Azure managed services: o que inclui e quem gere o quê

Os Azure managed services abrangem duas coisas: os serviços que a Microsoft opera por si, como o Azure SQL Managed Instance, os Managed Disks e as Functions serverless, e as operações do dia a dia que um fornecedor de serviços geridos (MSP) executa por cima: monitorização, aplicação de patches, segurança, testes de backup e controlo de custos. A maioria dos ambientes de produção precisa de ambas, porque a Microsoft nunca gere os seus dados, identidades ou configuração.

Pontos principais

• "Gerido" no Azure funciona em três camadas: serviços de plataforma operados pela Microsoft, contratos de suporte da Microsoft e um parceiro que opera o ambiente ao abrigo de um SLA.
• Os serviços de plataforma eliminam o trabalho de host e de sistema operativo, mas, segundo o modelo de responsabilidade partilhada da Microsoft, os dados, os endpoints, as contas e a gestão de acessos ficam sempre consigo.
• As funcionalidades essenciais de um serviço Azure gerido são monitorização 24/7, resposta a incidentes, aplicação de patches, backups testados, postura de segurança, governação de identidades, FinOps e evidências de conformidade.
• Para as entidades da UE abrangidas pela NIS2, o seu MSP faz parte da sua cadeia de fornecimento e tem de suportar o alerta precoce em 24 horas e a notificação de incidentes em 72 horas.
• Ambientes pequenos e totalmente serverless, com uma equipa de prevenção, podem dispensar um MSP externo; ambientes híbridos, regulados ou em rápido crescimento costumam precisar de um.

O que são os Azure managed services?

O termo é usado para duas coisas diferentes, e é ao misturá-las que começam as falhas, as lacunas de conformidade e as faturas surpresa. Na prática, aplica-se a três camadas.

Camada 1: serviços de plataforma geridos pela Microsoft

Aqui, a Microsoft é responsável pelos patches do host, pela disponibilidade e pela infraestrutura subjacente. Configura e consome o serviço, mas não inicia sessão num servidor para o reparar. Exemplos comuns:

• Azure SQL Managed Instance: uma base de dados PaaS com compatibilidade quase total com o SQL Server. A Microsoft trata dos patches do sistema operativo, dos backups automáticos e da alta disponibilidade. Em contrapartida, há menos controlo de baixo nível do que com o SQL Server numa VM própria.
• Managed Disks: armazenamento em blocos para VMs sem ter de gerir contas de armazenamento. A encriptação em repouso e os snapshots estão incluídos.
• Azure Managed Applications: um publicador implementa uma aplicação empacotada na sua subscrição e mantém o controlo operacional do respetivo grupo de recursos gerido. Úteis para plataformas internas, mas defina o RBAC com cuidado.
• Azure Functions: computação serverless. O código, os triggers e os bindings são seus; no plano Premium, também lhe pertencem a integração com VNet e as instâncias pré-aquecidas.

Camada 2: suporte e aconselhamento da Microsoft

A Microsoft vende contratos de suporte e ajuda de onboarding, como o FastTrack para cargas de trabalho elegíveis. São serviços reativos e consultivos. Ajudam em problemas de break/fix e no planeamento de migrações, mas não vigiam o seu ambiente 24 horas por dia, não respondem a um alerta de segurança às 03:00 nem otimizam os seus gastos.

Camada 3: um fornecedor de serviços geridos

Um MSP de Azure assume a responsabilidade operacional pelo seu ambiente ao abrigo de um SLA definido: monitorização, encaminhamento de alertas, resposta a incidentes, aplicação de patches, validação de backups, postura de segurança, otimização de custos e documentação de conformidade. Preenche a lacuna entre o que a Microsoft opera e o que a sua equipa interna consegue cobrir.

O erro mais comum que vemos nas avaliações de onboarding é assumir que a Camada 1 elimina a necessidade da Camada 3. O PaaS elimina as tarefas de infraestrutura. Não elimina a monitorização de aplicações, a configuração de segurança, a governação de custos nem as evidências para auditoria.

O que a Microsoft gere e o que continua a ser seu?

A Microsoft gere o datacenter físico, a rede e os hosts em todos os modelos; o resto muda consoante se trate de IaaS, PaaS ou SaaS. A orientação de responsabilidade partilhada da Microsoft é explícita: independentemente do tipo de implementação, o cliente mantém sempre a responsabilidade pelos dados, endpoints, contas e gestão de acessos. É este o trabalho que um MSP assume.

Funcionalidades essenciais de um serviço Azure gerido

Um fornecedor que apenas responde a tickets é um help desk, não um serviço gerido. Estas são as funcionalidades que deve esperar de um contrato real de operações Azure.

Serviços de infraestrutura geridos

Cuidados diários com VMs, redes virtuais, armazenamento, planos do App Service e clusters AKS: patches do SO convidado, atualizações de imagens, upgrades de versão do AKS, regras de escalamento, revisões de network security groups e saúde do ExpressRoute ou da VPN. É isto que a maioria das pessoas entende por "serviços de infraestrutura geridos do Azure".

Monitorização 24/7 e resposta a incidentes

O Azure Monitor e o Log Analytics recolhem a telemetria da plataforma; os alertas são encaminhados para um engenheiro de prevenção com runbooks documentados e metas de resposta P1 a P4. Veja como abordamos a monitorização e o suporte cloud.

Segurança e identidade

Microsoft Defender for Cloud para postura e deteção de ameaças, Microsoft Sentinel como SIEM, Conditional Access e revisões de acesso privilegiado no Entra ID, e um caminho acordado para a deteção e resposta geridas perante eventos de segurança.

Backup e recuperação de desastres

Políticas do Azure Backup e do Site Recovery desenhadas em função dos seus objetivos de recuperação, com testes de restauro agendados. Um backup que nunca foi restaurado é uma suposição, não um controlo. A página do nosso serviço de backup Azure descreve a cadência de testes que utilizamos.

Governação e landing zones

Azure Policy, management groups, etiquetagem e RBAC construídos sobre o padrão de landing zone do Cloud Adoption Framework, para que as novas subscrições comecem em conformidade em vez de serem corrigidas mais tarde.

Acesso delegado e auditável

Os fornecedores devem trabalhar através do Azure Lighthouse, que permite a um prestador de serviços gerir recursos em vários tenants de clientes, enquanto o cliente controla quem tem acesso e pode revogá-lo. Palavras-passe de administrador partilhadas são um sinal de alerta.

FinOps

Revisões semanais de anomalias, redimensionamento, Azure Hybrid Benefit e uma carteira de reservas gerida. A Microsoft indica que as instâncias de VM reservadas podem custar até 72% menos do que o pay-as-you-go, mas só se alguém mantiver os compromissos alinhados com a utilização real.

Benefícios que se notam em produção

• Menos trabalho operacional repetitivo. Os alertas do Advisor, as recomendações do Defender, os upgrades do AKS e as auditorias de NSG geram um fluxo constante de trabalho que não cabe no planeamento de sprints. Um MSP absorve-o dentro de um âmbito fixo.
• Deteção mais rápida. Sem monitorização 24/7, os incidentes são muitas vezes descobertos quando um cliente se queixa. Com alertas encaminhados e um engenheiro de prevenção, a deteção passa de horas para minutos.
• Conformidade como processo contínuo. As evidências são recolhidas de forma contínua em vez de reconstruídas antes de cada auditoria.
• Controlo de custos. No relatório State of the Cloud 2025 da Flexera, 84% dos inquiridos apontaram a gestão dos gastos em cloud como um dos principais desafios, e estimaram que 27% desses gastos são desperdiçados. Veja o nosso serviço de otimização de custos cloud para saber como trabalhamos nisto.

Como os Azure managed services apoiam a conformidade com a NIS2 e o RGPD?

Apoiam a conformidade ao executar os controlos e produzir as evidências, mas a responsabilização continua a ser sua. A NIS2 abrange 18 setores críticos em toda a UE. De acordo com as perguntas frequentes sobre a NIS2 da Comissão Europeia, uma entidade abrangida tem de enviar um alerta precoce nas 24 horas seguintes ao conhecimento de um incidente significativo, uma notificação do incidente em 72 horas e um relatório final no prazo de um mês.

O seu MSP precisa de um processo 24/7 que alimente esses prazos, e é ele próprio parte da sua cadeia de fornecimento. Ao abrigo do RGPD, atua como subcontratante, pelo que o contrato tem de incluir um acordo de tratamento de dados (artigo 28.º), uma lista de subcontratantes ulteriores, prazos de notificação de violações e direitos de auditoria. Se um fornecedor não os conseguir apresentar a pedido, procure outro. A Lei DPDP 2023 da Índia impõe obrigações semelhantes às organizações que tratam dados pessoais indianos. Mais sobre o âmbito no nosso guia da NIS2.

Cenários típicos

Estes são padrões comuns das avaliações de onboarding, não clientes identificados.

• Empresa SaaS da UE num setor NIS2. Produção apenas em regiões da UE, imposta por uma política allowedLocations; SQL Managed Instance com chaves geridas pelo cliente no Key Vault; um processo de incidentes 24/7 mapeado para as etapas de notificação ao CSIRT.
• Fintech indiana. Produção em Central India com DR em South India; AKS com upgrades geridos; dashboards de conformidade do Defender for Cloud mapeados para a Lei DPDP e os requisitos do RBI; testes de restauro semanais registados para auditoria.
• Empresa multicloud. Azure para Entra ID, Microsoft 365 e cargas de trabalho .NET, AWS para contentores ou plataformas de dados. O MSP opera um único processo de monitorização e incidentes nas duas e reporta o gasto total em cloud, não duas faturas separadas. A nossa comparação AWS vs Azure vs GCP explica onde cada uma se encaixa.

ASM vs ARM: porque é que o tema ainda surge

O Azure Service Management (ASM) é o antigo modelo de implementação "clássico"; o Azure Resource Manager (ARM) é o atual. Os recursos clássicos não têm grupos de recursos, RBAC, etiquetas nem Azure Policy. A Microsoft descontinuou os serviços clássicos por fases, e os Cloud Services (clássico) foram descontinuados para todos os clientes em 1 de setembro de 2024. Se uma avaliação ainda encontrar recursos clássicos, migrá-los é uma tarefa de segurança e de suportabilidade, não um extra.

Ferramentas que um serviço Azure gerido costuma usar

Armadilhas comuns

• Dimensionamento de lift-and-shift. As VMs mantêm os tamanhos do ambiente local. Se o CPU médio ficar na casa dos dez e poucos por cento, descer um tamanho é uma poupança fácil.
• Defender for Cloud no nível gratuito. O nível gratuito oferece apenas postura básica; os planos pagos acrescentam deteção de ameaças e avaliação de vulnerabilidades para servidores, SQL, contentores e armazenamento.
• Redes planas. Uma VNet, uma sub-rede, NSGs permissivos. Utilize um desenho hub-and-spoke, flow logs e o Azure Firewall ou uma NVA para o tráfego east-west.
• Backups não testados. O Azure Backup funciona de forma fiável; o que importa é o restauro.

Quando não precisa de um MSP

Pode não precisar de um se o seu ambiente for pequeno e acompanhado por um engenheiro de plataforma competente, se as cargas de trabalho forem totalmente serverless e sem obrigações de conformidade, ou se já tiver uma escala de prevenção 24/7. Provavelmente precisa de um se o ambiente já ultrapassou a monitorização em horário de expediente, se as obrigações da NIS2, do RGPD, do SOC 2 ou da Lei DPDP exigirem controlos contínuos, se opera em regime híbrido ou multicloud, ou se a fatura do Azure cresce mais depressa do que a receita e ninguém sabe explicar porquê.

Como a Opsio ajuda

A Opsio opera ambientes Azure para organizações nórdicas, da UE e indianas, a partir de Karlstad e Bangalore: monitorização 24/7, patching, operações de segurança, testes de backup e FinOps ao abrigo de um único SLA. A página do nosso fornecedor de serviços geridos Azure lista o âmbito e os escalões de preços publicados; o que faz e quanto custa um MSP de Azure explica como comparar fornecedores.

A mesma divisão entre serviços geridos pela plataforma e operações executadas por um parceiro surge no nosso caso Branäsgruppen, que está na AWS e não no Azure: os servidores e as bases de dados do grupo de estâncias de esqui passaram para equivalentes geridos, com backups incrementais diários e completos semanais mantidos durante 60 dias ao abrigo do serviço gerido da Opsio. O caso reporta uma capacidade de resposta média das páginas 40% melhor, um custo total de propriedade 40% inferior e uma disponibilidade das aplicações de 99,9% ou mais.

Perguntas frequentes

Qual é a diferença entre um serviço gerido do Azure e um MSP de Azure?

Um serviço gerido é um produto que a Microsoft opera, como uma base de dados PaaS. Um MSP é uma empresa que opera todo o seu ambiente, incluindo o que a Microsoft deixa a seu cargo: configuração, identidades, proteção de dados, custos e resposta a incidentes.

Quais são os cinco tipos de serviços geridos?

O agrupamento habitual é: infraestrutura gerida (computação, rede, armazenamento), segurança gerida (SOC, SIEM, deteção e resposta), bases de dados geridas, aplicações geridas (implementação, escalamento, patching) e operações financeiras de cloud geridas (FinOps).

Qual é a diferença entre ASM e ARM?

O ASM era o modelo de implementação clássico original do Azure, sem grupos de recursos, RBAC nem políticas. O ARM substituiu-o e é o modelo suportado atualmente, com templates (JSON ou Bicep), RBAC granular, etiquetas e Azure Policy. Os recursos clássicos que restem devem ser migrados.

O que é um dispositivo gerido no Azure?

Um dispositivo gerido é um portátil, telemóvel ou tablet registado no Microsoft Intune. O registo permite impor regras de conformidade, como a encriptação e a versão do SO, aplicar Conditional Access e apagar o dispositivo remotamente.

Como é que os Azure managed services ajudam na conformidade com a NIS2?

Um fornecedor com monitorização de segurança 24/7, runbooks de incidentes documentados e relatórios prontos para auditoria apoia as obrigações de gestão de risco e de notificação da NIS2, desde que esteja contratualmente vinculado como parte da sua cadeia de fornecimento e consiga demonstrar as suas próprias certificações.

Para a implementação prática, consulte Opsio.