Microsoft Azure
Azure-Beratung, Migration und Plattform Engineering
Eine Azure-Umgebung, die mit dem ersten Workload sauber startet und mit dem zehnten nicht zerfällt: Landing Zone, Identität, Netzwerk, AKS und Automatisierung, entschieden und gebaut mit Ihrem Platform-Team.
- Landing Zone nach Cloud Adoption Framework
- Entra ID, AKS, Bicep oder Terraform
- Arbeit direkt in Ihren Azure-Abonnements
01Ausgangslage
Azure ist schnell gebucht und schwer wieder zu ordnen
Ein Abonnement ist in Minuten angelegt. Ob Rollen, Netzwerk, Richtlinien und Kosten nach einem Jahr noch nachvollziehbar sind, entscheidet sich in den ersten Wochen. SKAFFON berät IT-Leiter und Platform-Teams, die Workloads nach Azure bringen oder eine gewachsene Umgebung ordnen wollen, vor allem in Unternehmen mit Microsoft-geprägter Landschaft bei Identität und Lizenzen.
Azure liegt nahe, wenn Ihre Identitäten bereits in Microsoft Entra ID liegen, bestehende Microsoft-Verträge genutzt werden oder Ihr Team Azure kennt. Das sind legitime Gründe, aber keine Garantie für die beste Architektur. Bei harten Vorgaben zu Datenstandort und Betreiberkontrolle prüfen Sie Alternativen: Cloud-Übersicht, STACKIT, souveräne Cloud.
02Wobei wir helfen
Fünf Arbeitspakete rund um Ihre Azure-Plattform
-
Zielarchitektur und Landing Zone
Entscheidungen entlang der Designbereiche des Cloud Adoption Framework, Ablauf siehe unten.
-
Migration in Wellen
Bestandsaufnahme, Wellen, Cutover, Abnahme: Cloud-Migration. Datenbanken zusätzlich: Datenbankmigration.
-
Identität und Rollen
Anbindung an Microsoft Entra ID, Rollenmodell für Plattform und Workloads, Kubernetes-Zugriff über bestehende Gruppen. Vertiefung: Cloud Security.
-
AKS einführen
Betriebsmodell und Basiskonfiguration: Kubernetes-Beratung. Betrieb optional über Managed Kubernetes.
-
Plattform als Code
Pipelines, Infrastructure as Code, Self-Service: DevOps-Beratung, Platform Engineering.
03Landing Zone
Von Mandant bis Subscription Vending: Ihre Landing Zone in sechs Schritten
Eine Azure Landing Zone besteht laut Cloud Adoption Framework aus einer zentralen Platform Landing Zone (Governance, Sicherheit, gemeinsame Ressourcen) und einer oder mehreren Workload Landing Zones. Microsoft beschreibt Designbereiche, die vor der Umsetzung entschieden werden. Unser Ablauf ordnet sie in eine praktische Reihenfolge.
- 01
Billing und Mandant
Azure billing and tenantVertragsform, Mandant, Eigentümer. Microsoft empfiehlt für die meisten Organisationen eine Platform Landing Zone je Entra-Mandant.
- 02
Identität und Zugriff
Identity and accessMicrosoft nennt die Identität als primäre Sicherheitsgrenze in der Public Cloud. Wir klären Entra-ID-Anbindung, Rollen und privilegierte Zugriffe.
- 03
Ressourcenorganisation
Resource organizationHierarchie der Managementgruppen und Abonnements; sie trägt Governance und Betrieb.
- 04
Netzwerktopologie und Konnektivität
Hub-and-Spoke oder Azure Virtual WAN, Anbindung an Ihr Netz, zentrale Egress- und Firewall-Strategie. Beide Topologien sind in der Microsoft-Referenzarchitektur beschrieben.
- 05
Sicherheit, Governance, Management
Azure Policy als Leitplanken auf Managementgruppen (Abonnements erben sie), Protokollierung, Überwachung, Backup.
- 06
Plattformautomatisierung
Landing Zone als Code, Abonnement-Bereitstellung für neue Workload-Teams (Subscription Vending), Pipelines.
04Struktur
So sieht die Managementgruppen-Hierarchie aus
Struktur nach Microsoft-Referenz, an Ihre Organisation anzupassen.
05Beschleuniger oder Eigenbau
Fertiges Muster nutzen oder die Landing Zone selbst zuschneiden
Microsoft stellt für Platform- und Workload-Landing-Zones Beschleuniger bereit, die per Infrastructure as Code Umgebungen nach empfohlenen Mustern bereitstellen, und erlaubt auch den Eigenbau.
Wir wählen mit Ihnen: Beschleuniger als Startpunkt, wenn Standardmuster passen; angepasster Aufbau, wenn Ihre Organisation oder Compliance-Vorgaben abweichen. Zentralisiert wird nur, was nach Microsofts Hinweis einen klaren Governance-, Betriebs- oder wirtschaftlichen Vorteil über mehrere Workloads bringt.
06Kubernetes auf Azure
AKS Automatic oder AKS Standard: Welcher Modus zu Ihrem Team passt
AKS kennt laut Microsoft zwei Modi. Microsoft empfiehlt Automatic für die meisten neuen Workloads. Wir prüfen gegen Ihre Anforderungen, ob die Einschränkungen von Automatic für Sie tragbar sind, bevor wir es empfehlen.
| Frage | AKS Automatic | AKS Standard |
|---|---|---|
| Wer betreibt was? | Azure verwaltet Knoten, Skalierung, Upgrades und Sicherheitsstandards. | Sie haben volle Kontrolle über Cluster- und Node-Pool-Konfiguration. |
| Sicherheit und Monitoring | Unter anderem Azure RBAC, Workload Identity, OIDC Issuer und Deployment Safeguards sind standardmäßig aktiv. | Funktionen sind einzeln zu aktivieren. |
| Wann passend? | Ihr Team will Infrastrukturbetrieb abgeben und Standardvorgaben akzeptieren. | Spezielle Netzwerkkonfigurationen, Windows-Node-Pools, nicht in Automatic verfügbare VM-Größen, bestehende Automatisierung. |
Mehrere Cluster, mehrere Teams? Dann entscheiden wir Mandantentrennung und Namespace-Zuschnitt vor dem Modus.
07Infrastructure as Code
Bicep oder Terraform: Welche Sprache Ihre Plattform beschreibt
Bicep ist die Azure-eigene deklarative Sprache. Laut Microsoft verwaltet Azure den Zustand selbst (kein State-File), und neue Ressourcentypen sind sofort nutzbar. Passt, wenn Ihre Umgebung ausschließlich auf Azure liegt.
Terraform oder OpenTofu sind plattformübergreifend, mit eigenem State, den wir sicher ablegen und sperren müssen. Passt, wenn Sie mehrere Plattformen oder Anbieter in einer Toolchain betreiben oder unabhängig von einem einzelnen Anbieter bleiben wollen.
Wir setzen beides um; die Wahl treffen wir nach Teamkenntnis und Plattformstrategie.
Verantwortung
Azure betreibt die Plattform, Sie verantworten, was darauf läuft
Konfiguration, Identitäten, Daten und Anwendungen liegen bei Ihnen. Wir arbeiten in Ihren Abonnements und bauen die Plattform so, dass Ihr Team sie versteht und weiterentwickeln kann.
08Kosten
Wovon Ihre Azure-Rechnung wirklich abhängt
Kosten entstehen je Dienst und Nutzung. Laut Microsoft wird beim AKS-Cluster die Control Plane ohne Kosten bereitgestellt, bezahlt werden die Knoten; höhere Preisstufen (Standard, Premium) sind optional beziehungsweise in Automatic enthalten. Aktuelle Preise stehen beim Anbieter.
In der Beratung bewerten wir die Kostentreiber: Zahl der Abonnements und Cluster, Netzwerk-Egress, Speicher, Auslastung.
Den Aufwand unseres Projekts bestimmen Zahl der Abonnements und Umgebungen, Identitäts- und Netzwerkkomplexität, Hybrid-Anbindung, Compliance-Vorgaben und der Anteil von Beratung, Umsetzung und Betrieb. Das Angebot beschreibt Umfang und Ergebnisse je Phase.
09Abgrenzung
Wofür Sie bei SKAFFON an der falschen Adresse sind
Das passt zu uns
- Landing Zone, Identität, Netzwerk und AKS für mehrere Workloads aufbauen oder ordnen.
- Plattform als Code mit Bicep oder Terraform, nachvollziehbar dokumentiert.
Das leisten wir nicht
- Microsoft-Lizenzberatung oder Wiederverkauf.
- Reine Preisbewertung ohne Architektur.
- Eine kleine Einzelanwendung: Eine Landing Zone wäre überdimensioniert.
Azure-Projekt
Schildern Sie uns Ihre Azure-Ausgangslage
Beschreiben Sie Ihre Ausgangslage: Identitäten, vorhandene Abonnements, geplante Workloads. Zurück zur Cloud-Übersicht oder zu allen Leistungen.