Azure Landing Zones

En Azure-landingszone er et forudkonfigureret Azure-miljø, der leverer den grundlæggende infrastruktur og de styringsfunktioner, som alle arbejdsbelastninger i en organisation kan bygge videre på. Du kan betragte den som den 'landingsbane', som arbejdsbelastninger lander på, når de ankommer til Azure. En landingszone er ikke en enkelt ressource — den er en samling af abonnementer, administrationsgrupper, netværk, identitet, politikker og overvågningskonfigurationer, der implementerer organisationens standarder.

Uden en landingszone opretter hvert team, der implementerer i Azure, sit eget netværk, sine egne sikkerhedskontroller og sin egen styring uafhængigt — hvilket fører til uensartethed, sikkerhedshuller og ukontrollerede omkostninger. En landingszone løser dette ved først at etablere delte platformstjenester (forbindelseshub, identitet og overvågning) én gang og derefter give applikationsteams mulighed for at implementere deres arbejdsbelastninger i forhåndsgodkendte miljøer, der overholder kravene og allerede har de nødvendige værn.

Landingszoner er opdelt i to kategorier:

• Platformlandingszoner — abonnementer, der er vært for delte tjenester, som bruges af alle applikationer: forbindelse (hub-VNet, firewall og VPN-gateway), identitet (Entra ID-domænecontrollere) og administration (Log Analytics-arbejdsområde og Azure Monitor)
• Applikationslandingszoner — abonnementer, hvor individuelle arbejdsbelastninger implementeres, og som allerede er forbundet med platformstjenester og styres af nedarvede politikker

Landingszonearkitekturen bruger et hierarki af administrationsgrupper til at anvende politikker og adgangskontroller på forskellige niveauer. Et typisk virksomhedshierarki ser sådan ud:

• Rodadministrationsgruppe — politikker for hele lejeren (f.eks. afvisning af oprettelse af ressourcer uden for godkendte regioner)
• Platform — abonnementer til administration, forbindelse og identitet
• Landingszoner — underordnede administrationsgrupper til produktion og ikke-produktion
• Sandkasser — eksperimentelle abonnementer med mindre strenge politikker

Forbindelsesabonnementet er vært for hub-VNet'et, som indeholder delte netværkstjenester: Azure Firewall til central inspektion af udgående trafik, VPN Gateway eller ExpressRoute til forbindelse til lokale miljøer, private Azure DNS-zoner samt peering-forbindelser til alle spoke-VNet'er (applikations-VNet'er). Applikationsteams forbinder deres VNet'er med hubben via VNet-peering uden at skulle administrere deres egen firewall eller VPN.

Identitetsabonnementet er vært for den infrastruktur, der kræves til integration med lokal Active Directory — typisk Azure Active Directory Domain Services (AADDS) eller Windows Server-VM'er, der kører Active Directory-domænecontrollere. Centralisering af identiteten i et dedikeret abonnement forhindrer, at applikationsteams ved et uheld ændrer identitetsinfrastrukturen, og sikrer, at den styres uafhængigt.

Administrationsabonnementet er vært for de værktøjer, der bruges til at drive alle arbejdsbelastninger i miljøet:

• Log Analytics-arbejdsområde — centraliseret indsamling af logge fra alle abonnementer
• Azure Monitor — advarsler og dashboards for hele miljøet
• Azure Automation — automatiseret rettelse af fejl og kørselsbøger
• Azure Backup Vault — centraliseret sikkerhedskopiering af VM'er og databaser

Centralisering af disse værktøjer reducerer dobbeltarbejde og giver et samlet driftsmæssigt overblik.

Azure Policy er landingszonens håndhævelseslag. Politikker, der er tildelt på rodniveauet eller i administrationsgruppen for landingszoner, anvendes automatisk på alle underliggende abonnementer. Almindelige politikker i en landingszone omfatter krav om mærker på alle ressourcegrupper, afvisning af offentlige IP-adresser på VM'er, krav om aktiverede diagnosticeringsindstillinger, afvisning af oprettelse af ressourcer uden for godkendte regioner samt håndhævelse af HTTPS på lagerkonti.

Microsoft leverer en Azure Landing Zone Accelerator — et sæt Bicep- eller Terraform-skabeloner, der automatisk udruller hele den konceptuelle landingszonearkitektur. Acceleratorpakken opretter hierarkiet af administrationsgrupper, platformabonnementer, netværksinfrastruktur, politiktilknytninger og diagnosticeringsindstillinger i en enkelt udrulning. Det er den hurtigste måde at etablere et produktionsklart fundament for en landingszone på.

Landingszoner er designet til at kunne skaleres, efterhånden som organisationen tilføjer flere applikationer. Når du tilføjer en ny applikation, skal du oprette et nyt abonnement til en applikationslandingszone, oprette peering mellem dens VNet og hubben og tildele de relevante RBAC-roller til teamet. Fordi styringspolitikkerne nedarves fra hierarkiet af administrationsgrupper, overholder det nye abonnement straks kravene uden manuel konfiguration af politikker fra applikationsteamets side.

Azure-landingszoner er resultatet af Ready-fasen i Cloud Adoption Framework. De bygger bro mellem den strategiske beslutning om at tage Azure i brug og den faktiske udrulning af arbejdsbelastninger. En veldesignet landingszone fremskynder efterfølgende migrerings- og innovationsbølger, fordi applikationsteams bruger mindre tid på grundlæggende infrastruktur og mere tid på at skabe forretningsværdi.

I denne lektion har du lært, at en landingszone er et forudkonfigureret miljø med fælles platformstjenester samt styrings- og netværksfundament; den er opdelt i platformslandingszoner (forbindelse, identitet og administration) og applikationslandingszoner; og at Landing Zone Accelerator leverer Bicep-/Terraform-skabeloner til hurtig udrulning af den komplette arkitektur. Næste gang går vi i dybden med hub-and-spoke-netværkstopologi.