Die letzte Lektion drehte sich um das Physische: Rechenzentren, Zonen, Regionen. Diese Lektion behandelt das Gegenstück, die Ordnung der eigenen Azure-Umgebung. Wer ein paar virtuelle Maschinen anlegt, braucht dafür kaum Struktur. Wer aber viele Teams, mehrere Umgebungen und eine gemeinsame Rechnung hat, muss entscheiden, wo was liegt, wer was darf und wer was bezahlt. Azure bietet dafür vier Ebenen: Ressourcen, Ressourcengruppen, Abonnements und Verwaltungsgruppen.
Ressourcen
Eine Ressource (resource) ist der Grundbaustein in Azure. Alles, was Sie anlegen oder bereitstellen, ist eine Ressource: eine virtuelle Maschine, ein virtuelles Netzwerk, eine Datenbank, ein Speicherkonto, eine Web-App. Eine Ressource gehört immer zu genau einer Ressourcengruppe.
Ressourcengruppen
Eine Ressourcengruppe (resource group) ist ein Container für zusammengehörige Ressourcen. Microsoft nennt dazu folgende Regeln:
- Jede Ressource liegt in genau einer Ressourcengruppe. Sie können eine Ressource später in eine andere Gruppe verschieben.
- Ressourcengruppen lassen sich nicht schachteln, und sie lassen sich nach dem Anlegen nicht umbenennen. Ein klares Namensschema lohnt sich also von Anfang an.
- Wenn Sie eine Ressourcengruppe löschen, werden alle Ressourcen darin gelöscht.
- Zugriffsrechte, Richtlinien und Sperren, die Sie auf die Gruppe anwenden, gelten für alle Ressourcen darin.
- Eine Ressource darf mit Ressourcen in anderen Gruppen zusammenarbeiten, zum Beispiel eine Web-App mit einer Datenbank aus einer anderen Gruppe.
Als Faustregel gilt: In eine Gruppe gehört, was denselben Lebenszyklus hat, also zusammen bereitgestellt, geändert und gelöscht wird. Ein Testaufbau für eine Woche gehört in eine eigene Gruppe. Dann räumen Sie ihn mit einem Klick komplett weg.
Eine Ressourcengruppe hat selbst einen Standort. Sie speichert Metadaten über ihre Ressourcen, und der Standort legt fest, wo diese Metadaten liegen. Die Ressourcen in der Gruppe dürfen in anderen Regionen liegen, Microsoft empfiehlt aber denselben Standort. Markierungen (Tags), die Sie auf eine Gruppe setzen, erben die Ressourcen darin nicht.
Abonnements
Wer Azure nutzt, braucht ein Abonnement (subscription). Es ist nach Microsofts Beschreibung eine Einheit für Verwaltung, Abrechnung und Skalierung. Es gewährt Zugriff auf Azure-Dienste und ist die Einheit, auf die abgerechnet wird. Ein Abonnement ist nicht selbst teuer: Kosten entstehen durch die Ressourcen darin. Ein Abonnement vertraut einem Microsoft-Entra-Mandanten (tenant), der die Benutzer und Geräte anmeldet. Ein Mandant kann viele Abonnements haben, ein Abonnement vertraut aber nur einem Mandanten.
Zwei Arten von Grenzen machen Abonnements nützlich:
- Abrechnungsgrenze: Für jedes Abonnement erzeugt Azure eigene Rechnungen und Berichte. Wer Kosten getrennt sehen will, legt ein weiteres Abonnement an.
- Zugriffsgrenze: Zugriffsregeln gelten auf Abonnementebene. Ein Abonnement für die Entwicklung und eines für den Betrieb können unterschiedliche Regeln und Ausgabengrenzen haben.
Typische Gründe für mehrere Abonnements sind getrennte Umgebungen (Entwicklung, Test, Produktion), getrennte Teams oder Arbeitslasten und getrennte Abrechnung. Ein Abonnement ist übrigens nicht an eine Region gebunden: Sie brauchen kein eigenes je Region.
Verwaltungsgruppen
Mit vielen Abonnements wird es mühsam, jedes einzeln zu regeln. Eine Verwaltungsgruppe (management group) steht über den Abonnements. Sie ordnen Abonnements in Verwaltungsgruppen ein und legen Regeln auf die Gruppe. Alle Abonnements darin erben diese Regeln automatisch. Zwei Beispiele aus Microsofts Unterlagen:
- Eine Richtlinie auf einer Verwaltungsgruppe „Produktion“ begrenzt die Regionen, in denen virtuelle Maschinen entstehen dürfen. Sie gilt für alle Abonnements darunter, und der Besitzer eines Abonnements kann sie nicht aushebeln.
- Eine Rollenzuweisung auf der Verwaltungsgruppe gibt Personen Zugriff auf alle Abonnements darunter. Das ist einfacher, als die Rechte in jedem Abonnement einzeln zu setzen.
Für Verwaltungsgruppen nennt Microsoft diese Eckdaten:
- Jede Verwaltungsgruppe und jedes Abonnement hat genau ein übergeordnetes Element.
- Verwaltungsgruppen lassen sich bis zu sechs Ebenen tief schachteln. Die Wurzel und die Abonnementebene zählen nicht mit.
- Ein Verzeichnis unterstützt bis zu 10.000 Verwaltungsgruppen.
- Oben steht in jedem Mandanten die Stammverwaltungsgruppe (Tenant Root Group). Neue Abonnements landen standardmäßig dort.
- Alle Abonnements einer Verwaltungsgruppe müssen demselben Entra-Mandanten vertrauen.
Die Hierarchie
Die vier Ebenen bauen aufeinander auf. Einstellungen, die Sie auf einer Ebene vornehmen, erben alle Ebenen darunter.
| Ebene | Enthält | Typische Aufgabe |
|---|---|---|
| Verwaltungsgruppe | Abonnements und weitere Verwaltungsgruppen | Richtlinien und Zugriff für viele Abonnements |
| Abonnement | Ressourcengruppen | Abrechnung und Zugriffsgrenze |
| Ressourcengruppe | Ressourcen mit gleichem Lebenszyklus | gemeinsam verwalten und löschen |
| Ressource | ein einzelner Dienst oder Baustein | die eigentliche Arbeit |
Legen Sie also zum Beispiel eine Richtlinie auf ein Abonnement, gilt sie für alle Ressourcengruppen und Ressourcen darin. Legen Sie sie auf eine Ressourcengruppe, gilt sie dort, aber nicht in anderen Gruppen.
Ein Beispiel
Die ausgedachte „Hartmann Möbel AG“ hat eine Entwicklungsabteilung und einen Onlineshop. Es gibt zwei Abonnements: „Entwicklung“ und „Produktion“. Beide hängen unter einer Verwaltungsgruppe „Hartmann“, auf der eine Richtlinie die erlaubten Regionen begrenzt. Im Abonnement „Produktion“ liegt für den Shop eine Ressourcengruppe „shop-prod“ mit Web-App, Datenbank und Speicherkonto. Im Abonnement „Entwicklung“ erstellt das Team für jeden Sprint eine Gruppe, die es danach löscht. Die Rechnungen kommen getrennt, die Regeln zentral.
Übung 1
Die ausgedachte Agentur „Mertens Medien“ hat zwei Kundenprojekte und eine interne Testumgebung. Die Kosten der Kunden sollen getrennt abgerechnet werden. Für alle Projekte soll eine Regel gelten, die die erlaubten Regionen begrenzt. Das Testsystem eines Projekts wird nach jeder Woche abgebaut.
Zeichnen oder beschreiben Sie eine Struktur aus Verwaltungsgruppe, Abonnements und Ressourcengruppen. Begründen Sie jede Entscheidung mit einer Regel aus dieser Lektion.
Lösung 1
Ein möglicher Entwurf:
- Eine Verwaltungsgruppe „Mertens“ über allem. Die Regel für die erlaubten Regionen legen Sie dort an. Alle Abonnements darunter erben sie, und niemand kann sie in einem Abonnement aushebeln.
- Je ein Abonnement für Kunde A, Kunde B und „Intern“. Das Abonnement ist die Abrechnungsgrenze: Jedes erzeugt eigene Rechnungen, so bleiben die Kosten der Kunden getrennt. Es ist zugleich die Zugriffsgrenze, das Team von Kunde A bekommt keinen Zugriff auf Kunde B.
- Je Abonnement mindestens eine Ressourcengruppe je Umgebung, zum Beispiel „kunde-a-prod“ und „kunde-a-test“. Das Testsystem hat einen anderen Lebenszyklus als die Produktion. Wenn es in einer eigenen Gruppe liegt, löschen Sie nach der Woche die Gruppe, und alle Ressourcen darin sind weg.
Es gibt keine einzig richtige Lösung. Wichtig ist, dass jede Entscheidung zu einer Regel passt: Abrechnung und Zugriff am Abonnement, gemeinsame Regeln an der Verwaltungsgruppe, gemeinsamer Lebenszyklus an der Ressourcengruppe.