Landing zone

Landing zone je základ, na kterém stojí všechno ostatní v cloudu: jak se zakládají subscriptions a účty, kdo má jaká oprávnění, jak je postavená síť, jaká bezpečnostní pravidla platí a kam tečou logy.

od 205 000 Kč

Small 205 000 Kč za 5 až 6 týdnů, Medium 380 000 Kč za 8 až 10 týdnů, Enterprise od 750 000 Kč. Bez DPH.

Domluvit konzultaci

Co nabízíme

Když je základ správně, nové týmy a aplikace dostanou bezpečné prostředí za minuty. Když chybí, každý projekt si ho staví po svém.

Landing zone s vámi navrhneme a nasadíme jako kód z našeho katalogu modulů. V Azure vycházíme z Microsoft Cloud Adoption Framework, v AWS z AWS Organizations a Control Tower. Předáme funkční prostředí, repozitář s kódem, dokumentaci a proškolený tým.

Aplikace neprogramujeme. Zaměřujeme se výhradně na infrastrukturu, cloud a DevOps.

Kdy služba dává smysl

Začínáte v cloudu nebo do něj převádíte první větší systémy.
Cloud vznikl živelně a před dalším růstem v něm chcete udělat pořádek.
Potřebujete splnit požadavky NIS2, DORA nebo interního auditu.
Nové vývojové týmy potřebují prostředí rychle, ale bezpečně.

Co získáte

Nové prostředí pro tým nebo projekt jedním pull requestem, ne týdny tiketů.
Bezpečnostní pravidla vynucená automaticky (regiony, šifrování, veřejný přístup, tagy).
Jedna síť s kontrolovaným tokem dat a napojením na on-prem.
Centrální logy a bezpečnostní přehled ze všech prostředí.
Vše jako kód: auditovatelné, opakovatelné, s historií změn.

Co přesně uděláme

Struktura a governance: Management groups nebo organizační jednotky, rozdělení subscriptions a účtů podle prostředí a týmů, politiky jako kód (povolené regiony a SKU, povinné tagy, šifrování, zákaz veřejných IP tam, kde nemají být), pojmenování.
Zakládání prostředí (subscription vending): Nová subscription nebo účet přes Terraform, rovnou se správnými politikami, sítí a monitoringem.
Identity a přístupy: Skupiny v Entra ID nebo IAM Identity Center, role podle nejmenších oprávnění, PIM a just-in-time přístup, break-glass účty, MFA.
Síť: Hub-and-spoke, adresní plán, firewall s pravidly jako kód, privátní DNS a private endpoints, první dvě spoke sítě, podle varianty propojení s on-prem (VPN, ExpressRoute nebo Direct Connect).
Bezpečnost a logování: Centrální Log Analytics nebo CloudTrail, Defender for Cloud nebo Security Hub a GuardDuty, ve variantě Medium a výš Sentinel se základními pravidly, základní úroveň CIS.
Infrastruktura jako kód: Repozitář Terraform/OpenTofu, vzdálený state, pipeline plan/apply se schválením, dokumentace modulů.

Varianty a rozsah

Cena závisí hlavně na počtu subscriptions a prostředí, propojení s on-prem a požadavcích na compliance. Variantu potvrdíme po úvodním callu. Popis variant je orientační.

Varianta	Typické prostředí	Cena	Délka
Small	1 cloud, 1 region, do 3 subscriptions nebo účtů, 2 prostředí (non-prod a prod), bez propojení s on-prem	205 000 Kč	5 až 6 týdnů
Medium	1 cloud, do 10 subscriptions, 3 a více prostředí, VPN nebo ExpressRoute / Direct Connect, Sentinel	380 000 Kč	8 až 10 týdnů
Enterprise	Více regionů nebo druhý cloud, vyšší režim NIS2 nebo DORA, specifické požadavky na síť	od 750 000 Kč	podle rozsahu

Kdo na projektu pracuje

Na landing zone pracují čtyři lidé. Rozsah ve dnech platí pro variantu Small, u větších variant se úměrně zvyšuje.

Lead (senior)
1,5 dne

Za co odpovídá
Vede projekt, rozhoduje o modelu subscriptions, identit a sítě, schvaluje návrh s vámi, kontroluje nasazení a vede předání.

Co od ní dostanete
Hlavní kontakt, schválený návrh, předání
Senior
8 dnů

Za co odpovídá
Vede workshopy, připravuje návrh (struktura, síť, politiky, logování), dělá review kódu a ověřuje bezpečnost.

Co od ní dostanete
Návrh, architektura, kontrola kvality
Middle
11 dnů

Za co odpovídá
Nasazuje landing zone z modulů: politiky, identity, hub síť, firewall, logování, Defender a Sentinel, propojení s on-prem.

Co od ní dostanete
Nasazená landing zone
Junior
4 dny

Za co odpovídá
Repozitář, state a pipeline, testy politik, runbooky a dokumentace.

Co od ní dostanete
Repozitář, testy, dokumentace

Úkoly přidělujeme podle složitosti: rutinní práci podle šablon dělají junioři, složitější části middle, návrh, kontrolu kvality a rozhodnutí o rizicích senior. Nemusíte řešit, komu co zadat. Rozsah ve dnech je orientační a slouží k vysvětlení ceny. Cena je pevná a nezávisí na skutečně odpracovaných dnech.

Jak projekt probíhá

Projekt má čtyři fáze a ve variantě Small trvá 6 týdnů, u varianty Medium se fáze 2 a 3 prodlužují na celkem 8 až 10 týdnů. Politiky nasazujeme nejprve v režimu audit, aby nic nezablokovalo provoz, a na vynucování přepneme až po kontrole nálezů s vámi.

Týdny 1 a 2: discovery a návrh
Cíl: Dohodnout se na tom, jak bude váš cloud uspořádaný.
- Tři workshopy po 2 hodinách: organizace a governance, identity a přístupy, síť a bezpečnost.
- Sběr požadavků: compliance, regiony, napojení na on-prem, existující zdroje a co s nimi.
- Návrh: struktura, model subscriptions, identity a role, síť a adresní plán, politiky, logování, pojmenování a tagy.
- Service Catalog v1: které cloudové služby povolit a s jakými pravidly.
- Odhad měsíčních nákladů na provoz samotné landing zone.
Výstup: Návrhový dokument schválený vámi. Kdo: senior vede workshopy a píše návrh, lead rozhoduje a schvaluje
Týdny 3 a 4: základ
Cíl: Postavit řídicí vrstvu: kód, politiky, identity, logy.
- Repozitář, vzdálený state a pipeline plan/apply se schválením.
- Management groups nebo OU, politiky v režimu audit.
- Identity: skupiny, role, PIM, break-glass účty.
- Centrální logování ze všech subscriptions.
Výstup: Řídicí vrstva nasazená kódem. Kdo: middle nasazuje, junior repozitář a pipeline, senior review
Týdny 4 a 5: síť a bezpečnost
Cíl: Postavit síť a bezpečnostní přehled.
- Hub síť, firewall s pravidly jako kód, privátní DNS, private endpoints.
- První dvě spoke sítě.
- Defender for Cloud nebo Security Hub, ve vyšších variantách Sentinel.
- Propojení s on-prem (Medium a výš) společně s vaším síťovým týmem. Hub zůstává v jeho vlastnictví.
Výstup: Funkční síť a bezpečnostní monitoring. Kdo: middle, senior pro síť a bezpečnost
Týden 6: ověření a předání
Cíl: Prokázat, že landing zone funguje, a předat ji vašemu týmu.
- Kontrola nálezů z režimu audit s vámi, přepnutí politik na vynucování.
- Testy: pokus o zakázanou akci musí selhat, nové prostředí se musí založit jedním pull requestem.
- Runbooky: nové prostředí, přidání sítě, výjimka z politiky, použití break-glass účtu.
- Předávací workshop pro váš tým.
Výstup: Předaná landing zone, runbooky, proškolený tým. Kdo: lead vede předání, junior runbooky, middle testy

Jak spolupráce funguje

Hlavní kontakt: Vedoucí projektu (senior). Odpovídá za výsledek, termíny, rizika a rozhodnutí. V každodenní práci se můžete obracet přímo na kohokoli z týmu.
Komunikace: Sdílený kanál ve Slacku nebo Teams a ticketovací systém podle vaší volby. Každý dotaz a změna mají stopu.
Úvodní schůzka: Na začátku potvrdíme rozsah, přístupy, kontakty a termíny klíčových milníků.
Týdenní stav: Krátký sync na 15 až 30 minut: co je hotovo, co nás čeká, co potřebujeme od vás a jaká vidíme rizika.
Závěrečný readout: Výsledky představíme vašemu týmu a vedení a projdeme další kroky.
Eskalace: Junior → middle → vedoucí projektu. Pokud hrozí posun termínu nebo zásadní riziko, ozve se vám vedoucí projektu ještě týž den.
Pracovní doba: Pracovní dny 8:00 až 17:00 středoevropského času. Změny v produkci provádíme v okně, které si vyberete, a vždy přes váš change management.

Co potřebujeme od vás

Termíny platí, pokud máme k dispozici následující. Pokud se něco zdrží, posune se harmonogram o stejnou dobu a dáme vám vědět hned.

Vlastníka projektu, který rozhoduje o návrhu.
Oprávnění Owner na tenant nebo organizaci po dobu projektu a součinnost administrátora Entra ID pro PIM a skupiny.
Přístup k fakturačnímu účtu (EA, MCA nebo AWS Organizations) pro zakládání subscriptions a účtů.
Účast síťového týmu na workshopu a při propojení s on-prem, včetně IP rozsahů on-prem.
Seznam existujících subscriptions a rozhodnutí, co s nimi.
Osobu, která schvaluje bezpečnostní politiky.

Přístupy a bezpečnost

Každý člen týmu má vlastní pojmenovaný účet. Sdílené účty nepoužíváme.
Žádáme jen oprávnění, která daná fáze potřebuje. Kde stačí čtení, pracujeme pouze s přístupem pro čtení.
Data z vašeho prostředí nevynášíme. V dokumentech uvádíme jen souhrny potřebné pro výsledek.
Po skončení projektu nám přístupy odeberete, nebo je na vaši žádost odebereme sami a potvrdíme to.
Na přání podepíšeme NDA ještě před úvodní schůzkou.

Co je součástí a co ne

Součástí ceny

Návrh a nasazení landing zone v rozsahu zvolené varianty
Politiky, identity, síť, logování a bezpečnostní monitoring jako kód
Zakládání prostředí přes Terraform (subscription vending)
První dvě spoke sítě
Repozitář, pipeline, runbooky, předávací workshop

Není součástí, naceníme zvlášť nebo řešíte vy

Přesun existujících zdrojů a aplikací do nové struktury (naceníme po návrhu)
On-prem strana VPN nebo ExpressRoute
Poplatky cloudu za služby landing zone (firewall, Sentinel, Defender), které platíte poskytovateli
Provoz po předání (nabízíme jako Managed DevOps tým)
Pohotovost 24/7

Pokud v průběhu zjistíme, že skutečnost je jiná, než jsme předpokládali, upozorníme vás dřív, než začneme pracovat mimo rozsah. Pošleme krátký odhad dopadu na cenu a termín a pokračujeme až po vašem souhlasu.

Výstupy a akceptace

Výstup	Co obsahuje	Forma
Návrhový dokument	Struktura, identity, síť, politiky, logování, odhad nákladů	PDF a Word
Service Catalog v1	Povolené služby a pravidla pro ně	Dokument
Kód landing zone	Terraform/OpenTofu, state, pipeline	Ve vašem repozitáři
Nasazená landing zone	Ověřené a funkční prostředí	Ve vašem cloudu
Runbooky	Nové prostředí, síť, výjimka z politiky, break-glass	Markdown v repozitáři
Předávací workshop	Školení pro váš tým	Schůzka se záznamem

Projekt je hotový, když:

Politiky jsou vynucené a test zakázané akce selže.
Nové prostředí se založí jedním pull requestem se správnými politikami, sítí a logováním.
Logy ze všech subscriptions nebo účtů jsou v centrálním úložišti.
Break-glass postup je ověřený.
Váš inženýr podle runbooku sám založil nové prostředí.

Výstupy předáme a projdeme s vámi. Připomínky zapracujeme v jednom kole do 5 pracovních dnů od jejich obdržení.

Rizika a jak je řešíme

Riziko	Jak ho řešíme
Existující zdroje porušují nové politiky	Politiky nasazujeme nejprve v režimu audit. Nálezy projdeme s vámi a na vynucování přepneme až po dohodě.
Síťový tým má jiné priority	Termíny pro hub a propojení domluvíme v první fázi. Hub zůstává ve vlastnictví vašeho síťového týmu.
Chybí oprávnění na úrovni tenantu	Seznam potřebných oprávnění dostanete první den, abyste je stihli vyřídit.
Rozsah se během projektu rozšiřuje	Změny řešíme přes change request s odhadem dopadu na cenu a termín.

Cena a podmínky

od 205 000 Kč bez DPH za variantu Small. Medium 380 000 Kč, Enterprise od 750 000 Kč.

Samostatný návrh (fáze 1): 72 000 Kč. Cena každé varianty už návrh obsahuje: objednáte-li nasazení do 3 měsíců, 72 000 Kč se započte a celkem zaplatíte cenu varianty.
Kód landing zone je ve vašem repozitáři a můžete ho dál upravovat. Podmínky užívání modulů z našeho katalogu upraví smlouva.
Ceny jsou bez DPH, fakturace v CZK nebo EUR.
Práce nad rámec rozsahu: samostatná cenová nabídka, vždy předem.

Na co můžete navázat

Další kroky

1Krátký call na 30 minut: projdeme vaše prostředí a ověříme, že služba odpovídá tomu, co potřebujete.
2Potvrdíme rozsah, termín zahájení a kontaktní osoby.
3Pošleme smlouvu a seznam přístupů, které budeme potřebovat k zahájení.

Časté otázky

Co bude s našimi existujícími subscriptions?

V návrhu rozhodneme, které zachovat, přesunout nebo zrušit. Samotný přesun zdrojů naceníme zvlášť, protože jeho rozsah je jasný až po návrhu.

Proč moduly z vašeho katalogu, a ne kód od nuly?

Moduly jsou ověřené na jiných projektech, což zkracuje dodání a snižuje cenu. Kód je přitom ve vašem repozitáři a čitelný pro váš tým.

Zablokují nové politiky náš provoz?

Ne. Politiky nejprve jen hlásí porušení. Vynucovat začnou až po kontrole nálezů s vámi.

Řekněte nám, co řešíte.

Třicet minut, zdarma. Odpovíme do jednoho pracovního dne.