Administrar sua propriedade de nuvem do Azure

Este artigo explica como gerenciar efetivamente seu acervo de nuvem do Azure para garantir a integridade operacional. Você precisa de um forte controle administrativo sobre suas operações de nuvem para garantir que a nuvem se alinhe aos seus objetivos de negócios. Siga estas práticas recomendadas:

Identificar seu escopo de gerenciamento

Determine claramente seu escopo de gerenciamento para cada modelo de implantação e tomar decisões de gerenciamento informadas para seu ambiente de nuvem. A Infraestrutura (IaaS) e os PaaS (serviços de plataforma) operam no Azure. Compare essas responsabilidades com ambientes locais e serviços de software (SaaS). Use esta tabela para identificar suas responsabilidades em cada modelo de implantação.

Gerenciar alteração

A alteração é a fonte mais comum de problemas na nuvem. Como resultado, você precisa de uma abordagem de gerenciamento de alterações que acompanhe as alterações e suas aprovações. Ele também deve detectar alterações não aprovadas e revertê-las para um estado desejado. Siga estas etapas:

1. Desenvolver um processo de solicitação de alteração. Use um sistema formal, como uma ferramenta de emissão de tíquetes, pull request (GitHub ou Azure DevOps) ou formulários designados. O processo de solicitação de alteração deve capturar detalhes importantes, como o tipo de alteração, a identidade do solicitante, o ambiente de destino, o escopo e o motivo. Mantenha procedimentos separados para solicitações de serviço de rotina, como redefinições de senha.

2. Avaliar o risco associado à alteração. Atribuir categorias de risco claras (alta, média, baixa) para equilibrar a velocidade de implantação com o gerenciamento de riscos. Avalie cada alteração de acordo com critérios como tolerância ao tempo de inatividade (orçamento de erro) e criticidade da carga de trabalho. Use a tabela a seguir como exemplo para ajudar a determinar o fluxo de trabalho de aprovação apropriado:

   Nível de risco	Subsídio de tempo de inatividade	Criticidade da carga de trabalho	Processo de aprovação	Exemplo de alterações
   Alto	Nenhum tempo de inatividade permitido	Essas alterações afetam sistemas críticos que exigem disponibilidade contínua com tolerância zero para qualquer tempo de inatividade.	Várias avaliações de engenheiros sênior, alertas automáticos de pipeline, liberação rápida de canário e monitoramento ativo.	Atualizações críticas de infraestrutura
   Médio	Tempo de inatividade curto permitido	Essas alterações afetam sistemas importantes com tolerância limitada para tempo de inatividade.	O pipeline automatizado sinaliza a alteração. Revisão rápida por engenheiros se o monitoramento gerar um alerta.	Atualizações não críticas do sistema, aprimoramentos de recursos durante janelas de manutenção curtas
   Baixo	Amplo tempo de inatividade permitido	Essas alterações afetam sistemas não críticos em que o tempo de inatividade estendido é aceitável sem afetar as operações gerais.	A implantação totalmente automatizada por meio de CI/CD executa testes de pré-implantação e monitoramento.	Atualizações de rotina, atualizações de política secundárias

3. padronizar a aprovação claramente. Definir critérios de aprovação e autoridade necessários em cada nível de risco. Especifique quem deve examinar cada alteração, seja um único aprovador ou um conselho de revisão, e esclareça como os revisores devem fornecer e resolver comentários.

4. Padronizar o processo de implantação. Descrever claramente os procedimentos para compilar, testar e implantar alterações aprovadas na produção. Para obter detalhes, consulte Gerenciar recursos de nuvem.

5. Padronizar o processo pós-implantação. Implementar etapas de monitoramento e validação para confirmar alterações bem-sucedidas. Inclua uma estratégia de reversão clara para restaurar rapidamente o serviço se uma alteração introduzir problemas.

6. Impedir e detectar alterações não autorizadas. Use Change Analysis para detectar alterações de configuração e explicar suas causas subjacentes. Use o Azure Policy para negar e auditar alterações usando efeitos como (Deny, DenyAction), (Audite auditIfNotExists). Se você usar o Bicep, considere usar pilhas de implantação do Bicep para impedir alterações não autorizadas.

Gerenciar segurança

A identidade é seu perímetro de segurança. Use uma plataforma padronizada para verificar identidades, restringir permissões e manter configurações de recursos seguras. Siga estas etapas:

1. Gerenciar identidades. Use o Microsoft Entra ID como sua solução unificada de gerenciamento de identidades. Defina claramente as permissões aplicando o controle de acesso baseado em função (RBAC). Use o Microsoft Entra ID Governance para controlar os fluxos de trabalho de solicitação de acesso, as avaliações de acesso e o gerenciamento do ciclo de vida de identidades. Habilite o Privileged Identity Management para conceder acesso privilegiado just-in-time. Essa estratégia reduz os acessos elevados desnecessários. Gerencie todos os três tipos de identidade (usuário, aplicativo, dispositivo) de forma consistente para garantir a autenticação e a autorização adequadas.

2. Gerenciar o acesso. Use o controle de acesso baseado em função (RBAC) e o controle de acesso baseado em atributo (ABAC) do Azure para conceder a menor permissão necessária para realizar o trabalho. Prefira atribuições de função com base em grupos para limitar a sobrecarga de gerenciamento. Conceda permissões no escopo mais baixo necessário, como assinaturas, grupos de recursos ou recursos individuais. Evite escopos de permissão excessivamente amplos para evitar o escalonamento de privilégios não intencional. Atribua apenas as permissões necessárias para a função de cada usuário.

3. Gerenciar configurações de recursos. Use a infraestrutura como código (IaC) para garantir uma configuração consistente e reproduzível dos recursos. Em seguida, use o Azure Policy para impor padrões organizacionais e avaliar a conformidade. Em seguida, use a Azure Policy para impor configurações seguras de serviços específicos do Azure. Faça referência às linhas de base de segurança para obter diretrizes sobre os recursos de segurança disponíveis e as configurações de segurança ideais. Como um recurso de complemento, use políticas de segurança no Defender para Nuvem para se alinhar aos padrões comuns de segurança.

4. Gerenciar autenticação. Garanta que os usuários adotem uma autenticação forte por meio da autenticação multifator (MFA) e usem a autenticação multifator (MFA) do Microsoft Entra. Sempre exija acesso condicional para impor a autenticação com base na identidade do usuário, na integridade do dispositivo e no contexto de acesso. Configure a redefinição de senha de autoatendimento e elimine senhas fracas.

5. Gerenciar informações de segurança. Use Microsoft Sentinel para informações de segurança e gerenciamento de eventos (SIEM) e orquestração, automação e resposta de segurança (SOAR).

6. Controlar a segurança da carga de trabalho. Para obter recomendações de segurança de carga de trabalho, consulte a lista de verificação de segurança do Well-Architected Framework e guias de serviço do Azure (comece pela seção de segurança)

Gerenciar a conformidade

O gerenciamento de conformidade garante que as operações do Azure permaneçam alinhadas com políticas de governança e padrões regulatórios estabelecidos. Essa prática reduz o risco, protegendo o ambiente contra possíveis violações e configurações incorretas.

1. Entenda suas políticas de governança. políticas de governança definem as restrições de alto nível que suas equipes devem seguir para permanecer em conformidade. Examine as políticas da sua organização e mapeie cada requisito para seus processos operacionais. Se você não tiver políticas de governança, primeiro documente as políticas de governança.

2. Gerenciar conformidade. a imposição de conformidade garante que seu ambiente permaneça alinhado com os padrões organizacionais e regulatórios. Consulte a tabela a seguir para obter recomendações de política.

   Recomendação	Detalhes
   Comece com definições gerais de política	Comece com as definições gerais do Azure Policy, incluindo locais permitidos, tipos de recursos não permitidos e auditar funções RBAC personalizadas.
   Alinhe-se aos padrões regulatórios	Use as definições internas gratuitas do Azure Policy alinhadas com padrões regulatórios como ISO 27001, NIST SP 800-53, PCI DSS, de RGPD da UE

Para obter mais informações, consulte Impondo a conformidade no Azure.

Gerenciar dados

O gerenciamento de dados em operações de nuvem envolve classificar ativamente, segmentar, proteger o acesso e proteger contra exclusão. O controle de dados eficaz protege informações confidenciais, mantém a conformidade e garante a confiabilidade dos dados durante as alterações operacionais.

1. Descobrir e classificar dados. Identificar e categorizar dados de acordo com a confidencialidade e a importância. Essa classificação orienta controles personalizados para cada tipo de dados. Use o Microsoft Purview para governança de dados. Para obter mais informações, consulte Fontes de dados que se conectam ao Microsoft Purview Data Map.

2. Controle a residência de dados . Selecione regiões dentro de sua geografia , como os Estados Unidos ou a Europa, para atender aos requisitos de residência de dados. Verifique as exceções porque determinados serviços do Azure podem armazenar dados fora da região selecionada. Examine regularmente as configurações de residência de dados do Azure e os requisitos de conformidade para manter controle total sobre os dados do cliente.

3. isolar cargas de trabalho internas ("Corp") e voltadas para a Internet ("Online"). Usar grupos de gerenciamento para separar cargas de trabalho internas e externas. Cargas de trabalho internas normalmente exigem conectividade ou conectividade híbrida à sua rede corporativa. As cargas de trabalho externas geralmente não exigem conectividade de rede corporativa e podem precisar de acesso direto à Internet de entrada ou saída. Por exemplo, explore os grupos de gerenciamento "Corp" (interno) e "Online" (voltados para a Internet) na zona de destino do Azure .

4. Impor controle de acesso. Implementar controles de acesso robustos, como o RBAC do Azure e o ABAC, para garantir que apenas funcionários autorizados acessem dados confidenciais com base em classificações definidas.

5. Proteger dados contra exclusão. Usar recursos como exclusão reversível, controle de versão de dados e imutabilidade quando disponível. Implemente o controle de versão do banco de dados e prepare os procedimentos de reversão. Use a Azure Policy para negar explicitamente exclusões de armazenamento de dados (Deny ou DenyAction) ou auditar (Audit ou auditIfNotExists) quaisquer alterações. Se você usar o Bicep, considere usar pilhas de implantação do Bicep para impedir alterações não autorizadas. Use bloqueios de recursos estritamente para evitar modificações ou exclusões não intencionais de dados críticos. Evite usar bloqueios de recursos para proteger as configurações, pois os bloqueios de recursos complicam as implantações de IaC

6. Gerenciar dados de carga de trabalho. Consulte as recomendações do Well-Architected Framework sobre a classificação de dados .

Para obter mais informações, consulte Aplicar governança de dados.

Gerenciar custos

Gerenciar custos em operações de nuvem significa acompanhar os gastos ativamente, tanto centralmente quanto por carga de trabalho. O controle de custos deve fornecer visibilidade das despesas e incentivar os gastos responsáveis. Siga estas etapas:

1. Gerenciar e examinar os custos. usar as ferramentas de Gerenciamento de Custos da Microsoft para monitorar os custos de nuvem. O Azure não tem um mecanismo em toda a assinatura para limitar os gastos em um determinado limite. Alguns serviços, como Espaço de trabalho do Log Analytics do Azure, têm limites de gastos. Sua estratégia de monitoramento de custos serve como sua principal ferramenta para gerenciar despesas.

2. Gerenciar custos da carga de trabalho. Conceda acesso à cobrança às equipes de carga de trabalho. Peça a essas equipes que usem a lista de verificação de Otimização de Custos da Estrutura Bem Projetada.

Gerenciar código e ambiente de execução

Gerenciar código e tempo de execução é uma responsabilidade da carga de trabalho. Faça com que suas equipes de carga de trabalho usem a lista de verificação Excelência Operacional do Well-Architected Framework, que descreve 12 recomendações para controlar o código e o runtime.

Gerenciar recursos de nuvem

O gerenciamento de recursos de nuvem envolve governança, supervisão e manutenção de todos os serviços, implantações e infraestrutura do Azure. Estabeleça protocolos de implantação claros e estratégias proativas de detecção de descompasso para manter a consistência entre ambientes. Siga estas recomendações:

Gerenciar implantações baseadas em portal

Defina protocolos e limites para implantações baseadas em portal para minimizar o potencial de problemas de produção. Siga estas etapas:

1. Definir política de implantação do portal. Garantir que alterações significativas baseadas em portal aderem aos processos de gerenciamento de alterações estabelecidos. Use as implantações do portal principalmente para criação rápida de protótipos, solução de problemas ou pequenos ajustes em ambientes de desenvolvimento e teste. Evite alterações não estruturadas no portal porque essas alterações levam a problemas de descompasso, configurações incorretas e conformidade. Em vez disso, confie em modelos de IaC (infraestrutura como código) controlados por versão para consistência. Para obter mais informações, confira implantações baseadas em código.

2. Diferenciar ambientes. Limitar alterações baseadas em portal estritamente para ambientes de não produção. Permitir a criação rápida exclusivamente em ambientes de desenvolvimento ou teste dedicados e impor controles rigorosos na produção.

3. Restringir permissões do portal. Limitar os recursos de implantação do portal usando o RBAC (controle de acesso baseado em função). Atribua permissões somente leitura por padrão e escalone privilégios somente quando necessário.

   • Conceder acesso just-in-time. Use o Privileged Identity Management (PIM) para acessar recursos do Azure e do Microsoft Entra. Exigir aprovações sequenciais de vários indivíduos ou grupos para ativar o PIM. Reserve funções privilegiadas ("A0" super funções de administrador) exclusivamente para cenários de emergência.

   • Estrutura RBAC baseada no modelo operacional. Projete políticas RBAC adaptadas às equipes operacionais, incluindo níveis de suporte, operações de segurança, plataformas, rede e cargas de trabalho.

   • Auditar todas as atividades. Monitorar e registrar todas as ações em seu sistema. Use a Azure Policy para auditar (Audit ou auditIfNotExists) alterações. Além disso, configure o alerta no Azure Monitor para notificar as partes interessadas quando um recurso do Azure for excluído. Se você usar o Bicep, considere usar pilhas de implantação do Bicep para impedir alterações não autorizadas.

4. Usar modelos controlados por versão. Limite o uso do portal a cenários de emergência ao empregar implantações de IaC. As alterações no portal resultam em descompasso de configuração em relação aos modelos IaC. Replicar imediatamente todas as alterações baseadas no portal em modelos IaC com controle de versão, como Bicep, Terraform ou ARM. Exporte regularmente as configurações de recursos do Azure e armazene-as como IaC para manter ambientes de produção alinhados com configurações aprovadas e rastreáveis. Consulte as diretrizes sobre como exportar configurações do Azure como Bicep, Terraformou modelos ARM. Considere as especificações do modelo se estiver usando modelos ARM.

   Ferramenta	Caso de Uso
   Bicep	IaC específico para Azure, legível e gerenciável
   Terraform	Solução multinuvem, suporte mais amplo à comunidade
   modelos do ARM	Controle total, confortável com JSON

Gerenciar implantações baseadas em código

Adote implantações baseadas em código para automatizar e controlar alterações complexas ou em larga escala. Siga estas etapas:

1. Padronizar ferramentas. usar um conjunto de ferramentas consistente para minimizar a alternância de contexto. Escolha ferramentas de desenvolvedor (VS Code, Visual Studio), um repositório de código (GitHub, Azure DevOps), um pipeline de CI/CD (GitHub Actions, Azure Pipelines) e uma solução IaC (Bicep, Terraform, ou modelos ARM) que funcionam juntos.

2. Usar controle de versão. manter uma única fonte de verdade para seu código. Use o controle de versão para reduzir o descompasso de configuração e simplificar os procedimentos de reversão.

3. Usar pipelines de implantação. Um pipeline de CI/CD automatiza o processo de criação, executa testes e verifica o código em busca de problemas de qualidade e segurança com cada pull request. Use do GitHub Actions ou do Azure Pipelines para criar e implantar o código do aplicativo e arquivos IaC. Imponha ganchos de pré-compromisso e verificações automatizadas para capturar alterações não autorizadas ou de alto risco antecipadamente.

4. Testar implantações. Estabeleça aprovações em suas pipelines de CI/CD para validar implantações progressivamente. Siga esta sequência: desenvolvimento, verificação de criação, testes de integração, testes de desempenho, teste de aceitação do usuário (UAT), preparo, lançamentos canário, pré-produção e, finalmente, produção.

5. Usar IaC (infraestrutura como código). Usar IaC para garantir a consistência e gerenciar implantações por meio do controle de versão. Mova de provas de conceito baseadas no portal do Azure para IaC em ambientes de produção. Use os modelos Bicep, Terraformou ARM para definir recursos. Para o Bicep, use módulos e considere pilhas de implantação. Para o modelo do ARM, considere usar especificações de modelo para implantação com controle de versão.

6. Aplicar práticas recomendadas do repositório de código. Seguir esses padrões reduz erros, simplifica as revisões de código e evita problemas de integração. Para ambientes de produção de alta prioridade:

   Requisito	Descrição
   Desabilitar pushes diretos	Bloquear confirmações diretas na ramificação principal
   Exigir pull requests	Exigir que todas as alterações passem por uma solicitação de pull
   Exigir revisões de código	Verifique se alguém que não seja o autor revisa cada solicitação de pull
   Impor limites de cobertura de código	Garantir que uma porcentagem mínima de código passe em testes automatizados para todos os pull requests
   Usar pipelines de validação	Configure as regras de proteção de branch para executar um pipeline de validação para pull requests

7. Exigir verificações de integração da equipe de carga de trabalho. Verifique se novas bases de código e equipes se alinham com metas de negócios, padrões e práticas recomendadas. Use uma lista de verificação para confirmar a estrutura do repositório de código, os padrões de nomenclatura, os padrões de codificação e as configurações de pipeline de CI/CD.

Gerenciar desvio de configuração

Gerencie o descompasso de configuração identificando e corrigindo discrepâncias entre a configuração pretendida e o ambiente dinâmico. Siga estas práticas recomendadas:

1. Impedir e detectar alterações. Use Análise de Mudanças para detectar alterações de configuração e explicar suas causas subjacentes. Use o Azure Policy para negar e auditar alterações usando efeitos como (Deny, DenyAction), (Audite auditIfNotExists). Se você usar o Bicep, considere usar pilhas de implantação do Bicep para impedir alterações não autorizadas.

2. Detectar desvio de configuração de IaC. O desvio ocorre quando alguém atualiza o arquivo de IaC (intencionalmente ou não intencionalmente) ou faz uma alteração no portal do Azure. Compare regularmente o ambiente dinâmico com a configuração desejada para detectar o descompasso:

   • Armazene as configurações desejadas e a última configuração estável conhecida. Salve seu arquivo de configuração desejado em um repositório com controle de versão. Este arquivo mostra a configuração original pretendida. Mantenha a última configuração estável conhecida como uma referência confiável para reversão e linha de base para detecção de descompasso.

   • Detectar descompasso de configuração antes da implantação. Pré-visualize as possíveis alterações antes da implantação usando plano do Terraform, Bicep what-if ou modelo ARM what-if. Investigue detalhadamente as discrepâncias para garantir que as alterações propostas estejam alinhadas com o estado desejado.

   • Detectar descompasso após a implantação. comparar regularmente ambientes dinâmicos com as configurações desejadas por meio de verificações de descompasso regulares. Integre essas verificações aos seus pipelines de CI/CD ou realize-as manualmente para manter a consistência.

   • Reverter para a última configuração estável conhecida. Desenvolva estratégias de reversão claras que usem procedimentos automatizados no pipeline de CI/CD. Utilize sua última configuração conhecida para reverter rapidamente as alterações indesejadas e minimizar o tempo de inatividade.

   • Minimizar as alterações controladas pelo portal. Minimizar alterações não IaC somente em cenários de emergência. Imponha controles de acesso estritos, como o Privileged Identity Management. Atualize os arquivos IaC imediatamente se forem necessários ajustes manuais para preservar a precisão da configuração desejada.

Gerenciar sistemas operacionais

Quando você usa máquinas virtuais, também precisa gerenciar o sistema operacional. Siga estas etapas:

1. Automatizar a manutenção da máquina virtual. no Azure, use ferramentas de automação para criar e gerenciar máquinas virtuais do Azure. Use a Configuração de Máquina do Azure para auditar ou configurar as configurações do sistema operacional como código para computadores em execução no Azure e híbridos.

2. *Atualizar sistemas operacionais. Você precisa gerenciar atualizações de convidados e manutenção do host para garantir que os sistemas operacionais estejam atualizados para fins de segurança.

3. Monitorar operações de convidado. Use o serviço de Controle de Alterações e Inventário do Azure para aprimorar a auditoria e a governança das operações de convidado. Ele monitora as alterações e fornece logs de inventário detalhados para servidores no Azure, no local e em outros ambientes de nuvem.

Ferramentas de gerenciamento do Azure