Un hub. Dos entornos.

El navegador obtiene los portales y llama a las APIs por el WAF del hub. Entra autentica al usuario; cada API comprueba su token, rol y propietario.
El WAF llega a Static Web Apps por HTTPS con el origen restringido a su IP, y al gateway Nginx por red privada.

Dev y Prod tienen sus propios portales, Container Apps, Functions, identidades, Cosmos, Storage y Key Vault. No hay peering directo entre sus spokes.
La API guarda en Cosmos y publica en Storage Queue. La Function procesa el evento y registra la actividad; un timer recupera publicaciones pendientes. Este flujo permanece privado y no pasa por el WAF.

WAF, Firewall, ACR, DNS privado, logs y estado Terraform se crean una vez y los consumen ambos entornos. Compartir evita duplicar servicios fijos; su coste y capacidad siguen siendo comunes.
El agente opcional ejecuta GitHub Actions desde una VM privada del hub, sin IP pública y sin roles Azure por defecto.
Esta es una vista lógica, no un plano de subredes. Los servicios PaaS no residen dentro de las VNets. La vista Red y seguridad muestra subredes, rutas y Private Endpoints; la tabla de recursos conserva el inventario detallado.