Qu’est-ce qu’une zone d’atterrissage Azure ?

La phase Prêt du Cloud Adoption Framework vous aide à concevoir votre zone d'atterrissage Azure pour répondre aux exigences de votre organisation. Une zone d’atterrissage Azure est une architecture éprouvée et flexible pour la gouvernance, la sécurisation et la mise à l’échelle d’un environnement multi-abonnement Azure. Une zone d’atterrissage Azure se compose de deux composants :

• Zone d’atterrissage de la plateforme : La base centralisée qui établit la gouvernance, la sécurité et les ressources partagées pour toutes vos charges de travail Azure.

• Zones d’atterrissage d’application (charge de travail) : Environnements dans lesquels les équipes de charge de travail déploient et exploitent des ressources de charge de travail dans les garde-fous de la zone d’atterrissage de la plateforme. Une charge de travail est une collection de ressources Azure, de code, de modèles IA, de données et d’infrastructure qui fonctionnent ensemble pour obtenir un résultat métier défini.

Vous pouvez implémenter chaque composant de votre zone d’atterrissage Azure de deux façons :

• Accélérateurs : les accélérateurs fournis par Microsoft pour les scénarios de zone d’atterrissage de plateforme et de zone d’atterrissage d’application utilisent l’infrastructure comme code pour déployer des environnements Azure en fonction des pratiques recommandées.

• Build personnalisée : vous concevez et générez la solution en interne ou avec prise en charge de Microsoft ou de partenaires Microsoft.

Pour la plupart des organisations, les accélérateurs offrent le chemin le plus rapide d'un déploiement qui s'aligne sur les pratiques recommandées par Microsoft.

Architecture de zone d’atterrissage Azure

Chaque zone d’atterrissage Azure commence par la zone d’atterrissage de la plateforme. Avant de créer une zone d’atterrissage de plateforme, définissez les exigences organisationnelles dans les zones de conception de zone d’atterrissage Azure. Ces décisions déterminent la façon dont vous concevez votre zone d’atterrissage Azure.

L’architecture de référence de zone d’atterrissage Azure représente une architecture cible recommandée. Utilisez-le comme point de départ et adaptez-le pour répondre aux exigences de votre organisation.

Conceptuel

Microsoft Fabric se connecte également à Microsoft Foundry, qui fournit des services IA qui peuvent être ajoutés aux environnements de zone d’atterrissage d’application lorsque des fonctionnalités d’IA avancées sont requises. Le diagramme montre Fabric agissant comme base de données centrale qui connecte les sources de données d’entreprise, les services IA, le développement d’agents et les expériences de productivité dans l’écosystème cloud Microsoft.

Hub &Spoke

Au centre se trouvent des abonnements individuels, représentés sous forme de boîtes. Les abonnements de sécurité et de gestion (D, en haut à gauche) contiennent des espaces de travail Log Analytics, des Microsoft Sentinel et des tableaux de bord. L’abonnement Identity contient des réseaux virtuels avec des services de domaine et des coffres de Recovery Services. L’abonnement Connectivité (E) contient Azure DDoS Protection, Azure DNS, des passerelles VPN/ExpressRoute, Pare-feu Azure et des réseaux virtuels hub appairés dans deux régions. Les abonnements A2 et P1 de la zone d’accueil des applications (F) contiennent des réseaux virtuels d’application, des groupes de ressources et des ressources de charge de travail (G), ainsi qu’un abonnement Sandbox (H) sur la droite. Chaque abonnement répète une ligne d’ensemble d’outils courante : groupes d’actions, alertes, gestion des coûts, attribution de rôle, attribution de stratégie, Network Watcher, Defender for Cloud et Gestionnaire de mise à jour Azure.

Architecture de zone d’atterrissage Azure utilisant une topologie réseau hub & spoke. Téléchargez un fichier Visio ou un fichier PDF de cette architecture.

Virtual WAN

Au centre se trouvent des abonnements individuels, représentés sous forme de boîtes. Les abonnements de sécurité et de gestion (D, en haut à gauche) contiennent des espaces de travail Log Analytics, des Microsoft Sentinel et des tableaux de bord. L’abonnement Identity contient des réseaux virtuels avec des services de domaine et des coffres de Recovery Services. L’abonnement Connectivité contient Azure protection DDoS, Azure DNS, Pare-feu Azure et deux hubs Azure Virtual WAN (région 1 et région N) avec des passerelles VPN/ExpressRoute. Les lignes de connexion au hub VWAN lient ces hubs aux réseaux virtuels de la zone d’atterrissage de l’application. Les abonnements A2 et P1 de la zone d’accueil des applications (F) contiennent des réseaux virtuels d’application, des groupes de ressources et des ressources de charge de travail (G), ainsi qu’un abonnement Sandbox (H) sur la droite. Chaque abonnement répète une ligne d’ensemble d’outils courante : groupes d’actions, alertes, gestion des coûts, attribution de rôle, attribution de stratégie, Network Watcher, Defender for Cloud et Gestionnaire de mise à jour Azure.

Architecture de zone d’atterrissage Azure utilisant une topologie réseau Azure Virtual WAN. Téléchargez un fichier Visio ou un fichier PDF de cette architecture.

Hiérarchie des groupes d’administration uniquement

Dans la section Abonnements ci-dessous, chaque groupe d’administration est associé à ses abonnements. Les groupes d’administration Sécurité, Gestion, Identité et Connectivité correspondent chacun à un abonnement correspondant portant le même nom. Corp se connecte à la zone d’atterrissage de l’application A1, à la zone d’atterrissage de l’application P1 et aux abonnements de la zone d’atterrissage de l’application A2. Local se connecte à l’abonnement C1 de la zone d’atterrissage de l’application (clusters Azure Local) et à l’abonnement A1 de la zone d’atterrissage de l’application (applications). Désactivé correspond à un abonnement Désactivé, et Bac à sable correspond aux abonnements Bac à sable 1 et Bac à sable 2. Le groupe d’administration en ligne n’a pas d’abonnement affiché sous celui-ci.

Hiérarchie des groupes d’administration de l’architecture de la zone d’atterrissage Azure uniquement. Téléchargez un fichier Visio de cette architecture.

Zones d’atterrissage de plateforme et d’application

Les structures centrales et supérieures restent non ombrées ; au-dessus figurent la hiérarchie de facturation de l’Accord Entreprise/Contrat client Microsoft (A), la gestion des identités et des accès (B), Microsoft Entra ID avec services de domaine Active Directory sur site, ainsi que le référentiel Git, les tableaux et les pipelines.

Hiérarchie des groupes d’administration de l’architecture de zone d’atterrissage Azure uniquement. Téléchargez un fichier Visio ou un fichier PDF de cette architecture.

Zone d’atterrissage de la plateforme

La zone d'atterrissage de la plateforme établit la base Azure de votre organisation. Il définit la façon dont vous organisez vos ressources Azure, appliquez la gouvernance et fournissez des fonctionnalités partagées de manière centralisée. La plupart des organisations ne doivent avoir qu’une seule zone d’atterrissage de plateforme par locataire Microsoft Entra.

Une zone d’atterrissage de plateforme se compose d’une hiérarchie de groupe d’administration et de ressources centralisées (si nécessaire). Une fonction importante de la plateforme consiste à avoir un moyen de distribuer des zones d’atterrissage d’application aux équipes de charge de travail.

• Hiérarchie des groupes d’administration : La hiérarchie des groupes d’administration fournit la structure de gouvernance pour l’environnement Azure. Il organise tous vos abonnements Azure et applique des normes de gouvernance à ces abonnements. La hiérarchie sépare les ressources de la plateforme et les ressources de charge de travail. Une hiérarchie bien conçue vous permet d’appliquer des normes de gouvernance de manière cohérente sans créer de complexité administrative inutile.

• Ressources centralisées : De nombreuses organisations fournissent certaines fonctionnalités de manière centralisée afin que chaque charge de travail puisse utiliser les mêmes services et normes approuvés. Les exemples courants incluent la connectivité et la mise en réseau, la surveillance de la sécurité, les services d’identité Active Directory et les services de gestion. Ce que vous centralisons dépend de vos besoins. Centralise uniquement les fonctionnalités qui fournissent des avantages économiques, opérationnels ou de gouvernance clairs sur plusieurs charges de travail.

• Responsabilité clé de la plateforme : Vous avez besoin d’un processus reproductible pour demander, créer et distribuer des zones d’atterrissage d’application aux équipes de charge de travail. Une approche standardisée garantit que chaque nouvelle zone d’atterrissage d’application suit les bases de référence de gouvernance et de sécurité de votre organisation. Vous pouvez effectuer ce processus manuellement ou l’automatiser. À mesure que le nombre de demandes de zone d’atterrissage d’application augmente, l’automatisation devient de plus en plus importante. Consultez Vente d’abonnements.

Options d’implémentation : Microsoft fournit plusieurs accélérateurs de zone d’atterrissage de plateforme qui implémentent des modèles d’architecture recommandés et des garde-fous organisationnels. Consultez les options d’implémentation de zone d’atterrissage de la plateforme. Vous pouvez également développer votre propre implémentation ou travailler avec Microsoft ou Microsoft partenaires pour créer une zone d’atterrissage de plateforme personnalisée.

Zone d’atterrissage de l’application

Chaque charge de travail dispose d’une seule zone d’accueil des applications. Une zone d’atterrissage d’application contient tous les environnements requis pour prendre en charge cette charge de travail, comme le développement, le test et la production. Chaque environnement se compose d’un ou plusieurs abonnements Azure en fonction des exigences de charge de travail, des limites de propriété d’équipe ou des limites d’abonnement Azure. La zone d’atterrissage de l’application inclut toutes les ressources Azure que l’équipe de charge de travail possède et opère dans chaque environnement.

En fonction des exigences de la charge de travail, l’équipe de plateforme place chaque abonnement de zone d’atterrissage d’application dans le groupe d’administration Online, Internal (« Corp ») ou Local, sous le groupe d’administration « (Application) Landing zones ». Chaque abonnement et ses ressources Azure héritent des stratégies de gouvernance et de sécurité des stratégies de Azure appliquées à la hiérarchie des groupes d’administration. Ce modèle offre des garde-fous cohérents et la flexibilité nécessaire pour répondre aux exigences propres à la charge de travail.

Options d’implémentation : Microsoft fournit plusieurs accélérateurs pour déployer différents types de zones d’atterrissage d’application. Vous pouvez également implémenter votre propre approche ou engager Microsoft ou Microsoft partenaires pour obtenir de l’aide. Consultez le centre d’architecture Azure pour obtenir la liste des accélérateurs de zone d’atterrissage d’application.

Adoption de la technologie dans une zone d’atterrissage Azure

Une zone d’atterrissage Azure prend en charge les nouvelles technologies émergentes sans nécessiter de modifications apportées à l’architecture globale. Vous déployez des ressources de charge de travail dans des zones d’accueil des applications, quel que soit le type de charge de travail, par exemple l’IA. À mesure que de nouvelles exigences émergent, vous mettez à jour les stratégies de gouvernance et de sécurité dans la zone d’atterrissage de la plateforme. Ces stratégies sont ensuite appliquées de manière cohérente dans les zones d’atterrissage d’application, ce qui vous permet d’adopter de nouvelles technologies plus rapidement et de maintenir la cohérence entre toutes les charges de travail de ce type.

Le Cloud Adoption Framework fournit des conseils pour les scénarios d’adoption courants pour vous aider à préparer vos personnes, processus et plateforme pour une adoption réussie. Consultez les scénarios.

Étapes suivantes

Principes de conception