Blog Azure Migratie

Migreer niet naar de cloud voordat je dit weet en doet

Je hebt je Azure landing zone opgezet en denkt nu dat de migratie kan beginnen.

Maar let op: er zijn een paar belangrijke stappen die je eerst moet nemen, anders zal je overstap naar de cloud meer problemen opleveren dan nodig is.

In dit artikel worden de essentiële stappen beschreven die je moet uitvoeren nadat je landingszone is geïmplementeerd.

Auteur

Niels Kroeze

Leestijd 4 minuten Gepubliceerd: 11 november 2025

7 stappen die je moet nemen vóór migratie naar Azure

1. Verbinding: zet hybrid connectivity op

Als onderdeel van je landing zone heb je ExpressRoute, site-to-site VPN of vWAN opgezet. Dat regelt alleen de Azure-kant. Je moet nog steeds de on-premises kant configureren — anders werkt er niets.

Voor ExpressRoute: werk met je provider om het circuit te provisionen, verbind het met Azure en maak de aansluiting terug on-premises via je gateway.
Voor een site-to-site VPN: maak de gateway connection en definieer het lokale netwerk zodat verkeer kan stromen.
Voor vWAN: configureer de vereiste gateway connections.

Als je on-prem omgeving en de cloud goed verbonden zijn, ben je er nog niet. Er volgen nog zes stappen.

2. Uitbreiden: Active Directory Domain Controllers

Vergeet je domain controllers (DCs) niet bij migratie naar de cloud. Tenzij je volledig cloud-only gaat, moet je DCs naar Azure uitbreiden. Anders gaat elke authenticatie terug on-premises, wat logins vertraagt en betrouwbaarheid schaadt.

Een DC in Azure opzetten is geen rocket science — doe dit:

Maak een VM.
Promoveer die naar domain controller.
Zorg voor VPN of ExpressRoute-connectiviteit zodat de DC met on-premises kan praten.
Maak een nieuwe site aan in AD Sites and Services.
Voeg je Azure-subnets toe aan die site.

Zo weten andere VMs in Azure dat die DC het dichtstbij is, en wordt authenticatie sneller.

3. Gebruikers: Microsoft Entra Connect

Tenzij je volledig cloud-only gaat, moet je bestaande gebruikers naar Azure brengen nadat je landing zone klaar is. Je kunt Microsoft Entra Connect (voorheen AD Connect) of Microsoft Entra Cloud Sync gebruiken:

Installeer de tool op een on-premises server.
Het synchroniseert gebruikers naar de cloud met alle AD-eigenschappen en metadata.
Wachtwoorden blijven veilig met Password Sync — alleen een hash wordt verzonden, niet het echte wachtwoord.
Gebruikers houden hetzelfde wachtwoord on-premises en in de cloud. Aanmeldingen worden geverifieerd tegen de hash.

4. Altijd DNS: zet Hybrid DNS aan

Active Directory-domeinen hebben DNS nodig, zowel in de cloud als on-premises.

Cloud: Gebruik Private DNS Zones in Azure om interne namen en private endpoints te resolven. Koppel deze zones aan je VNets zodat alle VMs er toegang toe hebben.
On-prem: Configureer conditional forwarders op je on-prem DNS-servers die verwijzen naar een DNS-forwarder in Azure (bijvoorbeeld een VM of domain controller). Die Azure-forwarder kan namen in de Private DNS Zones resolven.
Resolving van cloud naar on-prem: Gebruik Azure DNS Private Resolver of aangepaste DNS-servers in Azure om naamresolutie tussen cloud en on-prem mogelijk te maken.
Optioneel: configureer Azure Firewall als DNS-proxy om verkeer naar je custom DNS-servers te forwarden en FQDN-regels te gebruiken.

Pas daarna de DNS-instellingen van je Azure VNETs aan zodat ze naar deze aangepaste DNS-servers verwijzen en je hybride DNS-resolutie compleet is.

5. Houd het in de gaten: configureer monitoring

Bij het uitrollen van je landing zone moet je cloud-resources en Azure service health monitoren. Zo zie je of alles draait zoals het hoort.

Deploy the Azure Monitor Baseline voor je landing zone.
Gebruik die baseline om alerts in te stellen voor VMs en cloudservices, zodat je snel op problemen kunt reageren.

6. Uit en in: routing

Het plaatsen van je Azure Firewall (en vrijwel elke NVA) maakt het verkeer niet automatisch veilig; al het verkeer wordt geblokkeerd totdat je expliciete allow-rules toevoegt. Route verkeer naar de firewall en definieer wat je wilt toestaan of blokkeren.

1. Uitgaand verkeer

Al het verkeer dat je spoke-netwerken verlaat, moet via de firewall voor inspection.
Elk subnet in je spokes heeft een route table nodig met een route voor 0.0.0.0/0 naar de firewall.

2. Firewall-regels

Al het verkeer naar de Azure Firewall is standaard geblokkeerd.
Voeg Network- of Application-rules toe om gewenst verkeer toe te staan.

3. Inter-spoke routing

Veel organisaties gebruiken een hub-spoke topologie. Zorg dat routes tussen spokes correct zijn als verkeer via de hub-firewall moet voor inspectie of filtering.

Internet egress

Wil je uitgaand internetverkeer toestaan, dan moet je expliciete regels configureren die dat via de firewall toestaan.

7. Verdedig: Microsoft Defender for Cloud

Bij het uitrollen van je landing zone zet policies aan om Microsoft Defender for Cloud voor je subscriptions in te schakelen. Dat beschermt je landing zone.

Defender for Cloud evalueert je resources tegen Microsofts security baseline en genereert een security score. Dat maakt duidelijk wat je kunt verbeteren. Je hoeft niet direct veel extra techniek in te richten. Bekijk de aanbevelingen en plan verbeteringen tijdens migratie. Blijf de aanbevelingen controleren zodat je omgeving veilig blijft tijdens en na de migratie.

Met deze zeven punten staat je landing zone beter klaar voor migratie.

Hulp nodig of advies om je migratie naar de cloud soepel te laten verlopen? Intercept kan je helpen.