Auf den ersten Blick wird meist nur der technische Aspekt einer Migration betrachtet. Mindestens genauso wichtig ist aber die Struktur, in welcher die eigene Umgebung abgebildet werden soll.
Auf welche Systeme dürfen welche Benutzer administrativen Zugang haben? Welche Rollen verteile ich auf welche Ressourcen? Darf Benutzer A alles einsehen, genau wie Benutzer B?
In unserem neuen Azure Glossar können Sie die wichtigsten Begriffe und Abkürzungen für Ihren Start in Azure nachlesen.
Azure Glossar – wichtige Begriffe und Konzepte für Ihren Quickstart in Azure (qualityhosting.de
Cloud-Bereiche im Überblick
Dieser Blog-Beitrag geht auf die grundlegende Struktur in der Microsoft Cloud mit Fokus auf die Azure-Struktur ein.
Die Nutzung von Microsoft 365 gehört schon lange zum Alltag. Die einzelnen Tools sind mittlerweile im Arbeitsumfeld und bei der Mehrheit der Firmen angekommen, bietet es doch tolle Möglichkeiten zur Zusammenarbeit. Microsoft Teams ist hier nur eines von vielen großartigen Beispielen.
Das Azure Active Directory (AAD) ist die zentrale Stelle zum Verwalten von Identitäten. Es können reine Cloud-Identitäten oder, sofern konfiguriert, auch Hybrid-Identitäten, synchronisiert in die Cloud über einen Azure AD Connect verwaltet werden. Dazu bietet das AAD viele Security-Features von PIM bis hin zu Conditional Access, um die Identitäten optimal zu schützen.
Microsoft Azure als zweiter großer Bereich bietet die Möglichkeit, „klassische Infrastruktur“ als solche mit einem Angebot aus sehr flexiblen und skalierbaren Lösungen abzulösen. Virtuelle Maschinen und Netzwerke, einen Fileserver-as-a-Service oder auch einen Terminalserver mit Windows 11 ohne VPN-Zwang: All das und noch viel mehr können Sie mit Microsoft Azure machen.
Schauen wir uns nun an, wie diese drei Bereiche nun zusammen gehören:
Jedes Unternehmen, welches Clouddienste von Microsoft nutzt, hat einen sogenannten „Microsoft Tenant“. Der Tenant beschreibt die virtuelle Umgebung eines Kunden bei Microsoft.
In jedem Tenant ist ein Azure Active Directory (AAD). Wie bereits erwähnt, ist dies die Identitätenverwaltung in der Microsoft Cloud. Im AAD werden alle Identitäten verwaltet, welche in Microsoft 365 genutzt werden. Darüber hinaus werden Gruppen, Geräte, Enterprise Apps und weitere Objekte über das AAD gepflegt. Wenn einem Benutzer in Microsoft 365 eine Lizenz zugewiesen wird, dann wird diese Lizenz einem Benutzer aus dem Azure Active Directory zugewiesen.
Dienste wie Microsoft Teams, Planner, SharePoint oder auch das E-Mailpostfach nutzen die Benutzeridentitäten, welche im Azure Active Directory hinterlegt sind.
Microsoft Azure, als weiterer Baustein, benötigt eine kostenlose Subscription, damit Ressourcen in Azure erstellt werden können. Damit Benutzer oder Administratoren Inhalte in Azure erstellen können, benötigen diese eine entsprechende Berechtigung auf die Azure Subscription. Es ist nun möglich, aus seinem Tenant und somit aus dem Azure Active Directory, seine vorhandenen Benutzer auf die Azure Subscription zu berechtigen.
Das AAD mitsamt seinen Identitäten wird also nicht nur für Microsoft 365 genutzt, sondern wird auch für die Microsoft Azure-Umgebung genutzt.
In Microsoft Azure ist es möglich, mehr als eine Subscription zu nutzen. Da es möglich ist, auf unterschiedliche Subscriptions verschiedene Berechtigungen zu erteilen, bieten mehrere Subscriptions eine Trennung von Berechtigungen und Ressourcen. Im Enterprise-Umfeld werden mehrere Subscriptions häufig auch zur Kostentrennung nach Kostenstellen genutzt.
In kleineren Unternehmen ist dies im Regelfall nicht nötig, da es die Berechtigungsstruktur auch unnötig kompliziert machen kann. Eine Kostenfilterung sowie Berechtigungstrennung lassen sich zudem ebenfalls über andere Wege innerhalb einer Subscription nutzen.
Bei der Nutzung von mehreren Subscriptions bleibt es beim administrativen Aufwand. Jede einzelne Subscription muss gepflegt und regelmäßig geprüft werden auf eine korrekte Berechtigungsvergabe. Subscriptions untereinander können Berechtigungen nicht vererben, da alle Subscriptions auf gleicher Ebene angeordnet sind. Zur Gruppierung von Subscriptions wurden die Managementgruppen eingeführt:
Mit einer Managementgruppe können mehrere Subscriptions in einer Managementgruppe zusammengefasst werden, wodurch die gewünschten Berechtigungen auf die Managementgruppe gesetzt werden können, welche von dort an die darunter liegenden Subscriptions vererbt werden. Es ist möglich, mehrere Managementgruppen zu erstellen und diese, genau wie die Subscriptions, in einer Hierarchie mit 6 Ebenen anzuordnen.
Die Azure Subscriptions sind als eine Art Container zu betrachten, in welchen sogenannte „Ressourcengruppen“ platziert werden. Subscriptions dienen zudem der Abrechnung und sind daher zwingend notwendig – selbst für kostenfreie Inhalte.
Ressourcengruppen beinhalten die Ressourcen, welche in Azure erstellt werden. Ressourcen können beispielsweise eine virtuelle Maschine oder auch eine Speicherlösung sein. Alles, was in Azure erstellt wird, muss einer Ressourcengruppe angehören, welche wiederum einer Subscription angehört. Die einzelnen Ressourcen können frei zu verschiedenen Ressourcengruppen bei der Erstellung zugeordnet werden.
Inhalte einer Ressourcengruppe sind oft Ressourcen eines selben Typs:
| Ressourcengruppe A | Ressourcentyp „VM’s“ |
| Ressourcengruppe B | Ressourcentyp „virtuelle Netzwerke“ |
| Ressourcengruppe C | Ressourcentyp „Storage“ |
Eine andere Variante ist es, Ressourcen in einer Ressourcengruppe zu gruppieren, welche sich einen gemeinsamen Lifecycle teilen. Ein Testsystem, welches eine virtuelle Maschine, ein virtuelles Netzwerk und weitere Ressourcen enthält und nach 6 Monaten gelöscht werden soll, kann in einer einzelnen Ressourcengruppe gruppiert und durch die Löschung der Gruppe komplett entfernt werden.
Die Azure Subscription liegt innerhalb von Microsoft Azure, welches im eigenen Tenant genutzt wird. Dadurch kann man die vorhandenen Benutzer aus dem Azure Active Directory auf die Azure-Inhalte berechtigen.
Eine Berechtigungsvergabe ist auf folgende, oben sichtbare Objekte möglich:
- Subscription
- Managementgruppe
- Ressourcengruppe
- Ressource
Hierbei können einzelne Benutzer oder auch Gruppen sowie weitere Identitätentypen und Anwendungen mit verschiedenen Rechten ausgestattet werden. Die Berechtigung auf eines der Objekte ermöglicht die Bearbeitung/Administration der Ressource. Eine Anmeldung, beispielsweise an einer virtuellen Maschine, benötigt, je nach Konfiguration, ganz andere Anmeldeinformationen.
Fazit
Als Unternehmen sollte man sich über eine sinnvolle Struktur und eine Namenskonvention für Ressourcengruppen und Ressourcen Gedanken machen. Wie zu Beginn erwähnt, spielt die Struktur einer IT-Umgebung im Allgemeinen und damit auch in Microsoft Azure eine wichtige Rolle. Der Aufbau bestimmt, in welchem Maße Berechtigungen vergeben und Zugriffe gewehrt oder auch verwehrt werden können, um so eine sichere IT-Umgebung zu schaffen.