¿Qué es una zona de aterrizaje de Azure?

La fase De preparación del Cloud Adoption Framework le ayuda a diseñar la zona de aterrizaje de Azure para satisfacer los requisitos de su organización. Una zona de aterrizaje de Azure es una arquitectura probada y flexible para gobernar, proteger y escalar un entorno de Azure de varias suscripciones. Una zona de aterrizaje de Azure consta de dos componentes:

• Zona de aterrizaje de la plataforma: La base centralizada que establece la gobernanza, la seguridad y los recursos compartidos para todas las cargas de trabajo de Azure.

• Zonas de aterrizaje de aplicación (carga de trabajo): Entornos en los que los equipos de carga de trabajo implementan y operan recursos de carga de trabajo dentro de las barreras de protección de la zona de aterrizaje de la plataforma. Una carga de trabajo es una colección de recursos Azure, código, modelos de IA, datos e infraestructura que funcionan conjuntamente para lograr un resultado empresarial definido.

Puede implementar cada componente de la zona de aterrizaje de Azure de una de estas dos maneras:

• Aceleradores: los aceleradores proporcionados por Microsoft para escenarios de zona de aterrizaje de plataforma y zona de aterrizaje de aplicaciones usan la infraestructura como código para implementar entornos de Azure en función de los procedimientos recomendados.

• Compilación personalizada: diseñe y compile la solución internamente o con soporte técnico de asociados de Microsoft o Microsoft.

Para la mayoría de las organizaciones, los aceleradores proporcionan la ruta de acceso más rápida a una implementación que se alinea con los procedimientos recomendados de Microsoft.

Arquitectura de la zona de aterrizaje de Azure

Cada zona de aterrizaje de Azure empieza por la zona de aterrizaje de la plataforma. Antes de crear una zona de aterrizaje de plataforma, defina los requisitos de la organización en las áreas de diseño de la zona de aterrizaje de Azure. Estas decisiones determinan cómo diseñar la zona de aterrizaje de Azure.

La arquitectura de referencia de zona de aterrizaje Azure representa una arquitectura de destino recomendada. Úselo como punto de partida y adáptelo para satisfacer los requisitos de su organización.

Conceptual

Las líneas discontinuas de abajo conectan el recuadro de Azure con Microsoft Copilot Studio, Microsoft Fabric (Fabric IQ) y Microsoft 365 (Microsoft 365 Copilot, Work IQ). Una fila inferior con la etiqueta "Todos los orígenes de datos" muestra las listas locales, Dataverse, Microsoft 365, Azure cargas de trabajo y otras nubes.

Concentrador y radio

En la zona central hay suscripciones individuales en forma de cuadros. Las suscripciones de seguridad y gestión (D, parte superior izquierda) contienen áreas de trabajo de Log Analytics, Microsoft Sentinel y paneles. La suscripción de identidad alberga redes virtuales con servicios de dominio y almacenes de servicios de recuperación. La suscripción de conectividad (E) incluye Azure DDoS Protection, Azure DNS, puertas de enlace de VPN/ExpressRoute, Azure Firewall y redes virtuales de centro de conectividad emparejadas en dos regiones. La zona de aterrizaje de la aplicación A2 y las suscripciones P1 (F) contienen redes virtuales de aplicaciones, grupos de recursos y recursos de carga de trabajo (G) y una suscripción de espacio aislado (H) a la derecha. Cada suscripción repite una fila común del conjunto de herramientas: Grupos de acciones, alertas, Administración de costos, asignación de roles, asignación de directivas, Network Watcher, Defender for Cloud y Administrador de actualizaciones de Azure.

Arquitectura de zona de aterrizaje de Azure que utiliza una topología de red de concentrador y radios. Descargue un archivo de Visio o un archivo PDF de esta arquitectura.

Virtual WAN

En la zona central hay suscripciones individuales en forma de cuadros. Las suscripciones de seguridad y gestión (D, parte superior izquierda) contienen áreas de trabajo de Log Analytics, Microsoft Sentinel y paneles. La suscripción de identidad alberga redes virtuales con servicios de dominio y almacenes de servicios de recuperación. La suscripción de conectividad (E) contiene Azure DDoS Protection, Azure DNS, Azure Firewall y dos centros de conectividad de Azure Virtual WAN (región 1 y región N) con puertas de enlace VPN/ExpressRoute. Las líneas de conexión del centro de VWAN vinculan estos centros a las redes virtuales de la zona de aterrizaje de la aplicación. La zona de aterrizaje de la aplicación A2 y las suscripciones P1 (F) contienen redes virtuales de aplicaciones, grupos de recursos y recursos de carga de trabajo (G) y una suscripción de espacio aislado (H) a la derecha. Cada suscripción repite una fila común del conjunto de herramientas: Grupos de acciones, alertas, Administración de costos, asignación de roles, asignación de directivas, Network Watcher, Defender for Cloud y Administrador de actualizaciones de Azure.

Arquitectura de zona de aterrizaje de Azure que usa una topología de red de Azure Virtual WAN. Descargue un archivo de Visio o un archivo PDF de esta arquitectura.

Jerarquía de grupo de gestión solamente

En la sección Suscripciones de abajo, cada grupo de administración está vinculado a sus suscripciones. Los grupos de administración de Seguridad, Administración, Identidad y Conectividad se corresponden cada uno con una suscripción correspondiente del mismo nombre. Corp se conecta a las suscripciones de la zona de aterrizaje de la aplicación A1, de la zona de aterrizaje de la aplicación P1 y de la zona de aterrizaje de la aplicación A2. Local se conecta a la suscripción C1 de la zona de aterrizaje de aplicaciones (clústeres de Azure Local) y a la suscripción A1 de la zona de aterrizaje de aplicaciones (Aplicaciones). Decommissioned corresponde a la suscripción Decommissioned, y Sandbox corresponde a Sandbox subscription 1 y Sandbox subscription 2. El grupo de administración en línea no tiene ninguna suscripción que se muestre debajo de ella.

Solo la jerarquía de grupos de administración de la arquitectura de zona de aterrizaje de Azure. Descargue un archivo de Visio o un archivo PDF de esta arquitectura.

Zonas de aterrizaje de plataforma y de aplicación

Las estructuras central y superior permanecen sin sombrear; arriba se muestran la jerarquía de facturación de Enterprise Agreement/Contrato de cliente de Microsoft (A), la administración de identidades y accesos (B), Microsoft Entra ID con Active Directory Domain Services local y el repositorio de Git, los paneles y las canalizaciones.

Solo la jerarquía de grupos de administración de la arquitectura de zona de aterrizaje de Azure. Descargue un archivo de Visio o un archivo PDF de esta arquitectura.

Zona de aterrizaje de la plataforma

La zona de aterrizaje de la plataforma establece la base de Azure de la organización. Define cómo organizar los recursos de Azure, aplicar la gobernanza y proporcionar funcionalidades compartidas de forma centralizada. La mayoría de las organizaciones deberían tener solo una zona de aterrizaje de la plataforma por cada inquilino de Microsoft Entra.

Una zona de aterrizaje de plataforma consta de una jerarquía de grupos de administración y recursos centralizados (según sea necesario). Una función importante de la plataforma es tener una manera de distribuir las zonas de aterrizaje de aplicaciones a los equipos de carga de trabajo.

• Jerarquía de grupos de administración: La jerarquía del grupo de administración proporciona la estructura de gobernanza para el entorno de Azure. Organiza todas las suscripciones de Azure y aplica los estándares de gobernanza a esas suscripciones. La jerarquía separa los recursos de la plataforma y los recursos de carga de trabajo. Una jerarquía bien diseñada le permite aplicar estándares de gobernanza de forma coherente sin crear complejidad administrativa innecesaria.

• Recursos centralizados: Muchas organizaciones proporcionan ciertas funcionalidades de forma centralizada para que todas las cargas de trabajo puedan usar los mismos servicios y estándares aprobados. Entre los ejemplos comunes se incluyen conectividad y redes, supervisión de seguridad, Active Directory servicios de identidad y servicios de administración. Lo que centraliza depende de sus requisitos. Centralice solo las funcionalidades que proporcionan una gobernanza clara, operativa o ventajas económicas en varias cargas de trabajo.

• Responsabilidad de la plataforma clave: Necesita un proceso repetible para solicitar, crear y distribuir zonas de aterrizaje de aplicaciones a los equipos de carga de trabajo. Un enfoque estandarizado garantiza que cada nueva zona de aterrizaje de aplicaciones siga las líneas base de seguridad y gobernanza de su organización. Puede realizar este proceso manualmente o automatizarlo. A medida que crece el número de solicitudes de zona de aterrizaje de aplicaciones, la automatización es cada vez más importante. Consulte Venta de suscripciones.

Opciones de implementación: Microsoft proporciona varios aceleradores de zona de aterrizaje de plataforma que implementan patrones de arquitectura recomendados y barreras de protección organizativas. Consulte Opciones de implementación de la zona de aterrizaje de la plataforma. También puede desarrollar su propia implementación o trabajar con Microsoft o con sus asociados para desarrollar una landing zone de plataforma personalizada.

Zona de aterrizaje de la aplicación

Cada carga de trabajo tiene una sola zona de aterrizaje de aplicación. Una zona de aterrizaje de aplicación contiene todos los entornos necesarios para admitir esa carga de trabajo, como desarrollo, prueba y producción. Cada entorno consta de una o varias suscripciones de Azure en función de los requisitos de carga de trabajo, los límites de propiedad del equipo o los límites de la suscripción de Azure. La zona de aterrizaje de la aplicación incluye todos los recursos Azure que el equipo de carga de trabajo posee y opera en todos los entornos.

En función de los requisitos de la carga de trabajo, el equipo de la plataforma coloca cada suscripción de zona de aterrizaje de la aplicación en el grupo de administración en línea, interno ("Corp") o local en el grupo de administración "(Application) Landing zones". Cada suscripción y sus recursos Azure heredan las directivas de seguridad y gobernanza de las directivas de Azure aplicadas a la jerarquía del grupo de administración. Este modelo proporciona límites de protección coherentes y permite flexibilidad para cumplir los requisitos específicos de la carga de trabajo.

Opciones de implementación: Microsoft proporciona varios aceleradores para implementar diferentes tipos de zonas de aterrizaje de aplicaciones. También puede implementar su propio enfoque o interactuar con Microsoft o Microsoft asociados para obtener ayuda. Consulte el Centro de arquitectura de Azure para obtener una lista de aceleradores de zona de aterrizaje de aplicaciones.

Adopción de la tecnología en una zona de aterrizaje de Azure

Una zona de aterrizaje de Azure admite tecnologías nuevas y emergentes sin necesidad de cambios en la arquitectura general. Los recursos de carga de trabajo se implementan en zonas de aterrizaje de aplicaciones independientemente del tipo de carga de trabajo, como la inteligencia artificial. A medida que surgen nuevos requisitos, se actualizan las directivas de gobernanza y seguridad en la zona de aterrizaje de la plataforma. Estas directivas se aplican de forma coherente en las zonas de aterrizaje de la aplicación, lo que le ayuda a adoptar nuevas tecnologías más rápido y mantener la coherencia en todas las cargas de trabajo de ese tipo.

El Cloud Adoption Framework proporciona instrucciones para escenarios de adopción comunes que le ayudarán a preparar a sus personas, procesos y plataforma para una adopción correcta. Consulte Escenarios.

Pasos siguientes

Principios de diseño