Co to jest strefa docelowa platformy Azure?

Etap Ready w ramach Cloud Adoption Framework pomaga w zaprojektowaniu strefy docelowej platformy Azure tak, aby spełniała wymagania organizacji. Strefa docelowa Azure to sprawdzona i elastyczna architektura do zarządzania, zabezpieczania i skalowania środowiska Azure z wieloma subskrypcjami. Strefa docelowa Azure składa się z dwóch składników:

• Strefa lądowania platformy: Scentralizowany fundament, który zapewnia ład, bezpieczeństwo i zasoby współdzielone dla wszystkich Twoich obciążeń na platformie Azure.

• Strefy docelowe dla obciążeń: Środowiska, w których zespoły odpowiedzialne za obciążenia wdrażają zasoby obciążeń i zarządzają nimi w ramach zabezpieczeń strefy docelowej platformy. Obciążenie to zbiór zasobów Azure, kodu, modeli sztucznej inteligencji, danych i infrastruktury, które współpracują ze sobą w celu osiągnięcia zdefiniowanego wyniku biznesowego.

Każdy składnik strefy docelowej Azure można zaimplementować na jeden z dwóch sposobów:

• Akceleratory: akceleratory dostarczane przez firmę Microsoft dla scenariuszy strefy docelowej platformy i strefy docelowej obciążeń wykorzystują infrastrukturę jako kod do wdrażania środowisk Azure w oparciu o zalecane praktyki.

• Rozwiązanie niestandardowe: projektujesz i tworzysz rozwiązanie we własnym zakresie lub przy wsparciu firmy Microsoft albo jej partnerów.

W przypadku większości organizacji akceleratory zapewniają najszybszą ścieżkę do wdrożenia zgodnego z zalecanymi rozwiązaniami Microsoft.

Architektura strefy docelowej platformy Azure

Każda strefa docelowa Azure zaczyna się od strefy docelowej platformy. Przed utworzeniem strefy docelowej platformy zdefiniuj wymagania organizacyjne w obszarach projektowych strefy docelowej Azure. Te decyzje określają sposób projektowania strefy docelowej Azure.

Architektury koncepcyjne

Diagramy architektury koncepcyjnej ułatwiają zrozumienie podstawowych składników strefy docelowej Azure oraz sposobu ich współpracy. Zacznij od tych diagramów, aby zrozumieć relację między strefą docelową platformy, strefami docelowymi obciążeń i rozwiązaniami Microsoft.

Pojęciowy

Diagram architektury warstwowej. Górny baner z napisem „Ujednolicona tożsamość, bezpieczeństwo i nadzór” zawiera Microsoft Agent 365, Microsoft Defender, Microsoft Entra i Microsoft Purview. Poniżej znajduje się duże pole strefy docelowej Azure, które zawiera strefę docelową platformy umieszczoną centralnie nad sekcją stref docelowych obciążeń. Sekcja stref docelowych obciążeń zawiera trzy pola stref docelowych obciążeń reprezentujące obciążenia platformy Azure. Pod obciążeniami pole IQ Microsoft Foundry i Foundry łączy się za pomocą kreskowanych strzałek ze strefami docelowymi obciążenia wskazującymi opcjonalne możliwości sztucznej inteligencji dla wybranych obciążeń.

Koncepcyjna architektura strefy docelowej Azure. Pobierz plik PowerPoint tej architektury.

Integracja koncepcyjna + integracja korporacyjna

Poniżej strefy docelowej Azure są wyświetlane Microsoft Copilot Studio, Microsoft Fabric i Microsoft 365 jako zintegrowane rozwiązania biznesowe, dane i sztuczna inteligencja. U dołu źródła danych, w tym systemy lokalne, Dataverse, Microsoft 365, obciążenia robocze platformy Azure i inne chmury, łączą się z tymi rozwiązaniami. Strzałki dwukierunkowe wskazują integrację między źródłami danych, platformami Microsoft i obciążeniami Azure.

Koncepcyjna architektura strefy docelowej Azure oraz integracja przedsiębiorstwa z rozwiązaniami Microsoft. Pobierz plik PowerPoint tej architektury.

Szczegółowe informacje koncepcyjne

Sekcja stref docelowych dla obciążeń pokazuje, jak obciążenia są zorganizowane w ramach architektury stref docelowych Azure. Obciążenia są pogrupowane w kategorie wewnętrzne, online i lokalne. Każde obciążenie otrzymuje dedykowaną strefę docelową obciążenia, która zawiera wszystkie środowiska skojarzone z tym obciążeniem. Typowe środowiska obejmują tworzenie, testowanie i produkcję, z każdym środowiskiem składającym się z co najmniej jednej subskrypcji Azure. Przykłady obciążeń wewnętrznych obejmują strefę docelową obliczeń Microsoft Fabric oraz strefę docelową danych i obciążenia sztucznej inteligencji, która korzysta z usług takich jak Azure Machine Learning, Azure Databricks, sztuczna inteligencja w infrastrukturze Azure i Azure Data Lake Storage. Diagram pokazuje również, że zasoby Microsoft Foundry można dodawać do środowisk obciążeń roboczych, w których są wymagane funkcje AI. Zespoły odpowiedzialne za obciążenia zarządzają strefami docelowymi dla obciążeń, które są oddzielone od strefy docelowej platformy, którą zarządzają zespoły platformowe.

Szczegółowa koncepcyjna architektura strefy docelowej Azure. Pobierz plik PowerPoint tej architektury.

Szczegółowa koncepcja i integracja w przedsiębiorstwie

Poniżej strefy docelowej Azure są wyświetlane Microsoft Copilot Studio, Microsoft Fabric i Microsoft 365 jako zintegrowane rozwiązania biznesowe, dane i sztuczna inteligencja. U dołu źródła danych, w tym systemy lokalne, Dataverse, Microsoft 365, obciążenia robocze platformy Azure i inne chmury, łączą się z tymi rozwiązaniami. Strzałki dwukierunkowe wskazują integrację między źródłami danych, platformami Microsoft i obciążeniami Azure.

Szczegółowa koncepcyjna architektura strefy docelowej Azure oraz integracja przedsiębiorstwa z rozwiązaniami Microsoft. Pobierz plik PowerPoint tej architektury.

Architektury referencyjne

Diagramy architektury referencyjnej pokazują zalecane Azure wzorce implementacji strefy docelowej i modele wdrażania. Użyj tych diagramów, aby zrozumieć, w jaki sposób grupy zarządzania, subskrypcje, sieci i mechanizmy nadzoru są zorganizowane w architekturach hub-and-spoke, Azure Virtual WAN i innych architekturach.

Hub-Spoke

Mniej więcej pośrodku znajdują się poszczególne subskrypcje w postaci pól. Subskrypcje zabezpieczeń i zarządzania (D, w lewym górnym rogu) zawierają obszary robocze usługi Log Analytics, Microsoft Sentinel i pulpity nawigacyjne. Subskrypcja Identity obejmuje sieci wirtualne z usługami domenowymi i magazynami Recovery Services. Subskrypcja Connectivity (E) zawiera Azure DDoS Protection, Azure DNS, bramy VPN/ExpressRoute, Azure Firewall oraz sieci wirtualne typu hub połączone komunikacją równorzędną w dwóch regionach. Subskrypcje A2 i P1 strefy docelowej obciążeń (F) zawierają sieci wirtualne aplikacji, grupy zasobów i zasoby obciążeń (G), a po prawej stronie znajduje się subskrypcja Sandbox (H). Każda subskrypcja zawiera ten sam wspólny wiersz narzędzi: Grupy akcji, Alerty, Zarządzanie kosztami, przypisania ról, przypisania zasad, Network Watcher, Defender dla Chmury i Menedżer aktualizacji platformy Azure.

Architektura referencyjna strefy docelowej platformy Azure przedstawiająca topologię sieci typu piasta i szprychy. Pobierz plik programu Visio lub plik PDF tej architektury.

Wirtualna sieć WAN

Mniej więcej pośrodku znajdują się poszczególne subskrypcje w postaci pól. Subskrypcje zabezpieczeń i zarządzania (D, w lewym górnym rogu) zawierają obszary robocze usługi Log Analytics, Microsoft Sentinel i pulpity nawigacyjne. Subskrypcja Identity obejmuje sieci wirtualne z usługami domenowymi i magazynami Recovery Services. Subskrypcja łączności (E) zawiera Azure DDoS Protection, Azure DNS, Azure Firewall i dwa centra Azure Virtual WAN (Region 1 i Region N) z bramami sieci VPN/ExpressRoute. Linie połączenia koncentratora VWAN łączą te koncentratory z sieciami wirtualnymi strefy docelowej obciążenia. Subskrypcje A2 i P1 strefy docelowej obciążenia roboczego (F) zawierają sieci wirtualne aplikacji, grupy zasobów i zasoby obciążeń roboczych (G), a po prawej stronie znajduje się subskrypcja piaskownicy testowej (H). Każda subskrypcja zawiera ten sam wspólny wiersz narzędzi: Grupy akcji, Alerty, Zarządzanie kosztami, przypisania ról, przypisania zasad, Network Watcher, Defender dla Chmury i Menedżer aktualizacji platformy Azure.

Architektura referencyjna strefy docelowej platformy Azure przedstawiająca topologię sieciową Azure Virtual WAN. Pobierz plik programu Visio lub plik PDF tej architektury.

Hierarchia grup zarządzania

W sekcji Subskrypcje poniżej każda grupa zarządzania jest połączona ze swoimi subskrypcjami. Grupy zarządzania Security, Management, Identity i Connectivity są mapowane na odpowiadającą im subskrypcję o tej samej nazwie. Corp łączy się z subskrypcjami stref docelowych obciążeń A1, P1 i A2. Azure lokalnie łączy się z subskrypcją C1 strefy docelowej obciążenia (klastry usługi Azure lokalnie) oraz z subskrypcją A1 strefy docelowej obciążenia (Aplikacje). „Decommissioned” odpowiada subskrypcji „Decommissioned”, a „Sandbox” odpowiada subskrypcjom „Sandbox subscription 1” i „Sandbox subscription 2”. Pod grupą zarządzania Online nie jest wyświetlana żadna subskrypcja.

Podstawowa hierarchia grup zarządzania stref docelowych platformy Azure. Pobierz plik Visio dotyczący tej architektury.

Strefy docelowe platformy a strefy docelowe obciążeń roboczych

Centralne i górne struktury pozostają niezacienione; powyżej przedstawiono hierarchię rozliczeń Enterprise Agreement/Umowa z Klientem Microsoft (A), zarządzanie tożsamościami i dostępem (B), usługę Microsoft Entra ID z lokalnymi usługami Active Directory Domain Services oraz repozytorium Git, tablice i potoki.

Strefa docelowa platformy a strefy docelowe obciążeń w architekturze referencyjnej strefy docelowej Azure. Pobierz plik programu Visio lub plik PDF tej architektury.

Strefa lądowania platformy

Strefa docelowa platformy stanowi podstawę platformy Azure w organizacji. Definiuje ona sposób organizowania zasobów Azure, wymuszania ładu i zapewniania współużytkowanych funkcji centralnie. Większość organizacji powinna mieć tylko jedną landing zone platformy w ramach dzierżawy Microsoft Entra.

Strefa docelowa platformy składa się z hierarchii grup zarządzania i scentralizowanych zasobów (zgodnie z potrzebami). Ważną funkcją platformy jest dystrybuowanie stref docelowych obciążeń do zespołów obciążeń.

• Hierarchia grup zarządzania: Hierarchia grup zarządzania zapewnia strukturę ładu dla środowiska Azure. Organizuje wszystkie Twoje subskrypcje platformy Azure i stosuje do nich standardy zarządzania. Hierarchia oddziela zasoby platformy i zasoby obciążenia. Dobrze zaprojektowana hierarchia umożliwia spójne stosowanie standardów ładu bez konieczności tworzenia niepotrzebnej złożoności administracyjnej.

• Scentralizowane zasoby: Wiele organizacji zapewnia pewne możliwości centralnie, dzięki czemu każde obciążenie może korzystać z tych samych zatwierdzonych usług i standardów. Typowe przykłady obejmują łączność i sieć, monitorowanie zabezpieczeń, usługi Active Directory tożsamości i usługi zarządzania. To, co centralizujesz, zależy od wymagań. Centralizuj tylko te funkcje, które zapewniają wyraźne korzyści w zakresie ładu organizacyjnego, operacyjne lub ekonomiczne w wielu obciążeniach roboczych.

• Dystrybucja strefy docelowej obciążenia: Potrzebujesz powtarzalnego procesu żądania, tworzenia i dystrybuowania stref docelowych obciążeń do zespołów obciążeń. Ustandaryzowane podejście zapewnia, że każde nowe środowisko docelowe dla obciążenia spełnia standardy ładu organizacyjnego i bezpieczeństwa obowiązujące w Twojej organizacji. Ten proces można wykonać ręcznie lub zautomatyzować. Wraz ze wzrostem liczby żądań dotyczących strefy docelowej dla obciążeń automatyzacja staje się coraz ważniejsza. Zobacz Sprzedaż subskrypcji.

Opcje implementacji: Microsoft udostępnia kilka akceleratorów strefy docelowej platformy, które implementują zalecane wzorce architektury i zabezpieczenia organizacyjne. Zobacz Opcje implementacji strefy docelowej platformy. Możesz również opracować własną implementację lub współpracować z firmą Microsoft albo z partnerami firmy Microsoft, aby utworzyć dostosowaną strefę docelową platformy.

Strefa wdrożeniowa dla obciążenia roboczego

Każde obciążenie ma jedną strefę docelową obciążenia. Strefa docelowa obciążenia zawiera wszystkie środowiska wymagane do obsługi tego obciążenia, takie jak programowanie, testowanie i produkcja. Każde środowisko składa się z co najmniej jednej subskrypcji Azure na podstawie wymagań dotyczących obciążeń, granic własności zespołu lub limitów subskrypcji Azure. Strefa docelowa obciążenia obejmuje wszystkie zasoby platformy Azure, których właścicielem jest zespół odpowiedzialny za obciążenie i którymi zarządza on we wszystkich środowiskach.

Na podstawie wymagań danego obciążenia zespół platformy umieszcza każdą subskrypcję strefy docelowej dla obciążenia w grupie zarządzania Online, Internal („Corp”) lub Local w ramach grupy zarządzania „(Application) Landing zones”. Każda subskrypcja i jej zasoby Azure dziedziczą zasady ładu i zabezpieczeń z zasad Azure zastosowanych do hierarchii grup zarządzania. Ten model zapewnia spójne zabezpieczenia i umożliwia elastyczność spełnienia wymagań specyficznych dla obciążenia.

Opcje implementacji: Microsoft udostępnia kilka akceleratorów do wdrażania różnych typów stref docelowych obciążenia. Możesz również wdrożyć własne podejście lub zaangażować Microsoft lub Microsoft partnerów w celu uzyskania pomocy. Zobacz centrum architektury Azure, aby zapoznać się z listą akceleratorów strefy docelowej obciążenia.

Wdrażanie technologii w strefie docelowej Azure

Strefa docelowa Azure obsługuje nowe i wschodzące technologie bez konieczności wprowadzania zmian w ogólnej architekturze. Wdrażasz zasoby obciążenia do stref docelowych dla obciążeń niezależnie od typu obciążenia, na przykład AI. W miarę pojawiania się nowych wymagań zaktualizujesz zasady ładu i zabezpieczeń w strefie docelowej platformy. Te zasady są następnie stosowane spójnie w strefach docelowych obciążeń, co pomaga szybciej wdrażać nowe technologie i zachować spójność we wszystkich obciążeniach tego typu.

Ten Cloud Adoption Framework zawiera wskazówki dotyczące typowych scenariuszy wdrażania, które ułatwiają przygotowanie osób, procesów i platformy do pomyślnego wdrożenia. Zobacz Scenariusze.

Następne kroki

Zasady projektowania