Microsoft Azure

01Ментальная модель: тенант, подписки, группы ресурсов

На самом верху — тенант: каталог Entra ID вашей организации, где хранятся пользователи, группы и регистрации приложений. Под ним — подписки, это границы биллинга и квот; распространённый вариант — одна подписка для продакшена и одна для всего остального. Management groups находятся над подписками и позволяют применять политики сразу ко многим. Внутри подписки каждый ресурс живёт в группе ресурсов — это папка для вещей с общим жизненным циклом, например приложение, его база и Key Vault для одного окружения. Удаление группы ресурсов удаляет всё внутри, что очень удобно для уборки тестовых окружений. Каждое создание, изменение и удаление проходит через Azure Resource Manager (ARM), неважно, используете вы портал, az CLI, Bicep или Terraform. В сравнении с AWS подписка близка к аккаунту AWS, а у группы ресурсов точного аналога нет: она ближе к группировке по тегам, с которой можно выполнять действия.

• Тенант (Entra ID) → management groups → подписки → группы ресурсов → ресурсы.
• Одна группа ресурсов на приложение и окружение упрощает уборку и права доступа.
• Всё — это ARM-ресурс с ID, поэтому всё можно описать кодом.

02Варианты хостинга: App Service, Container Apps, AKS, Functions

App Service — классическая платформа для веб-приложений: вы выбираете рантайм (Node, PHP, .NET, Python, Java) или контейнер, а она берёт на себя серверы, TLS и масштабирование. Вы платите за App Service plan — набор VM, на котором может жить несколько приложений, поэтому стоимость фиксирована размером плана, а не числом запросов. Deployment slots позволяют задеплоить в staging-слот, прогреть его и поменять местами с продакшеном без простоя. Azure Container Apps запускает контейнеры в serverless-режиме поверх Kubernetes, не показывая его вам: автомасштабирование по правилам KEDA (HTTP, очереди, cron), scale to zero, ревизии и разделение трафика. Это ближайший аналог Google Cloud Run. AKS — полноценный managed Kubernetes для команд, которым нужен Kubernetes API. Azure Functions запускает событийный код; для новых serverless-приложений Microsoft рекомендует план Flex Consumption, а план Linux Consumption выводится из эксплуатации в сентябре 2028 года.

03Деплой контейнера в Azure Container Apps

Типичный порядок: создайте группу ресурсов, Azure Container Registry и окружение Container Apps (общую границу сети и логирования для группы приложений). Соберите и запушьте образ в реестр, затем создайте container app. Дайте приложению managed identity и выдайте ей AcrPull на реестр, чтобы не нужен был пароль от реестра. Ingress делает приложение доступным по HTTPS на сгенерированном домене, а ещё можно добавить свой домен с бесплатным managed-сертификатом. Правила масштабирования задают минимальное и максимальное число реплик: минимум ноль — дешевле всего, минимум один — без холодных стартов. Секреты могут ссылаться прямо на Key Vault, так что приложение читает их как переменные окружения, а в вашем пайплайне они никогда не появляются.

1az group create --name rg-app-prod --location westeurope
2az acr create --resource-group rg-app-prod --name exampleappacr --sku Basic
3az acr build --registry exampleappacr --image api:1.4.2 .
4 
5az containerapp env create --name cae-app-prod \
6  --resource-group rg-app-prod --location westeurope
7 
8az containerapp create --name api \
9  --resource-group rg-app-prod --environment cae-app-prod \
10  --image exampleappacr.azurecr.io/api:1.4.2 \
11  --registry-server exampleappacr.azurecr.io --registry-identity system \
12  --target-port 3000 --ingress external \
13  --min-replicas 0 --max-replicas 10

04Данные: Azure SQL, PostgreSQL Flexible Server, Cosmos DB, Storage

Azure SQL Database — это managed SQL Server в облаке. Его покупают по моделям vCore или более старой DTU; serverless-уровень умеет автоматически засыпать при простое и тарифицировать вычисления посекундно, что отлично для dev-баз. Для open-source-стеков есть Azure Database for PostgreSQL Flexible Server и MySQL Flexible Server — managed-инстансы с автоматическими бэкапами, zone-redundant высокой доступностью и stop/start для непродакшен-окружений. Cosmos DB — глобально распределённая NoSQL-база с несколькими API (NoSQL, MongoDB, Cassandra); она тарифицируется в request units, поэтому плохо спроектированный запрос или ключ партиции стоит реальных денег. Storage-аккаунты Azure хранят blobs (файлы), очереди, таблицы и файловые шары с уровнями hot, cool, cold и archive. На смену Azure Cache for Redis приходит Azure Managed Redis, так что перед стартом нового проекта проверьте, какой из них актуален.

• .NET + SQL Server → Azure SQL Database.
• Laravel / Node + Postgres → PostgreSQL Flexible Server.
• Глобальный NoSQL с низкой задержкой и предсказуемыми партициями → Cosmos DB.

05Identity: Entra ID, RBAC и managed identities

Entra ID (новое название Azure Active Directory) — это и каталог ваших сотрудников, и identity-провайдер для ваших приложений. Для людей он обеспечивает single sign-on, MFA и conditional access, а для приложений — OAuth 2.0 / OpenID Connect через регистрации приложений. Права на ресурсы Azure работают через Azure RBAC: вы назначаете роль (Reader, Contributor, Storage Blob Data Reader…) principal-у на определённом уровне (management group, подписка, группа ресурсов или отдельный ресурс). Самая полезная для разработчиков возможность — managed identity: Azure даёт вашему App Service, Container App или Function identity, которая умеет получать токены автоматически. Выдайте этой identity роль на Key Vault, Storage или базу — и ваш код подключается через DefaultAzureCredential вообще без пароля. Для CI GitHub Actions может входить через workload identity federation (OIDC) вместо сохранённого client secret.

1import { DefaultAzureCredential } from "@azure/identity";
2import { SecretClient } from "@azure/keyvault-secrets";
3 
4// Works locally (az login) and in Azure (managed identity), no secrets in code
5const credential = new DefaultAzureCredential();
6const vault = new SecretClient("https://kv-app-prod.vault.azure.net", credential);
7 
8const secret = await vault.getSecret("stripe-api-key");
9console.log(secret.name, "loaded");

06Советы для продакшена и ценовые ловушки

Azure тарифицирует многие вещи почасово, пользуетесь вы ими или нет. App Service plan стоит одинаково с нулём приложений и с десятью. VM, выключенная изнутри ОС, всё равно тарифицируется — её нужно deallocate. Премиальные возможности могут удивить: Application Gateway, Azure Firewall, премиальные уровни Front Door, Bastion и NAT Gateway имеют фиксированную почасовую стоимость, которая может перерасти маленькое приложение. Log Analytics берёт плату за каждый принятый ГБ, поэтому «болтливое» приложение с подробным логированием может стоить на логах дороже, чем на вычислениях; задайте daily cap и срок хранения. С первого дня используйте бюджеты и алерты Cost Management, помечайте ресурсы тегами владельца и окружения и держите тестовые окружения в отдельных группах ресурсов, чтобы удалять их одной командой. Reservations и savings plans снижают цену стабильных вычислений при обязательстве на один или три года.

07Сеть: VNet, private endpoints и ловушка публичного доступа

По умолчанию многие PaaS-сервисы Azure (Storage, SQL, Key Vault, Cosmos DB) имеют публичные эндпоинты, защищённые только аутентификацией и, опционально, IP-файрволом. Для продакшен-данных надёжнее паттерн private endpoints: сервис получает приватный IP внутри вашей VNet, приватная DNS-зона резолвит его обычный hostname в этот IP, а публичный сетевой доступ вы отключаете. Приложения попадают в VNet через VNet integration (App Service, Functions Flex и Premium) или за счёт запуска окружения Container Apps внутри VNet. Типичный сбой — DNS: если зона privatelink не привязана к VNet, приложение всё ещё резолвит публичный IP и получает блокировку. Топологии hub-and-spoke размещают общие сервисы (файрвол, VPN, DNS) в hub-VNet, соединённой пирингом со spoke-сетями приложений. У каждой части есть цена: private endpoints тарифицируются почасово и за ГБ, а Azure Firewall дорог для маленьких проектов.

1# Private endpoint for a PostgreSQL Flexible Server is set at creation;
2# for Key Vault, deny public access and add a private endpoint:
3az keyvault update --name kv-app-prod --public-network-access Disabled
4 
5az network private-endpoint create --name pe-kv-app-prod \
6  --resource-group rg-app-prod --vnet-name vnet-app-prod --subnet snet-private \
7  --private-connection-resource-id $(az keyvault show -n kv-app-prod --query id -o tsv) \
8  --group-id vault --connection-name kv-conn

08Azure Policy и landing zones

Azure Policy проверяет каждый ARM-запрос по правилам: запрещать ресурсы вне разрешённых регионов, требовать теги, запрещать публичные IP, требовать TLS 1.2, автоматически разворачивать diagnostic settings. Среди эффектов есть Deny, Audit, Modify и DeployIfNotExists, так что политики умеют и блокировать, и исправлять. Назначайте их на уровне management group, чтобы каждая новая подписка их наследовала. Cloud Adoption Framework от Microsoft описывает «landing zones» — заранее построенную структуру из management groups, политик, централизованного логирования, сети и identity, к которой подключаются новые нагрузки. Для небольшой компании это перебор, но ключевые идеи хорошо масштабируются вниз: платформенная подписка для общих вещей, отдельные подписки для приложений, политики наверху и infrastructure as code для всего. Затем Defender for Cloud оценивает вашу защищённость и подсвечивает ошибки конфигурации.

09AKS на практике: уровни, обновления и identity

У AKS есть бесплатный уровень control plane для экспериментов и уровень Standard с uptime SLA, а также AKS Automatic, который заранее настраивает автомасштабирование нод, безопасность и мониторинг в духе GKE Autopilot. В стандартных кластерах вы всё равно платите за VM нод. Для большинства новых кластеров выбирайте сеть Azure CNI Overlay: поды получают IP из приватного overlay-диапазона, поэтому адреса VNet не заканчиваются. Используйте Microsoft Entra Workload ID, чтобы поды получали токены для собственной managed identity через Kubernetes service account, а не монтировали секреты. Обновления важны: AKS поддерживает лишь окно версий Kubernetes, поэтому настройте канал auto-upgrade и плановые окна обслуживания, используйте несколько node pools (system и user) и проверяйте обновления на staging. Container Insights и managed Prometheus дают мониторинг, но следите за стоимостью приёма данных в Log Analytics.