Implantar zonas de destino Azure

Este artigo descreve as opções disponíveis para ajudá-lo a implantar uma landing zone de plataforma e landing zones de carga de trabalho. A zona de destino da plataforma fornece serviços centralizados que as cargas de trabalho utilizam. As landing zones da carga de trabalho são ambientes implantados para as próprias cargas de trabalho.

Importante

Para obter mais informações sobre as definições da landing zone da plataforma e de suas landing zones de carga de trabalho conectadas, consulte Landing zone da plataforma e landing zones de carga de trabalho.

Escolher uma abordagem de zona de destino da plataforma

As seguintes opções de implantação de plataforma fornecem uma abordagem dogmática para implantar e operar a arquitetura de referência da zona de destino do Azure, conforme descrito no Cloud Adoption Framework para Azure. A arquitetura resultante pode variar com base nas personalizações, portanto, pode não ser a mesma para todas as opções de implantação listadas neste artigo. As diferenças entre as opções de implantação da plataforma se baseiam no uso de diferentes tecnologias, abordagens e personalizações.

Opções de implantação padrão

As opções de implantação padrão abordam o uso típico de Azure empresarial.

Opção de implantação da zona de destino da plataforma do Azure Descrição Azure nuvens públicas Azure nuvens soberanas como Governo dos EUA e 21Vianet
A implantação do portal Azure Uma implantação baseada no portal do Azure que fornece uma implementação completa da arquitetura de referência da zona de aterrissagem do Azure e configurações definidas para componentes-chave, incluindo grupos de gerenciamento e políticas. Suportado Não há suporte.

Você pode implantar recursos individuais usando o portal Azure. Mas essa abordagem não fornece uma experiência unificada e guiada entre recursos.
Implantação do Bicep Uma implantação de IaC (infraestrutura como código) que usa módulos verificados do Azure e fornece uma forma personalizável de implantar uma zona de destino da plataforma usando Bicep. Suportado Não há suporte.

Você pode usar o código Bicep como ponto de partida para criar uma implementação personalizada que siga as práticas recomendadas da zona de aterrissagem da plataforma Azure. Para obter mais informações sobre quais personalizações o código requer, consulte a seção implantações da nuvem soberana do Azure.
Implantação do Terraform Uma implantação de IaC que usa módulos verificados do Azure e fornece uma maneira personalizável de implantar uma zona de aterrissagem da plataforma usando o Terraform. Suportado Não há suporte.

Você pode usar o código Terraform como ponto de partida para criar uma implementação personalizada que siga as práticas recomendadas da zona de aterrissagem da plataforma Azure. Para obter mais informações sobre quais personalizações o código requer, consulte a seção implantações da nuvem soberana do Azure.

Você também pode examinar as opções de implementação para zonas de aterrissagem do Azure para ajudá-lo a escolher a melhor opção de implantação para sua organização.

Implantações de nuvem soberana do Azure

As opções de implantação do portal Azure, do Bicep e do Terraform são compatíveis com Azure ofertas de nuvem pública, global e comercial. Se você precisar implantar em outras nuvens Azure, como Azure Serviços de Infraestrutura para Nuvens do Governo dos EUA ou Azure operado pela 21Vianet, sua equipe de plataforma precisará fazer alterações manuais de configuração nos ativos de implantação. Somente as opções de implantação do Bicep e do Terraform podem ser modificadas para acomodar essas alterações. Considere as seguintes limitações e requisitos de configuração específicos da nuvem:

  • Azure Policy definições, iniciativas e atribuições: Nem todas as políticas Azure estão disponíveis em todas as nuvens, portanto, você precisa remover políticas sem suporte antes da implantação.

  • Versões de API para alguns recursos: Versões de API específicas podem não existir em algumas nuvens, portanto, você precisa ajustar as versões da API de recursos antes da implantação.

  • Disponibilidade de recursos: Alguns recursos podem não existir em algumas nuvens. Por exemplo, Azure planos de Proteção contra DDoS não estão disponíveis em Azure na China. Você precisa remover esses recursos antes da implantação.

A arquitetura da zona de destino Azure é válida e tem suporte em todas as nuvens Azure. Mas a implantação dessa arquitetura não é fornecida em uma solução automatizada que funciona em todas as nuvens. Se você quiser suporte de implantação automatizado para essas nuvens, reque o recurso.

Variantes e especializações

As opções de implantação de plataforma padrão atendem aos requisitos da maioria das organizações em todos os setores e tamanhos. Para outros cenários, consulte as seguintes arquiteturas personalizadas e opções de implantação para ajudá-lo a implantar sua zona de destino da plataforma rapidamente.

As opções a seguir fornecem implementações de zona de destino de plataforma especializada que você pode usar em vez das opções de implantação padrão.

Variante da zona de destino da plataforma Descrição
Zona de destino soberana A zona de aterrissagem soberana é uma implementação especializada da arquitetura de referência da zona de aterrissagem do Azure projetada especificamente para organizações que têm requisitos rigorosos de regulamentação, conformidade e residência de dados que se concentram na soberania. Ele inclui configurações e políticas personalizadas para ajudar a atender a essas necessidades e, ao mesmo tempo, aderir aos princípios de design principais e áreas de design de zonas de destino Azure.

Implementações de parceiros

Programas de parceiros como Azure Accelerate podem ajudá-lo a projetar e implementar uma zona de destino de plataforma que atenda às necessidades da sua organização. Essas implementações começam com a arquitetura de referência da zona de destino Azure e configurações de design específicas para sua estratégia de adoção de nuvem, topologia organizacional e metas.

Política empresarial como código para gerenciamento de políticas

Enterprise policy as code (EPAC) é um método alternativo para implantar, gerenciar e operar Azure Policy na propriedade Azure da sua organização. Você pode usar o EPAC em vez das opções de plataforma padrão para gerenciar as políticas em um ambiente de zona de destino Azure. Para obter mais informações sobre a abordagem de integração, consulte Integrate EPAC com zonas de destino Azure.

O EPAC é mais adequado para clientes de DevOps (operações de desenvolvimento) e IaC mais avançadas, mas as organizações de qualquer escala podem usar o EPAC depois de avaliá-lo. Para obter mais informações, consulte Quem deve usar o EPAC?

Observação

Compare o ciclo de vida e a flexibilidade das duas abordagens antes de decidir qual abordagem usar a longo prazo. Comece avaliando o gerenciamento de política nativa na implementação padrão. Se essa implementação não atender às suas necessidades de governança, faça um MVP (produto mínimo viável) ou uma prova de conceito usando o EPAC. Compare as opções, valide suas descobertas e confirme sua escolha antes de implementar uma abordagem, pois não é possível alterar facilmente os métodos de governança de políticas depois de estabeleça-os.

Operar zonas de aterrissagem do Azure

Depois de implantar a zona de destino da plataforma, você precisará operá-la e mantê-la. Para obter mais informações, consulte Mantenha sua zona de aterrissagem do Azure atualizada.

Azure visualizador de governança

Azure visualizador de governança pode ajudá-lo a obter uma visão geral holística de sua implementação de governança técnica Azure contextualizando dados e fornecendo relatórios sofisticados.

Venda de assinaturas

Depois de criar a zona de destino da plataforma e a estratégia de governança, estabeleça uma abordagem consistente de como criar e operacionalizar assinaturas para proprietários de carga de trabalho. A democratização de assinaturas é um princípio de design de zona de destino Azure que usa assinaturas como unidades de gerenciamento e escala. Esta abordagem acelera as migrações de aplicativos e o novo desenvolvimento de aplicativos.

A venda de assinaturas padroniza o processo que as equipes de plataforma utilizam para que as equipes de trabalho solicitem assinaturas, permitindo que as equipes de plataforma implantem e gerenciem essas assinaturas. Ele permite que as equipes de aplicativos usem Azure de maneira consistente e governada, o que ajuda a garantir que as equipes atendam a todos os requisitos.

As organizações geralmente têm diferentes estilos de assinaturas que podem ser vendidos em seu locatário, normalmente chamados de linhas do produto. Para obter mais informações, consulte Estabelecer linhas comuns de produtos por assinatura.

Para começar, siga as diretrizes de implementação de venda de assinaturas. Em seguida, examine os módulos IaC a seguir, que fornecem flexibilidade para atender às suas necessidades de implementação.

Opção de implantação Descrição
Venda de assinaturas do Bicep Os módulos Bicep de provisionamento de assinaturas orquestram a implantação de uma landing zone de carga de trabalho individual.
Provisionamento de assinaturas Terraform Essa abordagem usa o Terraform para orquestrar a implantação de uma landing zone de carga de trabalho individual.

Você pode usar todas as opções de implantação para implantar manualmente uma landing zone de carga de trabalho, mas elas são mais eficazes como parte de um processo automatizado.

Arquiteturas de landing zone da carga de trabalho

As zonas de aterrissagem de carga de trabalho são áreas designadas em uma ou mais assinaturas, configuradas especificamente como destinos aprovados para recursos que as equipes de aplicativos gerenciam para uma carga de trabalho específica. Uma carga de trabalho pode aproveitar os serviços na zona de aterrissagem da plataforma ou permanecer isolada desses recursos centralizados. Use zonas de aterrissagem de carga de trabalho para aplicativos gerenciados centralmente, cargas de trabalho descentralizadas que as equipes de aplicativos possuem e plataformas de hospedagem gerenciadas centralmente, como AKS (Serviço de Kubernetes do Azure), que podem hospedar aplicativos para várias unidades de negócios. A menos que circunstâncias incomuns restrinjam as assinaturas de landing zone da carga de trabalho, elas normalmente incluem recursos de apenas uma única carga de trabalho ou limite lógico do aplicativo, como seu ciclo de vida ou classificação de criticidade.

As equipes de carga de trabalho comunicam os requisitos de sua carga de trabalho por meio de um processo formal que a equipe da plataforma estabelece. Geralmente a equipe da plataforma implanta uma assinatura vazia que está registrada com toda a governança necessária. Em seguida, um arquiteto de workloads projeta uma solução que funciona dentro das restrições dessa landing zone de carga de trabalho e aproveita os recursos de plataforma compartilhada, como firewalls e roteamento entre locais, quando prático.

Um arquiteto pode adaptar uma arquitetura de referência que não foi projetada especificamente para uma landing zone de carga de trabalho. Mas o Microsoft Learn também tem diretrizes de plataforma de dados e aplicativos para equipes responsáveis pela carga de trabalho que abordam especificamente os contextos da landing zone da carga de trabalho. Lembre as equipes da plataforma sobre essas diretrizes para que possam prever os tipos de carga de trabalho e as características na organização.

Arquitetura da landing zone de carga de trabalho Descrição
Gerenciamento de API do Azure Recomendações comprovadas e considerações sobre como implantar uma instância interna de Gerenciamento de API como parte de uma implementação de referência. O cenário usa Gateway de Aplicativo do Azure para ajudar a fornecer controle de entrada seguro e usa Azure Functions como o back-end.
arquitetura de nuvem híbrida e adaptável do Azure Padrões de arquitetura e diretrizes de planejamento para integrar Azure com datacenters, locais de borda e outras nuvens, incluindo a extensão do gerenciamento de Azure por meio de Azure Arc.
Fábrica de dados do Azure Diretrizes sobre como hospedar um medallion lakehouse dentro de uma workload landing zone.
Carga de trabalho de chat do Microsoft Foundry Diretrizes sobre como integrar uma arquitetura de chat típica do Foundry em uma landing zone de carga de trabalho ao usar recursos centralizados da landing zone da plataforma para serviços compartilhados, governança e eficiência de custo. Ele fornece diretrizes para equipes de trabalho sobre infraestrutura e implantação e gerenciamento de agentes.
Máquinas Virtuais do Azure Uma arquitetura que estende as diretrizes da arquitetura de linha de base de Máquinas Virtuais para uma landing zone de carga de trabalho. Ele fornece diretrizes sobre configuração de assinatura, conformidade de patch e outras preocupações de governança organizacional.
Solução VMware no Azure Modelos ARM, modelos Bicep e modelos Terraform que você pode usar para ajudar a projetar implantações do Solução VMware no Azure. Essas implantações incluem Solução VMware no Azure nuvem privada, jump box, rede e monitoramento.
Cargas de trabalho críticas Aborda como projetar uma carga de trabalho de missão crítica a ser executada dentro de uma landing zone de carga de trabalho.

As cargas de trabalho geralmente consistem em diferentes tecnologias e classificações. Examine os materiais de referência relacionados para todas as tecnologias em sua carga de trabalho. Por exemplo, as diretrizes da linha de base do Microsoft Foundry e da arquitetura do Gerenciamento de API ajudam você a verificar se o seu cenário de IA generativa se beneficia de um gateway de API.

  • Last updated on