Azure

Azure Landing Zone

Allgemeine Infos

Eine Azure Landing Zone ist eine Architektur aus dem Cloud Adoption Framework (CAF) von Microsoft. Sie legt fest, wie Management Groups, Subscriptions, Netzwerke, Richtlinien, Identitäten und Protokollierung aufgebaut sind, bevor die erste Anwendung einzieht.

Microsoft unterscheidet die Plattform-Landing-Zone mit zentralen Diensten wie Konnektivität, Sicherheitsüberwachung, Identität und Management sowie Workload-Landing-Zones, in denen Anwendungsteams innerhalb der Leitplanken arbeiten. Die meisten Organisationen haben eine Plattform-Landing-Zone pro Entra-Tenant.

Die aktuelle CAF-Fassung (zuletzt aktualisiert im Oktober 2026) bezieht KI-Workloads ausdrücklich ein: Auch KI-Modelle und Agenten werden in Workload-Landing-Zones bereitgestellt, die Plattform stellt die passenden Richtlinien.

Funktionsweise & Details

Der Aufbau folgt typischerweise diesem Ablauf:

  1. Anforderungen in den Designbereichen klären, etwa Abrechnung, Identität, Netzwerktopologie, Sicherheit, Management und Governance.
  2. Management-Group-Hierarchie anlegen, mit getrennten Zweigen für Plattform und Workload-Landing-Zones (zum Beispiel Corp für intern angebundene und Online für internetnahe Anwendungen).
  3. Plattformdienste bereitstellen: Hub-and-Spoke- oder Virtual-WAN-Netzwerk, zentrale Log-Analytics-Umgebung, Azure Policy, Defender for Cloud, Kostenmanagement.
  4. Subscription Vending einführen, also einen standardisierten Weg, auf dem Teams neue Workload-Subscriptions anfordern.

Für die Umsetzung bietet Microsoft Accelerators auf Basis von Infrastructure as Code an, alternativ ist ein eigener Aufbau möglich.

Vorteile & Nutzen

  • Sicherer Startpunkt, weil Netzwerk, Protokollierung und Richtlinien vor den ersten Workloads stehen
  • Skalierbarkeit, da neue Anwendungen in eine vorbereitete Struktur einziehen statt jedes Mal neu zu planen
  • Governance von Anfang an, was spätere Umbauten an produktiven Systemen vermeidet
  • Wiederverwendbare, als Code dokumentierte Bausteine

Praxisbeispiel

Ein Hersteller von Verpackungsmaschinen mit 300 Beschäftigten plant, Dateiablage, Testsysteme und ein KI-Projekt nach Azure zu bringen. Statt mit einer Subscription loszulegen, baut die IT eine kleine Landing Zone: zwei Management-Group-Zweige, ein Hub-VNet mit VPN zur Zentrale, ein zentraler Log Analytics Workspace und eine Policy-Initiative für EU-Regionen. Die ersten drei Workloads ziehen innerhalb weniger Wochen ein, ohne dass Netzwerk oder Rechte später umgebaut werden müssen.

Worauf sollte man achten?

  • Klein anfangen, die Referenzarchitektur ist für große Umgebungen gedacht und muss für den Mittelstand zugeschnitten werden
  • IP-Adressplan mit dem lokalen Netz abstimmen, bevor das Hub-VNet entsteht
  • Verantwortung zwischen Plattformbetrieb und Anwendungsteams schriftlich klären
  • Alles als Code ablegen, damit Änderungen nachvollziehbar und wiederholbar bleiben
  • Landing Zone regelmäßig gegen die aktuelle CAF-Fassung prüfen, weil Microsoft sie laufend erweitert

Fazit

Eine Landing Zone erspart den späteren Umbau einer gewachsenen Azure-Umgebung. Starte klein, aber mit sauberem Plan für Hierarchie, Netzwerk und Policies.

Weiterführende Links

Verwandte Artikel