Situación del cliente
Grupo de operaciones logísticas con actividades en transporte marítimo, logística portuaria y distribución terrestre, con presencia en España, otros países europeos y Colombia, necesitaba consolidar su estrategia cloud en Azure. El grupo había crecido a través de adquisiciones, acumulando un portfolio heterogéneo de más de 150 aplicaciones desplegadas en infraestructura propia en múltiples países, sin un modelo de gestión unificado.
La dirección tecnológica del grupo necesitaba una plataforma cloud que soportara la migración progresiva de todas las aplicaciones en 24 meses, con visibilidad de costes por unidad de negocio y conectividad segura entre las sedes europeas y las operaciones en Colombia, donde los requisitos regulatorios de datos diferían significativamente.
Retos
- Diseñar una jerarquía de Management Groups que reflejara la estructura corporativa del grupo (divisiones marítima, portuaria y terrestre) con sus filiales europeas y la subsidiaria colombiana
- Gestionar la conectividad Hub-Spoke entre sedes en Europa (España como hub principal) y Colombia, considerando que la latencia y el ancho de banda disponible en Colombia condicionaban el diseño de la arquitectura de red
- Implantar Azure AD (ahora Entra ID) como servicio de identidad unificado para un grupo con directorios distintos en cada país adquirido, muchos de ellos con Active Directory on-premise sin sincronización previa
- Definir el modelo FinOps con showback por unidad de negocio que permitiera atribuir el gasto cloud a las divisiones del grupo desde el primer mes de operación en Azure
- Diseñar las políticas de cumplimiento que acomodaran los distintos requisitos regulatorios de datos en Europa (GDPR) y Colombia (Ley 1581 de Habeas Data), sin duplicar innecesariamente la infraestructura
Solución implementada
- Jerarquía de Management Groups: estructura Tenant Root → Corporativo → Divisiones (Marítima, Portuaria, Terrestre) → Geografías (Europa, LATAM), con políticas de seguridad heredadas en cascada y override por región para adaptar controles a requisitos locales
- Conectividad Hub-Spoke Europa-Colombia: Virtual WAN con hub en Azure Spain Central (Europa) y hub secundario en Azure Brazil South como punto de entrada para Colombia, con ExpressRoute en Europa y VPN site-to-site de alta disponibilidad para las sedes colombianas
- Identidad unificada con Entra ID: migración y consolidación de los directorios Active Directory de cada país en un único tenant con Entra Connect Sync, conservando las UOs de cada filial para la gestión delegada de usuarios
- Showback FinOps desde día 1: Azure Policy que forzaba el etiquetado de todos los recursos con división, entidad legal y centro de coste, alimentando dashboards de Power BI con el gasto mensual por unidad de negocio accesibles para los directores financieros de cada división
- Políticas de cumplimiento regional: iniciativas de Azure Policy diferenciadas para el scope europeo (GDPR: retención, cifrado, localización en Spain) y el scope LATAM (restricciones adicionales de residencia de datos en Brasil), con excepciones documentadas y justificadas para las aplicaciones de integración transfronteriza
Ventajas para el cliente
Base para 150+ appsplataforma Landing Zone que estableció las bases técnicas, de seguridad y de gobernanza para migrar progresivamente las 150+ aplicaciones del grupo en el horizonte de 24 meses
Conectividad Europa-LATAMarquitectura de red Hub-Spoke que conectó las operaciones europeas y colombianas con latencias adecuadas para las aplicaciones de gestión de flota y tracking de contenedores en tiempo real
Identidad consolidadadirectorios de múltiples países unificados en Entra ID, simplificando la gestión de accesos para más de 8.000 empleados del grupo y habilitando SSO para todas las aplicaciones cloud
Visibilidad de costesshowback por división operativo desde el primer mes en Azure, que permitió identificar las áreas con mayor intensidad de consumo cloud y priorizar las inversiones en optimización
Patrón de arquitectura
// ARCH 23 · Azure · Logística Global
Global Logistics Landing Zone — Europa + LATAM Hub-Spoke
Enterprise Landing Zone para grupo logístico internacional con operaciones en Europa y Colombia: Hub global en West Europe con Azure Firewall Premium, hub regional en Brazil South para LATAM, conectividad cross-continental con VPN redundante, compliance local por región (GDPR, LGPD, Ley 1581), FinOps con showback por unidad de negocio desde el primer día como base para el roadmap de 150+ aplicaciones en 24 meses.
Hub-Spoke GlobalAzure Firewall PremiumExpressRouteFinOps ShowbackAzure Policy
// Consideraciones de despliegue · WAF
- Hub regional en LATAM es una necesidad operativa, no una preferencia — la latencia desde Colombia a West Europe hace inviable usar aplicaciones de gestión logística en tiempo real (tracking, routing) desde el hub europeo. El hub de Brazil South reduce la latencia de 180ms a 30ms para operaciones críticas.
- Compliance multi-jurisdicción desde el diseño: GDPR + LGPD + Ley 1581 — los tres marcos regulatorios tienen requisitos de residencia de datos distintos. El diseño debe garantizar que los datos de clientes europeos no crucen a LATAM y viceversa, con evidencia técnica auditable.
- Showback antes que chargeback — en grupos logísticos con múltiples unidades de negocio, pasar directamente a chargeback (facturación interna) genera rechazo. Showback (visibilidad sin facturación) durante 6 meses crea cultura FinOps antes de imponer costes.
- Tagging obligatorio con Azure Policy como primer deploy — en un roadmap de 150 aplicaciones en 24 meses, el tagging aplicado con Policy desde el inicio es la única forma de mantener el showback actualizado. El tagging retroactivo en 150 apps es inviable.
- VPN cross-continental con monitorización de latencia y jitter — las aplicaciones de logística son sensibles a la latencia. Azure Network Watcher con connection monitor debe alertar cuando la latencia Europa-Colombia supera el umbral que afecta a la experiencia de usuario operacional.
- Planificar el orden de migración de las 150 apps por dependencias, no por facilidad — en este grupo logístico, las 10 aplicaciones más complejas de migrar eran la base del 80% de los procesos. Migrar primero las fáciles y dejar las difíciles para el final crea un proyecto que nunca termina.
Excelencia OperacionalCosteRendimientoSeguridad