Woordenlijst

Term	Betekenis
MCP	Managed Cloud Platform. Het Azure landing zone-product van XMMS. Ook de naam van de container image (mcp) waarin de pipelines draaien, en het voorvoegsel van de PowerShell-module (Xebia.Mcp).
XMMS	Xebia Microsoft Managed Services. Bouwt en released het platform, en beheert het voor klanten met een managed-service-contract.
Platformteam	Het team dat het platform voor een klant beheert: XMMS (managed service) of het eigen team van de klant (zelfbeheer). Zie Beheermodellen.
Managed service	Een beheermodel waarin XMMS het platform beheert onder een contract.
Zelfbeheer	Een beheermodel waarin de klant het platform zelf onderhoudt.
Afnemer	Een workload- of DevOps-team dat een spoke gebruikt.
Hub	Het gedeelde deel van het platform: management groups, Virtual WAN en hub, Azure Firewall, DNS, gateways, policies, monitoring. Ook wel cloud platform genoemd.
Spoke	Eén Azure subscription voor één workload in één spoke-omgeving, verbonden met de hub. Ook wel spoke canvas, application landing zone of workload landing zone genoemd.
Spoke canvas	De basis die het platform in een spoke uitrolt: netwerk, identiteitsgroepen, PIM, service principal, Key Vault, storage, Log Analytics. Was historisch een apart product met een eigen versie (v2.x); maakt nu deel uit van de coderepository. Ook wel workload environment genoemd. Zie Spoke canvas.
Platformomgeving	Een complete kopie van de hub met een eigen mcp.json: canary of prod.
Spoke-omgeving	De waarde van environment in een spoke JSON-bestand: dev, tst, acc, prd, shared. Eén platformomgeving host spokes van elke spoke-omgeving.
Canary	De platformomgeving waar elke hubwijziging en elke nieuwe codeversie eerst wordt getest.
Layer	Eén Terraform root module van de hub (foundation, connectivity, firewall, identity, management, postdeployment), met een eigen state.
Level	De volgorde waarin layers draaien (1 tot 4). Layers binnen hetzelfde level kunnen parallel draaien.
Primaire regio	De regio in primary_region. Resources die één keer per platformomgeving bestaan (management groups, policies) worden alleen hier uitgerold.
Coderepository	xms-cloud-platform-code. Terraform, de Xebia.Mcp module, schema's en pipeline templates. Eén repository voor alle klanten.
Configuratierepository	Eén per klant, bijvoorbeeld xms-cloud-platform-config. Alleen waarden, plus de entry pipelines.
Entry pipeline	Een dunne pipeline of workflow in de configuratierepository (hub.yaml, spoke.yaml, …) die een template in de coderepository aanroept.
Job runners	De self-hosted build-infrastructuur (Managed DevOps Pool, Container Apps, ACR) waarop de pipelines draaien, uitgerold door de infrastructure pipeline.
Standaardwijziging	Een vooraf goedgekeurde wijziging met laag risico en een bekende procedure, zoals een firewallregel of een nieuwe spoke. Zie Veelvoorkomende aanvragen.
Feature flag	Een boolean tfvars-variabele die een bestaande platformfunctie aan- of uitzet.
Config test	Pester-tests die de JSON-bestanden van een configuratierepository valideren voordat Terraform draait.
Drift	Een verschil tussen Azure en de code, meestal veroorzaakt door een handmatige wijziging.
Workload	Een bedrijfsoplossing die het platform isoleert en van een eigenaar voorziet. De top van een hiërarchie: teamgroepen, een optioneel Azure DevOps-project en één spoke per omgeving.
Hub-and-spoke	Een netwerkontwerp waarin een centrale hub de spokes verbindt. Verkeer tussen spokes, naar on-premises en naar het internet loopt via de hub.
Secured virtual hub	Een Virtual WAN hub waaraan Azure Firewall met security- en routingpolicies is gekoppeld, zodat routering via de firewall automatisch gaat.
Core / direct / additional service	De drie servicetypen: basisservices, services die een team kan aanvragen en services met een aparte overeenkomst.
Sandbox	Een subscription voor experimenten, geplaatst in de management group sandbox, zonder verbinding met de hub.
Managed spoke	Een spoke waarvoor het platformteam ook de workload-resources bouwt en onderhoudt, onder een aparte overeenkomst.
Rule collection group (RCG)	De eerste eenheid van een Azure Firewall policy. Bevat rule collections, die regels bevatten. Eén RCG is één JSON-bestand in de configuratierepository.
IP group	Een benoemde verzameling IP-adressen en -ranges waarnaar firewallregels verwijzen.
Guardrail	Een regel die workload teams moeten volgen, bij voorkeur afgedwongen met technologie. Zie Ontwerpprincipes.
Consent	Een besluitvormingsmethode waarbij een voorstel wordt aangenomen wanneer niemand een geldig bezwaar heeft. Zie Governance.
Technology board	Een kleine groep die besluit over architectuurwijzigingen en uitzonderingen voor het platform. Zie Governance.
Standard / normal / emergency change	De drie wijzigingscategorieën.
Break-glass account	Een noodtoegangsaccount dat niet aan een persoon is gekoppeld, voor als de normale beheertoegang uitvalt.
PIM	Privileged Identity Management. Geeft rollen en groepslidmaatschappen just-in-time, met optionele goedkeuring.
Managed VM module	Optionele module die VM's uitrolt met een vaste baseline (toegangsgroepen, monitoring, back-up, patching). Zie Managed virtual machines.
Private DNS Resolver	De Azure-service die private DNS-zones oplost voor on-premises en geselecteerde domeinen doorstuurt naar andere DNS-servers. Zie DNS-ontwerp.
RPO / RTO / MTPD	Recovery point objective (hoeveel dataverlies acceptabel is), recovery time objective (hoe lang herstel mag duren) en maximum tolerable period of disruption (maximaal toelaatbare verstoringsduur). Zie Beveiligingsclassificatie.
AMBA	Azure Monitor Baseline Alerts. De set alertinitiatives die het platform toewijst. Zie Hoe alerting werkt.
Secret watcher	Een geplande controle die waarschuwt voor app registration-secrets en -certificaten die bijna verlopen. Zie Secret watcher.
Administrative unit	Een Entra ID-container die beperkt welke groepen de spoke deployment identity mag beheren. De identity is Groups Administrator op de administrative unit, niet op de hele tenant. Zie Spoke canvas.
Spoke deployment identity	De service principal die spokes aanmaakt en bijwerkt: hij verplaatst subscriptions en maakt groepen, service principals en PIM-instellingen aan. Apart voor canary en prod.
Spoke service principal	De identity die een spoke aanmaakt voor het workload team om mee te deployen. Owner op de subscription. Gebruikt federated credentials, of een secret in de Key Vault van de spoke. Zie Service principal en credentials.
PIM-rolmap	De ingebouwde lijst met Azure-rollen (bijvoorbeeld voor Key Vault en storage) die de spoke op subscriptionscope aan zijn groepen toewijst, permanent of PIM-eligible. Kan per rol worden overschreven. Zie Data-plane-toegang via PIM.
IPAM-pool	Een pool met adresruimte in Azure Virtual Network Manager waaruit een spoke-bestand zijn adresruimte kan toewijzen, in plaats van een vast prefix te gebruiken.
AKS Arc (AKS on Azure Local)	Een Kubernetes-cluster dat op Azure Local-hardware draait en via Azure Arc wordt beheerd. Zie AKS Platform.
Agentic Developer Portal	Een optioneel, op Backstage gebaseerd portaal bovenop het platform. Zie Agentic Developer Portal.
Driftrapport	Het geplande rapport van spokes waarvan het plan wijzigingen toont. Zie Configuratie-driftdetectie.