Releasegeschiedenis¶
Een beknopte geschiedenis van het platform, gegroepeerd per generatie. Ze laat zien wat elke major en minor versie bracht, welke wijzigingen handmatige stappen vereisten en waar het platform van richting veranderde. Patchversies zijn gegroepeerd. Work item-nummers en versietabellen per klant zijn bewust weggelaten.
Voor de handmatige stappen zelf, zie de upgradehandleidingen voor het platform. Voor de nummeringsregels, zie Releasen.
Versies die handmatige stappen vereisten¶
| Upgrade naar | Wat je handmatig moest doen | Handleiding |
|---|---|---|
| v4.4.0 | Bestanden van policy assignments, definities en initiatives verwijderen; state storage overrides instellen als die niet standaard zijn; twee policy-objecten in de portal verwijderen | v4.4.0 |
| v4.5.0 | De entry pipeline aanpassen: de configuratierepository als resource toevoegen en publiceren als artifact (single-pipeline-opzet) | v4.5.0 |
| v4.5.1 | De custom alerting policy assignments en initiatives in de portal verwijderen, en de Deploy_* policydefinities met een commando |
v4.5.1 |
| v4.6.0 en v4.6.1 | Een bestand ghrunners.auto.tfvars toevoegen per omgeving en regio |
v4.6.x |
| v4.7.0 | Drie Defender for Cloud policy assignments in de portal verwijderen | v4.7.0 |
| v4.9.0 | Bestandspaden in elk tfvars-bestand inkorten, een firewallvariabele toevoegen, een parameter environment uit de entry pipeline verwijderen |
v4.9.0 |
| v4.11.x | Oude bestanden voor private DNS en BIO policies verwijderen; twee assignments en twee initiatives in de portal verwijderen | v4.11.x |
| v4.12.x | De private DNS zones assignment en initiative in de portal verwijderen; ervoor zorgen dat elke Application Gateway-JSON een geldige firewall_policy_id heeft |
v4.12.x |
Alle andere versies in deze geschiedenis vereisten geen bijzondere stappen, voor zover de upgradehandleidingen laten zien.
Versie 2.x: het eerste landing zone-product¶
Vóór Terraform. Versies 2.0 tot en met 2.2 bouwden de hub en voegden een spoke-deployment toe.
| Versie | Type | Highlights |
|---|---|---|
| 2.0 | Major | Private DNS Resolver vervangt de DNS proxy-virtuele machines (een IaaS-component vervangen door een PaaS-component). Structuur van management groups vanuit de parameterbestanden. Standaard policies, dynamische policy assignment en optionele BIO-compliancepolicies. Alerts op het activity log. Standaardparameters om parameterbestanden te verkorten. Azure Firewall-SKU als parameter. Network Watcher in de deployment. Aparte subscriptions voor connectivity en management zijn mogelijk. |
| 2.0.1 | Patch | Fix voor de deployment van private DNS zones. |
| 2.1 | Minor | Een gedeelde Application Gateway die meerdere teams, applicaties of omgevingen kunnen gebruiken. |
| 2.1.1 tot 2.1.3 | Patch | Roltoewijzing voor de diagnostic settings policy. VNet peering zonder virtual network gateway. SSL-certificaten, parameters en optionele deployment voor de Application Gateway. Een deployment selector voor de DNS Private Resolver. Een probleem met een gedeelde Log Analytics workspace in green/brownfield-deployments. |
| 2.2.0 | Minor | Virtual WAN. Bastion in de hub (eenmaal uitgerold, in prod, in plaats van tweemaal). ExpressRoute circuit. DNS proxy op de Azure Firewall die doorstuurt naar de Private DNS Resolver. Spoke-deployment. Een aparte pipeline voor firewallregels vanwege tijdslimieten. Optioneel DDoS protection plan. Een resource health alert. |
Versie 3.x: Terraform¶
| Versie | Type | Highlights |
|---|---|---|
| 3.0 | Major | Terraform vervangt de vorige infrastructure-as-code-taal. Deployments wijzigen alleen wat veranderd is, met betere Entra ID-ondersteuning en meer automatiseringsmogelijkheden. Verbeterde Azure DevOps-agents met een nieuwe pipeline. De bootstrapper is verwijderd. Optionele overrides voor de naamconventie. Betere generieke firewallregels. Een nieuwe methode voor disk-alerts van virtuele machines. Fixes zodat de centrale Bastion voor spokes werkt. |
| 3.1 | Minor | Alerting op basis van Azure Policy, ook voor spokes. Een WAF policy-resource vervangt de inline WAF. De canary-omgeving kan na een geslaagde productiedeployment automatisch worden verwijderd, wat kosten verlaagt. Private agents kunnen Key Vaults en storage accounts bereiken. Meer naming overrides. |
| 3.2 | Minor | Automatische provisioning van de Log Analytics-agent voor Secure Score. Basis point-to-site VPN. Een pipelinetemplate die canary automatisch vernietigt. Een bootstrapper-stage voor de structuur van management groups. Private DNS policy voor private endpoints bijgewerkt, en een private DNS zone voor Azure OpenAI-services. Key Vaults en storage accounts van de hub verliezen publieke toegang en accepteren het agent-subnet. Sentinel en Defender for DevOps achter feature flags. Variabele voor de virtual hub-SKU. Terraform-bestanden gebruiken bestandsnamen in plaats van volledige paden. Bijgewerkte Defender-plannen. |
| 3.2.1 | Patch | De retentie van Key Vault soft delete is een variabele. Root certificates in de backend HTTP settings van de Application Gateway. |
Er zijn geen release notes voor versies 3.3 tot en met 4.3.
Versie 4.x: remote sync, policy as code en GitHub¶
4.4: de coderepository neemt policy en monitoring over¶
Versie 4.4.0 verplaatste een groot deel van de policy- en monitoringconfiguratie van de parameterrepository van de klant naar de coderepository. Het vereiste handmatige opschoning.
| Gebied | Wijziging |
|---|---|
| Codedistributie | Kopieën van de coderepository bij klanten worden bij een release automatisch gesynchroniseerd, met authenticatie via een service principal (Codesynchronisatie) |
| Compliancepolicy | Compliance policy sets worden rechtstreeks vanuit de coderepository toegewezen. Sommige resourcetypen zijn uitgesloten van de diagnostic policy om false positives te voorkomen |
| Diagnostics policy | De ingebouwde diagnostic policy set vervangt de custom set. Logs gaan naar een Log Analytics workspace in dezelfde regio als de resource |
| Exemptions | Automatisch exemptionbeheer voor de hub, gebaseerd op de standaarddeployment, met decision records |
| Defender for Cloud | Geconfigureerd met Azure Policy in plaats van Terraform-code |
| Monitoring | Azure Monitor Baseline Alerts (AMBA) uitgerold vanuit de coderepository (Hoe alerting werkt) |
| Compliance van de managementlaag | Storage accounts: geen publieke toegang, alleen HTTPS, geen toegang via shared key, infrastructure encryption, geen publieke toegang tot geneste items, customer-managed keys |
Patchversies 4.4.1 tot en met 4.4.12 losten vooral vier gebieden op:
| Gebied | Versies | Wat |
|---|---|---|
| Certificaten van de Application Gateway | 4.4.1, 4.4.8 tot 4.4.10 | Certificaten kunnen een wachtwoord gebruiken dat in een Key Vault staat. Fixes voor Let's Encrypt-certificaten (account key, private key, uitgifte, en een gateway die een certificaat probeerde te lezen voordat het was opgeslagen) |
| Self-hosted agent pools | 4.4.1, 4.4.6, 4.4.7, 4.4.11 | Aparte pools voor canary en productie. Elke layer gebruikt de opgegeven pool in plaats van publieke agents. Optie om een statisch publiek IP toe te staan voor Key Vault data plane-toegang vanuit de pool |
| Policy | 4.4.1 tot 4.4.5 | Policy reference IDs gevonden via weergavenamen. Policy-deployments verplaatst naar een andere layer vanwege afhankelijkheden. Automatische remediation in de post-deployment-layer. Exemption-verwijzingen gefixt |
| Opschoning en automatisering | 4.4.2, 4.4.3 | Verouderde auto-provisioning van Security Center verwijderd. Geautomatiseerde documentatie met pre-commit hooks. Betere canary destroy-pipeline. Documentatie voor standaardwijzigingen (4.4.1) |
Versie 4.4.12 voegde een optie toe waarmee private link DNS zones terug kunnen vallen op internetresolutie, een alert processing rule voor de beherende partij, een firewallregel voor agents tijdens de firewalldeployment, en geforceerde herauthenticatie van de apply-stap zodat federated credentials kunnen worden gebruikt.
4.5 en 4.6: GitHub-ondersteuning¶
| Versie | Type | Highlights |
|---|---|---|
| 4.5.0 | Minor | De platformconfiguratie kan uit GitHub komen. Forced tunnelling voor point-to-site VPN. Vereiste een pipeline-aanpassing. |
| 4.5.1 | Patch | AzureRM provider 4.37.0. Bijgewerkte AMBA alert policies (vereisten opschoning in de portal). Een instelling om de automatische remediation van policy assignments te sturen. De plan-stage draait tijdens de CI van pull requests. Een script dat resource providers registreert voor nieuwe implementaties. Meerdere WAF policies worden correct uitgerold. Activity log alerts gebruiken de globale locatie. |
| 4.5.2 tot 4.5.5 | Patch | Fixes: eigenschappen van virtual network en BGP peering in tfvars, een WAF-eigenschap request_body_enforcement, een verkeerde moduleafhankelijkheid, DPD-timeout van de VPN-verbinding. Een feature flag om Azure Firewall-regels over te slaan als een firewall van een derde partij wordt gebruikt. Een langere timeout voor de eerste deployment van de connectivity-layer. Private DNS zones voor alle static web app-instances. |
| 4.6.0 | Minor | Een extra layer met het netwerk voor door GitHub gehoste runners. GitHub workflows om vanuit GitHub te deployen. Een dubbele alert action assignment verwijderd. Een private DNS zone voor Azure AI-services. Vereiste een nieuw tfvars-bestand. |
| 4.6.1 | Patch | Een ontbrekende voorwaarde liet de deployment falen als de GitHub runner-layer niet gewenst was. |
4.7 tot en met 4.12¶
Voor deze versies zijn er geen release notes. Wat de upgradehandleidingen en de huidige code laten zien:
| Versie | Wat is veranderd |
|---|---|
| 4.7.0 | De Defender for Cloud v2 policy assignments van de connectivity-, identity- en management-scopes zijn uit het platform verwijderd (handleiding) |
| 4.9.0 | Bestandspaden in tfvars beginnen niet meer met de checkoutmap van de configuratierepository. De firewall-layer heeft een variabele voor de globale regelmap. De omgeving is geen parameter meer van de entry pipeline-templates (handleiding) |
| 4.11.x | De oude private DNS policydefinities en initiatives, en de custom BIO-initiative, worden niet meer bewaard in de configuratierepository. Hun bestanden worden verwijderd, en een oude alerting- en een oude DNS-assignment en -initiative worden in de portal verwijderd (handleiding) |
| 4.12.x | De private DNS zones initiative is vervangen, en de Application Gateway-JSON heeft een geldige firewall_policy_id nodig (handleiding) |
Latere wijzigingen zijn zichtbaar in de huidige pipeline-opzet: de entry pipelines hub, spoke, infrastructure en
container, GitHub Actions workflows naast Azure DevOps-pipelines, en multi-region hubs. Zie
Pipelines en workflows.
Versies van de spoke canvas¶
De spoke canvas was vroeger een apart product met eigen versies (v2.x). Vandaag maakt ze deel uit van de coderepository (Woordenlijst). De onderstaande notities komen uit het aparte product.
| Versie | Type | Highlights |
|---|---|---|
| 2.5.7, 2.5.8 | Patch | Rol Key Vault crypto officer voor de deployment principal (customer-managed key op het storage account). De volledige lijst PIM-groepen wordt gebruikt, niet alleen de laatste. Een private endpoint network policy zodat private endpoints de routes van de hub gebruiken. Een fix voor bestandsnamen van de drift-pipeline |
| 2.6.0 | Minor | Federated credentials met workload identity federation. Een spoke-configuratie kan worden uitgecheckt uit een andere repository (bijvoorbeeld GitHub). De Terraform state container wordt aangemaakt als hij ontbreekt. |
| 2.7.0, 2.7.1 | Minor, patch | Een centrale Entra ID-groep wordt aangemaakt en beheerd om toegang te geven tot gedeelde resources. Een fix: Entra-groepen werden gefilterd in plaats van gezocht op hun exacte naam |
| 2.8.0 tot 2.8.2 | Minor, patch | Meerdere private endpoints per storage account. Betere pipelinetemplates voor bestandspaden met spaties. Update van het EasyPIM-script. Een script en handleiding voor configuratie van billing export. Instellingen voor custom DNS-servers (optioneel, lijstgebaseerd). Wijzigingen aan required_resource_access van de spoke service principal worden genegeerd |
| 2.9.0, 2.9.1 | Minor, patch | GitHub workflows. Spoke extensions voor Azure Container Registry, Communication Services, API Management, Service Bus en Event Hub (later ook GitHub-integratie), vastgepind op versietags. De oude IPAM-configuratie is verwijderd (handleiding). private_link_service_network_policies_enabled kan per subnet worden ingesteld. Een fix voor driftdetectie |
| 2.10.0 | Minor | PIM-configuraties worden gedefinieerd in de gemeenschappelijke configuratie (handleiding) |
Spoke canvas-mogelijkheden die na v2.10.0 zijn gedocumenteerd¶
De documentatie van het spoke canvas beschrijft ook de volgende mogelijkheden. De versie waarin elk ervan is geïntroduceerd, is niet vastgelegd. Controleer de release notes van de codeversie die je pint voordat je erop vertrouwt.
| Mogelijkheid | Wat het doet |
|---|---|
| Schakelaars voor Key Vault en storage account | deploy: false laat de Key Vault of het storage account weg. Het storage account dwingt altijd een Key Vault af (Spoke canvas) |
| Federated credentials voor de Azure DevOps service connection | useFederatedCredentials: true voorkomt een secret voor de service principal |
| GitHub-extensie | Een GitHub-repository met federated credentials voor de spoke, met GitHub App-authenticatie |
| PIM-rolmap voor Key Vault en storage | Permanente leestoegang en voor PIM eligible verhoogde rollen, toegewezen op subscriptionscope, met overrides (Spoke canvas) |
| IPAM-pools | Spoke-bestanden kunnen adresruimte toewijzen uit Azure Virtual Network Manager IPAM-pools in plaats van vaste prefixes |
| Subscription provisioning | Een aparte stap die de subscription voorbereidt (ontwerp) |
| Configuratiedriftrapport | Een geplande plan per spoke die verschillen rapporteert (ontwerp) |