Retour aux articles • CLOUD • Mis à jour en 2026 • 3 min de lecture

Landing Zone Azure : vWAN, AKS et Zéro Trust

Architecture industrielle Azure conforme au CAF.

#azure #aks #vwan #security #cloud #CAF #CNCF
Landing Zone Azure : vWAN, AKS et Zéro Trust

Mise à jour : Février 2026 - Le code de cette infrastructure Azure a été revu et mis à jour récemment pour intégrer les dernières recommandations de sécurité. Tout le code Terraform est disponible sur le dépôt GitHub public.

L’implémentation d’une Landing Zone sur Microsoft Azure requiert une rigueur absolue. Une infrastructure “Cloud Native” de haut niveau s’appuie sur le Microsoft Cloud Adoption Framework (CAF) pour Azure.

L’objectif de cette architecture est de transformer une souscription Azure en un environnement sécurisé, prêt pour la production et conforme au Zéro Trust.

1. La Fondation : Gouvernance et Azure Policies

L’utilisation des Azure Policies au niveau du Management Group permet d’imposer des règles de sécurité immuables.

  • Interdiction des IPs publiques sur les machines virtuelles.
  • Déploiement forcé de Defender for Cloud.

2. Architecture Réseau : Hub & Spoke avec vWAN

L’Azure Virtual WAN centralise et sécurise tout le flux réseau. Un Azure Firewall d’entreprise (avec inspection L7) bloque le trafic sortant non autorisé par défaut.

3. Kubernetes Hardened : AKS Privé

Pour héberger les applications, un cluster Azure Kubernetes Service (AKS) en mode privé est déployé. L’API Server n’est accessible que via un bastion Azure ou un lien privé (Private Endpoint), garantissant qu’il n’est jamais exposé sur Internet.

Conclusion

Le modèle Hub & Spoke couplé au vWAN et aux Policies offre un véritable bouclier autour des environnements applicatifs. La standardisation de ce modèle garantit un niveau de sécurité optimal.

Si vous voulez plus d’information sur l’infrastructure vous pouvez voir mon repo à ce sujet : https://github.com/ravindrajob/InfraAtHome

Dernière mise à jour : Février 2026

Hardening Maximal d’une Azure Landing Zone (az CLI & Terraform)

L’architecture Microsoft Cloud Adoption Framework (CAF) : Azure Landing Zones [1] recommande une gouvernance pilotée par les Azure Policies (Policy-Driven Governance) [2] appliquées sur les Management Groups (Corp, Online, Platform) :

1. Commandes Azure CLI (az) : Assignation de Politiques Deny sur Management Group

# 1. Assigner l'initiative Microsoft Cloud Security Benchmark sur le Management Group Corp
az policy assignment create \
  --name "mcsb-baseline-corp" \
  --display-name "Microsoft Cloud Security Benchmark" \
  --scope "/providers/Microsoft.Management/managementGroups/mg-corp" \
  --policy-set-definition "1f3afdf9-d0c9-4c3d-847f-89da613e70a8"

# 2. Interdire la création d'adresses IP publiques sur les interfaces réseau (NICs) du MG Corp
az policy assignment create \
  --name "deny-public-ip-corp" \
  --display-name "Deny Public IP on Corp Spoke VNets" \
  --scope "/providers/Microsoft.Management/managementGroups/mg-corp" \
  --policy "83a86a26-fd1f-447c-b59d-e51f44264114"
Animation exécution CLI dans le terminal

2. Terraform HCL : Verrouillage Management Group & Azure Policy Deny

resource "azurerm_management_group_policy_assignment" "deny_public_ip" {
  name                 = "deny-public-ip"
  display_name         = "Interdiction des IP Publiques sur les Spokes Corp"
  management_group_id  = azurerm_management_group.corp.id
  policy_definition_id = "/providers/Microsoft.Authorization/policyDefinitions/83a86a26-fd1f-447c-b59d-e51f44264114"
  enforce              = true
}

resource "azurerm_management_group_policy_assignment" "require_https_storage" {
  name                 = "require-https-storage"
  display_name         = "HTTPS et TLS 1.2 obligatoires sur les Storage Accounts"
  management_group_id  = azurerm_management_group.corp.id
  policy_definition_id = "/providers/Microsoft.Authorization/policyDefinitions/404c3081-a854-4457-ae30-26a93ef643f9"
  enforce              = true
}

Sources