Latest / M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands / Azure Policy vs RBAC: wie mag wat en welke configuraties zijn toegestaan – Azure-governance helder uitgelegd (AI-nasynchronisatie)

Transcript

Azure Policy vs RBAC: wie mag wat en welke configuraties zijn toegestaan – Azure-governance helder uitgelegd (AI-nasynchronisatie) · M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands

• 0:02
  Speaker 2: Vandaag praten we over een Azure-functie waar je waarschijnlijk wel
• 0:05
  Speaker 2: eens van hebt gehoord, maar die je misschien niet volledig begrijpt.
• 0:07
  Speaker 2: Azure Policy, het is een van de krachtigste governance tools
• 0:10
  Speaker 2: van het hele platform, maar de meeste mensen negeren het
• 0:13
  Speaker 2: of denken dat het alleen voor IT-beheerders is. Aan het
• 0:15
  Speaker 2: einde van deze aflevering weet je wat Azure Policy echt is,
• 0:19
  Speaker 2: hoe het werkt als een onzichtbaar regelboek en waarom het
• 0:21
  Speaker 2: essentieel is om je Azure-omgeving veilig en onder controle te houden.
• 0:25
  Speaker 2: We gaan het opdelen in duidelijke bouwstenen, beginnend bij het
• 0:27
  Speaker 2: probleem dat het oplost. Pak je koffie en laten we beginnen.
• 0:31
  Speaker 2: Het probleem, waarom de cloud van Rails nodig heeft. Denk
• 0:34
  Speaker 2: eens aan de oude manier van werken. Op locatie, wanneer
• 0:37
  Speaker 2: je een server nodig had, diende je een verzoek in
• 0:39
  Speaker 2: bij het operations team. Zij controleerde de regels, bedrijfsbeleid, beveiligingsstandaarden
• 0:44
  Speaker 2: en misschien wat wettelijke eisen en leverde dan de server
• 0:47
  Speaker 2: voor je op. Een menselijke poortwachter stond tussen jou en
• 0:49
  Speaker 2: de infrastructuur in. Die persoon kende de regels en zorgde
• 0:52
  Speaker 2: dat er niets doorheen glipte. De cloud draait dat volledig om.
• 0:54
  Speaker 2: Nu heeft de applicatie-eigenaar direct toegang zonder dat er een
• 0:57
  Speaker 2: mens tussen zit. Klik op maken in de Azure portal
• 1:00
  Speaker 2: en het gebeurt direct. Je kunt ook de opdrachtregel, een
• 1:02
  Speaker 2: API of infrastructure als codetool zoals Terraform gebruiken. Het punt
• 1:06
  Speaker 2: is dat niemand je werk controleert voordat de resource wordt aangemaakt.
• 1:09
  Speaker 2: En daar begint het probleem. De meeste applicatie-eigenaren kennen niet
• 1:12
  Speaker 2: alle regels. Misschien realiseren ze zich niet dat het bedrijfsbeleid
• 1:14
  Speaker 2: vereist dat alle data in Europa blijft. Of dat storage
• 1:17
  Speaker 2: accounts publieke toegang moeten blokkeren. Of dat bepaalde VM groottes
• 1:20
  Speaker 2: duur zijn en alleen in productie gebruikt mogen worden. Dus
• 1:22
  Speaker 2: ze gaan hun gang en maken resources aan, en soms
• 1:24
  Speaker 2: gebeuren er fouten. Een virtuele machine wordt ingezet met een
• 1:27
  Speaker 2: publiek IP-adres en open poorten naar het internet. Een storage
• 1:29
  Speaker 2: account wordt aangemaakt met publieke blop toegang, waardoor gevoelige data
• 1:32
  Speaker 2: blootgesteld wordt. Iemand start een dure GPU-instantie voor een snelle
• 1:36
  Speaker 2: test en vergeet deze te verwijderen. Deze dingen gebeuren de
• 1:38
  Speaker 2: hele tijd. Wat we nodig hebben is een automatisch handhavingssysteem
• 1:42
  Speaker 2: dat altijd werkt. Ongeacht wie de resource maakt of hoe
• 1:44
  Speaker 2: ze het doen. Of het nu via de portal, de CLI,
• 1:47
  Speaker 2: een API-aanroep of een Terraform deployment is, de regels moeten
• 1:49
  Speaker 2: automatisch worden gecontroleerd. En dat is precies wat Azure Policy
• 1:53
  Speaker 2: is gebouwd om te bieden. Wat is Azure Policy, het
• 1:55
  Speaker 2: onzichtbare regelboek? Dus wat is Azure Policy? Hier is de
• 1:58
  Speaker 2: simpelste definitie. Azure Policy is een service waarmee je regels
• 2:01
  Speaker 2: voor je Azure Resources kunt definiëren en deze automatisch handhaaft.
• 2:04
  Speaker 2: Denk erover als het regelboek van een boordspel. Het spel
• 2:07
  Speaker 2: heeft veel mogelijke zetten, maar het regelboek zegt welke daadwerkelijk
• 2:09
  Speaker 2: zijn toegestaan. Je kunt je pion niet zomaar overal naartoe verplaatsen.
• 2:13
  Speaker 2: De regels vertellen je wat wel en wat niet mag.
• 2:15
  Speaker 2: Nu volgt een cruciaal onderscheid. Azure Policy is niet hetzelfde
• 2:17
  Speaker 2: als op rollen gebaseerd toegangsbeheer, ofwel RBAC. RBAC bepaalt wie
• 2:21
  Speaker 2: iets mag doen. Het beantwoordt de vraag. Wie mag er
• 2:23
  Speaker 2: resources aanmaken in dit abonnement? Azure Policy bepaalt wat er
• 2:26
  Speaker 2: gedaan kan worden, of preciezer, welke configuraties zijn toegestaan. Het
• 2:29
  Speaker 2: beantwoordt de vraag wat voor resources kunnen worden aangemaakt en
• 2:32
  Speaker 2: hoe moeten deze worden geconfigureerd. Dus RBAC zegt dat Mirko
• 2:35
  Speaker 2: opslagaccounts mag aanmaken en Azure Policy zegt dat opslagaccounts HTTPS
• 2:38
  Speaker 2: moeten hebben ingeschakeld. Twee verschillende zaken en je hebt ze
• 2:41
  Speaker 2: allebei nodig. Dit is het belangrijkste punt. Azure Policy staat
• 2:44
  Speaker 2: altijd aan en wordt altijd afgedwongen. Elk verzoek om een
• 2:46
  Speaker 2: resource aan te maken, bij te werken of te verwijderen
• 2:49
  Speaker 2: gaat via Azure Policy en het is niet te omzeilen.
• 2:51
  Speaker 2: Het bevindt zich tussen jou en Azure Resource Manager, het
• 2:54
  Speaker 2: controleplatform van Azure. Zie het als een automatisch filter. Elk
• 2:57
  Speaker 2: verzoek gaat door dit filter en als het niet aan
• 2:59
  Speaker 2: de regels voldoet, wordt het verzoek geblokkeerd of gemarkeerd en
• 3:02
  Speaker 2: dat werkt niet alleen voor nieuwe resources. Azure Policy evalueert
• 3:05
  Speaker 2: ook bestaande resources, dus het detecteert configuratieafwijkingen in de loop
• 3:08
  Speaker 2: van de tijd. Als iemand een instelling wijzigt van een
• 3:10
  Speaker 2: resource die je al hebt geïmplementeerd en die wijziging schent
• 3:13
  Speaker 2: een beleid, dan zal Azure Policy dit markeren. Dus, hoe
• 3:15
  Speaker 2: schrijf je deze regels eigenlijk? Dat is waar beleidsdefinities van
• 3:18
  Speaker 2: pas komen. Beleidsdefinities, het schrijven van de regels. Dus, hoe
• 3:22
  Speaker 2: schrijf je deze regels eigenlijk? Dat is waar beleidsdefinities van
• 3:25
  Speaker 2: pas komen. Een beleidsdefinitie is de regel zelf en wordt
• 3:27
  Speaker 2: geschreven als een JSON-document. JSON klinkt misschien technisch, maar de
• 3:30
  Speaker 2: structuur is eigenlijk heel eenvoudig. Het volgt een basispatroon. Als
• 3:34
  Speaker 2: aan deze voorwaarde is voldaan, past dan dit effect toe.
• 3:36
  Speaker 2: Laat me je een concreet voorbeeld geven. Er is een
• 3:38
  Speaker 2: ingebouwd beleid dat zegt, als een opslagaccount geen HTTPS heeft ingeschakeld,
• 3:42
  Speaker 2: weiger het dan. Dat is het. Wanneer de voorwaarde waar is,
• 3:44
  Speaker 2: treedt het effect in werking en wordt de implementatie geblokkeerd.
• 3:47
  Speaker 2: Elke beleidsdefinitie heeft drie belangrijke onderdelen. Ten eerste, de voorwaarde.
• 3:50
  Speaker 2: Dat is het als gedeelte. Waar controleer je op? Het resourcetype,
• 3:53
  Speaker 2: de locatie, een specifieke instelling. Ten tweede, de effecten. Dat
• 3:56
  Speaker 2: is het dan gedeelte. Wat gebeurt er als aan de
• 3:58
  Speaker 2: voorwaarden is voldaan? Blokkeer je de implementatie of markeer je
• 4:01
  Speaker 2: deze alleen? Ten derde, parameters. Dit zijn de invulvelden die
• 4:04
  Speaker 2: het beleid herbruikbaar maken. Parameters zijn waar de echte kracht zit.
• 4:08
  Speaker 2: Stel je voor dat je een beleid wilt schrijven dat
• 4:10
  Speaker 2: alleen resources in bepaalde regio's toestaat. Je wilt niet voor
• 4:13
  Speaker 2: elke mogelijke combinatie van regio's een apart beleid schrijven. In
• 4:16
  Speaker 2: plaats daarvan schrijf je één definitie genaamd, toegestane locaties. En
• 4:19
  Speaker 2: je voegt een parameter toe voor welke regio's zijn toegestaan.
• 4:21
  Speaker 2: Wanneer je het beleid toewijst, vul je de lege plek in.
• 4:23
  Speaker 2: Misschien kies je West-Europa en Noord-Europa voor één abonnement en
• 4:26
  Speaker 2: VS Oost en VS West voor een ander. Dezelfde definitie,
• 4:29
  Speaker 2: verschillende parameters. Zo hou je de zaken beheersbaar. Dit is
• 4:32
  Speaker 2: het goede nieuws. Je hoeft dit niet allemaal vanaf nul
• 4:34
  Speaker 2: te schrijven. Microsoft biedt honderden ingebouwde beleidsdefinities die je direct
• 4:38
  Speaker 2: kunt gebruiken. Ze beslaan categorieën zoals rekenkracht, opslag, netwerken, Security Center, Tagging,
• 4:43
  Speaker 2: Kostenbeheer en meer. Je kunt ze vinden in de Azure Portal,
• 4:46
  Speaker 2: zoeken naar wat je nodig hebt en ze meteen toewijzen.
• 4:48
  Speaker 2: Geen JSON vereist als je dat niet wilt schrijven. Maar
• 4:50
  Speaker 2: een definitie in een bestand doet uit zichzelf niets. Je
• 4:53
  Speaker 2: moet het toewijzen om het te laten werken. Beleidstoewijzingen, regels
• 4:56
  Speaker 2: in de praktijk brengen. Bij een beleidstoewijzing koppel je je
• 4:59
  Speaker 2: definitie aan een specifiek bereik. Een bereik is simpelweg de
• 5:02
  Speaker 2: grens waarvoor die regel geldt. Je hebt drie keuzes, van
• 5:04
  Speaker 2: het breedste tot het meest beperkte niveau. Wijs het toe
• 5:07
  Speaker 2: op beheergroepniveau en het dekt een hele reeks abonnementen. plaats
• 5:10
  Speaker 2: het op abonnementsniveau en het dekt alles binnen dat abonnement.
• 5:13
  Speaker 2: Of wijs het toe op resourcegroepniveau en het dekt alleen
• 5:16
  Speaker 2: de resources binnen die groep. Laten we het nu hebben
• 5:18
  Speaker 2: over overerving. Dit is een sleutelbegrip. Wanneer je een beleid
• 5:21
  Speaker 2: op beheergroepniveau toewijst, vloeit dit automatisch door naar elk onderliggend
• 5:25
  Speaker 2: abonnement en elke resourcegroep. Je hoeft het niet telkens opnieuw
• 5:27
  Speaker 2: toe te wijzen. Het is als een regel op het
• 5:29
  Speaker 2: centrale prikbord bij de ingang van een kantoorgebouw hangen. Iedereen
• 5:32
  Speaker 2: die naar binnen gaat, moet zich eraan houden. Je zou
• 5:34
  Speaker 2: niet dezelfde regel op elke verdieping hoeven op te hangen.
• 5:36
  Speaker 2: Dat is verspilde moeite. De regel vloeit gewoon naar beneden.
• 5:39
  Speaker 2: Maar wat als je een uitzondering nodig hebt? Misschien zegt
• 5:41
  Speaker 2: je bedrijf dat alle data in Europa moet blijven, maar
• 5:44
  Speaker 2: heeft één project een gegronde reden voor een datacenter in Azië.
• 5:46
  Speaker 2: Je wilt niet het hele beleid verwijderen, want dan zou
• 5:49
  Speaker 2: alles onbeveiligd zijn. Dus creëer je een vrijstelling. Met vrijstellingen
• 5:52
  Speaker 2: kun je uitzonderingen maken voor specifieke resources of resourcegroepen zonder
• 5:55
  Speaker 2: het beleid elders te stoppen. Het is een nette manier
• 5:57
  Speaker 2: om uitzonderingen te verwerken. Hier is het praktische advies. Wijs
• 6:01
  Speaker 2: je brede basisbeleid toe op beheergroepniveau. Zaken zoals toegestane locaties
• 6:06
  Speaker 2: of vereiste labels moeten op alles van toepassing zijn. Wijs
• 6:08
  Speaker 2: daarna specifiekere regels toe op abonnements- of resourcegroepniveau. Misschien heeft
• 6:12
  Speaker 2: je ontwikkelabonnement lossere regels dan je productieabonnement. Dat is volkomen prima.
• 6:16
  Speaker 2: De specifieke regels komen bovenop de brede regels te liggen.
• 6:19
  Speaker 2: Laten we nu bespreken wat er werkelijk gebeurt als iemand
• 6:21
  Speaker 2: een regel overtreedt. Dat is waar effecten in beeld komen. Effecten,
• 6:24
  Speaker 2: wat er gebeurt als regels worden geschonden. Stel, je hebt
• 6:26
  Speaker 2: een regel opgesteld en toegewezen. Wat gebeurt er als iemand
• 6:29
  Speaker 2: deze overtreedt? Dat is waar effecten in beeld komen. Effecten
• 6:31
  Speaker 2: vormen het dan gedeelte van het beleid. Zij bepalen wat
• 6:34
  Speaker 2: er gebeurt als een resource niet aan de regel voldoet.
• 6:36
  Speaker 2: Er zijn vier hoofdsoorten die je zult tegenkomen. Als eerste, weigeren, deny.
• 6:40
  Speaker 2: Dit is het meest gebruikte effect voor kritieke regels. Wanneer
• 6:42
  Speaker 2: een weigeringsbeleid wordt geactiveerd, wordt de implementatie volledig geblokkeerd. De
• 6:46
  Speaker 2: gebruiker krijgt een duidelijke foutmelding dat de validatie is mislukt
• 6:49
  Speaker 2: en welk beleid dit heeft geblokkeerd. Er wordt geen resource gemaakt.
• 6:52
  Speaker 2: dus er is geen schade. Gebruik dit voor regels die
• 6:54
  Speaker 2: nooit overtreden mogen worden, zoals geen publieke blob toegang op
• 6:57
  Speaker 2: storage accounts of geen implementaties buiten goedgekeurde regio's. Als tweede, controleren, audit.
• 7:02
  Speaker 2: Dit werkt anders. De implementatie gaat door, maar de resource
• 7:05
  Speaker 2: wordt gemarkeerd als niet conform in het compliance dashboard. Controleren
• 7:08
  Speaker 2: is ontzettend nuttig als je niet zeker weet hoe een
• 7:10
  Speaker 2: nieuwe regel je omgeving zal beïnvloeden. Je kunt zien wat
• 7:12
  Speaker 2: er gebeurt zonder iets te verbreken. Het is alsof je
• 7:15
  Speaker 2: een meting uitvoert voordat je een wijziging afdwingt. Als derde aanpassen,
• 7:18
  Speaker 2: modify en toevoegen, append. Deze effecten lossen het probleem automatisch
• 7:21
  Speaker 2: op in plaats van het te blokkeren. Aanpassen wijzigt bestaande
• 7:24
  Speaker 2: instellingen tijdens de implementatie. Toevoegen voegt iets toe aan een
• 7:26
  Speaker 2: bestaand veld. Je kunt bijvoorbeeld een beleid maken dat automatisch
• 7:29
  Speaker 2: een vereiste tag met een standaardwaarde toevoegt. Als iemand vergeet
• 7:32
  Speaker 2: een kostenplaatstek toe te voegen, voegt het beleid deze toe,
• 7:35
  Speaker 2: de implementatie slaagt en de resource is compliant zonder extra werk.
• 7:38
  Speaker 2: Als vierde, implementeren indien niet aanwezig, deploy if not exists.
• 7:41
  Speaker 2: Dit handelt situaties af waarbij een ondersteunende resource ontbreekt. Stel
• 7:44
  Speaker 2: dat je diagnostische logboekregistratie wilt inschakelen op elk storage account.
• 7:47
  Speaker 2: Als iemand een storage account maakt zonder diagnostische instellingen, treedt
• 7:50
  Speaker 2: deploy if not exists in werking en installeert automatisch de
• 7:52
  Speaker 2: ontbrekende configuratie. Het is als een hulpje dat achter je opruimt.
• 7:55
  Speaker 2: Dit is de beste werkwijze. Begin met controleren, add it.
• 7:58
  Speaker 2: Kijk eerst wat er daadwerkelijk gebeurt in je omgeving. Ontdek
• 8:01
  Speaker 2: hoeveel resources zouden worden beïnvloed door een nieuwe regel. Stap
• 8:03
  Speaker 2: dan over op weigeren, deny. Zodra je ervan overtuigd bent
• 8:05
  Speaker 2: dat de regel correct is en legitieme implementaties niet zal verstoren.
• 8:07
  Speaker 2: Het beheren van één beleid is eenvoudig. Maar wat als
• 8:10
  Speaker 2: je er vijftig nodig hebt, allemaal gerelateerd aan beveiliging of compliance.
• 8:13
  Speaker 2: Dat is waar initiatieven in beeld komen. Initiatieven bundelen regels samen. Dus,
• 8:17
  Speaker 2: wat is een initiatief? Zie het als een verzameling beleidsregels
• 8:20
  Speaker 2: die allemaal gegroepeerd zijn rond één gemeenschappelijk doel. In plaats
• 8:22
  Speaker 2: van 50 afzonderlijke beleidsregels één voor één toe te wijzen,
• 8:25
  Speaker 2: wijs je één enkel initiatief toe dat ze allemaal bevat.
• 8:27
  Speaker 2: Het is als een vooraf verpakte gereedschapsset voor een specifieke taak.
• 8:30
  Speaker 2: Je pakt niet apart een hamer, een schroevendraaier en een moersleutel.
• 8:33
  Speaker 2: Je pakt gewoon de hele gereedschapskist. Alles wat je nodig hebt,
• 8:35
  Speaker 2: zit op één plek. Het echte voordeel hier is rapportage
• 8:38
  Speaker 2: over compliance. Wanneer je een initiatief toewijst, krijg je één
• 8:40
  Speaker 2: compliance-overzicht voor de hele groep. Je kunt in één oogopslag
• 8:43
  Speaker 2: zien of je omgeving voldoet aan de algemene standaard. En
• 8:45
  Speaker 2: als iets niet compliant is, kun je direct doorklikken naar
• 8:48
  Speaker 2: het specifieke beleid dat faalt. Dat is veel overzichtelijker dan
• 8:50
  Speaker 2: 50 afzonderlijke beleidsregels bijhouden. Microsoft biedt ingebouwde initiatieven die belangrijke
• 8:55
  Speaker 2: compliance-frameworks dekken. Dingen zoals de Azure Security Benchmark CIS, NIST,
• 8:59
  Speaker 2: PCI DSS, HIPAA, ISO 27001 en meer. Deze zijn al
• 9:04
  Speaker 2: aangemaakt en klaar om toegewezen te worden. Je hoeft niet
• 9:06
  Speaker 2: zelf uit te zoeken welk beleid bij welke compliance-eis hoort.
• 9:09
  Speaker 2: Microsoft heeft dat werk al voor je gedaan. Sommige van
• 9:11
  Speaker 2: deze initiatieven bevatten honderden individuele beleidsregels. Stel je voor dat
• 9:14
  Speaker 2: je die allemaal één voor één zou moeten toewijzen. Dat
• 9:16
  Speaker 2: zou je niet doen. Je zou het initiatief gebruiken. Je
• 9:18
  Speaker 2: kunt ook aangepaste initiatieven maken voor je eigen standaarden. Misschien
• 9:21
  Speaker 2: heb je een productiebasislijn met beleid voor versleuteling, logging en netwerkbeveiliging.
• 9:25
  Speaker 2: Of een initiatief voor kostenbeheersing dat VM-groottes beperkt en kostencentrale
• 9:29
  Speaker 2: tags vereist. Hetzelfde idee. Bundel het beleid, wijs de bundel
• 9:33
  Speaker 2: toe en bewaak compliance als één geheel. Laten we dit
• 9:35
  Speaker 2: concreet maken met praktijkvoorbeelden van hoe mensen Azure Policy echt gebruiken. Praktijkvoorbeelden,
• 9:41
  Speaker 2: beleid in actie. Laten we dit echt maken. Hier zijn
• 9:44
  Speaker 2: vijf veel voorkomende scenario's waarin Azure Policy echte problemen oplost.
• 9:47
  Speaker 2: Ten eerste, regio-beperkingen voor data compliance. Stel je voor dat
• 9:51
  Speaker 2: je bedrijf het beleid heeft dat alle klantgegevens in Europa
• 9:53
  Speaker 2: moeten blijven. Je kunt het ingebouwde beleid voor toegestaande locaties
• 9:57
  Speaker 2: toewijzen op het niveau van de routebeheergroep en alleen EU-regio's
• 9:59
  Speaker 2: zoals West-Europa en Noord-Europa toestaan. Wanneer iemand nu een nieuw
• 10:02
  Speaker 2: abonnement aanmaakt, erft dit automatisch die regel. Ze kunnen geen
• 10:05
  Speaker 2: resources implementeren in de VS of Azië, zelfs niet als
• 10:08
  Speaker 2: ze het proberen. Het beleid blokkeert het. Geen handmatige controles,
• 10:11
  Speaker 2: geen toestemming vragen. De regel wordt gewoon afgedwongen. Ten tweede,
• 10:14
  Speaker 2: techhandhaving voor kostenallocatie. Je financiële team moet uitgaven per afdeling bijhouden,
• 10:19
  Speaker 2: maar dat kan niet als resources niet de juiste techs hebben.
• 10:21
  Speaker 2: Dus maak je een beleid dat een kostencentrale tech en
• 10:24
  Speaker 2: een omgevingstech op elke resource vereist. Maar hier komt het
• 10:27
  Speaker 2: slimme deel. Je gebruikt het wijzigingseffect Modify. Als iemand vergeet
• 10:30
  Speaker 2: de tech toe te voegen, voegt het beleid deze automatisch
• 10:32
  Speaker 2: toe met een standaardwaarde. De implementatie gaat door en de
• 10:35
  Speaker 2: resource is compliant. Financiën krijgen nauwkeurige kostengegevens en ontwikkelaars worden
• 10:38
  Speaker 2: niet geblokkeerd door een ontbrekende tech. Ten derde, kostenbeheersing bij ontwikkeling.
• 10:42
  Speaker 2: Ontwikkelteams experimenteren graag, maar experimenten kunnen snel duur worden. Iemand
• 10:45
  Speaker 2: start misschien een GPU-instantie met 24 kernen om alleen een
• 10:48
  Speaker 2: simpel script te testen. Dus maak je een beleid dat
• 10:50
  Speaker 2: VM-groottes in ontwikkelabonnementen beperkt tot kleinere SKU's. Dingen zoals de
• 10:54
  Speaker 2: B-serie of D-serie met een beperkt aantal kernen. Als iemand
• 10:57
  Speaker 2: probeert een dure GPU of VM met veel geheugen in
• 10:59
  Speaker 2: te zetten, treedt het weigeringseffect in werking en wordt dit geblokkeerd.
• 11:02
  Speaker 2: Ontwikkelaars kunnen nog steeds experimenteren, maar ze kunnen het budget
• 11:04
  Speaker 2: niet overschrijden. Ten vierde, beveiligingsbasislijn voor opslag. Opslagaccounts zijn een
• 11:08
  Speaker 2: van de meest voorkomende plekken waar beveiligingsfouten optreden. Iemand maakt
• 11:11
  Speaker 2: een opslagaccount aan met openbare bloktoegang en plotseling staan gevoelige
• 11:15
  Speaker 2: gegevens bloot aan het internet. Dus maak je een beleid
• 11:17
  Speaker 2: dat alleen HTTPS-verkeer vereist en openbare bloktoegang blokkeert. En je
• 11:21
  Speaker 2: gebruikt DeployEFNotExist om automatisch diagnostische logboekregistratie in te schakelen voor
• 11:25
  Speaker 2: elk opslagaccount dat dit niet heeft. Het beleid lost het
• 11:28
  Speaker 2: probleem op voordat het een probleem wordt. Ten vijfde, NAAM, Evings, Conventies.
• 11:32
  Speaker 2: Je team wil dat alle resources beginnen met PROD of DEF,
• 11:35
  Speaker 2: zodat ze gemakkelijk kunnen zien bij welke omgeving iets hoort.
• 11:38
  Speaker 2: Je maakt een beleid dat de resource naam controleert op
• 11:41
  Speaker 2: het patroon, maar in plaats van de implementatie te blokkeren,
• 11:43
  Speaker 2: gebruik je het audit effect. De resource wordt aangemaakt, maar
• 11:46
  Speaker 2: gemarkeerd als niet conform. Vervolgens draai je een maandelijks nalevingsrapport
• 11:49
  Speaker 2: en vraag je het team de naamgeving te corrigeren. Het
• 11:51
  Speaker 2: is een vriendelijke manier om standaarden af te dwingen zonder
• 11:53
  Speaker 2: werkstromen te onderbreken. Elk van deze voorbeelden volgt hetzelfde patroon.
• 11:57
  Speaker 2: Identificeer het probleem, kies of maak het beleid, bepaal het effect.
• 12:00
  Speaker 2: Wijs toe op het juiste bereik. Monitor de naleving. Dat
• 12:03
  Speaker 2: is het draaiboek. Laten we nu uitzoomen en kijken hoe
• 12:06
  Speaker 2: al deze stukjes passen in het grotere Azure Governance plaatje.
• 12:08
  Speaker 2: Het grote geheel, hoe alles met elkaar verbonden is. Dus,
• 12:11
  Speaker 2: waar past Azure Policy in het grotere geheel? Laten we
• 12:14
  Speaker 2: er op deze manier naar kijken. Azure Policy werkt op
• 12:17
  Speaker 2: het niveau van het controlepaneel, direct boven Azure Resource Manager.
• 12:20
  Speaker 2: en evalueert elk verzoek dat binnenkomt. Elke keer dat iemand
• 12:23
  Speaker 2: een resource aanmaakt, bijwerkt of verwijdert, controleert Azure Policy de regels.
• 12:27
  Speaker 2: Het is de poortwachter bij de voordeur. Nu is het
• 12:29
  Speaker 2: niet de enige tool in de governance gereedschapskist. Azure Policy
• 12:32
  Speaker 2: is slechts één onderdeel van een groter systeem. Beheergroepen bieden
• 12:35
  Speaker 2: de hiërarchie om je abonnementen te organiseren en regels op
• 12:38
  Speaker 2: schaal toe te passen. Op rollen gebaseerd toegangsbeheer bepaalt wie
• 12:41
  Speaker 2: toegang heeft tot wat, terwijl Azure Policy bepaalt welke configuraties
• 12:44
  Speaker 2: zijn toegestaan. Samen vormen ze het fundament van cloud governance.
• 12:48
  Speaker 2: Nu is dit het punt. Azure Policy is ook de
• 12:50
  Speaker 2: motor achter andere diensten die je wellicht al gebruikt. Microsoft
• 12:53
  Speaker 2: Defender voor cloud gebruikt Azure Policy om zijn nalevingsaanbevelingen te genereren.
• 12:57
  Speaker 2: Wanneer Defender aangeeft dat een opslagaccount niet voldoet, voert het
• 13:00
  Speaker 2: eigenlijk een beleidsevaluatie uit. Azure Advisor haalt veel van zijn
• 13:03
  Speaker 2: aanbevelingen voor kosten en betrouwbaarheid uit diezelfde beleidsevaluaties. En het
• 13:07
  Speaker 2: Compliance Dashboard in de Azure Portal is volledig gebaseerd op beleidsgegevens.
• 13:11
  Speaker 2: Dus ook al heb je zelf nog nooit beleid aangemaakt,
• 13:13
  Speaker 2: Waarschijnlijk gebruik je het al zonder dat je het doorhebt.
• 13:15
  Speaker 2: Er is nog een andere werkwijze genaamd Policy as Code.
• 13:18
  Speaker 2: In plaats van beleid via de portal aan te maken,
• 13:20
  Speaker 2: sla je het op als JSON-bestanden in een Git repository
• 13:23
  Speaker 2: en implementeer je het via CI, CD pipelines, net als applicatiecode.
• 13:26
  Speaker 2: Dit geeft je versiebeheer, codereviews en geautomatiseerde tests voor je
• 13:29
  Speaker 2: governance regels. Het is een schaalbaardere manier om beleid te
• 13:32
  Speaker 2: beheren binnen grote organisaties. Dit is het belangrijkste om te onthouden.
• 13:36
  Speaker 2: Zodra je Azure Policy correct hebt ingesteld, draait het geruisloos
• 13:39
  Speaker 2: op de achtergrond. Het is de automatische fanrail die problemen
• 13:42
  Speaker 2: voorkomt voordat ze ontstaan. Gebruikers merken er misschien niets van,
• 13:45
  Speaker 2: maar ze profiteren ervan bij elke resource die ze implementeren.
• 13:48
  Speaker 2: Je krijgt telkens consistente handhaving zonder handmatige controles, goedkeuringstickets of
• 13:52
  Speaker 2: menselijke fouten. Dat is Azure Policy in begrijpelijke taal. Het
• 13:56
  Speaker 2: is een onzichtbaar regelboek dat de standaarden van je organisatie
• 13:59
  Speaker 2: telkens op elke resource afdwingt. Als je één actiepunt uit
• 14:02
  Speaker 2: deze aflevering wilt halen, dan is dit het. Ga naar
• 14:05
  Speaker 2: de Azure Portal, zoek naar Policy en wijs het ingebouwde
• 14:08
  Speaker 2: beleid voor toegestaande locaties toe aan een testabonnement. Begin met
• 14:11
  Speaker 2: Add It en kijk wat er gebeurt. Dat is de
• 14:13
  Speaker 2: snelste manier om te begrijpen hoe dit werkt. Abonneer je
• 14:15
  Speaker 2: voor meer Microsoft kennis en deel dit met iemand die
• 14:18
  Speaker 2: aan zijn Azure reis begint. Laat een reactie achter met
• 14:20
  Speaker 2: wat ik de volgende keer moet uitleggen.