Groupes de ressources Microsoft Azure : présentation et bonnes pratiques

Un groupe de ressources Azure est un service Microsoft Azure qui nécessite un regroupement de toutes vos machines virtuelles (VM) Azure. Dans cet article, nous verrons ce que signifie réellement cette structure de groupe et comment vous pouvez l’utiliser pour une meilleure gouvernance et pour mieux gérer les ressources Azure pour votre infrastructure.

Tout d’abord, un bref aperçu de la manière dont vous pouvez gérer et provisionner les groupes de ressources avec Azure Resource Manager, que vous connaissez probablement, car il s’agit de la couche de gestion de vos ressources. Avec Azure Resource Manager, vous pouvez gérer votre infrastructure à l’aide de modèles déclaratifs plutôt que de scripts, grâce à la gestion des balises, aux modèles de déploiement, au mappage des dépendances, au contrôle simplifié des accès basé sur les rôles et à la gestion clarifiée des coûts.

Vous pouvez organiser des groupes de ressources pour sécuriser, gérer et suivre les coûts liés à vos workflows et vos applications.

Les groupes de ressources Azure sont des collections logiques de machines virtuelles, de comptes de stockage, de réseaux virtuels, d’applications Web, de bases de données et de serveurs de base de données. Vous pouvez les utiliser pour rassembler les ressources associées à une application et les diviser en groupes pour la production et la non-production, ou selon toute autre structure organisationnelle de votre choix.

Le modèle de gestion des groupes de ressources Azure propose quatre niveaux, ou « étendues », de gestion pour organiser vos ressources :

• Groupes de gestion : ces groupes sont des conteneurs qui permettent de gérer l’accès, les politiques et la conformité pour plusieurs abonnements. Tous les abonnements d’un groupe de gestion héritent automatiquement des conditions appliquées au groupe de gestion. Ils sont souvent utilisés pour regrouper les abonnements par service interne ou par région géographique.
• Abonnements : un abonnement associe des comptes d’utilisateurs et les ressources qui ont été créées par ces comptes d’utilisateurs. Chaque abonnement a des limites ou des quotas sur le nombre de ressources que vous pouvez créer et utiliser. Les entreprises peuvent utiliser les abonnements pour gérer les coûts et les ressources créées par les utilisateurs, les équipes ou les projets. Généralement, un abonnement équivaut à une application. 
• Groupes de ressources : un groupe de ressources est un conteneur logique dans lequel les ressources Azure, telles que les applications Web, les bases de données et les comptes de stockage, sont déployées et gérées.
• Ressources : les ressources sont des instances de services que vous créez, comme des machines virtuelles, des bases de données de stockage ou des bases de données SQL.

Il est important de garder à l’esprit, lors de la gestion de ces champs d’application, qu’il existe une différence entre un abonnement Azure et un groupe de gestion. Un groupe de gestion ne peut pas inclure de ressources Azure. Il ne peut inclure que d’autres groupes de gestion ou abonnements. Les groupes de gestion Azure offrent un niveau d’entreprise supérieur aux abonnements Azure. Par exemple, si un abonnement représente une application, un groupe de gestion Azure peut contenir toutes les applications gérées par ce service. En outre, il n’existe pas de structure pour un groupe de ressources « imbriqué » dans Azure. Pour « imbriquer » les groupes d’autorisations, vous devrez utiliser une combinaison d’autorisations aux différents niveaux énumérés précédemment. Veillez également à différencier le concept de groupe de ressources Azure d’un « ensemble de disponibilités Azure ». Un ensemble de disponibilités dans Azure est un regroupement logique de machines virtuelles informant Azure de la manière dont votre application est conçue pour protéger sa disponibilité.

Il existe plusieurs manières de créer un groupe de ressources Azure :

• Le portail Azure
• Les scripts Azure PowerShell
• L’interface de ligne de commande Azure
• Un modèle ARM

Voici quelques bonnes pratiques concernant l’utilisation du groupe de ressources Azure :

• Les ressources d’un groupe doivent avoir le même cycle de vie. Par exemple, si une application nécessite différentes ressources qui doivent être mises à jour ensemble, comme une SQL Database, une application Web ou une application mobile, il est logique de regrouper ces ressources dans le même groupe. Cependant, pour le DevTest, le transfert ou la production, il est important d’utiliser différents groupes de ressources ou un nouveau groupe de ressources, car les ressources de ces groupes ont des cycles de vie différents. 
• Des ressources peuvent être ajoutées ou supprimées à un groupe de ressources Azure. Cependant, chacune de vos ressources doit appartenir à un groupe de ressources Azure. Si vous souhaitez déplacer des ressources d’un groupe de ressources à un autre, vous devez donc les supprimer du groupe d’origine, puis les ajouter au nouveau.
• Toutes les ressources ne peuvent pas être déplacées vers différents groupes de ressources.
• Les ressources que vous incluez dans un groupe de ressources peuvent se trouver dans différentes régions Azure, même dans des régions différentes de celles du groupe lui-même. Cependant, il est parfois préférable de conserver toutes les ressources d’un groupe de ressources dans la même région afin de réduire la latence ou le transfert de données entre régions. Quoi qu’il en soit, le groupe a besoin d’un emplacement pour spécifier où les métadonnées seront stockées, ce qui est nécessaire pour certaines politiques de conformité. 
• Accordez l’accès avec des groupes de ressources. Vous devez utiliser les groupes de ressources pour contrôler l’accès à vos ressources ; nous en parlerons plus tard.
• Lorsqu’un groupe de ressources est supprimé, toutes les ressources du groupe sont supprimées. 
• Vous pouvez déployer jusqu'à 800 instances d'un type de ressource dans chaque groupe de ressources, à quelques exceptions près.

Prêt à automatiser l’optimisation des groupes de ressources Azure ?

Les groupes de ressources Azure sont un moyen d’opérationnaliser le contrôle d’accès basé sur les rôles (RBAC). En règle générale, il est préférable d’accorder l’accès utilisateur au niveau du groupe de ressources (les groupes facilitent la gestion et offrent une meilleure visibilité).

L’une des bonnes pratiques cloud que nous recommandons aux DSI est de donner à votre organisation une structure qui soutient votre stratégie. La façon dont vous organisez vos ressources Azure suit alors votre structure organisationnelle, ce qui permet de suivre facilement le principe du moindre privilège et de n’accorder l’accès qu’aux autorisations minimales nécessaires, et ce au niveau du groupe de ressources, plutôt qu’au niveau du groupe de gestion ou au niveau de l’abonnement. Par exemple, une politique relative à la gestion des clés de chiffrement peut être appliquée au niveau du groupe de gestion, tandis qu’une politique de suspension planifiée peut être appliquée au niveau du groupe de ressources.

Une utilisation efficace du balisage vous permet d’identifier les ressources à des fins techniques, d’automatisation, de facturation et de sécurité. Les balises peuvent s’étendre au-delà des groupes de ressources, ce qui vous permet d’utiliser des balises pour associer des groupes et des ressources appartenant au même projet, à la même application ou au même service. Veillez à appliquer les bonnes pratiques en matière de balisage, telles que l’exigence d’un ensemble standard de balises à appliquer avant de déployer une ressource, afin de garantir l’optimisation de vos ressources.

Il existe plusieurs façons courantes d’organiser les abonnements et les groupes de ressources. Le premier modèle, malheureusement courant, est celui du « chaos ». Si ce mot décrit votre environnement, ne baissez pas les bras. Nous avons vu de nombreuses entreprises relever le défi et mettre de l’ordre dans leurs environnements.

Ensuite, il y a l’organisation par application. Par exemple, une application de paie ou de facturation s’aligne sur un seul abonnement cloud Azure, avec des groupes de ressources pour chaque environnement (développement, test, transfert, etc.) regroupés sous cet abonnement.

Nous constatons souvent la mise en place d’une structure organisationnelle par environnement. Dans ce cas, il existe un seul abonnement pour toute la production, un pour le développement et un pour les tests, avec des groupes de ressources alignés sur chaque application en-dessous. Le mode d’organisation le plus abouti est l’unité commerciale ou l’unité de service, modèle qui confère la propriété des ressources aux fonctions de l’entreprise. Par exemple, le service financier bénéficiera d’un abonnement et le service marketing d’un autre. Sous ces abonnements se trouvent les groupes de ressources correspondant à chaque application.

Les groupes de ressources Azure et d’autres structures natives des fournisseurs de cloud vous permettent d’organiser et de gérer efficacement les ressources cloud. Après avoir créé la base et utilisé le groupe de ressources Azure pour obtenir la segmentation et l’alignement nécessaires à votre secteur d’activité et aux applications qu’il exécute, l’étape suivante consiste à faire correspondre efficacement vos ressources à la demande de l’application. Vous pourrez ainsi maximiser les performances de vos applications tout en optimisant le coût de vos ressources.

Garantir la performance des applications et optimiser votre cloud dépasse l’échelle humaine, c’est pourquoi, chez IBM, notre mission est de gérer la performance, la conformité et le coût de n’importe quelle application, sur n’importe quel cloud, à n’importe quelle échelle.

Le logiciel Turbonomic vous permet de visualiser plus facilement la relation parent/enfant entre les abonnements et les groupes de ressources. Cette fonctionnalité permet de cartographier visuellement le cadre que votre entreprise a mis en œuvre, afin de visualiser votre infrastructure dans les contextes d’application que vous avez déjà créés. Le logiciel Turbonomic détecte automatiquement tous les abonnements Azure associés, leurs groupes de ressources et les ressources de chaque groupe, y compris les machines virtuelles Azure, les disques gérés Azure, les serveurs SQL, ainsi que toutes les instances réservées, qu’il s’agisse d’instances réservées partagées, d’instances étendues à un abonnement ou d’un groupe de ressources. Le logiciel analyse ensuite l’utilisation de chaque ressource et commence à générer des actions d’optimisation. Cette vue montre les détails d’un seul abonnement Azure et de plusieurs groupes de ressources Azure, les actions d’optimisation en attente par groupe de ressources et les économies potentielles réalisées grâce à ces actions.

De plus, le logiciel Turbonomic comprend un puissant moteur de modélisation d’optimisation conçu pour permettre aux clients de modéliser différents scénarios dans l’environnement cloud en mode bac à sable sécurisé. Par exemple, simulez l’impact de l’utilisation du stock d’instances de machines virtuelles réservées Azure après avoir redimensionné les charges de travail dans un groupe de ressources, ou sans redimensionner les charges de travail.