Vad är en Azure-landningszon?

Fasen Redo i Cloud Adoption Framework hjälper dig att utforma din Azure-landningszon så att den uppfyller din organisations krav. En Azure landningszon är en beprövad och flexibel arkitektur för att styra, skydda och skala en miljö med flera prenumerationer Azure. En Azure landningszon består av två komponenter:

• Plattformslandningszon: Den centraliserade grunden som etablerar styrning, säkerhet och delade resurser för alla dina Azure arbetsbelastningar.

• Landningszoner för program (arbetsbelastning): De miljöer där arbetsbelastningsteam distribuerar och använder arbetsbelastningsresurser inom skyddsräckena i plattformslandningszonen. En arbetsbelastning är en samling Azure resurser, kod, AI-modeller, data och infrastruktur som fungerar tillsammans för att uppnå ett definierat affärsresultat.

Du kan implementera varje komponent i din Azure landningszon på något av två sätt:

• Acceleratorer: Microsoft acceleratorer för både plattformslandningszon och scenarier för programlandningszoner använder infrastruktur som kod för att distribuera Azure miljöer baserat på rekommenderade metoder.

• Anpassad version: Du utformar och skapar lösningen internt eller med stöd från Microsoft eller Microsoft partner.

För de flesta organisationer ger acceleratorer den snabbaste vägen till en distribution som överensstämmer med Microsoft rekommenderade metoder.

Arkitektur för Azure-landningszoner

Varje Azure landningszon börjar med plattformens landningszon. Innan du skapar en plattformslandningszon måste du definiera organisatoriska krav i designområdena för Azure landningszon. Dessa beslut avgör hur du utformar din Azure landningszon.

Referensarkitekturen för Azure-landningszoner representerar en rekommenderad målarkitektur. Använd den som utgångspunkt och anpassa den så att den uppfyller organisationens krav.

Konceptuell

Streckade linjer nedan länkar rutan Azure till Microsoft Copilot Studio, Microsoft Fabric (Fabric IQ) och Microsoft 365 (Microsoft 365 Copilot, Work IQ). En nedre rad med etiketten "Alla datakällor" listar lokala, Dataverse, Microsoft 365, Azure arbetsbelastningar och andra moln.

Ungefär i mitten ligger enskilda prenumerationer i form av rutor. Säkerhets- och hanteringsprenumerationer (D, uppe till vänster) innehåller Log Analytics-arbetsytor, Microsoft Sentinel och instrumentpaneler. Identitetsprenumerationen innehåller virtuella nätverk med domäntjänster och Recovery Services-valv. Anslutningsprenumerationen (E) innehåller Azure DDoS Protection, Azure DNS, VPN/ExpressRoute-gatewayer, Azure Firewall och peer-kopplade virtuella hubbnätverk i två regioner. Landningszon för program A2- och P1-prenumerationer (F) rymmer virtuella nätverk för program, resursgrupper och arbetslastresurser (G), samt en Sandbox-prenumeration (H) till höger. Varje prenumeration upprepar en gemensam verktygsuppsättningsrad: Åtgärdsgrupper, aviseringar, kostnadshantering, rolltilldelning, principtilldelning, Network Watcher, Defender för molnet och Azure uppdateringshanterare.

Arkitektur för Azure-landningszoner med en hub-and-spoke-topologi. Ladda ned en Visio-fil eller PDF-fil för den här arkitekturen.

Virtual WAN

Ungefär i mitten ligger enskilda prenumerationer i form av rutor. Säkerhets- och hanteringsprenumerationer (D, uppe till vänster) innehåller Log Analytics-arbetsytor, Microsoft Sentinel och instrumentpaneler. Identitetsprenumerationen innehåller virtuella nätverk med domäntjänster och Recovery Services-valv. Anslutningsprenumerationen (E) innehåller Azure DDoS Protection, Azure DNS, Azure Firewall och två Azure Virtual WAN hubbar (region 1 och region N) med VPN/ExpressRoute-gatewayer. VWAN Hub-anslutningslinjer länkar dessa hubbar till de virtuella nätverken i programlandningszonen. Landningszon för program A2- och P1-prenumerationer (F) rymmer virtuella nätverk för program, resursgrupper och arbetslastresurser (G), samt en Sandbox-prenumeration (H) till höger. Varje prenumeration upprepar en gemensam verktygsuppsättningsrad: Åtgärdsgrupper, aviseringar, kostnadshantering, rolltilldelning, principtilldelning, Network Watcher, Defender för molnet och Azure uppdateringshanterare.

Arkitektur för Azure-landningszon med en nätverkstopologi för Azure Virtual WAN. Ladda ned en Visio-fil eller PDF-fil för den här arkitekturen.

Endast hanteringsgrupphierarki

I prenumerationsintervallet nedan länkar varje hanteringsgrupp till sina prenumerationer. Hanteringsgrupperna Säkerhet, Hantering, Identitet och Anslutning motsvarar var och en en prenumeration med samma namn. Corp ansluter till prenumerationerna för applikationslandningszonerna A1, P1 och A2. Local ansluter till C1-prenumerationen för applikationslandningszonen (Azure Local-kluster) och A1-prenumerationen för applikationslandningszonen (Applikationer). Inaktiverade kartor till en inaktiverad prenumeration och Sandbox-mappar till Sandbox-prenumeration 1 och Sandbox-prenumeration 2. Onlinehanteringsgruppen har ingen prenumeration som visas under den.

Endast hanteringsgruppshierarkin för Azure-landningszonsarkitekturen. Ladda ned en Visio-fil eller PDF-fil för den här arkitekturen.

Plattforms- eller programlandningszoner

De centrala och övre strukturerna är fortfarande oskuggade. Ovan visas Enterprise Agreement-/zmluva spoločnosti Microsoft so zákazníkom-faktureringshierarkin (A), identitets- och åtkomsthantering (B), Microsoft Entra ID med lokal Doménové služby Active Directory samt Git-databas, anslagstavlor och pipelines.

Endast hierarkin för hanteringsgrupper i Azures landningszonsarkitektur. Ladda ned en Visio-fil eller PDF-fil för den här arkitekturen.

Plattformslandningszon

Plattformslandningszonen etablerar organisationens Azure grund. Den definierar hur du organiserar dina Azure resurser, framtvingar styrning och tillhandahåller delade funktioner centralt. De flesta organisationer bör bara ha en plattformslandningszon per Microsoft Entra klientorganisation.

En plattformslandningszon består av en hanteringsgruppshierarki och centraliserade resurser (efter behov). En viktig funktion i plattformen är att tillhandahålla ett sätt att distribuera applikationslandningszoner till arbetslastteam.

• Hierarki för hanteringsgrupp: Hierarkin för hanteringsgrupper tillhandahåller styrningsstrukturen för den Azure miljön. Den organiserar alla dina Azure-prenumerationer och tillämpar styrningsstandarder för dessa prenumerationer. Hierarkin separerar plattformsresurser och arbetsbelastningsresurser. Med en väl utformad hierarki kan du tillämpa styrningsstandarder konsekvent utan att skapa onödig administrativ komplexitet.

• Centraliserade resurser: Många organisationer tillhandahåller vissa funktioner centralt så att varje arbetsbelastning kan använda samma godkända tjänster och standarder. Vanliga exempel är anslutningar och nätverk, säkerhetsövervakning, služba Active Directory identitetstjänster och hanteringstjänster. Vad du centraliserar beror på dina krav. Centralisera endast funktioner som ger tydliga styrnings-, drifts- eller ekonomiska fördelar för flera arbetsbelastningar.

• Viktigt plattformsansvar: Du behöver en repeterbar process för att begära, skapa och distribuera programlandningszoner till arbetsbelastningsteam. En standardiserad metod säkerställer att varje ny programlandningszon följer organisationens styrnings- och säkerhetsbaslinjer. Du kan göra den här processen manuellt eller automatisera den. I takt med att antalet begäranden om programlandningszoner växer blir automatisering allt viktigare. Se försäljning av prenumerationer.

Implementeringsalternativ: Microsoft innehåller flera plattformsacceleratorer för landningszoner som implementerar rekommenderade arkitekturmönster och organisatoriska skyddsräcken. Se Implementeringsalternativ för plattformslandningszoner. Du kan också utveckla din egen implementering eller arbeta med Microsoft eller Microsoft partner för att skapa en anpassad plattformslandningszon.

Landningszon för program

Varje arbetsbelastning har en enda programlandningszon. En programlandningszon innehåller alla miljöer som krävs för att stödja den arbetsbelastningen, till exempel utveckling, test och produktion. Varje miljö består av en eller flera Azure prenumerationer baserat på arbetsbelastningskrav, gränser för teamägarskap eller Azure prenumerationsgränser. Programlandningszonen innehåller alla Azure resurser som arbetsbelastningsteamet äger och arbetar i alla miljöer.

Baserat på kraven för arbetsbelastningen placerar plattformsteamet varje prenumeration för programlandningszoner i antingen hanteringsgruppen Online, Intern ("Corp" eller Lokal hanteringsgrupp under hanteringsgruppen "(Program) Landningszoner". Varje prenumeration och dess Azure resurser ärver styrnings- och säkerhetsprinciperna från de Azure principer som tillämpas på hanteringsgruppshierarkin. Den här modellen ger konsekventa skyddsräcken och ger flexibilitet för att uppfylla arbetsbelastningsspecifika krav.

Implementeringsalternativ: Microsoft innehåller flera acceleratorer för att distribuera olika typer av programlandningszoner. Du kan också implementera din egen metod eller kontakta Microsoft eller Microsoft partner för att få hjälp. Se Azure Architecture Center för en lista över acceleratorer för programlandningszoner.

Införande av teknik i en Azure-landningszon

En Azure landningszon stöder nya och framväxande tekniker utan att kräva ändringar i den övergripande arkitekturen. Du distribuerar arbetsbelastningsresurser till programlandningszoner oavsett arbetsbelastningstyp, till exempel AI. När nya krav dyker upp uppdaterar du styrnings- och säkerhetsprinciperna i plattformslandningszonen. Dessa policyer tillämpas sedan konsekvent i landningszoner för program, vilket hjälper dig att införa ny teknik snabbare och bibehålla enhetlighet för alla arbetsbelastningar av samma typ.

Cloud Adoption Framework ger vägledning för vanliga implementeringsscenarier som hjälper dig att förbereda dina personer, processer och plattform för lyckad implementering. Se Scenarier.

Nästa steg

Designprinciper