Главная мысль
Определите политики и ответственных за решения, затем проверяйте соблюдение правил на всех этапах — от создания ресурсов до вывода из эксплуатации.
Назначение облачного управления
Облачное управление связывает использование ресурсов с целями бизнеса, безопасностью, требованиями и затратами через политики, процессы и инструменты. Правила для быстрого развёртывания показывают, что команда решает сама и где нужно согласование. Для публичных, частных и локальных систем задавайте общие цели с подходящими среде мерами.
Политики, безопасность и требования
Опишите разрешённые сервисы, регионы, классы данных, шифрование и правила развёртывания. Выбирайте MFA, ролевой доступ, оценку уязвимостей и меры восстановления с учётом риска для бизнеса. Для каждого применимого требования назначьте ответственного за его выполнение и определите подтверждающие материалы; оформляйте исключения с обоснованием и сроком действия.
Затраты и распределение ответственности
Для каждого ресурса назначайте ответственного со стороны бизнеса и задавайте метки распределения затрат; устанавливайте бюджет и пороги оповещения. Проверяйте простаивающие ресурсы и избыточную мощность, учитывая зависимости до отключения. ИТ может отвечать за инфраструктуру, бизнес — за требования к приложениям, служба безопасности — за контроль защитных мер. Укажите, кто согласует создание ресурсов и принимает решения по инцидентам.
Сравнение: среда и охват
Локальная, облачная, гибридная и мультиоблачная среды могут сосуществовать и все меняются со временем. Реестр должен отражать ресурсы, владельцев и связи в каждой среде.
| Среда | Что учитывать в реестре | Что проверять |
|---|---|---|
| Локальная | Оборудование, виртуальные ресурсы и владельцы. | Физические и сервисные зависимости. |
| Облачная | Аккаунты, регионы, сервисы и краткоживущие ресурсы. | Кто отвечает за ресурсы и отражаются ли их создание и удаление в реестре. |
| Гибридная и мультиоблачная | Связанные ресурсы разных сред. | Согласованность идентификаторов и зависимостей, наличие ресурсов без назначенного ответственного. |
Сравнение: владение и ответственность
Организация преимущественно сама управляет локальной инфраструктурой и её физической защитой. В облаке ответственность провайдера и клиента зависит от сервиса. Укажите в договоре, кто отвечает за инфраструктуру, ОС, приложения, данные и доступ; уточните, какие меры входят в область действия сертификата провайдера.
Сравнение: гибкость и масштаб
Рост физической мощности требует закупки и установки; облачные ресурсы быстро масштабируются через API. Для самообслуживания задавайте утверждённые шаблоны, квоты, регионы и сервисы. Отслеживайте влияние автомасштабирования на производительность и стоимость.
Сравнение: подход к безопасности
Меры защиты сети, учётных записей и физических объектов важны и локально, и в облаке. В распределённой облачной среде дополнительно проверяйте личность или учётную запись, с которой запрашивают доступ, выданные ей полномочия и обстоятельства запроса. Постоянно отслеживайте конфигурацию, шифрование и журналирование; указывайте, какие результаты проверок подтверждают выполнение каждого применимого требования.
Сравнение: модель затрат
Локальные системы часто требуют крупных первоначальных затрат на оборудование и лицензии. Счёт за облачные услуги зависит от использования, передачи данных и выбранных сервисов. Управляйте бюджетом через метки, распределение затрат, оповещения и пересмотр выделенной мощности, учитывая договорные обязательства, в том числе по резервированию мощности.
Сравнение: скорость внедрения
Ручные согласования и настройка могут не успевать за изменениями в облаке. Встраивайте правила политики в шаблоны и конвейер развёртывания. Автоматизация применяет правила доступа и журналирования; для значимых изменений сохраняйте согласование, тестирование и возможность отката.
Инструменты: управление ресурсами
AWS Management Console, Azure Portal и Google Cloud Console управляют ресурсами своих платформ. Сверяйте аккаунты, регионы, метки и конфигурацию с реестром. При использовании нескольких облаков ведите общий реестр ресурсов с указанием ответственных; консоль отдельного провайдера автоматически не охватывает всю среду.
Инструменты: управление стоимостью
AWS Cost Explorer и Azure Cost Management помогают анализировать затраты и использование ресурсов. Распределяйте бюджет по подразделениям и сервисам, настраивайте оповещения о быстром росте затрат. Сопоставляйте рекомендации по изменению мощности с требованиями сервисов и их зависимостями; отслеживайте счёт после изменения.
Инструменты: безопасность и соответствие
Обнаружение угроз, оценка уязвимостей и конфигурационные проверки CSPM отвечают на разные вопросы. Для выявленных проблем указывайте затронутые активы и ответственных за защитные меры. Для ключей и секретов в AWS KMS или HashiCorp Vault определяйте правила доступа, ротации и аудита. Проверяйте выводы на панели мониторинга по фактическим данным и применимым требованиям, учитывая ресурсы, которые инструмент не охватывает.
Инструменты: политика и автоматизация
AWS Config записывает конфигурации, связи и историю изменений выбранных ресурсов и поддерживает их оценку по правилам. Azure Policy оценивает и применяет политики в заданной области действия с настроенными эффектами. IaC-инструменты вроде Terraform помогают создавать инфраструктуру по согласованным шаблонам. До внедрения проверяйте, какие ресурсы охвачены, что меняют правила и как это влияет на зависимые ресурсы; фиксируйте исключения и порядок отката.
Инструменты: мониторинг и журналы
AWS CloudWatch, Azure Monitor и инструменты мониторинга Google Cloud дают сведения об использовании и производительности ресурсов. Передавайте журналы административных действий и событий безопасности в централизованную SIEM. Проверяйте полноту сбора журналов, синхронизацию времени, сроки хранения и наличие ответственных за обработку оповещений, в том числе для новых аккаунтов.
Инструменты: идентификация и доступ
В AWS IAM, Microsoft Entra ID и других IAM-системах назначайте роли и минимально необходимые права пользователям, приложениям и сервисам. При интерактивном входе пользователей применяйте MFA, если она поддерживается; для приложений и сервисов определите способы аутентификации, разрешения и порядок создания, изменения и удаления учётных записей. При приёме сотрудника, смене его роли и увольнении соответственно предоставляйте, пересматривайте или отзывайте доступ. Назначайте ответственных за экстренный доступ и проверки прав; сверяйте общую политику с фактическими правами у каждого провайдера.