Azure Management Groups

Définition

Les Azure Management Groups (groupes de gestion) sont des conteneurs organisationnels qui permettent de regrouper plusieurs abonnements Azure (subscriptions) dans une hiérarchie, facilitant la gouvernance des politiques, des accès RBAC et de la conformité à grande échelle. Ils constituent la couche d'organisation supérieure dans la hiérarchie Azure : Management Groups → Subscriptions → Resource Groups → Resources. La hiérarchie des Management Groups peut avoir jusqu'à 6 niveaux de profondeur sous le Root Management Group. Chaque organisation Azure possède un Root Management Group unique, et toutes les subscriptions doivent appartenir à un Management Group. Les politiques Azure Policy et les attributions RBAC appliquées à un Management Group héritent vers tous ses descendants, permettant une gouvernance centralisée. L'équivalent Azure des AWS Organizations, les Management Groups permettent : d'appliquer des politiques de conformité à toutes les subscriptions d'une business unit, d'attribuer des rôles RBAC communs à travers plusieurs subscriptions, et d'organiser les subscriptions selon la structure de l'entreprise (par département, environnement, région). La sécurité des Management Groups est critique : les permissions accordées au niveau Root Management Group s'appliquent à toutes les subscriptions de l'organisation. Un attaquant obtenant un rôle Owner sur le Root Management Group contrôle l'intégralité de l'infrastructure Azure de l'organisation. Les accès au Root Management Group doivent être strictement limités (maximum 2-3 comptes bris-de-glace) avec PIM activé. Les Azure Blueprints (maintenant intégrés dans Azure Policy et Deployment Stacks) permettent de déployer des configurations de référence incluant des rôles RBAC, des politiques Azure Policy, des Resource Groups et des templates ARM sur toutes les subscriptions d'un Management Group, assurant une configuration cohérente et conforme dès la création.