Azure Landing Zones

Eine Azure Landing Zone ist eine vorkonfigurierte Azure-Umgebung, die die grundlegende Infrastruktur und Governance-Funktionen bereitstellt, auf denen alle Workloads einer Organisation aufbauen können. Stellen Sie sie sich als „Landebahn“ vor, auf der Workloads bei ihrer Ankunft in Azure landen. Eine Landing Zone ist keine einzelne Ressource, sondern eine Sammlung aus Abonnements, Verwaltungsgruppen, Netzwerk-, Identitäts-, Richtlinien- und Überwachungskonfigurationen, die die Standards einer Organisation umsetzen.

Ohne eine Landing Zone erstellt jedes Team, das in Azure bereitstellt, eigene Netzwerk- und Sicherheitskontrollen sowie eigene Governance – was zu Inkonsistenzen, Sicherheitslücken und ungesteuerten Kosten führt. Eine Landing Zone löst dieses Problem, indem sie gemeinsam genutzte Plattformdienste (Connectivity Hub, Identität und Überwachung) einmalig einrichtet und Anwendungsteams anschließend erlaubt, ihre Workloads in vorab genehmigten, konformen Umgebungen mit bereits vorhandenen Leitplanken bereitzustellen.

Landing Zones werden in zwei Kategorien unterteilt:

• Platform landing zones — Abonnements, die von allen Anwendungen verwendete gemeinsam genutzte Dienste hosten: Konnektivität (Hub-VNet, Firewall, VPN-Gateway), Identität (Entra ID-Domänencontroller) und Verwaltung (Log Analytics-Arbeitsbereich, Azure Monitor)
• Application landing zones — Abonnements, in denen einzelne Workloads bereitgestellt werden und die bereits mit Plattformdiensten verbunden sind sowie durch geerbte Richtlinien gesteuert werden

Die Landing-Zone-Architektur verwendet eine Verwaltungsgruppenhierarchie, um Richtlinien und Zugriffskontrollen auf verschiedenen Geltungsbereichen anzuwenden. Eine typische Unternehmenshierarchie sieht wie folgt aus:

• Root Management Group — mandantenweite Richtlinien (z. B. das Verweigern der Ressourcenerstellung außerhalb genehmigter Regionen)
• Platform — Verwaltungs-, Konnektivitäts- und Identitätsabonnements
• Landing Zones — untergeordnete Verwaltungsgruppen für Produktion und Nichtproduktion
• Sandboxes — experimentelle Abonnements mit gelockerten Richtlinien

Das connectivity subscription hostet das Hub-VNet, das gemeinsam genutzte Netzwerkdienste enthält: Azure Firewall zur zentralen Überprüfung des ausgehenden Datenverkehrs, VPN Gateway oder ExpressRoute für die Verbindung mit lokalen Netzwerken, private Azure DNS-Zonen sowie Peeringverbindungen zu allen Spoke-VNets (Anwendungs-VNets). Anwendungsteams verbinden ihre VNets über VNet-Peering mit dem Hub, ohne eine eigene Firewall oder ein eigenes VPN verwalten zu müssen.

Das identity subscription hostet die für die Integration mit dem lokalen Active Directory erforderliche Infrastruktur – typischerweise Azure Active Directory Domain Services (AADDS) oder Windows Server-VMs mit Active Directory-Domänencontrollern. Die Zentralisierung der Identität in einem dedizierten Abonnement verhindert, dass die Identitätsinfrastruktur versehentlich von Anwendungsteams geändert wird, und stellt sicher, dass sie unabhängig verwaltet wird.

Das management subscription hostet die Tools für den Betrieb aller Workloads in der Umgebung:

• Log Analytics workspace — zentrale Erfassung von Protokollen aus allen Abonnements
• Azure Monitor — Warnungen und Dashboards für die gesamte Umgebung
• Azure Automation — automatisiertes Patchen und Runbooks
• Azure Backup vault — zentrale Sicherung von VMs und Datenbanken

Die Zentralisierung dieser Tools verringert Redundanzen und bietet eine einheitliche Betriebssicht.

Azure Policy ist die Durchsetzungsebene der Landing Zone. Richtlinien, die auf der Stamm- oder Landing-Zones-Verwaltungsgruppe zugewiesen werden, gelten automatisch für alle darunterliegenden Abonnements. Zu den häufigen Richtlinien in einer Landing Zone gehören: Tags für alle Ressourcengruppen erzwingen, öffentliche IP-Adressen für VMs verweigern, aktivierte Diagnoseeinstellungen voraussetzen, die Ressourcenerstellung außerhalb genehmigter Regionen verweigern und HTTPS für Speicherkonten erzwingen.

Microsoft stellt einen Azure Landing Zone Accelerator bereit – eine Sammlung von Bicep- oder Terraform-Vorlagen, die die gesamte konzeptionelle Landing-Zone-Architektur automatisch bereitstellt. Der Accelerator erstellt die Hierarchie der Verwaltungsgruppen, die Plattformabonnements, die Netzwerkinfrastruktur, Richtlinienzuweisungen und Diagnoseeinstellungen in einer einzigen Bereitstellung. Dies ist der schnellste Weg, eine produktionsbereite Landing-Zone-Grundlage zu schaffen.

Landing Zones sind darauf ausgelegt, mit dem Hinzufügen weiterer Anwendungen zu skalieren. Das Hinzufügen einer neuen Anwendung bedeutet, ein neues Application-Landing-Zone-Abonnement zu erstellen, dessen VNet per Peering mit dem Hub zu verbinden und dem zuständigen Team die entsprechenden RBAC-Rollen zuzuweisen. Da die Governance-Richtlinien von der Hierarchie der Verwaltungsgruppen geerbt werden, ist das neue Abonnement sofort konform, ohne dass das Anwendungsteam Richtlinien manuell konfigurieren muss.

Azure Landing Zones sind das Ergebnis der Ready-Phase des Cloud Adoption Framework. Sie schließen die Lücke zwischen der strategischen Entscheidung für Azure und der tatsächlichen Bereitstellung von Workloads. Eine gut konzipierte Landing Zone beschleunigt nachfolgende Migrations- und Innovationswellen, da Anwendungsteams weniger Zeit für grundlegende Infrastruktur und mehr Zeit für die Schaffung von Geschäftswert aufwenden.

Testen Sie Ihr Verständnis der Konzepte aus Microsoft Azure Fundamentals (AZ-900), die in dieser Lektion behandelt wurden.

In dieser Lektion haben Sie gelernt: Eine Landing Zone ist eine vorkonfigurierte Umgebung mit gemeinsam genutzten Plattformdiensten sowie Grundlagen für Governance und Netzwerke. Sie ist in Plattform-Landing-Zones (Konnektivität, Identität, Verwaltung) und Application-Landing-Zones unterteilt. Der Landing Zone Accelerator stellt Bicep-/Terraform-Vorlagen bereit, mit denen sich die vollständige Architektur schnell bereitstellen lässt. Als Nächstes untersuchen wir die Hub-and-Spoke-Netzwerktopologie im Detail.