Azure managed services: vad som ingår och vem som sköter vad

Azure managed services omfattar två saker: tjänster som Microsoft driftar åt er, till exempel Azure SQL Managed Instance, Managed Disks och serverlösa Functions, och den dagliga drift som en leverantör av managerade tjänster (MSP) sköter ovanpå: övervakning, patchning, säkerhet, backuptester och kostnadskontroll. De flesta produktionsmiljöer behöver båda, eftersom Microsoft aldrig hanterar era data, identiteter eller er konfiguration.

Viktiga slutsatser

• "Managed" i Azure fungerar på tre nivåer: plattformstjänster som Microsoft driftar, supportavtal med Microsoft och en partner som driver miljön enligt ett SLA.
• Plattformstjänster tar bort arbetet med värdar och operativsystem, men enligt Microsofts modell för delat ansvar behåller ni alltid data, slutpunkter, konton och åtkomsthantering.
• De centrala funktionerna i en managerad Azure-tjänst är övervakning dygnet runt, incidenthantering, patchning, testade backuper, säkerhetsläge, identitetsstyrning, FinOps och efterlevnadsunderlag.
• För EU-verksamheter som omfattas av NIS2 ingår er MSP i er leverantörskedja och måste kunna stödja stegen tidig varning inom 24 timmar och incidentanmälan inom 72 timmar.
• Små, helt serverlösa miljöer med ett team i jour kanske inte behöver en extern MSP. Hybrida, reglerade eller snabbt växande miljöer gör det oftast.

Vad är Azure managed services?

Begreppet används för två olika saker, och när de blandas ihop börjar driftstopp, efterlevnadsluckor och överraskande fakturor. I praktiken gäller det på tre nivåer.

Nivå 1: plattformstjänster som Microsoft hanterar

Här äger Microsoft patchning av värdar, tillgänglighet och infrastrukturen under tjänsten. Ni konfigurerar och använder tjänsten, men loggar inte in på en server för att åtgärda den. Vanliga exempel:

• Azure SQL Managed Instance: en PaaS-databas med nästan full SQL Server-kompatibilitet. Microsoft sköter patchning av operativsystemet, automatiska backuper och hög tillgänglighet. Avvägningen är mindre lågnivåkontroll än med SQL Server på en egen virtuell maskin.
• Managed Disks: blocklagring för virtuella maskiner utan att ni själva hanterar lagringskonton. Kryptering i vila och ögonblicksbilder ingår.
• Azure Managed Applications: en utgivare distribuerar ett paketerat program i er prenumeration och behåller den operativa kontrollen över dess hanterade resursgrupp. Användbart för interna plattformar, men avgränsa RBAC noggrant.
• Azure Functions: serverlös beräkning. Ni äger koden, utlösarna och bindningarna. I Premium-planen äger ni också VNet-integrationen och förvärmda instanser.

Nivå 2: Microsofts support och rådgivning

Microsoft säljer supportavtal och introduktionshjälp som FastTrack för berättigade arbetsbelastningar. Detta är reaktivt och rådgivande. Det hjälper vid felavhjälpning och migreringsplanering, men det bevakar inte er miljö dygnet runt, svarar inte på ett säkerhetslarm klockan 03.00 och optimerar inte era kostnader.

Nivå 3: en leverantör av managerade tjänster

En Azure-MSP tar operativt ansvar för er miljö enligt ett definierat SLA: övervakning, larmrouting, incidenthantering, patchning, validering av backuper, säkerhetsläge, kostnadsoptimering och efterlevnadsdokumentation. Den fyller gapet mellan det Microsoft driftar och det ert interna team hinner täcka.

Det vanligaste misstaget vi ser i introduktionsbedömningar är att anta att nivå 1 tar bort behovet av nivå 3. PaaS tar bort infrastrukturgörat. Det tar inte bort applikationsövervakning, säkerhetskonfiguration, kostnadsstyrning eller revisionsunderlag.

Vad hanterar Microsoft, och vad äger ni fortfarande?

Microsoft hanterar datacenter, nätverk och värdar fysiskt i alla modeller. Resten förskjuts mellan IaaS, PaaS och SaaS. Microsofts vägledning om delat ansvar är tydlig med att kunden, oavsett driftsättningstyp, alltid behåller ansvaret för data, slutpunkter, konton och åtkomsthantering. Det är det arbetet en MSP tar över.

Centrala funktioner i en managerad Azure-tjänst

En leverantör som bara besvarar ärenden är en helpdesk, inte en managerad tjänst. Det här är funktionerna ni bör förvänta er i ett riktigt driftavtal för Azure.

Managerade infrastrukturtjänster

Daglig skötsel av virtuella maskiner, virtuella nätverk, lagring, App Service-planer och AKS-kluster: patchning av gäst-OS, uppdatering av avbilder, AKS-versionsuppgraderingar, skalningsregler, granskning av nätverkssäkerhetsgrupper samt hälsa för ExpressRoute eller VPN. Det är vad de flesta menar med "managerade infrastrukturtjänster i Azure".

Övervakning och incidenthantering dygnet runt

Azure Monitor och Log Analytics samlar in plattformens telemetri. Larm routas till en ingenjör i jour med dokumenterade körböcker och svarsmål för P1–P4. Se hur vi arbetar med molnövervakning och support.

Säkerhet och identitet

Microsoft Defender for Cloud för säkerhetsläge och hotdetektering, Microsoft Sentinel som SIEM, Conditional Access och granskningar av privilegierad åtkomst i Entra ID, samt en överenskommen väg till hanterad detektering och respons för säkerhetshändelser.

Backup och katastrofåterställning

Policyer i Azure Backup och Site Recovery utformade efter era återställningsmål, med återställningstester enligt schema. En backup som aldrig har återställts är ett antagande, inte en kontroll. På sidan om vår Azure-backuptjänst beskrivs den testfrekvens vi använder.

Styrning och landningszoner

Azure Policy, hanteringsgrupper, taggning och RBAC byggda på mönstret landningszon i Cloud Adoption Framework, så att nya prenumerationer startar i efterlevnad i stället för att städas upp i efterhand.

Delegerad, spårbar åtkomst

Leverantörer bör arbeta via Azure Lighthouse, som låter en tjänsteleverantör hantera resurser över kunders tenanter medan kunden styr vem som har åtkomst och kan ta bort den. Delade administratörslösenord är en varningssignal.

FinOps

Veckovisa genomgångar av avvikelser, rätt dimensionering, Azure Hybrid Benefit och en hanterad portfölj av reservationer. Microsoft uppger att reserverade VM-instanser kan kosta upp till 72 % mindre än betala per användning, men bara om någon håller bindningarna i linje med den verkliga användningen.

Fördelar som syns i produktion

• Mindre operativt görande. Advisor-larm, rekommendationer från Defender, AKS-uppgraderingar och NSG-granskningar skapar ett jämnt flöde av arbete som inte passar in i sprintplaneringen. En MSP tar hand om det inom ett fast omfång.
• Snabbare upptäckt. Utan övervakning dygnet runt upptäcks incidenter ofta först när en kund klagar. Med routade larm och en ingenjör i jour går upptäckten från timmar till minuter.
• Efterlevnad som löpande process. Underlag samlas in kontinuerligt i stället för att byggas om inför varje revision.
• Kostnadskontroll. I Flexeras 2025 State of the Cloud angav 84 % av de svarande att hanteringen av molnkostnader var en av de största utmaningarna, och de uppskattade att 27 % av molnkostnaderna är slöseri. Se vår tjänst för molnkostnadsoptimering för hur vi arbetar med det.

Hur stöder Azure managed services NIS2 och GDPR?

De stöder efterlevnaden genom att köra kontrollerna och ta fram underlaget, men ansvaret ligger kvar hos er. NIS2 omfattar 18 kritiska sektorer i EU. Enligt Europeiska kommissionens NIS2-FAQ måste en verksamhet som omfattas skicka en tidig varning inom 24 timmar efter att den fått kännedom om en betydande incident, en incidentanmälan inom 72 timmar och en slutrapport inom en månad.

Er MSP behöver en process dygnet runt som matar dessa tidsfrister, och den ingår själv i er leverantörskedja. Enligt GDPR agerar den som personuppgiftsbiträde, så avtalet behöver ett personuppgiftsbiträdesavtal (artikel 28), en lista över underbiträden, tidsfrister för anmälan av personuppgiftsincidenter och rätt till revision. Om en leverantör inte kan visa detta på begäran bör ni gå vidare. Indiens DPDP Act 2023 ställer liknande krav på organisationer som behandlar indiska personuppgifter. Mer om tillämpningsområdet finns i vår guide till NIS2.

Typiska scenarier

Det här är vanliga mönster från introduktionsbedömningar, inte namngivna kunder.

• SaaS-bolag i EU inom en NIS2-sektor. Produktion enbart i EU-regioner, vilket upprätthålls med en allowedLocations-policy. SQL Managed Instance med kundhanterade nycklar i Key Vault och en incidentprocess dygnet runt som är kopplad till CSIRT-anmälningsstegen.
• Indiskt fintechbolag. Produktion i Central India med DR i South India. AKS med managerade uppgraderingar, efterlevnadspaneler i Defender for Cloud kopplade till DPDP Act och RBI:s krav samt veckovisa återställningstester som loggas för revision.
• Multi-cloud-företag. Azure för Entra ID, Microsoft 365 och .NET-arbetsbelastningar, AWS för containrar eller dataplattformar. MSP:n kör en övervaknings- och incidentprocess över båda och rapporterar den totala molnkostnaden, inte två separata fakturor. Vår jämförelse av AWS, Azure och GCP visar var vart och ett passar.

ASM mot ARM: därför dyker det fortfarande upp

Azure Service Management (ASM) är den gamla "klassiska" driftsättningsmodellen. Azure Resource Manager (ARM) är den nuvarande. Klassiska resurser saknar resursgrupper, RBAC, taggar och Azure Policy. Microsoft har avvecklat klassiska tjänster i etapper, och Cloud Services (classic) togs ur bruk för alla kunder den 1 september 2024. Om en bedömning fortfarande hittar klassiska resurser är migreringen av dem en uppgift för säkerhet och supportbarhet, inte en bonus.

Verktyg som en managerad Azure-tjänst vanligtvis använder

Vanliga fallgropar

• Dimensionering från lift-and-shift. Virtuella maskiner behåller storlekarna från den egna miljön. Om genomsnittlig CPU ligger på låga tvåsiffriga procenttal är det en enkel besparing att gå ner en storlek.
• Defender for Cloud kvar på gratisnivån. Gratisnivån ger bara grundläggande säkerhetsläge. De betalda planerna lägger till hotdetektering och sårbarhetsbedömning för servrar, SQL, containrar och lagring.
• Platta nätverk. Ett VNet, ett subnät, generösa NSG:er. Använd en hub-and-spoke-design, flödesloggar och Azure Firewall eller en NVA för trafik i sidled.
• Otestade backuper. Azure Backup körs pålitligt. Det är återställningen som räknas.

När ni inte behöver en MSP

Ni behöver kanske ingen om er miljö är liten och bevakas av en kompetent plattformsingenjör, om arbetsbelastningarna är helt serverlösa utan efterlevnadskrav eller om ni redan har en bemannad jourrotation dygnet runt. Ni behöver sannolikt en om miljön vuxit ur övervakning på kontorstid, om skyldigheter enligt NIS2, GDPR, SOC 2 eller DPDP Act kräver kontinuerliga kontroller, om ni kör hybrid eller multi-cloud, eller om Azure-fakturan växer snabbare än intäkterna och ingen kan säga varför.

Så hjälper Opsio

Opsio driver Azure-miljöer för nordiska, europeiska och indiska organisationer från Karlstad och Bangalore: övervakning dygnet runt, patchning, säkerhetsdrift, backuptester och FinOps under ett SLA. På vår sida om Azure managed service provider finns omfattning och publicerade prisnivåer, och vad en Azure-MSP gör och kostar förklarar hur ni jämför leverantörer.

Samma uppdelning mellan plattformshanterade tjänster och partnerdriven drift syns i vårt kundcase om Branäsgruppen, som körs på AWS i stället för Azure: skidanläggningsgruppens servrar och databaser flyttades till managerade motsvarigheter, med dagliga inkrementella och veckovisa fullständiga backuper som sparas i 60 dagar inom Opsios managerade tjänst. Caset redovisar 40 % bättre genomsnittlig svarstid i sidorna, 40 % lägre total ägandekostnad och över 99,9 % upptid i applikationerna.

Vanliga frågor

Vad är skillnaden mellan en managerad Azure-tjänst och en Azure-MSP?

En managerad tjänst är en produkt som Microsoft driftar, som en PaaS-databas. En MSP är ett företag som driver hela er miljö, inklusive det Microsoft lämnar åt er: konfiguration, identiteter, dataskydd, kostnad och incidenthantering.

Vilka är de fem typerna av managerade tjänster?

Den vanliga indelningen är managerad infrastruktur (beräkning, nätverk, lagring), managerad säkerhet (SOC, SIEM, detektering och respons), managerade databaser, managerade applikationer (driftsättning, skalning, patchning) och managerad ekonomistyrning i molnet (FinOps).

Vad är skillnaden mellan ASM och ARM?

ASM var Azures ursprungliga klassiska driftsättningsmodell, utan resursgrupper, RBAC eller policy. ARM ersatte den och är den modell som stöds i dag, med mallar (JSON eller Bicep), detaljerad RBAC, taggar och Azure Policy. Kvarvarande klassiska resurser bör migreras.

Vad är en hanterad enhet i Azure?

En hanterad enhet är en bärbar dator, telefon eller surfplatta som är registrerad i Microsoft Intune. Registreringen låter er tillämpa efterlevnadsregler som kryptering och OS-version, använda Conditional Access och rensa enheten på distans.

Hur hjälper Azure managed services till med NIS2-efterlevnad?

En leverantör med säkerhetsövervakning dygnet runt, dokumenterade körböcker för incidenter och revisionsklar rapportering stöder skyldigheterna i NIS2 kring riskhantering och rapportering, förutsatt att den är avtalsmässigt bunden som en del av er leverantörskedja och kan visa upp sina egna certifieringar.