O que é uma zona de destino do Azure?

A fase Pronto do Cloud Adoption Framework ajuda você a projetar sua zona de destino Azure para atender aos requisitos da sua organização. Uma zona de destino Azure é uma arquitetura comprovada e flexível para governar, proteger e dimensionar um ambiente de Azure de várias assinaturas. Uma zona de destino Azure consiste em dois componentes:

• Zona de destino da plataforma: A base centralizada que estabelece governança, segurança e recursos compartilhados para todas as suas cargas de trabalho Azure.

• Zonas de destino do aplicativo (carga de trabalho): Os ambientes em que as equipes de carga de trabalho implantam e operam recursos de carga de trabalho dentro dos guardrails da zona de destino da plataforma. Uma carga de trabalho é uma coleção de recursos Azure, código, modelos de IA, dados e infraestrutura que funcionam juntos para obter um resultado de negócios definido.

Você pode implementar cada componente de sua zona de destino Azure de duas maneiras:

• Aceleradores: aceleradores fornecidos Microsoft para cenários de zona de destino da plataforma e zona de destino do aplicativo usam a infraestrutura como código para implantar ambientes Azure com base nas práticas recomendadas.

• Desenvolvimento personalizado: Você projeta e desenvolve a solução internamente ou com suporte da Microsoft ou de parceiros da Microsoft.

Para a maioria das organizações, os aceleradores fornecem o caminho mais rápido para uma implantação alinhada com as práticas recomendadas de Microsoft.

Arquitetura da zona de destino do Azure

Cada zona de destino Azure começa com a zona de destino da plataforma. Antes de criar uma zona de destino da plataforma, defina os requisitos organizacionais nas áreas de design da zona de destino Azure. Essas decisões determinam como você projeta sua zona de destino Azure.

A arquitetura de referência da zona de aterrissagem do Azure representa uma arquitetura-alvo recomendada. Use-o como ponto de partida e adapte-o para atender aos requisitos da sua organização.

Conceitual

As linhas tracejadas abaixo conectam a caixa do Azure ao Microsoft Copilot Studio, ao Microsoft Fabric (Fabric IQ) e ao Microsoft 365 (Microsoft 365 Copilot, Work IQ). Uma linha inferior rotulada como "Todas as fontes de dados" lista local, Dataverse, Microsoft 365, cargas de trabalho Azure e outras nuvens.

No meio há assinaturas individuais como caixas. As assinaturas de segurança e gerenciamento (D, canto superior esquerdo) contêm espaços de trabalho do Log Analytics, Microsoft Sentinel e painéis. A assinatura "Identity" abriga redes virtuais com serviços de domínio e cofres dos Serviços de Recuperação. A assinatura de conectividade (E) inclui a Proteção contra DDoS do Azure, o DNS do Azure, os gateways de VPN/ExpressRoute, o Firewall do Azure e redes virtuais de hub emparelhadas entre si em duas regiões. As assinaturas A2 e P1 da zona de destino do aplicativo (F) contêm redes virtuais de aplicativos, grupos de recursos e recursos de carga de trabalho (G) e uma assinatura de área restrita (H) à direita. Cada assinatura repete uma linha de conjunto de ferramentas comum: Grupos de Ações, Alertas, Gerenciamento de Custos, Atribuição de Função, Atribuição de política, Observador de Rede, Defender para Nuvem e Gerenciador de Atualizações do Azure.

Arquitetura da zona de destino do Azure com uma topologia de rede hub & spoke. Baixe um arquivo Visio ou arquivo PDF dessa arquitetura.

WAN Virtual

No meio há assinaturas individuais como caixas. As assinaturas de segurança e gerenciamento (D, canto superior esquerdo) contêm espaços de trabalho do Log Analytics, Microsoft Sentinel e painéis. A assinatura "Identity" abriga redes virtuais com serviços de domínio e cofres dos Serviços de Recuperação. A assinatura de conectividade (E) contém Azure Proteção contra DDoS, DNS do Azure, Firewall do Azure e dois hubs de WAN Virtual do Azure (Região 1 e Região N) com gateways VPN/ExpressRoute. As linhas de conexão do Hub VWAN vinculam esses hubs às redes virtuais da zona de destino do aplicativo. As assinaturas A2 e P1 da zona de destino do aplicativo (F) contêm redes virtuais de aplicativos, grupos de recursos e recursos de carga de trabalho (G) e uma assinatura de área restrita (H) à direita. Cada assinatura repete uma linha de conjunto de ferramentas comum: Grupos de Ações, Alertas, Gerenciamento de Custos, Atribuição de Função, Atribuição de política, Observador de Rede, Defender para Nuvem e Gerenciador de Atualizações do Azure.

Arquitetura de zona de destino do Azure que usa uma topologia de rede do WAN Virtual do Azure. Baixe um arquivo Visio ou arquivo PDF dessa arquitetura.

Somente hierarquia de grupo de gerenciamento

Na seção Assinaturas abaixo, cada grupo de gerenciamento está vinculado às respectivas assinaturas. Os grupos de gerenciamento "Segurança", "Gerenciamento", "Identidade" e "Conectividade" são mapeados, cada um, para uma assinatura correspondente com o mesmo nome. Corp conecta-se às assinaturas da zona de aterrissagem do aplicativo A1, da zona de aterrissagem do aplicativo P1 e da zona de aterrissagem do aplicativo A2. Local conecta-se à assinatura C1 da zona de aterrissagem de aplicativos (Clusters do Azure Local) e à assinatura A1 da zona de aterrissagem de aplicativos (Aplicativos). Desativada corresponde a uma assinatura Desativada, e Sandbox corresponde à assinatura Sandbox 1 e à assinatura Sandbox 2. O grupo de gerenciamento online não tem nenhuma assinatura mostrada abaixo dele.

Apenas a hierarquia de Grupo de Gerenciamento da arquitetura da zona de destino do Azure. Baixe um arquivo Visio ou arquivo PDF dessa arquitetura.

Plataforma versus zonas de destino do aplicativo

As estruturas central e superior permanecem não sombreadas; acima delas estão a hierarquia de faturamento do Contrato Enterprise/Contrato de Cliente da Microsoft (A), o gerenciamento de identidade e acesso (B), o Microsoft Entra ID com Active Directory Domain Services locais e o repositório Git, os quadros e os pipelines.

Somente a hierarquia de grupos de gerenciamento da arquitetura da zona de destino do Azure. Baixe um arquivo Visio ou arquivo PDF dessa arquitetura.

Zona de destino da plataforma

A zona de destino da plataforma estabelece a base de Azure da sua organização. Ele define como organizar seus recursos de Azure, impor a governança e fornecer recursos compartilhados centralmente. A maioria das organizações deveria ter apenas uma zona de aterrissagem de plataforma por locatário do Microsoft Entra.

Uma zona de destino de plataforma consiste em uma hierarquia de grupo de gerenciamento e recursos centralizados (conforme necessário). Uma função importante da plataforma é ter uma maneira de distribuir zonas de destino do aplicativo para equipes de carga de trabalho.

• Hierarquia do grupo de gerenciamento: A hierarquia do grupo de gerenciamento fornece a estrutura de governança para o ambiente Azure. Ele organiza todas as suas assinaturas de Azure e aplica padrões de governança a essas assinaturas. A hierarquia separa recursos de plataforma e recursos de carga de trabalho. Uma hierarquia bem projetada permite que você aplique padrões de governança consistentemente sem criar complexidade administrativa desnecessária.

• Recursos centralizados: Muitas organizações fornecem determinados recursos centralmente para que cada carga de trabalho possa usar os mesmos serviços e padrões aprovados. Exemplos comuns incluem conectividade e rede, monitoramento de segurança, serviços de identidade Active Directory e serviços de gerenciamento. O que você centraliza depende de seus requisitos. Centralize apenas os recursos que fornecem governança clara, benefícios operacionais ou econômicos em várias cargas de trabalho.

• Responsabilidade da plataforma chave: Você precisa de um processo repetível para solicitar, criar e distribuir zonas de destino do aplicativo para equipes de carga de trabalho. Uma abordagem padronizada garante que cada nova zona de destino do aplicativo siga as linhas de base de segurança e governança da sua organização. Você pode fazer esse processo manualmente ou automatizá-lo. À medida que o número de solicitações de zona de destino do aplicativo aumenta, a automação se torna cada vez mais importante. Consulte venda de assinaturas.

Opções de implementação: Microsoft fornece vários aceleradores de zona de destino de plataforma que implementam padrões de arquitetura recomendados e guardrails organizacionais. Consulte as opções de implementação da zona de destino da plataforma. Você também pode desenvolver sua própria implementação ou trabalhar com a Microsoft ou com parceiros da Microsoft para criar uma landing zone de plataforma personalizada.

Zona de destino do aplicativo

Cada carga de trabalho tem uma única zona de destino do aplicativo. Uma zona de destino do aplicativo contém todos os ambientes necessários para dar suporte a essa carga de trabalho, como desenvolvimento, teste e produção. Cada ambiente consiste em uma ou mais assinaturas Azure com base em requisitos de carga de trabalho, limites de propriedade da equipe ou limites de assinatura Azure. A zona de destino do aplicativo inclui todos os recursos Azure que a equipe de carga de trabalho possui e opera em todos os ambientes.

Com base nos requisitos da carga de trabalho, a equipe da plataforma coloca cada assinatura da zona de destino do aplicativo no grupo de gerenciamento Online, Interno ("Corp" ou Local no grupo de gerenciamento "(Application) Zonas de destino". Cada assinatura e seus recursos Azure herdam as políticas de governança e segurança das Políticas de Azure aplicadas à hierarquia do grupo de gerenciamento. Esse modelo fornece guardrails consistentes e permite flexibilidade para atender aos requisitos específicos da carga de trabalho.

Opções de implementação: Microsoft fornece vários aceleradores para implantar diferentes tipos de zonas de destino do aplicativo. Você também pode implementar sua própria abordagem ou envolver parceiros Microsoft ou Microsoft para obter assistência. Consulte o Centro de Arquitetura do Azure para obter uma lista de aceleradores de zona de destino do aplicativo.

Adoção da tecnologia em uma zona de destino Azure

Uma zona de destino Azure dá suporte a tecnologias novas e emergentes sem a necessidade de alterações na arquitetura geral. Você implanta recursos de carga de trabalho em zonas de destino do aplicativo, independentemente do tipo de carga de trabalho, como IA. À medida que novos requisitos surgem, você atualiza as políticas de governança e segurança na zona de destino da plataforma. Essas políticas são então aplicadas consistentemente entre zonas de destino do aplicativo, o que ajuda você a adotar novas tecnologias mais rapidamente e manter a consistência em todas as cargas de trabalho desse tipo.

O Cloud Adoption Framework fornece diretrizes para cenários comuns de adoção para ajudá-lo a preparar suas pessoas, processos e plataforma para adoção bem-sucedida. Consulte cenários.

Próximas etapas

Princípios de design