De implementatie valideren

In de validate-fase controleert een tweede persoon de deployment aan de hand van checklists. De deployment engineer kan zijn eigen werk niet valideren. Leg elk resultaat vast, inclusief de mislukte controles en wat ermee is gedaan, in het work item of ticket van de implementatie. Dat dossier is het bewijs dat je bij de overdracht laat zien.

Hoe je valideert

1. Spreek af wie valideert. Gebruik in een zelfbeherend team iemand die de deployment niet heeft gedaan.
2. Maak één work item aan voor de validatie, met de vier checklists hieronder als taken.
3. Werk elke checklist af. Schrijf per item passed, failed of not applicable, een korte notitie en een link naar het bewijs (pipeline-run, screenshot of locatie in de portal).
4. Los elk mislukt item op, of spreek schriftelijk met de klant af het te accepteren, en controleer het opnieuw.
5. Sluit het work item als alle items passed of geaccepteerd zijn.

Minimum en aanvullingen

Rijen 1 tot en met 3 van de security baseline, van de tabellen voor de hub en de spoke canvas, en rijen 1 tot en met 5 van de tabel voor pipelines en agents, zijn de minimale controles uit de oorspronkelijke runbooks. De overige rijen zijn aanvullingen die voortvloeien uit de rest van dit onderdeel. Behoud of verwijder ze naar gelang je kwaliteitsnorm.

Security baseline

#	Controle	Hoe
1	Branch protection zorgt voor het vierogenprincipe	Open de branch policy of ruleset van de default branch van de configuratierepository. Een pull request met minstens één goedkeuring van iemand anders dan de auteur is vereist, en force pushes zijn geblokkeerd.
2	Productieruns hebben goedkeuring nodig	Open de prod-environment (en de productie-environment van de spoke, indien aanwezig). Approvers zijn ingesteld, zelfgoedkeuring staat uit en beheerders kunnen niet omzeilen.
3	Productie en canary gebruiken verschillende service connections of credentials	Vergelijk de service connections (of de federated credentials) die de entry pipelines voor canary en voor prod gebruiken.
4	De coderepository kan niet worden gewijzigd door het afnemersteam of door pipelines	Controleer de ruleset of policy op de coderepository.
5	Het platformteam heeft geen permanente bevoorrechte toegang	De maintainers-groep heeft geen actieve leden. Engineers krijgen toegang via een eligible PIM-toewijzing met goedkeuring (Identiteit voorbereiden).
6	Deployment-secrets zijn veilig opgeslagen, of er worden federated credentials gebruikt	Controleer de secret store, de vervaldatum van elk client secret en wie ze mag lezen.

Cloud platform (hub)

#	Controle	Hoe
1	Alles is gemerged naar main	Geen open implementatiebranches met ongemergede wijzigingen. De default branch is main.
2	Het platform is met de pipelines uitgerold, voor canary en voor prod	Elke layer in elke regio toont een geslaagde run.
3	Een nieuwe run toont geen wijzigingen	Draai hub opnieuw in de modus Plan vanaf main. Het plan toont geen wijzigingen, of alleen de bekende ruis uit Bekende problemen (bijvoorbeeld policy- of Application Gateway-attributen).
4	De gepinde codeversie is de bedoelde release	Dezelfde versie in elke entry pipeline (Versiebeheer).
5	Het ontwerp is terug te zien	De regio's, features, adresbereiken, firewall-SKU en gateways komen overeen met het geaccepteerde ontwerp of de discovery sheet.
6	Alerts en contactpersonen kloppen	De receivers van de action group en het Defender security contact zijn ingesteld op de adressen van de klant (Day-one checklist).

Pipelines en agents

#	Controle	Hoe
1	Alles is gemerged naar main	Zoals hierboven, voor de repositories en pipelines die de runners uitrollen
2	De job runners zijn uitgerold	De infrastructure-run was geslaagd voor canary en voor prod
3	Een nieuwe run toont geen wijzigingen	Draai infrastructure opnieuw. Er worden geen wijzigingen gemeld.
4	De agent pools zijn beschikbaar in het project	Project settings, Agent pools (Azure DevOps), of de runner groups (GitHub), tonen de pools met online agents
5	Een pipeline draaide op de agents en slaagde	De hub-run zelf bewijst dit. Noem de run.
6	De smoke tests zijn geslaagd	Het resultaat van de smoke tests van de pool in de infrastructure-run
7	De mcp image staat in de registry met een versietag	Container Registry, Repositories

Spoke canvas

#	Controle	Hoe
1	Alles is gemerged naar main	Zoals hierboven, voor de spoke-bestanden
2	Een test-spoke is met de pipeline uitgerold	De spoke-run was geslaagd en de spoke is zoals beschreven in Nieuwe spoke
3	Een nieuwe run toont geen wijzigingen	Draai spoke opnieuw voor dat bestand. Het plan toont geen wijzigingen, afgezien van de bekende spoke-ruis (Bekende problemen).
4	Toegang via PIM werkt	Een lid van de teamgroep activeert een spoke-rol en ziet de subscription

Vastlegging van de validatie

Gebruik een tabel als deze in het work item:

Gebied	Controles	Passed	Failed	Geaccepteerde uitzonderingen	Gevalideerd door	Datum
Security baseline
Cloud platform
Pipelines en agents
Spoke canvas

Openstaande punten komen op de lijst van het stuurgrouprapport of in de backlog van het platformteam.