--- title: "Azure-Beratung: Landing Zone, Migration, Plattform | SKAFFON" description: "Azure-Beratung von SKAFFON: Landing Zone nach Cloud Adoption Framework, Entra ID, AKS, Bicep oder Terraform. Mit Aufbau-Ablauf je Designbereich." url: https://skaffon.de/cloud/azure-beratung/ --- ![3D-Illustration einer blauen Wolke mit Serverschränken, über Leitungen mit einem Bildschirm und Rechenmodulen verbunden](/_astro/cloud-rechenzentrum-3d-illustration.DtkSIlbk_Z2n1IfJ.jpg) 1. [Startseite](/) 2. [Cloud](/cloud/) 3. Azure-Beratung, Migration und Plattform Engineering Microsoft Azure # Azure-Beratung, Migration und Plattform Engineering Eine Azure-Umgebung, die mit dem ersten Workload sauber startet und mit dem zehnten nicht zerfällt: Landing Zone, Identität, Netzwerk, AKS und Automatisierung, entschieden und gebaut mit Ihrem Platform-Team. [Projekt anfragen](/projekt-anfragen/) [Zur Cloud-Übersicht](/cloud/) - Landing Zone nach Cloud Adoption Framework - Entra ID, AKS, Bicep oder Terraform - Arbeit direkt in Ihren Azure-Abonnements Autor: [Ibrahim Yesilay](/unternehmen/ibrahim-yesilay/), Gründer und Geschäftsführer Stand: 13.11.2026 Ausgangslage ## Azure ist schnell gebucht und schwer wieder zu ordnen Ein Abonnement ist in Minuten angelegt. Ob Rollen, Netzwerk, Richtlinien und Kosten nach einem Jahr noch nachvollziehbar sind, entscheidet sich in den ersten Wochen. SKAFFON berät IT-Leiter und Platform-Teams, die Workloads nach Azure bringen oder eine gewachsene Umgebung ordnen wollen, vor allem in Unternehmen mit Microsoft-geprägter Landschaft bei Identität und Lizenzen. Azure liegt nahe, wenn Ihre Identitäten bereits in Microsoft Entra ID liegen, bestehende Microsoft-Verträge genutzt werden oder Ihr Team Azure kennt. Das sind legitime Gründe, aber keine Garantie für die beste Architektur. Bei harten Vorgaben zu Datenstandort und Betreiberkontrolle prüfen Sie Alternativen: [Cloud-Übersicht](/cloud/), [STACKIT](/stackit/), [souveräne Cloud](/infrastruktur/souveraene-cloud/). Herstellerneutral beraten Wir empfehlen Azure nur, wenn es zu Ihren Anforderungen passt. Rechtsfragen zum Anbieterkonzern bewertet Ihr Datenschutz, gegebenenfalls mit Rechtsberatung. Wobei wir helfen ## Fünf Arbeitspakete rund um Ihre Azure-Plattform - ### Zielarchitektur und Landing Zone Entscheidungen entlang der Designbereiche des Cloud Adoption Framework, Ablauf siehe unten. - ### Migration in Wellen Bestandsaufnahme, Wellen, Cutover, Abnahme: [Cloud-Migration](/leistungen/cloud-migration/). Datenbanken zusätzlich: [Datenbankmigration](/daten/datenbank-migration/). - ### Identität und Rollen Anbindung an Microsoft Entra ID, Rollenmodell für Plattform und Workloads, Kubernetes-Zugriff über bestehende Gruppen. Vertiefung: [Cloud Security](/cybersecurity/cloud-security/). - ### AKS einführen Betriebsmodell und Basiskonfiguration: [Kubernetes-Beratung](/leistungen/kubernetes-beratung/). Betrieb optional über [Managed Kubernetes](/managed-services/managed-kubernetes/). - ### Plattform als Code Pipelines, Infrastructure as Code, Self-Service: [DevOps-Beratung](/leistungen/devops-automatisierung/), [Platform Engineering](/leistungen/platform-engineering/). Landing Zone ## Von Mandant bis Subscription Vending: Ihre Landing Zone in sechs Schritten Eine Azure Landing Zone besteht laut [Cloud Adoption Framework](https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/) aus einer zentralen Platform Landing Zone (Governance, Sicherheit, gemeinsame Ressourcen) und einer oder mehreren Workload Landing Zones. Microsoft beschreibt [Designbereiche](https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-areas), die vor der Umsetzung entschieden werden. Unser Ablauf ordnet sie in eine praktische Reihenfolge. 1. 01 ### Billing und Mandant Azure billing and tenant Vertragsform, Mandant, Eigentümer. Microsoft empfiehlt für die meisten Organisationen eine Platform Landing Zone je Entra-Mandant. 2. 02 ### Identität und Zugriff Identity and access Microsoft nennt die Identität als primäre Sicherheitsgrenze in der Public Cloud. Wir klären Entra-ID-Anbindung, Rollen und privilegierte Zugriffe. 3. 03 ### Ressourcenorganisation Resource organization Hierarchie der Managementgruppen und Abonnements; sie trägt Governance und Betrieb. 4. 04 ### Netzwerktopologie und Konnektivität Hub-and-Spoke oder Azure Virtual WAN, Anbindung an Ihr Netz, zentrale Egress- und Firewall-Strategie. Beide Topologien sind in der Microsoft-Referenzarchitektur beschrieben. 5. 05 ### Sicherheit, Governance, Management Azure Policy als Leitplanken auf Managementgruppen (Abonnements erben sie), Protokollierung, Überwachung, Backup. 6. 06 ### Plattformautomatisierung Landing Zone als Code, Abonnement-Bereitstellung für neue Workload-Teams (Subscription Vending), Pipelines. Struktur ## So sieht die Managementgruppen-Hierarchie aus Struktur nach Microsoft-Referenz, an Ihre Organisation anzupassen. Platform (Security, Management, Identity, Connectivity) und Workload landing zones (unter anderem Corp und Online); Azure Policy erbt von oben nach unten. Platform (Security, Management, Identity, Connectivity) und Workload landing zones (unter anderem Corp und Online); Azure Policy erbt von oben nach unten. Beschleuniger oder Eigenbau ## Fertiges Muster nutzen oder die Landing Zone selbst zuschneiden Microsoft stellt für Platform- und Workload-Landing-Zones Beschleuniger bereit, die per Infrastructure as Code Umgebungen nach empfohlenen Mustern bereitstellen, und erlaubt auch den Eigenbau. Wir wählen mit Ihnen: Beschleuniger als Startpunkt, wenn Standardmuster passen; angepasster Aufbau, wenn Ihre Organisation oder Compliance-Vorgaben abweichen. Zentralisiert wird nur, was nach Microsofts Hinweis einen klaren Governance-, Betriebs- oder wirtschaftlichen Vorteil über mehrere Workloads bringt. [Landing Zone als Code](/leistungen/landing-zone-iac/) ![Rechenzentrumshalle mit Reihen weißer Serverschränke und abgehängten Kabeltrassen](/_astro/rechenzentrum-halle-weisse-schraenke.BskrfB4z_284UBm.jpg) Kubernetes auf Azure ## AKS Automatic oder AKS Standard: Welcher Modus zu Ihrem Team passt [AKS](https://learn.microsoft.com/en-us/azure/aks/what-is-aks) kennt laut Microsoft zwei Modi. Microsoft empfiehlt Automatic für die meisten neuen Workloads. Wir prüfen gegen Ihre Anforderungen, ob die Einschränkungen von Automatic für Sie tragbar sind, bevor wir es empfehlen. __AKS Automatic und AKS Standard im Vergleich__ | Frage | AKS Automatic | AKS Standard | | ------------------------- | ------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------- | | Wer betreibt was? | Azure verwaltet Knoten, Skalierung, Upgrades und Sicherheitsstandards. | Sie haben volle Kontrolle über Cluster- und Node-Pool-Konfiguration. | | Sicherheit und Monitoring | Unter anderem Azure RBAC, Workload Identity, OIDC Issuer und Deployment Safeguards sind standardmäßig aktiv. | Funktionen sind einzeln zu aktivieren. | | Wann passend? | Ihr Team will Infrastrukturbetrieb abgeben und Standardvorgaben akzeptieren. | Spezielle Netzwerkkonfigurationen, Windows-Node-Pools, nicht in Automatic verfügbare VM-Größen, bestehende Automatisierung. | Mehrere Cluster, mehrere Teams? Dann entscheiden wir Mandantentrennung und Namespace-Zuschnitt vor dem Modus. Infrastructure as Code ## Bicep oder Terraform: Welche Sprache Ihre Plattform beschreibt **Bicep** ist die Azure-eigene deklarative Sprache. Laut [Microsoft](https://learn.microsoft.com/en-us/azure/azure-resource-manager/bicep/overview) verwaltet Azure den Zustand selbst (kein State-File), und neue Ressourcentypen sind sofort nutzbar. Passt, wenn Ihre Umgebung ausschließlich auf Azure liegt. **Terraform oder OpenTofu** sind plattformübergreifend, mit eigenem State, den wir sicher ablegen und sperren müssen. Passt, wenn Sie mehrere Plattformen oder Anbieter in einer Toolchain betreiben oder unabhängig von einem einzelnen Anbieter bleiben wollen. Wir setzen beides um; die Wahl treffen wir nach Teamkenntnis und Plattformstrategie. [Infrastructure as Code](/leistungen/infrastructure-as-code/) ![Farbig hervorgehobener Programmcode auf einem dunklen Bildschirm](/_astro/quellcode-dunkler-bildschirm.C4JE8WQs_1hcHR7.jpg) Verantwortung ## Azure betreibt die Plattform, Sie verantworten, was darauf läuft Konfiguration, Identitäten, Daten und Anwendungen liegen bei Ihnen. Wir arbeiten in Ihren Abonnements und bauen die Plattform so, dass Ihr Team sie versteht und weiterentwickeln kann. Kosten ## Wovon Ihre Azure-Rechnung wirklich abhängt Kosten entstehen je Dienst und Nutzung. Laut Microsoft wird beim AKS-Cluster die Control Plane ohne Kosten bereitgestellt, bezahlt werden die Knoten; höhere Preisstufen (Standard, Premium) sind optional beziehungsweise in Automatic enthalten. Aktuelle Preise stehen beim Anbieter. In der Beratung bewerten wir die Kostentreiber: Zahl der Abonnements und Cluster, Netzwerk-Egress, Speicher, Auslastung. Den Aufwand unseres Projekts bestimmen Zahl der Abonnements und Umgebungen, Identitäts- und Netzwerkkomplexität, Hybrid-Anbindung, Compliance-Vorgaben und der Anteil von Beratung, Umsetzung und Betrieb. Das Angebot beschreibt Umfang und Ergebnisse je Phase. Abgrenzung ## Wofür Sie bei SKAFFON an der falschen Adresse sind ### Das passt zu uns - Landing Zone, Identität, Netzwerk und AKS für mehrere Workloads aufbauen oder ordnen. - Plattform als Code mit Bicep oder Terraform, nachvollziehbar dokumentiert. ### Das leisten wir nicht - Microsoft-Lizenzberatung oder Wiederverkauf. - Reine Preisbewertung ohne Architektur. - Eine kleine Einzelanwendung: Eine Landing Zone wäre überdimensioniert. Azure-Projekt ## Schildern Sie uns Ihre Azure-Ausgangslage Beschreiben Sie Ihre Ausgangslage: Identitäten, vorhandene Abonnements, geplante Workloads. Zurück zur [Cloud-Übersicht](/cloud/) oder zu allen [Leistungen](/leistungen/). [Projekt anfragen](/projekt-anfragen/) [Alle Leistungen](/leistungen/)