Bài 7 — Azure — Tổng quan Microsoft Cloud

Mở đầu — vì sao bài này quan trọng

Nếu bạn làm việc trong môi trường doanh nghiệp tại Việt Nam, xác suất rất cao bạn đã dùng Azure mà không nhận ra. Bất kỳ công ty nào đang trả tiền cho Microsoft 365 (Outlook, Teams, SharePoint, OneDrive) đều đã có sẵn một tenant Azure Active Directory — nay gọi là Microsoft Entra ID. Từ điểm tựa đó, hành trình lên cloud của phần lớn tập đoàn, ngân hàng, và công ty bảo hiểm ở Việt Nam thường bắt đầu với Azure, chứ không phải AWS.

Đây chính là lý do bài này quan trọng với bạn trên con đường DevOps. Ở hai bài trước bạn đã nhìn qua hệ sinh thái AWS và GCP. Azure là mảnh ghép thứ ba, và nó có một đặc điểm rất riêng: Azure không chỉ bán hạ tầng, nó bán sự tích hợp với thế giới Microsoft mà doanh nghiệp đã đầu tư hàng chục năm — Windows Server, Active Directory, SQL Server, .NET. Với một kỹ sư DevOps, hiểu Azure nghĩa là mở được cánh cửa vào nhóm khách hàng "enterprise" — nơi lương cao hơn, dự án lớn hơn, và ít cạnh tranh hơn so với thị trường startup vốn nghiêng về AWS/GCP.

Mục tiêu bài này không phải dạy bạn bấm từng nút trên Azure Portal. Mục tiêu là giúp bạn có bản đồ tư duy về Azure: nó gồm những họ dịch vụ nào, mỗi dịch vụ tương đương gì bên AWS, cách tổ chức tài nguyên khác biệt ra sao, và khi nào một doanh nghiệp nên chọn Azure. Có bản đồ này rồi, các bài chuyên sâu phía sau (VM, container, storage, database, networking...) bạn sẽ học nhanh gấp đôi vì đã biết mọi thứ nằm ở đâu.

Khái niệm cốt lõi

Azure là gì và nó khác gì với AWS/GCP

Azure là nền tảng điện toán đám mây của Microsoft, ra mắt công khai năm 2010. Về bản chất, cả ba nhà cung cấp lớn (AWS, GCP, Azure) đều cho bạn thuê ba thứ giống nhau: compute (sức tính toán), storage (lưu trữ), networking (mạng). Điểm khác nằm ở triết lý và điểm mạnh.

• AWS: rộng nhất, nhiều dịch vụ nhất, "sinh ra từ web-scale". Mặc định của startup.
• GCP: mạnh về data, Kubernetes, và AI/ML. Kỹ thuật tinh gọn.
• Azure: mạnh về enterprise và tích hợp Microsoft. Hybrid cloud (kết hợp on-premise với cloud) là sân nhà của Azure.

Nếu công ty của khách hàng đang chạy Windows Server, dùng Active Directory để quản lý nhân viên, và có SQL Server chứa dữ liệu nghiệp vụ — thì Azure gần như luôn là lựa chọn ít ma sát nhất. Đây là lợi thế cạnh tranh cốt lõi mà bạn cần ghi nhớ.

Bản đồ các họ dịch vụ Azure (kèm dịch vụ AWS tương đương)

Dưới đây là bảng đối chiếu — công cụ quan trọng nhất của bài này. Khi bạn đã biết AWS, học Azure chỉ còn là việc "dịch tên":

Bạn không cần thuộc lòng bảng này ngay. Hãy dùng nó như một tấm bản đồ tra cứu. Điều cần nhớ là: mọi khái niệm cloud đều có ở cả ba nhà cung cấp, chỉ khác tên gọi và một vài chi tiết vận hành.

Cách Azure tổ chức tài nguyên — điểm khác biệt lớn nhất cần hiểu

Đây là phần mà người quen AWS hay bị bối rối, nên bạn cần nắm chắc. Azure tổ chức tài nguyên theo một cây phân cấp bốn tầng:

• Management Group (nhóm quản lý) — tầng cao nhất, dùng để áp policy chung cho nhiều subscription. Ví dụ: một tập đoàn có thể tạo Management Group "Production" và "Non-Production".
• Subscription (đăng ký) — đơn vị thanh toán và ranh giới hạn mức (quota). Tương đương "Account" bên AWS. Một công ty thường tách subscription cho từng phòng ban hoặc từng môi trường để quản lý chi phí.
• Resource Group (nhóm tài nguyên) — đây là khái niệm đặc trưng của Azure, AWS không có tương đương trực tiếp. Resource Group là một "thư mục logic" gom các tài nguyên liên quan của cùng một ứng dụng (VM, disk, database, network...) vào một chỗ. Bạn có thể xóa nguyên một Resource Group để dọn sạch toàn bộ ứng dụng chỉ bằng một lệnh.
• Resource (tài nguyên) — từng dịch vụ cụ thể: một VM, một Blob container, một SQL database.

Với người làm DevOps, Resource Group là bạn thân. Nó khiến việc quản lý vòng đời ứng dụng gọn gàng hơn AWS rất nhiều: mỗi môi trường (dev/staging/prod) là một Resource Group, tag chi phí theo Resource Group, dọn dẹp theo Resource Group.

Microsoft Entra ID — trái tim của Azure

Nếu bên AWS trung tâm là IAM, thì bên Azure trung tâm là Microsoft Entra ID (tên cũ: Azure Active Directory). Điểm mấu chốt: Entra ID không chỉ quản lý quyền truy cập tài nguyên cloud, nó còn là hệ thống danh tính cho toàn bộ nhân viên của doanh nghiệp — cùng một tài khoản đăng nhập Teams, Outlook, và Azure Portal. Đây chính là lý do Azure "dính" chặt với các công ty đã dùng Microsoft 365. Chúng ta sẽ đi sâu ở Bài 26–27, nhưng bạn cần biết ngay từ bây giờ: ở Azure, danh tính là ranh giới bảo mật số một.

Tình huống thực tế

Tình huống 1 — Ngân hàng Việt Nam chọn Azure vì đã "khóa" vào Microsoft

Một ngân hàng thương mại cổ phần tầm trung tại TP.HCM, khoảng 4.000 nhân viên, đang vận hành hệ thống nội bộ trên Windows Server và SQL Server đặt tại data center riêng ở quận 1. Toàn bộ email và tài liệu chạy trên Microsoft 365. Khi ban lãnh đạo quyết định đưa hệ thống báo cáo quản trị (BI) lên cloud, đội hạ tầng đứng trước lựa chọn AWS hay Azure.

Diễn giải: Đội đánh giá và nhận ra nếu chọn AWS, họ phải xây dựng lại cơ chế đăng nhập, đồng bộ danh tính từ Active Directory sang IAM, và di chuyển SQL Server sang một nền tảng ít "quen" hơn. Với Azure, họ chỉ cần bật Entra Connect để đồng bộ Active Directory hiện có lên cloud trong vài ngày, dùng lại chính tài khoản nhân viên để đăng nhập, và chuyển SQL Server sang Azure SQL Managed Instance với độ tương thích gần như 100%. Chi phí di trú ước tính giảm khoảng 40% và thời gian triển khai rút từ 5 tháng xuống 2 tháng.

Bài học rút ra: Lựa chọn cloud không thuần túy là so bảng giá dịch vụ. "Chi phí ma sát" — công sức đào tạo lại, viết lại, và tích hợp với những gì đã có — thường quyết định hơn cả. Khi khách hàng đã nằm sâu trong hệ sinh thái Microsoft, Azure gần như thắng mặc định.

Tình huống 2 — Startup fintech Đông Nam Á dùng App Service để đi nhanh

Một startup fintech đặt trụ sở tại Singapore với đội kỹ thuật ở Đà Nẵng, xây ứng dụng chấm điểm tín dụng bằng .NET. Đội chỉ có 6 người, không có ai chuyên về hạ tầng. Họ cần đưa sản phẩm ra thị trường trong 8 tuần để kịp vòng gọi vốn.

Diễn giải: Thay vì tự dựng VM, cài web server, cấu hình load balancer, đội chọn Azure App Service — một dịch vụ PaaS cho phép deploy code .NET chỉ bằng một lệnh az webapp up, tự động lo scaling, HTTPS, và patching hệ điều hành. Cơ sở dữ liệu dùng Azure SQL Database ở tier serverless, tự động tạm dừng khi không có traffic để tiết kiệm tiền. Kết quả: họ ra mắt bản demo sau 6 tuần, hóa đơn Azure tháng đầu chỉ khoảng 180 USD nhờ tận dụng chương trình Azure for Startups (tín dụng miễn phí).

Bài học rút ra: Azure không chỉ dành cho tập đoàn lớn. Với đội nhỏ dùng .NET, tầng PaaS của Azure (App Service, SQL serverless) cho phép "đi nhanh mà không cần đội DevOps". Đừng mặc định rằng cứ startup là phải chọn AWS — hãy chọn theo stack công nghệ và kỹ năng sẵn có của đội.

Tình huống 3 — Bài học đắt giá về Resource Group và quản lý chi phí

Một công ty gia công phần mềm ở Hà Nội nhận dự án cho khách châu Âu, dựng môi trường thử nghiệm trên Azure. Một kỹ sư tạo hàng loạt VM để test, mỗi VM ở một Resource Group riêng đặt tên tùy hứng ("test1", "abc", "final-final"). Ba tuần sau, hóa đơn Azure bất ngờ lên tới hơn 3.200 USD.

Diễn giải: Khi rà soát, team phát hiện nhiều VM cỡ lớn (Standard_D8s) vẫn chạy 24/7 dù không ai dùng, nằm rải rác ở các Resource Group không có quy tắc đặt tên nên rất khó truy vết ai tạo, phục vụ dự án nào. Họ không gắn tag (nhãn chi phí), không đặt budget alert (cảnh báo ngân sách). Sau sự cố, công ty áp dụng quy tắc: mỗi dự án một Resource Group đặt tên chuẩn rg-{duan}-{moitruong}, bắt buộc tag project và owner, bật cảnh báo khi chi phí vượt 500 USD/tháng, và dùng Auto-shutdown để tự tắt VM test lúc 8 giờ tối.

Bài học rút ra: Sức mạnh tổ chức của Resource Group chỉ phát huy khi bạn có kỷ luật đặt tên và gắn tag ngay từ đầu. Cloud tính tiền theo giờ, một VM bị bỏ quên cuối tuần cũng ngốn tiền như một VM đang phục vụ khách. Đây là bài học mà mọi kỹ sư DevOps đều nên thuộc lòng trước khi được tin tưởng cầm chìa khóa subscription.

Hướng dẫn từng bước

Hãy làm quen với Azure một cách thực tế. Bạn có thể đăng ký tài khoản miễn phí (Azure Free Account) với 200 USD tín dụng cho 30 ngày.

• Tạo tài khoản miễn phí. Vào azure.microsoft.com/free, đăng ký bằng email (nên dùng email cá nhân để tách khỏi tài khoản công ty). Cần thẻ tín dụng để xác minh, nhưng Azure không tự trừ tiền khi hết tín dụng nếu bạn ở gói Free.

• Làm quen với ba giao diện quản lý.

- Azure Portal (portal.azure.com): giao diện đồ họa, tốt để học và khám phá. - Azure CLI (az): dòng lệnh, công cụ chính của DevOps. Cài bằng brew install azure-cli (macOS). - Azure PowerShell: phổ biến trong môi trường Windows enterprise.

• Đăng nhập bằng CLI. Chạy az login — trình duyệt sẽ mở ra để xác thực. Sau đó chạy az account show để xem subscription hiện tại.

• Tạo Resource Group đầu tiên. Đây là bước nền tảng của mọi thứ trên Azure:

   az group create --name rg-hoctap-dev --location southeastasia
   

Lưu ý southeastasia là region Singapore — region gần Việt Nam nhất, độ trễ thấp nhất cho người dùng trong nước.

• Tạo một tài nguyên đơn giản để thử. Ví dụ tạo một máy ảo Linux nhỏ:

   az vm create --resource-group rg-hoctap-dev --name vm-test \
     --image Ubuntu2204 --size Standard_B1s --admin-username azureuser \
     --generate-ssh-keys
   

Kích thước Standard_B1s là loại rẻ nhất, đủ để học.

• Bật cảnh báo ngân sách ngay. Trên Portal, vào Cost Management → Budgets, tạo budget 10 USD với cảnh báo email khi đạt 80%. Thói quen này sẽ cứu bạn khỏi những hóa đơn bất ngờ.

• Dọn dẹp khi xong. Điểm đẹp nhất của Resource Group: chỉ một lệnh xóa sạch mọi thứ:

   az group delete --name rg-hoctap-dev --yes
   

Luôn dọn dẹp sau khi thực hành để không bị tính tiền các tài nguyên còn sót.

Lỗi thường gặp & mẹo

• Nhầm lẫn Subscription và Resource Group. Subscription là ranh giới thanh toán và quota; Resource Group chỉ là thư mục logic để gom tài nguyên. Xóa Resource Group không đụng đến Subscription. Nắm rõ khác biệt này để không tổ chức tài nguyên lộn xộn.

• Quên rằng region quyết định độ trễ và tuân thủ dữ liệu. Với người dùng Việt Nam, hãy ưu tiên southeastasia (Singapore) hoặc eastasia (Hong Kong). Azure chưa có data center đặt tại Việt Nam, nên nếu dự án yêu cầu dữ liệu phải lưu trong nước theo Nghị định 13/2023 (PDPL), bạn cần cân nhắc kỹ — chủ đề này sẽ học sâu ở Bài 29.

• Để VM chạy 24/7 khi chỉ dùng để test. Bật tính năng Auto-shutdown cho mọi VM không phải production. Đây là nguồn lãng phí chi phí phổ biến nhất với người mới.

• Bỏ qua Bicep, chỉ click chuột trên Portal. Portal tốt để học, nhưng công việc DevOss thực tế phải làm bằng code (Infrastructure as Code). Azure có Bicep — ngôn ngữ IaC riêng, gọn hơn ARM template JSON rất nhiều. Học Bicep sớm sẽ giúp bạn tự động hóa và tái lập môi trường (chi tiết ở Bài 47).

• Mẹo — dùng Azure Pricing Calculator trước khi tạo tài nguyên lớn. Vào azure.microsoft.com/pricing/calculator, ước tính chi phí trước. Một VM Standard_D8s chạy cả tháng có thể tốn 300–400 USD; biết trước sẽ tránh sốc.

• Mẹo — gắn tag ngay từ tài nguyên đầu tiên. Tối thiểu hai tag: owner (ai tạo) và project (thuộc dự án nào). Kỷ luật này sẽ giúp bạn kiểm soát chi phí khi hệ thống lớn dần.

Bài tập thực hành

• Vẽ bản đồ dịch vụ. Dựa vào bảng đối chiếu trong bài, tự vẽ lại (trên giấy hoặc công cụ vẽ) sơ đồ so sánh 8 dịch vụ cốt lõi giữa Azure và AWS mà bạn thấy dễ nhầm nhất. Mục tiêu là nhìn tên Azure phải bật ra ngay tên AWS tương đương.

• Thực hành CLI. Tạo một tài khoản Azure Free, dùng Azure CLI để: (a) tạo một Resource Group ở region southeastasia, (b) tạo một Storage Account bên trong nó, (c) liệt kê tài nguyên bằng az resource list --resource-group <ten>, và (d) xóa sạch bằng một lệnh az group delete.

• Phân tích tình huống. Giả sử bạn là kỹ sư tư vấn cho một công ty logistics ở Bình Dương, 800 nhân viên, đang dùng Microsoft 365 và có phần mềm quản lý kho viết bằng .NET chạy trên máy chủ nội bộ. Họ hỏi nên chọn AWS hay Azure để chuyển lên cloud. Viết một đoạn 150–200 từ lập luận cho khuyến nghị của bạn, nêu rõ ít nhất ba lý do dựa trên khái niệm đã học.

• Thiết lập kiểm soát chi phí. Trên tài khoản của bạn, tạo một Budget 15 USD với cảnh báo ở mức 50% và 90%. Chụp màn hình cấu hình để tự lưu lại như một checklist chuẩn cho các dự án sau.

Tóm tắt

Azure là nền tảng cloud của Microsoft với thế mạnh cốt lõi là enterprise và tích hợp sâu với hệ sinh thái Microsoft — Windows Server, Active Directory, SQL Server, Microsoft 365, .NET. Với kỹ sư DevOps tại Việt Nam, Azure là tấm vé bước vào nhóm khách hàng doanh nghiệp lớn: ngân hàng, bảo hiểm, tập đoàn — nơi đã đầu tư nặng vào công nghệ Microsoft và chọn Azure gần như mặc định.

Ba điều cần khắc cốt sau bài này: Thứ nhất, mọi dịch vụ cloud đều có ở cả ba nhà cung cấp, chỉ khác tên — hãy dùng bảng đối chiếu Azure–AWS làm bản đồ tra cứu. Thứ hai, Azure tổ chức tài nguyên theo cây bốn tầng Management Group → Subscription → Resource Group → Resource, trong đó Resource Group là khái niệm đặc trưng giúp quản lý vòng đời ứng dụng gọn gàng. Thứ ba, Microsoft Entra ID là trung tâm danh tính — danh tính chính là ranh giới bảo mật số một của Azure.

Cuối cùng, đừng quên bài học chi phí: cloud tính tiền theo giờ, kỷ luật đặt tên, gắn tag, và bật cảnh báo ngân sách phải có ngay từ tài nguyên đầu tiên. Với nền tảng này, bạn đã sẵn sàng đi sâu vào từng dịch vụ cụ thể — compute, storage, database, networking — ở các bài tiếp theo, và mỗi lần gặp một dịch vụ Azure mới, bạn chỉ cần hỏi "cái này tương đương gì bên AWS?" là đã hiểu được một nửa.