Design de landing zone no Azure: o alicerce da nuvem

O que é uma landing zone

Uma landing zone é o ambiente de base, pré-configurado e governado, onde suas cargas de trabalho vão viver no Azure. Pense nela como o terreno preparado com fundação, encanamento e rede elétrica antes de construir a casa. Sem esse alicerce, cada projeto reinventa rede, identidade e políticas de segurança de um jeito diferente — e o resultado é uma nuvem cara, insegura e difícil de auditar.

A Microsoft formaliza esse conceito no Cloud Adoption Framework (CAF) e no Azure Landing Zone, um conjunto de boas práticas e arquiteturas de referência. Como Microsoft Solutions Partner, a RHC usa esse framework para entregar ambientes prontos para escala já na primeira carga migrada.

Os oito blocos de design

Uma landing zone bem construída cobre oito áreas de decisão. Ignorar qualquer uma delas gera dívida técnica:

1. Hierarquia de contas e assinaturas — como separar produção, desenvolvimento e áreas de negócio.
2. Identidade e acesso — integração com Microsoft Entra ID e RBAC.
3. Topologia de rede — hub-spoke, conectividade híbrida e segmentação.
4. Gestão e monitoramento — Azure Monitor, Log Analytics e alertas.
5. Continuidade de negócio — backup e recuperação de desastres.
6. Segurança — Microsoft Defender for Cloud, criptografia e segredos.
7. Governança — Azure Policy, tags e controle de custo.
8. Automação — infraestrutura como código com Bicep ou Terraform.

Assinaturas e Management Groups

O primeiro erro caro é colocar tudo em uma única assinatura. A recomendação é organizar Management Groups que agrupam assinaturas por finalidade, permitindo aplicar políticas de forma hierárquica.

Essa separação permite que uma política de segurança aplicada na raiz seja herdada por todas as assinaturas, enquanto times de projeto têm liberdade dentro de limites definidos.

Identidade como novo perímetro

No Azure, a identidade é o perímetro de segurança. A landing zone integra o Microsoft Entra ID (antigo Azure AD) como fonte de autenticação e aplica RBAC (controle de acesso baseado em função) para dar a cada pessoa exatamente o acesso necessário. Boas práticas incluem:

• Acesso just-in-time com Privileged Identity Management para funções administrativas.
• Autenticação multifator obrigatória.
• Grupos em vez de atribuições individuais.
• Contas de emergência (break-glass) documentadas e monitoradas.

Rede: a espinha dorsal

A topologia mais comum é a hub-spoke: uma rede central (hub) concentra conectividade híbrida, firewall e serviços compartilhados, enquanto redes satélite (spokes) hospedam cargas isoladas. Isso dá segmentação, controle de tráfego e um ponto único para inspeção de segurança. A conectividade com o ambiente on-premises se dá por VPN ou ExpressRoute, dependendo da exigência de banda e latência.

Governança e custo desde o dia um

Governança não é burocracia — é o que mantém a nuvem previsível. A landing zone aplica:

• Azure Policy para bloquear regiões não permitidas, forçar tags e impedir recursos fora do padrão.
• Tags obrigatórias de centro de custo, ambiente e responsável, essenciais para relatórios de FinOps.
• Budgets e alertas para evitar surpresas na fatura.
• Convenções de nomenclatura consistentes para todos os recursos.

Landing zone pronta vs. construída sob medida

Existem dois caminhos de implantação:

• Acelerador de landing zone (portal) — implanta uma arquitetura de referência completa e opinativa em poucos cliques. Ideal para quem quer velocidade e aderência ao padrão Microsoft.
• Landing zone customizada com IaC — construída com Bicep ou Terraform, permite ajustar cada bloco às regras da empresa. Ideal para ambientes regulados ou com requisitos específicos.

A RHC costuma começar pelo acelerador e evoluir para IaC versionado, garantindo que o ambiente seja reproduzível e auditável.

Checklist / Key takeaways

• A landing zone é o alicerce que evita retrabalho e insegurança na nuvem.
• Organize assinaturas com Management Groups por finalidade.
• Trate identidade (Entra ID + RBAC) como o perímetro de segurança.
• Adote topologia de rede hub-spoke com conectividade híbrida planejada.
• Aplique Azure Policy, tags e budgets desde o primeiro recurso.
• Prefira infraestrutura como código para reprodutibilidade.

Construir a landing zone antes de migrar cargas parece adiar o projeto, mas na prática acelera tudo o que vem depois — com governança, segurança e custo sob controle.