeld corp voor interne workloads, online voor workloads met internetblootstelling)
Een netwerk Een virtual network met de subnets, NSG's en route tables die je hebt aangevraagd, verbonden met de hub. DNS verwijst naar de centrale DNS-resolver, zodat private endpoints automatisch worden opgelost.
Uitgaand internet via de centrale firewall Standaard loopt internetverkeer via de firewall van de hub. Alleen bestemmingen met een firewallregel zijn toegestaan.
Toegangsgroepen Vier Entra ID-groepen: …_Owners, …_Contributors, …_Readers, …_Support. De bestaande groep van je team wordt lid, direct of via PIM (just-in-time).
Een service principal SPN-SPOKE-<workload>-<env> met Owner op de subscription, voor je eigen deployment-pipelines. Het secret staat in je Key Vault, of de SPN gebruikt federated credentials. Hoe credentials werken: Spoke canvas.
Een Key Vault RBAC-modus, private endpoint (standaard aan)
Een storage account Customer-managed key, private endpoint (standaard aan)
Een Log Analytics workspace Voor je eigen logs en alerts (standaard aan)
Optioneel: een Azure DevOps-repository en service connection Als je erom vraagt
Optioneel: managed virtual machines Als je platform de Managed VM-module aanbiedt (Managed virtual machines)
Optioneel: shared services Toegang tot shared APIM, ACR, Service Bus of Event Hub, als je platform die heeft
Optioneel: een data-, integratie-, AI- of Kubernetes-platform Als je platform er een biedt: Base Fabric Data Platform, Integratieplatform, AI-platform of AKS-platform
Optioneel: een developer portal Als je platform die heeft: het Agentic Developer Portal met je workloads, kosten- en securityoverzichten en AI-agents

Vanuit het platform, voor elke spoke

Inbegrepen Wat het voor jou betekent
Security baseline Azure Policy initiatives (ISO 27001, CIS, Microsoft cloud security benchmark, NIS2) beoordelen je resources. Sommige policies weigeren niet-compliant deployments.
Centrale DNS Private endpoints worden door policy geregistreerd in de centrale private DNS zones.
Monitoring baseline Azure Monitor Baseline Alerts voor platformcomponenten; Service Health alerts.
Defender for Cloud Als ingeschakeld voor spokes op je platform.
Optioneel publiceren Inkomend webverkeer via de centrale Application Gateway met WAF, op aanvraag.
Optionele hybride connectiviteit On-premises netwerken bereiken via de hub-VPN of ExpressRoute, met firewallregels.

Spoke-varianten

Variant Wat het is
Standaard spoke De standaard, zoals hierboven beschreven
Sandbox Een subscription voor experimenten, zonder verbinding met de hub, met andere workloads of met interne netwerken. Geen spoke-resources. Zie Nieuwe sandbox-subscription.
Managed spoke Een standaard spoke waarbij het platformteam ook de resources van je workload bouwt en onderhoudt, onder een aparte overeenkomst. Geschikt voor teams die Azure nog aan het leren zijn of te klein zijn om de workload technisch te draaien. Zie Servicetypes en Managed spokes.

Je workload

Een workload is jouw bedrijfsoplossing zoals het platform die ziet: de eigenaar, de groepen, optioneel een project in Azure DevOps en de spokes per omgeving. Eén workload heeft normaal gesproken een spoke voor productiedata en een of meer spokes voor niet-productiedata. Zie Architectuurreferentie.

Omgevingen

Je krijgt normaal gesproken één spoke per omgeving, bijvoorbeeld:

Omgeving Gebruik
dev Ontwikkeling en experimenten
tst Test
acc Acceptatie, productie-achtig
prd Productie. Alleen hier mag je productiedata verwerken.
shared Gedeelde componenten die door meerdere omgevingen worden gebruikt

Elke omgeving is een eigen subscription met een eigen netwerkbereik, eigen groepen en een eigen Key Vault.

Policies kunnen per omgeving verschillen

Een veelgemaakte keuze is om de security initiatives in dev en tst toe te wijzen als audit, zodat je de compliance ziet zonder geblokkeerd te worden, en in acc en prd als deny. Controleer de compliance in de lagere omgevingen regelmatig en los problemen op voordat je promoveert. Vraag je platformteam welk effect waar geldt (Policy en uitzonderingen).

Baseline-resources zijn voor de baseline

De Key Vault, het storage account en de Log Analytics workspace van de baseline ondersteunen de spoke zelf. Vraag je platformteam waarvoor het storage account bedoeld is (op sommige platforms bevat het de state-bestanden van je infrastructure as code) voordat je er applicatiedata in zet. Deploy storage voor je applicatie met je eigen code, samen met de rest van je infrastructuur. Schakel een private endpoint voor een baseline-resource alleen in als je die gebruikt.

Niet inbegrepen