O que é uma zona de destino do Azure?

A fase Ready do Cloud Adoption Framework ajuda-o a desenhar a sua zona de aterragem no Azure para satisfazer as necessidades da sua organização. Uma zona de aterragem Azure é uma arquitetura comprovada e flexível para governar, proteger e escalar um ambiente Azure multi-subscrição. Uma zona de aterragem Azure consiste em dois componentes:

• Zona de aterragem da plataforma: A fundação centralizada que estabelece governação, segurança e recursos partilhados para todas as suas cargas de trabalho no Azure.

• Zonas de aterragem de aplicações (carga de trabalho): Ambientes Azure onde implementa e opera recursos de carga de trabalho dentro dos padrões estabelecidos pela zona de aterragem da plataforma.

Pode implementar cada componente da sua zona de aterragem Azure de duas formas:

• Aceleradores: Aceleradores fornecidos pela Microsoft para cenários de zonas de aterragem de plataforma e zonas de aterragem de aplicações utilizam infraestruturas como código para implementar ambientes Azure com base em práticas recomendadas.

• Construção personalizada: Desenha e constrói a solução internamente ou com apoio da Microsoft ou de parceiros da Microsoft.

Para a maioria das organizações, os aceleradores fornecem o caminho mais rápido para uma implementação alinhada com as práticas recomendadas pela Microsoft.

Arquitetura da zona de aterrissagem do Azure

Cada zona de aterragem Azure começa com a zona de aterragem da plataforma. Antes de construir uma zona de aterragem de plataforma, defina os requisitos organizacionais nas áreas de design da zona de aterragem do Azure. Estas decisões determinam como desenha a sua zona de aterragem Azure.

A arquitetura de referência da zona de aterragem Azure representa uma arquitetura de alvo recomendada. Utilize-o como ponto de partida e adapte-o para satisfazer as necessidades da sua organização.

Conceptual

Abaixo, a secção das zonas de destino da aplicação, gerida pelas equipas responsáveis pelas cargas de trabalho, mostra, à esquerda, a computação do Microsoft Fabric e as cargas de trabalho de Dados e IA/ML (Azure Databricks, Azure Machine Learning), bem como as caixas Workload 1 e Workload n, cada uma contendo recursos do Azure. Uma caixa Microsoft Foundry (Foundry IQ) liga-se para cima às cargas de trabalho para integrar a IA. As linhas tracejadas abaixo ligam a caixa do Azure ao Microsoft Copilot Studio, ao Microsoft Fabric (Fabric IQ) e ao Microsoft 365 (Microsoft 365 Copilot, Work IQ). Uma linha inferior rotulada "Todas as fontes de dados" lista On-premises, Dataverse, Microsoft 365, cargas de trabalho Azure e outras clouds.

Ao centro, encontram-se as subscrições individuais sob a forma de caixas. As subscrições de Segurança e Gestão (D, canto superior esquerdo) incluem áreas de trabalho do Log Analytics, Microsoft Sentinel e painéis. A subscrição Identity mantém redes virtuais com serviços de domínio e cofres de Serviços de Recuperação. A subscrição de Conectividade (E) inclui o Azure DDoS Protection, o DNS do Azure, gateways VPN/ExpressRoute, o Azure Firewall e redes virtuais de hub emparelhadas em duas regiões. As subscrições A2 e P1 da zona de destino da aplicação (F) incluem redes virtuais da aplicação, grupos de recursos e recursos da carga de trabalho (G) e, à direita, uma subscrição Sandbox (H). Cada subscrição repete uma linha comum de conjuntos de ferramentas: Grupos de Ação, Alertas, Gestão de Custos, Atribuição de Papéis, Atribuição de Políticas, Observador de Rede, Defender para a Cloud e Gestor de Atualizações do Azure.

Arquitetura de zona de aterragem Azure usando uma topologia de rede hub & spoke. Descarregue um ficheiro Visio ou um ficheiro PDF desta arquitetura.

WAN Virtual

Ao centro, encontram-se as subscrições individuais sob a forma de caixas. As subscrições de Segurança e Gestão (D, canto superior esquerdo) incluem áreas de trabalho do Log Analytics, Microsoft Sentinel e painéis. A subscrição Identity mantém redes virtuais com serviços de domínio e cofres de Serviços de Recuperação. A subscrição de Conectividade (E) contém Azure DDoS Protection, DNS do Azure, Azure Firewall e dois hubs WAN Virtual do Azure (Região 1 e Região N) com gateways VPN/ExpressRoute. As linhas de ligação VWAN Hub ligam estes hubs às redes virtuais da zona de aterragem da aplicação. As subscrições A2 e P1 da zona de destino da aplicação (F) incluem redes virtuais da aplicação, grupos de recursos e recursos da carga de trabalho (G) e, à direita, uma subscrição Sandbox (H). Cada subscrição repete uma linha comum de conjuntos de ferramentas: Grupos de Ação, Alertas, Gestão de Custos, Atribuição de Papéis, Atribuição de Políticas, Observador de Rede, Defender para a Cloud e Gestor de Atualizações do Azure.

Arquitetura de zona de aterragem Azure usando uma topologia de rede WAN Virtual do Azure. Descarregue um ficheiro Visio ou um ficheiro PDF desta arquitetura.

Somente hierarquia do grupo de gerenciamento

Na secção Subscrições abaixo, cada grupo de gestão está ligado às respetivas subscrições. Os grupos de Segurança, Gestão, Identidade e Gestão de Conectividade correspondem a uma subscrição correspondente com o mesmo nome. Corp liga-se às subscrições da zona de destino da aplicação A1, da zona de destino da aplicação P1 e da zona de destino da aplicação A2. O Local liga-se à subscrição C1 da zona de implementação de aplicações (Azure Local Clusters) e à subscrição A1 da zona de implementação de aplicações (Aplicações). Descontinuado corresponde a uma subscrição descontinuada, e Sandbox corresponde à subscrição Sandbox 1 e à subscrição Sandbox 2. O grupo de gestão online não tem nenhuma subscrição indicada por baixo.

Apenas a hierarquia do Grupo de Gestão da arquitetura de zonas de aterragem do Azure. Descarregue um ficheiro Visio ou um ficheiro PDF desta arquitetura.

Plataformas vs. zonas de aterragem de aplicação

As estruturas central e superior mantêm-se não sombreadas; acima estão a hierarquia de faturação Enterprise Agreement/Contrato de Cliente Microsoft (A), a gestão de identidades e acessos (B), o Microsoft Entra ID com Active Directory Domain Services no local, e o repositório Git, quadros e pipelines.

Apenas hierarquia de grupos de gestão da arquitetura de zonas de aterragem do Azure. Descarregue um ficheiro Visio ou um ficheiro PDF desta arquitetura.

Zona de aterragem da plataforma

A zona de aterragem da plataforma estabelece a base Azure da sua organização. Define como organiza os seus recursos Azure, impõe a governação e fornece capacidades partilhadas centralmente. A maioria das organizações deve ter apenas uma landing zone da plataforma por tenant do Microsoft Entra.

Uma zona de aterragem de plataforma consiste numa hierarquia de grupo de gestão e recursos centralizados (conforme necessário). Uma função importante da plataforma é ter uma forma de distribuir as zonas de aterragem das aplicações para as equipas de carga de trabalho.

• Hierarquia dos grupos de gestão: A hierarquia do grupo de gestão fornece a estrutura de governação para o ambiente Azure. Organiza todas as suas subscrições no Azure e aplica padrões de governação a essas subscrições. A hierarquia separa os recursos da plataforma dos recursos da carga de trabalho. Uma hierarquia bem desenhada permite-lhe aplicar normas de governação de forma consistente sem criar complexidade administrativa desnecessária.

• Recursos centralizados: Muitas organizações fornecem certas capacidades de forma centralizada para que todas as cargas de trabalho possam utilizar os mesmos serviços e normas aprovadas. Exemplos comuns incluem conectividade e redes, monitorização de segurança, serviços de identidade do Active Directory e serviços de gestão. O que centralizas depende das tuas necessidades. Centralize apenas capacidades que forneçam benefícios claros de governação, operacionais ou económicos em múltiplas cargas de trabalho.

• Principais responsabilidades da plataforma: Precisa de um processo repetível para solicitar, criar e distribuir zonas de aterragem de aplicações às equipas de carga de trabalho. Uma abordagem padronizada garante que cada nova zona de aterragem de aplicação segue as bases de governação e segurança da sua organização. Pode fazer este processo manualmente ou automatizá-lo. À medida que o número de pedidos de zonas de aterragem de aplicações cresce, a automação torna-se cada vez mais importante. Ver provisionamento por subscrição.

Opções de implementação: A Microsoft disponibiliza vários aceleradores de zonas de aterragem de plataforma que implementam padrões de arquitetura recomendados e guardas organizacionais. Consulte Opções de implementação da zona de aterragem da plataforma. Também pode desenvolver a sua própria implementação ou trabalhar com a Microsoft ou parceiros da Microsoft para construir uma zona de aterragem personalizada para a plataforma.

Zonas de aterragem de aplicações

As zonas de aterragem das aplicações alojam recursos de carga de trabalho do Azure. A maioria das cargas de trabalho utiliza múltiplas zonas de aterragem de aplicação, com zonas de aterragem separadas para cada ambiente, como desenvolvimento, testes e produção. Uma zona de aterragem de aplicação pode ser uma ou mais subscrições do Azure. Só precisa de múltiplas subscrições do Azure quando necessário para acomodar requisitos de carga de trabalho, limites organizacionais ou limites de subscrição do Azure.

A equipa da plataforma coloca as zonas de aterragem da aplicação no grupo de gestão Online, Interno ("Corp") ou Local, sob o grupo de gestão "Landing zones" da aplicação. As zonas de aterragem das aplicações herdam as políticas de governação e segurança das Políticas do Azure aplicadas à hierarquia do grupo de gestão. Este modelo fornece proteções consistentes e permite flexibilidade para satisfazer requisitos específicos da carga de trabalho.

Opções de implementação: A Microsoft disponibiliza vários aceleradores para estabelecer zonas de aterragem de aplicações. Também pode implementar a sua abordagem ou solicitar assistência à Microsoft ou aos parceiros da Microsoft. Consulte o Azure Architecture Center para uma lista de aceleradores de zonas de aterragem de aplicações.

Adoção tecnológica numa zona de aterragem Azure

Uma zona de aterragem Azure suporta tecnologias novas e emergentes sem necessitar de alterações à arquitetura global. Implementas recursos de carga de trabalho em zonas de aterragem de aplicações independentemente do tipo de carga de trabalho, como IA. À medida que surgem novos requisitos, atualiza-se as políticas de governação e segurança na zona de aterragem da plataforma. Essas políticas são depois aplicadas de forma consistente entre as zonas de aterragem da aplicação, o que ajuda a adotar novas tecnologias mais rapidamente e a manter a consistência em todas as cargas de trabalho desse tipo.

O Cloud Adoption Framework fornece orientações para cenários comuns de adoção para o ajudar a preparar as suas pessoas, processos e plataforma para uma adoção bem-sucedida. Ver cenários.

Próximos passos

Princípios de design