DevOps

Landing Zones

Landing Zones in Azure zijn een set richtlijnen, processen en best practices welke helpen bij het opzetten van een effectieve, veilige en schaalbare cloud-omgeving. Deze architecturale benadering biedt een gestandaardiseerd en herhaalbaar ontwerppatroon voor de implementatie van Azure, gericht op het beheersen van security, governance, netwerken en subscriptions. Het doel van Landing Zones is om een basisinfrastructuur te bieden waarop meerdere applicaties en workloads kunnen worden ingezet, met de garantie van een veilige en in meerdere aspecten beheersbare omgeving.

Elke Landing Zone vormt een afzonderlijk operationeel gebied, dat ideaal is voor het isoleren van verschillende bedrijfsfuncties, projecten of workloads. Bij het inrichten van een Landing Zone kan worden gekozen uit een aantal standaard architecturen of volledige vrijheid, afhankelijk van de specifieke behoefte en de volwassenheid. Dit kan variëren van een eenvoudige Landing Zone die alleen de basisimplementatie van Azure omvat, tot een uitgebreide Landing Zone die complete beveiliging, governance, netwerkconnectiviteit en best practices voor beheer omvat. Deze modulaire aanpak maakt het mogelijk om een Azure omgeving te schalen en te evolueren naarmate de business behoefte verandert.

Development omgeving

De productiviteit van iedere software ontwikkelaar begint bij zijn ontwikkelmachine. Nieuwe teamleden moeten snel aan de slag kunnen, een defecte machine levert al snel uren aan productiviteitsverlies op. Toch worstelen veel organisaties al jaren met het probleem om een omgeving aan te bieden die zowel aan de wensen van een ontwikkelaar voldoet, maar tegelijkertijd ook veilig is en op een goede manier ontsloten in het bedrijfsnetwerk. Het is dan ook niet voor niets dat cybersecurity aanvallen zich (ook) richten op ontwikkelomgevingen; daar waar nog wel eens wat account credentials rondslingeren.

Daarom is de ontwikkelomgeving één van onze BluePrint onderdelen. We maken daarvoor bijvoorbeeld gebruik van Azure DevBox, een Azure-dienst die ontwikkelaars toegang geeft tot kant-en-klare, projectspecifieke ontwikkelomgeving die vooraf is geconfigureerd en centraal wordt beheerd. DevBox brengt de kracht van de cloud naar de ontwikkelomgeving en laat ontwikkelaars zich concentreren op het schrijven van code. Integratie met de toolstack zoals Azure DevOps maakt het dat nieuwe teamleden in een mum van tijd aan de slag kunnen.

CI/CD pipelines

Een moderne ontwikkelomgeving kan niet zonder geautomatiseerde CI/CD pipeline. Wij werken veel op basis van zowel Azure DevOps als GitHub Actions, waarmee het gehele build & deployment proces gedeeltelijk of geheel geautomatiseerd kan worden.

Een goed ingericht CI/CD proces brengt het team niet alleen een effectievere werkwijze, het borgt ook kwaliteit, veiligheid en performance van de ontwikkelde software. Technologiën zoals infrastructure as code sluiten naadloos aan op het DevOps principe door het ontwikkelteam in staat te stellen naast de code ook de infrastructuur geautomatiseerd mee te deployen en daarmee in eigen controle te nemen. Waar dit soort ontwikkelingen vaak technologie gedreven lijken te zijn, hebben ze wel degelijk ook een potentieel grote impact op de organisatie en de indeling daarvan.

In onze BluePrint vormt de CI/CD pipeline een deel van de lopende band van onze software fabriek: een essentieel onderdeel om sneller waarde in de productie omgeving te kunnen leveren.

Hub/Spoke netwerk

Het “hub-spoke” netwerkmodel in Microsoft Azure is een best practice voor het ontwerpen en inzetten van netwerkarchitecturen in de cloud. In dit model is het “hub” netwerk het centrale punt van connectiviteit. De hub gedeelde services zoals firewalling, VPN-connectiviteit en beveiliging. De “spoke” netwerken zijn satellietnetwerken. Ze staan in verbinding met het hubnetwerk en hosten specifieke workloads.

Ieder “spoke” netwerk is een aparte workload of een groep workloads die op zichzelf staan, maar wel toegang nodig hebben tot gedeelde services in het hub netwerk. Door de scheiding kunnen verschillende teams en afdelingen hun eigen workload(s) ontwikkelen en beheren, terwijl ze profiteren van gedeelde, centraal beheerde services. Deze scheiding zorgt ook voor een betere isolatie van resources en verhoogde beveiliging, aangezien de toegang tot en van de “spoke” netwerken kan worden gecontroleerd en beperkt.

Onze DevOps experts kunnen met raad en daad helpen bij het inrichten van een hub-spoke architectuur op basis van Azure.

Monitoring & Alerting

We komen ze nog steeds tegen: klanten waar de software nauwelijks logging bevat, of inzage in de logging alleen mogelijk is via het inloggen op een specifieke server om vervolgens op de schijf de juiste bestanden te moeten zoeken. Jammer, want goed uitgeruste software brengt enorm veel inzicht en maakt het mogelijk om er pro-actief voor te zorgen dat een eindgebruiker geen last meer heeft van verstoringen.

Azure services zoals Azure Monitor en Application Insights bieden, wanneer juist toegepast, een enorme hoeveelheid mogelijkheden aan. Third party oplossingen zoals Prometheus, Grafana en de ELK-stack zijn vaak nog net iets flexibeler maar vereisen ook meer specifieke kennis. Onze DevOps expertise vinden we terug in zowel onze ontwikkelaars die zich bezig houden met het juist instrumenteren van de software als in onze platform experts die weten hoe je al die data op een beheersbare en inzichtelijke manier onder brengt in Azure.

Workload templates

Wanneer we gebruik maken van het BluePrint onderdeel ‘Landing Zones’ krijgt een workload team een eigen stukje cloud waar ze zelf voor verantwoordelijk zijn. Afhankelijk van het volwassenheidsniveau van het team kunnen ze dit ofwel geheel zelf inrichten, of ze maken gebruik van één van de standaard architecturen. Best practices en onze ervaringen op het gebied van web applicaties, API landschappen en container omgevingen zorgen voor een snelle start voor ieder team.

Daarnaast kunnen we ook kennis van specifieke verticals hierin onderbrengen. Neem bijvoorbeeld de Baseline Informatiebeveiliging Overheid (BIO), een richtlijn die de beveiliging van de informatiehuishouding van alle overheidsorganisaties waarborgt. Door in Azure vooraf gecontroleerde architecturen beschikbaar te stellen, garanderen we een omgeving die aan iedere richtlijn voldoet. Zie hiervoor ook het BluePrint onderdeel “Security & Compliance”.

Security en Compliance

De traditionele security aanpak is altijd geweest: we controleren je bij de deur (firewall). Eenmaal binnen ben je een vertrouwde entiteit en kun je, in veel gevallen, teveel zonder je opnieuw voor te hoeven stellen. De public cloud leent zich niet voor deze aanpak. Met het zero trust principe vinden we security opnieuw uit. Iedere deur, zoals een API of applicatie, past een eigen beveiliging toe waardoor de identiteit continu geverifieerd wordt. Microsoft Entra ID is het hart van deze operatie, waar credentials beheerd en geverifieerd worden.

Naast het hebben van een goed beveiligingsbeleid is het noodzakelijk om daar ook op een goede manier over te kunnen rapporteren. Voldoet de gehele omgeving daadwerkelijk aan de richtlijnen en zijn we klaar voor de eerstvolgende audit op dit gebied? Het zijn deze vragen waarop Azure een antwoord kan bieden met producten zoals onder andere Security Center, Defender en Purview. Onze DevOps experts bieden vanuit de BluePrint een aantal opties voor de meest voorkomende requirements. Daarnaast breiden we ons assortiment aan verticale oplossing continu uit op basis van de ervaringen bij onze klanten.

Governance & Control

Het klinkt als de ideale wereld: volledig zelfstandige teams die zonder enige hinder doorlopend waarde kunnen leveren in productie. Voor sommigen klinkt het wellicht als een utopie. Wanneer we teams volledige vrijheid gunnen; hoe zorgen we er dan voor dat we in controle blijven van het geheel?

In onze BluePrint onderkennen we beide behoeftes: teams laten excelleren, terwijl de organisatie in controle blijft. Een mix van kaders en richtlijnen helpt. Denk bijvoorbeeld aan policies op het gebied van naamgeving, tagging en resource gebruik. Denk aan role based access control waardoor toegang beperkt blijft tot wie die daadwerkelijk nodig heeft. Maar denk ook aan cost management; hoe zorgen we ervoor dat de kosten beheersbaar blijven en misschien ook wel de verantwoordelijkheid van het workload team worden? Het zijn vragen waar wij samen met Azure een antwoord op kunnen bieden.

Container Platformen

Container platformen. Ze zijn niet meer weg te denken uit moderne applicatie architecturen. Een container platform zoals Kubernetes brengt onder andere schaalbaarheid, performance en hoge beschikbaarheid. Ook het isoleren van applicatie onderdelen is een krachtig principe achter container technologie. De “het werkt op mijn machine!” discussies behoren tot het verleden.

Wij hebben de nodige expertise in huis op container gebied. Naast CKAD certificeringen hebben onze DevOps experts hands-on ervaring met Azure Kubernetes Services, Container Apps en Azure Container Instances. Daarnaast hebben we een duidelijke visie op de positionering van container technologie in een applicatie landschap, er is geen one size fits all oplossing. De complexiteit van een container platform laat veel projecten op dit vlak mislukken of eindeloos uitlopen. We denken graag mee om dat te voorkomen.