Situación del cliente
Grupo multinacional de restauración fast food con presencia en más de 30 países y varias marcas bajo un holding común —entre ellas marcas líderes en el segmento de comida rápida en Europa y Latinoamérica— necesitaba unificar su posición en la nube bajo un único marco de gobierno corporativo. Cada marca gestionaba su infraestructura cloud de forma independiente, con distintas suscripciones Azure sin jerarquía común, políticas de seguridad heterogéneas y sin integración con el directorio corporativo.
El núcleo de la iniciativa era doble: por un lado, desplegar una Enterprise Landing Zone que normalizara el footprint cloud de todas las marcas bajo una estructura de Management Groups corporativa; por otro, securizar y modernizar el acceso al Data Warehouse corporativo —que concentraba los datos de ventas, operaciones y logística de todas las marcas— mediante su migración a Azure SQL con MicroStrategy en cloud.
Retos
- Diseñar una jerarquía de Management Groups que representara la estructura del holding —corporativo, marcas y geografías— sin imponer restricciones que bloquearan la autonomía operativa de cada marca en sus mercados locales
- Establecer la topología de red Hub-Spoke por región geográfica (Europa, Latam, Norteamérica) con conectividad segura entre hubs y segregación de entornos por marca, respetando requisitos de soberanía de datos en mercados con regulación específica
- Federar las identidades corporativas de todas las marcas en un único plano de identidad (Microsoft Entra ID con tenant raíz y guest identities por marca) manteniendo la gestión delegada en cada unidad de negocio
- Diseñar la capa de datos corporativa sobre Azure SQL con acceso securizado desde MicroStrategy cloud, incluyendo cifrado de datos en reposo y en tránsito, auditoría de acceso y controles de acceso por marca y región
- Establecer el modelo de gobierno cloud y financiero (FinOps) que permitiera a corporativo visibilidad del gasto total y a cada marca autonomía en su presupuesto, sin requerir cambios en los procesos operativos locales
Solución
- Management Groups multi-dominio: jerarquía de cinco niveles (Tenant Root → Holding → Geografía → Marca → Entorno), con políticas heredadas en los niveles superiores (seguridad, tagging, regiones permitidas) y delegación de gestión en los niveles de marca para máxima autonomía operativa sin sacrificar el gobierno corporativo
- Conectividad Hub-Spoke por región: tres hubs regionales (Europa Central, Latam Norte, Norteamérica) con Azure Virtual WAN, ExpressRoute corporativo conectado al hub europeo como entrada principal, y peering Hub-to-Hub para tráfico inter-región; cada marca dispone de spokes propios conectados al hub regional
- Identidad federada corporativa: tenant Entra ID corporativo como plano de control central con sincronización selectiva de identidades de cada marca, PIM para acceso privilegiado inter-marca, y acceso condicional basado en señales de riesgo y cumplimiento del dispositivo
- Data Warehouse en Azure SQL: migración de los 3 TB del DWH corporativo a Azure SQL Hyperscale con Geo-Redundant Backup, Always Encrypted para columnas de datos de negocio críticos, Private Endpoint para el acceso desde MicroStrategy y Row-Level Security para segregar los datos por marca sin esquemas separados
- MicroStrategy cloud: despliegue de la plataforma de analítica en Azure App Service con acceso exclusivo vía Private Link al DWH, eliminando la exposición pública del servidor OLAP, con autenticación Entra ID SSO y roles analíticos mapeados a la jerarquía de Management Groups
Resultados
30+ países normalizadostodas las marcas del grupo bajo una única jerarquía de Management Groups con gobierno y políticas corporativas homogéneas, eliminando los silos cloud que operaban de forma independiente en cada mercado
Hub-Spoke multi-regióntres hubs regionales con conectividad garantizada entre marcas y geográfias, segregación de entornos por marca y cumplimiento de requisitos de soberanía de datos en los mercados europeos con regulación específica
DWH cloud seguroData Warehouse corporativo migrado a Azure SQL Hyperscale con MicroStrategy en cloud, acceso exclusivo vía Private Link, Always Encrypted en columnas sensibles y Row-Level Security por marca sin duplicar esquemas
Modelo replicableel framework de gobierno diseñado —Management Groups, políticas Azure, identidad federada y conectividad Hub-Spoke— fue adoptado como estándar corporativo para nuevas adquisiciones de marcas, reduciendo el tiempo de onboarding cloud de meses a semanas
Patrón de arquitectura
// ARCH 33 · Azure · Hub-Spoke Multi-Brand · Enterprise LZ
Multi-Brand Landing Zone — Hub-Spoke + DWH Corporativo
Enterprise Landing Zone multi-marca para grupo de restauración multinacional: jerarquía de Management Groups Holding → Geografía → Marca → Entorno con políticas heredadas, conectividad Hub-Spoke en tres regiones geográficas (Europa, Latam, Norteamérica) mediante Azure Virtual WAN, identidad federada corporativa con Entra ID y Data Warehouse corporativo sobre Azure SQL Hyperscale con acceso exclusivo desde MicroStrategy Cloud via Private Link y Row-Level Security por marca.
Azure Landing ZoneAzure Virtual WANMicrosoft Entra IDAzure SQL HyperscaleMicroStrategyAzure PolicyPrivate Link
// Consideraciones de arquitectura · Enterprise LZ Multi-Brand WAF
- La jerarquía de Management Groups debe reflejar la estructura de gobierno, no la organizativa — en grupos con múltiples marcas autónomas, la tentación es crear un Management Group por marca. Pero si las marcas comparten políticas de seguridad y FinOps, la jerarquía correcta es Holding → Geografía → Entorno, con la marca como atributo de tagging, no como nivel de Management Group. Así se evita la explosión de políticas duplicadas.
- Hub-Spoke por región geográfica, no por marca — desplegar un Hub por marca en un grupo de 30+ países genera costes de firewall y conectividad insostenibles. El modelo correcto es un Hub regional compartido con Spokes por marca, aprovechando las capacidades de segmentación del Azure Firewall Premium para aislar tráfico entre marcas dentro del mismo Hub.
- Row-Level Security en el DWH corporativo elimina la necesidad de esquemas separados por marca — mantener un DWH por marca multiplica los costes de gestión y dificulta los informes consolidados del holding. RLS con predicados basados en el token de identidad Entra ID permite un DWH único con acceso segregado por marca, auditado y sin duplicación de esquemas.
- MicroStrategy en cloud requiere Private Link al DWH, no acceso público — exponer Azure SQL con endpoint público para que MicroStrategy acceda al DWH es el error más común en migraciones rápidas. Private Link es obligatorio en entornos con datos de negocio de grupo: elimina la superficie de ataque y cumple con los requisitos de auditoría de seguridad del holding.
- La identidad federada multi-marca necesita proceso de gestión de ciclo de vida — cuando una marca tiene rotación de personal, las guest identities del tenant corporativo no se revocan automáticamente si no hay un proceso integrado con el HR de cada marca. El Entitlement Management de Entra ID con Access Reviews periódicos es el control que evita identidades huérfanas con acceso a datos corporativos.
- El onboarding de nuevas marcas debe ser un proceso, no un proyecto — en grupos que crecen por adquisición, el tiempo entre la firma y la integración cloud puede ser el factor diferencial de riesgo. Documentar el Landing Zone como un Blueprint reproducible (IaC + runbook de onboarding) permite integrar una nueva marca en semanas, no en meses, reutilizando la infraestructura Hub y las políticas ya validadas.
SeguridadFiabilidadOptimización de costesExcelencia Operacional