Microsoft 宣布正式发布 Azure 管理组（Management Group）。Azure 管理组通过集中管理 Azure 策略、 RBAC 等，组织并应用对同一管理组中所有预订（Subscription）的治理（Governacne）功能。
近期，三家主要的云服务提供商都给出了各自的订阅分组方法。Amazon 使用的是 AWS Organizations ，Google 使用的是 Resource Manager 层级实现。现在，Microsoft 也提供了 Azure 管理组。每个云服务提供商都声称，自己的分组服务通过改进整个组织范围内的安全和合规，有助于实现整体访问控制，并对云消费情况给出更好的可见性和可维护性。Azure 管理组的发布，为实现包括 Enterprise Agreement、Pay-As-You-Go 和 Certified Solution Partner 等各种订阅的分组提供了一种方式。
图片来源： https://docs.microsoft.com/en-us/azure/azure-resource-manager/management-groups-overview
现在，组织可在管理组的所有层级（Hierarchy）上应用管治和合规。进而，管理组可被给定组的层级中的所有订阅继承，其中包括设置 Azure 规则。Azure 规则强制了 Azure 资源的规则和效果，例如，只允许虚拟机SKU 的某个子集，或是符合某种命名标准。Azure 管理组的另一个功能是使用 RBAC 实现对多个订阅的访问管理。
在层级中，管理组中定义的策略和规则不能被较低层次覆盖，这是订阅应该严格遵循的限制。使用 Azure 管理组时，应该遵守如下基本约束：
- 单个目录最大支持 10000 个管理组。
- 管理组树最大可支持的深度为 8，其中包括根层和订阅层。
- 一个管理组可以具有多个子组，但是订阅和管理组只能具有一个父亲。
- 对于每个目录中的单个层级，订阅和管理组都是其中的组成部分。
- 当前，管理组不支持自定义 RBAC 角色。
要实现 Azure 管理组，首先要创建一个管理组，推荐参阅Benoit Hamet 给出的一个分步操作概述。实现中将首先构建一个根管理组，然后将所有的现有订阅移动到该根管理组中。完成管理组创建之后，目录管理者必须提升自身角色为组所有者。之后，管理组可以添加额外的管理组，构建完整的层级树。要将一个组新加为层级树中的一层，需要将其做为另一个管理组的子组。相应的，在层级树中重定位订阅或管理组，将会继承父管理组的规则和策略，进而使得治理控制可重用。
据Azure 专家和Microsoft MVP Aidan Finn 介绍，Azure 管理组将有助于改进对具有多个订阅的组织的管治和合规：
对于在单个租户中具有大量订阅的复杂组织，管理组在组织层级和订阅层级设置 RBAC 模型和 Azure Policy 治理上具有很大的帮助。
查看英文原文： Microsoft Announces General Availability of Azure Management Groups
暂无签名
腾讯云云原生提质增效实践精选集 2024
《2024腾讯云云原生提质增效实践精选集》出炉，5大热门技术领域，13个行业精选标杆案例，痛点到解决方案全...
评论