Zum Inhalt springen

AWS Landing Zone

AWS Landing Zone: sicher, governed, EKS-ready.

Fertiges Fundament für Ihre AWS-Cloud: Control Tower, Governance und eine EKS-vorbereitete Kontostruktur, geliefert als CDK-automatisiertes Produkt. In kommerziellen AWS-Regionen und in der AWS European Sovereign Cloud.

30-Minuten-Gespräch buchen Alle 3 Pakete ansehen

  • Governance

    Control Tower · Guardrails · SSO

  • Core

    Management · Log Archive · Audit

  • Workloads

    Dev · Staging · Prod

    Je Account eine EKS-ready VPC

Was drin ist

Sechs Bausteine, die immer dabei sind.

  • Sechs-Konten-Struktur

    Management, Log Archive, Audit, Dev, Staging und Prod, sauber getrennt und einheitlich aufgesetzt.

  • Control Tower & Guardrails

    Standard-Guardrails, IAM Identity Center (SSO) und zentrales Logging von Anfang an.

  • EKS-ready VPCs

    Pro Workload-Account eine schlanke VPC über mehrere Availability Zones, per StackSets ausgerollt. Subnetze sind für Kubernetes getaggt, inklusive ELB und Karpenter.

  • AWS IPAM

    Überschneidungsfreie IP-Planung über alle Accounts. Eine spätere Vernetzung gelingt ohne Re-IP.

  • Wiederholbar per CDK

    Alle Pakete bauen auf derselben CDK-Codebasis auf. Der Code ist partitionsbewusst und läuft in der ESC und in kommerziellen Regionen.

  • Health Report & Handover

    Nach dem Deployment erhalten Sie Health Report, Runbook und eine Handover-Session.

Ablauf

In vier Schritten startklar.

  1. Schritt 1

    Pre-Flight-Check

    Wir prüfen Ihre AWS-Organisation, bevor etwas deployt wird.

  2. Schritt 2

    Automatisierter Deploy

    Control Tower, Accounts und Netzwerk werden per CDK ausgerollt.

  3. Schritt 3

    Health Report

    Sie erhalten den Zustand Ihrer neuen Umgebung dokumentiert.

  4. Schritt 4

    Handover

    Runbook und Handover-Session. Auf Wunsch betreuen wir die Accounts weiter.

Pakete

Ein Fundament, das mit Ihnen wächst.

  • Light

    €1.000

    Einführungspreis, danach €1.500–2.000. Umsetzung in 4–8 Stunden, typischerweise an einem Tag.

    • Control Tower, Standard-Guardrails, SSO, zentrales Logging
    • Sechs Konten: Management, Log Archive, Audit, Dev, Staging, Prod
    • GuardDuty, Security Hub und Config
    • EKS-ready VPC je Workload-Account, inklusive AWS IPAM
    • Health Report, Runbook und Handover-Session
    Light anfragen

  • Scale

    €15.000–35.000

    2–4 Wochen. Wenn Ihre Accounts miteinander und mit Ihrem Netz sprechen müssen.

    • Alles aus Light
    • Account Factory
    • Transit Gateway und Connectivity
    • Externe IdP-Föderation (Okta, Entra ID)
    • Erweiterte Guardrails und FinOps-Baseline
    • Optional Migrations-Unterstützung über das AWS Migration Acceleration Program
    Scale anfragen

  • Enterprise

    ab €60.000

    6–12 Wochen. Für regulierte Branchen.

    • Alles aus Scale
    • Landing Zone Accelerator oder Custom-CDK-Architektur
    • Audit-fähige Nachweise (DORA, NIS2, ISO 27001, SOC 2, PCI-DSS)
    • EU-Datenresidenz-Kontrollen
    • Managed Service mit SLA
    Enterprise anfragen

Für wen

Welches Paket passt zu Ihnen?

Die Antwort hängt von drei Fragen ab: Wie viele Accounts brauchen Sie, benötigen Sie Connectivity zwischen Accounts oder On-Premises, und unterliegen Sie regulatorischen Vorgaben?

  • Frühe SaaS-Startups: Light

    Sie brauchen eine saubere, abgesicherte Struktur mit Dev, Staging und Prod und Governance, aber noch keine Vernetzung zwischen Accounts. Genau das liefert Light in einem Tag.

  • Wachsende Scale-ups: Scale

    Mehr als drei Accounts, Transit Gateway, VPN, Direct Connect, externe IdP-Föderation oder erste Migrationen. Der ehrliche Übergang von Light, kein künstliches Gate.

  • Regulierte Unternehmen: Enterprise

    DORA, BaFin/BAIT/VAIT, NIS2, ISO 27001, SOC 2 oder PCI-DSS, audit-fähige Nachweise, EU-Datenresidenz oder ein Managed Service mit SLA.

Verlustfreier Upgrade-Pfad statt Wegwerf-Arbeit

Light ist die Auffahrt, nicht die Sackgasse. Der Sprung zu Scale oder Enterprise baut auf demselben CDK-Code auf. Was Sie heute deployen, müssen Sie morgen nicht neu bauen.

Als AWS Partner und ESC (European Sovereign Cloud) Launch Partner liefern wir jede Stufe wahlweise in kommerziellen Regionen wie eu-central-1 oder in der AWS European Sovereign Cloud (eusc-de-east-1), aus derselben CDK-Codebasis. Dazu kommen reproduzierbares Infrastructure-as-Code, dokumentierte Governance und ein externes Plattformteam, das mit Ihrer Cloud mitwächst.

AWS-Förderung: bis zu 100.000 USD Credits

Für Scale und Enterprise lassen sich oft AWS-Förderprogramme nutzen, etwa das Migration Acceleration Program (MAP), POC-Funding für Greenfield-Projekte oder AWS Activate Credits für Startups. Wir beraten Sie, welches Programm passt.

Fragen

Fragen zur AWS Landing Zone.

Was kostet eine AWS Landing Zone bei DMoove?

Das Light-Paket kostet €1.000 als Einführungspreis (danach €1.500–2.000), umgesetzt in 4–8 Stunden. Scale liegt bei €15.000–35.000 (2–4 Wochen), Enterprise ab €60.000 (6–12 Wochen). Für Scale und Enterprise lassen sich häufig AWS-Förderprogramme wie MAP oder POC-Funding nutzen.

Was ist im Light-Paket enthalten?

Eine vollständige Sechs-Konten-Struktur (Management, Log Archive, Audit, Dev, Staging, Prod) mit AWS Control Tower, Standard-Guardrails, IAM Identity Center (SSO), zentralem Logging, GuardDuty, Security Hub und Config sowie einer EKS-ready VPC je Workload-Account inklusive AWS IPAM. Dazu Health Report, Runbook und eine Handover-Session.

Was ist im Light-Paket nicht enthalten?

Bewusst ausgeschlossen sind Connectivity-Networking (Transit Gateway, VPN, Direct Connect, Shared Services), mehr als drei Workload-Accounts, automatisiertes Account-Vending, die Föderation mit einem externen Identity Provider sowie Compliance-Frameworks wie DORA oder ISO 27001. Das ist der Umfang von Scale und Enterprise.

Wie lange dauert die Umsetzung?

Light ist in 4–8 Stunden, typischerweise an einem Tag, startklar. Scale dauert 2–4 Wochen, Enterprise 6–12 Wochen, abhängig von Umfang und regulatorischen Anforderungen.

Können Sie die Landing Zone auch in der AWS European Sovereign Cloud aufbauen?

Ja, alle drei Pakete. Die ESC ist eine eigene AWS-Partition (aws-eusc) mit eigener Organization, eigenem IAM Identity Center und eigener Abrechnung in Euro. Dort entsteht deshalb eine eigenständige Landing Zone. Eine bestehende Organization in Frankfurt lässt sich nicht einfach um ESC-Accounts erweitern. Unser CDK-Code ist partitionsbewusst, dieselbe Codebasis funktioniert in beiden Welten. Direct Connect oder VPN brauchen Sie nur, wenn Ihre ESC-Workloads mit On-Premises oder Ihrer bestehenden AWS-Umgebung sprechen sollen.

Was brauchen wir vor Projektstart?

Einen sauberen AWS-Management-Account ohne bestehendes Control Tower (in der ESC ein neuer Account in der Partition), Admin- und Billing-Zugang für DMoove, eindeutige E-Mail-Aliase für die neuen Accounts, eine Entscheidung über die Home-Region (irreversibel, zum Beispiel eu-central-1 oder eusc-de-east-1) sowie eine abgestimmte Naming- und Tagging-Konvention und einen CIDR-Plan oder die Akzeptanz unseres Defaults.

Können wir später von Light auf Scale oder Enterprise upgraden?

Ja, ohne Wegwerf-Arbeit. Alle Pakete bauen auf derselben CDK-Codebasis auf. AWS IPAM im Light-Paket stellt sicher, dass eine spätere Vernetzung ohne Re-IP möglich ist.

Ist die Landing Zone wirklich EKS-ready?

Ja. Die Subnetze jedes Workload-Accounts sind von Anfang an für Kubernetes getaggt (kubernetes.io/role/elb, kubernetes.io/role/internal-elb sowie vorbereitend karpenter.sh/discovery), sodass ein EKS-Cluster ohne Nacharbeit aufsetzen kann.

Ihre Landing Zone in Planung?

30 Minuten, direkt mit dem Gründer. Wir schauen auf Ihre AWS-Organisation und sagen ehrlich, was sich lohnt.

30-Minuten-Gespräch buchen