Wat het platform deployt: catalogus van Azure-resources¶

Een naslag van de Azure-resources die de hublayers deployen, met de layer en de schakelaar die elke resource aanstuurt. Gebruik haar om de vraag "hoort dit bij het platform?" te beantwoorden, om een inventarisatie af te bakenen (Assetbeheer) en om de flag te vinden waarmee je een functie aan- of uitzet.

Deze pagina is een kaart. De instellingen staan in de feature flags-referentie, de volgorde van de layers staat in Deployment layers, en de manieren om een functie te wijzigen staan in Platformfuncties.

Welke resources er bestaan, hangt af van je configuratie

De meeste resources zijn optioneel en worden alleen aangemaakt als hun flag aan staat. De voorbeelddefaults in de referentie zijn niet jouw configuratie. Lees je <region>/<layer>.auto.tfvars-bestanden.

Netwerk¶

Azure-resource	Rol in het platform	Layer	Schakelaar
Virtual WAN	Wereldwijd transitnetwerk dat regio's, vestigingen, gebruikers en spokes verbindt	`connectivity`	`create_virtual_wan`
Virtual hub	De regionale hub in de Virtual WAN. Een secured hub draagt de firewall	`connectivity`	`use_virtual_hub_module`
Hub virtual network	Subnets, network security groups en route tables van de hub (Bastion, DNS resolver, Application Gateway)	`connectivity`	`use_virtual_network_hub_module`
Management- en identity-virtual networks	Netwerken van de management- en identity-subscriptions, verbonden met de hub	`management`, `identity`	`create_virtual_network`
VPN gateway (site-to-site)	Versleutelde connectiviteit naar on-premises locaties	`connectivity`	`create_vpn_gateway`
Point-to-site VPN gateway	Gebruikers en ontwikkelaars op afstand, zie Developer-toegang	`connectivity`	`create_point_to_site_vpn_gateway`
ExpressRoute circuit, gateway en connection	Private connectiviteit naar on-premises	`connectivity`	`use_express_route_circuit_module`, `create_express_route_gateway`, `create_express_route_connection`
Klassieke virtual network gateway	Een gateway buiten de Virtual WAN	`connectivity`	`use_virtual_network_gateway_module`
Private DNS resolver en forwarding ruleset	Hybride DNS: conditional forwarding tussen Azure en on-premises (DNS-ontwerp)	`connectivity`	`create_private_dns_resolver`, `create_private_dns_resolver_dns_forwarding_ruleset`
Private DNS-zones	De centrale `privatelink.*`-zones voor private endpoints	`connectivity`	`create_private_dns_zones`
Azure Bastion	RDP en SSH naar VM's zonder publieke IP's, via de browser	`connectivity`	`create_bastion_host`
Network Watcher	Netwerkdiagnostiek	`connectivity`	`create_network_watcher`
DDoS protection plan	Bescherming van publieke IP's op gekoppelde virtual networks	`foundation`, gekoppeld in `connectivity`/`management`	`create_network_ddos_protection_plan`, `virtual_network_hub_ddos_protection_plan_enable`
Azure Virtual Network Manager (optioneel)	IPAM-pools en security admin rules	`foundation`, `firewall`	`deploy_network_manager`, `deploy_network_manager_security_admin_rules`

Netwerkbeveiliging en application delivery¶

Azure-resource	Rol in het platform	Layer	Schakelaar
Azure Firewall	Centrale filtering van verkeer tussen spokes, naar on-premises en naar internet, met DNS proxy	`connectivity`	`use_firewall_module`
Firewall policy	De policy die de rule collection groups bevat	`connectivity`	`use_firewall_policy_module`
IP groups, rule collection groups, regels	Network-, application- en NAT-regels uit JSON	`firewall`	Altijd, tenzij `use_third_party_firewall_solution` (Firewallregels)
Application Gateway	Layer 7-loadbalancing, TLS-terminatie en publicatie van webworkloads	`connectivity`	`use_application_gateway_module`
Web Application Firewall policies	Bescherming van de gateway tegen veelvoorkomende webaanvallen	`connectivity`	`use_web_application_firewall_policy_module`
Publieke IP-adressen	Voor de gateway, VPN en andere publieke endpoints	`connectivity`	Samen met hun resource

Governance en security¶

Azure-resource	Rol in het platform	Layer	Schakelaar
Management groups	De hiërarchie waar policies en RBAC doorheen overerven	`foundation` (één keer per tenant)	`management_group_structure`
Policy definitions en initiatives	Custom policies en initiatives uit JSON	`foundation`	Bestanden in de policymappen
Policy assignments en remediation	Ingebouwde compliance-initiatives, custom assignments, remediation tasks	`postdeployment`	Bestanden in de assignmentmappen; `automatically_start_policy_remediation`
Policy exemptions	Tijdelijke uitzonderingen op vier scopes	`postdeployment`	Bestanden in de exemptionmappen (Uitzonderingen)
Private DNS-zonepolicies	Registreren private endpoints in de centrale zones	`foundation` definities, `postdeployment` assignment	`enable_private_dns_zone_policies`
Microsoft Defender for Cloud	Securityposture en bedreigingsbescherming voor de platformsubscriptions, optioneel voor spokes	`postdeployment`	`enable_defender_for_cloud_for_spokes`; instellingen via policy
Key Vault	Secrets, keys en certificaten voor het platform en de gateway	`management`, `connectivity`	`use_management_module`
Role assignments en managed identities	Toegang voor de pipelines en de gateway	Per layer	Samen met hun resource

Monitoring en operations¶

Azure-resource	Rol in het platform	Layer	Schakelaar
Log Analytics workspace	Centrale logs en queries (KQL). Retentie en daglimiet zijn instellingen	`management`	`use_management_module`
Diagnostic settings	Sturen logs en metrics naar de workspace, meestal via policy	`postdeployment` en policy	Policy assignments
Action groups	Ontvangers van alerts	`foundation`	Ontvangervariabelen (Monitoring uitrollen)
Alert rules en alert processing rules	Baseline-alerts en routing	`foundation`, `connectivity`, `identity`, `management`, `postdeployment`	`enable_activity_log_alerts`, `alerting_management_groups` (Hoe alerting werkt)
Hub 24/7-alertroute	Aparte action group en processing rule voor alerts buiten kantooruren	`connectivity`	`hub_247_support.enabled`
Automation account	Runbooks voor operationele taken	`management`	`use_management_module`
Storage account	Opslag van diagnostische logs	`management`	`create_storage_account`
Microsoft Sentinel	SIEM op de Log Analytics workspace	`management`	`deploy_sentinel`

Optionele layers die geen deel uitmaken van de hubpipeline¶

Layer	Doel
`ghrunners`	Een virtual network met network security groups voor self-hosted GitHub Actions-runners, zodat runners Azure via private endpoints bereiken
`policy_exemptions`	Policy exemptions met einddatum. De `postdeployment` layer deployt exemptions op dit moment
Shared services-addons	Application Gateway, container registry, container agent pool en meer in een shared services-spoke, uitgerold vanuit een eigen pipeline. Zie Shared services

Zie Deployment layers.

Meerdere regio's¶

Scope	Resources
Eén keer per tenant of platformomgeving	Management groups, policy definitions en assignments, alertinitiatives, de Virtual WAN en de private DNS-zones, die globale resources zijn
Per regio	Een virtual hub met firewall, de regionale action groups, het hub virtual network met gateways, DNS resolver en Application Gateway, en de management- en identity-netwerken

Een platform kan in één regio draaien of in meerdere, en in elke combinatie van publieke Azure-regio's (Een regio toevoegen, Regio-uitbreiding).

DNS-dekking voor private endpoints¶

Het platform deployt de privatelink.*-zones en policies zodat private endpoints in de centrale zones worden geresolved zonder handmatig DNS-werk (DNS-ontwerp). Een configuratietest controleert dat de zones die connectivity aanmaakt en de zones die de policies gebruiken op elkaar blijven aansluiten, zodat ze niet uit elkaar kunnen driften.

Gedekte servicefamilies:

Familie	Services
Storage	Blob, File, Queue, Table, Data Lake Storage
Databases	SQL Database, SQL Managed Instance, Cosmos DB, MySQL, PostgreSQL, MariaDB
Data en analytics	Synapse Analytics, Data Factory, Event Hubs, Service Bus, Data Explorer
AI en machine learning	Cognitive Services, Azure OpenAI, AI Foundry, Machine Learning, Bot Service
Web en mobiel	App Service, Function Apps, Static Web Apps, API Management
Integratie	Event Grid, Service Bus, Relay
Security	Key Vault, Managed HSM, App Configuration
IoT	IoT Hub, Digital Twins, Device Provisioning, IoT Central
Management	Automation, Backup, Site Recovery, Azure Monitor private link scope, Azure Arc

Goed om te weten:

Sommige zones zijn regioafhankelijk (bijvoorbeeld voor AKS, Container Apps, Data Explorer en Backup). De code vult ze aan met de regionaam en -code.
Static Web Apps gebruiken een partitienummer in de zonenaam. Connectivity maakt de zones voor partitie 0 tot en met 10 vooraf aan, en de policy koppelt aan de juiste.
Services die meerdere zones in één zone group nodig hebben (Azure Monitor private link scope, Azure Arc, Machine Learning, Power BI, Data Explorer, Redis Enterprise, Managed Redis) hebben eigen policymodules.
Cognitive Services, Azure OpenAI en AI Foundry zijn bijzondere gevallen met expliciete zone-ID's.
De policies voor SQL Managed Instance en Data Explorer slaan remediation over als de juiste zone al is geconfigureerd.
IoT Hub heeft twee private endpoints nodig: één voor device- en servicetraffic (privatelink.azure-devices.net) en één voor het Event Hubs-compatibele endpoint (privatelink.servicebus.windows.net).
De validatie dekt alleen de publieke Azure-cloud.

Resource providers¶

Het platform vereist dat deze resource providers zijn geregistreerd: Microsoft.Network, Microsoft.Compute, Microsoft.Storage, Microsoft.KeyVault, Microsoft.OperationalInsights, Microsoft.Insights, Microsoft.Automation, Microsoft.Security, Microsoft.Authorization, Microsoft.Management en Microsoft.ResourceGraph. De foundation layer registreert resource providers (Deployment layers). Registreer ze in een subscription die de layer niet beheert eerst zelf. Sinds v4.5.1 bestaat er een script om resource providers te registreren voor nieuwe implementaties (geschiedenis).

Logs en Defender¶

Deze resources sturen logs naar de Log Analytics workspace: activity logs, Azure Firewall, Application Gateway, Key Vault en storage accounts. Defender for Cloud dekt servers, SQL-databases, storage accounts, Key Vaults, container registries en Kubernetes-services waar het is ingeschakeld.