Management groups, subscriptions và landing zones
Landing zone là platform operating model có guardrail và automation, không chỉ là một subscription mẫu.
Hierarchy
Tenant chứa management group hierarchy; subscription là boundary về billing, quota, policy và access; resource group là lifecycle boundary, không phải security perimeter tuyệt đối. Giữ hierarchy tương đối phẳng và phản ánh policy archetype, không sao chép org chart biến động.
Platform và application landing zones
Platform subscriptions thường sở hữu identity, connectivity và management. Application landing zones cung cấp subscription đã được vending với policy, network, logging, budget và ownership mặc định. Central team tạo paved road; workload team giữ trách nhiệm kiến trúc ứng dụng.
Subscription vending
Luồng tự động phải cấp subscription, đặt management group, role assignments, policy, diagnostic routing, networking và cost metadata. Break-glass và decommission cũng là lifecycle bắt buộc.
Anti-pattern
Một subscription dùng chung tạo blast radius, quota contention và ownership mơ hồ. Quá nhiều exceptions phá guardrail; policy deny quá sớm chặn delivery. Rollout theo audit → remediate → deny với exemption có owner và expiry.