Azure managed services: wat is inbegrepen en wie beheert wat

Azure managed services omvat twee dingen: diensten die Microsoft voor u beheert, zoals Azure SQL Managed Instance, Managed Disks en serverloze Functions, en het dagelijkse beheer dat een managed service provider (MSP) daarbovenop uitvoert: monitoring, patching, beveiliging, het testen van back-ups en kostenbeheersing. De meeste productieomgevingen hebben beide nodig, omdat Microsoft nooit uw data, identiteiten of configuratie beheert.

Belangrijkste punten

• "Managed" werkt in Azure op drie lagen: door Microsoft beheerde platformdiensten, supportcontracten van Microsoft en een partner die de omgeving beheert onder een SLA.
• Platformdiensten nemen werk aan hosts en besturingssystemen weg, maar onder het shared responsibility-model van Microsoft blijft u altijd verantwoordelijk voor data, endpoints, accounts en toegangsbeheer.
• De kernfuncties van een managed Azure-dienst zijn 24/7-monitoring, incidentrespons, patching, geteste back-ups, beveiligingshouding, identiteitsbeheer, FinOps en compliance-bewijs.
• Voor EU-entiteiten die onder NIS2 vallen, maakt uw MSP deel uit van uw toeleveringsketen en moet die de vroege waarschuwing binnen 24 uur en de incidentmelding binnen 72 uur ondersteunen.
• Kleine, volledig serverloze omgevingen met een eigen team in bereikbaarheidsdienst hebben mogelijk geen externe MSP nodig; hybride, gereguleerde of snelgroeiende omgevingen meestal wel.

Wat zijn Azure managed services?

De term wordt voor twee verschillende dingen gebruikt, en wie die door elkaar haalt, krijgt uitval, compliance-gaten en onverwachte rekeningen. In de praktijk gaat het om drie lagen.

Laag 1: platformdiensten die Microsoft beheert

Hier is Microsoft eigenaar van het patchen van de host, de beschikbaarheid en de infrastructuur eronder. U configureert en gebruikt de dienst, maar u logt niet in op een server om iets te herstellen. Veelvoorkomende voorbeelden:

• Azure SQL Managed Instance: een PaaS-database met bijna volledige SQL Server-compatibiliteit. Microsoft verzorgt het patchen van het besturingssysteem, geautomatiseerde back-ups en hoge beschikbaarheid. De afweging is minder laagdrempelige controle dan SQL Server op een eigen VM.
• Managed Disks: blokopslag voor VM's zonder dat u zelf storage-accounts beheert. Versleuteling in rust en snapshots zijn ingebouwd.
• Azure Managed Applications: een uitgever implementeert een verpakte applicatie in uw abonnement en behoudt de operationele controle over de beheerde resourcegroep. Nuttig voor interne platformen, maar bepaal RBAC zorgvuldig.
• Azure Functions: serverloze compute. U bezit de code, triggers en bindings; op het Premium-plan bent u ook verantwoordelijk voor VNet-integratie en vooraf opgewarmde instanties.

Laag 2: Microsoft-support en advies

Microsoft verkoopt supportcontracten en onboardinghulp zoals FastTrack voor in aanmerking komende workloads. Die zijn reactief en adviserend. Ze helpen bij break/fix-problemen en migratieplanning, maar ze bewaken uw omgeving niet dag en nacht, reageren niet om 03:00 op een beveiligingsmelding en sturen uw uitgaven niet bij.

Laag 3: een managed service provider

Een Azure-MSP neemt onder een vastgelegde SLA de operationele verantwoordelijkheid voor uw omgeving: monitoring, routering van alerts, incidentrespons, patching, validatie van back-ups, beveiligingshouding, kostenoptimalisatie en compliance-documentatie. Het vult de kloof tussen wat Microsoft beheert en wat uw interne team kan dekken.

De meest voorkomende fout in onze onboardingassessments is aannemen dat Laag 1 Laag 3 overbodig maakt. PaaS neemt infrastructuurklussen weg. Het neemt applicatiemonitoring, beveiligingsconfiguratie, kostenbeheer en auditbewijs niet weg.

Wat beheert Microsoft en wat blijft van u?

Microsoft beheert in elk model het fysieke datacenter, het netwerk en de hosts; de rest verschuift met IaaS, PaaS of SaaS. De richtlijnen van Microsoft over gedeelde verantwoordelijkheid zijn expliciet: ongeacht het implementatietype blijft de klant altijd verantwoordelijk voor data, endpoints, accounts en toegangsbeheer. Dat is het werk dat een MSP oppakt.

Kernfuncties van een managed Azure-dienst

Een provider die alleen tickets beantwoordt, is een helpdesk en geen managed service. Dit zijn de functies die u in een echt Azure-beheercontract mag verwachten.

Managed infrastructuurdiensten

Het dagelijkse onderhoud van VM's, virtuele netwerken, opslag, App Service-plannen en AKS-clusters: patching van het gast-besturingssysteem, image-updates, AKS-versie-upgrades, schaalregels, reviews van netwerkbeveiligingsgroepen en de gezondheid van ExpressRoute of VPN. Dit bedoelen de meeste mensen met "Azure managed infrastructure services".

24/7-monitoring en incidentrespons

Azure Monitor en Log Analytics verzamelen platformtelemetrie; alerts gaan naar een engineer in bereikbaarheidsdienst met gedocumenteerde runbooks en responsdoelen voor P1 tot en met P4. Lees hoe wij cloudmonitoring en support aanpakken.

Beveiliging en identiteit

Microsoft Defender for Cloud voor beveiligingshouding en dreigingsdetectie, Microsoft Sentinel als SIEM, Conditional Access en reviews van bevoorrechte toegang in Entra ID, en een afgesproken route naar managed detection and response voor beveiligingsgebeurtenissen.

Back-up en disaster recovery

Azure Backup- en Site Recovery-beleid dat is ontworpen rond uw hersteldoelen, met geplande herstelproeven. Een back-up die nooit is hersteld, is een aanname en geen beheersmaatregel. Op onze pagina over de Azure-backupdienst staat de testfrequentie die wij hanteren.

Governance en landing zones

Azure Policy, managementgroepen, tagging en RBAC, opgebouwd volgens het patroon van de landing zone van het Cloud Adoption Framework, zodat nieuwe abonnementen compliant starten in plaats van achteraf te worden opgeschoond.

Gedelegeerde, controleerbare toegang

Providers horen te werken via Azure Lighthouse, waarmee een serviceprovider resources over klanttenants heen kan beheren terwijl de klant bepaalt wie toegang heeft en die kan intrekken. Gedeelde beheerderswachtwoorden zijn een waarschuwingssignaal.

FinOps

Wekelijkse reviews van afwijkingen, right-sizing, Azure Hybrid Benefit en een beheerd portfolio van reserveringen. Microsoft stelt dat gereserveerde VM-instanties tot 72% minder kunnen kosten dan pay-as-you-go, maar alleen als iemand de commitments afgestemd houdt op het werkelijke gebruik.

Voordelen die in productie zichtbaar worden

• Minder operationeel sleurwerk. Advisor-alerts, Defender-aanbevelingen, AKS-upgrades en NSG-audits leveren een gestage stroom werk op die niet in sprintplanning past. Een MSP vangt dat op binnen een vaste scope.
• Snellere detectie. Zonder 24/7-monitoring worden incidenten vaak pas ontdekt wanneer een klant klaagt. Met gerouteerde alerts en een engineer in bereikbaarheidsdienst gaat detectie van uren naar minuten.
• Compliance als doorlopend proces. Bewijs wordt continu verzameld in plaats van voor elke audit opnieuw opgebouwd.
• Kostenbeheersing. In het State of the Cloud-rapport 2025 van Flexera noemde 84% van de respondenten het beheersen van cloudkosten een topuitdaging, en respondenten schatten dat 27% van de cloudkosten wordt verspild. Zie onze dienst voor cloudkostenoptimalisatie voor hoe wij daaraan werken.

Hoe ondersteunen Azure managed services NIS2 en GDPR?

Ze ondersteunen compliance door de beheersmaatregelen uit te voeren en het bewijs te leveren, maar de verantwoordelijkheid blijft bij u. NIS2 bestrijkt 18 kritieke sectoren in de hele EU. Volgens de NIS2-FAQ van de Europese Commissie moet een entiteit die onder de richtlijn valt binnen 24 uur nadat zij van een significant incident op de hoogte is geraakt een vroege waarschuwing versturen, binnen 72 uur een incidentmelding en binnen een maand een eindrapport.

Uw MSP heeft een 24/7-proces nodig dat deze termijnen voedt, en maakt zelf deel uit van uw toeleveringsketen. Onder de GDPR treedt de MSP op als verwerker, dus het contract heeft een verwerkersovereenkomst (artikel 28), een lijst van subverwerkers, termijnen voor het melden van datalekken en auditrechten nodig. Kan een provider die op verzoek niet tonen, loop dan weg. De Indiase DPDP Act 2023 legt vergelijkbare verplichtingen op aan organisaties die Indiase persoonsgegevens verwerken. Meer over de reikwijdte vindt u in onze NIS2-gids.

Typische scenario's

Dit zijn veelvoorkomende patronen uit onboardingassessments, geen genoemde klanten.

• EU-SaaS-bedrijf in een NIS2-sector. Productie alleen in EU-regio's, afgedwongen met een allowedLocations-beleid; SQL Managed Instance met door de klant beheerde sleutels in Key Vault; een 24/7-incidentproces dat is afgestemd op de meldstappen van het CSIRT.
• Indiase fintech. Productie in Central India met DR in South India; AKS met beheerde upgrades; compliancedashboards van Defender for Cloud afgestemd op de DPDP Act en RBI-eisen; wekelijkse herstelproeven vastgelegd voor audits.
• Multi-cloudonderneming. Azure voor Entra ID, Microsoft 365 en .NET-workloads, AWS voor containers of dataplatformen. De MSP draait één monitoring- en incidentproces over beide en rapporteert de totale cloudkosten, geen twee losse rekeningen. Onze vergelijking van AWS, Azure en GCP laat zien waar elk past.

ASM vs ARM: waarom het nog steeds ter sprake komt

Azure Service Management (ASM) is het oude "klassieke" implementatiemodel; Azure Resource Manager (ARM) is het huidige. Klassieke resources hebben geen resourcegroepen, RBAC, tags of Azure Policy. Microsoft heeft klassieke diensten in fasen uitgefaseerd, en Cloud Services (classic) is op 1 september 2024 voor alle klanten buiten gebruik gesteld. Als een assessment nog klassieke resources vindt, is migreren een kwestie van beveiliging en ondersteunbaarheid, geen luxe.

Tooling die een managed Azure-dienst doorgaans gebruikt

Veelvoorkomende valkuilen

• Lift-and-shift-dimensionering. VM's behouden hun on-premises afmetingen. Als de gemiddelde CPU rond de dertien procent ligt, is één maat kleiner een eenvoudige besparing.
• Defender for Cloud op de gratis laag. De gratis laag geeft alleen basisbeveiligingshouding; de betaalde plannen voegen dreigingsdetectie en kwetsbaarheidsscans toe voor servers, SQL, containers en opslag.
• Platte netwerken. Eén VNet, één subnet, ruimhartige NSG's. Gebruik een hub-and-spoke-ontwerp, flow logs en Azure Firewall of een NVA voor oost-westverkeer.
• Niet-geteste back-ups. Azure Backup draait betrouwbaar; het herstel is waar het om gaat.

Wanneer u geen MSP nodig hebt

Mogelijk hebt u er geen nodig als uw omgeving klein is en door een bekwame platform engineer wordt bewaakt, als workloads volledig serverloos zijn zonder compliance-verplichtingen, of als u al een 24/7-rooster voor bereikbaarheidsdienst bemant. Waarschijnlijk hebt u er wel een nodig als de omgeving is ontgroeid aan monitoring tijdens kantooruren, als verplichtingen uit NIS2, GDPR, SOC 2 of de DPDP Act doorlopende beheersmaatregelen vereisen, als u hybride of multi-cloud draait, of als de Azure-rekening sneller groeit dan de omzet en niemand kan zeggen waarom.

Hoe Opsio helpt

Opsio beheert Azure-omgevingen voor Noordse, EU- en Indiase organisaties vanuit Karlstad en Bangalore: 24/7-monitoring, patching, security operations, het testen van back-ups en FinOps onder één SLA. Op onze pagina over de Azure managed service provider staan de scope en de gepubliceerde prijsniveaus; wat een Azure-MSP doet en kost legt uit hoe u providers vergelijkt.

Dezelfde splitsing tussen door het platform beheerde diensten en door een partner uitgevoerde operations komt terug in onze casus Branäsgruppen, die op AWS draait en niet op Azure: de servers en databases van de skiresortgroep zijn verhuisd naar beheerde equivalenten, met dagelijkse incrementele en wekelijkse volledige back-ups die 60 dagen worden bewaard onder de managed service van Opsio. De casus meldt 40% betere gemiddelde responsiviteit van pagina's, 40% lagere totale eigendomskosten en 99,9%+ uptime van applicaties.

Veelgestelde vragen

Wat is het verschil tussen een Azure managed service en een Azure-MSP?

Een managed service is een product dat Microsoft beheert, zoals een PaaS-database. Een MSP is een bedrijf dat uw hele omgeving beheert, inclusief de onderdelen die Microsoft aan u overlaat: configuratie, identiteiten, gegevensbescherming, kosten en incidentrespons.

Wat zijn de vijf soorten managed services?

De gebruikelijke indeling is managed infrastructuur (compute, netwerk, opslag), managed security (SOC, SIEM, detectie en respons), managed databases, managed applicaties (implementatie, schaling, patching) en managed cloud financial operations (FinOps).

Wat is het verschil tussen ASM en ARM?

ASM was het oorspronkelijke klassieke implementatiemodel van Azure, zonder resourcegroepen, RBAC of beleid. ARM verving het en is nu het ondersteunde model, met templates (JSON of Bicep), fijnmazige RBAC, tags en Azure Policy. Resterende klassieke resources moeten worden gemigreerd.

Wat is een managed device in Azure?

Een managed device is een laptop, telefoon of tablet die is ingeschreven in Microsoft Intune. Met inschrijving kunt u nalevingsregels afdwingen, zoals versleuteling en OS-versie, Conditional Access toepassen en het apparaat op afstand wissen.

Hoe helpen Azure managed services bij NIS2-compliance?

Een provider met 24/7-beveiligingsmonitoring, gedocumenteerde incidentrunbooks en auditklare rapportage ondersteunt de NIS2-verplichtingen voor risicobeheer en melding, mits die contractueel is gebonden als onderdeel van uw toeleveringsketen en haar eigen certificeringen kan aantonen.

Voor de praktische uitvoering, zie Opsio.