Strefy docelowe Azure

Azure Landing Zone to wstępnie skonfigurowane środowisko Azure, które zapewnia podstawową infrastrukturę oraz możliwości ładu, na których mogą opierać się wszystkie obciążenia w organizacji. Można postrzegać je jako „pas startowy”, na którym lądują obciążenia przybywające do Azure. Landing zone nie jest pojedynczym zasobem — to zbiór subskrypcji, grup zarządzania, konfiguracji sieci, tożsamości, zasad i monitorowania, które wdrażają standardy organizacji.

Bez landing zone każdy zespół wdrażający rozwiązania w Azure samodzielnie tworzy sieć, mechanizmy zabezpieczeń i zasady ładu, co prowadzi do niespójności, luk w zabezpieczeniach i niekontrolowanych kosztów. Landing zone rozwiązuje ten problem, ustanawiając raz współdzielone usługi platformy (hub łączności, tożsamość i monitorowanie), a następnie umożliwiając zespołom aplikacyjnym wdrażanie obciążeń we wstępnie zatwierdzonych, zgodnych ze standardami środowiskach, w których mechanizmy ochronne są już skonfigurowane.

Landing zone dzielą się na dwie kategorie:

• Landing zone platformy — subskrypcje zawierające współdzielone usługi używane przez wszystkie aplikacje: łączność (hub VNet, zapora, brama VPN), tożsamość (kontrolery domeny Entra ID) oraz zarządzanie (obszar roboczy Log Analytics, Azure Monitor)
• Landing zone aplikacji — subskrypcje, w których wdrażane są poszczególne obciążenia; są już połączone z usługami platformy i objęte odziedziczonymi zasadami

Architektura landing zone wykorzystuje hierarchię grup zarządzania do stosowania zasad i mechanizmów kontroli dostępu w różnych zakresach. Typowa hierarchia przedsiębiorstwa wygląda następująco:

• Root Management Group — zasady obowiązujące w całym dzierżawcy (np. odmowa tworzenia zasobów poza zatwierdzonymi regionami)
• Platform — subskrypcje zarządzania, łączności i tożsamości
• Landing Zones — podrzędne grupy zarządzania dla środowisk produkcyjnych i nieprodukcyjnych
• Sandboxes — subskrypcje eksperymentalne z mniej restrykcyjnymi zasadami

Subskrypcja łączności zawiera hub VNet, w którym znajdują się współdzielone usługi sieciowe: Azure Firewall do centralnej inspekcji ruchu wychodzącego, VPN Gateway lub ExpressRoute do zapewnienia łączności z lokalnym centrum danych, prywatne strefy Azure DNS oraz połączenia peering ze wszystkimi sieciami VNet typu spoke (aplikacyjnymi). Zespoły aplikacyjne łączą swoje sieci VNet z hubem za pomocą peeringu VNet, bez konieczności zarządzania własną zaporą lub siecią VPN.

Subskrypcja tożsamości zawiera infrastrukturę potrzebną do integracji z lokalną usługą Active Directory — zazwyczaj Azure Active Directory Domain Services (AADDS) lub maszyny wirtualne z systemem Windows Server, na których działają kontrolery domeny Active Directory. Centralizacja tożsamości w dedykowanej subskrypcji zapobiega przypadkowym modyfikacjom infrastruktury tożsamości przez zespoły aplikacyjne i zapewnia niezależne zarządzanie nią.

Subskrypcja zarządzania zawiera narzędzia używane do obsługi wszystkich obciążeń w środowisku:

• obszar roboczy Log Analytics — centralne pozyskiwanie dzienników ze wszystkich subskrypcji
• Azure Monitor — alerty i pulpity nawigacyjne dla całego środowiska
• Azure Automation — automatyczne stosowanie poprawek i runbooki
• magazyn Azure Backup — centralne tworzenie kopii zapasowych maszyn wirtualnych i baz danych

Centralizacja tych narzędzi ogranicza duplikowanie rozwiązań i zapewnia jeden widok operacyjny.

Azure Policy to warstwa egzekwowania zasad w landing zone. Zasady przypisane do głównej grupy zarządzania lub grupy zarządzania landing zone są automatycznie stosowane do wszystkich podrzędnych subskrypcji. Typowe zasady w landing zone obejmują: wymaganie tagów we wszystkich grupach zasobów, odmowę używania publicznych adresów IP na maszynach wirtualnych, wymaganie włączenia ustawień diagnostycznych, odmowę tworzenia zasobów poza zatwierdzonymi regionami oraz wymuszanie protokołu HTTPS na kontach magazynu.

Firma Microsoft udostępnia Azure Landing Zone Accelerator — zestaw szablonów Bicep lub Terraform, które automatycznie wdrażają całą koncepcyjną architekturę landing zone. Akcelerator tworzy hierarchię grup zarządzania, subskrypcje platformowe, infrastrukturę sieciową, przypisania zasad oraz ustawienia diagnostyczne w ramach jednego wdrożenia. Jest to najszybszy sposób na utworzenie gotowych do użycia w środowisku produkcyjnym podstaw landing zone.

Landing zones są projektowane tak, aby skalować się wraz z dodawaniem kolejnych aplikacji przez organizację. Dodanie nowej aplikacji oznacza utworzenie nowej subskrypcji application landing zone, połączenie jej sieci VNet z hubem za pomocą peeringu oraz przypisanie odpowiednich ról RBAC zespołowi. Ponieważ zasady zarządzania są dziedziczone z hierarchii grup zarządzania, nowa subskrypcja jest od razu zgodna z wymaganiami, bez konieczności ręcznego konfigurowania zasad przez zespół aplikacji.

Azure Landing Zones są rezultatem etapu Ready w Cloud Adoption Framework. Wypełniają lukę między strategiczną decyzją o wdrożeniu platformy Azure a faktycznym uruchomieniem obciążeń. Dobrze zaprojektowana landing zone przyspiesza kolejne etapy migracji i wdrażania innowacji, ponieważ zespoły aplikacyjne poświęcają mniej czasu na infrastrukturę bazową, a więcej na dostarczanie wartości biznesowej.

Sprawdź swoją znajomość zagadnień Microsoft Azure Fundamentals (AZ-900) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: landing zone to wstępnie skonfigurowane środowisko ze współdzielonymi usługami platformy, mechanizmami zarządzania oraz podstawami sieciowymi; dzieli się ono na platform landing zones (łączność, tożsamość i zarządzanie) oraz application landing zones; natomiast Landing Zone Accelerator udostępnia szablony Bicep/Terraform umożliwiające szybkie wdrożenie całej architektury. W następnej części szczegółowo omówimy topologię sieci hub-and-spoke.