[Azure资源组]Microsoft Azure资源组：介绍和最佳实践

Azure资源组是Microsoft Azure服务，需要对所有Azure虚拟机（VM）进行分组。在这篇文章中，我们将探讨这种组结构的实际含义，以及如何使用它来更好地治理和更好地管理基础设施的Azure资源。
 

Azure资源管理器

首先，简要概述如何通过Azure资源管理器（您可能很熟悉）管理和配置资源组，因为它是资源的管理层。使用Azure资源管理器，您可以通过声明性模板而不是脚本、标记管理、部署模板、依赖关系映射、简化的基于角色的访问控制和明确的成本管理来管理您的基础架构。
您可以组织资源组，以保护、管理和跟踪与工作流和应用程序相关的成本。
 

什么是Azure资源组？

Azure资源组是VM、存储帐户、虚拟网络、web应用程序、数据库和数据库服务器的逻辑集合。您可以使用它们对应用程序的相关资源进行分组，并将其分为生产和非生产组，或您喜欢的任何其他组织结构。
Azure资源组管理模型提供了四个级别或“范围”的管理来组织您的资源：

• 管理组：这些组是用于管理多个订阅的访问、策略和合规性的容器。管理组中的所有订阅都会自动继承应用于该管理组的条件。它们通常用于按内部部门或地理区域对订阅进行分组。
• 订阅：订阅将用户帐户和由这些用户帐户创建的资源相关联。每个订阅对您可以创建和使用的资源数量都有限制或配额。组织可以使用订阅来管理用户、团队或项目创建的成本和资源。通常，订阅等同于应用程序。
• 资源组：资源组是一个逻辑容器，用于部署和管理Azure资源，如web应用程序、数据库和存储帐户。
• 资源：资源是您创建的服务的实例，如VM、存储或SQL数据库。

管理这些作用域时需要记住的一个重要因素是，Azure订阅与管理组之间存在差异。管理组不能包含Azure资源。它只能包括其他管理组或订阅。Azure管理组提供了高于Azure订阅的组织级别，例如，如果订阅代表一个应用程序，则Azure管理组可能包含该部门管理的所有应用程序。此外，Azure中没有“嵌套”资源组的结构——要“嵌套”权限组，您需要使用前面列出的不同级别的权限组合。请确保将Azure资源组的概念与“Azure可用性集”区分开来。Azure中的可用性集是VM的逻辑分组，用于通知Azure如何构建应用程序以保护应用程序的可用性。

创建Azure资源组的方法

有几种方法可以创建Azure资源组：
 

• Azure门户
• Azure PowerShell脚本
• Azure CLI
• ARM模板

Azure资源组最佳实践

以下是使用Azure资源组的一些最佳实践：

• 组中的资源应具有相同的生命周期。例如，如果一个应用程序需要同时更新不同的资源，例如SQL数据库、web应用程序或移动应用程序，那么将这些资源分组到同一资源组中是有意义的。然而，对于DevTest、测试或生产来说，使用不同的资源组或新的资源组非常重要，因为这些组中的资源具有不同的生命周期。
• 可以向Azure资源组添加资源或从中删除资源。但是，您的每个资源都必须属于一个Azure资源组，因此，如果您想将资源从一个资源组移动到另一个，则必须将其从原始组中删除，然后将其添加到新组中。
• 并非所有资源都可以移动到不同的资源组。
• 您在资源组中包含的资源可以位于不同的Azure区域，甚至可以位于与组本身不同的区域。然而，有时，最好的做法是将资源组中的所有资源保持在同一区域，以减少延迟或跨区域数据传输。无论如何，该组需要一个位置来指定元数据的存储位置，这对于某些合规性策略来说是必要的。
• 授予对资源组的访问权限。您应该使用资源组来控制对资源的访问——稍后将详细介绍访问控制。
• 删除资源组时，该组中的所有资源都将被删除。
• 每个资源组中最多可以部署800个资源类型的实例，但有一些例外。
  
   

如何有效地使用Azure资源组进行治理

Azure资源组是一种操作基于角色的访问控制（RBAC）的方法。通常，您希望在资源组级别授予用户访问权限——组使管理更简单，并提供更高的可见性。

我们向首席信息官推荐的顶级云最佳实践之一是为您的组织提供一个支持您的战略的结构。然后，您组织Azure资源的方式遵循您的组织结构，可以直接遵循最小权限原则，只授予所需的最小权限——您可以在资源组级别而不是管理组或订阅级别进行访问。例如，可以在管理组级别应用与加密密钥管理相关的策略，而可以在资源组级别应用计划暂停策略。

有效使用标记可以让您识别用于技术、自动化、计费和安全目的的资源。标签可以扩展到资源组之外，这允许您使用标签将属于同一项目、应用程序或服务的组和资源相关联。一定要应用标记最佳实践，例如在部署资源之前要求应用一组标准标记，以确保优化资源。

如何构建资源组

有几种常见的方法来组织订阅和资源组。不幸的是，第一个常见的模型是“混乱”。如果这个词描述了你的环境，不要放弃。我们看到许多组织经历了这些成长的痛苦，并将他们的环境调整到正常工作状态。

然后是按应用程序组织。例如，工资单或计费应用程序将与单个Azure云订阅对齐，每个环境的资源组（开发、测试、暂存等）都汇总在该订阅下。

我们经常看到一个符合环境的组织结构。在这种情况下，所有生产都有一个单一的订阅，一个用于开发，另一个用于测试，资源组与它下面的每个应用程序保持一致。最成熟的组织方式是按业务部门或服务部门——这种模式将资源的所有权授予公司职能部门。例如，财务部门会有一个订阅，营销部门会有另一个。在这些订阅下面是与每个应用程序对应的资源组。

在下一个级别管理您的资源

Azure资源组和云提供商的其他原生结构允许您有效地组织和管理云资源。创建基础并使用Azure资源组为您的业务线及其运行的应用程序提供所需的细分和对齐后，下一步是开始有效地将您的资源与应用程序需求相匹配。通过这样做，您将能够在优化资源成本的同时最大限度地提高应用程序性能。

确保应用程序性能和优化您的云超出了人力范围，这就是为什么我们在IBM的使命是管理任何云上任何规模的任何应用程序的性能、合规性和成本。

Turbonomic软件允许您更轻松地可视化订阅和资源组之间的父子关系。这种能力有助于直观地绘制出您的组织已经实现的框架，使您能够在已经构建的应用程序上下文中查看您的基础设施。Turbonomic软件将自动发现所有关联的Azure订阅、它们的资源组以及每个组中的资源，包括Azure VM、Azure托管磁盘、Azure SQL Server，以及任何保留实例（RI），无论是共享的RI还是作用于订阅或资源组的RI。然后，Turbonomic软件将分析每种资源的利用率，并开始生成优化操作。此处的视图显示了单个Azure订阅及其下的几个Azure资源组的细分、每个资源组的待定优化操作以及这些操作的潜在节省。

此外，Turbonomic软件包括一个强大的优化建模引擎，旨在允许客户端在安全的沙箱模式下对云环境中的不同场景进行建模。例如，模拟在调整资源组中的工作负载大小后与不调整工作负载大小时Azure保留VM实例库存利用率的影响。