O que é uma zona de destino do Azure?

A fase Ready do Cloud Adoption Framework ajuda-o a desenhar a sua zona de aterragem no Azure para satisfazer as necessidades da sua organização. Uma zona de aterragem Azure é uma arquitetura comprovada e flexível para governar, proteger e escalar um ambiente Azure multi-subscrição. Uma zona de aterragem Azure consiste em dois componentes:

• Zona de aterragem da plataforma: A fundação centralizada que estabelece governação, segurança e recursos partilhados para todas as suas cargas de trabalho no Azure.

• Zonas de destino da carga de trabalho: Os ambientes onde as equipas responsáveis pelas cargas de trabalho implementam e operam os recursos da carga de trabalho dentro dos limites definidos pela zona de destino da plataforma. Uma carga de trabalho é um conjunto de recursos Azure, código, modelos de IA, dados e infraestrutura que trabalham em conjunto para alcançar um resultado de negócio definido.

Pode implementar cada componente da sua zona de aterragem Azure de duas formas:

• Aceleradores: Aceleradores fornecidos pela Microsoft para cenários de zonas de aterragem de plataforma e de carga de trabalho utilizam infraestruturas como código para implementar ambientes Azure com base em práticas recomendadas.

• Construção personalizada: Desenha e constrói a solução internamente ou com apoio da Microsoft ou de parceiros da Microsoft.

Para a maioria das organizações, os aceleradores fornecem o caminho mais rápido para uma implementação alinhada com as práticas recomendadas pela Microsoft.

Arquitetura da zona de aterrissagem do Azure

Cada zona de aterragem Azure começa com a zona de aterragem da plataforma. Antes de construir uma zona de aterragem de plataforma, defina os requisitos organizacionais nas áreas de design da zona de aterragem do Azure. Estas decisões determinam como desenha a sua zona de aterragem Azure.

Arquiteturas conceptuais

Diagramas de arquitetura conceptual ajudam-no a compreender os componentes essenciais de uma zona de aterragem Azure e como funcionam em conjunto. Comece com estes diagramas para compreender a relação entre a zona de aterragem da plataforma, as zonas de aterragem da carga de trabalho e as soluções da Microsoft.

Conceptual

Diagrama de arquitetura em camadas. Um banner superior rotulado "Identidade unificada, segurança e governação" contém Microsoft Agent 365, Microsoft Defender, Microsoft Entra e Microsoft Purview. Abaixo, uma grande caixa de zona de aterragem Azure contém uma zona de aterragem de plataforma centrada acima de uma secção de zonas de aterragem de carga de trabalho. A secção de zonas de aterragem de carga de trabalho contém três caixas de zonas de aterragem de carga de trabalho que representam as cargas de trabalho do Azure. Por baixo das cargas de trabalho, uma caixa Microsoft Foundry e Foundry IQ liga-se por setas tracejadas às zonas de aterragem da carga de trabalho, indicando capacidades opcionais de IA para cargas de trabalho selecionadas.

Arquitetura conceptual da landing zone do Azure. Descarregue um ficheiro PowerPoint desta arquitetura.

Integração conceptual + empresarial

Por baixo da zona de aterragem do Azure, o Microsoft Copilot Studio, Microsoft Fabric e Microsoft 365 são apresentados como soluções integradas de negócio, dados e IA. Na parte inferior, as fontes de dados, incluindo sistemas on-premises, Dataverse, Microsoft 365, cargas de trabalho do Azure e outras nuvens, ligam-se a estas soluções. Setas bidirecionais indicam a integração entre fontes de dados, plataformas Microsoft e cargas de trabalho do Azure.

Arquitetura conceptual de zona de aterragem Azure mais integração empresarial com soluções Microsoft. Descarregue um ficheiro PowerPoint desta arquitetura.

Conceptual detalhado

A secção de zonas de aterragem de carga mostra como as cargas de trabalho estão organizadas sob a arquitetura de zonas de aterragem do Azure. As cargas de trabalho estão agrupadas em categorias Internas, Online e Locais. Cada carga de trabalho recebe uma zona de aterragem dedicada que contém todos os ambientes associados a essa carga de trabalho. Ambientes típicos incluem desenvolvimento, teste e produção, sendo que cada ambiente consiste em uma ou mais subscrições do Azure. Exemplos internos de cargas de trabalho incluem uma zona de aterragem computacional Microsoft Fabric e uma zona de aterragem para carga de dados e IA que utiliza serviços como Azure Machine Learning, Azure Databricks, IA on Azure Infrastructure, e Azure Data Lake Storage. O diagrama também mostra que os recursos do Microsoft Foundry podem ser adicionados a ambientes de carga de trabalho onde são necessárias capacidades de IA. As equipas de carga de trabalho gerem as zonas de aterragem da carga de trabalho, que permanecem separadas da zona de aterragem da plataforma gerida pelas equipas da plataforma.

Arquitetura conceptual detalhada da zona de aterragem do Azure. Descarregue um ficheiro PowerPoint desta arquitetura.

Conceptual detalhado + integração empresarial

Por baixo da zona de aterragem do Azure, o Microsoft Copilot Studio, Microsoft Fabric e Microsoft 365 são apresentados como soluções integradas de negócio, dados e IA. Na parte inferior, as fontes de dados, incluindo sistemas on-premises, Dataverse, Microsoft 365, cargas de trabalho do Azure e outras nuvens, ligam-se a estas soluções. Setas bidirecionais indicam a integração entre fontes de dados, plataformas Microsoft e cargas de trabalho do Azure.

Arquitetura conceptual detalhada da zona de aterragem do Azure, além de integração empresarial com soluções da Microsoft. Descarregue um ficheiro PowerPoint desta arquitetura.

Arquiteturas de referência

Diagramas de arquitetura de referência mostram padrões recomendados de implementação de zonas de aterragem do Azure e modelos de implementação. Utilize estes diagramas para compreender como os grupos de gestão, subscrições, redes e controlos de governação estão organizados em hub-and-spoke, WAN Virtual do Azure e outros designs de arquitetura.

Hub-Spoke

Ao centro, encontram-se as subscrições individuais sob a forma de caixas. As subscrições de Segurança e Gestão (D, canto superior esquerdo) incluem áreas de trabalho do Log Analytics, Microsoft Sentinel e painéis. A subscrição Identity mantém redes virtuais com serviços de domínio e cofres de Serviços de Recuperação. A subscrição de Conectividade (E) inclui o Azure DDoS Protection, o DNS do Azure, gateways VPN/ExpressRoute, o Azure Firewall e redes virtuais de hub emparelhadas em duas regiões. As subscrições A2 e P1 (F) da zona de implementação da carga de trabalho alojam redes virtuais das aplicações, grupos de recursos e recursos da carga de trabalho (G), bem como uma subscrição Sandbox (H), à direita. Cada subscrição repete uma linha comum de conjuntos de ferramentas: Grupos de Ação, Alertas, Gestão de Custos, Atribuição de Papéis, Atribuição de Políticas, Observador de Rede, Defender para a Cloud e Gestor de Atualizações do Azure.

Arquitetura de referência de landing zone do Azure que mostra uma topologia de rede hub & spoke. Descarregue um ficheiro Visio ou um ficheiro PDF desta arquitetura.

WAN Virtual

Ao centro, encontram-se as subscrições individuais sob a forma de caixas. As subscrições de Segurança e Gestão (D, canto superior esquerdo) incluem áreas de trabalho do Log Analytics, Microsoft Sentinel e painéis. A subscrição Identity mantém redes virtuais com serviços de domínio e cofres de Serviços de Recuperação. A subscrição de Conectividade (E) contém Azure DDoS Protection, DNS do Azure, Azure Firewall e dois hubs WAN Virtual do Azure (Região 1 e Região N) com gateways VPN/ExpressRoute. As linhas de ligação VWAN Hub ligam estes hubs às redes virtuais da zona de aterragem da carga de trabalho. As subscrições da zona de implementação da carga de trabalho A2 e P1 (F) alojam redes virtuais das aplicações, grupos de recursos e recursos da carga de trabalho (G), bem como uma subscrição Sandbox (H), à direita. Cada subscrição repete uma linha comum de conjuntos de ferramentas: Grupos de Ação, Alertas, Gestão de Custos, Atribuição de Papéis, Atribuição de Políticas, Observador de Rede, Defender para a Cloud e Gestor de Atualizações do Azure.

Arquitetura de referência da landing zone do Azure que mostra uma topologia de rede do WAN Virtual do Azure. Descarregue um ficheiro Visio ou um ficheiro PDF desta arquitetura.

Hierarquia dos grupos de gestão

Na secção Subscrições abaixo, cada grupo de gestão está ligado às respetivas subscrições. Os grupos de Segurança, Gestão, Identidade e Gestão de Conectividade correspondem a uma subscrição correspondente com o mesmo nome. A Corp liga-se às subscrições da zona de destino da carga de trabalho A1, da zona de destino da carga de trabalho P1 e da zona de destino da carga de trabalho A2. Local liga-se à subscrição C1 da zona de destino de carga de trabalho (Azure Local Clusters) e à subscrição A1 da zona de destino de carga de trabalho (Aplicações). Descontinuado corresponde a uma subscrição descontinuada, e Sandbox corresponde à subscrição Sandbox 1 e à subscrição Sandbox 2. O grupo de gestão online não tem nenhuma subscrição indicada por baixo.

Hierarquia de grupos de gestão da zona de destino de referência do Azure. Descarregue um ficheiro Visio desta arquitetura.

Zonas de aterragem de plataforma vs. carga de trabalho

As estruturas central e superior mantêm-se não sombreadas; acima estão a hierarquia de faturação Enterprise Agreement/Contrato de Cliente Microsoft (A), a gestão de identidades e acessos (B), o Microsoft Entra ID com Active Directory Domain Services no local, e o repositório Git, quadros e pipelines.

Zona de aterragem de plataforma vs. zonas de aterragem de carga de trabalho na arquitetura de referência de zonas de aterragem do Azure. Descarregue um ficheiro Visio ou um ficheiro PDF desta arquitetura.

Zona de aterragem da plataforma

A zona de aterragem da plataforma estabelece a base Azure da sua organização. Define como organiza os seus recursos Azure, impõe a governação e fornece capacidades partilhadas centralmente. A maioria das organizações deve ter apenas uma landing zone da plataforma por tenant do Microsoft Entra.

Uma zona de aterragem de plataforma consiste numa hierarquia de grupo de gestão e recursos centralizados (conforme necessário). Uma função importante da plataforma é ter uma forma de distribuir as zonas de aterragem da carga de trabalho para as equipas de carga de trabalho.

• Hierarquia dos grupos de gestão: A hierarquia do grupo de gestão fornece a estrutura de governação para o ambiente Azure. Organiza todas as suas subscrições no Azure e aplica padrões de governação a essas subscrições. A hierarquia separa os recursos da plataforma dos recursos da carga de trabalho. Uma hierarquia bem desenhada permite-lhe aplicar normas de governação de forma consistente sem criar complexidade administrativa desnecessária.

• Recursos centralizados: Muitas organizações fornecem certas capacidades de forma centralizada para que todas as cargas de trabalho possam utilizar os mesmos serviços e normas aprovadas. Exemplos comuns incluem conectividade e redes, monitorização de segurança, serviços de identidade do Active Directory e serviços de gestão. O que centralizas depende das tuas necessidades. Centralize apenas capacidades que forneçam benefícios claros de governação, operacionais ou económicos em múltiplas cargas de trabalho.

• Distribuição das zonas de aterragem da carga de trabalho: Precisa de um processo repetível para solicitar, criar e distribuir as zonas de aterragem da carga de trabalho às equipas de carga de trabalho. Uma abordagem padronizada garante que cada nova zona de aterragem de carga de trabalho siga as bases de governação e segurança da sua organização. Pode fazer este processo manualmente ou automatizá-lo. À medida que o número de pedidos de zonas de aterragem de carga de trabalho aumenta, a automação torna-se cada vez mais importante. Ver provisionamento por subscrição.

Opções de implementação: A Microsoft disponibiliza vários aceleradores de zonas de aterragem de plataforma que implementam padrões de arquitetura recomendados e guardas organizacionais. Consulte Opções de implementação da zona de aterragem da plataforma. Também pode desenvolver a sua própria implementação ou trabalhar com a Microsoft ou parceiros da Microsoft para construir uma zona de aterragem personalizada para a plataforma.

Zona de aterragem de carga de trabalho

Cada carga de trabalho tem uma única zona de aterragem da carga de trabalho. Uma zona de aterragem de carga de trabalho contém todos os ambientes necessários para suportar essa carga de trabalho, como desenvolvimento, teste e produção. Cada ambiente consiste em uma ou mais subscrições do Azure com base nos requisitos de carga de trabalho, limites de propriedade da equipa ou limites de subscrição do Azure. A zona de aterragem da carga de trabalho inclui todos os recursos do Azure que a equipa de carga de trabalho detém e que opera em todos os ambientes.

Com base nos requisitos da carga de trabalho, a equipa da plataforma coloca cada subscrição da zona de aterragem da carga de trabalho no grupo de gestão Online, Interno ("Corp") ou Local, sob o grupo de gestão "Zonas de Aterragem (Aplicação)". Cada subscrição e os seus recursos do Azure herdam as políticas de governação e segurança das políticas do Azure aplicadas à hierarquia de grupos de gestão. Este modelo fornece proteções consistentes e permite flexibilidade para satisfazer requisitos específicos da carga de trabalho.

Opções de implementação: A Microsoft disponibiliza vários aceleradores para implementar diferentes tipos de zonas de aterragem de carga de trabalho. Também pode implementar a sua própria abordagem ou recorrer à Microsoft ou aos parceiros da Microsoft para obter ajuda. Consulte o Azure Architecture Center para uma lista de aceleradores de zonas de aterragem de carga de trabalho.

Adoção tecnológica numa zona de aterragem Azure

Uma zona de aterragem Azure suporta tecnologias novas e emergentes sem necessitar de alterações à arquitetura global. Implementas recursos de carga de trabalho em zonas de aterragem independentemente do tipo de carga, como IA. À medida que surgem novos requisitos, atualiza-se as políticas de governação e segurança na zona de aterragem da plataforma. Essas políticas são depois aplicadas de forma consistente entre as zonas de aterragem da carga de trabalho, o que ajuda a adotar novas tecnologias mais rapidamente e a manter a consistência em todas as cargas desse tipo.

O Cloud Adoption Framework fornece orientações para cenários comuns de adoção para o ajudar a preparar as suas pessoas, processos e plataforma para uma adoção bem-sucedida. Ver cenários.

Próximos passos

Princípios de design