Alternativa solo UE a Microsoft Azure.

Microsoft Azure is the cloud most often defended with the words "but we already use Microsoft for everything." That defence does not survive a Schrems II analysis: Microsoft Corporation is a US company, every Azure subsidiary is US-controlled, and Microsoft has explicitly acknowledged in court (Microsoft Ireland, 2018) that it would comply with valid US legal process for data anywhere globally - which is precisely what the CLOUD Act later codified. The "Microsoft Cloud for Sovereignty" and Bleu (Microsoft × Capgemini × Orange) initiatives are interesting but technology-licensed from a US parent. For genuine EU sovereignty, you exit. Below is the map.

United States Pila de reemplazo, solo UE 14 servicios mapeados

Agendar una llamada Escanee primero su dominio

Proveedor: Microsoft Azure
Sede: Redmond, WA
Jurisdicción: United States
Régimen legal: CLOUD Act, FISA 702, EO 12333

"Región UE" no es soberanía. Cuatro preguntas lo deciden.

La residencia de datos dice dónde están los bits. La soberanía dice qué sistema legal puede obligar al acceso. La respuesta debe sostenerse en los cuatro puntos, o la pila no es soberana.

Residencia

¿Dónde se almacenan físicamente los datos?

No "en la nube": qué centro de datos, en qué país, bajo qué jurisdicción.

Subprocesadores

¿Quién más está en su ruta de datos?

Cada proveedor que toca los datos: el CDN, el relay de correo, el rastreador de errores, el pipeline de analítica.

Jurisdicción

¿Qué leyes pueden obligar a la divulgación?

Un proveedor con sede en EE. UU. está sujeto a la FISA 702 y a la CLOUD Act, aunque los datos estén en Fráncfort.

Custodia de claves

¿Quién posee realmente las claves de cifrado?

Si el proveedor cloud posee tanto los datos como las claves, puede leerlos, con independencia de cualquier DPA.

No cumple AWS · Azure · GCP · Región de la UE

Falla en jurisdicción y custodia de claves.

Bits en la UE, matriz con sede en EE. UU., subprocesadores estadounidenses en la ruta por defecto, claves gestionadas por el proveedor.

Cumple Stack gestionado por Binadit

Pasa en los cuatro.

Alojado en la UE sobre infraestructura con sede europea. Cero subprocesadores estadounidenses en la ruta por defecto. Claves del cliente o de un KMS europeo. Nombrados en su DPA del Artículo 28.

Por qué los equipos están saliendo Microsoft Azure

Azure exits typically come from one of three triggers: a public-sector tender that explicitly excludes US-jurisdiction processors, a healthcare or financial services audit that flagged Microsoft 365 + Azure as a single concentration risk under DORA, or a CISO who calculated that the licence true-up costs and "free" Azure credits actually translate to vendor lock-in worth six figures. The Azure ecosystem has tighter coupling than AWS - Active Directory, Office 365, Defender, Sentinel are typically all in the mix - which makes the migration more invasive than its AWS equivalent. It is still doable; we have done it.

Microsoft Azure servicios y sus equivalentes solo en la UE

Una migración no es "cambiar una caja por otra". El mapeo a continuación es lo que ejecutamos para los clientes que dejan Microsoft Azure por motivos de Schrems II: jurisdicción europea completa, sin matriz estadounidense en la ruta de datos.

Microsoft Azure servicio	Lo que usamos en su lugar	Nota de ingeniería
Azure Virtual Machines	Binadit Managed Cloud Platform. Máquinas virtuales KVM sobre Debian o Ubuntu, aprovisionadas con Terraform y configuradas con Ansible.	La migración de IaaS es sencilla; el capítulo de licenciamiento de Windows requiere más consideración (BYOL o migrar a Linux donde sea posible).
Azure Blob Storage	Binadit Managed Cloud Platform. MinIO o Ceph RGW, compatible con S3.	El almacenamiento compatible con S3 en la UE es el destino de migración; los cambios en el SDK son mínimos.
Azure SQL Database	Binadit Managed Cloud Platform. PostgreSQL o MySQL con Patroni para failover y pgBackRest para recuperación point-in-time.	La migración del esquema desde Azure SQL (variante T-SQL) es la tarea individual más larga; herramientas como AWS SCT o pgloader ayudan. Suele ser un buen momento para revisar las opciones de ORM.
Azure Front Door / CDN	Implementamos y operamos una CDN en la UE para ti: Bunny.net o KeyCDN, con caching de Nginx y Varnish en tu origin.	Un CDN es una de las pocas capas que no operamos nosotros mismos. Elegimos el proveedor de la UE, configuramos las cabeceras de caché, la estrategia de purga y el origin shielding, y lo operamos como parte del servicio gestionado.
Azure DNS	Binadit Managed Cloud Platform. PowerDNS o Knot, autoritativo, firmado con DNSSEC.	Las zonas se exportan e importan como archivos de zona estándar, por lo que suele ser la parte menos problemática de una migración. Reduce los TTL una semana antes.
AKS (managed Kubernetes)	Binadit Managed Cloud Platform. Kubernetes sobre Debian o Talos, con networking Cilium y cert-manager para certificados.	Los Helm charts y YAML se transfieren sin problemas; los addons específicos de Azure (Application Gateway Ingress, Azure CNI) necesitan reemplazarse con equivalentes estándar.
Azure Functions	Binadit Managed Cloud Platform. Knative u OpenFaaS en tu clúster de Kubernetes.	La mayoría de las cargas de trabajo de Azure Functions encajan en un pequeño clúster de Kubernetes de la UE ejecutando Knative.
Azure Active Directory / Entra ID	Binadit Managed Cloud Platform. Keycloak o Authentik como proveedor de identidad, con OIDC y SAML.	La migración individual más difícil. Planifica una ventana de ejecución paralela de 3 meses. Las integraciones SSO entre SaaS necesitan remapearse.
Azure Service Bus / Event Grid	Binadit Managed Cloud Platform. RabbitMQ, NATS o Redis Streams, según las garantías de entrega.	Las opciones de colas gestionadas en el espacio soberano de la UE son limitadas; el modelo autogestionado es el estándar.
Azure Monitor / Application Insights	Binadit Managed Cloud Platform. Prometheus, Grafana, Loki y Tempo, integrados con OpenTelemetry.	La instrumentación con OpenTelemetry hace que el cambio sea mecánico para el código de la aplicación.
Azure Cosmos DB	Binadit Managed Cloud Platform. Replica sets de MongoDB, o PostgreSQL con JSONB donde el modelo de documentos es más simple de lo que parece.	No existe un reemplazo 1:1 para el patrón activo-activo multirregión global; si su carga de trabajo realmente necesita ese patrón, la conversación es diferente.
Defender / Sentinel (security)	Binadit Managed Cloud Platform. Coraza o ModSecurity con el OWASP Core Rule Set, más CrowdSec para el bloqueo por comportamiento.	CrowdSec tiene su sede en Francia y es cada vez más competitiva en el espacio SIEM/IDS.
Key Vault	Binadit Managed Cloud Platform. HashiCorp Vault o Infisical, autoalojado, con rotación automática de leases.	Vault es la respuesta soberana de calidad producción; la operamos para nuestros clientes.
Microsoft 365 (email, Teams, OneDrive)	Binadit Managed Cloud Platform. Postfix con DKIM, SPF y DMARC, y Rspamd para filtrado.	A menudo es la conversación política más difícil, más que la migración de infraestructura en sí. Con frecuencia se mantiene en M365 con exposición documentada en lugar de migrarse.

Azure Virtual Machines

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Máquinas virtuales KVM sobre Debian o Ubuntu, aprovisionadas con Terraform y configuradas con Ansible.
Nota de ingeniería: La migración de IaaS es sencilla; el capítulo de licenciamiento de Windows requiere más consideración (BYOL o migrar a Linux donde sea posible).

Azure Blob Storage

Lo que usamos en su lugar: Binadit Managed Cloud Platform. MinIO o Ceph RGW, compatible con S3.
Nota de ingeniería: El almacenamiento compatible con S3 en la UE es el destino de migración; los cambios en el SDK son mínimos.

Azure SQL Database

Lo que usamos en su lugar: Binadit Managed Cloud Platform. PostgreSQL o MySQL con Patroni para failover y pgBackRest para recuperación point-in-time.
Nota de ingeniería: La migración del esquema desde Azure SQL (variante T-SQL) es la tarea individual más larga; herramientas como AWS SCT o pgloader ayudan. Suele ser un buen momento para revisar las opciones de ORM.

Azure Front Door / CDN

Lo que usamos en su lugar: Implementamos y operamos una CDN en la UE para ti: Bunny.net o KeyCDN, con caching de Nginx y Varnish en tu origin.
Nota de ingeniería: Un CDN es una de las pocas capas que no operamos nosotros mismos. Elegimos el proveedor de la UE, configuramos las cabeceras de caché, la estrategia de purga y el origin shielding, y lo operamos como parte del servicio gestionado.

Azure DNS

Lo que usamos en su lugar: Binadit Managed Cloud Platform. PowerDNS o Knot, autoritativo, firmado con DNSSEC.
Nota de ingeniería: Las zonas se exportan e importan como archivos de zona estándar, por lo que suele ser la parte menos problemática de una migración. Reduce los TTL una semana antes.

AKS (managed Kubernetes)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Kubernetes sobre Debian o Talos, con networking Cilium y cert-manager para certificados.
Nota de ingeniería: Los Helm charts y YAML se transfieren sin problemas; los addons específicos de Azure (Application Gateway Ingress, Azure CNI) necesitan reemplazarse con equivalentes estándar.

Azure Functions

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Knative u OpenFaaS en tu clúster de Kubernetes.
Nota de ingeniería: La mayoría de las cargas de trabajo de Azure Functions encajan en un pequeño clúster de Kubernetes de la UE ejecutando Knative.

Azure Active Directory / Entra ID

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Keycloak o Authentik como proveedor de identidad, con OIDC y SAML.
Nota de ingeniería: La migración individual más difícil. Planifica una ventana de ejecución paralela de 3 meses. Las integraciones SSO entre SaaS necesitan remapearse.

Azure Service Bus / Event Grid

Lo que usamos en su lugar: Binadit Managed Cloud Platform. RabbitMQ, NATS o Redis Streams, según las garantías de entrega.
Nota de ingeniería: Las opciones de colas gestionadas en el espacio soberano de la UE son limitadas; el modelo autogestionado es el estándar.

Azure Monitor / Application Insights

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Prometheus, Grafana, Loki y Tempo, integrados con OpenTelemetry.
Nota de ingeniería: La instrumentación con OpenTelemetry hace que el cambio sea mecánico para el código de la aplicación.

Azure Cosmos DB

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Replica sets de MongoDB, o PostgreSQL con JSONB donde el modelo de documentos es más simple de lo que parece.
Nota de ingeniería: No existe un reemplazo 1:1 para el patrón activo-activo multirregión global; si su carga de trabajo realmente necesita ese patrón, la conversación es diferente.

Defender / Sentinel (security)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Coraza o ModSecurity con el OWASP Core Rule Set, más CrowdSec para el bloqueo por comportamiento.
Nota de ingeniería: CrowdSec tiene su sede en Francia y es cada vez más competitiva en el espacio SIEM/IDS.

Key Vault

Lo que usamos en su lugar: Binadit Managed Cloud Platform. HashiCorp Vault o Infisical, autoalojado, con rotación automática de leases.
Nota de ingeniería: Vault es la respuesta soberana de calidad producción; la operamos para nuestros clientes.

Microsoft 365 (email, Teams, OneDrive)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Postfix con DKIM, SPF y DMARC, y Rspamd para filtrado.
Nota de ingeniería: A menudo es la conversación política más difícil, más que la migración de infraestructura en sí. Con frecuencia se mantiene en M365 con exposición documentada en lugar de migrarse.

Cómo migramos desde Microsoft Azure

Una migración típica de mid-market se desarrolla en tres fases. Los números a continuación asumen un equipo de ingeniería de 6 a 10 personas y un stack de aplicación moderadamente complejo.

Weeks 1-3

Audit & ID-mapping

Inventory Azure services, Entra ID dependencies, SSO integrations and licensing. The identity layer is the longest tail. Output: phased plan with the SSO migration scoped separately.
Weeks 3-6

Edge, monitoring, soft dependencies

Replace Front Door, Azure DNS, App Insights and Blob Storage. Pre-stage EU compute and replicate database. Move CI/CD off Azure DevOps if applicable.
Weeks 6-18

Compute, DB, identity cutover

AKS workloads to managed EU K8s. SQL Database to PostgreSQL with logical replication for live cutover. Identity migration with parallel-run; cut SSO over per application.

5-year TCO on Azure exits we have run: typically 25-45% cheaper, with the largest savings coming from licence true-up avoidance and bandwidth/egress. Bear in mind: if your team uses Microsoft 365 and is staying on it, the identity-layer migration only partially decouples - that decision belongs at board level.

Preguntas frecuentes

Ver todas las preguntas frecuentes

Does Microsoft Cloud for Sovereignty solve the Schrems II problem?

It improves the documentation story but does not change the underlying jurisdiction: Microsoft Corporation remains the parent. For workloads where the analysis turns on parent-jurisdiction (i.e. most regulated workloads after Schrems II), it is not sufficient on its own.

What about Bleu?

Licensed sovereign offerings, where an EU entity operates US technology under licence, are pseudo-sovereign - operated by EU-headquartered entities under licence from a US technology partner. They can satisfy specific regulatory requirements (notably the French SecNumCloud certification for Bleu) but inherit a stack they cannot independently maintain. For most buyers, a clean EU-native stack is the architecturally simpler answer.

Can we leave Azure but keep Microsoft 365?

Yes, and many of our clients run that hybrid. The trade-off is that personal data flowing through M365 (email content, OneDrive files, Teams chat) remains under Microsoft processing. Document it in your DPA, apply supplementary measures (encryption at rest with EU-held keys for sensitive folders), and keep customer-data infrastructure on the sovereign stack.

How does this affect our Microsoft Enterprise Agreement?

Existing EAs typically have annual or multi-year terms; the migration target is to stop the next renewal or right-size it, not to break the current contract. Your account manager will offer concessions when they hear "we are evaluating sovereign alternatives." Use that.

Is Active Directory replaceable in practice?

Replaceable in stages. Keycloak handles OIDC/SAML/SCIM well; for Windows-domain authentication on physical desktops, Samba 4 with FreeIPA is the established open-source path. The transition typically runs alongside a "modern workplace" simplification - fewer per-app SSOs, more standard OIDC.

How long does an Azure exit take?

For a mid-size workload (50-200 VMs, 1-2 SQL DBs, AKS, Entra ID): 16-24 weeks elapsed time. With a managed-infrastructure partner driving the choreography: 10-16 weeks. The identity layer is the schedule risk, not the compute.

Planifique su salida de Microsoft Azure.

Llamada de alcance de 30 minutos. Mapeamos su stack frente a alternativas solo UE, estimamos el esfuerzo de migración y le decimos si es la decisión correcta.

Agendar una llamada Comparar otro proveedor