GOLIAT NEXUS / AZURE APPLICATION PLATFORM
Una plataforma modular que conecta red, aplicaciones y datos. Comparte los servicios del hub y despliega Dev y Prod con sus propias aplicaciones, identidades y datos.
Incluye Alba: una aplicación de solicitudes con frontend Next.js, APIs Node.js y procesamiento de eventos. Una referencia que puedes adaptar a tu proyecto.
NEXUS · v1.0.0
Elige una vista y sigue cómo se conectan las piezas.
WAF · Firewall · ACR · DNS · Logs · tfstate
El hub concentra los servicios comunes. Dev y Prod tienen aplicaciones, datos e identidades propios.
Infraestructura y aplicación.
En el mismo proyecto.
AzureTerraformNext.jsNode.jsCosmos DBFunctions01 / ARQUITECTURA COMPARTIDA
El hub reúne los servicios que Dev y Prod necesitan en común. Cada entorno conserva sus aplicaciones y sus datos. Así evitas duplicar infraestructura fija y puedes configurar la capacidad por separado.
WAF para publicar webs y APIs, Firewall para controlar salidas, ACR para las imágenes y servicios de DNS, logs y estado Terraform.
Portales, APIs, Functions, Cosmos y secretos propios. Dos spokes sin peering directo, con acceso privado y permisos por identidad.
Los servicios compartidos siguen generando coste aunque Dev escale a cero. El presupuesto envía avisos; la capacidad y la retención se ajustan en los tfvars.
El hub central comparte WAF, Firewall, imágenes, DNS y observabilidad. Dev y Prod conservan sus portales, APIs, Functions y datos propios. Selecciona un componente para explorar sus conexiones.
Abre la vista completa para ampliar, desplazarte y consultar cada componente.
Preparando el diagrama…
No se pudo cargar el diagrama. Reinténtalo o usa «Abrir diagrama». Si trabajas con el código local, genera primero la web con make site.
La referencia crea tenant y admin como Azure Static Web Apps independientes en Dev y Prod. Son interfaces de ejemplo para sustituir o adaptar a tu proyecto. Plan Standard, West Europe. Sus orígenes HTTPS solo aceptan la IP del WAF; el mapa de portales permite añadir más.
Una VM en el hub, con NIC, disco del sistema e identidad propia. Sin IP pública ni conexión entrante desde GitHub. Configura su repositorio y concede solo los permisos que necesiten tus workflows.
Valores de referencia configurables, no un dimensionamiento validado por carga. Ambos mantienen sus datos e identidades propios.
| Configuración | Dev | Prod |
|---|---|---|
| Réplicas por API | 0–3 | 2–5 |
| Cosmos DB | Serverless | 400 RU/s |
| Retención de backup Cosmos | 8 h | 24 h |
| Zonas Container Apps | No | Sí |
02 / EXPLORA EL PRODUCTO
Explora los componentes de la plataforma. Consulta su función, sus opciones y los módulos que los crean antes de activar lo que necesitas.
No hay coincidencias. Prueba con otro término o selecciona todo el producto.
Las APIs y Functions acceden a los secretos con su identidad y permisos específicos. El frontend no recibe conexiones a Cosmos. La sincronización se hace fuera de los tfvars; el estado Terraform también necesita protección.
03 / UNA APLICACIÓN PARA ENTENDERLO
Alba conecta dos portales, APIs privadas y una Function. Elige un caso y observa cómo se guarda la solicitud, se publica el evento y aparece la actividad.
Next.js estático detrás del WAF compartido. Inicia sesión con Entra y PKCE y consulta las APIs por HTTPS, sin VPN. No recibe secretos de Cosmos.
El WAF dirige la petición al gateway Nginx privado y este a las APIs Node.js. Cada API verifica el token, el rol y el propietario antes de usar Cosmos y publicar el evento.
Escucha Storage Queue y registra una actividad por solicitud, aunque reciba el evento varias veces. Un timer recupera los envíos pendientes del outbox.
PORTAL DE SOLICITUDES
Preparada para enviar
La misma solicitud conservará su UUID en el documento, el evento y la actividad.
POST /api/tenant/requests11111111…Un mismo identificador une el documento, el evento y la actividad.
Despliega Dev y Prod y publica la entrada edge. Después crea una solicitud con un usuario Entra asignado y comprueba su actividad. La guía de validación distingue las pruebas de API del recorrido completo del navegador.
./lz verify-application --config .local/environments --environment devNavegador → WAF compartido → web o gateway privado → API. Cosmos, colas y Functions solo se comunican por la red privada; esos eventos internos no pasan por el WAF. El hub comparte también Firewall, ACR, DNS y logs.
SEGURIDAD EN CADA SALTO
Controles Zero Trust de red, identidad y acceso a datos. Estar conectado al hub no concede permiso sobre una API ni sobre otro entorno.
Leer el modelo de seguridad ↗El WAF inspecciona la entrada pública. Static Web Apps solo acepta su IP; el gateway interno solo acepta su subred. APIs y datos permanecen privados.
Entra con PKCE; la API verifica audiencia, scope, rol, tenant y propietario.
Identidades administradas y permisos por secreto. Ninguna conexión Cosmos llega al frontend.
Completa MFA, Conditional Access y PIM con tu organización. El producto no modifica esas políticas globales.
04 / DEL EJEMPLO A TU AZURE
Define la plataforma compartida en common.tfvars y la capacidad de cada entorno en dev.tfvars y prod.tfvars. Los ejemplos están comentados para que puedas leerlos, adaptarlos y desplegar.
Backend y bootstrap. Cierra el acceso desde un ejecutor privado.
Hub común, datos, identidades y servicios por entorno.
Publica imágenes, Functions y portales; comprueba el flujo.
Mismo código, configuración y datos separados para Prod.
Dominio Azure y certificado renovable; dominios propios opcionales.
environments/dev.tfvars
Terraform ≥1.9, Python, Azure CLI y sesión en tu suscripción. Para las aplicaciones: ejecutor privado, Node.js ≥24, npm, Docker/Buildx Linux y SWA CLI 2.1.0. Ejecutor existente o VM privada opcional; el repositorio del agente lo configura el usuario.
05 / RECURSOS Y DOCUMENTACIÓN
Consulta los módulos, revisa los recursos de referencia y sigue las guías de operación. El inventario se obtiene de planes con proveedor simulado; no es una factura ni una consulta a Azure.
| Capa | Recurso Terraform | Cantidad |
|---|
PARA SEGUIR CON CRITERIO
Arquitectura, componentes y flujo completo de Alba.
02Aceptación, backups, reintentos y recuperación de eventos.
03Identidad, permisos, red privada y recorrido del tráfico.
04Criterios de aceptación, límites y pruebas de tu instalación.
Antes de producción: probar dos usuarios Requester, aplicar MFA/Conditional Access, ensayar restauración, rotación y poison queue, y medir carga y costes. Container Apps de Prod es zonal; Cosmos sigue en una región.
CÓDIGO PARA HACERLO TUYO
Infraestructura, aplicación de ejemplo y documentación en un mismo repositorio. Cambia Alba por tu producto y conserva las piezas que te resulten útiles.
Ver repositorio en GitHubApoya el desarrollo en GitHub Sponsors