Este manual tiene como objetivo presentar el ciclo de vida de la creación de una política en la nube en un entorno de Azure. Presentará los pasos para crear, implementar y gestionar una política en la nube dentro de una organización, asegurando que el entorno en la nube sea seguro, cumpla con las normativas y esté alineado con los estándares de gobernanza de la organización.
Quién Debe Usar Este Manual
Este manual fue creado para apoyar a los equipos de ingeniería y a los profesionales de FinOps que trabajan directamente con entornos en la nube.
Requisitos Previos
Necesitas permisos de Azure RBAC en Azure Policy. Los permisos disponibles son:
- Resource Policy Contributor: incluye la mayoría de las operaciones de políticas de Azure
- Owner: tiene todos los derechos
- Contributor: acceso a todas las operaciones de lectura y puede desencadenar la corrección de recursos. No se pueden crear ni actualizar definiciones y asignaciones
- Reader: acceso
- a todas las operaciones de lectura.Administrador de acceso de usuario: otorga la identidad
- User Access Administrator: otorga la identidad administrada en implementarIfNotExists o modifica las asignaciones de los permisos necesarios.
Quién Necesita Estar Involucrado
- FinOps Practitioner definirá las políticas que se establecerán para que el entorno pueda configurarse para observar las mejores prácticas y requisitos definidos por otras personas, asegurando que se logre como colaborador.
- Ingeniería creará e implementará las políticas, asegurando que se logre como conductor.
- Se consultará al producto sobre el impacto de las nuevas políticas en las decisiones de tecnología en la nube, asegurando que se logre como una decisión.
- Se consultará a Seguridad sobre el impacto de las nuevas políticas en la seguridad del medio ambiente, garantizando que se logre como colaborador.
- Se consultará al ITFM sobre las políticas necesarias para mantener el control de los costos, a través de las definiciones y limitaciones necesarias en la creación de nuevos recursos.
Instrucciones para Ejecutar Este Manual
1. Identificar a los Interesados
El primer paso es definir quién necesita estar involucrado en la creación de una nueva política. El Practicante de FinOps definirá quiénes son las personas clave para definir las políticas necesarias, presentar los riesgos y problemas que surgen de la política, así como justificar su necesidad.
Ejemplo: Crear una política que restrinja las regiones donde se puede crear un recurso particular, como bases de datos y cuentas de almacenamiento. En este caso, se necesita consultar al departamento legal sobre cualquier obstáculo en la región seleccionada, para mantener el cumplimiento de los requisitos regulatorios.
2. Definir las Políticas
Junto con los interesados, se definirán las políticas, y se debe considerar el alcance. Se recomienda encarecidamente definir políticas en alcances más amplios, para cubrir todos los recursos secundarios y facilitar el mantenimiento de la política. En algunos casos, como en Azure, se puede definir un subalcance de eliminación, donde la política aplicada a un determinado alcance ya no se aplica.
A continuación, necesitas definir qué reglas de negocio se aplicarán a los recursos no conformes. Estas son:
Ejemplo:
- Notificar a un usuario
- Negar el cambio
- Registra el cambio
- Cambiar un recurso antes o después del disparador
- Implementar recursos compatibles relacionados
- Bloquear acciones sobre recursos
La creación de una Política de Azure que impida la creación de nuevos recursos sin metadatos. En este caso, puedes definir un alcance de aplicación amplio, como el nivel de suscripción, y luego establecer un subalcance para no aplicar la política a recursos de Kubernetes.
3. Desarrollar e Implementar la Política
Documenta la política que se implementará y qué recursos se verán afectados por ella. Dependiendo del contexto, se pueden utilizar dos documentos: GMUD, para cambios en entornos en la nube que ya están establecidos y que sufrirán cambios; o Plan de Implementación, en el caso de entornos en la nube sin políticas previamente definidas.
Ambos deben poseer los siguientes requisitos: alcance, responsabilidades, estándares, requisitos de cumplimiento, monitoreo y aplicación. En cuanto al contenido: cronograma, recursos requeridos, asignados, dependencias y riesgos asociados con la implementación.
También es importante documentar un Plan de Pruebas, que se puede llevar a cabo a través de efectos de auditoría en lugar de acciones sobre recursos no conformes, para validar resultados y asegurar que las definiciones de políticas sean correctas.
Ejemplo:
Usando el ejemplo anterior, sobre la creación de recursos sin metadatos, un plan de pruebas puede utilizar un efecto de auditoría en lugar de una acción de negación para validar que el alcance se ha aplicado.
También se debe establecer un Plan de Reversión que defina los procedimientos a seguir en caso de que los cambios necesiten ser revertidos debido a problemas imprevistos o fallos durante la implementación. Debe contener las condiciones para activar la reversión, pasos detallados para revertir los cambios, responsables y cronograma.
4. Revisión y Aprobación
Después de la implementación de las Políticas, la revisión y aprobación de los cambios se puede seguir a través de un Informe Post-Mortem evaluando el éxito del cambio después de su implementación y documentando las lecciones aprendidas.
En este informe, se analiza el impacto de las políticas establecidas en la gobernanza ambiental, comparándolo con los objetivos iniciales, cualquier problema encontrado y sus respectivas soluciones, así como posibles acciones de optimización.
5. Monitoreo y Cumplimiento
Después de la implementación de las Políticas, realiza un monitoreo regular de cumplimiento, asegurando la adherencia a las políticas establecidas. Para esto, puedes utilizar herramientas nativas de la nube para verificaciones automáticas, auditorías manuales programadas e Informes de Cumplimiento con los resultados obtenidos.
6. Revisión y Actualización de Políticas
Es necesario revisar y actualizar las políticas con frecuencia, para que sigan siendo relevantes y efectivas. Cambios en la arquitectura, cambios en los requisitos regulatorios y los propios Informes de Cumplimiento pueden demostrar la necesidad de cambiar o revisar políticas que alguna vez fueron necesarias. Para esto, establece un Ciclo de Revisión de Políticas, que puede ser semestral o anual, siguiendo el paso a paso anterior para cualquier cambio realizado.
7. Desmantelamiento de la Política
De la misma manera que pueden surgir nuevos requisitos regulatorios, dando lugar a la actualización de una política, puede ser necesario eliminar una política para cumplir. En otros casos, una política establecida puede entrar en conflicto con otra porque cubren los mismos recursos. En estos casos, si es necesario excluir una política, se debe seguir el procedimiento de un GMUD, obteniendo autorización expresa de los interesados directamente afectados y comunicando la efectividad del cambio.
Resultados e Indicadores de Éxito
Una vez que se han establecido las políticas ambientales, todos los interesados deben ser informados sobre el cambio en el entorno que ha tenido lugar. Cuando hablamos de Políticas de FinOps, esperamos que las nuevas políticas establecidas e implementadas aumenten el control sobre los recursos creados en el entorno.
La idea es optimizar el uso desde la implementación, evitando el esfuerzo con acciones correctivas. El uso de políticas asegurará que los equipos de ingeniería se adhieran a los estándares establecidos desde el despliegue hasta la eliminación de una función.
Resultados Primarios de Ejecutar Este Manual
- Mejora en la asignación de costos : El uso de políticas puede aumentar la madurez en la asignación de costos, a través de estándares de gobernanza de metadatos que deben aplicarse en la gestión del entorno de nube.
- Incrementar el control sobre los recursos creados : Los estándares establecidos por las políticas optimizan el uso de la nube, aumentando el control sobre la creación o alteración de recursos, y de esta forma, evitando el caos que genera el crecimiento descontrolado.
- Optimización de uso : Adopte políticas para garantizar que los recursos se utilicen de manera eficiente, minimizando la necesidad de futuras acciones correctivas.
- Cumplimiento de Estándares y Requisitos Regulatorios : Asegurar que todas las políticas cumplan con los requisitos regulatorios y estándares internos, previniendo problemas legales u operativos.
Indicadores de Éxito
- Tasa de cumplimiento de políticas : los informes de cumplimiento muestran que los recursos se adhieren a las políticas establecidas, lo que reduce las intervenciones correctivas.
- Reducción en la cantidad de recursos No Conformes : Comparación de la cantidad de recursos no conformes al inicio de la implementación y en los siguientes sprints de evaluación que demuestran una reducción en la ocurrencia de No Conformidad.
- Eficiencia Operacional : Reducción del tiempo y esfuerzo requerido para gestionar y remediar recursos debido a la implementación de políticas.
- Satisfacción de las partes interesadas : Comentarios de las partes interesadas que indican que las políticas implementadas satisfacen las necesidades y expectativas con respecto a la gobernanza del medio ambiente.
Excepciones y Consideraciones
Como se mencionó anteriormente, ten en cuenta que algunas Políticas de Negación pueden impactar el mantenimiento de entornos de recursos como Kubernetes y Azure Virtual Desktop.
Artículo original en Inglés disponible aquí
