انواع Azure Subscription و بهترین روش‌های مدیریت آن

خانه » انواع Azure Subscription و بهترین روش‌های مدیریت آن

مدیریت و سازمان‌دهی پایه‌ای منابع در Azure

ساخت یک Cloud Architecture مقاوم مستلزم درک عمیق از نحوه مرزبندی، گروه‌بندی و صورت‌حساب منابع ابری است. در هسته اکوسیستم Microsoft Azure، یک Azure Subscription به عنوان یک Container منطقی بنیادی قرار دارد که Identity، Security، Management و مسئولیت‌های مالی را به هم پیوند می‌دهد. سازمان‌هایی که Workloadهای خود را به ابر منتقل می‌کنند، اغلب با Subscriptionها مانند حساب‌های صورت‌حساب ساده رفتار می‌کنند، در حالی که آن‌ها نقش بسیار حیاتی‌تری به عنوان مرزهای Governance و Isolation ایفا می‌کنند. نحوه ساختاردهی، مدیریت و مقیاس‌پذیری Subscriptionها تعیین می‌کند که آیا یک سازمان به Operational Efficiency دست می‌یابد یا درگیر Overhead اداری می‌شود.

برای تسلط بر مدیریت Subscription، ابتدا باید ساختار سلسله‌مراتبی مورد استفاده در Microsoft Azure برای سازمان‌دهی دارایی‌ها را بررسی کرد. در بالاترین سطح، Microsoft Entra ID Tenant قرار دارد که پیش‌تر با نام Azure Active Directory شناخته می‌شد. این Tenant نماینده خود سازمان است و به عنوان مرز نهایی Identity عمل می‌کند. در زیر مجموعه Tenant، سیستم Azure یک ساختار مدیریتی چهار سطحی ارائه می‌دهد: Management Groupها، Subscriptionها، Resource Groupها و Resourceهای فردی.

مفهوم Management Group به سازمان‌ها اجازه می‌دهد دسترسی، Policy و Compliance را در چندین Subscription به صورت هم‌زمان مدیریت کنند. Subscriptionها مستقیماً زیر مجموعه Management Groupها یا Root Management Group قرار می‌گیرند و به عنوان واحدهای مدیریت، Billing و Scale عمل می‌کنند. Resource Groupها در داخل Subscriptionها قرار می‌گیرند تا Resourceهای مرتبطی که Lifecycle یکسانی دارند را سازمان‌دهی کنند، در حالی که خود Resourceها نشان‌دهنده اجزای زیرساختی و پلتفرمی فردی مانند Virtual Machineها، Databaseها و Storage Accountها هستند.

یک Subscription در سه بعد کلیدی عمل می‌کند:

مرز مالی (Financial Boundary): هزینه‌ها را برای همه Resourceهای موجود در خود جمع‌آوری می‌کند و به عنوان پایه آیتم‌بندی‌شده برای Invoicing و مدل‌های Chargeback عمل می‌کند.
مرز اداری (Administrative Boundary): به عنوان یک Scope برای تخصیص‌های Role-Based Access Control عمل می‌کند و تعیین می‌کند چه کسی مجوز ایجاد، تغییر یا حذف دارایی‌ها را دارد.
مرز عملیاتی و محدودیت (Operational and Limit Boundary): محدودیت‌های نرم و سخت پلتفرم را اعمال می‌کند که به عنوان Azure Subscription Quotas شناخته می‌شوند و تخصیص منابع را در هر Region و Service کنترل می‌کنند.

با شناخت Subscriptionها به عنوان اجزای ساختاری و نه صرفاً مکانیسم‌های پرداخت، Cloud Architectها می‌توانند محیط‌هایی را طراحی کنند که ریسک‌ها را ایزوله کرده، قدرت اداری را توزیع نموده و Governance یکنواختی را در سراسر محیط‌های سازمان اعمال کنند.

بررسی انواع Azure Subscription برای هماهنگی استراتژیک

انتخاب نوع صحیح Subscription یک تصمیم کسب‌وکاری بنیادی است که تجربه خرید، انعطاف‌پذیری مالی و پشتیبانی عملیاتی سازمان را شکل می‌دهد. Microsoft مدل‌های مختلفی از Subscription ارائه می‌دهد که برای برآورده کردن نیازهای سازمان‌هایی با اندازه‌های مختلف، توافق‌نامه‌های تجاری گوناگون و الزامات فنی متفاوت طراحی شده‌اند. انتخاب ترکیب مناسب از Subscriptionها مستلزم ارزیابی عواملی مانند ساختارهای Billing، دسترسی‌های مدیریتی تفویض‌شده و Lifecycle مورد نظر برای محیط‌ها است.

Enterprise Agreement Subscriptions

برای سازمان‌های بزرگی که هزینه‌های ابری قابل پیش‌بینی دارند، Enterprise Agreement به عنوان یک کانال خرید کلیدی باقی می‌ماند. یک Enterprise Agreement به سازمان‌ها اجازه می‌دهد در ازای دریافت تخفیف در خدمات Azure، متعهد به پرداخت مبلغ مشخصی در یک دوره سه ساله شوند. در یک Enrollment از نوع Enterprise Agreement، مدیران می‌توانند دو زیرمجموعه اصلی از Subscriptionها را ایجاد کنند: EA Production و EA Dev/Test.

نوع EA Dev/Test تخفیف‌هایی را برای Workloadهای پردازشی خاص، از جمله Azure Virtual Machines و Azure App Services ارائه می‌دهد، به شرطی که صرفاً برای سناریوهای غیرتولیدی توسعه و تست استفاده شوند. این Subscriptionها دارای Service Level Agreementهای تغییریافته هستند و هزینه اضافی لایسنس نرم‌افزار را برای Workloadهای Windows Server و SQL Server حذف می‌کنند. در مقابل، EA Production Subscriptions دارای قیمت‌گذاری استاندارد و Service Level Agreementهای کامل هستند تا High Availability را برای برنامه‌های کاربردی حیاتی کسب‌وکار تضمین کنند.

Microsoft Customer Agreement Subscriptions

ساختار Microsoft Customer Agreement نشان‌دهنده تجربه خرید مدرنی است که برای تسهیل فرایند تهیه خدمات ابری طراحی شده است. تحت یک MCA، سلسله‌مراتب سنتی enterprise enrollment با یک ساختار ساده‌شده متشکل از Billing Accountها، Billing Profileها و Invoice Sectionها جایگزین می‌شود. Subscriptionها در زیر مجموعه Invoice Sectionهای خاص ایجاد می‌شوند و تفکیک دقیق هزینه‌ها را بدون نیاز به اصلاحات پیچیده در قرارداد امکان‌پذیر می‌سازند.

این نوع Subscriptionها همان قابلیت‌های فنی EA Subscriptions را ارائه می‌دهند، اما انعطاف‌پذیری بیشتری در شرایط پرداخت، جریان‌های کاری امضای دیجیتال و مدیریت خودکار Portal از طریق Azure Portal فراهم می‌کنند. این ساختار به سازمان‌های بین‌المللی اجازه می‌دهد تا روابط مالی پراکنده را در یک قرارداد واحد ادغام کنند و در عین حال کنترل دقیقی بر هزینه‌های بخش‌های مختلف داشته باشند.

Cloud Solution Provider Subscriptions

برنامه Cloud Solution Provider برای سازمان‌هایی مناسب است که ترجیح می‌دهند زیرساخت Azure خود را از طریق یک پارتنر تأییدشده Microsoft مدیریت کنند. در مدل CSP، پارتنر رابطه صورت‌حساب اصلی را مدیریت می‌کند، پشتیبانی فنی مستقیم ارائه می‌دهد و غالباً Managed Services متعددی را روی زیرساخت Azure ارائه می‌کند.

استفاده از CSP Subscriptions به‌ویژه برای شرکت‌های کوچک تا متوسط یا کسب‌وکارهایی که فاقد تیم‌های مهندسی ابری اختصاصی هستند سودمند است. پارتنر، Subscription را به نیابت از مشتری راه‌اندازی کرده و از Delegated Administrative Privileges یا Granular Delegated Administrative Privileges برای مدیریت Governance، Policyهای امنیتی و Deployment منابع استفاده می‌کند. این ترتیب، بار عملیاتی مدیریت پلتفرم را به متخصصان بیرونی منتقل می‌کند و در عین حال داده‌های مشتری را در مرزهای Tenant اختصاصی ایزوله نگه می‌دارد.

Pay-As-You-Go and Direct Retail Subscriptions

نوع Pay-As-You-Go نشان‌دهنده مدل خرید مستقیم و استاندارد بر اساس میزان مصرف است. این Subscriptionها نیازی به تعهد مالی پیش‌پرداخت یا قرارداد بلندمدت ندارند و میزان مصرف مستقیماً از طریق کارت اعتباری یا صورت‌حساب ماهانه دریافت می‌شود. اگرچه PAYG Subscriptions حداکثر چابکی را برای نمونه‌سازی سریع، آزمایش‌های فردی در Sandbox یا کسب‌وکارهای کوچک فراهم می‌کنند، اما فاقد تخفیف‌های حجمی سازمانی مرتبط با چارچوب‌های EA یا MCA هستند.

از منظر Governance سازمانی، Subscriptionهای غیرقابل نظارت PAYG یک ریسک محسوب می‌شوند. توسعه‌دهندگان ممکن است با استفاده از کارت‌های اعتباری شرکتی زیرساخت‌های ad-hoc ایجاد کنند، کنترل‌های امنیتی متمرکز را دور بزنند و منجر به کاهش شفافیت در کل محیط ابری سازمان شوند.

Developer and Sponsorship Subscriptions

شرکت Microsoft نوع خاصی از Subscriptionها را برای یادگیری، آزمایش و تمهیدات همکاری ارائه می‌دهد. Visual Studio Subscriptions که پیش‌تر با نام MSDN شناخته می‌شد، به توسعه‌دهندگان اعتبار ماهانه Azure اعطا می‌کند. این محیط‌های شخصی Sandbox به مهندسان اجازه می‌دهند خدمات جدید را بدون به‌خطر انداختن بودجه‌های تولید تست کنند.

نوع Azure Sponsorship Subscriptions حساب‌های غیرمالی سفارشی هستند که از طرف Microsoft برای پروژه‌های خاص مانند برنامه‌های شتاب‌دهی استارت‌آپ‌ها، اثبات مفهوم (Proof of Concept) یا پروژه‌های تحقیقاتی دانشگاهی اعطا می‌شوند. علاوه بر این، Azure Free Accountها اعتبارات اولیه و دسترسی به خدمات رایگان محبوب را به مدت دوازده ماه فراهم می‌کنند. تمام این Subscriptionها دارای Spending Limitهای سخت‌گیرانه‌ای هستند تا از هزینه‌های غیرمنتظره جلوگیری کنند، که آن‌ها را برای میزبانی Workloadهای تولیدی بلندمدت نامناسب می‌سازد.

طراحی مدل‌های Subscription مقیاس‌پذیر

یک Anti-Pattern عملیاتی رایج، تلاش برای میزبانی کل منابع IT یک سازمان در داخل یک Azure Subscription واحد است. اگرچه یک Subscription واحد فرایند راه‌اندازی اولیه را ساده می‌کند، اما با افزایش میزان مصرف سازمان، به‌سرعت Bottleneckهای عملیاتی ایجاد می‌کند. محدودیت‌های پلتفرم ابری مانند حداکثر درخواست‌های Azure Resource Manager API در ساعت، محدودیت‌های Virtual Network Peering و آستانه‌های تخصیص نقش، در نهایت عملیات را در یک Subscription شلوغ دچار اختلال می‌کنند.

برای اجتناب از این مشکلات، معمارهای ابری استراتژی‌های توزیع Subscription را پیاده‌سازی می‌کنند و Workloadها را در چندین Subscription اختصاصی تقسیم می‌کنند.

The Enterprise Scale Landing Zone Architecture

چارچوب Enterprise-Scale Landing Zone ارائه شده توسط Microsoft، یک مدل قابل تکرار برای معماری multi-subscription ترسیم می‌کند. این مدل، Subscriptionها را به دو حوزه اصلی تقسیم می‌کند: Platform Subscriptions و Application Landing Zone Subscriptions.

بخش Platform Subscriptions میزبانی خدمات عملیاتی متمرکز و مشترکی را بر عهده دارد که در کل سازمان استفاده می‌شوند. این بخش معمولاً شامل موارد زیر است:

Management Subscription: میزبانی Log Analytics Workspaceهای متمرکز، Automation Accountها و Dashboardهای مانیتورینگ عملیاتی.
Identity Subscription: میزبانی Domain Controllerها، عامل‌های هم‌گام‌سازی Identity و اجزای کلیدی مدیریت کلید مورد نیاز برای سوابق Identity ترکیبی (Hybrid Identity).
Connectivity Subscription: به عنوان Hub مرکزی شبکه عمل می‌کند و میزبانی Azure Virtual WAN یا شبکه‌های سنتی Hub-and-Spoke، مدارهای ExpressRoute، VPN Gatewayها و Azure Firewall متمرکز را بر عهده دارد.

بخش Application Landing Zone Subscriptions میزبانی برنامه‌های کاربردی اصلی و Workloadهای عملیاتی را بر عهده دارد. این Subscriptionها بر اساس حوزه کاری، نوع برنامه و Lifecycle محیط تفکیک می‌شوند.

Subscription Allocation Strategies

هنگام تصمیم‌گیری در مورد نحوه تفکیک Application Landing Zone Subscriptions، سازمان‌ها معمولاً از بین سه روش اصلی یکی را انتخاب می‌کنند.

مدل Business Unit، مدیریت Subscriptionهای اختصاصی را به بخش‌های خاصی از سازمان مانند مالی، بازاریابی یا منابع انسانی می‌سپارد. این روش مستقیماً با ساختارهای حسابداری بخش‌ها هم‌راستا است و Chargeback مالی را ساده می‌کند. با این حال، اگر محیط‌های توسعه، تست و تولید در داخل یک مرز Subscription قرار گیرند، ممکن است مرزهای محیطی کم‌رنگ شوند.

مدل Environment، مدیریت Subscriptionها را صرفاً بر اساس سطح پختگی فنی تفکیک می‌کند، مانند Production، Staging، Development و Sandbox. این مدل Isolation امنیتی را اعمال می‌کند و مانع از آن می‌شود که پیکربندی‌های غیرتولیدی یا دسترسی‌های توسعه‌دهندگان بر سیستم‌های حساس تولید تأثیر بگذارند. با این حال، سازمان‌های بزرگ ممکن است دریافت کنند که یک Subscription تولیدی واحد در صورت اشتراک توسط تمام برنامه‌ها، به سرعت به Quota پلتفرم می‌رسد.

مدل Workload Archetype نقطه‌قوت هر دو روش را با ایجاد Subscriptionهای مجزا بر اساس ویژگی‌های Workload، طبقه‌بندی‌های امنیتی و اهمیت کسب‌وکار ترکیب می‌کند. به عنوان مثال، یک برنامه وب حیاتی ممکن است Subscriptionهای اختصاصی Development، Testing و Production دریافت کند، در حالی که برنامه‌های داخلی، یک Landing Zone تولیدی مشترک داشته باشند.

پیاده‌سازی Governance و اعمال Policy

اداره یک محیط distributed و multi-subscription در Azure مستلزم چارچوب‌های Governance خودکار است. نظارت دستی نمی‌تواند با سرعت Provisioning ابری هماهنگ شود. ترکیب Azure Policy با سلسله‌مراتب Management Group چارچوب لازم را برای حفظ Compliance در صدها Subscription بدون کاهش سرعت تیم‌های توسعه نرم‌افزار فراهم می‌کند.

Management Group Hierarchy Design

مفهوم Management Group ساختاری را شکل می‌دهد که از طریق آن Policyهای Governance و کنترل‌های دسترسی به Subscriptionهای فردی منتقل می‌شوند. یک ساختار سلسله‌مراتبی خوب، مرزهای سازمان و الزامات Governance را منعکس می‌کند.

در بالاترین سطح ساختار، Tenant Root Group قرار دارد که باید صرفاً برای Policyهای سراسری که برای کل سازمان اعمال می‌شوند رزرو شود. در زیر مجموعه Root، سازمان‌ها معمولاً Management Groupهای سطح پلتفرم را ایجاد می‌کنند:

Platform Management Group: شامل Subscriptionهای Identity، Management و Connectivity است که Policyهای تنظیم‌شده برای زیرساخت‌های مرکزی مشترک را دریافت می‌کنند.
Landing Zones Management Group: شامل زیرگروه‌هایی برای Workloadهای شرکتی و آنلاین است که امکان تمایز Policyها بین سیستم‌های صرفاً داخلی و برنامه‌های کاربردی متصل به اینترنت را فراهم می‌کند.
Sandbox Management Group: شامل Subscriptionهای ایزوله‌شده توسعه‌دهندگان است که در آن Policyهای امنیتی سخت‌گیرانه برای تسهیل آزمایش آسان‌تر می‌شوند، اما کنترل‌های مالی و محدودیت‌های اتصال شبکه به‌شدت اعمال می‌گردند.
Decommissioned Management Group: شامل Subscriptionهایی است که برای خروج از مدار برنامه‌ریزی شده‌اند و Policyهای محدودیتی را اعمال می‌کند تا از ساخت منابع جدید هنگام آرشیو داده‌ها جلوگیری کند.

Automated Policy Enforcement

ابزار Azure Policy استانداردهای عملیاتی را اعمال کرده و Compliance منابع را به صورت مداوم ارزیابی می‌کند. با اختصاص Policy Definitionها و Initiativeها در سطح Management Group، کنترل‌ها به طور خودکار به تمام Subscriptionهای زیرمجموعه ارث‌بری می‌شوند.

Policyهای ضروری برای محیط‌های multi-subscription عبارت‌اند از:

محدودیت‌های منطقه جغرافیایی (Geographic Region Restrictions): استقرار منابع را صرفاً به Regionهای تاییدشده Azure محدود می‌کند و Compliance نگهداری داده‌ها را تضمین نموده و از استقرار تصادفی در مناطق پرهزینه جلوگیری می‌کند.
انواع منابع مجاز (Allowed Resource Types): از Provisioning خدمات تاییدنشده یا پرهزینه Azure جلوگیری می‌کند، سطح حملات را کاهش می‌دهد و هزینه‌های غیرمنتظره را کنترل می‌کند.
اعمال Tagging اجباری (Mandatory Tagging Enforcement): اثرات Deny یا Modify را اعمال می‌کند تا در صورت مفقود بودن Tagهای ضروری مانند Cost Center یا Environment، از ایجاد resource جلوگیری کند.
کنترل‌های امنیت شبکه (Network Security Controls): الزام می‌کند که Network Interfaceها فقط به Virtual Networkهای تاییدشده متصل شوند و از ایجاد Public IP روی منابع غیر Gateway جلوگیری می‌کند.

با استفاده از Policy Initiativeها که چندین Policy Definition فردی را در یک پکیج عملیاتی واحد ترکیب می‌کنند، تیم‌های پلتفرم می‌توانند چارچوب‌های Compliance مانند ISO 27001، CIS Benchmarks یا دستورالعمل‌های NIST را در تمام Subscriptionها طی یک مرحله تنها اعمال کنند.

Identity and Access Governance

سیستم Role-Based Access Control مرزهای امنیتی را در Azure Subscriptionها تعریف می‌کند. RBAC از Security Principalها، Role Definitionها و Scopeها برای تعیین اقداماتی که یک کاربر، Service Principal یا Managed Identity می‌تواند انجام دهد استفاده می‌کند.

برای حفظ مرزهای امنیتی قوی در سراسر Subscriptionها، مدیریت دسترسی باید از سه اصل اساسی پیروی کند:

اصل حداقل دسترسی (Principle of Least Privilege): به کاربران باید فقط حداقل مجوزهای لازم برای انجام وظایف روزانه داده شود. نقش‌های گسترده مانند Owner یا Contributor باید در سطح Subscription محدود شوند.
مدیریت دسترسی مبتنی بر گروه (Group-Based Access Management): مجوزها را مستقیماً به Entra ID Security Groupها اختصاص دهید نه به حساب‌های کاربری فردی. مدیریت دسترسی با تغییر عضویت در گروه انجام می‌شود نه با تغییر نقش‌ها در سطح Subscription.
دسترسی در زمان نیاز (Just-In-Time Access): از Microsoft Entra Privileged Identity Management برای اعطای دسترسی‌های مدیریتی سطح بالا و محدود به زمان استفاده کنید. نقش‌های دارای دسترسی بالا تا زمان درخواست، تایید و ثبت، غیرفعال باقی می‌مانند که این امر ریسک افشای اطلاعات اعتباری را کاهش می‌دهد.

نقش‌های سفارشی (Custom RBAC Roles) باید زمانی ایجاد شوند که نقش‌های پیش‌فرض مجوزهای فراتر از حد نیاز اعطا می‌کنند. با محدود کردن نقش‌های سفارشی به Management Groupهای خاص، مدیران پلتفرم مدل‌های دسترسی یکنواختی را در همه Subscriptionهای زیرمجموعه تضمین می‌کنند.

مدیریت مالی و کنترل هزینه در Azure

با رشد مصرف ابری در چندین Subscription، کنترل هزینه‌ها به یک چالش مدیریتی مهم تبدیل می‌شود. مصرف کنترل‌نشده ابری می‌تواند به‌سرعت منجر به عبور از بودجه تعیین‌شده شود. مدیریت مالی مؤثر نیازمند ترکیب شفافیت در لحظه، کنترل‌های هزینه خودکار، مدل‌های Chargeback مبتنی بر Tag و استراتژی‌های خرید مناسب است.

Cost Visibility and Budgetary Controls

ابزار Azure Cost Management شفافیت متمرکزی را برای الگوهای هزینه در سراسر Management Groupها، Billing Accountها و Subscriptionهای فردی فراهم می‌کند. ایجاد Governance مالی مؤثر با تنظیم بودجه‌های خودکار و آستانه‌های هشدار آغاز می‌شود.

مدیران باید هشدار بودجه را در سطوح مختلف سلسله‌مراتب منابع تنظیم کنند. هشدارها می‌توانند زمانی که هزینه‌های واقعی یا پیش‌بینی‌شده به درصدهای مشخصی از بودجه رسیدند (مانند ۵۰٪، ۸۰٪ یا ۱۰۰٪) فعال شوند. این اطلاع‌رسانی‌ها می‌توانند مستقیماً با پلتفرم‌های مدیریت خدمات IT یا کانال‌های ارتباطی از طریق Azure Action Groups و Webhookها متصل شوند و قبل از بروز هزینه‌های اضافی به مهندسان هشدار دهند.

Tagging Frameworks for Chargeback and Showback

گزارش‌دهی مالی دقیق به یک استراتژی Tagging قوی متکی است. Tagها جفت‌های Key-Value هستند که به Resourceها، Resource Groupها یا Subscriptionها اختصاص داده می‌شوند و Metadataهایی را ارائه می‌دهند که به موتورهای مالی امکان طبقه‌بندی داده‌های مصرف را می‌دهند.

یک استاندارد سازمانی برای Tagging باید فیلدهای متادیتای زیر را الزامی کند:

Environment: سطح پختگی عملیاتی مانند Production، Staging، Development یا QA را مشخص می‌کند.
CostCenter: واحد حسابداری مالی داخلی مسئول هزینه‌های زیرساخت را مشخص می‌کند.
BusinessOwner: مدیر یا مسئول تیم پاسخگو برای Lifecycle برنامه را تعیین می‌کند.
ApplicationName: اجزای زیرساخت را مستقیماً به یک ورودی در Service Catalog متصل می‌کند.
DataClassification: سطح حساسیت داده‌های پردازش‌شده توسط دارایی‌های مربوطه را نشان می‌دهد.

با استفاده از Azure Policy، سازمان‌ها می‌توانند Tagها را به طور خودکار از Resource Group به Resourceهای فردی ارث‌بری دهند یا Tagهای صورت‌حساب را بر اساس ویژگی‌های سطح Subscription ثبت کنند. این متاداده گزارش‌های تفکیکی Showback (که در آن واحدهای کاری از میزان مصرف خود آگاه می‌شوند) و مکانیسم‌های Chargeback (که در آن هزینه‌های ابری مستقیماً از بودجه بخش‌ها کسر می‌شود) را تغذیه می‌کند.

Strategic Cost Optimization Techniques

مدیریت Subscriptionهای سازمانی نیازمند بهینه‌سازی مداوم برای حذف ظرفیت‌های بلااستفاده و بهینه‌سازی هزینه‌ها است. سازمان‌ها باید چندین مکانیسم بهینه‌سازی مالی را در کل مجموعه Subscriptionهای خود ترکیب کنند.

قابلیت Azure Reservations به سازمان‌ها اجازه می‌دهد در ازای متعهد شدن به دوره‌های یک‌ساله یا سه‌ساله برای خدمات پردازشی مانند Virtual Machineها، Azure SQL Database و Azure Cosmos DB، از تخفیف در مقایسه با نرخ‌های Pay-As-You-Go بهره‌مند شوند. Reservationها می‌توانند برای یک Resource Group واحد، یک Subscription یا به صورت مشترک برای کل یک Management Group تنظیم شوند تا حداکثر استفاده در تیم‌های مختلف تضمین شود.

مدل Azure Savings Plans for Compute تخفیف‌های منعطفی را روی خدمات پردازشی بدون توجه به Region، سری Instance یا سیستم‌عامل ارائه می‌دهد. با تعهد به یک هزینه ساعتی مشخص برای منابع پردازشی، سازمان‌ها به طور خودکار نرخ‌های تخفیف‌خورده را بدون محدود شدن به اندازه‌های خاص Virtual Machine دریافت می‌کنند.

قابلیت Azure Hybrid Benefit به سازمان‌هایی که دارای لایسنس‌های نرم‌افزاری موجود با Software Assurance فعال هستند اجازه می‌دهد آن لایسنس‌ها را روی Workloadهای Azure اعمال کنند. این مزیت برای Instanceهای Windows Server و SQL Server و همچنین محیط‌های Red Hat و SUSE Linux کاربرد دارد و هزینه‌های اجرایی پردازش را کاهش می‌دهد.

تغییر اندازه خودکار (Auto Right-Sizing) یک مکانیسم عملیاتی است که در آن توصیه‌های یادگیری ماشین از Azure Advisor معیارهای میزان مصرف منابع را تحلیل می‌کنند. سیستم‌هایی با مصرف پایین CPU، حافظه یا شبکه برای تغییر اندازه خودکار یا خاموش شدن در ساعات غیرکاری از طریق دفترچه‌های خودکارسازی Azure Automation شناسایی می‌شوند.

تاب‌آوری عملیاتی، امنیت و مدیریت چرخه حیات

نگهداری زیرساخت Subscription در طول زمان نیازمند جریان‌های کاری عملیاتی برای مانیتورینگ وضعیت امنیتی، یکپارچه‌سازی شبکه، Disaster Recovery و مدیریت Lifecycle است. بدون نگهداری عملیاتی فعال، مجموعه Subscriptionها ممکن است دچار Configuration Drift و افزایش ریسک‌های امنیتی شود.

Centralized Security Posture Management

مدیریت امنیت در Subscriptionهای توزیع‌شده نیازمند نظارت متمرکز است. سرویس Microsoft Defender for Cloud امکانات Cloud Security Posture Management و Advanced Threat Protection را در سراسر Management Groupها و Subscriptionها فراهم می‌کند.

با فعال‌سازی Defender for Cloud در سطح Management Group، تیم‌های عملیات امنیت به یک نمای متمرکز از امتیازات Compliance، توصیه‌های امنیتی و تشخیص تهدیدات فعال دسترسی پیدا می‌کنند. معیارهای Secure Score وضعیت Subscriptionها را در برابر Benchmarkهای امنیتی ارزیابی کرده و مراحل اصلاحی قابل اجرایی را برای رفع پیکربندی‌های نادرست مانند Storage Accountهای رمزنگاری‌نشده، پورت‌های مدیریتی باز یا عدم وجود Agentهای حفاظت از Endpoint ارائه می‌دهند.

علاوه بر این، یکپارچه‌سازی Microsoft Defender for Cloud با یک پلتفرم متمرکز Security Information and Event Management مانند Microsoft Sentinel، Audit Logهای Subscription، رویدادهای authentication در Entra ID و داده‌های جریان شبکه را در یک Dashboard تحلیل تهدید ادغام می‌کند.

Cross-Subscription Networking Topologies

معماری‌های ابری مدرن غالباً نیازمند ارتباط مستقیم بین منابعی هستند که در Subscriptionهای مجزا قرار دارند. ایجاد ارتباط بین Subscriptionها بدون ایجاد مکانیسم‌های مسیریابی تکراری، نیازمند توپولوژی Hub-and-Spoke است.

در مدل multi-subscription Hub-and-Spoke، شبکه Virtual Hub در داخل یک Connectivity Subscription مرکزی قرار می‌گیرد. این شبکه شامل اجزای زیرساخت مشترک مانند Azure Firewall، سیستم‌های Intrusion Detection and Prevention، ExpressRoute Gatewayها و DNS Private Resolverهای متمرکز است.

شبکه‌های Spoke Virtual Network در داخل Application Landing Zone Subscriptionها قرار دارند. شبکه‌های Spoke از طریق Virtual Network Peering به Hub مرکزی متصل می‌شوند. این پیکربندی باعث می‌شود تمام ترافیک بین Subscriptionها و ترافیک ورود و خروج اینترنت از طریق تجهیزات امنیتی مرکزی مسیریابی شود و در عین حال که شفافیت متمرکز حفظ می‌شود، ایزوله‌سازی بین Workloadهای مختلف برنامه‌ها نیز رعایت گردد.

Subscription Lifecycle and Automation

مدیریت دستی Subscriptionها با گسترش سازمان به صدها محیط، غیرعملی می‌شود. روش‌های مهندسی پلتفرم مدرن برای خودکارسازی Provisioning، پیکربندی پایه و Decommissioning از Subscription Vending Machineها استفاده می‌کنند.

یک Subscription Vending Machine از ابزارهای Infrastructure as Code مانند Azure Bicep یا HashiCorp Terraform به همراه Azure REST API برای خودکارسازی مراحل اداری هنگام درخواست یک محیط جدید توسط یک بخش استفاده می‌کند:

۱. ایجاد نرم‌افزاری یک Subscription جدید در زیر Management Group مربوطه با استفاده از APIهای Enterprise Agreement یا MCA.

۲. اعمال تخصیص نقش‌های استاندارد و نگاشت گروه‌های Entra ID به نقش‌های محلی Subscription.

۳. استقرار Resource Groupهای اصلی، Tagهای پایه و تنظیمات تشخیصی Log Analytics Workspace مرکزی.

۴. ایجاد Network Peering بین Spoke Virtual Network مربوط به Subscription و Hub ارتباطی مرکزی.

۵. اعمال Policy definitionهای لازم برای محدود کردن خدمات و Regionهای غیرمجاز.

هنگامی که برنامه‌ها به پایان Lifecycle عملیاتی خود می‌رسند، یک فرایند خودکار Decommissioning، Subscription هدف را به یک Decommissioned Management Group منتقل می‌کند. Policyهای محدودیتی به سرعت استقرار منابع جدید را مسدود کرده، دسترسی‌های کاربران را لغو نموده و حذف زمان‌بندی‌شده منابع موجود را برنامه‌ریزی می‌کنند تا اطمینان حاصل شود Subscriptionهای بلااستفاده باعث ایجاد هزینه‌های مداوم یا دارایی‌های رهاشده نمی‌شوند.

Global Infrastructure and Regional Deployments

با گسترش جهانی سازمان‌ها، ساختار Subscriptionها باید قوانین حاکمیت داده‌های بین‌المللی، الزامات Latency و Availability Zoneهای منطقه‌ای را پوشش دهد. پوشش جغرافیایی Azure شامل Regionهای متعدد جهانی است که هرکدام امکانات پردازشی، ذخیره‌سازی و شبکه‌ای خاصی ارائه می‌دهند.

هنگام استقرار Workloadها در حوزه‌های قضایی بین‌المللی، Policyهای Governance باید مرزهای منطقه‌ای سخت‌گیرانه‌ای را اعمال کنند. به عنوان مثال، سازمان‌هایی که عملیات خود را در خاورمیانه گسترش می‌دهند می‌توانند از زیرساخت‌های منطقه‌ای مانند خدمات مایکروسافت آژور استفاده کنند تا اطمینان حاصل نمایند که سوابق حساس مشتریان در داخل مرزهای جغرافیایی منطقه‌ای باقی می‌ماند و با الزامات قانونی محلی هماهنگ است.

تخصیص Policyهای استقرار منطقه‌ای در سطح Subscription یا Management Group تضمین می‌کند که توسعه‌دهندگان نمی‌توانند به طور تصادفی منابع را خارج از مرزهای تاییدشده ایجاد کنند. این ترکیب از Landing Zoneهای محلی و Policyهای Governance جهانی به سازمان‌ها اجازه می‌دهد تا Compliance را در کل عملیات‌های پیچیده چندمنطقه‌ای حفظ کرده و در عین حال خدمات با Latency پایین به کاربران نهایی ارائه دهند.

ساخت یک فریم‌ورک Subscription آماده برای تکامل

معماری Subscription یک نقطه ثابت نیست، بلکه یک چارچوب عملیاتی رو به رشد است که همراه با سفر ابری سازمان به پختگی می‌رسد. تلاش برای طراحی یک توپولوژی یکپارچه که تمام سناریوهای آینده را پوشش دهد، غالباً منجر به Over-Engineering می‌شود. در عوض، تیم‌های ابری باید انعطاف‌پذیری، مرزبندی‌های شفاف و Governance خودکار را در اولویت قرار دهند.

با هماهنگ‌سازی انواع Subscription با قراردادهای کاری، ایجاد سلسله‌مراتب قوی برای Management Groupها، اعمال Policyهای خودکار و استفاده از Subscription Vending برپایه برنامه‌نویسی، سازمان‌ها پایه‌ای مقیاس‌پذیر برای رشد مداوم ایجاد می‌کنند. یک استراتژی درست برای Subscription، اصطکاک‌های اداری را حذف کرده، دارایی‌های شرکتی را از طریق مرزهای دسترسی دقیق محافظت نموده، هزینه‌های ابری را کنترل کرده و به تیم‌های توسعه اجازه می‌دهد تا با امنیت و سرعت به نوآوری بپردازند.