Zon Pendaratan Azure

Azure Landing Zone ialah persekitaran Azure yang telah diprakonfigurasi dan menyediakan infrastruktur asas serta keupayaan tadbir urus yang boleh dijadikan asas oleh semua beban kerja dalam organisasi. Anggaplah ia sebagai 'landasan' tempat beban kerja mendarat apabila tiba di Azure. Landing zone bukan satu sumber tunggal — sebaliknya, ia ialah koleksi langganan, management groups, rangkaian, identiti, dasar dan konfigurasi pemantauan yang melaksanakan piawaian organisasi.

Tanpa landing zone, setiap pasukan yang menggunakan Azure akan mencipta rangkaian, kawalan keselamatan dan tadbir urusnya sendiri secara berasingan — lalu menyebabkan ketidakselarasan, jurang keselamatan dan kos yang tidak ditadbir urus. Landing zone menyelesaikan masalah ini dengan mewujudkan perkhidmatan platform dikongsi (hab ketersambungan, identiti dan pemantauan) sekali sahaja, kemudian membolehkan pasukan aplikasi menggunakan beban kerja mereka dalam persekitaran yang telah diluluskan dan mematuhi piawaian, dengan kawalan pencegah yang telah tersedia.

Landing zones dibahagikan kepada dua kategori:

• Landing zones platform — langganan yang mengehos perkhidmatan dikongsi untuk semua aplikasi: ketersambungan (VNet hab, tembok api, get laluan VPN), identiti (pengawal domain Entra ID), dan pengurusan (ruang kerja Log Analytics, Azure Monitor)
• Landing zones aplikasi — langganan tempat beban kerja individu digunakan, yang telah disambungkan kepada perkhidmatan platform dan ditadbir oleh dasar yang diwarisi

Seni bina landing zone menggunakan hierarki management group untuk menggunakan dasar dan kawalan capaian pada skop yang berbeza. Hierarki perusahaan yang lazim kelihatan seperti berikut:

• Root Management Group — dasar seluruh penyewa (contohnya, menolak penciptaan sumber di luar rantau yang diluluskan)
• Platform — langganan pengurusan, ketersambungan dan identiti
• Landing Zones — management groups anak untuk prod dan bukan prod
• Sandboxes — langganan percubaan dengan dasar yang lebih longgar

Langganan ketersambungan mengehos VNet hab yang mengandungi perkhidmatan rangkaian dikongsi: Azure Firewall untuk pemeriksaan trafik keluar secara berpusat, VPN Gateway atau ExpressRoute untuk ketersambungan setempat, zon peribadi Azure DNS, serta sambungan peering kepada semua VNet spoke (aplikasi). Pasukan aplikasi menyambungkan VNet mereka kepada hab melalui peering VNet tanpa perlu mengurus tembok api atau VPN sendiri.

Langganan identiti mengehos sebarang infrastruktur yang diperlukan untuk penyepaduan Active Directory setempat — biasanya Azure Active Directory Domain Services (AADDS) atau VM Windows Server yang menjalankan pengawal domain Active Directory. Pemusatan identiti dalam langganan khusus menghalang infrastruktur identiti daripada diubah suai secara tidak sengaja oleh pasukan aplikasi dan memastikan infrastruktur tersebut ditadbir secara berasingan.

Langganan pengurusan mengehos alat yang digunakan untuk mengendalikan semua beban kerja merentas persekitaran:

• Ruang kerja Log Analytics — pengingesan log berpusat daripada semua langganan
• Azure Monitor — amaran dan papan pemuka untuk keseluruhan estate
• Azure Automation — penampalan automatik dan runbook
• Azure Backup vault — sandaran berpusat untuk VM dan pangkalan data

Pemusatan alat ini mengurangkan penduaan dan menyediakan satu paparan operasi.

Azure Policy ialah lapisan penguatkuasaan bagi landing zone. Dasar yang ditetapkan pada peringkat root atau management group landing zones akan digunakan secara automatik pada semua langganan di bawahnya. Dasar lazim dalam landing zone termasuk: mewajibkan tag pada semua kumpulan sumber, menolak IP awam pada VM, mewajibkan tetapan diagnostik didayakan, menolak penciptaan sumber di luar rantau yang diluluskan, dan menguatkuasakan HTTPS pada akaun storan.

Microsoft menyediakan Azure Landing Zone Accelerator — satu set templat Bicep atau Terraform yang menggunakan seluruh seni bina konseptual landing zone secara automatik. Pemecut ini mencipta hierarki kumpulan pengurusan, langganan platform, infrastruktur rangkaian, penetapan dasar dan tetapan diagnostik dalam satu penggunaan. Inilah cara terpantas untuk menyediakan asas landing zone yang sedia untuk pengeluaran.

Landing zones direka bentuk untuk diskalakan apabila organisasi menambah lebih banyak aplikasi. Menambah aplikasi baharu bermakna mencipta langganan application landing zone baharu, menyambungkan VNetnya kepada hab melalui penyambungan setara, dan menetapkan peranan RBAC yang sesuai kepada pasukan. Oleh sebab dasar tadbir urus diwarisi daripada hierarki kumpulan pengurusan, langganan baharu itu terus mematuhi keperluan tanpa memerlukan konfigurasi dasar secara manual oleh pasukan aplikasi.

Azure Landing Zones ialah hasil boleh serah bagi peringkat Ready dalam Cloud Adoption Framework. Landing zones merapatkan jurang antara keputusan strategik untuk menggunakan Azure dengan penggunaan beban kerja sebenar. Landing zone yang direka bentuk dengan baik mempercepat gelombang pemindahan dan inovasi seterusnya kerana pasukan aplikasi meluangkan lebih sedikit masa pada infrastruktur asas dan lebih banyak masa untuk menyampaikan nilai perniagaan.

Dalam pelajaran ini, anda mempelajari bahawa landing zone ialah persekitaran prakonfigurasi dengan perkhidmatan platform dikongsi, tadbir urus dan asas rangkaian; ia dibahagikan kepada platform landing zones (kesambungan, identiti dan pengurusan) serta application landing zones; dan Landing Zone Accelerator menyediakan templat Bicep/Terraform untuk menggunakan seluruh seni bina dengan pantas. Seterusnya, kita akan meneroka topologi rangkaian hab-dan-satelit dengan lebih mendalam.