Что такое зона развертывания Azure?

Этап готовности Cloud Adoption Framework помогает разработать целевую зону Azure в соответствии с требованиями вашей организации. Посадочная зона Azure — это проверенная на практике и гибкая архитектура для управления, обеспечения безопасности и масштабирования среды Azure с несколькими подписками. Целевая зона Azure состоит из двух компонентов:

• Целевая зона платформы: Централизованная основа, которая устанавливает управление, безопасность и общие ресурсы для всех ваших Azure рабочих нагрузок.

• Целевые зоны для рабочих нагрузок: Среды, в которых команды, отвечающие за рабочие нагрузки, развертывают и эксплуатируют ресурсы рабочих нагрузок в рамках ограничений, заданных целевой зоной платформы. Рабочая нагрузка — это коллекция Azure ресурсов, кода, моделей ИИ, данных и инфраструктуры, которые совместно работают для достижения определенного бизнес-результата.

Вы можете реализовать каждый компонент целевой зоны Azure одним из двух способов:

• Акселераторы: акселераторы, предоставляемые Microsoft, для сценариев целевой зоны платформы и целевой зоны рабочей нагрузки используют инфраструктуру как код для развертывания сред Azure в соответствии с рекомендуемыми практиками.

• Настраиваемая сборка: вы разрабатываете и создаете решение внутренне или с поддержкой Microsoft или партнеров Microsoft.

Для большинства организаций акселераторы обеспечивают самый быстрый путь к развертыванию, которое соответствует рекомендациям Microsoft.

Архитектура зоны развёртывания Azure

Каждая Azure целевая зона начинается с целевой зоны платформы. Перед созданием зоны размещения платформы определите организационные требования в рамках областей проектирования зоны размещения Azure. Эти решения определяют, как вы проектируете посадочную зону Azure.

Концептуальные архитектуры

Схемы концептуальной архитектуры помогают понять основные компоненты целевой зоны Azure и как они работают вместе. Начните с этих схем, чтобы понять связь между целевой зоной платформы, целевыми зонами рабочей нагрузки и решениями Microsoft.

Концептуальный

Схема многоуровневой архитектуры. Верхний баннер с надписью «Унифицированная идентификация, безопасность и управление» включает Microsoft Agent 365, Microsoft Defender, Microsoft Entra и Microsoft Purview. Ниже показан большой блок целевой зоны Azure, содержащий целевую зону платформы, расположенную по центру над разделом целевых зон рабочей нагрузки. Раздел зон размещения рабочих нагрузок содержит три блока зон размещения рабочих нагрузок, представляющих рабочие нагрузки Azure. Под рабочими нагрузками блок Microsoft Foundry и Foundry IQ соединён пунктирными стрелками с зонами размещения рабочих нагрузок, обозначая опциональные возможности ИИ для выбранных рабочих нагрузок.

Концептуальная архитектура целевой зоны Azure. Скачайте файл PowerPoint этой архитектуры.

Концептуальная и корпоративная интеграция

Под целевой зоной Azure Microsoft Copilot Studio, Microsoft Fabric и Microsoft 365 показаны как интегрированные решения для бизнеса, работы с данными и ИИ. Внизу к этим решениям подключаются источники данных, включая локальные системы, Dataverse, Microsoft 365, рабочие нагрузки Azure и другие облака. Двунаправленные стрелки указывают на интеграцию между источниками данных, Microsoft платформами и рабочими нагрузками Azure.

Концептуальная Azure архитектура целевой зоны и корпоративная интеграция с решениями Microsoft. Скачайте файл PowerPoint этой архитектуры.

Подробное концептуальное описание

В разделе "Целевые зоны рабочей нагрузки" показано, как рабочие нагрузки организованы в архитектуре целевых зон Azure. Рабочие нагрузки группируются в категории "Внутренний", "Онлайн" и "Локальный". Для каждой рабочей нагрузки создаётся выделенная лендинг-зона, содержащая все среды, относящиеся к этой рабочей нагрузке. Типичные среды включают разработку, тестирование и рабочую среду с каждой средой, состоящей из одной или нескольких Azure подписок. Примеры внутренней рабочей нагрузки включают целевую зону вычислений Microsoft Fabric и целевую зону рабочей нагрузки ИИ, которая использует такие службы, как Машинное обучение Azure, Azure Databricks, ИИ в инфраструктуре Azure и Azure Data Lake Storage. На схеме также показано, что ресурсы Microsoft Foundry можно добавлять в среды рабочих нагрузок, где требуются возможности ИИ. Группы рабочей нагрузки управляют целевыми зонами рабочей нагрузки, которые остаются отдельно от целевой зоны платформы, управляемой командами платформы.

Подробная концептуальная архитектура целевой зоны Azure. Скачайте файл PowerPoint этой архитектуры.

Подробные концептуальные и корпоративные интеграции

Под целевой зоной Azure Microsoft Copilot Studio, Microsoft Fabric и Microsoft 365 показаны как интегрированные решения для бизнеса, работы с данными и ИИ. Внизу к этим решениям подключаются источники данных, включая локальные системы, Dataverse, Microsoft 365, рабочие нагрузки Azure и другие облака. Двунаправленные стрелки указывают на интеграцию между источниками данных, Microsoft платформами и рабочими нагрузками Azure.

Детальная концептуальная архитектура целевой зоны Azure, а также корпоративная интеграция с решениями Microsoft. Скачайте файл PowerPoint этой архитектуры.

Эталонные архитектуры

Диаграммы эталонной архитектуры показывают рекомендуемые шаблоны реализации и модели развертывания для посадочной зоны Azure. Используйте эти схемы, чтобы понять, как организованы группы управления, подписки, сетевые ресурсы и средства управления в архитектуре типа «центр — периферия», Виртуальная глобальная сеть Azure и других архитектурных решениях.

Концентратор-периферийный

Ближе к центру расположены отдельные подписки в виде блоков. Подписки Security and Management (D, вверху слева) включают рабочие области Log Analytics, Microsoft Sentinel и панели мониторинга. Подписка Identity содержит виртуальные сети со службами домена и хранилищами служб Recovery Services. Подписка Connectivity (E) включает Azure DDoS Protection, Azure DNS, шлюзы VPN/ExpressRoute, Брандмауэр Azure и виртуальные сети концентратора, соединённые через пиринг, в двух регионах. Подписки целевой зоны рабочей нагрузки A2 и P1 (F) содержат виртуальные сети приложений, группы ресурсов и ресурсы рабочей нагрузки (G), а справа расположена подписка песочницы (H). Каждая подписка повторяет общую строку набора инструментов: группы действий, оповещения, управление затратами, назначение ролей, назначение политики, Наблюдатель за сетями, Defender для облака и Диспетчер обновлений Azure.

Эталонная архитектура landing zone в Azure с сетевой топологией «hub-and-spoke» Скачайте файл Visio или PDF-файл этой архитектуры.

Виртуальная глобальная сеть

Ближе к центру расположены отдельные подписки в виде блоков. Подписки Security and Management (D, вверху слева) включают рабочие области Log Analytics, Microsoft Sentinel и панели мониторинга. Подписка Identity содержит виртуальные сети со службами домена и хранилищами служб Recovery Services. Подписка на подключение (E) содержит Azure защиту от атак DDoS, Azure DNS, Брандмауэр Azure и два центра Виртуальная глобальная сеть Azure (регион 1 и регион N) с шлюзами VPN/ExpressRoute. Линии подключения концентратора VWAN связывают эти центры с виртуальными сетями целевой зоны рабочей нагрузки. Подписки целевой зоны для рабочей нагрузки A2 и P1 (F) содержат виртуальные сети приложений, группы ресурсов и ресурсы рабочей нагрузки (G), а справа — подписка Sandbox (H). Каждая подписка повторяет общую строку набора инструментов: группы действий, оповещения, управление затратами, назначение ролей, назначение политики, Наблюдатель за сетями, Defender для облака и Диспетчер обновлений Azure.

Эталонная архитектура целевой зоны Azure с изображением топологии сети Виртуальная глобальная сеть Azure. Скачайте файл Visio или PDF-файл этой архитектуры.

Иерархия групп управления

На расположенной ниже полосе подписок каждая группа управления связана со своими подписками. Группы управления безопасностью, управлением удостоверениями и подключениями сопоставляются с соответствующей подпиской с одинаковым именем. Corp подключается к подпискам целевой зоны рабочей нагрузки A1, целевой зоны рабочей нагрузки P1 и целевой зоны рабочей нагрузки A2. Local подключается к подписке целевой зоны рабочей нагрузки C1 (кластеры Azure Local) и к подписке целевой зоны рабочей нагрузки A1 (Приложения). «Выведено из эксплуатации» соответствует подписке «Выведено из эксплуатации», а «Песочница» — подписке «Песочница 1» и подписке «Песочница 2». Под группой управления Online не отображается подписка.

Базовая Azure иерархия групп управления целевой зоной. Скачайте файл Visio этой архитектуры.

Целевые зоны платформы в сравнении с целевыми зонами рабочей нагрузки

Центральные и верхние структуры остаются незаштрихованными; выше находятся иерархия выставления счетов Enterprise Agreement/Клиентское соглашение Майкрософт (A), управление идентификацией и доступом (B), Microsoft Entra ID с локальными службами доменные службы Active Directory, а также репозиторий Git, доски и конвейеры.

Целевая зона платформы в сравнении с целевыми зонами рабочих нагрузок в эталонной архитектуре целевой зоны Azure. Скачайте файл Visio или PDF-файл этой архитектуры.

Зона развертывания платформы

Платформенная landing zone создает основу Azure для вашей организации. Он определяет, как вы организуете ресурсы Azure, обеспечиваете соблюдение политик управления и централизованно предоставляете общие возможности. Большинство организаций должны иметь только одну целевую зону платформы для каждого клиента Microsoft Entra.

Зона развертывания платформы включает иерархию групп управления и централизованные ресурсы (при необходимости). Важной функцией платформы является возможность распределять целевые среды для рабочих нагрузок между командами рабочих нагрузок.

• Иерархия групп управления: Иерархия групп управления предоставляет структуру управления для среды Azure. Он упорядочивает все Azure подписки и применяет стандарты управления к этим подпискам. Иерархия отделяет ресурсы платформы и ресурсы рабочей нагрузки. Хорошо разработанная иерархия позволяет постоянно применять стандарты управления без необходимости создавать ненужные административные сложности.

• Централизованные ресурсы: Многие организации предоставляют определенные возможности централизованно, чтобы каждая рабочая нагрузка может использовать те же утвержденные службы и стандарты. Распространённые примеры включают подключение к сети и сетевые службы, мониторинг безопасности, службы идентификации Active Directory и службы управления. То, что вы централизируете, зависит от ваших требований. Централизуйте только те возможности, которые обеспечивают явные преимущества с точки зрения управления, эксплуатации или экономики для нескольких рабочих нагрузок.

• Распределение лендинг-зон для рабочих нагрузок: Вам нужен повторяемый процесс для запроса, создания и предоставления лендинг-зон для рабочих нагрузок командам, отвечающим за эти рабочие нагрузки. Стандартный подход гарантирует, что каждая новая целевая зона рабочей нагрузки соответствует базовым стандартам управления и безопасности вашей организации. Вы можете выполнить этот процесс вручную или автоматизировать его. По мере роста числа запросов на зоны размещения рабочих нагрузок автоматизация приобретает всё большее значение. См. Продажа подписок.

Варианты реализации: Microsoft предоставляет несколько ускорителей для целевых зон платформы, которые реализуют рекомендуемые архитектурные шаблоны и организационные ограничения. См. параметры реализации целевой зоны платформы. Вы также можете создать собственную реализацию или совместно с Microsoft либо партнерами Microsoft создать настраиваемую посадочную зону платформы.

Зона посадки рабочей нагрузки

Каждая рабочая нагрузка имеет одну целевую зону рабочей нагрузки. Целевая среда для рабочей нагрузки включает все среды, необходимые для поддержки этой рабочей нагрузки, например среду разработки, тестовую и производственную среды. Каждая среда состоит из одной или нескольких Azure подписок на основе требований рабочей нагрузки, границ владения командой или Azure ограничений подписки. Целевая платформа рабочей нагрузки включает все ресурсы Azure, которыми владеет и управляет команда рабочей нагрузки во всех средах.

В зависимости от требований рабочей нагрузки команда платформы помещает каждую подписку целевой зоны для рабочей нагрузки в группу управления Online, Internal ("Corp") или Local в составе группы управления "(Application) Landing zones". Каждая подписка и ее ресурсы Azure наследуют политики управления и безопасности из политик Azure, применяемых к иерархии групп управления. Эта модель обеспечивает согласованную защиту и обеспечивает гибкость в соответствии с требованиями для конкретной рабочей нагрузки.

Варианты реализации: Microsoft предоставляет несколько акселераторов для развертывания различных типов целевых зон рабочей нагрузки. Вы также можете реализовать собственный подход или привлечь Microsoft или Microsoft партнеров по оказанию помощи. Список акселераторов целевой зоны рабочей нагрузки см. в центре архитектуры Azure.

Внедрение технологий в целевой зоне Azure

Целевая зона Azure поддерживает новые и новые технологии, не требуя изменений в общей архитектуре. Ресурсы рабочей нагрузки развертываются в целевых зонах рабочей нагрузки независимо от типа рабочей нагрузки, например ИИ. По мере появления новых требований вы обновляете политики управления и безопасности в целевой зоне платформы. Затем эти политики применяются последовательно в целевых зонах рабочей нагрузки, что помогает быстрее внедрять новые технологии и поддерживать согласованность для всех рабочих нагрузок этого типа.

Cloud Adoption Framework предоставляет рекомендации по общим сценариям внедрения, которые помогут вам подготовить людей, процессы и платформу для успешного внедрения. См. сценарии.

Следующие шаги

Принципы проектирования