Azure Landing Zones

Una Azure Landing Zone è un ambiente Azure preconfigurato che fornisce l'infrastruttura di base e le funzionalità di governance su cui possono basarsi tutti i carichi di lavoro di un'organizzazione. Può considerarla come la "pista" su cui atterrano i carichi di lavoro quando arrivano in Azure. Una landing zone non è una singola risorsa, ma una raccolta di sottoscrizioni, gruppi di gestione, configurazioni di rete, identità, policy e monitoraggio che implementano gli standard dell'organizzazione.

Senza una landing zone, ogni team che esegue il deployment in Azure crea in modo indipendente la propria rete, i propri controlli di sicurezza e la propria governance, causando incoerenze, lacune nella sicurezza e costi non governati. Una landing zone risolve questo problema stabilendo una volta per tutte servizi di piattaforma condivisi (hub di connettività, identità e monitoraggio), consentendo poi ai team applicativi di distribuire i propri carichi di lavoro in ambienti preapprovati e conformi, con guardrail già predisposti.

Le landing zone sono suddivise in due categorie:

• Landing zone di piattaforma — sottoscrizioni che ospitano servizi condivisi utilizzati da tutte le applicazioni: connettività (hub VNet, firewall, gateway VPN), identità (controller di dominio Entra ID) e gestione (area di lavoro Log Analytics, Azure Monitor)
• Landing zone applicative — sottoscrizioni in cui vengono distribuiti i singoli carichi di lavoro, già connesse ai servizi di piattaforma e governate dalle policy ereditate

L'architettura delle landing zone utilizza una gerarchia di gruppi di gestione per applicare policy e controlli di accesso a diversi ambiti. Una tipica gerarchia aziendale è strutturata come segue:

• Root Management Group — policy a livello di tenant (ad esempio, impedire la creazione di risorse al di fuori delle aree geografiche approvate)
• Platform — sottoscrizioni per gestione, connettività e identità
• Landing Zones — gruppi di gestione figlio per gli ambienti di produzione e non di produzione
• Sandboxes — sottoscrizioni sperimentali con policy meno restrittive

La sottoscrizione per la connettività ospita l'hub VNet, che contiene servizi di rete condivisi: Azure Firewall per l'ispezione centralizzata del traffico in uscita, VPN Gateway o ExpressRoute per la connettività con la rete locale, zone private Azure DNS e connessioni peering verso tutte le VNet spoke (applicative). I team applicativi connettono le proprie VNet all'hub tramite il peering VNet, senza dover gestire autonomamente firewall o VPN.

La sottoscrizione per l'identità ospita l'infrastruttura necessaria per l'integrazione con Active Directory locale, in genere Azure Active Directory Domain Services (AADDS) o VM Windows Server che eseguono controller di dominio Active Directory. Centralizzare l'identità in una sottoscrizione dedicata impedisce che l'infrastruttura delle identità venga modificata accidentalmente dai team applicativi e garantisce che sia governata in modo indipendente.

La sottoscrizione per la gestione ospita gli strumenti utilizzati per gestire operativamente tutti i carichi di lavoro dell'ambiente:

• area di lavoro Log Analytics — raccolta centralizzata dei log da tutte le sottoscrizioni
• Azure Monitor — avvisi e dashboard per l'intero patrimonio
• Azure Automation — applicazione automatizzata di patch e runbook
• insieme di credenziali Azure Backup — backup centralizzato per VM e database

Centralizzare questi strumenti riduce le duplicazioni e fornisce una visione operativa unica.

Azure Policy è il livello di applicazione delle regole della landing zone. Le policy assegnate al gruppo di gestione radice o ai gruppi di gestione delle landing zone vengono applicate automaticamente a tutte le sottoscrizioni sottostanti. Tra le policy comuni di una landing zone figurano: richiedere tag in tutti i gruppi di risorse, impedire l'uso di IP pubblici nelle VM, richiedere l'abilitazione delle impostazioni di diagnostica, impedire la creazione di risorse al di fuori delle aree geografiche approvate e imporre HTTPS negli account di archiviazione.

Microsoft fornisce un Azure Landing Zone Accelerator — un insieme di modelli Bicep o Terraform che distribuiscono automaticamente l'intera architettura concettuale della landing zone. L'acceleratore crea la gerarchia dei gruppi di gestione, le sottoscrizioni della piattaforma, l'infrastruttura di rete, le assegnazioni dei criteri e le impostazioni di diagnostica in un'unica distribuzione. È il modo più rapido per predisporre le fondamenta di una landing zone pronta per la produzione.

Le landing zone sono progettate per scalare man mano che l'organizzazione aggiunge altre applicazioni. Aggiungere una nuova applicazione significa creare una nuova sottoscrizione di landing zone dell'applicazione, effettuare il peering del relativo VNet con l'hub e assegnare i ruoli RBAC appropriati al team. Poiché i criteri di governance vengono ereditati dalla gerarchia dei gruppi di gestione, la nuova sottoscrizione è immediatamente conforme senza che il team dell'applicazione debba configurare manualmente i criteri.

Le Azure Landing Zone sono il risultato concreto della fase Ready del Cloud Adoption Framework. Colmano il divario tra la decisione strategica di adottare Azure e la distribuzione effettiva dei carichi di lavoro. Una landing zone ben progettata accelera le successive fasi di migrazione e innovazione, perché i team delle applicazioni dedicano meno tempo all'infrastruttura di base e più tempo alla creazione di valore per l'azienda.

Verifichi la Sua comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione ha appreso che una landing zone è un ambiente preconfigurato con servizi condivisi della piattaforma, governance e fondamenta di rete; è suddivisa in landing zone della piattaforma (connettività, identità, gestione) e landing zone delle applicazioni; inoltre, il Landing Zone Accelerator fornisce modelli Bicep/Terraform per distribuire rapidamente l'architettura completa. Ora esamineremo in dettaglio la topologia di rete hub e spoke.