Administración del patrimonio en la nube de Azure

En este artículo se explica cómo administrar el patrimonio en la nube de Azure para garantizar el estado operativo. Necesita un fuerte control administrativo sobre las operaciones en la nube para asegurarse de que la nube se alinea con sus objetivos empresariales.

Identificación del ámbito de administración

Las responsabilidades de administración varían según el modelo de implementación. Use la tabla siguiente para identificar las responsabilidades de administración de la infraestructura (IaaS), la plataforma (PaaS), el software (SaaS) y las implementaciones locales.

Administrar el cambio

El cambio es el origen más común de problemas en la nube. Como resultado, necesita un enfoque de administración de cambios que realice un seguimiento de los cambios y sus aprobaciones. También debe detectar cambios no aprobados y revertirlos a un estado deseado. Siga estos pasos:

1. Desarrolla un proceso de solicitud de cambio. Usa un sistema formal, como una herramienta de tickets, una solicitud de cambios (GitHub o Azure DevOps) o formularios designados. El proceso de solicitud de cambio debe capturar detalles clave como el tipo de cambio, la identidad del solicitante, el entorno de destino, el ámbito y el motivo. Mantenga procedimientos independientes para las solicitudes de servicio rutinarias, como los restablecimientos de contraseña.

2. Evalúe el riesgo asociado al cambio. Asigne categorías de riesgo claras (alta, media y baja) para equilibrar la velocidad de implementación con la administración de riesgos. Evalúe cada cambio según criterios como la tolerancia al tiempo de inactividad (presupuesto de errores) y la importancia de la carga de trabajo. Para ayudar a determinar el flujo de trabajo de aprobación adecuado, use la tabla siguiente como ejemplo:

   Nivel de riesgo	Asignación de tiempo de inactividad	Criticidad de la carga de trabajo	Proceso de aprobación	Cambios de ejemplo
   Alto	No se permite ningún tiempo de inactividad	Estos cambios afectan a los sistemas críticos que requieren disponibilidad continua con tolerancia cero para cualquier tiempo de inactividad.	Varias revisiones de ingenieros sénior, alertas automatizadas de canalización, modelo de exposición progresiva y supervisión activa.	Actualizaciones críticas de la infraestructura
   Medio	Tiempo de inactividad corto permitido	Estos cambios afectan a sistemas importantes con tolerancia limitada al tiempo de inactividad.	La canalización automatizada marca el cambio. Revisión rápida por parte de los ingenieros si la supervisión genera una alerta.	Actualizaciones del sistema no críticas, mejoras de características durante ventanas de mantenimiento breves
   Bajo	Tiempo de inactividad amplio permitido	Estos cambios afectan a los sistemas no críticos en los que el tiempo de inactividad extendido es aceptable sin afectar a las operaciones generales.	La implementación totalmente automatizada a través de CI/CD ejecuta pruebas y supervisión previas a la implementación.	Actualizaciones rutinarias, actualizaciones de directivas secundarias

3. Estandarizar la aprobación claramente. Defina los criterios de aprobación y la autoridad necesarios en cada nivel de riesgo. Especifique quién debe revisar cada cambio, ya sea un solo aprobador o un panel de revisión, y aclarar cómo los revisores deben proporcionar y resolver comentarios.

4. Normalice el proceso de implementación. Describen claramente los procedimientos para compilar, probar e implementar cambios aprobados en producción. Para más información, consulte Administración de recursos en la nube.

5. Normalice el proceso posterior a la implementación. Para confirmar los cambios correctos, implemente los pasos de supervisión y validación. Incluya una estrategia de reversión clara para restaurar rápidamente el servicio si un cambio presenta problemas.

6. Evite y detecte cambios no autorizados. Use Change Analysis para detectar cambios de configuración y explicar sus causas subyacentes. Use Azure Policy para denegar y auditar los cambios mediante efectos como Deny, DenyAction, Audit y auditIfNotExists. Si usa Bicep, considere usar conjuntos de implementación de Bicep para evitar cambios no autorizados.

Administración de la seguridad

La identidad es el perímetro de seguridad. Debe comprobar las identidades, restringir los permisos y mantener configuraciones de recursos seguras. Siga estos pasos:

1. Administrar identidades. Use Microsoft Entra ID como solución unificada de administración de identidades. Defina claramente los permisos aplicando el control de acceso basado en rol (RBAC). Use Gobierno de Microsoft Entra ID para controlar los flujos de trabajo de solicitud de acceso, las revisiones de acceso y la administración del ciclo de vida de la identidad. Habilite Privileged Identity Management para conceder acceso con privilegios justo a tiempo. Esta estrategia reduce los accesos elevados innecesarios. Administre los tres tipos de identidad (usuario, aplicación, dispositivo) de forma coherente para garantizar la autenticación y autorización adecuadas.

2. Administrar acceso. Utilice Azure control de acceso basado en roles (RBAC) y control de acceso basado en atributos (ABAC) para conceder los permisos mínimos necesarios para realizar el trabajo. Para limitar la sobrecarga de administración, prefiera asignaciones de roles basadas en grupos de . Conceda permisos en el ámbito más bajo necesario, como suscripciones, grupos de recursos o recursos individuales. Evite ámbitos de permisos demasiado amplios para evitar la elevación de privilegios no deseada. Asigne solo los permisos necesarios para el rol de cada usuario.

3. Administrar configuraciones de recursos. Use la infraestructura como código (IaC) para garantizar una configuración coherente y reproducible de los recursos. A continuación, use Azure Policy para aplicar configuraciones seguras de servicios de Azure específicos. Consulte los controles de seguridad de la prueba comparativa de seguridad en la nube v2 de Microsoft para obtener instrucciones sobre las funcionalidades de seguridad disponibles y las configuraciones de seguridad óptimas. Como característica de complemento, use directivas de seguridad en Defender for Cloud para alinearse con los estándares de seguridad comunes.

4. Administrar la autenticación. Asegúrese de que los usuarios adopten una autenticación sólida a través de la autenticación multifactor (MFA) y usen Microsoft Entra autenticación multifactor (MFA). Requerir siempre el acceso condicional para aplicar la autenticación en función de la identidad del usuario, el estado del dispositivo y el contexto de acceso. Configure el autoservicio de restablecimiento de contraseña y elimine las contraseñas no seguras.

5. Administrar información de seguridad. Usar Microsoft Sentinel para la administración de eventos e información de seguridad (SIEM) y orquestación de seguridad, automatización y respuesta (SOAR).

6. Controla la seguridad de las cargas de trabajo. Para recomendaciones de seguridad de cargas de trabajo, consulte la lista de comprobación de seguridad del Well-Architected Framework y las guías de servicio de Azure (comience con la sección Seguridad).

Administración del cumplimiento

La administración de cumplimiento garantiza que las operaciones de Azure permanezcan alineadas con las directivas de gobernanza establecidas y los estándares normativos. Debe reducir el riesgo protegiendo el entorno frente a posibles infracciones y configuraciones incorrectas. Siga estos pasos:

1. Comprenda las directivas de gobernanza. Las directivas de gobernanza definen las restricciones de alto nivel que los equipos deben seguir para seguir siendo compatibles. Revise las directivas de su organización y asigne cada requisito a los procesos operativos. Si no tiene directivas de gobernanza, primero documente las directivas de gobernanza.

2. Administrar el cumplimiento. La aplicación del cumplimiento garantiza que el entorno permanezca alineado con los estándares normativos y de la organización. Consulte la tabla siguiente para obtener recomendaciones de directivas.

   Recomendación	Detalles
   Empezar con definiciones de directiva general	Comience con las definiciones generales de Azure Policy, incluidas las ubicaciones permitidas, los tipos de recursos no permitidos y auditar los roles de RBAC personalizados.
   Alineación con los estándares normativos	Use las definiciones integradas y gratuitas de Azure Policy alineadas con estándares normativos como ISO 27001, NIST SP 800-53 y PCI DSS.

Para obtener más información, consulte Aplicar el cumplimiento en Azure.

Administrar datos

La administración de datos en operaciones en la nube implica clasificar, segmentar, proteger el acceso y proteger contra la eliminación. Debe proteger la información confidencial, mantener el cumplimiento y garantizar la confiabilidad de los datos durante los cambios operativos. Siga estos pasos:

1. Detectar y clasificar datos. Identifique y clasifique los datos según la confidencialidad y la importancia. Esta clasificación guía los controles adaptados para cada tipo de datos. Use Microsoft Purview para la gobernanza de datos. Para obtener más información, consulte Fuentes de datos que se conectan al Mapa de Datos de Microsoft Purview.

2. Controle la residencia de datos. Seleccione regiones dentro de su geografía, como Estados Unidos o Europa, para cumplir los requisitos de residencia de datos. Compruebe las excepciones porque certain Azure services puede almacenar datos fuera de la región seleccionada. Revise periódicamente Azure la configuración de residencia de datos y los requisitos de cumplimiento para mantener un control total sobre los datos de los clientes.

3. Aísle las cargas de trabajo internas ("Corp") y accesibles desde Internet ("Online"). Use grupos de administración para separar las cargas de trabajo internas y externas. Normalmente, las cargas de trabajo internas requieren conectividad o conectividad híbrida a la red corporativa. Normalmente, las cargas de trabajo externas no requieren conectividad de red corporativa y pueden necesitar acceso directo a Internet entrante o saliente. Por ejemplo, revise en la zona de aterrizaje de Azure los grupos de administración "Corp" (interno) y "Online" (accesible desde Internet).

4. Enforce access control. Implemente controles de acceso sólidos, como Azure RBAC y Azure ABAC, para garantizar que solo el personal autorizado acceda a datos confidenciales en función de las clasificaciones definidas.

5. Proteger los datos de la eliminación. Use características como la eliminación temporal, el control de versiones de datos y la inmutabilidad cuando estén disponibles. Implemente el control de versiones de la base de datos y prepare los procedimientos de reversión. Use Azure Policy para denegar eliminaciones del almacén de datos con Deny y DenyAction o audite los cambios con Audit y auditIfNotExists cualquier cambio. Si usa Bicep, considere la posibilidad de usar pilas de implementación de Bicep para evitar cambios no autorizados. Solo use bloqueos de recursos estrictamente para evitar modificaciones o eliminaciones no deseadas de datos críticos. Evite el uso de bloqueos de recursos para proteger las configuraciones, ya que los bloqueos de recursos complican las implementaciones de IaC.

6. Administrar datos de carga de trabajo. Consulte las recomendaciones de Well-Architected Framework sobre la clasificación de datos.

Para más información, consulte Aplicación de la gobernanza de datos.

Administración de costos

La administración de costos en operaciones en la nube significa realizar un seguimiento de los gastos de forma activa tanto central como por carga de trabajo. El control de costos debe proporcionar visibilidad sobre los gastos y fomentar los gastos responsables. Siga estos pasos:

1. Administrar y revisar costos. Use herramientas de Microsoft Cost Management para monitor costos en la nube. Azure carece de un mecanismo para toda la suscripción para limitar el gasto en un umbral determinado. Algunos servicios, como Azure Log Analytics área de trabajo, tienen límites de gasto. La estrategia de supervisión de costos sirve como herramienta principal para administrar los gastos.

2. Administrar costes de carga de trabajo. Conceda acceso de facturación a los equipos de carga de trabajo. Haga que estos equipos usen la lista de comprobación del Marco Well-Architected para la optimización de costos .

Administración de código y tiempo de ejecución

La administración del código y el tiempo de ejecución son responsabilidades de la carga de trabajo. Haga que los equipos de carga de trabajo usen la lista de comprobación de excelencia operativa de Well-Architected Framework, que describe 12 recomendaciones para controlar el código y el tiempo de ejecución.

Administración de recursos en la nube

Establezca protocolos de implementación claros y estrategias proactivas de detección de desfase y expansión para mantener la coherencia entre entornos. En esta sección se describe lo siguiente:

• Implementaciones del portal
• Implementaciones de código
• Desviación de configuración
• Expansión de recursos

Administración de implementaciones del portal

Defina protocolos y límites para las implementaciones del portal para minimizar el potencial de problemas de producción. Siga estos pasos:

1. Defina la directiva de implementación del portal. Asegúrese de que los cambios significativos basados en el portal se adhieren a los procesos de administración de cambios establecidos. Use implementaciones del portal principalmente para crear prototipos, solucionar problemas o ajustes menores en entornos de desarrollo y pruebas. Evite los cambios del portal no estructurados porque estos cambios provocan desfase, configuraciones incorrectas y problemas de cumplimiento. En su lugar, confíe en plantillas de infraestructura como código (IaC) controladas por versiones para la coherencia. Para más información, consulte Administración de implementaciones de código.

2. Diferenciar entornos. Limite los cambios basados en el portal estrictamente a entornos que no sean de producción. Permitir prototipos rápidos exclusivamente en entornos de desarrollo o pruebas dedicados y aplicar controles estrictos en producción.

3. Restringir los permisos del portal. Limite las funcionalidades de implementación desde el portal mediante el control de acceso basado en rol (RBAC). Asigne permisos de solo lectura de forma predeterminada y escale solo los privilegios cuando sea necesario.

   • Conceda acceso justo a tiempo. Use Privileged Identity Management (PIM) para acceder a los recursos de Azure y Microsoft Entra. Requerir aprobaciones secuenciales de varias personas o grupos para activar PIM. Reserve roles con privilegios ("A0" roles de superadministrador) exclusivamente para escenarios de emergencia.

   • Estructura RBAC basado en el modelo operativo. Diseñe directivas de RBAC adaptadas a los equipos operativos, incluidos los niveles de soporte técnico, las operaciones de seguridad, las plataformas, las redes y las cargas de trabajo.

   • Audite todas las actividades. Supervise y registre todas las acciones del sistema. Use Azure Policy para auditar (Audit o auditIfNotExists) los cambios. Además, configure alert en Azure Monitor para notificar a las partes interesadas cuando alguien elimina un recurso de Azure. Si utiliza Bicep, considere la posibilidad de usar conjuntos de implementación de Bicep para prevenir cambios no autorizados.

4. Usa plantillas controladas por versiones. Limita el uso del portal a escenarios de emergencia si se emplean implementaciones de IaC. Los cambios en el portal dan lugar a una desviación de configuración de las plantillas de IaC. Replique todos los cambios basados en el portal inmediatamente en plantillas IaC controladas por versiones, como plantillas Bicep, Terraform o ARM. Exporte periódicamente Azure configuraciones de recursos y almacénelas como IaC para mantener los entornos de producción alineados con las configuraciones aprobadas y rastreables. Consulte instrucciones sobre cómo exportar configuraciones de Azure como Bicep, Terraform o plantillas ARM. Considere las especificaciones de la plantilla si se utilizan plantillas de ARM.

   Herramienta	Caso de uso
   Bicep	IaC específica para Azure, fácil de administrar y leer
   Terraform	Solución multinube, soporte técnico más amplio de la comunidad
   Plantillas ARM	Control total, cómodo con JSON

Administración de implementaciones de código

Adopte procedimientos recomendados para automatizar y controlar los cambios en el código y la infraestructura. Siga estos pasos:

1. Estandarizar herramientas. Use un conjunto de herramientas coherente para minimizar el cambio de contexto. Elija herramientas de desarrollo (VS Code, Visual Studio), un repositorio de código (GitHub, Azure DevOps), una canalización de CI/CD (Acciones de GitHub, Azure Pipelines) y una solución de IaC (Bicep, Terraform o ARM) que funcionan conjuntamente.

2. Use el control de versiones. Mantenga una única fuente de verdad para el código. Use el control de versiones para reducir el desfase de configuración y simplificar los procedimientos de reversión.

3. Utiliza canalizaciones de implementación. Una pipeline de CI/CD automatiza el proceso de construcción, ejecuta pruebas y escanea el código para detectar problemas de calidad y seguridad con cada pull request. Use Acciones de GitHub o Azure Pipelines para compilar e implementar código de aplicación e archivos IaC. Implemente ganchos de precompromiso y exámenes automatizados para detectar cambios no autorizados o de alto riesgo lo antes posible.

4. Implementaciones de prueba. Realice aprobaciones de fases en las canalizaciones de CI/CD para validar las implementaciones progresivamente. Siga esta secuencia: desarrollo, comprobación de compilación, pruebas de integración, pruebas de rendimiento, pruebas de aceptación de usuario (UAT), ensayo, versiones controladas, preproducción y, por último, producción.

5. Use la infraestructura como código (IaC). Use IaC para garantizar la coherencia y la administración de implementaciones a través del control de versiones. Pase de conceptos de prueba basados en el portal Azure a IaC (Infraestructura como Código) para los entornos de producción. Use Bicep, Terraform o ARM para definir recursos. Para Bicep, utilice módulos y tenga en cuenta las pilas de implementación. En el caso de las plantillas de ARM, tenga en cuenta las especificaciones de plantilla para el despliegue versionado.

6. Aplique los procedimientos recomendados del repositorio de código. Al seguir estos estándares se reducen los errores, se simplifican las revisiones de código y se evitan problemas de integración. Para entornos de producción de alta prioridad:

   Requisito	Descripción
   Deshabilitar inserciones directas	Bloquear confirmaciones directas en la rama principal
   Requerir solicitudes de cambios	Requerir que todos los cambios pasen a través de una solicitud de incorporación de cambios
   Requerir revisiones de código	Asegúrese de que alguien que no sea el autor revisa cada solicitud de incorporación de cambios
   Aplicar umbrales de cobertura de código	Asegúrese de que un porcentaje mínimo de código supera las pruebas automatizadas para todas las solicitudes de incorporación de cambios
   Uso de canalizaciones de validación	Configuración de reglas de protección de rama para ejecutar una canalización de validación para solicitudes de incorporación de cambios

7. Exigir comprobaciones de incorporación del equipo de trabajo. Verifique que las nuevas bases de código y los equipos se alineen con los objetivos empresariales, los estándares y las mejores prácticas. Use una lista de comprobación para confirmar la estructura del repositorio de código, los estándares de nomenclatura, los estándares de codificación y las configuraciones de canalización de CI/CD.

Administración de un desfase de configuración

Administre el desfase de configuración mediante la identificación y corrección de discrepancias entre la configuración prevista y el entorno activo. Siga estos procedimientos recomendados:

1. Impedir y detectar cambios. Use Change Analysis para detectar cambios de configuración y explicar sus causas subyacentes. Use Azure Policy para denegar y auditar los cambios mediante efectos como Deny, DenyAction, Audit y auditIfNotExists. Si usa Bicep, considere usar pilas de implementación de Bicep para evitar cambios no autorizados.

2. Detectar desviación de configuración de IaC. Drift se produce cuando alguien actualiza el archivo IaC (intencionada, involuntaria) o realiza un cambio en el portal de Azure. Compare periódicamente el entorno activo con la configuración deseada para detectar el desfase:

   • Almacene las configuraciones deseadas y las últimas conocidas como buenas. Guarde el archivo de configuración deseado en un repositorio controlado por versiones. Este archivo muestra la configuración original prevista. Mantenga una última configuración correcta conocida como referencia de reversión confiable y línea de base para la detección de desviaciones.

   • Detectar la desviación de configuración antes de la implementación. Visualizar posibles cambios antes de la implementación utilizando Terraform plan, Bicep what-if, o ARM template what-if. Investigue exhaustivamente las discrepancias para asegurarse de que los cambios propuestos se alinean con el estado deseado.

   • Detecte el desfase posterior a la implementación. Compare periódicamente entornos dinámicos con configuraciones deseadas a través de comprobaciones de desfase normales. Integre estas comprobaciones en las canalizaciones de CI/CD o las lleve a cabo manualmente para mantener la coherencia. Vea un ejemplo con Azure Policy y Azure Pipelines.

   • Revertir a la última configuración correcta conocida. Desarrolle estrategias claras de reversión que usen procedimientos automatizados dentro de la canalización de CI/CD. Utilice la última configuración correcta conocida para revertir rápidamente los cambios no deseados y minimizar el tiempo de inactividad.

   • Minimizar los cambios controlados por el portal. Minimice los cambios que no sean de IaC solo en escenarios de emergencia. Aplique controles de acceso estrictos, como Privileged Identity Management. Actualice rápidamente los archivos IaC si es necesario realizar ajustes manuales para conservar la precisión de la configuración deseada.

Administración de la expansión de recursos

La expansión de recursos describe el crecimiento incontrolado de los recursos en la nube. Este crecimiento aumenta los costos, los riesgos de seguridad y la complejidad de la administración. Siga estos pasos:

1. Implementar políticas de gobernanza. Use Azure Policy para aplicar estándares para el aprovisionamiento de recursos y etiquetado en toda la organización. Cree una estrategia de nomenclatura clara para facilitar la visibilidad de los recursos.

2. Organice los recursos de forma eficaz. Estructura jerárquicamente los recursos con grupos de administración y suscripciones alineados con las necesidades de la organización. Esta estructura mejora la visibilidad y la administración de recursos. Consulte la guía de la zona de aterrizaje de Azure para obtener prácticas recomendadas comprobadas.

3. Restrict deployment permissions. Implemente los procedimientos recomendados de control de acceso basado en rol (RBAC) descritos en Azure RBAC y Microsoft Entra RBAC. Asigne los permisos adecuados a los usuarios. Utilice roles de lector para minimizar los riesgos de creación no autorizada de recursos.

4. Conduct regular audits. Use Azure Advisor para identificar recursos Azure no utilizados o infrautilizados. Use Cost Management para analizar el gasto en la nube y quitar los recursos huérfanos que causan costos innecesarios. Tenga en cuenta que no todos los recursos Azure incurren en cargos. Ejecute consultas en Azure Resource Graph para mantener un inventario preciso de recursos.

Administración de la reubicación

Evalúe periódicamente las regiones de Azure actuales para determinar si la reubicación de cargas de trabajo en otro lugar mejora la eficacia, reduce los costos o mejora el rendimiento.

• Comprender los conductores de reubicación. Comprender los conductores de reubicación garantiza que cada reubicación tenga una justificación comercial válida, dado que la reubicación implica riesgos y costos. Entre las justificaciones empresariales comunes para la reubicación se incluyen la expansión empresarial, los requisitos de cumplimiento normativo y la proximidad a los usuarios finales.

• Administrar riesgos de reubicación. La administración de riesgos de reubicación evita la interrupción y mantiene el cumplimiento. Defina ventanas de tiempo de inactividad aceptables, comunique los impactos a las partes interesadas y garantice el cumplimiento de las directivas organizativas y las regulaciones del sector.

• Administrar los costos de reubicación. La administración de costos de reubicación evita gastos innecesarios durante la migración. Transferir datos una vez, quitar entornos duplicados y comparar precios de Azure regionales. Revise los precios de ancho de banda de Azure.

• Administrar proyectos de reubicación. Los equipos pequeños deben migrar cargas de trabajo una por una con ejecución enfocada. Los equipos de gran tamaño deben reubicar varias cargas de trabajo simultáneamente para lograr la eficacia a través de la planificación coordinada.

Para más información, consulte Reubicación de cargas de trabajo.

Administración de sistemas operativos

Cuando use máquinas virtuales, también debe administrar el sistema operativo. Siga estos pasos:

1. Automatiza el mantenimiento de las máquinas virtuales. En Azure, utiliza herramientas de automatización para crear y administrar máquinas virtuales de Azure. Use Azure Machine Configuration para auditar o configurar las opciones del sistema operativo como código para las máquinas que se ejecutan en Azure e híbridas.

2. Actualizar sistemas operativos. Debe administrar las actualizaciones de invitado y el mantenimiento del host para asegurarse de que los sistemas operativos están actualizados con fines de seguridad.

3. Monitor in-guest operations. Use el servicio Azure Seguimiento de cambios e inventario para mejorar la auditoría y la gobernanza de las operaciones en invitado. Supervisa los cambios y proporciona registros de inventario detallados para los servidores en Azure, locales y otros entornos en la nube.

herramientas de administración de Azure

Pasos siguientes