Co to jest strefa docelowa platformy Azure?

Etap Ready w ramach Cloud Adoption Framework pomaga w zaprojektowaniu strefy docelowej platformy Azure tak, aby spełniała wymagania organizacji. Strefa docelowa Azure to sprawdzona i elastyczna architektura do zarządzania, zabezpieczania i skalowania środowiska Azure z wieloma subskrypcjami. Strefa docelowa Azure składa się z dwóch składników:

• Strefa lądowania platformy: Scentralizowany fundament, który zapewnia ład, bezpieczeństwo i zasoby współdzielone dla wszystkich Twoich obciążeń na platformie Azure.

• Strefy docelowe aplikacji (obciążenia): Azure środowiskach, w których wdrażasz i obsługujesz zasoby obciążenia w ramach standardów ustanowionych przez strefę docelową platformy.

Każdy składnik strefy docelowej Azure można zaimplementować na jeden z dwóch sposobów:

• Akceleratory: akceleratory dostarczane Microsoft dla scenariuszy strefy docelowej platformy i strefy docelowej aplikacji używają infrastruktury jako kodu do wdrażania środowisk Azure na podstawie zalecanych rozwiązań.

• Rozwiązanie niestandardowe: projektujesz i tworzysz rozwiązanie we własnym zakresie lub przy wsparciu firmy Microsoft albo jej partnerów.

W przypadku większości organizacji akceleratory zapewniają najszybszą ścieżkę do wdrożenia zgodnego z zalecanymi rozwiązaniami Microsoft.

Architektura strefy docelowej platformy Azure

Każda strefa docelowa Azure zaczyna się od strefy docelowej platformy. Przed utworzeniem strefy docelowej platformy zdefiniuj wymagania organizacyjne w obszarach projektowych strefy docelowej Azure. Te decyzje określają sposób projektowania strefy docelowej Azure.

Architektura referencyjna strefy docelowej Azure reprezentuje zalecaną architekturę docelową. Użyj go jako punktu wyjścia i dostosuj go do wymagań organizacji.

Pojęciowy

Poniżej znajduje się sekcja stref docelowych aplikacji, zarządzana przez zespoły odpowiedzialne za obciążenia, która po lewej stronie przedstawia obciążenia obliczeniowe Microsoft Fabric oraz obciążenia związane z danymi i AI/ML (Azure Databricks, Azure Machine Learning), a także pola Workload 1 i Workload n, z których każde zawiera zasoby platformy Azure. Ramka Microsoft Foundry (Foundry IQ) jest połączona w górę z obciążeniami roboczymi w celu integracji AI. Linie kreskowane poniżej łączą pole Azure z Microsoft Copilot Studio, Microsoft Fabric (Fabric IQ) i Microsoft 365 (Microsoft 365 Copilot, Work IQ). Dolny wiersz oznaczony etykietą „Wszystkie źródła danych” wymienia środowiska lokalne, Dataverse, Microsoft 365, obciążenia Azure i inne chmury.

Piasta i szprycha

Mniej więcej pośrodku znajdują się poszczególne subskrypcje w postaci pól. Subskrypcje zabezpieczeń i zarządzania (D, w lewym górnym rogu) zawierają obszary robocze usługi Log Analytics, Microsoft Sentinel i pulpity nawigacyjne. Subskrypcja Identity obejmuje sieci wirtualne z usługami domenowymi i magazynami Recovery Services. Subskrypcja Connectivity (E) zawiera Azure DDoS Protection, Azure DNS, bramy VPN/ExpressRoute, Azure Firewall oraz sieci wirtualne typu hub połączone komunikacją równorzędną w dwóch regionach. Subskrypcje stref docelowych dla aplikacji A2 i P1 (F) obejmują sieci wirtualne aplikacji, grupy zasobów i zasoby obciążeń (G), a po prawej stronie znajduje się subskrypcja Sandbox (H). Każda subskrypcja zawiera ten sam wspólny wiersz narzędzi: Grupy akcji, Alerty, Zarządzanie kosztami, przypisania ról, przypisania zasad, Network Watcher, Defender dla Chmury i Menedżer aktualizacji platformy Azure.

Architektura strefy docelowej platformy Azure z wykorzystaniem topologii sieci typu piasta-szprychy. Pobierz plik programu Visio lub plik PDF tej architektury.

Wirtualna sieć WAN

Mniej więcej pośrodku znajdują się poszczególne subskrypcje w postaci pól. Subskrypcje zabezpieczeń i zarządzania (D, w lewym górnym rogu) zawierają obszary robocze usługi Log Analytics, Microsoft Sentinel i pulpity nawigacyjne. Subskrypcja Identity obejmuje sieci wirtualne z usługami domenowymi i magazynami Recovery Services. Subskrypcja łączności (E) zawiera Azure DDoS Protection, Azure DNS, Azure Firewall i dwa centra Azure Virtual WAN (Region 1 i Region N) z bramami sieci VPN/ExpressRoute. Linie połączenia koncentratora VWAN łączą te koncentratory z sieciami wirtualnymi strefy docelowej aplikacji. Subskrypcje stref docelowych dla aplikacji A2 i P1 (F) obejmują sieci wirtualne aplikacji, grupy zasobów i zasoby obciążeń (G), a po prawej stronie znajduje się subskrypcja Sandbox (H). Każda subskrypcja zawiera ten sam wspólny wiersz narzędzi: Grupy akcji, Alerty, Zarządzanie kosztami, przypisania ról, przypisania zasad, Network Watcher, Defender dla Chmury i Menedżer aktualizacji platformy Azure.

Architektura strefy docelowej platformy Azure z wykorzystaniem topologii sieci Azure Virtual WAN. Pobierz plik programu Visio lub plik PDF tej architektury.

Tylko hierarchia grup zarządzania

W sekcji Subskrypcje poniżej każda grupa zarządzania jest połączona ze swoimi subskrypcjami. Grupy zarządzania Security, Management, Identity i Connectivity są mapowane na odpowiadającą im subskrypcję o tej samej nazwie. Corp łączy się ze strefą docelową aplikacji A1, strefą docelową aplikacji P1 i subskrypcjami strefy docelowej aplikacji A2. Usługa Local łączy się ze strefą docelową aplikacji w subskrypcji C1 (Klastry usługi Azure lokalnie) oraz ze strefą docelową aplikacji w subskrypcji A1 (Aplikacje). „Decommissioned” odpowiada subskrypcji „Decommissioned”, a „Sandbox” odpowiada subskrypcjom „Sandbox subscription 1” i „Sandbox subscription 2”. Pod grupą zarządzania Online nie jest wyświetlana żadna subskrypcja.

Tylko hierarchia grupy zarządzania architektury strefy docelowej platformy Azure. Pobierz plik programu Visio lub plik PDF tej architektury.

Strefy docelowe platformy a aplikacji

Centralne i górne struktury pozostają niezacienione; powyżej przedstawiono hierarchię rozliczeń Enterprise Agreement/Umowa z Klientem Microsoft (A), zarządzanie tożsamościami i dostępem (B), usługę Microsoft Entra ID z lokalnymi usługami Active Directory Domain Services oraz repozytorium Git, tablice i potoki.

Tylko hierarchia grup zarządzania architektury strefy docelowej platformy Azure. Pobierz plik programu Visio lub plik PDF tej architektury.

Strefa lądowania platformy

Strefa docelowa platformy stanowi podstawę platformy Azure w organizacji. Definiuje ona sposób organizowania zasobów Azure, wymuszania ładu i zapewniania współużytkowanych funkcji centralnie. Większość organizacji powinna mieć tylko jedną landing zone platformy w ramach dzierżawy Microsoft Entra.

Strefa docelowa platformy składa się z hierarchii grup zarządzania i scentralizowanych zasobów (zgodnie z potrzebami). Ważną funkcją platformy jest zapewnienie sposobu udostępniania landing zone’ów aplikacyjnych zespołom odpowiedzialnym za obciążenia.

• Hierarchia grup zarządzania: Hierarchia grup zarządzania zapewnia strukturę ładu dla środowiska Azure. Organizuje wszystkie Twoje subskrypcje platformy Azure i stosuje do nich standardy zarządzania. Hierarchia oddziela zasoby platformy i zasoby obciążenia. Dobrze zaprojektowana hierarchia umożliwia spójne stosowanie standardów ładu bez konieczności tworzenia niepotrzebnej złożoności administracyjnej.

• Scentralizowane zasoby: Wiele organizacji zapewnia pewne możliwości centralnie, dzięki czemu każde obciążenie może korzystać z tych samych zatwierdzonych usług i standardów. Typowe przykłady obejmują łączność i sieć, monitorowanie zabezpieczeń, usługi Active Directory tożsamości i usługi zarządzania. To, co centralizujesz, zależy od wymagań. Centralizuj tylko te funkcje, które zapewniają wyraźne korzyści w zakresie ładu organizacyjnego, operacyjne lub ekonomiczne w wielu obciążeniach roboczych.

• Kluczowa odpowiedzialność za platformę: Potrzebujesz powtarzalnego procesu żądania, tworzenia i dystrybuowania stref docelowych aplikacji do zespołów obciążeń. Ustandaryzowane podejście gwarantuje, że każda nowa landing zone dla aplikacji jest zgodna z bazowymi standardami nadzoru i zabezpieczeń obowiązującymi w organizacji. Ten proces można wykonać ręcznie lub zautomatyzować. Wraz ze wzrostem liczby żądań strefy docelowej aplikacji automatyzacja staje się coraz ważniejsza. Zobacz Sprzedaż subskrypcji.

Opcje implementacji: Microsoft udostępnia kilka akceleratorów strefy docelowej platformy, które implementują zalecane wzorce architektury i zabezpieczenia organizacyjne. Zobacz Opcje implementacji strefy docelowej platformy. Możesz również opracować własną implementację lub współpracować z firmą Microsoft albo z partnerami firmy Microsoft, aby utworzyć dostosowaną strefę docelową platformy.

Strefy docelowe aplikacji

Strefy docelowe aplikacji hostują zasoby obciążeń platformy Azure. Większość obciążeń używa wielu stref docelowych aplikacji z oddzielnymi strefami docelowymi aplikacji dla każdego środowiska, takiego jak programowanie, testowanie i produkcja. Strefa docelowa aplikacji może być jedną lub większą liczbą subskrypcji platformy Azure. Potrzebujesz tylko wielu subskrypcji Azure, jeśli jest to wymagane, aby spełnić wymagania dotyczące obciążenia, granice organizacji lub limity subskrypcji Azure.

Zespół platformy umieszcza strefy docelowe aplikacji w grupie zarządzania Online, Wewnętrznej („Corp”) lub Lokalnej w ramach grupy zarządzania „Strefy docelowe” aplikacji. Strefy docelowe aplikacji dziedziczą zasady ładu i zabezpieczeń z zasad Azure zastosowanych do hierarchii grup zarządzania. Ten model zapewnia spójne zabezpieczenia i umożliwia elastyczność spełnienia wymagań specyficznych dla obciążenia.

Opcje implementacji: Microsoft udostępnia kilka akceleratorów w celu ustanowienia stref docelowych aplikacji. Możesz również wdrożyć własne podejście lub zaangażować Microsoft lub Microsoft partnerów w celu uzyskania pomocy. Aby uzyskać listę akceleratorów strefy docelowej aplikacji, zobacz centrum architektury Azure.

Wdrażanie technologii w strefie docelowej Azure

Strefa docelowa Azure obsługuje nowe i wschodzące technologie bez konieczności wprowadzania zmian w ogólnej architekturze. Wdrażasz zasoby obciążeń w strefach docelowych aplikacji niezależnie od typu obciążenia, na przykład AI. W miarę pojawiania się nowych wymagań zaktualizujesz zasady ładu i zabezpieczeń w strefie docelowej platformy. Te zasady są następnie stosowane spójnie w strefach docelowych aplikacji, co pomaga szybciej wdrażać nowe technologie i zachować spójność we wszystkich obciążeniach tego typu.

Ten Cloud Adoption Framework zawiera wskazówki dotyczące typowych scenariuszy wdrażania, które ułatwiają przygotowanie osób, procesów i platformy do pomyślnego wdrożenia. Zobacz Scenariusze.

Następne kroki

Zasady projektowania