何时需要关注平台架构
- 登陆区与订阅设计不清晰
- Entra ID、遗留 AD 与外部身份之间的身份债务
- 网络、专用连接与安全基线不一致
- Azure 支出上升而缺乏工作负载归属或 FinOps 纪律
- 平台团队受限于手工环境供应
我们在该平台上的工作方式
- Azure 登陆区与基础设计
- Entra ID 与身份现代化顾问
- AKS 与容器平台架构
- Azure 迁移与现代化项目
- 面向登陆区的 Azure Monitor 架构
- Bicep/Terraform 自动化与 GitHub Actions / Azure DevOps 流水线
架构全景
概念架构
示意决策边界的概念架构，不代表任何客户环境。: 身份与策略; 专用连接; 业务工作负载受控交付
平台基础
01身份与策略
02专用连接
03业务工作负载
示意决策边界的概念架构，不代表任何客户环境。
登陆区优先
Azure 登陆区是为工作负载预配置的可治理基础——身份、网络、安全、日志与订阅设计——使应用落在一致、可控的环境中。
没有该基础，团队会为每个项目重复这些决策。本站登陆区页面是设计该项合作；Cloud Launchpad 是自动化部署方式。
身份与 AKS
本页的 Entra ID 工作是架构：员工与工作负载身份如何进入 Azure，以及该模型如何延伸至 AKS。面向 Entra External ID 的客户身份迁移在已发布的洞察中阐述，而非安全态势项目。
AKS 被视作团队可复用的平台，与 Kubernetes 页面对 EKS、GKE 的描述方式相同。
技术决策背景
- Microsoft Azure
- Microsoft Entra ID
- Azure Kubernetes Service (AKS)
- Azure Landing Zones
- Bicep
- Terraform
- Azure Monitor
- Microsoft Defender for Cloud
- Microsoft Sentinel
工作旨在实现的目标
- 团队可安全扩展的可重复 Azure 基础
- 清晰的身份、网络与安全边界
- 通过基础设施即代码加快环境交付
- 为平台负责人提供更好的成本可见性与治理
平台选择即运营选择
我们在实施前商定工作负载验收标准、访问归属、变更实践与恢复职责。提供商服务不能替代应用测试、成本问责与运营团队。
常见问题