Architektur – Azure-VMware-Lösung in einer Azure Landezone

In diesem Artikel erfahren Sie, wie Azure-VMware-Lösung in Ihre Azure Zielzone und Unternehmensarchitektur integriert wird. Entdecken Sie die Plattformentscheidungen für Netzwerke, Sicherheit, Identität und Integration, die sich auf Kosten und Vorgänge auswirken.

Azure-VMware-Lösung führt Ihre vorhandene VMware-Umgebung auf dedizierter Azure-Infrastruktur aus. Mithilfe von Azure-VMware-Lösung können Ihre Teams weiterhin vertraute VMware-Tools und -Prozesse verwenden und in Azure Dienste nativ integrieren. Dieser Leitfaden konzentriert sich auf die Plattformentscheidungen, die für jede Azure-VMware-Lösung Workload gelten, nicht auf den Entwurf einer einzelnen Anwendung. Verwenden Sie sie, bevor Sie eine Bereitstellung anfordern, denn einige frühe Entscheidungen in Bezug auf Netzwerk, Adressierung, Identität und Integration prägen Kosten, Sicherheit und den Betrieb über Jahre hinweg.

Empfehlung: Entscheiden Sie, wie Azure-VMware-Lösung in Ihre vorhandene Zielzone integriert wird, einschließlich der Position, an der sich die privaten Clouds in Ihrer Verwaltungsgruppenhierarchie befinden, wie sie eine Verbindung mit Ihren Azure und lokalen Netzwerken herstellen und welche Unternehmensdienste auf ihre Workloads ausgedehnt werden.

1. Plattformlandungszone

Ihre Plattform-Zielzone bietet die gemeinsame Grundlage, auf der jede Workload basiert, z. B. Netzwerk, Identität und Überwachung. Azure-VMware-Lösung hängt von dieser Grundlage ab, und die Einrichtungsarbeit hängt von der von Ihnen gewählten Generation ab. Gen 2 benötigt weniger Plattform-Sanitär, da es sich in Ihrem virtuellen Netzwerk befindet. Planen Sie die folgenden Elemente, bevor Sie eine Bereitstellung anfordern.

1.1 Azure verbindung mit virtuellen Netzwerken

Entscheiden Sie, wie die private Cloud Ihre Azure virtuellen Netzwerke und Ihre lokalen Rechenzentren erreicht. Ihre Plattform-Zielzone muss diese Konnektivität bereitstellen, und der Aufwand hängt von der ausgewählten Generation ab.

• Gen-2-Anforderungen: Gen 2 unterstützt eine native Verbindung. Eine private Cloud der Generation 2 wird innerhalb eines virtuellen Azure-Netzwerks bereitgestellt und kann daher Ihre anderen Azure-Netzwerke über standardmäßiges Peering virtueller Netzwerke erreichen, ohne dass zusätzliche Konnektivität eingerichtet werden muss. Dies ist der Hauptgrund, warum Gen 2 das Netzwerkdesign vereinfacht.

• Anforderungen der Generation 1: Gen 1 verwendet eine verwaltete ExpressRoute-Verbindung. Eine private Cloud der Generation 1 ist über eine Microsoft-verwaltete ExpressRoute-Verbindung, die Bestandteil des Azure-VMware-Lösung-Diensts ist, mit Ihren virtuellen Azure-Netzwerken verbunden. Behandeln Sie dies als eine separate Designentscheidung von der ExpressRoute, die Sie für den On-Premises-Datenverkehr verwenden. Für viele Workloads der Generation 1 reicht die High Performance SKU aus. Verwenden Sie für Workloads mit sehr hohen Durchsatzanforderungen die Ultra Performance-SKU mit aktivierter FastPath-Funktion, und erstellen Sie eine zweite ExpressRoute-Schaltung für externe Speicherkonnektivität. Ein einzelnes Gateway unterstützt bis zu vier private Cloudverbindungen von einem Standort aus.

Verwenden Sie Gen 2 für neue private Cloudbereitstellungen, sofern möglich. Verwenden Sie Gen 1, wenn Sie eine vorhandene Azure-VMware-Lösung Gen 1-Umgebung oder in Regionen erweitern, in denen Gen 2 nicht verfügbar ist.

1.2 Lokale Konnektivität

Viele Organisationen führen Azure-VMware-Lösung in einem Hybridmodell aus, in dem einige Anwendungen, Benutzer oder Daten in ihren Rechenzentren verbleiben. Planen Sie diesen Pfad frühzeitig, da er sich sowohl auf den Migrations- als auch den täglichen Betrieb auswirkt.

VMware HCX Network Extension unterstützt das Strecken eines einzelnen Netzwerks über lokale und Azure-VMware-Lösung private Clouds, sodass Sie IP-Bereiche freigeben und IP-Adressen beibehalten können, wenn Sie zu Azure wechseln. Die Netzwerkerweiterung führt eigene Einschränkungen und Skalierbarkeitsgrenzwerte ein. Verwenden Sie sie für Workloads, bei denen die IP-Erhaltung wichtig ist, aber nicht davon aus, dass sie für jede Workloads erforderlich ist.

• Gen 2: Gen 2 verbindet lokal über Ihr eigenes Gateway. Mit Gen 2 verbinden Sie Ihr Rechenzentrum auf die gleiche Weise mit der privaten Cloud, wie Sie jedes Azure virtuelles Netzwerk lokal mithilfe einer standardmäßigen ExpressRoute-Verbindung oder eines Standort-zu-Standort-VPN über Ihr virtuelles Netzwerkgateway verbinden. Ihre vorhandene Hybridkonnektivität deckt dies häufig bereits ab.

• Gen 1: Gen 1 verwendet ExpressRoute Global Reach. Mit Gen 1 verbinden Sie Ihre lokale Umgebung über ExpressRoute Global Reach mit der privaten Cloud, das Ihre lokale ExpressRoute-Leitung direkt mit der von Azure-VMware-Lösung verwalteten Leitung am Netzwerkrand von Microsoft koppelt. Dieser Pfad bietet Ihnen eine geringe Latenz und verhindert das Routing über Azure virtuellen Netzwerke. In Regionen, in denen globale Reichweite aufgrund lokaler Vorschriften nicht verfügbar ist, erstellen Sie eine Routinglösung mit Azure virtuellen Computern, wodurch Kosten und Betriebsaufwand hinzugefügt werden.

1.3 Netzwerkadressraum

Ihre Konnektivität funktioniert nur, wenn Sie die richtigen Adressen im Voraus reservieren. Adressüberlappungen und Kontingentverzögerungen sind die häufigsten Ursachen für langsame oder fehlgeschlagene Rollouts.

• Block für private Cloudadressen: Reservieren Sie einen dedizierten /22-Block für jede private Cloud. Jede private Cloud benötigt einen eigenen /22-Adressblock für Verwaltungsfunktionen wie vCenter Server und vMotion, die Technologie, die die Ausführung virtueller Computer zwischen Hosts verschiebt. Azure stellt diese Verwaltungssubnetze automatisch innerhalb des Blocks bereit. Der Block darf keinen Bereich überlappen, den Sie bereits lokal oder in Azure verwenden, und er muss aus dem privaten Adressraum (RFC 1918) stammen.

• Gen 2-Subnetze: Gen 2 fordert Sie außerdem auf, zusätzlich zu dem /22-Subnetz zwei weitere /24-Subnetze für VMware HCX-Verwaltungs- und Migrationsdatenverkehr zu reservieren. Ihre virtuellen Computer stellen eine Verbindung mit Netzwerksegmenten her, die sich außerhalb des Verwaltungsblocks befinden, identifizieren Sie also mindestens ein nicht überlappender Abschnitt für die ersten Workloads, und erweitern Sie von dort aus. Siehe Entwurfsüberlegungen für die Azure-VMware-Lösung Generation 2 Private Cloud.

1.4 Identitätsarchitektur

Verwenden Sie Ihre vorhandenen Identitätsdienste wieder. Die meisten Bereitstellungen authentifizieren sich über Active Directory und Microsoft Entra ID. Konfigurieren Sie die Authentifizierung von Azure-VMware-Lösung genauso wie bei anderen Azure-Workloads so, dass die richtigen Domänencontroller verwendet werden, und verwenden Sie dazu Active Directory-Standorte und -Dienste. Stellen Sie Domänencontroller im Azure Identitätsabonnement bereit, und verlassen Sie sich nicht auf lokale Domänencontroller für Azure-VMware-Lösung.

1.5 Überwachungsarchitektur

Senden Sie Protokolle und Metriken von Azure-VMware-Lösung an Azure Monitor und Log Analytics. Richten Sie Ihre Log Analytics Bereitstellung an Ihre verwaltungstechnischen Aufgaben von VMware aus. Für ein einzelnes Plattformteam, das sowohl Azure als auch VMware verwaltet, verbessert ein freigegebener Log Analytics Arbeitsbereich die Sichtbarkeit. Wenn die VMware-Verwaltung an Spezialisierte Teams delegiert wird, unterstützt ein dedizierter Log Analytics Arbeitsbereich Autonomie. Erstellen Sie Warnungen und Dashboards für die Metriken, die für den Betrieb am wichtigsten sind, und aktivieren Sie mithilfe von Azure Arc die Gastüberwachung für die virtuellen Maschinen, die in Azure-VMware-Lösung ausgeführt werden. Die Weiterleitung großer Protokollmengen erhöht die Erfassungskosten in Log Analytics. Sammeln Sie daher nur die Daten, auf die Ihre Teams auch reagieren. Stellen Sie sicher, dass Microsoft Sentinel in Log Analytics-Arbeitsbereichen mit Sicherheitsprotokollen wie Identitätsprotokollen und NSX-Firewallprotokollen aktiviert ist.

2. Anwendungszielzonen

Platzieren Sie jede Azure-VMware-Lösung private Cloud in einer Anwendungslandungszone, unabhängig von Ihrem Betriebssystemmodell oder Ihrer Besitzerstruktur. Gruppieren Sie keine Azure-VMware-Lösung private Cloud unter Ihrer Verwaltungsgruppe "Plattform" als zentrale Plattformressource. Es ist eine Workload-Ressource, und Sie sollten sie entsprechend steuern und verwalten.

Wenn Sie mehrere Anwendungsworkloads in derselben privaten Cloud bereitstellen, sollten Sie sie dennoch als Workloadressource behandeln. Behalten die Isolierung der Workloads für andere Anwendungskomponenten in ihren eigenen Anwendungszielzonenabonnements bei, als wären sie in sich geschlossen. Sie könnten sich beispielsweise aus Gründen der Kosteneffizienz dafür entscheiden, die Anwendungen X und Y auf derselben privaten VMware-Cloud gemeinsam bereitzustellen. Stellen Sie SQL-Datenbanken und andere Ressourcen bereit, die zur Anwendung X in der Anwendungs X-Zielzone gehören, und Anwendung Y in ihrer eigenen Zielzone. Platzieren Sie keine anderen Anwendungsressourcen im selben Abonnement wie eine Azure-VMware-Lösung private Cloud, es sei denn, sie ist einer einzelnen Workload zugeordnet.

Internetseitige vs. interne Workloads. Stellen Sie als bewährte Methode separate private Clouds für internetbezogene und interne Workloads bereit. Diese Trennung stärkt Sicherheitsgrenzen und vereinfacht governance. Es verringert auch das Risiko einer unbeabsichtigten Exposition. Internetseitige Workloads und ausschließlich interne Workloads bergen unterschiedliche Risiken, daher sollten sie nicht in derselben Private Cloud betrieben werden. Kombinieren Sie Workloads nur als Ausnahme aus Kostengründen. Organisationen mit Kosteneinschränkungen hosten möglicherweise beide Workloadtypen in einer privaten Cloud. Wenn Sie diese Ausnahme vornehmen, wenden Sie starke Netzwerksegmentierung und Sicherheitskontrollen zwischen den Workloadgruppen an. Diese Auswahl senkt die Kosten, und Sie sollten sie als Ausnahme anstatt als bevorzugtes Design behandeln.

3. Unternehmensintegration

Das Ausführen von VMware-Workloads auf Azure-VMware-Lösung ermöglicht Ihren Teams direkten Zugriff auf Azure-Dienste. Da sich Die Generation 2 in Ihrem virtuellen Netzwerk befindet, erreichen Azure-VMware-Lösung Workloads diese Dienste über Ihr Azure Netzwerk, ohne die Anwendungen neu zu gestalten. Entscheiden Sie frühzeitig, welche Unternehmensdienste auf Azure-VMware-Lösung Workloads ausgedehnt werden, sodass Ihre Sicherheits-, Daten-, KI- und Operationstools diese von Tag 1 abdecken.

3.1 Sicherheit und Compliance

Azure-VMware-Lösung sollten in die gleichen Sicherheits-, Governance- und Compliancefunktionen integriert werden, die den Rest Ihrer Cloud-Umgebung schützen. Die Erweiterung vorhandener Sicherheitsvorgänge und Complianceprozesse auf Azure-VMware-Lösung trägt dazu bei, konsistente Kontrollen aufrechtzuerhalten, die Sichtbarkeit in allen Umgebungen zu verbessern und den Betriebsaufwand für die Verwaltung separater Sicherheitsplattformen zu verringern.

• Microsoft Defender for Cloud und Defender für Endpunkt: Verwenden Sie Azure Arc, um Azure-VMware-Lösung VMs in Defender for Cloud zu integrieren. Sobald Arc aktiviert ist, können Sie Microsoft Defender for Endpoint auf VMs in Azure-VMware-Lösung auf dieselbe Weise wie bei Azure-VMs bereitstellen.

• Microsoft Sentinel: Leiten Sie Sicherheitsprotokolldaten von NSX, vCenter und ESXi an einen Log Analytics-Arbeitsbereich weiter, und verwenden Sie die Analyseregeln von Sentinel, um Bedrohungen in Azure- und VMware-Workloads zu erkennen. Wenn Sie Sentinel bereits verwenden, können Sie durch die Erweiterung auf Azure-VMware-Lösung die Einführung eines separaten SIEM vermeiden.

• Microsoft Purview: Wenn Ihre Azure-VMware-Lösung-Workloads den Anforderungen der Datengovernance unterliegen, integrieren Sie die Purview Data Map in Ihre von VMware gehosteten Datenbankdienste.

3.2 Integration mit Azure Diensten

mit Azure-VMware-Lösung können Organisationen KI-Dienste und moderne Datenplattformen einführen, ohne dass eine sofortige Anwendungsmodernisierung erforderlich ist. Durch die Verbindung von VMware gehosteten Workloads mit Azure KI-, Daten- und Integrationsdiensten können Organisationen Innovationen beschleunigen, Unternehmenseinblicke verbessern und in einem Tempo modernisieren, das den betrieblichen und geschäftlichen Anforderungen entspricht.

• Microsoft Foundry: Azure-VMware-Lösung gehostete Anwendungen können eine Verbindung mit KI-Modellen herstellen, die über foundry über den Pfad mit geringer Latenz zwischen Azure-VMware-Lösung und Azure virtuellen Netzwerken bereitgestellt werden.

• Microsoft Fabric: Verbinden Sie Azure-VMware-Lösung gehostete Datenbanken mit Microsoft Fabric für KI-Bereitschaft, Analysen und Business Intelligence, wobei die Datenebene auf VMware bleibt. Siehe "Data for AI and Analytics" – Leitfaden zum Festlegen der Datenstrategie Ihrer Organisation für Ki und Analysen.

• Integrationsdienste: Verwenden Sie Dienste wie Azure API Management (APIM) und Azure Service Bus, um VMware-gehostete APIs sicher verfügbar zu machen, Komponenten mit Messaging zu entkoppeln und Azure-VMware-Lösung Workloads in Azure native Anwendungen zu integrieren.

• App-Dienst: Modernisieren Sie bestimmte Anwendungskomponenten, indem Sie Web-Apps oder APIs in Azure App Service verschieben und dabei abhängige Ebenen für Azure-VMware-Lösung beibehalten. Verwenden Sie die VNet-Integration, damit App Service mit geringer Latenz auf in Azure-VMware-Lösung gehostete Back-Ends zugreifen kann.

• Container: Stellen Sie ausgewählte Dienste mithilfe von Azure Kubernetes Service (AKS) oder Azure Container Apps in Containern um, während andere Komponenten auf Azure-VMware-Lösung beibehalten werden. Dies unterstützt die inkrementelle Modernisierung und kann den Betriebsaufwand für Anwendungskomponenten reduzieren.

• Azure Datenbankdienste: Azure-VMware-Lösung Workloads können eine Verbindung mit Azure SQL-Datenbank, Azure Database for PostgreSQL, Cosmos DB und anderen verwalteten Datenbankdiensten für die inkrementelle Datenebenenmodernisierung herstellen.

• Azure Storage: Workloads in Azure-VMware-Lösung können eine direkte Verbindung mit Azure Files, Azure NetApp Files und Azure Blob Storage zum Speichern von Anwendungsdaten herstellen. Azure NetApp Files und Elastic SAN können zusätzlich zum in vSAN bereitgestellten Speicher die Datenspeicherkapazität der privaten Cloud erweitern. Das Herstellen einer Verbindung mit Azure Speicherkonten kann den Speicherbedarf innerhalb der privaten Azure-VMware-Lösung Cloud reduzieren und kostenminimieren.

Azure-VMware-Lösung Workloads greifen über ExpressRoute (Gen 1) oder das virtuelle Netzwerk direkt (Gen 2) auf Azure Dienste zu. Stellen Sie sicher, dass Ihr Netzwerkdesign eine angemessene Bandbreite und geringe Latenz für diese Verbindungen bietet. Für den hochleistungsfähigen Zugriff auf Azure Dienste benötigen Gen 1 Azure-VMware-Lösung private Clouds möglicherweise mehr als einen ExpressRoute-Schaltkreis.

3.3. Lokale Integration

Einige Anwendungen, Integrationspunkte und Benutzerendpunkte bleiben während und nach der Migration lokal. Entwerfen Sie hybride Vorgänge von Anfang an, sodass Sie Workloads konsistent über Azure-VMware-Lösung und den Rest Ihrer Umgebung ausführen.

• Lokale Konnektivität: Verwenden Sie die Konnektivität, die Sie in der Plattform-Zielzone als einzigen Pfad zwischen Ihrem Rechenzentrum und Azure-VMware-Lösung eingerichtet haben. Bei Gen 2 ist dies die standardmäßige ExpressRoute- oder VPN-Verbindung über das Gateway des virtuellen Netzwerks. Bei Gen 1 ist das ExpressRoute Global Reach.

• Einheitliche Verwaltung: Verwalten Sie beide Grundstücke von einem Ort aus. Verwenden Sie Azure Arc-fähigen VMware vSphere, um Ihre lokalen VMware-Immobilien und Azure-VMware-Lösung zusammen zu verwalten, sodass Sie eine konsistente Ansicht von Bestand, Richtlinie und Sicherheit erhalten. Wenn Sie VMware Aria Operations für die Überwachung verwenden, können Sie eine Konsole so konfigurieren, dass sie sowohl lokal als auch Azure-VMware-Lösung abdeckt. Das gleiche gilt für Ihre Sicherungs- und Konfigurationsverwaltungstools.

3.4 Lebenszyklusintegration

Azure-VMware-Lösung sollten Teil bestehender betrieblicher und Governanceprozesse werden, anstatt als separate Plattform verwaltet zu werden. Integrieren Sie Azure-VMware-Lösung in etablierte IT-Dienstverwaltungs-, Objektverwaltungs-, Automatisierungs- und Konfigurationsverwaltungspraktiken. Dies verbessert die betriebstechnische Konsistenz, verringert den Verwaltungsaufwand und vereinfacht laufende Plattformvorgänge.

• ITSM-Integration: Verbinden Sie Warnungen mit Ihrer ITSM-Plattform. Integrieren Sie Azure Monitor in ServiceNow oder Ihre IT-Service-Management-Plattform, sodass Warnungen von Azure-VMware-Lösung automatisch Incidents in bestehenden Workflows erstellen.

• Bestandsverwaltung: Verfolgen Sie Azure-VMware-Lösung Ressourcen in Ihrer CMDB. Verwenden Sie Azure Arc, um Azure-VMware-Lösung virtuellen Computer zusammen mit Azure und lokalen Ressourcen in Ihrer Konfigurationsverwaltungsdatenbank zu registrieren.

• IaC und Plattformautomatisierung: Automatisieren Sie die Infrastruktur als Code. Schließen Sie Azure-VMware-Lösung in Ihren Plattformautomatisierungs-Ansatz ein, damit Sie sie auf die gleiche Weise bereitstellen und ändern wie der Rest Ihrer Anlage.

• Bildverwaltung: Planen der Bildverwaltung. Überprüfen Sie die Produktdokumentation, um die neuesten Optionen zum Freigeben von Vorlagen für virtuelle Computer zwischen lokalem vCenter und Azure-VMware-Lösung vCenter zu finden. Möglicherweise müssen Sie Bilder in jeder Umgebung separat verwalten. Inhaltsbibliotheken sind innerhalb jeder Umgebung hilfreich, und die umgebungsübergreifende Synchronisierung erfordert möglicherweise manuellen Aufwand oder benutzerdefinierte Automatisierung.

Nächster Schritt