Ресурси · Интеграционни модели
Landing zone и hub-spoke мрежа
Йерархия на акаунти или абонаменти, централна мрежа, политики и журнали като основа за натоварванията.
Статус на интеграцията: Документиран модел
Описан модел. Продуктът не създава облачни ресурси.
Описание
Hub съдържа споделени услуги (защитна стена, DNS, връзка към локалната мрежа); spoke мрежите съдържат натоварванията; политики и журнали се прилагат централно чрез код.
Предпоставки
- Доставчик на идентичност.
- Инфраструктура като код.
- План за IP адресите.
Кога да се използва
- Няколко екипа или натоварвания в облака.
- Изисквания за сигурност и одит.
- Планиран растеж.
Кога да не се използва
- Едно малко приложение — достатъчен е по-прост модел.
- Няма кой да поддържа платформата.
- Краткотраен експеримент.
Референтна схема
Илюстрация на компонентите и потока — не е работеща система.
01Управление
- Йерархия
- Политики
- Бюджети
02Hub
- Защитна стена
- DNS
- Връзка към локалната мрежа
03Spokes
- Натоварвания
- Частни endpoints
04Наблюдение
- Централни журнали
- Състояние на сигурността
Схемата като списък
| Етап | Компоненти |
|---|---|
| Управление | Йерархия, Политики, Бюджети |
| Hub | Защитна стена, DNS, Връзка към локалната мрежа |
| Spokes | Натоварвания, Частни endpoints |
| Наблюдение | Централни журнали, Състояние на сигурността |
Контроли за сигурност
- Политики против публичен достъп.
- Минимални и временни права.
- Неизтриваеми централни журнали.
Наблюдаемост
- Отклонения от политиките.
- Трафик през hub.
- Разходи по spoke.
Типични откази
| Отказ | Ограничаване |
|---|---|
| Защитната стена в hub е тясно място | Мащабиране и мониторинг на капацитета. |
| Застъпващи се IP адреси | План за адресите от началото. |
| Ръчни изключения | Изключения като код с изтичане. |