Praktijkgids · AWS en Azure
Cloudinfrastructuur: de landing zone, laag voor laag
Elke workload in de cloud landt ergens: in een account of subscription, achter een identity provider, op een netwerk, met logs die bewaard blijven of verloren gaan. Die plek, bewust ingericht voordat de eerste workload aankomt, heet een landing zone. Deze gids behandelt de zes lagen, de bouwstenen van AWS en Azure per laag, en de keuzes die duur zijn om terug te draaien.
Definitie
Wat is een landing zone?
NIST definieert cloudinfrastructuur als de verzameling hardware en software die de vijf essentiële kenmerken van cloud computing mogelijk maakt. In het servicemodel infrastructure as a service beheert de provider die laag en bepaalt u wat erop draait.
Dan valt er nog veel te ontwerpen: hoe u uw deel indeelt, wie erbij kan, hoe het aansluit en wat het vastlegt. Regel dat één keer, voor elke workload, en u hebt een landing zone. AWS noemt het een goed ontworpen omgeving met meerdere accounts, gebaseerd op best practices voor beveiliging en compliance. Microsoft beschrijft een beproefde en flexibele architectuur om een Azure-omgeving met meerdere subscriptions te besturen, te beveiligen en te schalen. Google Cloud noemt het een cloud foundation.
Met een landing zone krijgt een nieuw team een account dat al aangesloten is, al logt en al onder governance valt. Zonder landing zone krijgt het een leeg account en een wachtrij met tickets. Het bredere punt staat in Wat is cloud computing? Wat senior engineers echt moeten weten: de waarde zit in het operating model, niet in de locatie.
Begrippen
- Account of subscription
- De grens voor toegang, kosten en quota. AWS wijst kosten standaard per account toe. Microsoft noemt subscriptions grenzen voor policies en beheer.
- Organizational unit of management group
- Een groep accounts of subscriptions waaraan policies worden gekoppeld.
- Guardrail
- Een regel die van bovenaf wordt afgedwongen. Een AWS service control policy beperkt rechten, maar verleent ze nooit. Elke onderliggende scope erft de toewijzingen van Azure Policy.
- Vending
- Een account of subscription aanmaken op basis van een aanvraag, in code, met de baseline al toegepast.
- Break-glass-toegang
- Een goedgekeurde noodroute naar een account voor iemand die er normaal geen toegang toe heeft.
Laag voor laag
Uit welke onderdelen bestaat een landing zone?
Zes lagen, van onderaf opgebouwd. Per laag leest u wat erin thuishoort, wat u vroeg moet beslissen en waar u op moet letten.
-
Laag 01
Organisatie en guardrails
De root, de groepen accounts of subscriptions daaronder, en de policies op elke groep.
- Vroeg beslissen
- De eerste groepen. AWS raadt aan te groeperen op functie, compliance-eisen of gemeenschappelijke beheersmaatregelen, niet op rapportagelijnen. Microsoft adviseert hooguit drie of vier niveaus.
- Let op
- Workloads in het AWS-managementaccount. Service control policies gelden daar niet, dus houd het vrijwel leeg.
-
Laag 02
Identiteit
Eén identity provider, single sign-on naar elk account of elke subscription, rollen per functie, en een break-glass-route.
- Vroeg beslissen
- De leidende bron voor menselijke identiteiten, en hoe pipelines inloggen. Secrets Management in 2026: Sprawl, Non-Human Identities en de Keuze tussen Vault en Workload Identity legt workload identity uit: kortlevende tokens in plaats van opgeslagen sleutels.
- Let op
- Gedeelde admingebruikers, en langlevende cloudsleutels in CI-variabelen.
-
Laag 03
Netwerk
Het adresplan, een hub voor gedeelde verbindingen en inspectie, spokes voor workloads, de verbinding met on-premises, uitgaand verkeer en DNS.
-
Laag 04
Logging en beveiliging
Een audittrail van elk account naar een logarchief, en beveiligingstooling die alle accounts vanaf één plek bewaakt.
- Vroeg beslissen
- De bewaartermijn, wie het archief leest en waar bevindingen terechtkomen. Een AWS organization trail geldt voor elk member account, en member accounts kunnen hem niet wijzigen of verwijderen.
- Let op
- Logs die alleen bewaard blijven waar ze zijn ontstaan. Azure verwijdert events uit het activity log na 90 dagen, tenzij u ze exporteert, bijvoorbeeld naar een Log Analytics-workspace.
-
Laag 05
Gedeelde services
Wat elk team gebruikt en geen team apart zou moeten beheren: CI/CD-runners, artifact registries, golden images, DNS en monitoring.
- Vroeg beslissen
- Wat als gedeeld geldt, wie eigenaar is van elke service en hoe de spokes erbij komen.
- Let op
- Een gedeeld account dat volloopt met workloads die niemand er bewust heeft neergezet. De richtlijnen van AWS houden applicatieworkloads buiten de Infrastructure OU.
-
Laag 06
Workloads
Een account of subscription per workload en omgeving, via vending aangemaakt, met netwerk, rollen, budget en tags al ingericht.
- Vroeg beslissen
- Wat een team aanvraagt, wat het krijgt en hoe lang dat duurt.
- Let op
- Vending die trager is dan de omweg. Teams gaan accounts delen, en de grens waarvoor deze laag bestaat, verdwijnt.
AWS en Azure
Hoe verschillen landing zones op AWS en Azure?
Dezelfde lagen, andere namen. Elke naam linkt naar de documentatie van de provider.
| Laag | AWS | Azure |
|---|---|---|
| 01 Organisatie | AWS Organizations, met organizational units en service control policies | Management groups en subscriptions, met Azure Policy |
| 02 Identiteit | IAM Identity Center, één keer gefedereerd met uw identity provider, met permission sets voor alle accounts | Microsoft Entra ID, Azure RBAC en Privileged Identity Management voor adminrollen die just-in-time worden toegekend |
| 03 Netwerk | Een Network-account met Transit Gateway, Direct Connect of Site-to-Site VPN, en VPC IPAM | Een subscription voor connectiviteit met een hub-and-spoke-netwerk of Azure Virtual WAN |
| 04 Logging en beveiliging | De accounts Log Archive en Security Tooling, een organization trail in CloudTrail en GuardDuty voor dreigingsdetectie | Een subscription voor beheer met een centrale Log Analytics-workspace, en Microsoft Defender for Cloud |
| 05 Gedeelde services | De accounts Shared Services en Operations Tooling in de Infrastructure OU | Platformsubscriptions, met gateways, firewall en DNS in het hubnetwerk |
| 06 Workloads | Account Factory in AWS Control Tower | Subscription vending |
| Bouwen met | AWS Control Tower, eventueel met Customizations for AWS Control Tower of Landing Zone Accelerator, en anders een zelfgebouwde landing zone | De accelerator voor de platform landing zone, met Azure Verified Modules voor Bicep of Terraform |
Vroege keuzes
Welke keuzes voor een landing zone zijn later moeilijk te wijzigen?
De meeste instellingen van een landing zone zijn goedkoop te wijzigen. Deze vier niet, want alles wat daarna wordt gebouwd, hangt ervan af.
Hoeveel accounts of subscriptions hebt u nodig?
- Standaardkeuze
- Eén per workload per omgeving, met productie gescheiden van niet-productie. AWS raadt beide aan, en Microsoft gebruikt subscriptions om omgevingen te scheiden.
- Wanneer afwijken
- Een paar nauw verwante services worden altijd samen uitgerold en hebben dezelfde eigenaar.
- Kosten van later wijzigen
- Hoog. Wie een live workload verplaatst, verplaatst ook de data, identiteiten en netwerkverbindingen.
Hub-and-spoke of een beheerde hub?
- Standaardkeuze
- Hub-and-spoke waarbij u de routering zelf regelt. Microsoft raadt dat aan bij één of enkele regio's, minder dan 30 site-to-site-tunnels en volledige controle over de routering.
- Wanneer afwijken
- U hebt veel regio's en locaties, SD-WAN of transit tussen VPN en ExpressRoute nodig. Dan verwijst Microsoft naar Virtual WAN. Op AWS is de aanbevolen hub een Transit Gateway in het Network-account.
- Kosten van later wijzigen
- Hoog. Het adresplan en het routeringsmodel zitten ingebakken in elke spoke.
Wie is eigenaar van welke laag?
- Standaardkeuze
- Een platformteam beheert de lagen 01 tot en met 05 als product. Workloadteams beheren hun eigen subscriptions binnen de guardrails, wat Microsoft subscription democratization noemt.
- Wanneer afwijken
- Er zijn maar één of twee teams. Dan kan één team alles beheren, zolang de lagen in code gescheiden blijven. Platform Engineering vs DevOps: wat een Internal Developer Platform je echt oplevert beschrijft wanneer een platformteam loont.
- Kosten van later wijzigen
- Gemiddeld. Toegang, on-call en budgetten verhuizen mee met de mensen.
De accelerator van de provider gebruiken, of zelf bouwen?
- Standaardkeuze
- Begin met die van de provider. AWS adviseert alle gebruikers om met Control Tower te beginnen. Microsoft adviseert om zijn accelerator op basis van infrastructure as code te gebruiken. Beheer het resultaat als infrastructure en policy as code.
- Wanneer afwijken
- Alleen een maatwerkoplossing voldoet aan uw eisen, en u hebt de expertise om die te beheren, zoals AWS het verwoordt.
- Kosten van later wijzigen
- Gemiddeld. Overstappen betekent accounts opnieuw inschrijven en uw bestaande policies in lijn brengen.
Uit de praktijk bij Nike
Guardrails hoeven teams niet te vertragen. Bij Nike bestond het werk uit self-service tooling met guardrails, die de snelste weg ook de veiligste maakte, en cloudautomatisering op AWS en Azure. De provisioning van bots ging van een handmatige flow van 45 minuten naar ongeveer 3 minuten. Vending werkt net zo: als de voordeur trager is dan de zijdeur, nemen teams de zijdeur. Lees de Nike-case
Faalpatronen
Waarom gaan landing zones mis?
De symptomen duiken op in de delivery, lang voordat iemand ze aan de landing zone toeschrijft.
| Wat het team ziet | Meestal de oorzaak | Oplossing |
|---|---|---|
| Een nieuw team wacht weken op een account. | Vending is een ticket dat iemand met de hand afhandelt. | Vending vanuit code, met netwerk, rollen, budget en tags al toegepast bij het aanmaken. |
| Twee netwerken kunnen niet worden gekoppeld. | Hun adresbereiken overlappen, omdat niemand ze heeft gepland. | Wijs elk bereik toe vanuit één plan, met ruimte voor regio's die u nog niet gebruikt. |
| Niemand weet wie een firewallregel heeft opengezet. | Wijzigingen via de console, met logs die alleen in het account zelf staan. | Netwerkwijzigingen via code review, en de audittrail van elk account in het logarchief. |
| Een testjob heeft productiedata gewijzigd. | Productie en test delen een account of subscription. | Scheid ze in aparte accounts of subscriptions. |
| Teams vragen elke week om een uitzondering op een guardrail. | Policies die zijn geschreven zonder de teams die ermee moeten werken. | Policies in code, samen met die teams gereviewd, met uitsluitingen die beperkt zijn tot één subscription of groep. |
Rij drie is configuratiedrift. Infrastructure as Code in 2026: Drift, Policy en de Keuze tussen Terraform en OpenTofu beschrijft hoe u die drift detecteert, en waarom u een driftmelding als een defect moet behandelen.
Gereedheid
Is uw landing zone klaar voor productieworkloads?
Loop elke regel na voordat de eerste productieworkload landt. Een regel die maar grotendeels klopt, telt als niet gedaan.
Vóór de eerste productieworkload
01Organisatie
02Identiteit
03Netwerk
04Logging en beveiliging
05Gedeelde services
06Workloads
Waar u begint
Begin klein. AWS adviseert te beginnen met een deel van de aanbevolen structuur en die uit te breiden naarmate de behoefte groeit. Een werkbare volgorde:
- Organisatie, guardrails, logarchief en identiteit.
- Het adresplan en de netwerkhub.
- Eén echte workload, via vending aangemaakt zoals elke latere workload.
- Gedeelde services, naarmate er meer teams bijkomen.
Kies als eerste een workload die een duidelijke reden heeft om naar de cloud te gaan. Bij ASML hebben we de offload van geselecteerde tests van productiemachines naar Google Cloud in gang gezet, om de doorvoer te verhogen en feedbackcycli te verkorten. Lees de ASML-case
Waar de tijd naartoe gaat
Bekijk waar uw laatste release op wachtte
Wachten op een account, een omgeving of een firewallwijziging telt mee als releasetijd. De gratis Release Check laat in minder dan 5 minuten zien waar de tijd van uw laatste release naartoe ging en wat dat per jaar kost, zonder gesprek.