Azure cloud a DevOps
Infrastruktura jako kód, pipeline, které nasazují několikrát denně, bezpečnostní základ zakazující vše ve výchozím stavu a účet, který zůstává předvídatelný. Takto budujeme cloudové prostředí a takto provozujeme své vlastní.
Samotná práce DevOps
- Pipeline. Build, testy, bezpečnostní sken a nasazení v GitHub Actions, s federovanými přihlašovacími údaji místo uložených tajemství a každou akcí připnutou podle hashe.
- Infrastruktura jako kód. Terraform pro všechno, revidovaný jako plán dřív, než se aplikuje, s plánovanou detekcí driftu, která hlásí, co někdo změnil ručně.
- Dodávka databáze. Změny schématu jako verzované migrace spouštěné v pipeline, takže se nemůže stát, že se nasadí kód bez svého schématu.
- Monitoring a upozornění. Logy, metriky a trasy v jednom pracovním prostoru, s upozorněními, která dojdou člověku, jen když na ně vývojář může zareagovat.
- Kontrola nákladů. Správně dimenzované úrovně, cenotvorba podle spotřeby tam, kde je zátěž nárazová, a měsíční účet, který někdo skutečně čte.
S čím stavíme
Každý zdroj je deklarován v Terraformu a nasazován z GitHub Actions s federovanými přihlašovacími údaji. Nic se nenaklikává v portálu, ani v našich prostředích, ani ve vašich.
Výpočetní výkon
Azure Functions na izolovaném workeru .NET 10 pro API a 40 plánovaných úloh; Container Apps Jobs spouštějí nasazení databáze a migrace EF Core.
Data
Azure SQL se zabezpečením na úrovni řádků a sloupci Always Encrypted pod klíči spravovanými zákazníkem v Key Vault; Blob Storage pro dokumenty a podepsaná PDF.
Frontendy
Dvě Static Web Apps, portál a tento web, obě obsluhované s přísnou Content Security Policy a prerenderované tam, kde crawlery potřebují HTML.
Identita
Entra ID pro lidi a skupiny, uživatelsky přiřazené spravované identity pro každou úlohu, OIDC z GitHub Actions. Žádné dlouhodobé přihlašovací údaje v pipeline.
Observabilita
Application Insights a Log Analytics s pravidly upozornění, která dojdou týmu jako zprávy v Teams. Upozorněními se stávají jen signály, na které vývojář může zareagovat.
Governance
Zásady na úrovni skupin zdrojů, zámky správy, purge protection a diagnostická nastavení, vše deklarované v Terraformu s důvodem vedle každého pravidla.
Disciplína nákladů
Naše inženýrské zásady řadí priority v pevném pořadí: nejdřív náklady, pak zabezpečení, pak moderní řešení, pak výkon. Strop nákladů se stanoví dřív, než se nakreslí architektura, a každé designové rozhodnutí se proti němu ověřuje. V praxi to znamená cenotvorbu podle spotřeby místo stále zapnutých serverů tam, kde je zátěž nárazová, správně dimenzovanou úroveň databáze místo té, kterou doporučuje dodavatel, a upozornění postavená ze služeb, které už v předplatném jsou, místo placeného produktu pro pohotovost.
Bezpečnostní základ
- Firewally zakazují vše ve výchozím stavu; SQL je dosažitelné jen z podsítě Functions.
- Tajemství existují jen v Key Vault a čtou se přes spravované identity (managed identities).
- Osobní a finanční sloupce jsou Always Encrypted, takže je nepřečte ani správce databáze.
- Akce a kontejnerové image jsou připnuté podle hashe; aktualizace závislostí přicházejí jako revidované pull requesty a bezpečnostní upozornění je bezpodmínečný důvod k aktualizaci.
- CodeQL běží při každém pushi, plány Terraformu se před aplikací validují a drift se detekuje podle plánu.
Naše cloudové reference
Více než 20 vybudovaných CI/CD pipeline, dvoutýdenní vydání proměněná v denní nasazení, doba vydání zkrácena ze čtyř hodin na 25 minut, výdaje na Azure sníženy o 30 procent na jedné platformě. Čísla z naší historie dodávek.
Nabíráme na to, neimprovizujeme
DevOps je role, na kterou nabíráme záměrně: naše historie pozic zahrnuje DevOps inženýra i vyhrazeného technického tazatele pro DevOps, takže kandidáty hodnotí někdo, kdo tu práci dělá, a ne generalista, který čte checklist.
Chcete své prostředí Azure v kódu a menší účet?
Pošlete přístup pro čtení k vašemu předplatnému nebo popis toho, co kde běží. Písemné posouzení a plán dostanete do jednoho pracovního dne.