Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
connectivity subscriptionを中心にhub/VWAN、DNS、Firewall、DDoS、gateway等をplatform serviceとして提供する。
Key technical points
- platform teamとapplication teamのRBAC/responsibilityをsubscription boundaryへ反映する。
- regional expansionではhub/gateway/firewall/DNS forwarderなどregional resourceを追加する。
- policy/Virtual Network Managerでnetwork baselineをat scaleに配布する。
Design guidance
- design diagramと同時にtraffic matrix、route matrix、failure matrix、ownership matrixを作る。
- platform teamのcentral policyとworkload teamのself-service範囲をresource scope/RBACへ落とす。
- at-scale変更はstaged deployment、canary region/group、rollbackを前提にする。
Operations checklist
- scope/region/subscription/network groupを明示する。
- traffic matrixとfailure testをacceptance criteriaにする。
- IaC/Policyとruntime stateのdriftを確認する。
Common pitfalls
- diagramだけ作りtraffic/failure/ownershipを定義しない。
- central policyを一括deployし、blast radiusを大きくする。
Verification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。