欲了解 BizTalk 伺服器部署系統架構的完整資訊，請參閱 BizTalk 伺服器架構範例。
本節所呈現的架構是針對生產環境設計的。 它不包含開發或測試環境，或環境管理網路的建議。 欲了解更多關於如何從開發階段轉為測試環境，以及從測試到生產環境的設定，請參閱 部署 BizTalk 應用程式。
下圖展示了一個高度分散式的 BizTalk 伺服器架構，考量了縱深防禦。
分散式 BizTalk 伺服器安全架構
此架構包含以下五個領域：
周邊網絡。 周邊網路（亦稱為DMZ、非軍事區及屏蔽子網）包含提供企業網際網路相關服務的伺服器。 此網域可包含伺服器，這些伺服器位於實體位置，這些網路傳輸器在 BizTalk 伺服器之間發送與接收訊息。 此領域內沒有 BizTalk 伺服器、BizTalk 接收地點或企業單 Sign-On 伺服器。 如果你使用 SOAP 或 HTTP 介面卡，可以使用反向代理規則（Forefront Threat Management Gateway （TMG）2010 伺服器實作稱為 Web Publishing）來將訊息從面向網際網路的防火牆（FW4）轉發到保護服務介面域的防火牆（FW3）。 欲了解更多關於網頁出版規則的資訊，請參閱 Microsoft 網站 https://go.microsoft.com/fwlink/?LinkID=205340 （https://go.microsoft.com/fwlink/?LinkID=205340）。
在前圖中，邊界網路中的伺服器代表位於 BizTalk 伺服器環境外域的伺服器。 因此，部分伺服器可能位於遠端地點。 例如，檔案傳輸協定（FTP）伺服器可能位於遠端地點;簡易郵件傳輸協定（SMTP）伺服器可以是企業電子郵件伺服器、網際網路服務提供商（ISP）的伺服器，或遠端的 SMTP 伺服器。
服務介面領域。 這是訊息處理開始的領域。 此網域包含擁有 BizTalk 接收和發送處理程序的伺服器。 這裡是 BizTalk 伺服器埠口、接收位置、管線、地圖、結構與組件的所在地，用以接收、路由及傳送訊息。 此領域中 BizTalk 伺服器的數量取決於您公司對效能需求的主機及主機實例數量。
服務領域。 此域包含服務介面域中伺服器信任且需要以成功處理訊息的服務，但這些服務需要額外防禦層防範來自邊界網路的攻擊，例如擁有 BizTalk 編排、管線、企業單 Sign-On（SSO）服務、商業規則引擎及其他業務流程的處理伺服器。
這個網域同時包含企業網域需要存取的服務，但你仍需保護這些服務免受外部威脅。 該網域中的一台伺服器負責托管管理工具：BizTalk 管理主控台及企業單一登入（SSO）管理工具。 此網域同時包含 SSO 主秘密伺服器，該伺服器儲存主機密（加密金鑰），SSO 系統用以加密 SSO 資料庫中的資料。 該網域中的一台伺服器具有一個支援健康監控和商業監控資料追蹤功能的主機實例。
備註
在企業單一 Sign-On 系統中，部分處理伺服器可能僅包含單一 Sign-On 服務，而沒有 BizTalk 伺服器元件。 欲了解更多資訊，請參閱 企業單一登入的高可用性。
資料領域。 資料領域與網際網路距離最遠，因為它包含儲存關鍵業務與流程資料的 SQL Server 資料庫，且不信任其他網域。 雖然你可以將每個 BizTalk Server 資料庫放在不同的執行 SQL Server 的伺服器上，但我們建議根據它們主要的處理類型（主要是讀取操作、主要寫入操作，或兩者兼有）來合併資料庫：
每個 MessageBox 資料庫都配有 SQL 伺服器。 你可以新增更多 MessageBox 資料庫來做負載平衡。 這些是讀寫密集型資料庫。
一個用於 SSO 資料庫的 SQL Server。 BizTalk Server 主要在此資料庫中執行讀取操作。 這個資料庫儲存敏感資料，需要最嚴格的存取權限。
一台用於 BizTalk 管理的 SQL 伺服器，以及商業規則引擎資料庫。 BizTalk Server 主要負責這些資料庫的讀取操作。 此伺服器同時包含 Tracking 資料庫，這是一個寫入密集型資料庫。
用於分析伺服器追蹤資料庫的 SQL Server。
一個用於 Microsoft Operations Manager（MOM）資料庫的 SQL Server。
用於日誌運送目的系統的 SQL Server
這很重要
為了提供故障轉移保護，我們建議您將每個 BizTalk 資料庫群集化。 欲了解更多關於 SQL Server 故障轉移叢集的資訊，請參閱 Microsoft MSDN 網站。https://go.microsoft.com/fwlink/?LinkId=131016
備註
欲了解更多關於日誌運送目的地系統的資訊，請參閱 《備份與還原 BizTalk 伺服器資料庫》。
在前圖中，前端威脅管理閘道（TMG）2010 伺服器作為軟體防火牆，保護並限制這些網域。 此外，每個網域都有自己的網域控制器，信任從包含關鍵伺服器（資料網域）的網域建立到對外伺服器（邊界網路及企業網域）之間的信任，伺服器只能存取其需要連接的其他網域中的服務。 有一個防火牆（FW1）限制來自服務介面和服務域到數據域的流量。 同樣地，有一個防火牆（FW2）限制來自服務介面與操作域的流量。
企業領域。 這是內部網路網域，包含你公司或部門內所有桌上型電腦，以及所有為公司資訊工作者提供服務的伺服器。 此領域內有兩個不同的邏輯容器：
內聯網服務。 此容器包含伺服器，負責在 SQL 和檔案適配器的內部合作夥伴之間接收和傳送訊息。 雖然這是一個內聯網，但它與大多數用戶擁有帳號和服務的企業網路不同。 類似圖中的周邊網路，這個容器中的部分伺服器可能位於不同位置。 例如，檔案轉接器的發送與接收位置（資料夾）可以配置在服務介面領域以外的任何層級，而執行 SQL 轉接器的伺服器則可置於服務介面領域。
營運. 此容器包含終端服務客戶端，供 IT 專業人員遠端管理、維護及監控環境中所有伺服器的效能與健康狀況。 透過終端服務，IT 專業人員連接到服務領域的管理伺服器，並從那裡執行環境中所有伺服器的管理任務。
雖然您可能在企業領域擁有開發電腦，但這些電腦的配置不在本文件範圍內。
欲了解更多關於 BizTalk Server 架構，包括資訊工作者服務的資訊，請參閱 「大型分散式架構與資訊工作者服務」。
網域間的信任如下：
資料域不信任其他任何網域。
服務介面域信任資料域。
服務域信任資料域。
企業網域信任服務網域。
欲了解更多關於為網域與信任設定防火牆的資訊，請參閱 Microsoft 說明與支援網站。https://go.microsoft.com/fwlink/?LinkId=25230
雖然前圖著重安全性，你也可以透過網路負載平衡（NLB）和叢集服務來擴充架構，提升可用性與效能。
欲了解更多高可用性資訊，請參閱高 可用性規劃。
欲了解更多績效資訊，請參閱 持續績效規劃。
下表總結了根據您需要達成的服務等級協議（SLA）可配置的網路負載平衡（NLB）伺服器類型：
| 名稱 | 類型 | Domain |
|---|---|---|
| HTTP（推薦標準） | Internet Information Services | 周邊網絡 |
| 接收處理器（隔離） | Internet Information Services | 服務介面領域 |
| BAM 入口網站 | Internet Information Services | 服務介面領域 |
下表總結了根據您需要達成的服務水準協議（SLA）可叢集的伺服器類型：
| 名稱 | 類型 | Domain |
|---|---|---|
| 交換（傳送） | Exchange伺服器 | 周邊網絡 |
| 接收處理器（內部流程主機），用於 FTP 與 POP3 適配器 | BizTalk Server | 服務介面領域 企業領域 |
| 主控密鑰伺服器 | BizTalk Server | 服務領域 |
| 所有 SQL 伺服器 | SQL Server | 資料域 |
欲了解更多關於 BizTalk Server 架構，包括資訊工作者服務的資訊，請參閱 「大型分散式架構與資訊工作者服務」。