Was ist eine Azure-Zielzone?

Die Bereitstellungsphase des Cloud Adoption Framework unterstützt Sie beim Entwurf Ihrer Azure-Landingzone, sodass sie die Anforderungen Ihrer Organisation erfüllt. Eine Azure Landing Zone ist eine bewährte und flexible Architektur für die Verwaltung, Sicherung und Skalierung einer Azure-Umgebung mit mehreren Abonnements. Eine Azure Landungszone besteht aus zwei Komponenten:

• Plattform-Zielzone: Die zentrale Grundlage, die Governance, Sicherheit und gemeinsame Ressourcen für alle Ihre Azure Workloads festlegt.

• Landingzones für Workloads: Die Umgebungen, in denen Workload-Teams Workload-Ressourcen innerhalb der Leitplanken der Plattform-Landingzone bereitstellen und betreiben. Eine Workload ist eine Sammlung von Azure Ressourcen, Code, KI-Modellen, Daten und Infrastruktur, die zusammenarbeiten, um ein definiertes Geschäftsergebnis zu erzielen.

Sie können jede Komponente Ihrer Azure Zielzone auf eine von zwei Arten implementieren:

• Beschleuniger: Von Microsoft bereitgestellte Beschleuniger für Szenarien mit Plattform-Landing-Zone und Workload-Landing-Zone verwenden Infrastruktur als Code, um Azure-Umgebungen auf der Grundlage empfohlener Methoden bereitzustellen.

• Benutzerdefinierter Build: Sie entwerfen und erstellen die Lösung intern oder mit Unterstützung von Microsoft oder Microsoft Partnern.

Für die meisten Organisationen bieten Accelerators den schnellsten Weg zu einer Bereitstellung, die den von Microsoft empfohlenen Vorgehensweisen entspricht.

Azure-Zielzonenarchitektur

Jede Azure Landungszone beginnt mit der Plattformlandungszone. Bevor Sie eine Plattform-Landingzone erstellen, definieren Sie organisatorische Anforderungen für alle Designbereiche der Azure-Landingzone. Diese Entscheidungen bestimmen, wie Sie Ihre Azure Zielzone entwerfen.

Konzeptionelle Architekturen

Konzeptionelle Architekturdiagramme helfen Ihnen, die Kernkomponenten einer Azure Zielzone und deren Zusammenarbeit zu verstehen. Beginnen Sie mit diesen Diagrammen, um die Beziehung zwischen der Plattform-Zielzone, Arbeitsauslastungs-Landungszonen und Microsoft Lösungen zu verstehen.

Konzeptionell

Diagramm einer Schichtenarchitektur. Ein oberstes Banner mit der Bezeichnung "Einheitliche Identität, Sicherheit und Governance" enthält Microsoft Agent 365, Microsoft Defender, Microsoft Entra und Microsoft Purview. Darunter enthält ein großes Azure-Landing-Zone-Feld eine Plattform-Landing-Zone, die mittig über einem Abschnitt für Workload-Landing-Zones angeordnet ist. Der Abschnitt „Workload-Landingzones“ enthält drei Kästen für Workload-Landingzones, die Azure-Workloads darstellen. Unter den Workloads ist ein Feld für Microsoft Foundry und Foundry IQ durch gestrichelte Pfeile mit den Workload-Landingzones verbunden, was auf optionale KI-Funktionen für ausgewählte Workloads hinweist.

Konzeptionelle Architektur einer Azure-Landingzone. Laden Sie eine PowerPoint Datei dieser Architektur herunter.

Konzeptionelle + Unternehmensintegration

Unter der Azure Zielzone werden Microsoft Copilot Studio, Microsoft Fabric und Microsoft 365 als integrierte Geschäfts-, Daten- und KI-Lösungen dargestellt. Unten stellen Datenquellen wie lokale Systeme, Dataverse, Microsoft 365, Azure Workloads und andere Clouds eine Verbindung mit diesen Lösungen her. Bidirektionale Pfeile zeigen die Integration zwischen Datenquellen, Microsoft Plattformen und Azure Workloads an.

Konzeptionelle Azure Zielzonenarchitektur sowie Unternehmensintegration mit Microsoft Lösungen. Laden Sie eine PowerPoint Datei dieser Architektur herunter.

Detailliertes konzeptuelles Konzept

Im Abschnitt "Workload-Zielzonen" wird gezeigt, wie Workloads unter der Azure Zielzonenarchitektur organisiert werden. Workloads werden in "Interne", "Online" und "Lokale Kategorien" gruppiert. Jede Workload erhält eine dedizierte Workload-Zielzone, die alle Umgebungen enthält, die dieser Workload zugeordnet sind. Typische Umgebungen umfassen Entwicklung, Test und Produktion mit jeder Umgebung, die aus einem oder mehreren Azure Abonnements besteht. Beispiele für interne Arbeitsauslastungen sind eine Microsoft Fabric Compute-Zielzone und eine Landungszone für Daten- und KI-Workload, die Dienste wie Azure Machine Learning, Azure Databricks, KI für Azure-Infrastruktur verwendet und Azure Data Lake Storage. Das Diagramm zeigt auch, dass Microsoft Findry-Ressourcen zu Workloadumgebungen hinzugefügt werden können, in denen KI-Funktionen erforderlich sind. Workload-Teams verwalten die Workload-Landing-Zones, die von der Plattform-Landing-Zone getrennt bleiben, welche von Plattform-Teams verwaltet wird.

Detaillierte konzeptionelle Architektur der Azure Landing Zone. Laden Sie eine PowerPoint Datei dieser Architektur herunter.

Detaillierte konzeptionelle + Unternehmensintegration

Unter der Azure Zielzone werden Microsoft Copilot Studio, Microsoft Fabric und Microsoft 365 als integrierte Geschäfts-, Daten- und KI-Lösungen dargestellt. Unten stellen Datenquellen wie lokale Systeme, Dataverse, Microsoft 365, Azure Workloads und andere Clouds eine Verbindung mit diesen Lösungen her. Bidirektionale Pfeile zeigen die Integration zwischen Datenquellen, Microsoft Plattformen und Azure Workloads an.

Detaillierte konzeptionelle Azure Zielzonenarchitektur sowie Unternehmensintegration mit Microsoft Lösungen. Laden Sie eine PowerPoint Datei dieser Architektur herunter.

Referenzarchitekturen

Referenzarchitekturdiagramme zeigen empfohlene Azure Implementierungsmuster und Bereitstellungsmodelle für die Zielzone. Verwenden Sie diese Diagramme, um zu verstehen, wie Verwaltungsgruppen, Abonnements, Netzwerke und Governance-Steuerelemente in Hub-and-Spoke-, Azure Virtual WAN- und anderen Architekturdesigns organisiert sind.

Hub-Spoke

In der Mitte befinden sich einzelne Abonnements als Boxen. Sicherheits- und Verwaltungsabonnements (D, oben links) enthalten Log Analytics Arbeitsbereiche, Microsoft Sentinel und Dashboards. Das Identity-Abonnement umfasst virtuelle Netzwerke mit Domänendiensten und Recovery Services-Tresoren. Das Konnektivitätsabonnement (E) enthält Azure DDoS-Schutz, Azure DNS, VPN/ExpressRoute-Gateways, Azure Firewall und virtuelle Peered Hub-Netzwerke in zwei Regionen. Die Workload-Landing-Zone-Abonnements A2 und P1 (F) umfassen virtuelle Netzwerke der Anwendungen, Ressourcengruppen und Workloadressourcen (G) sowie auf der rechten Seite ein Sandbox-Abonnement (H). Jedes Abonnement wiederholt eine allgemeine Toolsetzeile: Aktionsgruppen, Warnungen, Kostenverwaltung, Rollenzuweisung, Richtlinienzuweisung, Network Watcher, Defender for Cloud und Azure Update Manager.

Azure-Referenzarchitektur einer Landing Zone, die eine Hub-Spoke-Netzwerktopologie zeigt. Laden Sie eine Visio-Datei oder PDF-Datei dieser Architektur herunter.

Virtuelles WAN

In der Mitte befinden sich einzelne Abonnements als Boxen. Sicherheits- und Verwaltungsabonnements (D, oben links) enthalten Log Analytics Arbeitsbereiche, Microsoft Sentinel und Dashboards. Das Identity-Abonnement umfasst virtuelle Netzwerke mit Domänendiensten und Recovery Services-Tresoren. Das Konnektivitätsabonnement (E) enthält Azure DDoS-Schutz, Azure DNS, Azure Firewall und zwei Azure Virtual WAN Hubs (Region 1 und Region N) mit VPN/ExpressRoute-Gateways. VWAN Hub-Verbindungslinien verknüpfen diese Hubs mit virtuellen Netzwerken für die Workload-Zielzone. Die Workload-Zielzone-Abonnements A2 und P1 (F) umfassen virtuelle Netzwerke für Anwendungen, Ressourcengruppen und Workload-Ressourcen (G) sowie rechts ein Sandbox-Abonnement (H). Jedes Abonnement wiederholt eine allgemeine Toolsetzeile: Aktionsgruppen, Warnungen, Kostenverwaltung, Rollenzuweisung, Richtlinienzuweisung, Network Watcher, Defender for Cloud und Azure Update Manager.

Azure-Referenzarchitektur einer Landing Zone mit einer Azure Virtual WAN-Netzwerktopologie. Laden Sie eine Visio-Datei oder PDF-Datei dieser Architektur herunter.

Verwaltungsgruppenhierarchie

In der folgenden Gruppe „Abonnements“ wird jede Verwaltungsgruppe mit ihren Abonnements verknüpft. Sicherheits-, Verwaltungs-, Identitäts- und Konnektivitätsverwaltungsgruppen sind jeweils einem übereinstimmenden Abonnement mit demselben Namen zugeordnet. Corp stellt eine Verbindung mit der Workload-Zielzone A1, der Workload-Zielzone P1 und den Abonnements für die Workload-Landungszone A2 bereit. Local ist mit dem Workload-Landing-Zone-C1-Abonnement (Azure Local Clusters) und dem Workload-Landing-Zone-A1-Abonnement (Anwendungen) verbunden. „Stillgelegt“ wird dem Abonnement „Stillgelegt“ zugeordnet, und „Sandbox“ wird den Abonnements „Sandbox 1“ und „Sandbox 2“ zugeordnet. Unter der Online-Verwaltungsgruppe wird kein Abonnement angezeigt.

Basis-Verwaltungsgruppenhierarchie der Azure Landing Zone Laden Sie eine Visio-Datei dieser Architektur herunter.

Plattform- vs. Workload-Landungszonen

Die zentralen und oberen Strukturen bleiben unbeschattet, oben ist die Abrechnungshierarchie für das Enterprise Agreement/die Microsoft-Kundenvereinbarung (A), Identitäts- und Zugriffsverwaltung (B), Microsoft Entra ID mit lokalen Active Directory Domain-Services und Git-Repository, Boards und Pipelines.

Plattform-Zielzone im Vergleich zu Workload-Landezonen in der Azure Zielzonenreferenzarchitektur. Laden Sie eine Visio-Datei oder PDF-Datei dieser Architektur herunter.

Plattform-Landing Zone

Die Plattform-Landing-Zone schafft die Azure-Grundlage für Ihre Organisation. Es definiert, wie Sie Ihre Azure Ressourcen organisieren, Governance erzwingen und gemeinsam genutzte Funktionen zentral bereitstellen. Die meisten Organisationen sollten nur eine Plattform-Zielzone pro Microsoft Entra Mandanten haben.

Eine Plattform-Landingzone besteht aus einer Verwaltungsgruppenhierarchie und zentralen Ressourcen (je nach Bedarf). Eine wichtige Funktion der Plattform besteht darin, eine Möglichkeit zum Verteilen von Workload-Landungszonen an Workloadteams zu haben.

• Verwaltungsgruppenhierarchie: Die Verwaltungsgruppenhierarchie stellt die Governancestruktur für die Azure Umgebung bereit. Es organisiert alle Ihre Azure-Abonnements und wendet Governancestandards auf diese Abonnements an. Die Hierarchie trennt Plattformressourcen und Arbeitsauslastungsressourcen. Mit einer gut gestalteten Hierarchie können Sie Governancestandards konsistent anwenden, ohne unnötige Administrative Komplexität zu schaffen.

• Zentrale Ressourcen: Viele Organisationen stellen bestimmte Funktionen zentral bereit, damit jede Workload dieselben genehmigten Dienste und Standards verwenden kann. Häufige Beispiele sind Konnektivität und Netzwerk, Sicherheitsüberwachung, Active Directory Identitätsdienste und Verwaltungsdienste. Was Sie zentralisieren, hängt von Ihren Anforderungen ab. Zentralisieren Sie nur Funktionen, die über mehrere Workloads hinweg eindeutige Governance-, operative oder wirtschaftliche Vorteile bieten.

• Verteilung der Workload-Zielzone: Sie benötigen einen wiederholbaren Prozess zum Anfordern, Erstellen und Verteilen von Workload-Zielzonen an Workloadteams. Ein standardisierter Ansatz stellt sicher, dass jede neue Workload-Zielzone den Governance- und Sicherheitsgrundwerten Ihrer Organisation folgt. Sie können diesen Vorgang manuell ausführen oder automatisieren. Mit der steigenden Zahl von Anfragen für Workload-Landing-Zones wird die Automatisierung immer wichtiger. Siehe Aboverkauf.

Implementierungsoptionen: Microsoft bietet mehrere Plattform-Zielzonenbeschleuniger, die empfohlene Architekturmuster und organisatorische Schutzläufe implementieren. Siehe Implementierungsoptionen für die Plattform-Zielzone. Sie können auch ihre eigene Implementierung entwickeln oder mit Microsoft oder Microsoft Partnern zusammenarbeiten, um eine angepasste Plattform-Zielzone zu erstellen.

Workload-Zielzone

Jede Workload verfügt über eine einzelne Workload-Landungszone. Eine Workload-Zielzone enthält alle Umgebungen, die erforderlich sind, um diese Workload zu unterstützen, z. B. Entwicklung, Test und Produktion. Jede Umgebung besteht aus einem oder mehreren Azure Abonnements basierend auf Workloadanforderungen, Teambesitzgrenzen oder Azure Abonnementbeschränkungen. Die Workload-Landing-Zone umfasst alle Azure-Ressourcen, die dem Workload-Team gehören und von ihm über alle Umgebungen hinweg betrieben werden.

Basierend auf den Anforderungen der jeweiligen Workload ordnet das Plattformteam jedes Abonnement der Landingzone dieser Workload entweder der Verwaltungsgruppe Online, Internal ("Corp") oder Local unter der Verwaltungsgruppe "(Application) Landing zones" zu. Jedes Abonnement und seine Azure Ressourcen erben die Governance- und Sicherheitsrichtlinien von den Azure Richtlinien, die auf die Verwaltungsgruppenhierarchie angewendet werden. Dieses Modell bietet konsistente Schutzschienen und ermöglicht flexibilität, arbeitslastspezifische Anforderungen zu erfüllen.

Implementierungsoptionen: Microsoft bietet mehrere Beschleuniger für die Bereitstellung verschiedener Workload-Landing-Zones. Sie können auch Ihren eigenen Ansatz implementieren oder Microsoft oder Microsoft Partner um Unterstützung bitten. Im Azure Architecture Center finden Sie eine Liste der Beschleuniger für Workload-Landing-Zonen.

Technologieakzeptanz in einer Azure Landezone

Eine Azure Zielzone unterstützt neue und neue Technologien, ohne dass Änderungen an der Gesamtarchitektur erforderlich sind. Sie stellen Workloadressourcen unabhängig vom Workloadtyp in Workload-Landingzones bereit, wie etwa KI. Wenn neue Anforderungen entstehen, aktualisieren Sie die Governance- und Sicherheitsrichtlinien in der Zielzone der Plattform. Diese Richtlinien werden dann konsistent in allen Workload-Zielzonen angewendet, wodurch Sie neue Technologien schneller einführen und Konsistenz für alle Workloads dieses Typs beibehalten können.

Die Cloud Adoption Framework bietet Anleitungen für allgemeine Einführungsszenarien, mit denen Sie Ihre Mitarbeiter, Prozesse und Plattform auf eine erfolgreiche Einführung vorbereiten können. Siehe Szenarien.

Nächste Schritte

Entwurfsprinzipien