Modulo Terraform per le zone di destinazione di Azure
Azure offre servizi nativi per la creazione delle zone di destinazione di Azure. Altri strumenti possono anche essere utili per questo sforzo. Uno strumento usato spesso da clienti e partner per distribuire le zone di destinazione è Terraform di HashiCorp.
La distribuzione di risorse nelle zone di destinazione dell'applicazione non rientra nell'ambito del modulo. Le decisioni relative al metodo di distribuzione e agli strumenti sono per il team responsabile dell'applicazione.
Il modulo Terraform zone di destinazione di Azure offre un'implementazione rapida delle risorse della piattaforma necessarie per gestire le zone di destinazione di Azure su larga scala usando Terraform. Il modulo è progettato per semplificare la distribuzione della gerarchia, dei criteri e delle risorse dei gruppi di gestione nelle sottoscrizioni di connettività e gestione.
Prerequisiti
Se non si ha familiarità con Terraform e si vogliono ottenere informazioni sull'installazione e sull'uso, vedere l'esercitazione installare Terraform in HashiCorp Learn.
Per informazioni su come configurare il provider Terraform ed eseguire l'autenticazione con Azure, vedere le guide al provider AzureRM nel sito Web Terraform. Per informazioni su come configurare il provider per la distribuzione tra più sottoscrizioni, vedere la pagina wiki di Configurazione provider.
Importanza dell'uso di moduli standard
Il riutilizzo dei componenti è un principio fondamentale dell'infrastruttura come codice. I moduli sono determinanti nella definizione di standard e coerenza nella distribuzione delle risorse all'interno degli ambienti e tra ambienti diversi.
Il modulo Terraform zone di destinazione di Azure viene pubblicato nel Registro Terraform ufficiale ed è verificato da HashiCorp.
La distribuzione del modulo dal Registro Terraform fornisce:
- Distribuzione accelerata delle zone di destinazione di Azure nell'ambiente in uso.
- Percorso di aggiornamento testato alla versione più recente del modulo, insieme al controllo della versione strict.
Vantaggi offerti dall'uso del modulo
I vantaggi dell'uso del modulo Terraform zone di destinazione di Azure includono:
- Gerarchia di risorse di base gestita ed estendibile per l'organizzazione della sottoscrizione tramite gruppi di gestione.
- Governance e conformità della sicurezza scalabili tramite controlli IAM (Identity and Access Management) di Azure, con una vasta libreria di definizioni personalizzate pronte per l'assegnazione.
- Imposizione dei criteri tra sottoscrizioni tramite l'ereditarietà del gruppo di gestione.
- Risorse gestite per le zone di destinazione di gestione e connettività. Queste risorse forniscono:
- Conformità ai criteri garantita tramite una stretta integrazione di risorse gestite dal modulo e assegnazioni di criteri corrispondenti.
- Integrazione tra le risorse per ridurre il sovraccarico di gestione e offrire un'esperienza utente migliorata, ad esempio la creazione automatica di collegamenti di rete virtuale per Azure DNS privato.
Suggerimento
La libreria dei modelli viene aggiornata a livello di codice dal repository GitHub di Azure/Enterprise-Scale . Per rimanere aggiornati con la configurazione, i criteri e i ruoli dell'archetipo più recenti, assicurarsi di usare la versione più recente del modulo.
Distribuzione risorse
È possibile configurare il modulo per distribuire set di risorse allineati alle aree di progettazione critiche seguenti nelle zone di destinazione di Azure. Personalizzare queste risorse per soddisfare i requisiti dell'organizzazione.
| Categoria di risorsa | Area di progettazione critica |
|---|---|
| Risorse di base | Governance della sicurezza dell'organizzazione delle risorse |
| Risorse gestionali | Gestione e monitoraggio |
| Risorse di connettività | Topologia di rete e connettività |
| Risorse di identità | Gestione delle identità e degli accessi |
La creazione di queste funzionalità in un singolo modulo Terraform semplifica la compilazione e l'applicazione della coerenza nella piattaforma Azure quando si opera su larga scala.
Queste risorse sono allineate all'architettura concettuale delle zone di destinazione di Azure:
È possibile distribuire queste risorse, per funzionalità, tra più sottoscrizioni usando la configurazione del provider nel blocco del modulo.
Le sezioni seguenti illustrano i tipi di risorse e le opzioni di configurazione.
Risorse di base
La funzionalità di base di questo modulo distribuisce le basi dell'architettura concettuale per le zone di destinazione di Azure, con particolare attenzione all'organizzazione centrale delle risorse.
Quando si abilita la distribuzione delle risorse di base (abilitate per impostazione predefinita), il modulo distribuisce e gestisce i tipi di risorse seguenti:
| Conto risorse | Tipo di risorsa di Azure | Tipo di risorsa di Terraform |
|---|---|---|
| Gruppi di gestione | Microsoft.Management/managementGroups |
azurerm_management_group |
| Sottoscrizioni dei gruppi di gestione | Microsoft.Management/managementGroups/subscriptions |
azurerm_management_group |
| Assegnazioni di criteri | Microsoft.Authorization/policyAssignments |
azurerm_management_group_policy_assignment |
| Definizioni dei criteri | Microsoft.Authorization/policyDefinitions |
azurerm_policy_definition |
| Definizioni dei set di criteri | Microsoft.Authorization/policySetDefinitions |
azurerm_policy_set_definition |
| Assegnazioni di ruoli | Microsoft.Authorization/roleAssignments |
azurerm_role_assignment |
| Definizioni dei ruoli | Microsoft.Authorization/roleDefinitions |
azurerm_role_definition |
Il numero esatto di risorse create dal modulo dipende dalla configurazione del modulo. Per una configurazione predefinita, è possibile prevedere che il modulo crei circa 180 risorse.
Suggerimento
Nessuna di queste risorse viene distribuita nell'ambito della sottoscrizione, ma Terraform richiede comunque una sottoscrizione per stabilire una sessione autenticata con Azure. Per altre informazioni sull'autenticazione con Azure, vedere la documentazione relativa al provider di Azure: Autenticazione in Azure .
Risorse gestionali
Il modulo offre un'opzione per abilitare la distribuzione delle risorse di gestione e monitoraggio dall'architettura concettuale per le zone di destinazione di Azure nella sottoscrizione specificata, come descritto nella pagina wiki di Configurazione provider. Il modulo garantisce anche che la sottoscrizione specificata venga inserita nel gruppo di gestione corretto.
Quando si abilita la distribuzione delle risorse di gestione, il modulo distribuisce e gestisce i tipi di risorse seguenti (a seconda della configurazione):
| Conto risorse | Tipo di risorsa di Azure | Tipo di risorsa di Terraform |
|---|---|---|
| Gruppi di risorse | Microsoft.Resources/resourceGroups |
azurerm_resource_group |
| area di lavoro Log Analytics | Microsoft.OperationalInsights/workspaces |
azurerm_log_analytics_workspace |
| Registrare Analitica soluzioni | Microsoft.OperationsManagement/solutions |
azurerm_log_analytics_solution |
| Account di Automazione | Microsoft.Automation/automationAccounts |
azurerm_automation_account |
| Log Analitica servizio collegato | Microsoft.OperationalInsights/workspaces /linkedServices |
azurerm_log_analytics_linked_service |
Oltre a distribuire le risorse precedenti, il modulo fornisce l'integrazione nativa nelle assegnazioni di criteri corrispondenti per garantire la conformità completa dei criteri.
Per altre informazioni su come usare questa funzionalità, vedere la pagina wiki Deploy Management Resources (Distribuisci risorse di gestione).
Risorse di connettività
Il modulo offre un'opzione per abilitare la distribuzione di risorse di topologia di rete e connettività dall'architettura concettuale per le zone di destinazione di Azure nel contesto di sottoscrizione corrente. Garantisce inoltre che la sottoscrizione specificata venga inserita nel gruppo di gestione corretto.
Questa funzionalità consente la distribuzione di più reti hub basate su qualsiasi combinazione di topologia di rete di Azure tradizionale (hub e spoke) e di topologia di rete rete WAN virtuale (gestita da Microsoft).
Il modulo può anche creare e collegare protezione di rete DDoS alle Rete virtuale e gestire zone DNS pubbliche e private centralizzate.
Nota
Attualmente non è consigliabile usare la protezione IP DDoS nelle zone di destinazione di Azure e si consiglia di usare questa opzione in circostanze specifiche. Esaminare la documentazione del prodotto Sul confronto degli SKU di protezione DDoS di Azure
Topologia di rete di Azure tradizionale (hub e spoke)
Il modulo può facoltativamente distribuire una o più reti hub basate sulla topologia di rete di Azure tradizionale (hub e spoke).
Nota
Il modulo attualmente configura solo l'hub di rete e le risorse dipendenti per la sottoscrizione di connettività. Sebbene sia disponibile un'opzione per abilitare il peering di reti virtuali in uscita dall'hub allo spoke, gli utenti devono comunque avviare il peering dallo spoke all'hub. Ciò è dovuto alle limitazioni del modo in cui il provider AzureRM è destinato a una sottoscrizione specifica per la distribuzione.
Quando si distribuiscono risorse basate su una topologia di rete di Azure tradizionale (hub e spoke), il modulo distribuisce e gestisce i tipi di risorse seguenti (a seconda della configurazione):
| Conto risorse | Tipo di risorsa di Azure | Tipo di risorsa di Terraform |
|---|---|---|
| Gruppi di risorse | Microsoft.Resources/resourceGroups |
azurerm_resource_group |
| Reti virtuali | Microsoft.Network/virtualNetworks |
azurerm_virtual_network |
| Subnet | Microsoft.Network/virtualNetworks/subnets |
azurerm_subnet |
| Gateway di rete virtuale | Microsoft.Network/virtualNetworkGateways |
azurerm_virtual_network_gateway |
| Firewall di Azure | Microsoft.Network/azureFirewalls |
azurerm_firewall |
| Indirizzi IP pubblici | Microsoft.Network/publicIPAddresses |
azurerm_public_ip |
| Peering di rete virtuale | Microsoft.Network/virtualNetworks/virtualNetworkPeerings |
azurerm_virtual_network_peering |
Per altre informazioni su come usare questa funzionalità, vedere la pagina wiki Deploy Connectivity Resources (Distribuisci risorse di connettività).
Topologia di rete WAN virtuale (gestita da Microsoft)
Il modulo può facoltativamente distribuire una o più reti hub in base alla topologia di rete rete WAN virtuale (gestita da Microsoft).
Nota
A causa delle diverse funzionalità di rete WAN virtuale risorse di rete rispetto ai tradizionali, il peering per gli spoke rete WAN virtuale è bidirezionale quando si usa questa funzionalità.
Quando si distribuiscono le risorse in base a una topologia di rete rete WAN virtuale (gestita da Microsoft), il modulo distribuisce e gestisce i tipi di risorse seguenti (a seconda della configurazione):
| Conto risorse | Tipo di risorsa di Azure | Tipo di risorsa di Terraform |
|---|---|---|
| Gruppi di risorse | Microsoft.Resources/resourceGroups |
azurerm_resource_group |
| Reti WAN virtuali | Microsoft.Network/virtualWans |
azurerm_virtual_wan |
| Hub virtuali | Microsoft.Network/virtualHubs |
azurerm_virtual_hub |
| Gateway ExpressRoute | Microsoft.Network/expressRouteGateways |
azurerm_express_route_gateway |
| Gateway VPN | Microsoft.Network/vpnGateways |
azurerm_vpn_gateway |
| Firewall di Azure | Microsoft.Network/azureFirewalls |
azurerm_firewall |
| Criteri firewall di Azure | Microsoft.Network/firewallPolicies |
azurerm_firewall_policy |
| Connessioni all'hub virtuale | Microsoft.Network/virtualHubs/hubVirtualNetworkConnections |
azurerm_virtual_hub_connection |
Per altre informazioni su come usare questa funzionalità, vedere la pagina wiki Deploy rete WAN virtuale Resources (Distribuisci risorse rete WAN virtuale).
Piano di protezione DDoS
Il modulo può facoltativamente distribuire Protezione di rete DDoS e collegare Rete virtuale al piano, se necessario.
Nota
A causa delle limitazioni della piattaforma, i piani di protezione DDoS possono essere abilitati solo per le reti virtuali tradizionali. Il supporto dell'hub virtuale non è attualmente disponibile.
Importante
Il materiale sussidiario sulle zone di destinazione di Azure consiglia di abilitare Protezione di rete DDoS per aumentare la protezione della piattaforma Azure. Per evitare costi imprevisti nelle distribuzioni non di produzione e MVP, questa funzionalità è disabilitata nel modulo Terraform zone di destinazione di Azure a causa del costo associato a questa risorsa.
Per gli ambienti di produzione, è consigliabile abilitare questa funzionalità.
Quando si abilita la distribuzione della distribuzione delle risorse del piano di protezione DDoS, il modulo distribuisce e gestisce i tipi di risorse seguenti (a seconda della configurazione):
| Conto risorse | Tipo di risorsa di Azure | Tipo di risorsa di Terraform |
|---|---|---|
| Gruppi di risorse | Microsoft.Resources/resourceGroups |
azurerm_resource_group |
| Piani di protezione DDoS | Microsoft.Network/ddosProtectionPlans |
azurerm_network_ddos_protection_plan |
DNS
Il modulo può facoltativamente distribuire DNS privato zone per supportare gli endpoint privati e collegarli alle Rete virtuale hub e/o spoke. Le zone DNS pubbliche e private specificate dall'utente possono anche essere distribuite e collegate in base alle esigenze.
Quando si abilita la distribuzione della distribuzione di risorse DNS, il modulo distribuisce e gestisce i tipi di risorse seguenti (a seconda della configurazione):
| Conto risorse | Tipo di risorsa di Azure | Tipo di risorsa di Terraform |
|---|---|---|
| Gruppi di risorse | Microsoft.Resources/resourceGroups |
azurerm_resource_group |
| Zone DNS | Microsoft.Network/dnsZones |
azurerm_dns_zone |
| Zone DNS privato | Microsoft.Network/privateDnsZones |
azurerm_private_dns_zone |
| Collegamento Rete virtuale zona DNS privato | Microsoft.Network/privatednszones/virtualnetworklinks |
azurerm_private_dns_zone_virtual_network_link |
Risorse di identità
Il modulo offre un'opzione per configurare i criteri relativi alla zona di destinazione di gestione delle identità e degli accessi. Garantisce inoltre che la sottoscrizione specificata venga inserita nel gruppo di gestione corretto.
Nota
Questa funzionalità non distribuisce alcuna risorsa. Se si desidera aggiornare le impostazioni dei criteri correlate al gruppo di gestione delle identità, usare la configure_identity_resources variabile di input.
Per altre informazioni su come usare questa funzionalità, vedere la pagina wiki Deploy Identity Resources (Distribuisci risorse di identità).
Introduzione
I requisiti per iniziare a usare il modulo sono documentati nella pagina Wiki introduttiva .
Per semplificare le attività iniziali, il modulo è stato pubblicato nel Registro Terraform. È possibile farvi riferimento direttamente all'interno del codice, come illustrato nell'esempio semplice più avanti in questo articolo. Se si esegue terraform init il modulo e tutte le dipendenze vengono scaricati automaticamente.
È possibile visualizzare le dipendenze del modulo e del provider più recenti nella scheda Dipendenze nel Registro Terraform.
Importante
Vi sono problemi noti con alcune combinazioni di versione di Terraform e del provider di AzureRM. È possibile risolvere alcuni di questi problemi eseguendo l'aggiornamento alle versioni più recenti di Terraform e del provider di AzureRM. Altri problemi noti sono errori temporanei che in genere è possibile correggere eseguendo di nuovo la distribuzione.
In genere è consigliabile aggiungere versioni specifiche e testarle accuratamente prima di eseguire l'aggiornamento.
Le nuove versioni del modulo verranno rilasciate quando sono necessarie modifiche. Le nuove versioni garantiranno la compatibilità con le versioni più recenti del provider Terraform e AzureRM. Per altre informazioni, vedere le linee guida sulle versioni del modulo.
Per ottenere le funzionalità più recenti, assicurarsi che la versione del modulo sia impostata sulla versione più recente. Se si esegue l'aggiornamento a una versione successiva del modulo, eseguire terraform init -upgrade.
Esempio semplice
Questo codice di esempio distribuisce il gruppo di gestione e l'organizzazione di sottoscrizione consigliati minimo dall'architettura di riferimento su scala aziendale. Dopo aver creato questo semplice esempio in esecuzione, è possibile iniziare a personalizzare la distribuzione.
Suggerimento
Anche se root_parent_id è l'unica variabile obbligatoria del modulo, è consigliabile impostare anche root_id. La modifica del root_id valore avvierà una ridistribuzione completa di tutte le risorse gestite dal modulo, incluse le dipendenze downstream.
Il codice seguente è una semplice configurazione iniziale per il modulo radice main.tf:
# Configure Terraform to set the required AzureRM provider
# version and features{} block.
terraform {
required_providers {
azurerm = {
source = "hashicorp/azurerm"
version = ">= 2.77.0"
}
}
}
provider "azurerm" {
features {}
}
# Get the current client configuration from the AzureRM provider.
# This configuration is used to populate the root_parent_id variable with the
# current tenant ID used as the ID for the "Tenant Root Group"
# management group.
data "azurerm_client_config" "core" {}
# Use variables to customize the deployment
variable "root_id" {
type = string
default = "es"
}
variable "root_name" {
type = string
default = "Enterprise-Scale"
}
# Declare the Terraform Module for Cloud Adoption Framework
# Enterprise-scale and provide a base configuration.
module "enterprise_scale" {
source = "Azure/caf-enterprise-scale/azurerm"
version = ">= 1.0.0"
providers = {
azurerm = azurerm
azurerm.connectivity = azurerm
azurerm.management = azurerm
}
root_parent_id = data.azurerm_client_config.core.tenant_id
root_id = var.root_id
root_name = var.root_name
}
Passaggi successivi
Il modulo Terraform per Cloud Adoption Framework su scala aziendale offre un percorso accelerato per la creazione di zone di destinazione su scala aziendale. Offre anche la flessibilità necessaria per espandere e personalizzare la distribuzione mantenendo un approccio semplificato alla gestione della configurazione di ogni zona di destinazione.
Per altre informazioni, vedere il modulo nel Registro Terraform ed esplorare la documentazione del modulo in GitHub. Nella documentazione sono disponibili altri esempi ed esercitazioni su come personalizzare la distribuzione.
Informazioni su come distribuire il modulo Terraform zone di destinazione di Azure tramite HashiCorp Learn. Da qui è anche possibile scoprire come funzionano alcune parti del modulo.