Décrire l’infrastructure de gestion Azure
L’infrastructure de gestion comprend les ressources Azure, les groupes de ressources, les abonnements et les comptes.
Comprendre l’organisation hiérarchique vous aidera à planifier vos projets et produits dans Azure.
Ressources et groupes de ressources Azure
Une ressource est l’élément de base d’Azure.
Tout ce que vous créez, provisionnez, déployez, etc., est considéré comme une ressource.
Les machines virtuelles (VM), les réseaux virtuels, les bases de données, les services cognitifs, etc., sont tous des ressources dans Azure.
Groupes de ressources
Les groupes de ressources sont simplement des regroupements de ressources.
Lorsque vous créez une ressource, vous devez obligatoirement la placer dans un groupe de ressources.
Un groupe de ressources peut contenir plusieurs ressources, mais une ressource ne peut appartenir qu’à un seul groupe à la fois.
Certaines ressources peuvent être déplacées d’un groupe à un autre, mais une fois déplacée, la ressource n’est plus associée à son groupe précédent.
De plus, les groupes de ressources ne peuvent pas être imbriqués, c’est-à-dire que vous ne pouvez pas placer le groupe B à l’intérieur du groupe A.
Les groupes de ressources offrent un moyen pratique de regrouper les ressources.
Lorsque vous appliquez une action à un groupe de ressources, cette action s’applique à toutes les ressources qu’il contient.
Par exemple :
- Si vous supprimez un groupe de ressources, toutes les ressources qu’il contient seront supprimées.
- Si vous accordez ou refusez l’accès à un groupe de ressources, vous accordez ou refusez l’accès à toutes les ressources du groupe.
Lors du provisionnement de ressources, il est utile de réfléchir à la structure de groupe de ressources qui convient le mieux à vos besoins.
Par exemple :
- Si vous configurez un environnement de développement temporaire, regrouper toutes les ressources permet de tout supprimer d’un coup en supprimant le groupe de ressources.
- Si vous provisionnez des ressources de calcul avec trois schémas d’accès différents, il peut être préférable de regrouper les ressources selon le schéma d’accès, puis d’attribuer les autorisations au niveau du groupe de ressources.
Il n’existe pas de règles strictes sur la manière d’utiliser les groupes de ressources.
Réfléchissez à la meilleure organisation pour maximiser leur utilité dans votre contexte.
Abonnements Azure
Dans Azure, les abonnements sont une unité de gestion, de facturation et d’échelle.
Tout comme les groupes de ressources permettent d’organiser logiquement les ressources, les abonnements permettent d’organiser logiquement les groupes de ressources et de faciliter la facturation.
Utiliser Azure nécessite un abonnement Azure
Un abonnement vous donne un accès authentifié et autorisé aux produits et services Azure.
Il vous permet également de provisionner des ressources.
Un abonnement Azure est lié à un compte Azure, qui correspond à une identité dans Microsoft Entra ID ou dans un annuaire approuvé par Microsoft Entra ID.
Un compte peut avoir plusieurs abonnements, mais un seul abonnement est requis.
Dans un compte avec plusieurs abonnements, vous pouvez :
- Configurer différents modèles de facturation
- Appliquer différentes politiques de gestion des accès
Les abonnements Azure permettent de définir des limites autour des produits, services et ressources Azure.
Il existe deux types de limites d’abonnement :
Limite de facturation
Ce type d’abonnement détermine comment un compte Azure est facturé pour l’utilisation d’Azure.
Vous pouvez créer plusieurs abonnements pour répondre à différents besoins de facturation.
Azure génère des rapports et des factures distincts pour chaque abonnement, ce qui vous permet d’organiser et de gérer les coûts.
Limite de contrôle d’accès
Azure applique les politiques de gestion des accès au niveau de l’abonnement.
Vous pouvez créer des abonnements distincts pour refléter différentes structures organisationnelles.
Par exemple, dans une entreprise, vous pouvez appliquer des politiques d’abonnement spécifiques à chaque département.
Ce modèle vous permet de gérer et contrôler l’accès aux ressources que les utilisateurs provisionnent via des abonnements spécifiques.
Créer des abonnements Azure supplémentaires
Tout comme vous utilisez des groupes de ressources pour séparer les ressources par fonction ou accès, vous pouvez créer des abonnements supplémentaires pour gérer les ressources ou la facturation.
Par exemple, vous pouvez créer des abonnements distincts pour séparer :
- Les environnements : développement, test, sécurité, ou pour isoler les données à des fins de conformité.
Cela est utile car le contrôle d’accès aux ressources s’effectue au niveau de l’abonnement. - Les structures organisationnelles : vous pouvez créer des abonnements pour refléter différentes équipes.
Par exemple, limiter une équipe à des ressources à faible coût, tout en permettant au service informatique d’accéder à l’ensemble des ressources. - La facturation : vous pouvez créer des abonnements pour suivre les coûts selon vos besoins.
Par exemple, un abonnement pour les charges de production et un autre pour les charges de développement et de test.
Groupes de gestion Azure
Le dernier élément est le groupe de gestion.
Les ressources sont regroupées dans des groupes de ressources, qui sont eux-mêmes regroupés dans des abonnements.
Si vous débutez avec Azure, cela peut sembler suffisant pour organiser vos ressources.
Mais imaginez que vous gériez plusieurs applications, plusieurs équipes de développement, dans plusieurs zones géographiques.
Si vous avez de nombreux abonnements, vous aurez besoin d’un moyen efficace pour gérer les accès, les politiques et la conformité.
Les groupes de gestion Azure offrent un niveau de portée supérieur aux abonnements.
Vous pouvez organiser les abonnements dans des conteneurs appelés groupes de gestion et y appliquer des conditions de gouvernance.
Tous les abonnements dans un groupe de gestion héritent automatiquement des conditions appliquées à ce groupe,
de la même manière que :
- Les groupes de ressources héritent des paramètres des abonnements
- Les ressources héritent des paramètres des groupes de ressources
Les groupes de gestion permettent une gestion à grande échelle de niveau entreprise, quel que soit le type d’abonnement.
Les groupes de gestion peuvent être imbriqués.
Hiérarchie : groupe de gestion, abonnements et groupes de ressources
Vous pouvez construire une structure flexible de groupes de gestion et d’abonnements pour organiser vos ressources dans une hiérarchie,
afin d’assurer une gestion unifiée des politiques et des accès.
Un diagramme peut illustrer comment créer une hiérarchie de gouvernance à l’aide des groupes de gestion.
Quelques exemples d’utilisation des groupes de gestion :
- Créer une hiérarchie pour appliquer une stratégie :
Vous pouvez, par exemple, limiter l’emplacement des machines virtuelles (VM) à la région US West dans un groupe appelé Production.
Cette stratégie sera héritée par tous les abonnements descendants de ce groupe de gestion et s’appliquera à toutes les VM de ces abonnements.
Cette stratégie de sécurité ne peut pas être modifiée par le propriétaire de la ressource ou de l’abonnement, ce qui permet une meilleure gouvernance. - Fournir un accès utilisateur à plusieurs abonnements :
En regroupant plusieurs abonnements sous un groupe de gestion, vous pouvez créer une seule affectation de rôle Azure RBAC (contrôle d’accès basé sur les rôles) au niveau du groupe de gestion.
L’attribution de RBAC à ce niveau signifie que tous les sous-groupes de gestion, abonnements, groupes de ressources et ressources situés sous ce groupe hériteront automatiquement des autorisations.
Une seule affectation au niveau du groupe de gestion peut permettre aux utilisateurs d’accéder à tout ce dont ils ont besoin, sans avoir à configurer manuellement le RBAC sur chaque abonnement.
Faits importants sur les groupes de gestion :
- Un annuaire unique peut prendre en charge jusqu’à 10 000 groupes de gestion.
- Un arbre de groupes de gestion peut comporter jusqu’à six niveaux de profondeur (ceci n’inclut pas le niveau racine ni le niveau abonnement).
- Chaque groupe de gestion et chaque abonnement ne peuvent avoir qu’un seul parent.
