Auto-sync: 2026-04-28 20:03
This commit is contained in:
@@ -4,53 +4,56 @@ type: source
|
||||
tags:
|
||||
- Azure
|
||||
- Landing-Zone
|
||||
- Cloud-Transformation
|
||||
- CTP
|
||||
- Cloud-Transformation-Programme
|
||||
date: 2026-04-14
|
||||
last_updated: 2026-05-06
|
||||
---
|
||||
|
||||
## Source File
|
||||
- [[raw/Cloud & DevOps/Public-Cloud-Learning-Sessions/01_AWS-Landing-Zone/ctp-topic-34-azure-landing-zone-architecture-overview.md]]
|
||||
|
||||
## Summary（用中文描述）
|
||||
- 核心主题：Azure Landing Zone 在 Micro Focus 内部的实施架构概述
|
||||
- 问题域：企业级多云治理（Azure 部分）——如何通过 Landing Zone 简化 Azure 接入、减少跨团队依赖、实现自动化部署
|
||||
- 方法/机制：Azure Enterprise Enrollment → 管理组（Management Groups）分层 → 独立订阅隔离目的 → Terraform Cloud IaC 自动化
|
||||
- 结论/价值：四个管理组区域（Platform / Landing Zones / Decommission / Sandbox）实现资源隔离与职责分离；Terraform Cloud 管理跨订阅依赖；PIM/PAG 实现精细化访问控制
|
||||
- 核心主题：Micro Focus 内部 Azure Landing Zone（着陆区）架构规划，旨在简化团队采用 Azure 云
|
||||
- 问题域：跨团队依赖、手动部署瓶颈、Azure 企业级接入与合规管控
|
||||
- 方法/机制：使用 Azure 管理组（Management Groups）分层组织订阅；平台/着陆区/退役/沙盒四区分离；Terraform Cloud 实现基础设施自动化；PIM 强制最小权限访问
|
||||
- 结论/价值：Landing Zone 以模板化为核心，提供身份访问管理、审计、合规、安全监控、网络四大支柱；团队可在自动化保障下独立部署创新工作负载，减少跨团队依赖
|
||||
|
||||
## Key Claims（用中文描述）
|
||||
- Azure Landing Zone 通过管理组（Management Groups）将组织实体分为 Platform、Landing Zones、Decommission、Sandbox 四个层级，实现分层治理
|
||||
- Platform 层包含 Identity 和 Connectivity 两个独立订阅，各自承担特定安全职责，避免职责混淆
|
||||
- Connectivity 订阅作为中心枢纽，汇聚所有入站和出站 Azure 流量，集成 DDoS 防护和 Checkpoint 防火墙
|
||||
- Landing Zones 设计为可扩展、模块化、全自动化，提供基于模板的方案供新项目使用
|
||||
- 独立订阅的核心原因是按特定目的隔离，每个订阅服务单一用途
|
||||
- Privileged Identity Management (PIM) 和 Privileged Access Groups 管理用户访问，确保角色和策略的正确执行
|
||||
- Terraform Cloud 利用 Terraform State 管理跨订阅依赖，支持分层架构
|
||||
- Kishore Garlopati（演讲人）通过 Azure Enterprise Enrollment + Azure AD 完成企业接入，目标是让各团队以最小依赖部署 Azure 工作负载
|
||||
- Azure 管理组类似 Windows 父目录，按四区组织：platform（身份/连接）、landing zones（模板化项目）、decommission（停用资源）、sandbox（隔离实验）
|
||||
- 连接订阅（Connectivity）作为所有入站/出站 Azure 流量的中心枢纽，集成了 DDoS 防护和 Checkpoint 防火墙
|
||||
- Landing Zone 的核心设计原则：可扩展（Scalable）、模块化（Modular）、全自动化（Fully Automated）
|
||||
- Terraform Cloud 通过 Terraform State 管理订阅间依赖关系，实现跨订阅基础设施编排
|
||||
- Privileged Identity Management (PIM) 和特权访问组确保用户获得恰到好处的角色权限
|
||||
|
||||
## Key Quotes
|
||||
> "The primary goal is to minimize cross-team dependencies through automation, granting teams greater independence in deploying innovative solutions within the Azure environment." — Kishore Garlopati，演讲核心目标
|
||||
|
||||
> "The core reason of these individual or isolated subscriptions is you are basically containing a subscription for a specific purpose." — 独立订阅的核心设计原则
|
||||
|
||||
> "This sandbox is an interesting one because these landings on subscriptions allows your workloads." — Sandbox 环境允许团队在隔离环境中实验工作负载
|
||||
> "The core reason of these individual or isolated subscriptions is you are basically containing a subscription for a specific purpose." — 订阅隔离的设计哲学
|
||||
> "This sandbox is an interesting one because these landings on subscriptions allows your workloads." — 沙盒订阅的灵活性价值
|
||||
|
||||
## Key Concepts
|
||||
- [[Azure Landing Zone]]：Azure 云环境的托管基础框架，通过管理组和订阅分层实现安全、合规和可管理性，为工作负载提供标准化入口。与 [[AWS Landing Zone]] 同属多云 Landing Zone 架构的两种实现
|
||||
- [[Management Groups]]：Azure 管理组，类似于 Windows 父目录结构，用于组织和治理 Azure 租户内的实体，可分层级继承策略和访问控制
|
||||
- [[Terraform Cloud]]：HashiCorp 的 Terraform 云平台，提供 IaC 状态管理、工作流自动化和团队协作能力，用于管理跨订阅的基础设施依赖
|
||||
- [[Privileged Identity Management (PIM)]]：Azure AD 的特权身份管理服务，实现实时细粒度访问控制，确保用户仅在需要时获得特权
|
||||
- [[Privileged Access Groups]]：PIM 的组成部分，通过访问组管理用户权限，支持基于角色的策略执行
|
||||
- [[Azure-Landing-Zone]]：微软推荐的云采用框架，通过管理组和订阅层次结构为 Azure 工作负载提供可扩展、模块化、自动化的基础平台
|
||||
- [[Management-Groups]]：Azure 组织实体的高层容器，类似 Windows 父目录，用于分层管理策略和访问权限
|
||||
- [[Privileged-Identity-Management-PIM]]：Azure AD 功能，通过实时特权访问减少持久性管理员权限，降低凭证被盗风险
|
||||
- [[Terraform-Cloud]]：HashiCorp 基础设施即代码平台，支持 Terraform State 跨订阅依赖管理
|
||||
- [[Cloud-Transformation-Programme]]：Micro Focus 云转型计划，覆盖 AWS/Azure 多云 Landing Zone 建设
|
||||
|
||||
## Key Entities
|
||||
- [[Kishore Garlopati]]：演讲者，Azure Landing Zone 架构overview主讲人
|
||||
- [[Micro Focus]]：使用 Azure Landing Zone 进行云转型的企业组织，参考 [[AWS Landing Zone]] 在 Micro Focus 的实践经验
|
||||
- [[Kishore-Garlopati]]：Micro Focus 云架构师，Azure Landing Zone 方案主讲人
|
||||
- [[Micro-Focus]]：企业软件公司，其云转型计划（CTP）推进多云 Landing Zone 架构落地
|
||||
- [[Azure-Enterprise-Enrollment]]：Azure 企业协议接入点，是组织使用 Azure 的前提条件
|
||||
- [[Azure-Active-Directory]]：Azure 身份与访问管理服务，用于用户认证和策略控制
|
||||
|
||||
## Connections
|
||||
- [[AWS Landing Zone]] ← related_to ← [[Azure Landing Zone]]（同属 Landing Zone 架构，AWS 与 Azure 的不同实现）
|
||||
- [[ctp-topic-1-gruntwork-landing-zone-architecture]] ← related_to ← [[AWS Landing Zone]]（AWS Landing Zone 基础入门）
|
||||
- [[ctp-topic-35-aws-landing-zone-design-refresher-saas-labs]] ← related_to ← [[AWS Landing Zone]]（AWS Landing Zone 设计复习）
|
||||
- [[ctp-topic-47-enterprise-architecture-cloud-standards]] ← extends ← [[AWS Landing Zone]]（企业架构云标准扩展）
|
||||
- [[Terraform]] ← implements ← [[Terraform Cloud]]（Terraform Cloud 是 Terraform 的云端编排平台）
|
||||
- [[ctp-topic-35-aws-landing-zone-design-refresher-saas-labs]] ← comparable_to ← [[ctp-topic-34-azure-landing-zone-architecture-overview]]
|
||||
- [[ctp-topic-1-gruntwork-landing-zone-architecture]] ← related_to ← [[ctp-topic-34-azure-landing-zone-architecture-overview]]
|
||||
- [[ctp-topic-9-ci-cd-with-gruntwork]] ← extends ← [[ctp-topic-1-gruntwork-landing-zone-architecture]]
|
||||
- [[ctp-topic-3-deploy-and-maintain-infrastructure]] ← related_to ← [[ctp-topic-34-azure-landing-zone-architecture-overview]]
|
||||
|
||||
## Contradictions
|
||||
- 无已知冲突内容
|
||||
- 与 [[ctp-topic-1-gruntwork-landing-zone-architecture]] 对比：
|
||||
- 冲突点：AWS 侧使用 Gruntwork 基础设施模块 + Jenkins 构建 Landing Zone，Azure 侧使用 Terraform Cloud + 管理组
|
||||
- 当前观点：Azure Landing Zone 通过 Terraform Cloud 管理订阅间状态，适合 Micro Focus 多云战略
|
||||
- 对方观点：AWS Gruntwork LZ 通过 Jenkins CI/CD 管道，强调产品服务应有业务上下文（AWS Service Catalog）
|
||||
- 说明：两者均为 CTP 下的 Landing Zone 实现，技术栈差异由多云战略驱动，非矛盾冲突
|
||||
|
||||
Reference in New Issue
Block a user