Azure Resource Manager (ARM) - Infrastructure-as-Code

Was ist Azure Resource Manager?

Azure Resource Manager (ARM) ist die grundlegende Deployment- und Management-Schicht für alle Azure-Ressourcen. Jeder API-Call, jede Portal-Aktion und jedes CLI-Kommando läuft über ARM. ARM authentifiziert und autorisiert Anfragen, bevor sie an den zuständigen Azure-Dienst weitergeleitet werden, und bietet damit ein einheitliches Management-Interface über alle Azure-Services hinweg.

Der Kern von ARM ist das Infrastructure-as-Code-Paradigma: Statt Ressourcen manuell im Portal anzulegen, definieren Sie Ihre gewünschte Infrastruktur in deklarativen Templates (ARM Templates als JSON oder Bicep als Domain-Specific Language, die zu ARM-JSON kompiliert). ARM vergleicht den im Template definierten Zielzustand mit dem aktuellen Zustand und führt nur die notwendigen Änderungen durch (idempotente Deployments).

ARM kennt vier Management-Ebenen: Management Groups, Subscriptions, Resource Groups und einzelne Ressourcen. Resource Groups sind logische Container für zusammengehörige Ressourcen mit gemeinsamem Lifecycle und ermöglichen Bulk-Operationen, Tagging, RBAC auf Gruppenebene und Deployment-Tracking. Management Groups bilden übergeordnete Hierarchien für Enterprise-Governance mit Azure Policies und RBAC-Vererbung über mehrere Subscriptions hinweg. Einstellungen wie Policies werden von höheren auf niedrigere Ebenen vererbt.

Kernfunktionen

Deklarative Infrastructure-as-Code: Definition von Infrastruktur über ARM-Templates (JSON) oder Bicep, inklusive Abhängigkeitsauflösung zwischen Ressourcen.

Resource Groups und Management Groups: Vier Scope-Ebenen (Management Group, Subscription, Resource Group, Ressource) für strukturierte Verwaltung und vererbte Governance-Einstellungen.

RBAC und Azure Policy: Native Integration von rollenbasierter Zugriffskontrolle sowie Policy-Engine zur Durchsetzung von Compliance-Regeln (z.B. erlaubte Regionen, Pflicht-Tags).

Resource Locks: ReadOnly- und CanNotDelete-Sperren schützen kritische Ressourcen vor versehentlichem Ändern oder Löschen, auch gegenüber Nutzern mit Owner-Rechten.

Tagging: Kennzeichnung von Ressourcen für Kostenzuordnung und Organisation, auswertbar über Cost-Management-Funktionen.

What-If-Deployments: Vorschau geplanter Änderungen vor der eigentlichen Ausführung eines Deployments.

Typische Anwendungsfälle

Infrastructure-as-Code für Multi-Tier-Anwendungen: DevOps-Teams definieren komplette Umgebungen (Netzwerk, VMs, Datenbanken, Storage) in Bicep-Templates und deployen identisch konfigurierte Development-, Staging- und Production-Umgebungen mit umgebungsspezifischen Parametern.

Resource Tagging für Kostenallokation: Unternehmen taggen Ressourcen mit Cost-Center, Environment und Owner und werten Kosten in Azure Cost Management nach Tags aus. Azure Policy kann Deployments ohne Pflicht-Tags blockieren.

Rollenbasierte Zugriffskontrolle über Resource Groups: Entwicklerteams erhalten unterschiedliche Rechte (z.B. Contributor in Development, Reader in Production) über RBAC-Zuweisungen auf Resource-Group-Ebene.

Resource Locking für Production-Schutz: Kritische Produktionsressourcen wie Datenbanken oder Storage Accounts werden mit CanNotDelete-Locks vor versehentlichem Löschen geschützt.

Policy-basierte Governance über Management Groups: Unternehmen definieren Azure Policies (z.B. erlaubte Regionen, Pflicht-Tags) auf Management-Group-Ebene, die auf alle untergeordneten Subscriptions vererbt werden.

Best Practices für Azure Resource Manager

Bicep statt ARM-JSON verwenden: Bicep ist Microsofts empfohlene DSL für Infrastructure-as-Code, kompiliert zu ARM-JSON und ist deutlich lesbarer als verschachteltes JSON. Bestehende ARM-Templates lassen sich mit bicep decompile migrieren.

Resource Groups als Lifecycle-Einheiten: Gruppieren Sie Ressourcen mit gemeinsamem Lifecycle in derselben Resource Group, damit sie gemeinsam erstellt, aktualisiert und gelöscht werden können.

What-If vor produktiven Deployments: Führen Sie az deployment group what-if aus, um geplante Änderungen zu prüfen, bevor sie tatsächlich ausgeführt werden.

Konsistente Naming Conventions: Definieren Sie einheitliche Namensschemata und setzen Sie diese ggf. über Azure Policy durch, um Ressourcen leichter identifizieren zu können.

Resource Locks für Production-Ressourcen: Aktivieren Sie CanNotDelete-Locks auf kritischen Produktionsressourcen und kombinieren Sie diese mit RBAC für zusätzlichen Schutz.

Häufig gestellte Fragen zu Azure Resource Manager

Was ist der Unterschied zwischen ARM Templates und Bicep?

ARM Templates sind JSON-basierte Infrastruktur-Definitionen, die direkt von ARM verarbeitet werden. Bicep ist eine Domain-Specific Language, die zu ARM-JSON kompiliert, lesbarer und prägnanter ist und Module sowie Type-Safety unterstützt. Bicep ist Microsofts empfohlener Weg für neue Projekte.

Wie funktionieren idempotente Deployments?

ARM vergleicht den im Template definierten Zielzustand mit dem aktuellen Zustand der Ressourcen und führt nur die notwendigen Änderungen durch. Wird dasselbe Template mehrfach mit denselben Parametern deployt, nimmt ARM keine weiteren Änderungen vor.

Was sind Resource Groups und wie sollte ich sie organisieren?

Resource Groups sind logische Container für Azure-Ressourcen mit gemeinsamem Lifecycle. Eine gängige Praxis ist eine Resource Group pro Umgebung und Anwendung oder pro Workload. Resource Groups ermöglichen RBAC, Tagging und Bulk-Operationen auf Gruppenebene; ein Löschen der Resource Group löscht alle enthaltenen Ressourcen.

Was sind Management Groups und wann benötige ich sie?

Management Groups sind hierarchische Container oberhalb von Subscriptions für Enterprise-Governance. Sie ermöglichen Policy- und RBAC-Zuweisungen auf Gruppenebene mit Vererbung auf untergeordnete Subscriptions und eignen sich für Organisationen mit mehreren Subscriptions, die zentrale Governance-Regeln durchsetzen wollen.

Wie funktioniert Resource Locking?

Resource Locks verhindern versehentliches Löschen oder Ändern kritischer Ressourcen. ReadOnly-Locks verhindern Änderungen, CanNotDelete-Locks verhindern nur das Löschen. Locks gelten auf Ressourcen-, Resource-Group- oder Subscription-Ebene und wirken auch gegenüber Nutzern mit Owner-Rechten.

Kostet Azure Resource Manager etwas?

ARM selbst ist kostenlos. Berechnet werden ausschließlich die über ARM verwalteten Ressourcen (VMs, Datenbanken, Storage usw.); für Resource Groups, Tags oder RBAC-Zuweisungen fallen keine direkten Gebühren an.

Wie integriere ich ARM-Deployments in CI/CD?

ARM- und Bicep-Deployments lassen sich über Azure Pipelines, GitHub Actions oder andere CI/CD-Werkzeuge mit Azure-CLI-Integration automatisieren. Templates werden versioniert in Git verwaltet, What-If-Prüfungen können in Pull-Request-Checks integriert werden.

Integration mit innFactory

Als Microsoft Solutions Partner unterstützt innFactory Sie bei der Implementierung von Infrastructure-as-Code mit Azure Resource Manager und Bicep. Wir helfen bei Template-Entwicklung, CI/CD-Integration und Governance-Strategie.

Kontaktieren Sie uns für eine unverbindliche Beratung zu Azure Resource Manager und Infrastructure-as-Code.