Dienste in der Public Cloud betreiben und überwachen

Ein Dienst in der Cloud ist schnell angelegt. Die eigentliche Arbeit beginnt danach: Er muss überwacht, gesichert, gepatcht und kostenmässig im Griff gehalten werden. Du stellst Ressourcen mit Terraform reproduzierbar bereit, sammelst Metriken und Logs zentral, definierst sinnvolle Alarme und reagierst strukturiert auf Störungen. Dazu kommen Backup, Zugriffsregeln, Richtlinien und eine monatliche Kostenkontrolle in CHF.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Cloud-Ressourcen mit Terraform reproduzierbar bereitstellen

   Kompetenz A

   Statt im Portal zu klicken, beschreibst du die Infrastruktur als Code. So ist nachvollziehbar, was existiert, Änderungen laufen über Git, und eine zweite Umgebung entsteht mit einem Befehl.

   Situation

   Ein Kunde, ein Logistik-KMU in Aarau, hat in Azure eine VM, ein Storage-Konto und ein VNet, die vor zwei Jahren von Hand angelegt wurden. Niemand weiss mehr, welche Einstellungen gelten.

   Deine Aufgabe

   Beschreibe die Umgebung mit Terraform und übernimm sie in die Verwaltung.

   Gutes Ergebnis

   Ein Terraform-Projekt mit Modulen für Netzwerk, VM und Storage, Remote State in einem Storage-Konto mit Sperre. Bestehende Ressourcen sind per 'import' übernommen, 'terraform plan' zeigt keine Abweichungen mehr. Änderungen laufen nur noch per Pull Request.

   Infrastructure as CodeProvider / ResourceState / Remote Stateplan / applyDrift
2. 2

   Metriken und Logs zentral sammeln und in Dashboards darstellen

   Kompetenz B

   Du entscheidest, welche Werte wirklich zählen (CPU, Speicher, Antwortzeit, Fehlerquote), sammelst sie zusammen mit Logs an einem Ort und baust ein Dashboard, das auf einen Blick den Zustand zeigt.

   Situation

   Das Logistik-KMU meldet, dass die Lager-App 'manchmal langsam' ist. Es gibt keine Daten dazu.

   Deine Aufgabe

   Richte Monitoring für VM und Webapp ein und finde die Ursache.

   Gutes Ergebnis

   Azure Monitor Agent auf der VM, Diagnoseeinstellungen der Webapp an einen Log Analytics Workspace, Application Insights für Antwortzeiten. Eine KQL-Abfrage zeigt: Jeden Morgen um 07:00 steigt die CPU wegen eines Importjobs auf 100 %. Ein Dashboard zeigt CPU, RAM, Antwortzeit und HTTP-5xx.

   MetrikLogLog Analytics / KQLApplication InsightsDashboard
3. 3

   Alarme mit sinnvollen Schwellenwerten definieren und auf Störungen reagieren

   Kompetenz C

   Ein guter Alarm meldet ein echtes Problem und sagt, was zu tun ist. Zu viele Alarme werden ignoriert. Du definierst Schwellen, Benachrichtigungswege und ein kurzes Vorgehen für den Störungsfall.

   Situation

   Das Betriebsteam erhält täglich 40 Mails von Alarmen, die meisten sind harmlos. Ein echter Ausfall am Wochenende wurde trotzdem erst am Montag bemerkt.

   Deine Aufgabe

   Überarbeite die Alarmierung.

   Gutes Ergebnis

   Nur noch fünf Alarme: Webapp nicht erreichbar (2 Min.), HTTP-5xx über 5 %, Disk über 85 %, Backup fehlgeschlagen, Budget zu 80 % erreicht. Kritische Alarme gehen per SMS und Teams an den Pikett, die anderen per Mail. Zu jedem Alarm gibt es eine Runbook-Seite im Wiki.

   SchwellenwertAction GroupAlarm-MüdigkeitRunbookPikett / On-Call
4. 4

   Backup und Verfügbarkeit von Cloud-Diensten sicherstellen

   Kompetenz D

   Die Cloud sichert deine Daten nicht automatisch so, wie du es brauchst. Du richtest Backups mit passender Aufbewahrung ein, testest die Wiederherstellung und nutzt Verfügbarkeitszonen, wo ein Ausfall teuer wäre.

   Situation

   Die VM mit der Lager-App wird nur per Snapshot gesichert, der von Hand gemacht wird. Die Kundin verlangt eine Wiederherstellung innert 4 Stunden.

   Deine Aufgabe

   Setze ein Backup-Konzept um und beweise die Wiederherstellbarkeit.

   Gutes Ergebnis

   Azure Backup mit täglicher Sicherung um 22:00, 30 Tages- und 12 Monatsständen, Recovery Services Vault in Switzerland North mit Soft Delete. Ein Restore-Test auf eine neue VM dauert 45 Minuten und wird quartalsweise wiederholt.

   Backup-RichtlinieRecovery Services VaultSoft DeleteVerfügbarkeitszoneRestore-Test
5. 5

   Zugriffe, Richtlinien und Updates in einer Cloud-Umgebung durchsetzen

   Kompetenz E

   Du sorgst dafür, dass Regeln nicht nur auf dem Papier gelten: Richtlinien verhindern Ressourcen in falschen Regionen, Rollen sind minimal vergeben, und Betriebssystem-Updates werden geplant eingespielt.

   Situation

   Ein Mitarbeitender hat eine teure GPU-VM in 'East US' angelegt, und drei Server haben seit Monaten keine Updates erhalten.

   Deine Aufgabe

   Setze Leitplanken und einen Patch-Prozess um.

   Gutes Ergebnis

   Azure Policy erlaubt nur Switzerland North und West sowie definierte VM-Grössen und verlangt die Tags 'kunde' und 'kostenstelle'. Admin-Rechte nur noch über zeitlich begrenzte Aktivierung (PIM). Azure Update Manager installiert Sicherheitsupdates gestaffelt nach dem Patch Tuesday: Testserver am Donnerstag danach, Produktion am folgenden Dienstag um 02:00, jeweils mit Bericht.

   Azure Policy / SCPRBACPrivileged Identity ManagementPatch-ManagementWartungsfenster
6. 6

   Kosten überwachen, erklären und gezielt senken

   Kompetenz F

   Du liest die Cloud-Rechnung, ordnest Kosten über Tags Kunden und Projekten zu und findest Sparpotenzial wie überdimensionierte VMs, vergessene Disks oder Ressourcen, die nachts nicht laufen müssen.

   Situation

   Die monatliche Azure-Rechnung des Kunden ist von CHF 420 auf CHF 690 gestiegen.

   Deine Aufgabe

   Finde die Ursachen und schlage Massnahmen vor.

   Gutes Ergebnis

   Cost Analysis zeigt: zwei nicht mehr genutzte Disks (CHF 80), eine Test-VM, die rund um die Uhr läuft (CHF 120), und Log-Daten mit 2 Jahren Aufbewahrung (CHF 60). Massnahmen: Disks löschen, Auto-Shutdown um 19:00, Log-Aufbewahrung auf 90 Tage. Neue Prognose: CHF 440 pro Monat.

   Cost AnalysisBudget / KostenalarmRightsizingAuto-ShutdownReservierung

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Fabio ist im 2. Lehrjahr als Informatiker Plattformentwicklung bei der Brunnwerk IT AG in Frauenfeld, einem IT-Dienstleister mit 70 Mitarbeitenden. Ein neuer Kunde, ein Möbelhersteller mit 90 Mitarbeitenden, betreibt Webshop und Auftragsverwaltung in Azure, aber niemand überwacht die Umgebung. Fabio soll sie zusammen mit seinem Teamleiter in den Managed Service übernehmen.

1. Kapitel 1

   Was läuft hier eigentlich?

   Fabio findet im Portal 23 Ressourcen, von denen niemand genau weiss, wer sie wann angelegt hat. Er beschreibt die Webshop-VM, das Netzwerk und das Storage-Konto in Terraform und importiert sie in den State. Beim ersten terraform plan will Terraform eine Firewallregel löschen, die jemand von Hand ergänzt hat. Fabio klärt mit dem Kunden, dass die Regel nötig ist, und nimmt sie in den Code auf.

   Ziel 1

2. Kapitel 2

   Der Webshop ist manchmal langsam

   Fabio leitet die Logs der VM und des Webservers in einen Log-Analytics-Workspace und baut ein Dashboard mit CPU, Antwortzeit und Fehlerquote. Eine KQL-Abfrage zeigt, dass die Antwortzeit jeden Montag um 7 Uhr auf über 5 Sekunden steigt. Er richtet einen Alarm ein, der erst auslöst, wenn die Antwortzeit 10 Minuten lang über 3 Sekunden liegt. Beim nächsten Alarm findet er die Ursache: ein Import der Lieferantenpreise, den er mit dem Kunden in die Nacht verschiebt.

   Ziel 2Ziel 3

3. Kapitel 3

   Snapshots von Hand reichen nicht

   Bisher sichert jemand die VM ab und zu mit einem manuellen Snapshot. Fabio klärt mit dem Kunden, dass höchstens 24 Stunden Daten verloren gehen dürfen und der Shop nach 4 Stunden wieder laufen muss. Er aktiviert Azure Backup mit täglicher Sicherung und 30 Tagen Aufbewahrung und stellt testweise eine VM in einem separaten Netz wieder her, was 50 Minuten dauert.

   Ziel 4

4. Kapitel 4

   Die GPU-VM in East US

   Bei der Kontrolle fällt eine GPU-VM in der Region East US auf, die ein ehemaliger Praktikant angelegt hat. Fabio löscht sie nach Rücksprache und setzt eine Azure Policy, die nur noch die Regionen Switzerland North und Switzerland West erlaubt. Die Mitarbeitenden des Kunden erhalten nur noch Leserechte, und die Updates der Server laufen neu gestaffelt über den Update Manager, einige Tage nach dem monatlichen Patch Tuesday.

   Ziel 5

5. Kapitel 5

   Von CHF 1200 auf CHF 780

   Mit Cost Management und Tags pro Abteilung zeigt Fabio dem Kunden, wohin das Geld fliesst. Neben der gelöschten GPU-VM schaltet er eine Testumgebung nachts und am Wochenende ab und verkleinert eine überdimensionierte Datenbank. Ein Budget mit Warnung bei 80 Prozent sorgt dafür, dass Ausreisser künftig sofort auffallen. Die Monatsrechnung sinkt von CHF 1200 auf CHF 780.

   Ziel 6

1. 1

   Infrastruktur als Code

   ca. 5 Std.

   Du lernst Terraform an einer kleinen Umgebung kennen. Mit Azure for Students oder dem AWS Free Tier kostet das praktisch nichts.

   • Terraform und Azure CLI installieren, eine Ressourcengruppe mit VNet und VM per Code anlegen
   • Eine Einstellung im Portal ändern und mit 'terraform plan' den Drift sichtbar machen
   • Remote State in einem Storage-Konto einrichten und das Projekt in Git ablegen

   Trainiert Kompetenz A1A2

   Lernziel1

2. 2

   Sichtbarkeit schaffen

   ca. 5 Std.

   Du sammelst Metriken und Logs deiner Testumgebung und lernst, mit Abfragen Antworten zu finden.

   • Log Analytics Workspace anlegen und VM sowie Webapp anbinden
   • Fünf KQL-Abfragen schreiben, z.B. Fehler pro Stunde oder langsamste Anfragen
   • Ein Dashboard mit den vier wichtigsten Kennzahlen bauen

   Trainiert Kompetenz B1B2

   Lernziel2

3. 3

   Alarmieren und reagieren

   ca. 4 Std.

   Du definierst wenige, aber gute Alarme und spielst eine Störung durch.

   • Alarme für Erreichbarkeit, Fehlerquote und Disk-Füllstand per Terraform anlegen
   • Eine Action Group mit Mail und Teams-Webhook konfigurieren
   • Eine Störung provozieren (Dienst stoppen), reagieren und einen kurzen Störungsbericht schreiben

   Trainiert Kompetenz C1C2B2

   Lernziel32

4. 4

   Sichern, härten, patchen

   ca. 5 Std.

   Du richtest Backup, Richtlinien und Update-Management ein und testest eine Wiederherstellung.

   • Azure Backup für eine VM einrichten und eine Datei sowie die ganze VM wiederherstellen
   • Eine Policy für erlaubte Regionen und Pflicht-Tags zuweisen und mit einem Verstoss testen
   • Einen Update-Zeitplan im Update Manager anlegen

   Trainiert Kompetenz D1D2E1E2

   Lernziel45

5. 5

   Kosten im Griff

   ca. 3 Std.

   Du wertest die Kosten deiner Lernumgebung aus und erstellst einen kurzen Monatsbericht, wie ihn ein Kunde erhalten würde.

   • Cost Analysis nach Tags und Ressourcentyp gruppieren
   • Advisor-Empfehlungen prüfen und zwei Sparmassnahmen umsetzen
   • Einen einseitigen Monatsbericht mit Verfügbarkeit, Vorfällen und Kosten schreiben
   • Mit 'terraform destroy' am Ende alles sauber entfernen

   Trainiert Kompetenz F1F2A3

   Lernziel61

Infrastructure as Code

Infrastruktur wird in Dateien beschrieben, versioniert und automatisch angelegt statt von Hand.

Terraform

Verbreitetes IaC-Werkzeug, das Ressourcen bei vielen Cloud-Anbietern über deklarativen Code verwaltet.

Drift

Abweichung zwischen der beschriebenen und der tatsächlichen Infrastruktur, meist durch manuelle Änderungen.

Log Analytics

Azure-Dienst zum Sammeln und Abfragen von Logs mit der Abfragesprache KQL.

Action Group

Definition in Azure, wer bei einem Alarm wie benachrichtigt wird oder welche Aktion ausgelöst wird.

Runbook

Schriftliche Anleitung, wie bei einem bestimmten Alarm oder Vorfall vorzugehen ist.

Rightsizing

Anpassen der Grösse einer Ressource an den tatsächlichen Bedarf, meist um Kosten zu sparen.

Soft Delete

Gelöschte Backups oder Daten bleiben eine bestimmte Zeit wiederherstellbar.

Passende Module