Melhores práticas de FinOps para redes

Este artigo descreve práticas comprovadas de FinOps para serviços de rede. Eles concentram-se na otimização de custos, melhorias de eficiência e perspetivas de recursos.


Azure Firewall

As seções a seguir fornecem consultas do Azure Resource Graph (ARG) para o Firewall do Azure. Essas consultas ajudam você a obter informações sobre seus recursos de firewall do Azure e garantir que eles estejam configurados com as configurações apropriadas. Ao analisar padrões de uso e recomendações do Assistente do Azure, você pode otimizar suas configurações de firewall do Azure para eficiência de custos.

Consulta: Análise de firewall e políticas de firewall do Azure

Esta consulta ARG analisa os firewalls do Azure e suas políticas de firewall associadas em seu ambiente do Azure. Ele visa especificamente firewalls com uma camada de SKU premium e verifica se as configurações em suas políticas de firewall associadas estão utilizando os recursos premium.

Categoria

Otimização

Consulta

resources
| where type =~ 'Microsoft.Network/azureFirewalls' and properties.sku.tier=="Premium"
| project FWID=id, firewallName=name, SkuTier=tostring(properties.sku.tier), resourceGroup, location
| join kind=inner (
    resources
    | where type =~ 'microsoft.network/firewallpolicies'
    | mv-expand properties.firewalls
    | extend intrusionDetection = tostring(properties.intrusionDetection contains "Alert"
        or properties.intrusionDetection contains "Deny")
    | extend transportSecurity = tostring(properties.transportSecurity contains "keyVaultSecretId")
    | extend FWID = tostring(properties_firewalls.id)
    | where intrusionDetection == "False"
        and transportSecurity == "False"
    | project
        PolicyName = name,
        PolicySKU = tostring(properties.sku.tier),
        intrusionDetection,
        transportSecurity,
        FWID
) on FWID

Consulta: Análise do Firewall do Azure e sub-redes associadas

Esta consulta ARG analisa firewalls do Azure e suas sub-redes associadas em seu ambiente do Azure. Ele fornece informações sobre quais sub-redes estão associadas a cada instância de firewall do Azure. Otimize o uso do firewall do Azure tendo uma instância central do firewall do Azure na rede virtual do hub ou no hub seguro da WAN Virtual. Em seguida, compartilhe o mesmo firewall em muitas redes virtuais spoke que estão conectadas ao mesmo hub da mesma região.

Categoria

Otimização

Consulta

resources
| where type =~ 'Microsoft.Network/azureFirewalls' and properties.sku.tier=="Premium"
| project
    FWID=id,
    firewallName=name,
    SkuTier=tostring(properties.sku.tier),
    resourceGroup,
    location
| join kind=inner (
    resources
    | where type =~ 'microsoft.network/firewallpolicies'
    | mv-expand properties.firewalls
    | extend intrusionDetection = tostring(properties.intrusionDetection contains "Alert"
        or properties.intrusionDetection contains "Deny")
    | extend transportSecurity = tostring(properties.transportSecurity contains "keyVaultSecretId")
    | extend FWID=tostring(properties_firewalls.id)
    | where intrusionDetection == "False"
        and transportSecurity == "False"
    | project
        PolicyName = name,
        PolicySKU = tostring(properties.sku.tier),
        intrusionDetection,
        transportSecurity,
        FWID
) on FWID

Gateway de Aplicação

O Gateway de Aplicação do Azure é um balanceador de carga do tráfego da Web que lhe permite gerir o tráfego para as suas aplicações Web. Fornece serviços de encaminhamento e balanceamento de carga ao nível da aplicação que permitem construir uma interface web escalável e altamente disponível no Azure.

Recursos relacionados:

Remover gateways de aplicação inativos

Recomendação: Remova gateways de aplicações que não tenham pools de backend para evitar custos desnecessários.

Sobre gateways de aplicações inativas

Gateways de aplicação sem alvos de backend pool não estão a encaminhar o tráfego ativamente e podem representar recursos não utilizados. Estes gateways inativos continuam a gerar custos mesmo sem servirem para qualquer função.

Note

Os hubs FinOps podem identificar automaticamente gateways de aplicações inativos. Saiba mais.

Identificar gateways de aplicação inativos

Use a seguinte consulta ARG para identificar gateways de aplicações com pools de backend vazios.

resources
| where type =~ 'Microsoft.Network/applicationGateways'
| extend
    backendPoolsCount = array_length(properties.backendAddressPools),
    SKUName = tostring(properties.sku.name),
    SKUTier = tostring(properties.sku.tier),
    SKUCapacity = properties.sku.capacity,
    backendPools = properties.backendAddressPools,
    resourceGroup = strcat('/subscriptions/',subscriptionId,'/resourceGroups/',resourceGroup)
| project id, name, SKUName, SKUTier, SKUCapacity, resourceGroup, subscriptionId
| join (
    resources
    | where type =~ 'Microsoft.Network/applicationGateways'
    | mvexpand backendPools = properties.backendAddressPools
    | extend backendIPCount = array_length(backendPools.properties.backendIPConfigurations)
    | extend backendAddressesCount = array_length(backendPools.properties.backendAddresses)
    | extend backendPoolName = backendPools.properties.backendAddressPools.name
    | summarize
        backendIPCount = sum(backendIPCount),
        backendAddressesCount = sum(backendAddressesCount)
        by id
) on id
| project-away id1
| where (backendIPCount == 0 or isempty(backendIPCount))
    and (backendAddressesCount==0 or isempty(backendAddressesCount))
| order by id asc

Atualizar gateways de aplicações clássicos

Recomendação: Atualize o SKU do Application Gateway v1 para v2 antes da data de aposentação da v1 para manter o suporte e aceder a funcionalidades melhoradas.

Sobre gateways de aplicações clássicos

O SKU Application Gateway v1 (Standard e WAF) está a ser retirado. O SKU v2 oferece dimensionamento automático, redundância entre zonas e melhor desempenho. Migrar para a v2 garante suporte contínuo e pode reduzir custos através do autoscaling, que ajusta automaticamente o número de instâncias com base no tráfego.

Note

Os hubs FinOps podem identificar automaticamente gateways clássicos de aplicações usando o SKU v1. Saiba mais.

Identificar gateways clássicos de aplicação

Use a seguinte consulta ARG para identificar gateways de aplicação que ainda utilizam o SKU v1.

resources
| where type =~ 'microsoft.network/applicationgateways'
| where properties.sku.tier in ('Standard', 'WAF')
| project
    ResourceId = tolower(id),
    ResourceName = name,
    SKUTier = tostring(properties.sku.tier),
    Region = location,
    ResourceGroupName = resourceGroup,
    SubscriptionId = subscriptionId

DDoS Protection

A Proteção DDoS do Azure fornece contramedidas contra as ameaças DDoS mais sofisticadas. Oferece capacidades melhoradas de mitigação DDoS para a sua aplicação e recursos implementados nas suas redes virtuais.

Recursos relacionados:

Remover planos de proteção DDoS não associados

Recomendação: Remover planos de proteção DDoS que não estejam associados a qualquer rede virtual para evitar custos desnecessários.

Sobre planos de proteção DDoS não associados

Os planos de proteção DDoS têm uma taxa mensal fixa. Planos que não estão associados a nenhuma rede virtual não oferecem proteção, mas ainda assim geram custos. Remover planos não utilizados elimina despesas desnecessárias.

Note

Os hubs FinOps podem identificar automaticamente planos de proteção DDoS não associados. Saiba mais.

Identificar planos de proteção DDoS não associados

Use a seguinte consulta ARG para identificar planos de proteção DDoS que não estejam associados a nenhuma rede virtual.

resources
| where type =~ 'microsoft.network/ddosprotectionplans'
| where isnull(properties.virtualNetworks) or array_length(properties.virtualNetworks) == 0
| project
    ResourceId = tolower(id),
    ResourceName = name,
    Region = location,
    ResourceGroupName = resourceGroup,
    SubscriptionId = subscriptionId

ExpressRoute

O Azure ExpressRoute permite-lhe expandir as suas redes locais para a cloud da Microsoft através de uma ligação privada. Os circuitos ExpressRoute acarretam custos mensais com base no SKU e na largura de banda provisionada.

Recursos relacionados:

Remover circuitos ExpressRoute não provisionados

Recomendação: Eliminar ou provisionar circuitos ExpressRoute que estejam em estado não provisionado para evitar cobranças desnecessárias.

Sobre circuitos ExpressRoute não provisionados

Os circuitos ExpressRoute que permanecem num estado "NotProvisioned" não transportam tráfego ativamente, mas continuam a gerar custos mensais. Estes circuitos podem ter sido criados, mas nunca concluídos com o fornecedor de serviços. Identificá-los e removê-los elimina custos desnecessários.

Note

Os hubs FinOps podem identificar automaticamente circuitos ExpressRoute não provisionados. Saiba mais.

Identificar circuitos ExpressRoute não provisionados

Use a seguinte consulta ARG para identificar circuitos ExpressRoute num estado não provisionado.

resources
| where type =~ 'Microsoft.Network/expressRouteCircuits'
    and properties.serviceProviderProvisioningState == "NotProvisioned"
| extend
    ServiceLocation = tostring(properties.serviceProviderProperties.peeringLocation),
    ServiceProvider = tostring(properties.serviceProviderProperties.serviceProviderName),
    BandwidthInMbps = tostring(properties.serviceProviderProperties.bandwidthInMbps)
| project
    ERId = id,
    ERName = name,
    ERRG = resourceGroup,
    SKUName = tostring(sku.name),
    SKUTier = tostring(sku.tier),
    SKUFamily = tostring(sku.family),
    ERLocation = location,
    ServiceLocation,
    ServiceProvider,
    BandwidthInMbps

Balanceador de Carga

O Balanceador de Carga do Azure opera na camada 4 do modelo OSI e distribui o tráfego de entrada entre instâncias de backend pool saudáveis. Proporciona alta disponibilidade ao monitorizar o estado das instâncias de backend e redirecionar automaticamente o tráfego para longe das instâncias não saudáveis.

Recursos relacionados:

Remover os balanceadores de carga inativos

Recomendação: Remova os balanceadores de carga que não têm pools de backend para evitar custos desnecessários.

Sobre os balanceadores de carga inativos

Balanceadores de carga sem alvos de backend pool não estão a distribuir ativamente o tráfego e podem representar recursos não utilizados. Os balanceadores de carga SKU padrão têm custos mesmo quando estão inativos, pelo que remover instâncias não utilizadas pode reduzir despesas desnecessárias.

Note

Os hubs FinOps podem identificar automaticamente os balanceadores de carga inativos. Saiba mais.

Identificar balanceadores de carga inativos

Utilize a seguinte consulta ARG para identificar balanceadores de carga Standard SKU com grupos de back-end vazios.

resources
| extend resourceGroup = strcat('/subscriptions/', subscriptionId, '/resourceGroups/', resourceGroup)
| extend SKUName = tostring(sku.name)
| extend SKUTier = tostring(sku.tier)
| extend location,backendAddressPools = properties.backendAddressPools
| where type =~ 'microsoft.network/loadbalancers'
    and array_length(backendAddressPools) == 0
    and sku.name!='Basic'
| order by id asc
| project
    id,
    name,
    SKUName,
    SKUTier,
    backendAddressPools,
    location,
    resourceGroup,
    subscriptionId

Atualizar os balanceadores básicos de carga

Recomendação: Atualize os balanceadores de carga usando o SKU Basic retirado para Standard para melhor desempenho, segurança e suporte contínuo.

Sobre os balanceadores de carga básicos

O SKU Basic do Balanceador de Carga do Azure foi descontinuado em 30 de setembro de 2025. Os balanceadores de carga básicos não fornecem SLA, não suportam zonas de disponibilidade e têm capacidades de diagnóstico limitadas. A atualização para o SKU Padrão proporciona maior fiabilidade, desempenho e funcionalidades de segurança.

Note

Os hubs FinOps podem identificar automaticamente balanceadores de carga básicos. Saiba mais.

Identificar balanceadores de carga básicos

Use a seguinte consulta ARG para identificar balanceadores de carga usando o SKU Básico.

resources
| where type =~ 'microsoft.network/loadbalancers'
| where sku.name =~ 'Basic'
| project
    ResourceId = tolower(id),
    ResourceName = name,
    SKUName = tostring(sku.name),
    Region = location,
    ResourceGroupName = resourceGroup,
    SubscriptionId = subscriptionId

NAT Gateway

O Azure NAT Gateway fornece conectividade à internet de saída para redes virtuais. Os gateways NAT simplificam a conectividade de internet apenas de saída ao fornecer um serviço SNAT gerido e altamente disponível.

Recursos relacionados:

Remova gateways NAT órfãs

Recomendação: Remova gateways NAT que não estejam associados a nenhuma sub-rede para evitar encargos desnecessários.

Acerca de gateways NAT órfãos

Os gateways NAT têm custos horários e de processamento de dados. Gateways que não estão associados a nenhuma sub-rede não fornecem conectividade de saída e representam gastos desperdiçados. Estas portas de ligação que ficaram órfãs podem permanecer depois de uma sub-rede ou rede virtual ser reconfigurada.

Note

Os hubs FinOps podem identificar automaticamente gateways NAT órfãos. Saiba mais.

Identificar os gateways NAT órfãos

Use a seguinte consulta ARG para identificar gateways NAT não associados a qualquer subrede.

resources
| where type == "microsoft.network/natgateways"
| where isnull(properties.subnets) or array_length(properties.subnets) == 0
| project
    id,
    GWName = name,
    SKUName = tostring(sku.name),
    SKUTier = tostring(sku.tier),
    Location = location,
    resourceGroup = tostring(strcat('/subscriptions/', subscriptionId, '/resourceGroups/', resourceGroup)),
    subnets = properties.subnets,
    subscriptionId

Interface de Rede

As interfaces de rede Azure (NICs) permitem que as VMs Azure comuniquem com recursos da internet, Azure e on-premises. As placas de interface de rede (NIC) não têm custos diretos, mas as NICs órfãs podem indicar oportunidades de limpeza não aproveitadas e complicar a gestão de recursos.

Remover interfaces de rede não ligadas

Recomendação: Remova interfaces de rede que não estejam ligadas a nenhuma máquina virtual ou endpoint privado para manter o ambiente limpo e reduzir a sobrecarga de gestão.

Sobre interfaces de rede não ligadas

Quando uma VM é eliminada, as interfaces de rede associadas podem não ser limpas automaticamente. Estas NIC órfãs podem acumular-se ao longo do tempo, saturando o seu ambiente e potencialmente retendo recursos associados como IPs públicos. Embora as NICs não incorram em custos diretos, a sua limpeza simplifica a gestão de recursos e pode revelar outros recursos órfãos.

Note

Os hubs FinOps podem identificar automaticamente interfaces de rede não ligadas. Saiba mais.

Identificar interfaces de rede não ligadas

Use a seguinte consulta ARG para identificar interfaces de rede que não estejam ligadas a qualquer VM ou endpoint privado.

resources
| where type =~ 'microsoft.network/networkinterfaces'
| where isnull(properties.virtualMachine) and isnull(properties.privateEndpoint)
| project
    ResourceId = tolower(id),
    ResourceName = name,
    PrivateIP = tostring(properties.ipConfigurations[0].properties.privateIPAddress),
    Region = location,
    ResourceGroupName = resourceGroup,
    SubscriptionId = subscriptionId

Grupo de Segurança de Rede

Os grupos de segurança de rede (NSGs) filtram o tráfego de rede para e a partir dos recursos do Azure numa rede virtual. Os NSGs contêm regras de segurança que permitem ou negam o tráfego de rede de entrada e saída.

Remover grupos de segurança de rede vazios

Recomendação: Remova grupos de segurança de rede que não estejam associados a qualquer interface ou sub-rede para simplificar o seu ambiente e reduzir a sobrecarga de gestão.

Sobre grupos de segurança de rede vazios

NSGs que não estão associados a nenhuma interface de rede ou sub-rede não estão a filtrar ativamente o tráfego. Estes recursos não utilizados podem acumular-se durante alterações de infraestrutura, adicionando desordem e complicando auditorias de segurança. Removê-los simplifica a gestão da rede e ajuda a manter um ambiente limpo.

Note

Os hubs FinOps podem identificar automaticamente grupos de segurança de rede vazios. Saiba mais.

Identificar grupos de segurança de rede vazios

Use a seguinte consulta ARG para identificar NSGs não associados a qualquer interface de rede ou sub-rede.

resources
| where type =~ 'microsoft.network/networksecuritygroups'
| where isnull(properties.networkInterfaces) and isnull(properties.subnets)
| project
    ResourceId = tolower(id),
    ResourceName = name,
    Region = location,
    ResourceGroupName = resourceGroup,
    SubscriptionId = subscriptionId

DNS Privado

A seção a seguir fornece uma consulta ARG para DNS privado. Ele ajuda você a obter informações sobre seus recursos de DNS privado e garantir que eles estejam configurados com as configurações apropriadas.

Consulta: DNS privado

Esta consulta ARG analisa zonas DNS privadas dentro do seu ambiente do Azure para identificar qualquer uma sem Links de Rede Virtual.

Categoria

Otimização

Consulta

resources
| where type == "microsoft.network/privatednszones"
    and properties.numberOfVirtualNetworkLinks == 0
| project id, PrivateDNSName=name,
    NumberOfRecordSets = tostring(properties.numberOfRecordSets),
    resourceGroup = tostring(strcat('/subscriptions/', subscriptionId, '/resourceGroups/', resourceGroup)),
    vNets = tostring(properties.properties.numberOfVirtualNetworkLinks),
    subscriptionId

Endereço IP público

Os endereços IP públicos do Azure permitem que os recursos do Azure comuniquem com a internet e outros serviços públicos do Azure. Endereços IP públicos são atribuídos a recursos como máquinas virtuais, balanceadores de carga e gateways de aplicação. Endereços IP públicos estáticos geram custos, estejam ou não associados a um recurso.

Recursos relacionados:

Atualizar IPs públicos básicos

Recomendação: Atualize os endereços IP públicos usando o SKU Básico retirado para Standard para melhor segurança e suporte contínuo.

Sobre IPs públicos básicos

O SKU Básico para endereços IP públicos do Azure foi descontinuado em 30 de setembro de 2025. IPs públicos básicos não têm redundância de zonas, não suportam preferência de roteamento e estão abertos ao tráfego de entrada por defeito. A atualização para o SKU Standard proporciona redundância de zona, comportamento seguro por predefinição (fechado ao tráfego de entrada) e suporte para preferências de roteamento.

Note

Os hubs FinOps podem identificar automaticamente IPs públicos básicos. Saiba mais.

Identificar IPs públicos básicos

Use a seguinte consulta ARG para identificar endereços IP públicos usando o SKU Básico.

resources
| where type =~ 'microsoft.network/publicipaddresses'
| where sku.name =~ 'Basic'
| project
    ResourceId = tolower(id),
    ResourceName = name,
    SKUName = tostring(sku.name),
    AllocationMethod = tostring(properties.publicIPAllocationMethod),
    Region = location,
    ResourceGroupName = resourceGroup,
    SubscriptionId = subscriptionId

Remover endereços IP públicos inativos

Recomendação: Remover endereços IP públicos estáticos não ligados para evitar custos de rede desnecessários.

Sobre endereços IP públicos ociosos

Endereços IP públicos estáticos geram custos independentemente de estarem associados a um recurso. Os IPs públicos não associados podem acumular-se ao longo do tempo, à medida que os recursos são eliminados, mas os respetivos endereços IP públicos permanecem. Identificar e remover estes recursos órfãos pode reduzir custos desnecessários.

Note

Os hubs FinOps podem identificar automaticamente endereços IP públicos não ligados. Saiba mais.

Identificar endereços IP públicos inativos

Use a seguinte consulta ARG para identificar endereços IP públicos estáticos não ligados, incluindo aqueles associados a interfaces de rede não ligadas.

resources
| where type =~ 'Microsoft.Network/publicIPAddresses'
    and isempty(properties.ipConfiguration)
    and isempty(properties.natGateway)
    and properties.publicIPAllocationMethod =~ 'Static'
| extend
    PublicIpId = id,
    IPName = name,
    AllocationMethod = tostring(properties.publicIPAllocationMethod),
    SKUName = sku.name,
    Location = location,
    resourceGroup = strcat('/subscriptions/', subscriptionId, '/resourceGroups/', resourceGroup)
| project PublicIpId, IPName, SKUName, resourceGroup, Location, AllocationMethod, subscriptionId
| union (
    Resources
    | where type =~ 'microsoft.network/networkinterfaces'
        and isempty(properties.virtualMachine)
        and isnull(properties.privateEndpoint)
        and isnotempty(properties.ipConfigurations)
    | extend IPconfig = properties.ipConfigurations
    | mv-expand IPconfig
    | extend PublicIpId= tostring(IPconfig.properties.publicIPAddress.id)
    | project PublicIpId
    | join (
        resource
        | where type =~ 'Microsoft.Network/publicIPAddresses'
        | extend
            PublicIpId = id,
            IPName = name,
            AllocationMethod = tostring(properties.publicIPAllocationMethod),
            SKUName = sku.name,
            resourceGroup,
            Location = location
    ) on PublicIpId
    | project
        PublicIpId,
        IPName,
        SKUName,
        resourceGroup,
        Location,
        AllocationMethod,
        subscriptionId
)

Consulta: Identificar o método de roteamento de endereços IP públicos

Esta consulta ARG analisa endereços IP públicos e identifica o método de roteamento, o método de alocação e a SKU. Ele também analisa outros detalhes de endereços IP públicos que estão associados a uma configuração IP.

Categoria

Otimização

Consulta

resources
| where type =~ 'Microsoft.Network/publicIPAddresses'
    and isnotempty(properties.ipConfiguration)
| where tostring(properties.ipTags) == "[]"
| extend
    PublicIpId = id,
    RoutingMethod = id,
    IPName = name,
    AllocationMethod = tostring(properties.publicIPAllocationMethod),
    SKUName = sku.name,
    Location = location,
    resourceGroup = strcat('/subscriptions/', subscriptionId, '/resourceGroups/', resourceGroup)
| project
    PublicIpId,
    IPName,
    RoutingMethod,SKUName,
    resourceGroup,
    Location,
    AllocationMethod,
    subscriptionId

Consulta: Verifique a política de proteção contra DDoS de endereços IP públicos

Se você precisar proteger menos de 15 recursos IP públicos, a camada de proteção IP é a opção mais econômica. No entanto, se você tiver mais de 15 recursos IP públicos para proteger, a camada de proteção de rede se tornará mais econômica.

Categoria

Otimização

Consulta

resources
| where type == "microsoft.network/publicipaddresses"
| project ddosProtection = tostring(properties.ddosSettings), name
| where ddosProtection has "Enabled"
| count
| project TotalIpsProtected = Count
| extend CheckIpsProtected = iff(TotalIpsProtected >= 15, "Enable Network Protection tier", "Enable PIP DDoS Protection")

Gateway de Rede Virtual

Os Rede Virtual do Azure Gateways fornecem conectividade entre as suas redes virtuais Azure e a infraestrutura local. Os gateways incorrem em cobranças horárias com base no seu SKU.

Recursos relacionados:

Remova gateways de VNet inativos

Recomendação: Remova gateways de rede virtuais que não tenham ligações ativas para evitar custos desnecessários.

Sobre gateways VNet inativos

Os gateways de rede virtual implicam custos horários com base no respetivo nível de SKU, independentemente de serem utilizados ativamente. Gateways sem qualquer ligação não fornecem conectividade entre instalações e representam despesa desperdiçada. Estes gateways inativos podem permanecer após uma migração ou quando os requisitos de conectividade mudam.

Note

Os hubs FinOps podem identificar automaticamente gateways VNet inativos. Saiba mais.

Identificar gateways de VNet inativos

Use a seguinte consulta ARG para identificar gateways virtuais de rede sem quaisquer ligações ativas.

resources
| where type == "microsoft.network/virtualnetworkgateways"
| extend resourceGroup = strcat('/subscriptions/', subscriptionId, '/resourceGroups/', resourceGroup)
| project id, GWName=name, resourceGroup, location, subscriptionId
| join kind = leftouter(
    resources
    | where type == "microsoft.network/connections"
    | extend id = tostring(properties.virtualNetworkGateway1.id)
    | project id
) on id
| where isempty(id1)
| project
    id,
    GWName,
    resourceGroup,
    location,
    subscriptionId,
    status=id

Enviar comentários

Dê-nos a sua opinião com uma breve avaliação. Usamos essas análises para melhorar e expandir as ferramentas e os recursos do FinOps.

Enviar comentários

Se você está procurando algo específico, vote em uma ideia existente ou crie uma nova. Partilhe ideias com outras pessoas para obter mais votos. Focamo-nos nas ideias mais votadas.

Votar ou sugerir ideias


Conteúdos relacionados

Recursos relacionados:

Soluções relacionadas:


  • Last updated on