Azure managed services: hva som er inkludert og hvem som gjør hva

Azure managed services dekker to ting: tjenester Microsoft drifter for deg, som Azure SQL Managed Instance, Managed Disks og serverløse Functions, og den daglige driften en leverandør av administrerte tjenester (MSP) tar på toppen: overvåking, patching, sikkerhet, test av sikkerhetskopier og kostnadskontroll. De fleste produksjonsmiljøer trenger begge deler, fordi Microsoft aldri forvalter dine data, identiteter eller konfigurasjon.

Viktigste punkter

• «Administrert» i Azure virker på tre nivåer: plattformtjenester drevet av Microsoft, supportavtaler med Microsoft og en partner som driver miljøet under en SLA.
• Plattformtjenester fjerner arbeid med verter og operativsystem, men under Microsofts modell for delt ansvar beholder du alltid data, endepunkter, kontoer og tilgangsstyring.
• Kjernefunksjonene i en administrert Azure-tjeneste er 24/7-overvåking, håndtering av hendelser, patching, testede sikkerhetskopier, sikkerhetsstatus, identitetsstyring, FinOps og dokumentasjon av etterlevelse.
• For EU-virksomheter som omfattes av NIS2, er MSP-en din en del av forsyningskjeden og må støtte trinnene med tidlig varsling innen 24 timer og hendelsesvarsel innen 72 timer.
• Små, helt serverløse miljøer med et team på vakt trenger kanskje ingen ekstern MSP. Hybride, regulerte eller raskt voksende miljøer trenger vanligvis en.

Hva er Azure managed services?

Begrepet brukes om to ulike ting, og det er når de blandes sammen at driftsstans, etterlevelsesgap og uventede regninger oppstår. I praksis gjelder det på tre nivåer.

Nivå 1: plattformtjenester som Microsoft forvalter

Her eier Microsoft patching av verter, tilgjengelighet og infrastrukturen under. Du konfigurerer og bruker tjenesten, men logger ikke inn på en server for å fikse den. Vanlige eksempler:

• Azure SQL Managed Instance: en PaaS-database med nesten full SQL Server-kompatibilitet. Microsoft tar seg av patching av operativsystemet, automatiske sikkerhetskopier og høy tilgjengelighet. Avveiningen er mindre kontroll på lavt nivå enn med SQL Server på din egen VM.
• Managed Disks: blokklagring for VM-er uten at du selv administrerer lagringskontoer. Kryptering i hvile og øyeblikksbilder er innebygd.
• Azure Managed Applications: en utgiver distribuerer en pakket applikasjon inn i abonnementet ditt og beholder driftskontrollen over den administrerte ressursgruppen. Nyttig for interne plattformer, men avgrens RBAC nøye.
• Azure Functions: serverløs databehandling. Du eier koden, utløserne og bindingene. På Premium-planen eier du også VNet-integrasjon og forhåndsvarmede instanser.

Nivå 2: Microsoft-support og rådgivning

Microsoft selger supportavtaler og hjelp til onboarding, som FastTrack for kvalifiserte arbeidsbelastninger. Dette er reaktivt og rådgivende. Det hjelper med feilretting og migreringsplanlegging, men overvåker ikke miljøet ditt døgnet rundt, svarer ikke på et sikkerhetsvarsel klokken 03:00 og optimaliserer ikke forbruket ditt.

Nivå 3: en leverandør av administrerte tjenester

En Azure-MSP overtar driftsansvaret for miljøet ditt under en definert SLA: overvåking, ruting av varsler, håndtering av hendelser, patching, validering av sikkerhetskopier, sikkerhetsstatus, kostnadsoptimalisering og dokumentasjon av etterlevelse. Den fyller gapet mellom det Microsoft drifter og det det interne teamet ditt klarer å dekke.

Den vanligste feilen vi ser i vurderinger ved onboarding, er å anta at nivå 1 fjerner behovet for nivå 3. PaaS fjerner infrastrukturoppgaver. Det fjerner ikke applikasjonsovervåking, sikkerhetskonfigurasjon, kostnadsstyring eller revisjonsbevis.

Hva forvalter Microsoft, og hva eier du fortsatt?

Microsoft forvalter det fysiske datasenteret, nettverket og vertene i alle modeller. Resten forskyves mellom IaaS, PaaS og SaaS. Microsofts veiledning om delt ansvar er tydelig på at kunden uansett distribusjonstype alltid beholder ansvaret for data, endepunkter, kontoer og tilgangsstyring. Det er dette arbeidet en MSP overtar.

Kjernefunksjoner i en administrert Azure-tjeneste

En leverandør som bare besvarer saker, er en brukerstøtte, ikke en administrert tjeneste. Dette er funksjonene du bør forvente i en reell driftsavtale for Azure.

Administrerte infrastrukturtjenester

Daglig vedlikehold av VM-er, virtuelle nettverk, lagring, App Service-planer og AKS-klynger: patching av gjesteoperativsystem, oppdatering av images, oppgraderinger av AKS-versjon, skaleringsregler, gjennomgang av nettverkssikkerhetsgrupper og helse for ExpressRoute eller VPN. Dette er det de fleste mener med «Azure managed infrastructure services».

24/7-overvåking og håndtering av hendelser

Azure Monitor og Log Analytics samler inn plattformtelemetri. Varsler rutes til en tekniker på vakt, med dokumenterte driftsrutiner og responsmål fra P1 til P4. Se hvordan vi jobber med skyovervåking og support.

Sikkerhet og identitet

Microsoft Defender for Cloud for sikkerhetsstatus og trusseldeteksjon, Microsoft Sentinel som SIEM, Conditional Access og gjennomgang av privilegert tilgang i Entra ID, og en avtalt vei til managed detection and response for sikkerhetshendelser.

Sikkerhetskopiering og katastrofegjenoppretting

Policyer for Azure Backup og Site Recovery utformet etter gjenopprettingsmålene dine, med gjenopprettingstester etter en fast plan. En sikkerhetskopi som aldri er gjenopprettet, er en antakelse, ikke en kontroll. På siden om Azure-backuptjenesten vår beskriver vi hvor ofte vi tester.

Styring og landing zones

Azure Policy, administrasjonsgrupper, merking og RBAC bygget på mønsteret for landing zone i Cloud Adoption Framework, slik at nye abonnementer starter i samsvar med reglene i stedet for å måtte ryddes opp i senere.

Delegert og etterprøvbar tilgang

Leverandører bør jobbe via Azure Lighthouse, som lar en tjenesteleverandør administrere ressurser på tvers av kundenes tenants mens kunden styrer hvem som har tilgang og kan fjerne den. Delte administratorpassord er et faresignal.

FinOps

Ukentlige gjennomganger av avvik, riktig dimensjonering, Azure Hybrid Benefit og en administrert portefølje av reservasjoner. Microsoft oppgir at reserverte VM-instanser kan koste opptil 72 % mindre enn betaling etter forbruk, men bare hvis noen holder forpliktelsene i samsvar med det faktiske forbruket.

Fordeler som viser seg i produksjon

• Mindre driftsslit. Advisor-varsler, anbefalinger fra Defender, AKS-oppgraderinger og revisjoner av NSG-er skaper en jevn strøm av oppgaver som ikke passer i sprintplanleggingen. En MSP tar dem unna innenfor et fast omfang.
• Raskere deteksjon. Uten 24/7-overvåking oppdages hendelser ofte først når en kunde klager. Med rutede varsler og en tekniker på vakt går deteksjonen fra timer til minutter.
• Etterlevelse som en løpende prosess. Bevis samles inn kontinuerlig i stedet for å bygges opp på nytt før hver revisjon.
• Kostnadskontroll. I Flexeras State of the Cloud-rapport for 2025 oppga 84 % av respondentene at det å styre skyforbruket er en av de største utfordringene, og respondentene anslo at 27 % av skyforbruket er bortkastet. Se tjenesten vår for kostnadsoptimalisering i skyen for hvordan vi jobber med det.

Hvordan støtter Azure managed services NIS2 og GDPR?

De støtter etterlevelse ved å drifte kontrollene og levere bevisene, men ansvaret ligger fortsatt hos deg. NIS2 omfatter 18 kritiske sektorer i hele EU. Ifølge EU-kommisjonens NIS2 FAQ må en virksomhet som omfattes, sende en tidlig varsling innen 24 timer etter at den ble kjent med en betydelig hendelse, et hendelsesvarsel innen 72 timer og en sluttrapport innen én måned.

MSP-en din trenger en 24/7-prosess som mater disse fristene, og den er selv en del av forsyningskjeden din. Under GDPR opptrer den som databehandler, så kontrakten må inneholde en databehandleravtale (artikkel 28), en liste over underleverandører, frister for varsling om brudd og revisjonsrettigheter. Kan ikke en leverandør vise dette på forespørsel, bør du gå videre. Indias DPDP Act 2023 stiller tilsvarende krav til organisasjoner som behandler indiske personopplysninger. Mer om omfanget finner du i NIS2-veiledningen vår.

Typiske scenarioer

Dette er vanlige mønstre fra vurderinger ved onboarding, ikke navngitte kunder.

• EU-baserte SaaS-selskap i en NIS2-sektor. Produksjon bare i EU-regioner, håndhevet med en allowedLocations-policy. SQL Managed Instance med kundestyrte nøkler i Key Vault. En 24/7-prosess for hendelser kartlagt mot trinnene for varsling til CSIRT.
• Indisk fintech. Produksjon i Central India med DR i South India. AKS med administrerte oppgraderinger. Samsvarsdashbord i Defender for Cloud kartlagt mot DPDP Act og RBI-krav. Ukentlige gjenopprettingstester loggført for revisjon.
• Multi-sky-virksomhet. Azure for Entra ID, Microsoft 365 og .NET-arbeidsbelastninger, AWS for containere eller dataplattformer. MSP-en kjører én prosess for overvåking og hendelser på tvers av begge og rapporterer samlet skyforbruk, ikke to separate regninger. Sammenligningen av AWS, Azure og GCP viser hvor hver av dem passer.

ASM vs ARM: hvorfor det fortsatt dukker opp

Azure Service Management (ASM) er den gamle «klassiske» distribusjonsmodellen. Azure Resource Manager (ARM) er den nåværende. Klassiske ressurser har ingen ressursgrupper, RBAC, tagger eller Azure Policy. Microsoft har avviklet klassiske tjenester i etapper, og Cloud Services (classic) ble avviklet for alle kunder 1. september 2024. Hvis en vurdering fortsatt finner klassiske ressurser, er det å migrere dem en oppgave for sikkerhet og støtte, ikke noe som er fint å ha.

Verktøy en administrert Azure-tjeneste vanligvis bruker

Vanlige fallgruver

• Dimensjonering etter lift-and-shift. VM-ene beholder størrelsene fra eget datasenter. Hvis gjennomsnittlig CPU-bruk ligger på lave tosifrede prosenttall, er det en enkel besparelse å gå ned én størrelse.
• Defender for Cloud på gratisnivået. Gratisnivået gir bare grunnleggende sikkerhetsstatus. De betalte planene legger til trusseldeteksjon og sårbarhetsvurdering for servere, SQL, containere og lagring.
• Flate nettverk. Ett VNet, ett subnett, tillatende NSG-er. Bruk et hub-and-spoke-design, flytlogger og Azure Firewall eller en NVA for øst–vest-trafikk.
• Utestede sikkerhetskopier. Azure Backup kjører pålitelig. Det er gjenopprettingen som teller.

Når du ikke trenger en MSP

Du trenger kanskje ingen hvis miljøet er lite og overvåkes av en dyktig plattformtekniker, hvis arbeidsbelastningene er helt serverløse uten etterlevelsesforpliktelser, eller hvis du allerede har en bemannet 24/7-vaktordning. Du trenger sannsynligvis en hvis miljøet har vokst ut av overvåking i kontortid, hvis krav fra NIS2, GDPR, SOC 2 eller DPDP Act forutsetter kontinuerlige kontroller, hvis du kjører hybrid eller multi-sky, eller hvis Azure-regningen vokser raskere enn omsetningen og ingen kan si hvorfor.

Slik hjelper Opsio

Opsio driver Azure-miljøer for nordiske, europeiske og indiske organisasjoner fra Karlstad og Bangalore: 24/7-overvåking, patching, sikkerhetsdrift, test av sikkerhetskopier og FinOps under én SLA. Siden om vår Azure-MSP viser omfanget og de publiserte prisnivåene. Hva en Azure-MSP gjør og koster forklarer hvordan du sammenligner leverandører.

Den samme delingen mellom plattformstyrte tjenester og partnerdrevet drift finner du i caset om Branäsgruppen, som kjører på AWS og ikke Azure: skianleggsgruppens servere og databaser ble flyttet til administrerte tilsvarende tjenester, med daglige inkrementelle og ukentlige fullstendige sikkerhetskopier som oppbevares i 60 dager under Opsios administrerte tjeneste. Caset rapporterer 40 % bedre gjennomsnittlig responstid på sidene, 40 % lavere totale eierkostnader og 99,9 %+ oppetid for applikasjonene.

Ofte stilte spørsmål

Hva er forskjellen mellom en administrert Azure-tjeneste og en Azure-MSP?

En administrert tjeneste er et produkt Microsoft drifter, som en PaaS-database. En MSP er et selskap som drifter hele miljøet ditt, inkludert det Microsoft overlater til deg: konfigurasjon, identiteter, databeskyttelse, kostnader og håndtering av hendelser.

Hva er de fem typene administrerte tjenester?

Den vanlige inndelingen er administrert infrastruktur (databehandling, nettverk, lagring), administrert sikkerhet (SOC, SIEM, deteksjon og respons), administrerte databaser, administrerte applikasjoner (distribusjon, skalering, patching) og administrert økonomistyring i skyen (FinOps).

Hva er forskjellen mellom ASM og ARM?

ASM var Azures opprinnelige klassiske distribusjonsmodell, uten ressursgrupper, RBAC eller policyer. ARM erstattet den og er den støttede modellen i dag, med maler (JSON eller Bicep), finkornet RBAC, tagger og Azure Policy. Gjenværende klassiske ressurser bør migreres.

Hva er en administrert enhet i Azure?

En administrert enhet er en bærbar PC, telefon eller nettbrett som er registrert i Microsoft Intune. Registreringen lar deg håndheve krav til samsvar som kryptering og OS-versjon, bruke Conditional Access og tømme enheten eksternt.

Hvordan hjelper Azure managed services med NIS2-etterlevelse?

En leverandør med 24/7 sikkerhetsovervåking, dokumenterte driftsrutiner for hendelser og revisjonsklar rapportering støtter NIS2-pliktene for risikostyring og rapportering, forutsatt at den er kontraktsmessig bundet som en del av forsyningskjeden din og kan vise frem egne sertifiseringer.