Veelvoorkomende aanvragen (standaardwijzigingen)¶
Een standaardwijziging is een vooraf goedgekeurde wijziging met een laag risico en een bekende procedure. Elk onderstaand runbook beschrijft:
- de aanvraagvelden die je verzamelt
- de bestanden die je aanpast en wat elke aanpassing in Azure doet
- de pipeline die je draait
- controlestappen
- rollback-stappen
Elk runbook bouwt voort op de algemene procedure in Veilig een wijziging doorvoeren. Reviewers gebruiken de checklist in Review van pull requests en de runbooks voor reviewers en operators. Voor firewallregels, naamgeving, prioriteiten en IP groups, zie de richtlijnen voor firewallregels en IP groups. Het proces rond een aanvraag (intake, statussen, wie wat doet, categorieën) staat in Het standaardwijzigingsproces. Om de JSON-bestanden in je editor te bewerken met suggesties en validatie, zie De JSON-bestanden bewerken met schema-ondersteuning.
De twee aanvragen die het vaakst binnenkomen zijn standaardwijzigingen op de hub (firewallregels, App Gateway, policies, tags) en het toevoegen van een regio. Consumententeams doen deze aanvragen via het aanvraagproces voor consumenten.
| # | Standaardwijziging | Runbook | Bestanden die je aanpast | Pipeline | Hub layer |
|---|---|---|---|---|---|
| 1 | Nieuwe workload / spoke / application landing zone (spoke canvas) | Nieuwe spoke | <env-folder>/spokes/**/<file>.json (nieuw) |
spoke |
– |
| 2 | Verwijderen van workload / spoke / application landing zone | Spoke verwijderen | spoke-JSON (daarna verwijderd) | spoke-destroy |
– |
| 3 | Wijzigingen aan spoke canvas (RBAC-eigenaar, service principal, netwerk, …) | Spoke wijzigen | bestaande spoke-JSON | spoke |
– |
| 4 | Aanmaken en wijzigen van tags (hub) | Hub-tags | <region>/<layer>.auto.tfvars (*_tags-variabelen) |
hub |
layer van de getagde resource |
| 5 | Verwijderen van tags (hub) | Hub-tags | idem | hub |
idem |
| 6 | Nieuwe firewallregels toevoegen | Firewallregels | firewall_rule_configuration/*.json, ip_groups/*.json |
hub |
firewall |
| 7 | Firewallregels wijzigen | Firewallregels | idem | hub |
firewall |
| 8 | Workload toevoegen aan Application Gateway | Application Gateway | application_gateways/*.json, web_application_firewall_policies/*.json |
hub |
connectivity |
| 9 | Wijzigingen aan workloadconfiguratie binnen Application Gateway | Application Gateway | idem | hub |
connectivity |
| 10 | Nieuwe Azure sandbox-subscription | Sandbox-subscription (in ontwikkeling) | foundation.auto.tfvars |
hub |
foundation |
| 11 | Nieuwe Azure Policy-toewijzing | Policy-toewijzingen | policies/policy_assignments/0x_*/*.json |
hub |
postdeployment |
| 12 | Beheerde Azure Policy-toewijzing bijwerken | Policy-toewijzingen | idem | hub |
postdeployment |
| 13 | Een beheerde policy-initiative toewijzen aan een management group | Beheerde initiative op een management group | policy_assignments/01_management_groups/*.json (+ definities) |
hub |
foundation + postdeployment |
| 14 | Features / resources van de Azure Cloud Landing Zone bijwerken | Platformfeatures | <region>/<layer>.auto.tfvars (feature flags) |
hub |
layer van de feature |
| 15 | Beheerde monitoringregels toewijzen / verwijderen | Monitoringregels | postdeployment.auto.tfvars, spoke-JSON-tags |
hub of spoke |
postdeployment |
| 16 | Een regio toevoegen aan de hub | Regio toevoegen | global.auto.tfvars, nieuwe <region>/-map |
hub |
alle layers |
| 17 | Een certificaat van een gepubliceerde workload vernieuwen of vervangen | Certificaat vervangen | geen (Key Vault), of application_gateways/*.json als de secret-URI een versie heeft |
hub (alleen als de JSON wijzigt) |
connectivity |
| 18 | Inkomende toegang via een firewall DNAT-regel (bijvoorbeeld SFTP) | Firewallregels | firewall_rule_configuration/*.json |
hub |
firewall |
| 19 | Een IP group aanmaken of wijzigen | IP groups | ip_groups/*.json |
hub |
firewall |
| 20 | Policy-uitzondering (en review van aflopende uitzonderingen) | Policy-uitzonderingen | policies/policy_exemptions/0x_*/*.json |
hub |
postdeployment |
| 21 | DNS conditional forwarder(s) toevoegen | DNS conditional forwarder | <region>/connectivity.auto.tfvars (private_dns_resolver_forwarding_rules) |
hub |
connectivity |
Aanvraagvelden die voor elke standaardwijziging gelden¶
| Veld | Verplicht | Gebruik |
|---|---|---|
| Onderbouwing | ja | Waarom de wijziging nodig is. Komt in de pull request-beschrijving en het wijzigingsrecord. |
| Omgeving | ja | Welke platformomgeving (canary, prod) of, voor spokes, welke spoke-omgeving (dev, tst, acc, prd, shared). |
| Opmerkingen | nee | Al het andere dat de uitvoerder moet weten. |
De wijzigingsspecifieke velden staan in elk runbook.
Scopegrenzen¶
Deze regels komen voort uit het verantwoordelijkhedenmodel van het platform. Houd ze aan als je het platform zelf beheert:
- Spoke-tags zijn eigendom van het workloadteam en worden gezet in het
tags-blok van de spoke-JSON. Ze zijn geen standaardwijziging op de hub. - Policy-initiatives op één enkele spoke zijn de verantwoordelijkheid van het workloadteam. Standaardwijzigingen gaan alleen over toewijzingen van beheerde initiatives op management group-niveau.
- Feature switches gaan over features die al in de codebase bestaan. Een feature waarvoor nieuwe Terraform nodig is, is een ontwikkelwijziging in de coderepository, geen standaardwijziging.