Administre o seu ambiente cloud Azure

Este artigo explica como administrar o seu património cloud no Azure para garantir a saúde operacional. Você precisa de um forte controle administrativo sobre suas operações de nuvem para garantir que a nuvem esteja alinhada com seus objetivos de negócios.

Identifique seu escopo de gerenciamento

As responsabilidades de gerenciamento variam de acordo com o modelo de implantação. Use a tabela a seguir para identificar suas responsabilidades de gerenciamento para infraestrutura (IaaS), plataforma (PaaS), software (SaaS) e implantações locais.

Gerir alterações

A mudança é a fonte mais comum de problemas na nuvem. Como resultado, você precisa de uma abordagem de gerenciamento de alterações que rastreie as alterações e suas aprovações. Ele também deve detetar alterações não aprovadas e revertê-las para um estado desejado. Siga estes passos:

1. Desenvolva um processo de pedido de alteração. Use um sistema formal, como uma ferramenta de ticketing, pull request (GitHub ou Azure DevOps) ou formulários designados. O processo de solicitação de alteração deve capturar detalhes importantes, como o tipo de alteração, a identidade do solicitante, o ambiente de destino, o escopo e o motivo. Mantenha procedimentos separados para solicitações de serviço de rotina, como redefinições de senha.

2. Avaliar o risco associado à alteração. Atribua categorias de risco claras (alto, médio, baixo) para equilibrar a velocidade de implantação com o gerenciamento de riscos. Avalie cada alteração de acordo com critérios como tolerância a tempo de inatividade (orçamento de erros) e criticidade da carga de trabalho. Para ajudar a determinar o fluxo de trabalho de aprovação apropriado, use a tabela a seguir como exemplo:

   Nível de risco	Subsídio de tempo de inatividade	Criticidade da carga de trabalho	Processo de aprovação	Exemplos de alterações
   Alto	Sem tempo de inatividade permitido	Essas alterações afetam sistemas de missão crítica que exigem disponibilidade contínua com tolerância zero para qualquer tempo de inatividade.	Várias revisões de engenheiros seniores, alertas de pipeline automatizados, modelo de exposição progressiva e monitoramento ativo.	Atualizações de infraestruturas críticas
   Médio	Tempo de inatividade curto permitido	Essas alterações afetam sistemas importantes com tolerância limitada ao tempo de inatividade.	O canal automatizado sinaliza a alteração. Revisão rápida por engenheiros se a monitorização gerar um alerta.	Atualizações não críticas do sistema, aprimoramentos de recursos durante curtas janelas de manutenção
   Baixo	Amplo tempo de inatividade permitido	Essas alterações afetam sistemas não críticos, onde o tempo de inatividade prolongado é aceitável sem afetar as operações gerais.	A implantação totalmente automatizada via CI/CD executa testes e monitorização antes da implantação.	Atualizações de rotina, pequenas atualizações de política

3. Padronizar a aprovação claramente. Definir os critérios de aprovação e a autoridade exigida em cada nível de risco. Especifique quem deve revisar cada alteração, seja um único aprovador ou um painel de avaliação, e esclareça como os revisores devem fornecer e resolver comentários.

4. Padronizar o processo de implantação. Descreva claramente os procedimentos para criar, testar e implantar alterações aprovadas na produção. Para obter detalhes, consulte Gerenciar recursos de nuvem.

5. Padronize o processo pós-implantação. Para confirmar as alterações bem-sucedidas, implemente etapas de monitoramento e validação. Inclua uma estratégia clara de reversão para restaurar rapidamente o serviço se uma alteração introduzir problemas.

6. Prevenir e detetar alterações não autorizadas. Use Análise de Alterações para detetar alterações de configuração e explicar as suas causas subjacentes. Use Azure Policy para negar e auditar alterações usando efeitos como Deny, DenyAction, Audit e auditIfNotExists. Se usares Bicep, considera usar stacks de implantação Bicep para evitar alterações não autorizadas.

Gerir a segurança

A identidade é o seu perímetro de segurança. Você deve verificar identidades, restringir permissões e manter configurações de recursos seguras. Siga estes passos:

1. Gerir identidades. Use Microsoft Entra ID como solução unificada de gestão de identidade. Defina claramente as permissões aplicando controle de acesso baseado em função (RBAC). Use Microsoft Entra ID Governance para controlar fluxos de trabalho de pedidos de acesso, revisões de acesso e gestão do ciclo de vida da identidade. Ative Privileged Identity Management para conceder acesso privilegiado em tempo real. Essa estratégia reduz o desnecessário acesso elevado. Gerencie todos os três tipos de identidade (usuário, aplicativo, dispositivo) consistentemente para garantir autenticação e autorização adequadas.

2. Gerir o acesso. Use o controlo de acesso baseado em funções (RBAC) e o controlo de acesso baseado em atributos (ABAC) do Azure para conceder as permissões estritamente necessárias para realizar a tarefa. Para limitar a sobrecarga de gerenciamento, prefira atribuições de função com base em grupos. Conceda permissões no menor escopo necessário, como assinaturas, grupos de recursos ou recursos individuais. Evite escopos de permissão excessivamente amplos para evitar o escalonamento de privilégios não intencionais. Atribua apenas as permissões necessárias para a função de cada usuário.

3. Gerir configurações de recursos. Use infraestrutura como código (IaC) para garantir uma configuração consistente e reproduzível dos recursos. Depois usa Azure Policy para impor configurações seguras de serviços Azure específicos. Consulte os controlos de segurança do benchmark de segurança Microsoft cloud v2 para orientação sobre capacidades de segurança disponíveis e configurações ótimas. Como funcionalidade adicional, utilize políticas de segurança em Defender para a Cloud para alinhar com os padrões comuns de segurança.

4. Gerir autenticação. Assegure-se de que os utilizadores adotam uma autenticação forte através da autenticação multifator (MFA) e utilizam a autenticação multifator (MFA) do Microsoft Entra. Sempre exija o Acesso Condicional para impor a autenticação com base na identidade do usuário, na integridade do dispositivo e no contexto de acesso. Configure a redefinição de senha de autoatendimento e elimine as senhas fracas .

5. Gerir informação de segurança. Utilizar Microsoft Sentinel para gestão de informação e eventos de segurança (SIEM) e orquestração, automação e resposta de segurança (SOAR).

6. Controlo segurança da carga de trabalho. Para recomendações de segurança de carga de trabalho, consulte a lista de verificação segurança do Well-Architected Framework e os guias de serviço Azure (começa pela secção de Segurança).

Gerencie a conformidade

A gestão de conformidade assegura que as operações do Azure permanecem alinhadas com as políticas de governação estabelecidas e os padrões regulatórios. Você deve reduzir o risco protegendo o ambiente de possíveis violações e configurações incorretas. Siga estes passos:

1. Entenda suas políticas de governança. As políticas de governança definem as restrições de alto nível que suas equipes devem seguir para permanecerem em conformidade. Analise as políticas da sua organização e mapeie cada requisito para os seus processos operacionais. Se você não tiver políticas de governança, primeiro documente as políticas de governança.

2. Gerencie a conformidade. A aplicação da conformidade garante que seu ambiente permaneça alinhado com as normas organizacionais e regulamentares. Consulte a tabela a seguir para obter recomendações políticas.

   Recomendação	Detalhes
   Comece com Definições gerais de política	Comece pelas definições gerais do Azure Policy, incluindo localizações permitidas, tipos de recursos não permitidos e funções personalizadas de RBAC para auditar.
   Conformar-se às normas regulatórias	Use as definições gratuitas e incorporadas da Azure Policy, alinhadas com normas regulatórias como ISO 27001, NIST SP 800-53 e PCI DSS.

Para mais informações, consulte Aplicação da conformidade em Azure.

Gerenciar dados

O gerenciamento de dados em operações de nuvem envolve classificar ativamente, segmentar, proteger o acesso e proteger contra exclusão. Deve proteger informações sensíveis, manter a conformidade e garantir a fiabilidade dos dados durante as alterações operacionais. Siga estes passos:

1. Descubra e classifique dados. Identificar e categorizar os dados de acordo com a sensibilidade e importância. Esta classificação orienta controles personalizados para cada tipo de dados. Use Microsoft Purview para governação de dados. Para mais informações, consulte Fontes de dados que se ligam ao Microsoft Purview Data Map.

2. Controle a residência dos dados. Selecione regiões dentro da sua área geográfica, como os Estados Unidos ou a Europa, para cumprir os requisitos de residência de dados. Verifica quaisquer exceções porque certos serviços de Azure podem armazenar dados fora da tua região selecionada. Revise regularmente as definições de residência de dados do Azure e os requisitos de conformidade para manter controlo total sobre os dados dos seus clientes.

3. Isole as cargas de trabalho internas ("Corp") e as que estão viradas para a internet ("Online"). Use grupos de gestão para separar cargas de trabalho internas e externas. As cargas de trabalho internas normalmente exigem conectividade ou conectividade híbrida com sua rede corporativa. As cargas de trabalho externas geralmente não exigem conectividade de rede corporativa e podem precisar de acesso direto à Internet de entrada ou saída. Por exemplo, reveja os grupos de gestão "Corp" (interno) e "Online" (com acesso à internet) na zona de aterragem Azure.

4. Aplicar controlo de acesso. Implementar controlos de acesso robustos, como Azure RBAC e Azure ABAC, para garantir que apenas pessoal autorizado acede a dados sensíveis com base em classificações definidas.

5. Proteja os dados contra exclusão. Use recursos como exclusão suave, controle de versão de dados e imutabilidade, quando disponíveis. Implemente o controle de versão do banco de dados e prepare procedimentos de reversão. Use a Azure Policy para negar eliminações de armazenamentos de dados com os efeitos Deny e DenyAction ou auditar alterações com Audit e auditIfNotExists. Se usares Bicep, considera usar stacks de implantação Bicep para evitar alterações não autorizadas. Apenas use bloqueios de recursos para evitar estritamente modificações ou exclusões não intencionais de dados críticos. Evite usar bloqueios de recursos para proteger configurações, pois os bloqueios de recursos complicam as implantações de IAC.

6. Gerir dados de trabalho. Ver as recomendações do Well-Architected Framework sobre a classificação de dados.

Para obter mais informações, consulte Implementar governança de dados.

Gerir os custos

Gerenciar custos em operações de nuvem significa rastrear os gastos ativamente de forma centralizada e por carga de trabalho. O controlo dos custos deve dar visibilidade às despesas e incentivar despesas responsáveis. Siga estes passos:

1. Gere e reveja custos. Utilize ferramentas de Microsoft Cost Management para monitorizar custos na cloud. O Azure não tem um mecanismo para toda a subscrição que limite os gastos a um certo limiar. Alguns serviços, como Azure Log Analytics workspace, têm limites de despesa. Sua estratégia de monitoramento de custos serve como sua principal ferramenta para gerenciar despesas.

2. Gerencie os custos da carga de trabalho. Conceda acesso de faturamento às equipes de carga de trabalho. Façam com que estas equipas utilizem a lista de verificação de otimização de custos do Well-Architected Framework .

Gerenciar código e tempo de execução

O gerenciamento de código e tempo de execução são responsabilidades de carga de trabalho. Faça com que suas equipes de carga de trabalho usem a lista de verificação de Excelência Operacional do Well-Architected Framework, que descreve 12 recomendações para controlar o código e o tempo de execução.

Gerenciar recursos na nuvem

Estabeleça protocolos de implantação claros e estratégias proativas de deteção de desvio e expansão para manter a consistência entre os ambientes. Esta secção abrange:

• Implementações de portal
• Implantações de código
• Desvio de configuração
• Expansão de recursos

Gerenciar implantações de portal

Defina protocolos e limites para implantações de portal para minimizar o potencial de problemas de produção. Siga estes passos:

1. Definir a política de implantação do portal. Garantir que mudanças significativas baseadas em portais sigam os processos de gerenciamento de mudanças estabelecidos. Use implantações de portal principalmente para prototipagem rápida, solução de problemas ou pequenos ajustes em ambientes de desenvolvimento e teste. Evite alterações não estruturadas no portal porque essas alterações levam a desvios, configurações incorretas e problemas de conformidade. Em vez disso, confie em modelos de infraestrutura como código (IaC) controlados por versão para obter consistência. Para obter mais informações, consulte gerir implementações de código.

2. Diferenciar ambientes. Limite as alterações baseadas em portal estritamente a ambientes que não sejam de produção. Permita a prototipagem rápida exclusivamente em ambientes dedicados de desenvolvimento ou teste e imponha controles rigorosos na produção.

3. Restringir permissões do portal. Limite as capacidades de implementação do portal usando o controlo de acesso baseado em funções (RBAC). Atribua permissões somente leitura por padrão e escale privilégios somente quando necessário.

   • Conceda acesso just-in-time. Use Privileged Identity Management (PIM) para aceder a recursos Azure e Microsoft Entra. Requer aprovações sequenciais de vários indivíduos ou grupos para ativar o PIM. Reserve funções privilegiadas ("A0" funções de super administrador) exclusivamente para cenários de emergência.

   • Estrutura RBAC com base no modelo operacional. Projetar políticas RBAC sob medida para equipes operacionais, incluindo níveis de suporte, operações de segurança, plataformas, rede e cargas de trabalho.

   • Auditar todas as atividades. Monitore e registre todas as ações em seu sistema. Use Azure Policy para auditar alterações (Audit ou auditIfNotExists). Além disso, configure o alerta alert em Azure Monitor para notificar as partes interessadas quando alguém elimina um recurso Azure. Se usares Bicep, considera usar stacks de implantação Bicep para evitar alterações não autorizadas.

4. Use modelos com controle de versão. Limite o uso do portal a cenários de emergência se empregar implantações de IaC. As alterações no portal resultam em desvio de configuração dos modelos IaC. Replicar imediatamente todas as alterações baseadas em portais em modelos IaC controlados por versão, como modelos Bicep, Terraform ou ARM. Exporte regularmente configurações de recursos do Azure e armazene-as como IaC para manter os ambientes de produção alinhados com configurações aprovadas e rastreáveis. Consulte orientações sobre como exportar Azure configurações como Bicep, Terraform ou ARM templates. Considere as especificações de modelos se estiver a usar modelos ARM.

   Ferramenta	Caso de uso
   Bicep	IaC gerível e legível específico do Azure
   Terraforma	Solução multicloud, suporte mais amplo da comunidade
   modelos ARM	Controle total, confortável com JSON

Gerenciar implantações de código

Adote práticas recomendadas para automatizar e controlar alterações no código e na infraestrutura. Siga estes passos:

1. Padronizar ferramentas. Use um conjunto de ferramentas consistente para minimizar a troca de contexto. Escolha ferramentas para programadores (VS Code, Visual Studio), um repositório de código (GitHub, Azure DevOps), um pipeline CI/CD (GitHub Actions, Azure Pipelines) e uma solução IaC (Bicep, Terraform, ou ARM templates) que funcionam em conjunto.

2. Use o controle de versão. Mantenha uma única fonte de verdade para o seu código. Use o controle de versão para reduzir o desvio de configuração e simplificar os procedimentos de reversão.

3. Utilize pipelines de implantação. Uma pipeline de CI/CD automatiza o processo de compilação, executa testes e faz uma verificação do código em busca de problemas de qualidade e segurança em cada pedido de pull. Use GitHub Actions ou Azure Pipelines para construir e implementar código de aplicação e ficheiros IaC. Imponha ganchos de pré-confirmação e verificações automatizadas para detetar alterações não autorizadas ou de alto risco antecipadamente.

4. Testar implantações. Aprovações em etapas nos seus pipelines de CI/CD para validar progressivamente as implantações. Siga esta sequência: desenvolvimento, verificação de compilação, testes de integração, testes de desempenho, UAT (teste de aceitação do usuário), estágio, lançamentos canários, pré-produção e, finalmente, produção.

5. Use a infraestrutura como código (IaC). Use o IaC para garantir a consistência e gerenciar implantações por meio do controle de versão. Passar de provas de conceito baseadas em portais Azure para IaC para ambientes de produção. Use modelos Bicep, Terraform ou ARM para definir recursos. Para Bicep, use módulos e considere pilhas de implementação. Para o modelo ARM, considere as especificações do modelo para implantação com controle de versão.

6. Aplicar as melhores práticas do repositório de código. Seguir esses padrões reduz erros, simplifica revisões de código e evita problemas de integração. Para ambientes de produção de alta prioridade:

   Exigência	Descrição
   Desativar envios diretos	Bloquear confirmações diretas para a ramificação principal
   Exigir requisições de pull	Exigir que todas as alterações passem por uma solicitação pull
   Exigir revisões de código	Certifique-se de que alguém que não seja o autor revise cada pedido de pull.
   Aplicar limiares de cobertura de código	Garantir que uma porcentagem mínima de código seja aprovada nos testes automatizados para todos os pedidos de pull
   Utilizar pipelines de validação	Configurar regras de proteção de ramificação para executar um pipeline de validação para solicitações pull

7. Exigir verificações de integração da equipe de carga de trabalho. Verifique se as novas bases de código e equipes estão alinhadas com as metas de negócios, os padrões e as práticas recomendadas. Use uma lista de verificação para confirmar a estrutura do repositório de código, padrões de nomenclatura, padrões de codificação e configurações de pipeline de CI/CD.

Gerenciar desvio de configuração

Gerencie desvios de configuração identificando e corrigindo discrepâncias entre a configuração pretendida e o ambiente ativo. Siga estas práticas recomendadas:

1. Prevenir e detetar alterações. Use Análise de Alterações para detetar alterações de configuração e explicar as suas causas subjacentes. Use Azure Policy para negar e auditar alterações usando efeitos como Deny, DenyAction, Audit e auditIfNotExists. Se usares Bicep, considera usar stacks de implantação Bicep para evitar alterações não autorizadas.

2. Detectar desvio na configuração IaC. O desvio ocorre quando alguém atualiza o ficheiro da configuração IaC (intencional ou não intencional) ou realiza uma alteração no portal do Azure. Compare regularmente o ambiente ao vivo com a configuração desejada para detetar desvios:

   • Armazene as configurações desejadas e a última configuração conhecida como funcional. Guarde o arquivo de configuração desejado em um repositório sob controle de versão. Este arquivo mostra a configuração original pretendida. Mantenha uma última configuração válida conhecida como uma referência de reversão confiável e linha de base para deteção de desvios.

   • Detetar desvio de configuração antes da implementação. Pré-visualizar as alterações potenciais antes da implementação usando Terraform plan, Bicep what-if ou modelo ARM what-if. Investigue as discrepâncias minuciosamente para garantir que as alterações propostas estejam alinhadas com o estado desejado.

   • Detectar desvio após a implantação. Compare regularmente ambientes ativos com as configurações desejadas através de verificações frequentes de desvio. Integre essas verificações em seus pipelines de CI/CD ou conduza-as manualmente para manter a consistência. Veja um exemplo com Azure Policy e Azure Pipelines.

   • Reversão para a última configuração conhecida como estável. Desenvolva estratégias claras de reversão que usem procedimentos automatizados na sua pipeline de CI/CD. Use a sua última configuração conhecida como boa para reverter rapidamente alterações indesejadas e minimizar o tempo de inatividade.

   • Minimize as alterações impulsionadas pelo portal. Minimize alterações que não sejam IaC apenas para situações de emergência. Aplicar controlos de acesso rigorosos, como o Privileged Identity Management. Atualize imediatamente os arquivos IaC se forem necessários ajustes manuais para preservar a precisão da configuração desejada.

Gerenciar a expansão de recursos

A expansão de recursos descreve o crescimento descontrolado dos recursos de nuvem. Esse crescimento aumenta os custos, os riscos de segurança e a complexidade do gerenciamento. Siga estes passos:

1. Implementar políticas de governança. Use Azure Policy para impor normas para provisionamento de recursos e etiquetagem em toda a sua organização. Crie uma estratégia de nomenclatura clara para facilitar a visibilidade dos recursos.

2. Organize os recursos de forma eficaz. Estruture recursos hierarquicamente com grupos de gerenciamento e assinaturas alinhadas às necessidades da sua organização. Esta estrutura melhora a visibilidade e a gestão de recursos. Consulte as orientações da Zona de Aterragem do Azure para boas práticas comprovadas.

3. Restringir permissões de implementação. Implementar as melhores práticas de controlo de acesso baseado em funções (RBAC) descritas em Azure RBAC e Microsoft Entra RBAC. Atribua permissões apropriadas aos usuários. Use funções de leitor para minimizar os riscos de criação de recursos não autorizados.

4. Realizar auditorias regulares. Utilizar Assistente do Azure para identificar recursos de Azure não utilizados ou subutilizados. Use o Gerenciamento de Custos para analisar seus gastos na nuvem e remover recursos órfãos que causam custos desnecessários. Tenha em mente que nem todos os recursos do Azure podem incorrer em custos. Execute consultas em Azure Resource Graph para manter um inventário de recursos preciso.

Gerir a recolocação

Avalie periodicamente as suas regiões atuais do Azure para determinar se realocar cargas de trabalho para outros locais melhora a eficiência, reduz custos ou melhora o desempenho.

• Entenda os drivers de realocação. Compreender os fatores de recolocação garante que cada recolocação tem uma justificação comercial válida, dado que a recolocação envolve riscos e custos. As justificativas comerciais comuns para a realocação incluem expansão de negócios, requisitos de conformidade regulatória e proximidade com usuários finais.

• Gerencie os riscos de realocação. O gerenciamento dos riscos de realocação evita interrupções e mantém a conformidade. Defina janelas de tempo de inatividade aceitáveis, comunique os impactos às partes interessadas e garanta a aderência às políticas organizacionais e às regulamentações do setor.

• Gerencie os custos de realocação. A gestão dos custos de recolocação evita despesas desnecessárias durante a migração. Transfira dados uma vez, remova ambientes duplicados e compare preços regionais do Azure. Consulte o preçário da largura de banda Azure.

• Gerencie projetos de recolocação. Equipes pequenas devem migrar cargas de trabalho uma de cada vez com execução focada. Grandes equipes devem realocar várias cargas de trabalho simultaneamente para alcançar a eficiência por meio de um planejamento coordenado.

Para obter mais informações, consulte Relocalizar cargas de trabalho.

Gerenciar sistemas operacionais

Quando você usa máquinas virtuais, também precisa gerenciar o sistema operacional. Siga estes passos:

1. Automatizar a manutenção das máquinas virtuais. Em Azure, utilize ferramentas automação para criar e gerir Azure máquinas virtuais. Use Configuração de Máquina Azure para auditar ou configurar as definições do sistema operativo como código para máquinas em execução no Azure e em ambientes híbridos.

2. Atualizar sistemas operacionais. Você precisa gerenciar atualizações de convidados e de manutenção do host para garantir que os sistemas operacionais estejam atualizados para fins de segurança.

3. Monitorizar as operações de hóspedes. Utilizar o serviço Azure Registo de Alterações e Inventário para melhorar a auditoria e a governação das operações de hóspedes. Monitoriza alterações e fornece registos detalhados de inventário para servidores no Azure, on-premises e outros ambientes cloud.

Ferramentas de gestão do Azure

Próximos passos