Azure企业级landing zone架构落地实现及新landing zone创建场景咨询

• 已对微软云采用框架（CAF）企业级架构相关内容做过前期调研，当前公司采用类hub-spoke架构实现，但模块化程度远低于官方文档标准，暂未配置identity、management两类专项订阅
• 当前hub-spoke架构仅设置non-prod、prod两个spoke，所有应用VM均部署在对应spoke的单块大VNet内，现有VM规模达数百台，覆盖单VM承载的小型工具到数十台VM组成的大型复杂部署，后续计划部署多个landing zone及对应VNet
• hub层当前承载防火墙、域控制器等核心共享服务
• 特殊业务约束：无内部应用开发需求，未向市场等内部部门开放Azure资源自行部署权限，所有Azure基础架构均由中心IT基础设施部门在spoke中部署完成后，开放给外部合作方部署其自有应用

• Azure企业级landing zone架构的实用落地实现方案是什么？
• 该架构下应该在什么场景下决定创建新的landing zone？
• 是否需要为每个应用单独配置landing zone？或者为每个部门配置landing zone以支撑自助服务？
• 当前采用的架构方案是否合理？
• 其他企业的该架构落地实践经验有哪些可参考？

1. 企业级landing zone实用落地方案 #

结合你司的业务约束（无内部自助部署需求、仅中心IT管控基础架构），不用完全照搬官方全套模块化配置，可采用轻量化迭代落地的路径：

• 第一步先补全基础管控底座：不用单独拆分identity、management订阅，可先在现有hub订阅内新增独立的资源组承载管控组件，比如把日志审计、成本监控、安全合规扫描的组件统一部署在该资源组，实现全环境的统一管控即可
• 第二步拆分现有大VNet：按业务线/外部合作方维度拆分现有non-prod、prod的单块大VNet，每个拆分后的VNet对应一个基础landing zone，统一关联hub层的共享服务，所有网络流量默认经过hub层防火墙过滤
• 第三步固化landing zone模板：把网络配置、访问控制策略、基础监控规则都封装成可复用的模板，中心IT每次部署新landing zone直接调用模板即可，保证配置一致性

2. 新landing zone的创建触发场景 #

不用盲目扩充landing zone数量，满足以下任意一个场景再考虑新建即可：

• 新接入的外部合作方有明确的网络隔离要求，不能和其他合作方的资源共用VNet
• 新业务系统的合规要求不同，比如等保三级要求的系统必须和普通业务系统隔离
• 现有landing zone的配额（比如VM数量、子网IP容量）已经达到上限，扩容会影响已有业务
• 不同业务的生命周期差异大，比如临时项目的landing zone可以在项目结束后整体删除，不影响其他常驻业务

3. landing zone的划分维度 #

结合你司的情况，既不需要按单个应用拆分，也不需要按内部部门拆分：

• 单个应用拆分的话会导致landing zone数量过多，增加中心IT的运维成本，尤其是你司没有自助部署需求，所有运维都由中心IT承担，数量太多反而会降低效率
• 按内部部门拆分完全没必要，你司没有给内部部门开资源部署权限，部门维度没有对应的资源隔离需求
• 最优划分维度是按外部合作方+环境维度拆分，比如给A合作方单独建non-prod、prod两个landing zone，B合作方单独建对应环境的landing zone，既满足合作方的资源隔离要求，也不会导致数量过多

4. 当前架构的合理性评估 #

当前架构在业务规模较小的阶段是合理的，优势是架构简单、运维成本低，但随着VM规模增长、外部合作方数量增加，会暴露几个明显问题：

• 单块大VNet的故障域过大，一旦出现网络配置错误，影响整个环境内的所有业务
• 不同合作方的资源没有隔离，容易出现权限误配、IP冲突等问题
• 后续扩容灵活性差，比如某个合作方的业务有独立的合规要求，没法单独满足
• 成本核算不清晰，没法单独统计每个合作方的资源消耗成本

5. 行业落地实践参考 #

大部分服务类、外包合作类的企业落地Azure landing zone的时候，都会选择轻量化适配的方案，不会完全照搬官方全套标准：

• 多数企业会先保留hub-spoke的核心架构，只有当隔离需求、合规需求明确的时候才会拆分专项订阅，不会一开始就拆identity、management订阅
• 对接外部合作方的场景下，普遍按合作方维度划分landing zone，每个合作方的资源完全隔离，权限也只开放给对应合作方的部署账号，避免交叉影响
• 规模在1000台VM以内的企业，普遍不会配置自助服务功能，所有landing zone都由中心IT统一部署运维，比开放自助服务的管控成本低30%以上

内容的提问来源于stack exchange，提问作者EsTeGe