Azure-cloud en DevOps
Infrastructuur als code, pipelines die meerdere keren per dag deployen, een securitybaseline die standaard weigert en een rekening die voorspelbaar blijft. Zo bouwen we een cloudomgeving, en zo runnen we de onze.
Het DevOps-werk zelf
- Pipelines. Build, test, securityscan en deploy in GitHub Actions, met federated credentials in plaats van opgeslagen secrets en elke action vastgezet met een hash.
- Infrastructuur als code. Terraform voor alles, als plan gereviewd voordat het wordt toegepast, met geplande driftdetectie die meldt wat iemand met de hand heeft gewijzigd.
- Databaseoplevering. Schemawijzigingen als versiebeheerde migraties die in de pipeline draaien, zodat een deploy die code zonder bijbehorend schema uitbrengt onmogelijk is.
- Monitoring en alerting. Logs, metrics en traces in één workspace, met alerts die alleen een persoon bereiken wanneer een ontwikkelaar er iets mee kan.
- Kostenbeheersing. Passend gedimensioneerde niveaus, verbruiksprijzen waar de belasting piekt, en een maandelijkse rekening die iemand echt leest.
Waarmee we bouwen
Elke resource wordt gedeclareerd in Terraform en gedeployed vanuit GitHub Actions met federated credentials. Niets wordt in een portal bij elkaar geklikt, niet in onze omgevingen en niet in de uwe.
Compute
Azure Functions op de .NET 10 isolated worker voor de API en 40 geplande jobs; Container Apps Jobs draaien databasedeployments en EF Core-migraties.
Data
Azure SQL met row-level security en Always Encrypted-kolommen onder door de klant beheerde sleutels in Key Vault; Blob Storage voor documenten en ondertekende pdf’s.
Front-ends
Twee Static Web Apps, het portaal en deze site, beide geserveerd met een strikt Content Security Policy en geprerenderd waar crawlers HTML nodig hebben.
Identiteit
Entra ID voor mensen en groepen, door de gebruiker toegewezen managed identities voor elke workload, OIDC vanuit GitHub Actions. Geen langlevende inloggegevens in de pipeline.
Observability
Application Insights en Log Analytics met alertregels die het team als Teams-berichten bereiken. Alleen signalen waar een ontwikkelaar iets mee kan, worden alerts.
Governance
Beleid op resourcegroepniveau, management locks, purge protection en diagnostische instellingen, allemaal gedeclareerd in Terraform met de reden naast elke regel.
Kostendiscipline
Onze engineeringprincipes rangschikken prioriteiten in een vaste volgorde: eerst kosten, dan beveiliging, dan moderniteit, dan performance. Een kostenplafond wordt vastgesteld voordat de architectuur wordt getekend, en elke ontwerpbeslissing wordt eraan getoetst. In de praktijk betekent dat verbruiksprijzen in plaats van altijd draaiende servers waar de belasting piekt, een passend gedimensioneerd databaseniveau in plaats van het niveau dat de leverancier aanbeveelt, en alerting gebouwd van diensten die al in het abonnement zitten in plaats van een betaald on-callproduct.
Securitybaseline
- Firewalls weigeren standaard; SQL is alleen bereikbaar vanuit het Functions-subnet.
- Secrets bestaan alleen in Key Vault en worden gelezen via managed identities.
- Persoons- en financiële kolommen zijn Always Encrypted, zodat zelfs een databasebeheerder ze niet kan lezen.
- Actions en containerimages worden vastgezet met een hash; afhankelijkheidsupdates komen binnen als gereviewde pull requests en een securityadvies is een onvoorwaardelijke upgrade.
- CodeQL draait bij elke push, Terraform-plannen worden gevalideerd vóór toepassing, en drift wordt volgens schema gedetecteerd.
Onze cloudstaat van dienst
Meer dan 20 CI/CD-pipelines gebouwd, tweewekelijkse releases omgezet in dagelijkse deploys, releasetijd teruggebracht van vier uur naar 25 minuten, Azure-uitgaven op één platform met 30 procent verlaagd. Cijfers uit onze opleverhistorie.
Daarvoor werven, niet improviseren
DevOps is een rol waarvoor we bewust werven: onze vacaturehistorie omvat een DevOps-engineer en een speciale technische DevOps-interviewer, zodat kandidaten worden beoordeeld door iemand die het werk doet en niet door een generalist die een checklist afwerkt.
Wilt u uw Azure-omgeving als code, met een kleinere rekening?
Stuur leestoegang tot uw abonnement of een beschrijving van wat waar draait. U krijgt binnen één werkdag een schriftelijke beoordeling en een plan.