NutriTrack SaaS — Arquitectura Azure Cloud

$800

Coste mensual estimado (USD)

$657

Ahorro vs. infraestructura actual

15K+

Usuarios soportados (hasta 50K)

99.9%

SLA objetivo con multi-zona

Diagrama de Arquitectura

  ┌─────────────────────────────────────────────────────────────────────────────────┐
  │                            INTERNET / USUARIOS                                   │
  └────────────────────────────────────┬────────────────────────────────────────────┘
                                       │
                          ┌────────────▼────────────┐
                          │  Azure Front Door + WAF  │  ← CDN + DDoS protection
                          │  (Global Load Balancer)  │
                          └────────────┬────────────┘
                                       │
  ┌────────────────────────────────────▼────────────────────────────────────────────┐
  │                        API Management (Standard v2)                              │
  │              Rate limiting · Auth · Versioning · Dev Portal                      │
  └──────┬─────────────────┬──────────────────────┬───────────────────────┬─────────┘
         │                 │                      │                       │
  ┌──────▼──────┐  ┌───────▼───────┐  ┌──────────▼──────────┐  ┌────────▼────────┐
  │  API REST   │  │  Notif. Svc   │  │   Reco. IA Engine   │  │  HRIS Webhooks  │
  │ (Node.js)   │  │  (Node.js)    │  │     (Python)        │  │   (Fastify)     │
  │  AKS: app   │  │  AKS: app     │  │  AKS: jobs pool     │  │  AKS: app       │
  └──────┬──────┘  └───────┬───────┘  └──────────┬──────────┘  └────────┬────────┘
         │                 │                      │                       │
  ┌──────▼─────────────────▼──────────────────────▼───────────────────────▼────────┐
  │                          Azure Service Bus (Standard)                            │
  │                    Queues: notif · reco-jobs · hris-events                       │
  └──────────────────────────────────────────────────────────────────────────────────┘
         │                 │                                   │
  ┌──────▼──────┐  ┌───────▼───────┐                ┌─────────▼─────────┐
  │  Cosmos DB  │  │  Blob Storage │                │   Azure SQL DB    │
  │  (NoSQL)    │  │  (archivos)   │                │  (datos empresa)  │
  │ multi-model │  │  Cool tier    │                │  GP_S_Gen5_2      │
  └─────────────┘  └───────────────┘                └───────────────────┘

  ┌─────────────────────────────────────────────────────────────────────────────────┐
  │  SEGURIDAD: Key Vault · Entra ID Workload Identity · Private Endpoints · NSGs   │
  │  OBSERVABILIDAD: Azure Monitor · Application Insights · Log Analytics           │
  │  COMPLIANCE: Azure Policy (SOC2 + GDPR) · Defender for Cloud · Purview          │
  └─────────────────────────────────────────────────────────────────────────────────┘

Stack de Servicios

⚙️ Servicios Azure — Patrón AKS Microservices

☸️ AKS (3 node pools: system, app, jobs)

🔀 API Management Standard v2

🌐 Azure Front Door + WAF

🗄️ Cosmos DB (multi-model)

📊 Azure SQL Serverless (GP_S_Gen5_2)

📨 Service Bus Standard

📦 Azure Container Registry

🔐 Key Vault + Entra ID Workload Identity

📈 Azure Monitor + Application Insights

🛡️ Defender for Cloud + Azure Policy

Escalabilidad: Cluster Autoscaler + KEDA event-driven.
Soporta 10K → 1M usuarios sin re-arquitectura.

⚖️ Análisis Pros / Contras

✅ Ventajas

Ecosistema Kubernetes completo (Helm, KEDA, Dapr)

Escalado independiente por microservicio

Multi-lenguaje y multi-framework

Workload Identity — sin credenciales en pods

Preparado para 15K → 50K sin cambio de arquitectura

⚠️ Consideraciones

Complejidad operativa de Kubernetes

Coste base más elevado que PaaS puro

Configuración de red (CNI, ingress) intensiva

Requiere al menos 1 DevOps dedicado

Alternativas evaluadas:

App Service ($280/mes) — descartado: insuficiente para microservicios Python
Serverless Functions ($150/mes) — descartado: cold starts inaceptables para API RT
AKS Microservices ($800/mes) — ✅ ELEGIDO

Estimación de Costes Mensual

💰 Desglose por Servicio — West Europe

Servicio	SKU / Configuración	Categoría	Coste/mes (USD)
☸️ AKS Node Pools (×3)	D4s_v5 — system + app + jobs	Compute	$350 – $500
🔀 API Management	Standard v2	Gateway	$175
🗄️ Cosmos DB	Multi-model, 400 RU/s base	Database	$100 – $400
📊 Azure SQL Serverless	GP_S_Gen5_2, auto-pause 60min	Database	$50 – $120
📨 Service Bus	Standard tier	Messaging	$10 – $50
📦 Container Registry	Basic	DevOps	$5
📈 Azure Monitor + App Insights	Log Analytics (5 GB/día)	Observabilidad	$50 – $100
🔐 Key Vault	Standard, <10K operaciones/mes	Seguridad	$1 – $5
🌐 Front Door + WAF	Standard tier	Networking	$35 – $60
TOTAL ESTIMADO			$776 – $915/mes

💚

−$657/mes ahorrado

vs. infraestructura actual en VMs ($1.457/mes) → nueva arquitectura ($800/mes). Amortización en 3 meses.

💡

Optimización recomendada: Comprar Reserved Instances de 1 año para los node pools de AKS reduce el coste de compute en ~30% (~$105/mes adicional de ahorro).

Infraestructura como Código — Bicep (generado)

📄 main.bicep — AKS + API Management + Cosmos DB + Key Vault

// =============================================================================
// NutriTrack SaaS — Azure Microservices Architecture
// AKS + API Management + Cosmos DB + Service Bus + Key Vault
// Generado por: skill/arquitecto-azure-cloud  |  CULTIVA IA
// =============================================================================

@description('Environment name')
@allowed(['dev', 'staging', 'production'])
param environment string = 'dev'

@description('Azure region')
param location string = resourceGroup().location

@description('Application name (nutritrack)')
param appName string = 'nutritrack'

// ---------------------------------------------------------------------------
// Key Vault — secrets, certificados, connection strings
// ---------------------------------------------------------------------------
resource keyVault 'Microsoft.KeyVault/vaults@2023-07-01' = {
  name: '${environment}-${appName}-kv'
  location: location
  properties: {
    sku: { family: 'A', name: 'standard' }
    tenantId: subscription().tenantId
    enableRbacAuthorization: true   // sin access policies legacy
    enableSoftDelete: true
  }
  tags: { environment: environment, 'app-name': appName, 'cost-center': 'plataforma' }
}

// ---------------------------------------------------------------------------
// AKS Cluster — 3 node pools: system | app | jobs
// ---------------------------------------------------------------------------
resource aksCluster 'Microsoft.ContainerService/managedClusters@2024-01-01' = {
  name: '${environment}-${appName}-aks'
  location: location
  identity: { type: 'SystemAssigned' }
  properties: {
    kubernetesVersion: '1.29'
    agentPoolProfiles: [
      { name: 'system', vmSize: 'Standard_D4s_v5', count: 2, mode: 'System' }
      { name: 'app',    vmSize: 'Standard_D4s_v5', count: 3, mode: 'User',
        enableAutoScaling: true, minCount: 2, maxCount: 10 }
      { name: 'jobs',   vmSize: 'Standard_D4s_v5', count: 1, mode: 'User',
        nodeTaints: ['workload=jobs:NoSchedule'] }
    ]
    networkProfile: { networkPlugin: 'azure', loadBalancerSku: 'standard' }
    oidcIssuerProfile: { enabled: true }  // Workload Identity
    securityProfile: { workloadIdentity: { enabled: true } }
  }
}

// API Management, Cosmos DB, Service Bus... (192 líneas total en main.bicep)
// ✅ Plantilla completa generada en: ejemplo/main.bicep
      

Plantilla completa: 192 líneas — incluye Key Vault, AKS (3 pools), API Management, Cosmos DB, Service Bus, ACR, Managed Identity, diagnósticos y tags. az bicep build --file main.bicep az deployment group validate --rg rg-nutritrack-prod

🚀 Pipeline CI/CD — GitHub Actions

📝Code Push
(main)

→

🔍Lint &
Tests

→

🐳Build &
Push ACR

→

🔐OIDC
Login

→

📋Bicep
What-If

→

✅Deploy
Azure

name: Deploy NutriTrack Infrastructure
on:
  push:
    branches: [main]

permissions:
  id-token: write
  contents: read

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: azure/login@v2
        with:
          client-id: ${{ secrets.AZURE_CLIENT_ID }}
          tenant-id: ${{ secrets.AZURE_TENANT_ID }}
          subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}
      - uses: azure/arm-deploy@v2
        with:
          resourceGroupName: rg-nutritrack-prod
          template: ./infra/main.bicep
          parameters: environment=production appName=nutritrack
        

✅

OIDC federation configurado — sin secrets de Azure en GitHub. Autenticación via Workload Identity.

☑️ Checklist de Implementación

Planificación

Revisar patrón AKS Microservices y stack

Estimación costes con Azure Pricing Calculator

Definir estrategia de entornos (dev/staging/prod)

Configurar suscripción Azure y resource groups

Definir estrategia de tags (environment, owner, cost-center)

Fundación

Crear VNet con subnets (app, data, management)

Configurar NSGs y Private Endpoints

Configurar grupos Entra ID y asignaciones RBAC

Crear Key Vault y sembrar secrets iniciales

Habilitar Microsoft Defender for Cloud

Servicios Core

Desplegar AKS (3 node pools: system, app, jobs)

Desplegar API Management Standard v2

Desplegar Cosmos DB multi-model

Desplegar Service Bus Standard

Desplegar Azure Container Registry

Seguridad y Compliance

Managed Identity en todos los servicios

Private Endpoints para recursos PaaS

Front Door + WAF habilitado

Iniciativas Azure Policy (SOC 2 + GDPR)

Diagnostic settings en todos los recursos

Purview para clasificación de datos de salud

CI/CD

Pipeline GitHub Actions configurado

Workload identity federation (sin secrets en CI)

Pipeline Bicep con what-if preview

Blue-green deployment en AKS

Documentar procedimientos de rollback

🛡️ Compliance y Seguridad

SOC 2 Type IIAzure Policy Initiative

ISO 27001Defender for Cloud

HIPAA-readydatos de salud

Identidad: Entra ID con RBAC + Managed Identity. Sin credenciales en código.
Secretos: Key Vault para todos los secrets, certificados y connection strings.
Red: NSGs en todas las subnets, Private Endpoints para PaaS, Front Door + WAF.
Cifrado: TLS 1.2+ en tránsito, Azure-managed keys en reposo.
Datos salud (GDPR): Residencia EU, Purview para clasificación, consentimiento gestionado.
Monitorización: Defender for Cloud habilitado, Azure Policy guardrails activos.

🚫 Anti-Patrones Evitados

Anti-Patrón	Decisión correcta
ARM JSON para IaC	Bicep (compila a ARM, sintaxis limpia)
Secrets en App Settings	Key Vault references
Un solo node pool AKS	3 pools: system + app + jobs
Endpoints públicos en PaaS	Private Endpoints + VNet integration
Sobre-provisionamiento fijo	Autoscale + right-size mensual
Sin estrategia de tags	environment, owner, cost-center, app-name

📈 Roadmap de Escalabilidad — 15K → 50K usuarios

🚀

Fase 1: NOW

15K usuarios
AKS: 3 nodes app pool
Cosmos DB: 400 RU/s
Coste: ~$800/mes

📊

Fase 2: 6 meses

30K usuarios
Autoscale activo (hasta 7 nodes)
Cosmos DB: autoscale on
Coste: ~$1.200/mes

🌍

Fase 3: 18 meses

50K usuarios
Multi-región (West + North EU)
Cosmos DB: geo-replication
Coste: ~$2.200/mes

📌

Sin re-arquitectura en ninguna fase. El patrón AKS Microservices con KEDA soporta 10K → 1M usuarios cambiando solo configuración de autoscaling y SKUs.