Todo mundo começa no Azure do mesmo jeito: uma subscription só, tudo jogado num resource group chamado rg-teste, e a senha de owner circulando no chat do time. Funciona por uns meses. Depois vem a fatura, o incidente de segurança ou o auditor, e a bagunça cobra juros.
Governança no Azure não é burocracia de empresa grande. É o que separa a nuvem que você controla da nuvem que te controla. Seguem as práticas que valem o esforço.
Organize a casa antes de convidar gente
Subscription não é pasta, é fronteira. Fronteira de billing, de quota e de política. Antes de sair criando recurso, desenhe a hierarquia de management groups: um grupo raiz, e abaixo dele divisões por ambiente (prod, não-prod) ou por área de negócio.
A graça está no Azure Policy aplicado no nível certo: você proíbe regiões fora do Brasil, exige tag em todo recurso ou bloqueia SKUs caras uma vez, no management group, e herda pra tudo que estiver embaixo. Corrigir isso recurso a recurso depois é sofrimento.
RBAC: menos é mais, sempre
Owner é o novo root, e ninguém devia andar por aí com root. RBAC no Azure é granular de propósito: use.
Atribua a role mais fraca que resolve. Quem só lê métrica recebe Reader. Quem mexe em um app recebe Contributor naquele resource group, não na subscription inteira. Prefira grupos do Entra ID a atribuições por pessoa; assim o offboarding é remover do grupo, não caçar permissão espalhada. E para os acessos privilegiados, ative PIM: em vez de Owner permanente, o acesso é elevado sob demanda, com prazo e justificativa. Menos porta aberta, menos dor de cabeça.
Budget não é enfeite: configure antes do susto
A fatura do Azure não te avisa que vai doer. Você é que tem que perguntar.
Cost Management é gratuito e você não usa. Crie budgets por subscription ou por resource group, com alertas em 50%, 80% e 100% do previsto. Ligue as anomaly alerts, que avisam quando o gasto foge do padrão sem você ter que olhar dashboard todo dia. E marque uma reunião de trinta minutos por mês pra abrir o cost analysis, agrupar por tag e achar a VM ligada que ninguém usa desde março. Sempre tem uma.
Gerenciado ganha de VM quase sempre
Toda VM que você sobe é um SO que você patcheia, um disco que você monitora e um backup que você reza pra ter configurado. Escala? Sua responsabilidade.
Antes de criar uma Virtual Machine, pergunte se um serviço gerenciado não resolve. App Service ou Container Apps no lugar de uma VM rodando seu backend. Azure SQL ou PostgreSQL Flexible Server no lugar de um banco que você mesmo instala e mantém. Você paga um pouco mais por hora e economiza horas de operação, além de ganhar patching, alta disponibilidade e escala com um clique. VM é a última opção, não a primeira.
Tag é o imposto que você paga sorrindo
Tag parece frescura até você abrir uma fatura de cinco dígitos e não saber de qual projeto veio.
Defina um punhado de tags obrigatórias e as trate como contrato: owner, environment, costCenter, project. Não confie na boa vontade do time: use Azure Policy pra exigir a tag na criação e até pra herdar do resource group. Com tag consistente, cost analysis, relatório de compliance e caça a recurso órfão viram filtro de um clique em vez de arqueologia.
Nada de portal na unha: Bicep ou Terraform
Recurso criado clicando no portal é recurso que ninguém sabe recriar. É pet, não gado.
Infraestrutura é código. Bicep se você vive no ecossistema Azure e quer algo enxuto e nativo; Terraform se você já tem multi-cloud ou time acostumado com HCL. Tanto faz a ferramenta, o que importa é a regra: mudança em produção passa por commit, revisão e pipeline. Assim você tem histórico do que mudou, replica o ambiente inteiro em outra região quando precisar e para de descobrir configuração no susto. O portal vira ferramenta de leitura, não de escrita.
Governança no Azure não é um projeto de seis meses. É meia dúzia de hábitos aplicados cedo. Faça agora, com dez recursos, e agradece depois com mil. Deixa pra depois e vira dívida com juros compostos na fatura.