Azure dla firm Warszawa

Co dzieje się ze środowiskiem, gdy spółka wchodzi do grupy kapitałowej

Rozmowa o Azure w warszawskiej spółce rzadko zaczyna się od porównania platform. Zaczyna się od dokumentu przysłanego przez nowego właściciela albo przez dział bezpieczeństwa spółki matki. Dokument ma zwykle kilkanaście punktów, jest napisany ogólnie i kończy się terminem.

Punkty powtarzają się niezależnie od branży. Jedno konto na osobę w całej organizacji. Drugi składnik przy logowaniu, bez wyjątków dla zarządu. Brak kont współdzielonych. Uprawnienia nadawane rolami. Dane przetwarzane w Unii Europejskiej. Zdarzenia dostępne na żądanie. Ktoś odpowiedzialny imiennie za środowisko.

Żaden z tych punktów nie mówi „Azure”. Kierunek bierze się z czegoś innego: jeśli poczta i pakiet biurowy stoją już u Microsoftu, to tam mieszka lista pracowników, a każda platforma dokładana obok tej listy oznacza drugie miejsce, w którym trzeba zakładać i zamykać konta. Przy terminie liczonym w tygodniach przeważa to nad różnicami między dostawcami.

Jak przekładamy listę wymagań na ustawienia

Punkt z listy grupy	Co ustawiamy w praktyce	Czego to nie załatwia
Jedno konto na osobę	Entra ID jako źródło tożsamości, powiązanie z domeną lokalną	systemów branżowych z własną listą użytkowników
Logowanie dwuskładnikowe	wymóg dla wszystkich, metody uzgodnione z zespołem	telefonów prywatnych, na które nikt nie chce instalować aplikacji
Brak kont współdzielonych	tożsamość urządzenia dla stanowisk wspólnych, logowanie kartą albo kodem	przyzwyczajeń, które trzeba zmienić rozmową, nie ustawieniem
Uprawnienia rolami	role wbudowane i własne, przypisania przez grupy	uprawnień wewnątrz aplikacji, nadawanych przez ich administratorów
Dane w Unii Europejskiej	wskazany region, blokada replikacji, dokumenty powierzenia	usług dodatkowych, które grupa kupuje osobno
Zdarzenia na żądanie	zbieranie poza subskrypcją produkcyjną, wydłużona retencja	okresu sprzed wdrożenia, którego nikt już nie odtworzy

Trzecia kolumna jest tą, dla której ta tabela w ogóle powstaje. Lista wymagań przysłana z centrali zwykle zakłada, że spółka zależna jest zbudowana tak samo jak reszta grupy. Wskazanie miejsc, w których tak nie jest, na starcie jest tańsze niż tłumaczenie się z nich pół roku później.

Dlaczego tożsamość jest pierwsza, a maszyny czwarte

Ponieważ każdy kolejny element zależy od tego, kto ma do niego dostęp. Przeniesienie maszyny do środowiska, w którym uprawnienia są jeszcze nieuporządkowane, oznacza, że po uporządkowaniu trzeba nadać je drugi raz. Kolejność jest więc stała: konta i role, zasady logowania, sieć, a dopiero potem maszyny i aplikacje.

Przy pracy hybrydowej ta pierwsza warstwa robi się bardziej rozbudowana, niż zakłada dokument z centrali. W stołecznej spółce ta sama osoba loguje się w poniedziałek z biura, we wtorek z domu, w środę z siedziby klienta, a co kilka tygodni z zagranicy. Reguła oparta na adresie sieciowym nie obsłuży takiego układu, a reguła oparta na kraju obsłuży go źle. Działa dopiero zestaw warunków patrzący na urządzenie, sposób potwierdzenia tożsamości i to, czy próba pasuje do sposobu pracy tej osoby.

Kto zachowuje pełne uprawnienia

Wskazane osoby po Waszej stronie, niezależnie od tego, kto prowadzi środowisko na co dzień. Zapisujemy to na piśmie przed startem, bo to pytanie wraca w najgorszym możliwym momencie, czyli przy zmianie dostawcy albo przy sporze z grupą.

Nasze konta pracują na rolach o zakresie wynikającym z umowy, a uprawnienia właściciela podnosimy na czas zadania, z zapisem powodu. To samo dotyczy osób z grupy: wgląd tak, prawo zmiany tylko tam, gdzie ktoś świadomie je nadał. Środowisko, w którym pełne uprawnienia ma sześć osób z trzech firm, przestaje odpowiadać na pytanie, kto co zmienił, mniej więcej po kwartale.

Zgłoszenia bieżące, czyli nowa osoba, nowe urządzenie, dostęp dla serwisu producenta na kilka dni, obsługuje helpdesk od poniedziałku do piątku w godzinach 8:00 do 18:00 i tylko w tym oknie biegnie umówiony czas reakcji. Monitoring środowiska zbiera zdarzenia bez przerwy, także nocą.

Kiedy odradzamy Azure mimo nacisku z góry

Gdy spółka nie ma Microsoft 365 i nie ma go mieć, bo wtedy główny argument znika, a rachunek zostaje. Gdy jedyny system, który miałby tam trafić, nie jest wspierany przez producenta poza serwerem stojącym u Was. Gdy wszystkie maszyny pracują pod stałym pełnym obciążeniem i policzenie trzech lat wskazuje na kolokację.

W dwóch pierwszych przypadkach zwykle da się to obronić przed centralą, o ile argument jest policzony, a nie oparty na preferencji zespołu. Trzeci bywa trudniejszy, bo dotyczy pieniędzy, a nie zgodności, i wtedy proponujemy wariant, w którym tożsamość i zasady idą do Microsoftu, a obciążenia zostają tam, gdzie są tańsze.

Co robimy zdalnie, a po co jest biuro na Bielanach

Subskrypcję prowadzi się z konsoli i z repozytorium, więc odległość nie ma tu znaczenia. Biuro przy Jerzego Waldorffa 24 przydaje się przy dwóch rzeczach: przy pierwszym rozłożeniu wymagań grupy na czynniki, kiedy po Waszej stronie przy jednym stole siedzą osoba od IT, ktoś z zarządu i ktoś od zgodności, oraz przy odbiorze, gdy trzeba wspólnie przejść przez to, co powstało. Dojazd do Waszego biura umawiamy wtedy, gdy problem dotyczy sprzętu.

Czego ta opieka nie obejmuje

Nie odsprzedajemy licencji ani zasobów. Umowa z Microsoftem jest Wasza, faktura przychodzi wprost do Was, a nasza obejmuje pracę. Nie odpowiadamy za wymagania narzucone przez grupę ani za ich interpretację prawną, choć rozpisujemy je na ustawienia i mówimy, czego nie da się spełnić w zastanym środowisku.

Bieżące prowadzenie zasobów niezależnie od platformy opisuje administracja chmurą, a układ, w którym część systemów zostaje na miejscu, prowadzimy jako chmurę hybrydową. Wyprowadzenie poczty i plików z własnego serwera to migracja do chmury, a ślad zmian w środowisku bierze się z infrastruktury jako kodu. Zakres ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026