Wat is een Azure Landing Zone, en wanneer heb je er een nodig?
5 min lezen · Bijgewerkt op 20 oktober 2026
Wie in Azure begint, zet vaak een paar resources in een abonnement. Dat werkt, tot er meer workloads, teams en eisen bijkomen. Een Azure Landing Zone geeft je vanaf het begin een vaste basis.
De definitie
Het Cloud Adoption Framework van Microsoft beschrijft een Azure Landing Zone als een beproefde en flexibele architectuur voor het besturen, beveiligen en schalen van een Azure-omgeving met meerdere abonnementen.
Een landing zone bestaat uit twee delen:
- De platform landing zone: de centrale basis met governance, beveiliging en gedeelde voorzieningen voor al je workloads. Meestal heb je er een per Microsoft Entra-tenant.
- Workload landing zones (in oudere teksten application landing zones): de omgevingen waarin teams hun workloads bouwen en beheren, binnen de kaders van het platform. Elke workload krijgt een eigen landing zone, met daarin ontwikkeling, test en productie.
In de praktijk is elke landing zone een Azure-abonnement. Het abonnement hangt onder een managementgroep en erft daarvan beleid en rechten.
De ontwerpgebieden
Microsoft verdeelt het ontwerp in acht gebieden:
- Azure-facturering en de Microsoft Entra-tenant.
- Identiteit en toegangsbeheer.
- Indeling van resources: managementgroepen en abonnementen.
- Netwerktopologie en connectiviteit.
- Beveiliging.
- Beheer: monitoring, operationeel beheer en herstel.
- Governance: automatisch controleren en afdwingen van beleid.
- Platformautomatisering en DevOps.
Je hoeft niet alles zelf te bedenken. Microsoft levert standaardontwerpen (archetypes) en een standaardindeling van managementgroepen. Volgens Microsoft zijn die voor de meeste situaties geschikt.
Wanneer is het zinvol?
Microsoft geeft geen vaste ondergrens. Advies: denk aan een landing zone als een of meer van deze punten gelden.
- Je hebt meer dan een paar workloads in Azure, of dat komt eraan.
- Meerdere teams of leveranciers werken in dezelfde omgeving.
- Je moet voldoen aan eisen op het gebied van compliance of beveiliging, bijvoorbeeld uit wet- of regelgeving.
- Je wilt vooraf vastleggen welke Azure-regio, welke netwerken en welke instellingen zijn toegestaan.
Je kunt klein beginnen. Microsoft adviseert om alleen voorzieningen centraal te regelen als dat duidelijk voordeel geeft voor meerdere workloads. Komen er nieuwe eisen bij, dan pas je het beleid in de platform landing zone aan. Bouw daarbij voort op de bestaande archetypes en maak alleen nieuwe als dat echt nodig is.
Infrastructuur als code
Microsoft raadt aan om de platform landing zone uit te rollen met de Platform landing zone accelerator en Azure Verified Modules (AVM). Die modules zijn er voor Bicep en Terraform. Ze geven herbruikbare bouwstenen en verminderen het onderhoud aan eigen code.
Er is ook een portalversie. Die is bedoeld voor organisaties zonder kennis van infrastructuur als code. Volgens Microsoft is die minder flexibel en lastiger bij te werken. Microsoft adviseert om waar mogelijk over te stappen op infrastructuur als code.
Checklist
- Bekijk welke workloads je nu in Azure hebt en welke eraan komen.
- Leg je eisen vast voor elk ontwerpgebied.
- Kies voor Bicep of Terraform met Azure Verified Modules.
- Start met de standaardindeling van managementgroepen en pas alleen aan wat nodig is.
- Spreek af hoe teams een nieuwe landing zone aanvragen.