कई Azure सब्सक्रिप्शन में प्रशासन (नीतियां, RBAC) लागू करें और एक्सेस प्रबंधित करें।
→सब्सक्रिप्शन को Management Group पदानुक्रम में व्यवस्थित करें।
क्यों: Management Group सब्सक्रिप्शन से ऊपर का एक स्कोप है। एक management group स्तर पर लागू की गई नीतियां और भूमिका असाइनमेंट उसके भीतर के सभी सब्सक्रिप्शन द्वारा विरासत में मिलते हैं।
संदर्भ↗
संगठनात्मक मानकों को लागू करें, जैसे कि डिप्लॉयमेंट को विशिष्ट क्षेत्रों तक सीमित करना या सभी संसाधनों पर टैग की आवश्यकता।
→Azure Policy का उपयोग करें।
क्यों: पॉलिसी संसाधन कॉन्फ़िगरेशन पर नियमों को लागू करती है। यह प्रशासन के लिए है, जबकि RBAC उपयोगकर्ता अनुमतियों (क्रियाओं) को नियंत्रित करता है।
उपयोगकर्ता क्रियाओं को नियंत्रित करने और संसाधन गुणों को नियंत्रित करने के बीच अंतर करें।
→यह परिभाषित करने के लिए Role-Based Access Control (RBAC) का उपयोग करें कि कोई उपयोगकर्ता क्या कार्रवाई कर सकता है (उदाहरण के लिए, "Contributor" VMs बना सकता है)। यह परिभाषित करने के लिए Azure Policy का उपयोग करें कि कौन से कॉन्फ़िगरेशन की अनुमति है (उदाहरण के लिए, "VMs केवल D-सीरीज आकार के हो सकते हैं")।
क्यों: RBAC "कौन क्या कर सकता है" के बारे में है। पॉलिसी "क्या अनुमति है" के बारे में है। वे व्यापक प्रशासन के लिए एक साथ काम करते हैं।
एक महत्वपूर्ण उत्पादन संसाधन को आकस्मिक विलोपन से बचाएं, यहां तक कि प्रशासकों द्वारा भी।
→संसाधन या उसके रिसोर्स ग्रुप पर एक `CanNotDelete` Resource Lock लागू करें।
क्यों: Resource locks RBAC अनुमतियों को ओवरराइड करते हैं। एक Owner लॉक किए गए संसाधन को तब तक नहीं हटा सकता जब तक कि लॉक को स्पष्ट रूप से हटा न दिया जाए। एक `ReadOnly` लॉक किसी भी संशोधन को रोकता है।
लागत ट्रैकिंग, स्वचालन, या स्वामित्व पहचान के लिए संसाधनों को तार्किक रूप से व्यवस्थित करें।
→संसाधनों पर Tags (कुंजी-मूल्य जोड़े) लागू करें।
क्यों: टैग मेटाडेटा हैं जिनका उपयोग रिसोर्स ग्रुप्स में संसाधनों को फ़िल्टर करने और समूहित करने के लिए किया जाता है, जिससे शक्तिशाली लागत विश्लेषण और प्रबंधन सक्षम होता है।
एक रिसोर्स ग्रुप पर लागू किया गया टैग उसके भीतर के संसाधनों पर नहीं दिख रहा है।
→टैग रिसोर्स ग्रुप से स्वचालित रूप से विरासत में नहीं मिलते हैं। प्रत्येक संसाधन को स्पष्ट रूप से टैग किया जाना चाहिए।
क्यों: टैग इनहेरिटेंस को लागू करने के लिए, पैरेंट रिसोर्स ग्रुप से टैग जोड़ने के लिए "Modify" या "DeployIfNotExists" प्रभाव के साथ एक Azure Policy का उपयोग करें।
भविष्य की Azure लागत का अनुमान लगाना बनाम ऑन-प्रेम माइग्रेशन से बचत की गणना करना।
→विशिष्ट Azure सेवाओं की लागत का अनुमान लगाने के लिए Pricing Calculator का उपयोग करें। ऑन-प्रेम लागत बनाम Azure लागत की तुलना करने के लिए Total Cost of Ownership (TCO) Calculator का उपयोग करें।
क्यों: Pricing Calculator ग्रीनफील्ड डिप्लॉयमेंट या नई सेवाएं जोड़ने के लिए है। TCO Calculator माइग्रेशन के लिए एक बिज़नेस केस बनाने के लिए है।
वर्तमान Azure खर्च को ट्रैक करें, खर्च अलर्ट सेट करें, और बचत के अवसर खोजें।
→Azure Cost Management का उपयोग करें। जब खर्च सीमा पूरी हो जाए तो अलर्ट ट्रिगर करने के लिए Budgets बनाएं।
क्यों: Budgets खर्च की सक्रिय सूचना प्रदान करते हैं, लागत में वृद्धि को रोकने में मदद करते हैं। Cost Management विश्लेषण खर्च की विसंगतियों और प्रवृत्तियों की पहचान करने में मदद करता है।
VMs या डेटाबेस जैसे अनुमानित, लगातार चलने वाले वर्कलोड के लिए लागत कम करें।
→1- या 3-वर्ष की अवधि के लिए Azure Reserved Instances या Savings Plans खरीदें।
क्यों: आरक्षण पे-एज़-यू-गो मूल्य निर्धारण पर महत्वपूर्ण छूट (72% तक) प्रदान करते हैं, एक दीर्घकालिक प्रतिबद्धता के बदले में। स्थिर-स्थिति वर्कलोड के लिए आदर्श।
Azure इन्फ्रास्ट्रक्चर को दोहराने योग्य, सुसंगत और संस्करण नियंत्रण के तहत तैनात करें।
→ARM Templates (JSON) या Bicep के साथ डिक्लेरेटिव Infrastructure as Code (IaC) का उपयोग करें।
क्यों: Bicep एक सरल, अधिक संक्षिप्त डोमेन-विशिष्ट भाषा (DSL) है जो ARM JSON में बदल जाती है, जिससे बेहतर लेखक अनुभव और पठनीयता मिलती है।
Azure टूल का उपयोग करके ऑन-प्रिमाइसेस या अन्य क्लाउड में चल रहे सर्वर का प्रबंधन और प्रशासन करें।
→गैर-Azure सर्वर को Azure Arc पर ऑनबोर्ड करें।
क्यों: Azure Arc बाहरी संसाधनों को Azure Resource Manager में प्रोजेक्ट करता है, जिससे आप एक ही नियंत्रण विमान से हाइब्रिड और मल्टी-क्लाउड संपत्तियों के लिए Azure Policy, RBAC और निगरानी का उपयोग कर सकते हैं।
संदर्भ↗
सभी एप्लिकेशनों के लिए एक एकल, क्लाउड-आधारित पहचान और एक्सेस प्रबंधन समाधान प्रदान करें।
→Microsoft Entra ID (पूर्व में Azure AD) का उपयोग करें।
क्यों: Entra ID पहचान नियंत्रण विमान है, जो क्लाउड और ऑन-प्रेम ऐप्स के लिए सिंगल साइन-ऑन (SSO), मल्टी-फ़ैक्टर ऑथेंटिकेशन (MFA), और Conditional Access प्रदान करता है।
एक अविश्वसनीय नेटवर्क से साइन इन करने वाले उपयोगकर्ताओं के लिए MFA की आवश्यकता है, लेकिन कॉर्पोरेट कार्यालय से नहीं।
→एक Microsoft Entra Conditional Access पॉलिसी कॉन्फ़िगर करें।
क्यों: Conditional Access एक "यदि-तब" पॉलिसी इंजन के रूप में कार्य करता है। यदि कोई उपयोगकर्ता/स्थान/डिवाइस शर्त पूरी होती है, तो एक एक्सेस कंट्रोल (जैसे MFA की आवश्यकता) लागू होता है।
एक Azure संसाधन (जैसे एक VM या App Service) को कोड में सीक्रेट्स को संग्रहीत किए बिना किसी अन्य Azure सेवा (जैसे Key Vault) को प्रमाणित करने की अनुमति दें।
→संसाधन को एक Managed Identity असाइन करें और लक्ष्य सेवा पर RBAC अनुमतियाँ प्रदान करें।
क्यों: Azure स्वचालित रूप से क्रेडेंशियल लाइफसाइकिल का प्रबंधन करता है, जिससे कॉन्फ़िगरेशन फ़ाइलों या कोड से लीक हुए सीक्रेट्स का जोखिम समाप्त हो जाता है।
एप्लिकेशन सीक्रेट्स, कुंजियों और प्रमाणपत्रों को सुरक्षित रूप से स्टोर और प्रबंधित करें।
→Azure Key Vault का उपयोग करें।
क्यों: Key Vault सीक्रेट्स के लिए एक केंद्रीकृत, हार्डवेयर-सुरक्षित और ऑडिटेड रिपॉजिटरी प्रदान करता है, जिससे उन्हें एप्लिकेशनों में हार्ड-कोडित होने से रोका जा सके।
क्लाउड वर्कलोड की सुरक्षा स्थिति का लगातार आकलन करें, एक Secure Score प्राप्त करें, और खतरे की सुरक्षा प्राप्त करें।
→Microsoft Defender for Cloud का उपयोग करें।
क्यों: Defender for Cloud Azure, हाइब्रिड और मल्टी-क्लाउड वातावरण में Cloud Security Posture Management (CSPM) और Cloud Workload Protection (CWP) प्रदान करता है।
सबनेट/NIC स्तर पर नेटवर्क ट्रैफिक को फ़िल्टर करें बनाम पूरे VNet के लिए केंद्रीय रूप से।
→बुनियादी लेयर 3/4 स्टेटफुल पैकेट फ़िल्टरिंग के लिए Network Security Groups (NSGs) का उपयोग करें। लेयर 7 फ़िल्टरिंग और खतरे की बुद्धिमत्ता के साथ एक केंद्रीकृत, पूरी तरह से स्टेटफुल फ़ायरवॉल-एज़-ए-सर्विस के लिए Azure Firewall का उपयोग करें।
क्यों: NSGs सरल और वितरित हैं। Azure Firewall उन्नत क्षमताएं और केंद्रीकृत पॉलिसी प्रबंधन प्रदान करता है, अक्सर एक हब-स्पोक टोपोलॉजी में उपयोग किया जाता है।
प्रबंधन पोर्ट्स (RDP/SSH) को डिफ़ॉल्ट रूप से बंद रखकर VMs के अटैक सरफेस को कम करें।
→Microsoft Defender for Cloud में Just-In-Time (JIT) VM एक्सेस सक्षम करें।
क्यों: JIT प्रबंधन पोर्ट्स तक मांग पर सीमित समय के लिए अस्थायी पहुंच प्रदान करता है, बाद में उन्हें स्वचालित रूप से बंद कर देता है। यह पोर्ट्स को स्थायी रूप से खुला छोड़ने से अधिक सुरक्षित है।
Azure इन्फ्रास्ट्रक्चर के स्वास्थ्य बनाम एप्लिकेशन कोड के प्रदर्शन की निगरानी करें।
→प्लेटफ़ॉर्म मेट्रिक्स और लॉग के लिए Azure Monitor का उपयोग करें। एप्लिकेशन परफॉरमेंस मैनेजमेंट (APM) के लिए Application Insights (Azure Monitor की एक विशेषता) का उपयोग करें।
क्यों: Azure Monitor इन्फ्रास्ट्रक्चर डेटा (CPU, मेमोरी) एकत्र करता है। Application Insights डीप कोड-लेवल डायग्नोस्टिक्स (प्रतिक्रिया समय, निर्भरता, अपवाद) प्रदान करता है।
Azure सेवा आउटेज, नियोजित रखरखाव और स्वास्थ्य सलाह के बारे में व्यक्तिगत अलर्ट प्राप्त करें।
→Azure Service Health का उपयोग करें।
क्यों: Service Health आपके सब्सक्रिप्शन, क्षेत्रों और सेवाओं के लिए व्यक्तिगत है, सार्वजनिक Azure Status पृष्ठ के विपरीत। यह Azure प्लेटफ़ॉर्म समस्याओं के लिए है, आपके अपने संसाधन स्वास्थ्य के लिए नहीं।
Azure संसाधनों को अनुकूलित करने के लिए व्यक्तिगत, कार्रवाई योग्य सिफारिशें प्राप्त करें।
→Azure Advisor की सिफारिशों की समीक्षा करें।
क्यों: Advisor आपके कॉन्फ़िगरेशन और उपयोग टेलीमेट्री का विश्लेषण करता है और पांच स्तंभों में सिफारिशें प्रदान करता है: विश्वसनीयता, सुरक्षा, प्रदर्शन, लागत और परिचालन उत्कृष्टता।
एक एंटरप्राइज़ में सभी Azure वर्कलोड के लिए एक मानकीकृत, शासित और स्केलेबल आधार स्थापित करें।
→एक Azure Landing Zone आर्किटेक्चर लागू करें।
क्यों: Landing Zones Cloud Adoption Framework से एक निर्देशात्मक ढांचा प्रदान करते हैं, जिसमें प्रबंधन समूह संरचना, नेटवर्किंग, पहचान और प्रशासन नीतियां शामिल हैं, ताकि क्लाउड अपनाने को सुरक्षित रूप से गति मिल सके।