你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn 。 访问此页面需要授权。 可以尝试 登录 或 更改目录 。 访问此页面需要授权。 可以尝试 更改目录 。 云采用框架的“就绪”阶段可帮助你设计Azure登陆区域以满足组织的要求。 Azure登陆区域是一种经过验证的灵活体系结构，用于管理、保护和缩放多订阅Azure环境。 Azure登陆区域由两个组件组成： 平台登陆区域： 为所有Azure工作负荷建立治理、安全性和共享资源的集中式基础。 平台登陆区域： 为所有Azure工作负荷建立治理、安全性和共享资源的集中式基础。 应用程序（工作负荷）登陆区域： 工作负荷团队在平台登陆区域的护栏内部署和操作工作负荷资源的环境。 工作负荷是Azure资源、代码、AI 模型、数据和基础结构的集合，共同实现定义的业务成果 。 应用程序（工作负荷）登陆区域： 工作负荷团队在平台登陆区域的护栏内部署和操作工作负荷资源的环境。 工作负荷是Azure资源、代码、AI 模型、数据和基础结构的集合，共同实现定义的业务成果 。 可以通过以下两种方式之一实现Azure登陆区域的每个组件： 加速器 ：Microsoft为平台登陆区域和应用程序登陆区域方案提供的加速器使用基础结构作为代码，根据建议的做法部署Azure环境。 加速器 ：Microsoft为平台登陆区域和应用程序登陆区域方案提供的加速器使用基础结构作为代码，根据建议的做法部署Azure环境。 自定义构建 ：由内部团队设计和构建该解决方案，或者在 Microsoft 或 Microsoft 合作伙伴的支持下完成。 自定义构建 ：由内部团队设计和构建该解决方案，或者在 Microsoft 或 Microsoft 合作伙伴的支持下完成。 对于大多数组织，加速器提供了与Microsoft建议做法一致的部署最快的路径。 每个Azure登陆区域都从平台登陆区域开始。 在构建平台登陆区域之前，请跨Azure登陆区域 设计区域 定义组织要求。 这些决策决定了你如何设计 Azure 着陆区。 概念体系结构关系图可帮助你了解Azure登陆区域的核心组件及其协同工作原理。 从这些关系图开始，了解平台登陆区域、应用程序登陆区域和Microsoft解决方案之间的关系。 分层体系结构关系图。 标有“统一的身份、安全和治理”的顶部横幅中包括 Microsoft Agent 365、Microsoft Defender、Microsoft Entra 和 Microsoft Purview。 下方的大型 Azure 登陆区域框中包含一个平台登陆区域，该区域居中显示在应用程序登陆区域部分的上方。 应用程序登陆区域部分包含三个代表Azure工作负荷的应用程序登陆区域框。 位于工作负载下方的 Microsoft Foundry 和 Foundry IQ 方框通过虚线箭头连接到应用程序着陆区，表示为选定的工作负载提供可选的 AI 功能。 概念性 Azure 着陆区体系结构。 下载此架构的 PowerPoint 文件 。 在Azure登陆区域下方，Microsoft Copilot Studio、Microsoft Fabric和Microsoft 365显示为集成的业务、数据和AI解决方案。 在底部，数据源包括本地系统、Dataverse、Microsoft 365、Azure 工作负载和其他云连接到这些解决方案。 双向箭头表示数据源、Microsoft平台和Azure工作负载之间的集成。 Azure 概念性着陆区架构以及企业与 Microsoft 解决方案的集成。 下载此架构的 PowerPoint 文件 。 “应用程序登陆区域”部分显示了如何在Azure登陆区域体系结构下组织工作负荷。 工作负荷分为“内部”、“联机”和“本地”类别。 每个工作负荷接收一个专用应用程序登陆区域，其中包含与该工作负荷关联的所有环境。 典型环境包括开发、测试和生产环境，每个环境都包含一个或多个Azure订阅。 内部工作负载示例包括一个 Microsoft Fabric 计算着陆区，以及一个使用 Azure 机器学习、Azure Databricks、Azure 基础架构上的 AI 和 Azure Data Lake Storage 等服务的数据与 AI 工作负载着陆区。 该图还显示，Microsoft Foundry 资源可以添加到需要 AI 功能的工作负荷环境中。 工作负荷团队管理应用程序登陆区域，这些区域与平台团队管理的平台登陆区域保持分离。 Azure 详细概念性着陆区架构。 下载此架构的 PowerPoint 文件 。 在Azure登陆区域下方，Microsoft Copilot Studio、Microsoft Fabric和Microsoft 365显示为集成的业务、数据和AI解决方案。 在底部，数据源包括本地系统、Dataverse、Microsoft 365、Azure 工作负载和其他云连接到这些解决方案。 双向箭头表示数据源、Microsoft平台和Azure工作负载之间的集成。 详细的概念性 Azure 着陆区架构，以及与 Microsoft 解决方案的企业集成。 下载此架构的 PowerPoint 文件 。 参考体系结构图显示了建议的Azure登陆区域实现模式和部署模型。 使用这些关系图可以了解如何在中心辐射型、Azure 虚拟 WAN和其他体系结构设计中组织管理组、订阅、网络和治理控制。

中间是以方框形式显示的各个订阅。 “Security and Management”订阅（D，左上角）包含 Log Analytics 工作区、Microsoft Sentinel 和仪表板。 标识订阅包含带有域服务和恢复服务保管库的虚拟网络。 连接订阅（E）包含跨两个区域的Azure DDoS 防护、Azure DNS、VPN/ExpressRoute 网关、Azure 防火墙和对等互连中心虚拟网络。 应用程序着陆区 A2 和 P1 订阅（F）包含应用程序虚拟网络、资源组和工作负载资源（G），右侧还有一个沙盒订阅（H）。 每个订阅重复一个常见的工具集行：操作组、警报、成本管理、角色分配、策略分配、网络观察程序、Defender for Cloud和Azure 更新管理器。 显示中心&辐射型网络拓扑的 Azure 登陆区域参考体系结构。 下载此体系结构的 Visio 文件 或 PDF 文件 。 中间是以方框形式显示的各个订阅。 “Security and Management”订阅（D，左上角）包含 Log Analytics 工作区、Microsoft Sentinel 和仪表板。 标识订阅包含带有域服务和恢复服务保管库的虚拟网络。 连接订阅（E）包含具有 VPN/ExpressRoute 网关的Azure DDoS 防护、Azure DNS、Azure 防火墙和两个Azure 虚拟 WAN中心（区域 1 和区域 N）。 VWAN 中心连接线将这些中心链接到应用程序登陆区域虚拟网络。 应用程序着陆区 A2 和 P1 订阅（F）包含应用程序虚拟网络、资源组和工作负载资源（G），右侧还有一个沙盒订阅（H）。 每个订阅重复一个常见的工具集行：操作组、警报、成本管理、角色分配、策略分配、网络观察程序、Defender for Cloud和Azure 更新管理器。 Azure登陆区域参考体系结构，其中显示了Azure 虚拟 WAN网络拓扑。 下载此体系结构的 Visio 文件 或 PDF 文件 。 在下方的“订阅”区域中，每个管理组都链接到其订阅。 安全、管理、标识和连接管理组分别映射到同名匹配的订阅。 公司环境连接到应用程序登陆区域 A1、应用程序登陆区域 P1 和应用程序登陆区域 A2 订阅。 本地环境连接到应用程序登陆区域 C1 订阅（Azure Local 群集）和应用程序登陆区域 A1 订阅（应用程序）。 已停用映射到已停用的订阅，沙盒映射到沙盒订阅 1 和沙盒订阅 2。 在线管理组下方未显示任何订阅。 基线 Azure 登陆区域管理组层次结构。 下载此体系结构的 Visio 文件 。 中央和上层结构保持未着色状态，上方为企业协议/Microsoft 客户协议 计费层次结构 (A)、标识和访问管理 (B)、具有本地 Active Directory 域服务的 Microsoft Entra ID，以及 Git 存储库、看板和管道。 Azure登陆区域参考体系结构中的平台登陆区域与应用程序登陆区域。 下载此体系结构的 Visio 文件 或 PDF 文件 。 平台着陆区奠定了贵组织的 Azure 基础架构。 它定义如何组织Azure资源、强制实施治理并集中提供共享功能。 大多数组织在每个 Microsoft Entra 租户中都应仅有一个平台登陆区域。 平台登陆区域由管理组层次结构和集中资源（根据需要）组成。 平台的一个重要功能是有办法将应用程序登陆区域分发到工作负荷团队。 管理组层次结构： 管理组层次结构为Azure环境提供治理结构。 它将组织所有Azure订阅，并将治理标准应用于这些订阅。 层次结构分隔平台资源和工作负荷资源。 设计良好的层次结构使你能够一致地应用治理标准，而无需创建不必要的管理复杂性。 管理组层次结构： 管理组层次结构为Azure环境提供治理结构。 它将组织所有Azure订阅，并将治理标准应用于这些订阅。 层次结构分隔平台资源和工作负荷资源。 设计良好的层次结构使你能够一致地应用治理标准，而无需创建不必要的管理复杂性。 集中资源： 许多组织集中提供某些功能，以便每个工作负荷都可以使用相同的已批准的服务和标准。 常见示例包括连接和网络、安全监视、Active Directory标识服务和管理服务。 要集中管理哪些内容，取决于你的需求。 仅应集中化那些能够在多个工作负载之间提供明确治理、运营或经济效益的能力。 集中资源： 许多组织集中提供某些功能，以便每个工作负荷都可以使用相同的已批准的服务和标准。 常见示例包括连接和网络、安全监视、Active Directory标识服务和管理服务。 要集中管理哪些内容，取决于你的需求。 仅应集中化那些能够在多个工作负载之间提供明确治理、运营或经济效益的能力。 应用程序登陆区域分布： 需要一个可重复的过程来请求、创建和分发应用程序登陆区域到工作负荷团队。 标准化方法可确保每个新的应用程序登陆区域都遵循组织的治理和安全基线。 可以手动执行此操作或自动执行此过程。 随着应用程序登陆区域请求的数量的增长，自动化变得越来越重要。 请参阅 订阅售货 。 应用程序登陆区域分布： 需要一个可重复的过程来请求、创建和分发应用程序登陆区域到工作负荷团队。 标准化方法可确保每个新的应用程序登陆区域都遵循组织的治理和安全基线。 可以手动执行此操作或自动执行此过程。 随着应用程序登陆区域请求的数量的增长，自动化变得越来越重要。 请参阅 订阅售货 。 实现选项： Microsoft提供了多个平台登陆区域加速器，这些加速器实现了建议的体系结构模式和组织防护措施。 请参阅 平台登陆区域实现选项 。 还可以开发自己的实现或与Microsoft或Microsoft合作伙伴合作，以构建自定义的平台登陆区域。 每个工作负荷都有一个应用程序登陆区域。 应用程序登陆区域包含支持该工作负荷所需的所有环境，例如开发、测试和生产环境。 每个环境都包含一个或多个基于工作负荷要求、团队所有权边界或Azure订阅限制的一个或多个Azure订阅。 应用程序登陆区域包括工作负荷团队拥有和在每个环境中运行的所有Azure资源。 平台团队根据工作负载的要求，将每个应用程序着陆区订阅放入“(Application) Landing zones”管理组下的“联机”、“内部（‘Corp’）”或“本地”管理组中。 每个订阅及其 Azure 资源都会继承应用于管理组层次结构的 Azure 策略中的治理和安全策略。 此模型提供一致的防护措施，并允许灵活地满足特定于工作负荷的要求。 实现选项： Microsoft提供了多个加速器来部署不同类型的应用程序登陆区域。 还可以实施自己的方法，或者与Microsoft或Microsoft合作伙伴联系以获取帮助。 有关应用程序登陆区域加速器列表，请参阅 Azure体系结构中心 。 Azure登陆区域中的技术采用 Azure登陆区域支持新的新兴技术，而无需更改整个体系结构。 无论工作负载类型是什么（例如 AI），都可以将工作负载资源部署到应用程序登陆区中。 随着新的要求的出现，你将更新平台登陆区域中的治理和安全策略。 然后，这些策略在应用程序登陆区域中一致地应用，这有助于更快地采用新技术，并在该类型的所有工作负荷中保持一致性。 云采用框架提供了常见采用方案的指导，可帮助你为成功采用准备人员、流程和平台做好准备。 请参阅 场景 。 想要尝试使用 Ask Learn 阐明或指导你完成本主题？ Last updated on 2026-08-26