Azure managed services: hvad er med, og hvem driver hvad

Azure managed services dækker to ting: tjenester, som Microsoft driver for dig, for eksempel Azure SQL Managed Instance, Managed Disks og serverløse Functions, og den daglige drift, en managed service provider (MSP) står for ovenpå: overvågning, patching, sikkerhed, test af backup og omkostningskontrol. De fleste produktionsmiljøer har brug for begge dele, fordi Microsoft aldrig administrerer dine data, identiteter eller din konfiguration.

Vigtigste pointer

• "Managed" i Azure fungerer på tre lag: platformstjenester drevet af Microsoft, supportaftaler med Microsoft og en partner, der driver miljøet under en SLA.
• Platformstjenester fjerner arbejdet med hosts og styresystemer, men under Microsofts model for delt ansvar har du altid ansvaret for data, endpoints, konti og adgangsstyring.
• De centrale funktioner i en managed Azure-tjeneste er døgnovervågning, håndtering af hændelser, patching, testede backups, sikkerhedsposition, identitetsstyring, FinOps og compliance-dokumentation.
• For EU-enheder omfattet af NIS2 er din MSP en del af din forsyningskæde og skal understøtte trinnene med tidlig varsling inden for 24 timer og hændelsesunderretning inden for 72 timer.
• Små, fuldt serverløse miljøer med et team i vagt har måske ikke brug for en ekstern MSP. Hybride, regulerede eller hurtigt voksende miljøer har det som regel.

Hvad er Azure managed services?

Begrebet bruges om to forskellige ting, og det er, når de blandes sammen, at nedbrud, compliance-huller og uventede regninger opstår. I praksis gælder det på tre lag.

Lag 1: platformstjenester, som Microsoft administrerer

Her ejer Microsoft patching af hosts, tilgængelighed og infrastrukturen nedenunder. Du konfigurerer og bruger tjenesten, men du logger ikke ind på en server for at rette den. Almindelige eksempler:

• Azure SQL Managed Instance: en PaaS-database med næsten fuld SQL Server-kompatibilitet. Microsoft håndterer patching af styresystemet, automatiske backups og høj tilgængelighed. Til gengæld har du mindre kontrol på lavt niveau end med SQL Server på din egen VM.
• Managed Disks: blokopbevaring til VM'er uden at du selv administrerer storage accounts. Kryptering i hvile og snapshots er indbygget.
• Azure Managed Applications: en udgiver udruller en pakket applikation i dit abonnement og bevarer den operationelle kontrol over dens managed resource group. Nyttigt til interne platforme, men afgræns RBAC omhyggeligt.
• Azure Functions: serverløs beregning. Du ejer koden, triggerne og bindingerne. På Premium-planen ejer du også VNet-integration og forvarmede instanser.

Lag 2: Microsofts support og rådgivning

Microsoft sælger supportaftaler og hjælp til onboarding, for eksempel FastTrack for kvalificerede workloads. Det er reaktivt og rådgivende. Det hjælper med break/fix-sager og migreringsplanlægning, men det overvåger ikke dit miljø døgnet rundt, svarer ikke på en sikkerhedsalarm kl. 03.00 og optimerer ikke dit forbrug.

Lag 3: en managed service provider

En Azure-MSP overtager det operationelle ansvar for dit miljø under en defineret SLA: overvågning, routing af alarmer, håndtering af hændelser, patching, validering af backup, sikkerhedsposition, omkostningsoptimering og compliance-dokumentation. Den udfylder hullet mellem det, Microsoft driver, og det, dit interne team kan nå.

Den hyppigste fejl, vi ser i onboardingvurderinger, er at antage, at lag 1 fjerner behovet for lag 3. PaaS fjerner infrastrukturopgaver. Det fjerner ikke overvågning af applikationer, sikkerhedskonfiguration, omkostningsstyring eller revisionsbevis.

Hvad administrerer Microsoft, og hvad har du stadig ansvaret for?

Microsoft administrerer det fysiske datacenter, netværket og hostene i alle modeller. Resten flytter sig med IaaS, PaaS eller SaaS. Microsofts vejledning om delt ansvar er tydelig på, at kunden uanset driftsform altid beholder ansvaret for data, endpoints, konti og adgangsstyring. Det er det arbejde, en MSP tager over.

Centrale funktioner i en managed Azure-tjeneste

En leverandør, der kun besvarer tickets, er en helpdesk og ikke en managed service. Det er de funktioner, du kan forvente i en rigtig driftsaftale for Azure.

Managed infrastrukturtjenester

Daglig pleje af VM'er, virtuelle netværk, storage, App Service-planer og AKS-klynger: patching af gæste-OS, opdatering af images, versionsopgraderinger af AKS, skaleringsregler, gennemgang af network security groups og tilstanden af ExpressRoute eller VPN. Det er det, de fleste mener med "Azure managed infrastructure services".

Døgnovervågning og håndtering af hændelser

Azure Monitor og Log Analytics indsamler telemetri fra platformen. Alarmer routes til en ingeniør i vagt med dokumenterede runbooks og responsmål for P1 til P4. Se, hvordan vi griber overvågning og support i cloud an.

Sikkerhed og identitet

Microsoft Defender for Cloud til sikkerhedsposition og trusselsdetektion, Microsoft Sentinel som SIEM, Conditional Access og gennemgang af privilegeret adgang i Entra ID samt en aftalt vej til managed detection and response ved sikkerhedshændelser.

Backup og disaster recovery

Politikker for Azure Backup og Site Recovery, designet ud fra dine recovery-mål, med restore-tests efter en fast plan. En backup, der aldrig er blevet gendannet, er en antagelse og ikke en kontrol. Siden om vores Azure-backuptjeneste beskriver den testfrekvens, vi bruger.

Governance og landing zones

Azure Policy, management groups, tagging og RBAC bygget på mønsteret for landing zones i Cloud Adoption Framework, så nye abonnementer starter compliant i stedet for at blive ryddet op senere.

Delegeret og sporbar adgang

Leverandører bør arbejde via Azure Lighthouse, som lader en tjenesteudbyder administrere ressourcer på tværs af kunders tenants, mens kunden styrer, hvem der har adgang, og kan fjerne den. Delte administratoradgangskoder er et alvorligt advarselstegn.

FinOps

Ugentlig gennemgang af anomalier, right-sizing, Azure Hybrid Benefit og en administreret portefølje af reservationer. Microsoft oplyser, at reserverede VM-instanser kan koste op til 72 % mindre end pay-as-you-go, men kun hvis nogen holder bindingerne afstemt med det faktiske forbrug.

Fordele, der viser sig i produktion

• Mindre driftsmæssigt bøvl. Alarmer fra Advisor, anbefalinger fra Defender, AKS-opgraderinger og NSG-audits skaber en jævn strøm af arbejde, der ikke passer ind i sprintplanlægningen. En MSP absorberer det inden for et fast scope.
• Hurtigere detektion. Uden døgnovervågning opdages hændelser ofte, når en kunde klager. Med routede alarmer og en ingeniør i vagt går detektionen fra timer til minutter.
• Compliance som løbende proces. Bevis indsamles løbende i stedet for at blive genopbygget før hver revision.
• Omkostningskontrol. I Flexeras State of the Cloud-rapport 2025 nævnte 84 % af respondenterne styring af cloud-forbrug som en af de største udfordringer, og respondenterne vurderede, at 27 % af cloud-forbruget går til spilde. Se vores tjeneste til optimering af cloud-omkostninger for, hvordan vi arbejder med det.

Hvordan understøtter Azure managed services NIS2 og GDPR?

De understøtter compliance ved at køre kontrollerne og levere beviset, men ansvaret forbliver hos dig. NIS2 dækker 18 kritiske sektorer i hele EU. Ifølge Europa-Kommissionens NIS2 FAQ skal en omfattet enhed sende en tidlig varsling inden for 24 timer efter at være blevet opmærksom på en væsentlig hændelse, en hændelsesunderretning inden for 72 timer og en slutrapport inden for en måned.

Din MSP skal have en døgnproces, der understøtter de frister, og den er selv en del af din forsyningskæde. Under GDPR optræder den som databehandler, så kontrakten skal indeholde en databehandleraftale (artikel 28), en liste over underdatabehandlere, frister for underretning om brud og revisionsrettigheder. Kan en leverandør ikke fremvise dem på forlangende, så gå videre. Indiens DPDP Act 2023 stiller lignende krav til organisationer, der behandler indiske personoplysninger. Mere om anvendelsesområdet finder du i vores guide til NIS2.

Typiske scenarier

Det er almindelige mønstre fra onboardingvurderinger og ikke navngivne kunder.

• SaaS-virksomhed i EU i en NIS2-sektor. Produktion kun i EU-regioner, håndhævet med en allowedLocations-politik. SQL Managed Instance med kundestyrede nøgler i Key Vault og en døgnproces for hændelser, der svarer til CSIRT-underretningstrinnene.
• Indisk fintech. Produktion i Central India med DR i South India, AKS med administrerede opgraderinger, compliance-dashboards i Defender for Cloud kortlagt til DPDP Act og RBI-krav samt ugentlige restore-tests logget til revision.
• Multicloud-virksomhed. Azure til Entra ID, Microsoft 365 og .NET-workloads, AWS til containere eller dataplatforme. MSP'en kører én proces for overvågning og hændelser på tværs af begge og rapporterer det samlede cloud-forbrug i stedet for to separate regninger. Vores sammenligning af AWS, Azure og GCP viser, hvor hver især passer.

ASM vs ARM: hvorfor det stadig dukker op

Azure Service Management (ASM) er den gamle "klassiske" driftsmodel. Azure Resource Manager (ARM) er den nuværende. Klassiske ressourcer har ingen resource groups, RBAC, tags eller Azure Policy. Microsoft har udfaset klassiske tjenester i etaper, og Cloud Services (classic) blev udfaset for alle kunder den 1. september 2024. Hvis en vurdering stadig finder klassiske ressourcer, er migreringen af dem en opgave for sikkerhed og supportabilitet og ikke noget, der blot er rart at have.

Værktøjer, en managed Azure-tjeneste typisk bruger

Almindelige faldgruber

• Dimensionering fra lift-and-shift. VM'er beholder størrelserne fra on-premises. Hvis den gennemsnitlige CPU ligger i de lave tyvere, er det en nem besparelse at gå én størrelse ned.
• Defender for Cloud på det gratis niveau. Det gratis niveau giver kun grundlæggende sikkerhedsposition. De betalte planer tilføjer trusselsdetektion og sårbarhedsvurdering for servere, SQL, containere og storage.
• Flade netværk. Ét VNet, ét subnet, lempelige NSG'er. Brug et hub-and-spoke-design, flow logs og Azure Firewall eller en NVA til east-west-trafik.
• Utestede backups. Azure Backup kører pålideligt. Det er gendannelsen, der tæller.

Hvornår du ikke behøver en MSP

Du har måske ikke brug for en, hvis dit miljø er lille og overvåges af en kompetent platformsingeniør, hvis workloads er fuldt serverløse uden compliance-krav, eller hvis du allerede har en døgnbemandet vagtordning. Du har sandsynligvis brug for en, hvis miljøet er vokset fra overvågning i åbningstiden, hvis forpligtelser under NIS2, GDPR, SOC 2 eller DPDP Act kræver løbende kontroller, hvis du kører hybrid eller multicloud, eller hvis Azure-regningen vokser hurtigere end omsætningen, og ingen kan sige hvorfor.

Sådan hjælper Opsio

Opsio driver Azure-miljøer for organisationer i Norden, EU og Indien fra Karlstad og Bangalore: døgnovervågning, patching, sikkerhedsdrift, test af backup og FinOps under én SLA. Siden om vores Azure managed service provider beskriver scope og offentliggjorte prisniveauer. Hvad en Azure-MSP gør, og hvad den koster, forklarer, hvordan du sammenligner leverandører.

Den samme opdeling mellem platformsstyrede tjenester og drift hos en partner genfindes i vores case om Branäsgruppen, som kører på AWS og ikke Azure: Skiresortgruppens servere og databaser blev flyttet til managed tilsvarende tjenester, med daglige inkrementelle og ugentlige fulde backups gemt i 60 dage under Opsios managed service. Casen rapporterer 40 % bedre gennemsnitlig responstid på siderne, 40 % lavere samlede ejeromkostninger (TCO) og over 99,9 % oppetid for applikationerne.

Ofte stillede spørgsmål

Hvad er forskellen på en Azure managed service og en Azure-MSP?

En managed service er et produkt, Microsoft driver, for eksempel en PaaS-database. En MSP er en virksomhed, der driver hele dit miljø, også de dele, Microsoft overlader til dig: konfiguration, identiteter, databeskyttelse, omkostninger og håndtering af hændelser.

Hvad er de fem typer af managed services?

Den sædvanlige inddeling er managed infrastruktur (beregning, netværk, storage), managed sikkerhed (SOC, SIEM, detektion og respons), managed databaser, managed applikationer (udrulning, skalering, patching) og managed økonomistyring i cloud (FinOps).

Hvad er forskellen på ASM og ARM?

ASM var Azures oprindelige klassiske driftsmodel uden resource groups, RBAC eller politikker. ARM afløste den og er den understøttede model i dag, med skabeloner (JSON eller Bicep), finkornet RBAC, tags og Azure Policy. Resterende klassiske ressourcer bør migreres.

Hvad er en managed device i Azure?

En managed device er en bærbar, telefon eller tablet, der er tilmeldt Microsoft Intune. Tilmeldingen gør det muligt at håndhæve compliance-regler som kryptering og OS-version, anvende Conditional Access og slette enheden eksternt.

Hvordan hjælper Azure managed services med NIS2-compliance?

En leverandør med sikkerhedsovervågning døgnet rundt, dokumenterede runbooks for hændelser og revisionsklar rapportering understøtter NIS2-forpligtelserne om risikostyring og indberetning, forudsat at den er kontraktligt bundet som en del af din forsyningskæde og kan dokumentere sine egne certificeringer.

For praktisk gennemførelse, se Opsio.

For praktisk gennemførelse, se Opsio.

For praktisk gennemførelse, se om Opsio som cloud-partner.