Azure Policy ilə kompleks compliance arxitekturaları

Azure Policy – bulud resurslarının istənilən standartlara uyğun olmasını təmin etmək üçün istifadə olunan siyasət mühərrikidir. Böyük şirkətlərdə çoxsaylı subscription və resurs qrupları olduğu üçün, Azure Policy vasitəsilə kompleks compliance arxitekturası qurmaq vacibdir. Azure Policy təşkilat miqyasında qaydaların (siyasətlərin) tətbiqinə imkan verir və bulud mühitini geniş miqyasda audit etməyə və nizamlamağa xidmət edir. Məsələn, siyasət vasitəsilə tələb oluna bilər ki, bütün VM-lər şifrələmə ilə yaradılmalıdır və ya resurslar yalnız müəyyən regionlarda yerləşdirilsin. Azure Policy bu kimi qaydaları avtomatik icra edir və minlərlə resurs arasında uyğunsuzluqları aşkarlayıb onları bloklayır və ya xəbərdarlıq yaradır.

Kompleks compliance ssenarilərində Azure Policy-nin initiative adlanan siyasət toplusundan istifadə olunur. Initiative-lər birdən çox siyasəti bir məqsəd altında birləşdirməyə imkan verir (məsələn, ISO 27001 standartına uyğunluq üçün bir initiative daxilində onlarla siyasət ola bilər). Bu yolla, mürəkkəb tələbləri qrup halında tətbiq etmək asanlaşır. Menecment qrupları (management groups) vasitəsilə siyasətləri hierarxik formada topdan təyin etmək olar: Məsələn, ən yuxarı menecment qrupu səviyyəsində ümumi təhlükəsizlik siyasətləri tətbiq olunur, daha aşağı səviyyələrdə isə əlavə qaydalar və ya istisnalar təyin edilir. Azure Policy-nin bu iyerarxik tətbiqi sayəsində yüzlərlə subscription-u əhatə edən compliance arxitekturasını mərkəzləşdirilmiş qaydada idarə etmək mümkündür.

Azure Policy bir resursun xüsusiyyətlərini təyin olunmuş qaydalarla müqayisə edir və uyğunsuzluq olduqda müvafiq tədbir görür. Effektlərə misal olaraq: Deny (resurs yaratma əməliyyatını bloklama), Audit (yalnız uyğunsuzluğu qeyd etmə), DeployIfNotExists (əgər tələb olunan komponent yoxdursa, onu avtomatik yaratma) və Modify (mövcud resursa dəyişiklik tətbiq etmə) kimi mexanizmləri göstərmək olar. Məsələn, siyasətlə tələb olunur ki, bütün Storage account-larda şifrələmə aktiv olsun – əgər kimsə şifrələməsiz Storage account yaratmağa çalışsa, Deny effekti bunu bloklayacaq. Və ya Audit rejimində siyasət həmin resursu “non-compliant” kimi işarələyəcək ki, inzibatçılar sonra tədbir görsünlər.

Kompleks compliance arxitekturasında tez-tez policy exemption və policy initiative anlayışlarından istifadə olunur. Exemption – müəyyən resursu və ya qrupunu müvəqqəti siyasətdən istisna etmək üçündür (məsələn, test mühitində bəzi qaydalara məhəl qoyulmaması üçün). Bu da böyük mühitlərdə elastikliyi təmin edir. Azure Policy həmçinin Azure Arc inteqrasiyası sayəsində on-prem serverlərdə də siyasətləri tətbiq etməyə imkan verir. Bu yolla, multi-bulud və ya hibrid mühitlərdə də eyni compliance qaydalarını mərkəzləşdirmək olar.

Böyük təşkilatlarda yüzlərlə siyasətin idarə edilməsi üçün ən yaxşı təcrübələrdən biri Policy as Code yanaşmasıdır. Yəni siyasət tərifləri JSON formatında kod kimi saxlanılır və versiyalanır, dəyişikliklər avtomatlaşdırılmış boru xətti ilə tətbiq olunur. Bu, kompleks arxitekturada siyasətlərin vahid formada və izlə birgə idarəsinə şərait yaradır. Məsələn, təşkilatda 5 əsas compliance initiative təyin etmək tövsiyə olunur – çox sayda initiative idarəçiliyi çətinləşdirir. Hər bir initiative altında konkret siyasətlər toplusu olur (məsələn, “NIST SP 800-53 Rev.5” initiative-də onlarla siyasət). Bu cür strukturlu yanaşma ilə compliance arxitekturası daha masshtablana bilən və davamlı olur.