Alternativa solo UE a Microsoft Azure.

Microsoft Azure is the cloud most often defended with the words "but we already use Microsoft for everything." That defence does not survive a Schrems II analysis: Microsoft Corporation is a US company, every Azure subsidiary is US-controlled, and Microsoft has explicitly acknowledged in court (Microsoft Ireland, 2018) that it would comply with valid US legal process for data anywhere globally - which is precisely what the CLOUD Act later codified. The "Microsoft Cloud for Sovereignty" and Bleu (Microsoft × Capgemini × Orange) initiatives are interesting but technology-licensed from a US parent. For genuine EU sovereignty, you exit. Below is the map.

United States Stack sostitutivo, solo UE 14 servizi mappati

Prenota una chiamata Scansiona prima il tuo dominio

Fornitore: Microsoft Azure
Sede: Redmond, WA
Giurisdizione: United States
Regime giuridico: CLOUD Act, FISA 702, EO 12333

"Regione UE" non è sovranità. Quattro domande decidono.

La residenza dei dati dice dove si trovano i bit. La sovranità dice quale sistema giuridico può imporne l'accesso. La risposta deve reggere su tutti e quattro i punti, altrimenti lo stack non è sovrano.

Residenza

Dove sono fisicamente archiviati i dati?

Non "nel cloud": quale datacenter, in quale paese, sotto quale giurisdizione.

Sub-responsabili

Chi altro è nel suo percorso dei dati?

Ogni fornitore che tocca i dati: il CDN, il relay e-mail, il tracker degli errori, la pipeline di analytics.

Giurisdizione

Quali leggi possono imporre la divulgazione?

Un fornitore con sede negli Stati Uniti ricade sotto FISA 702 e CLOUD Act, anche se i bit si trovano a Francoforte.

Custodia delle chiavi

Chi detiene effettivamente le chiavi di cifratura?

Se il provider cloud detiene sia i dati sia le chiavi, può leggerli, indipendentemente da qualsiasi DPA.

Non supera AWS · Azure · GCP · Regione UE

Fallisce su giurisdizione e custodia delle chiavi.

Bit nell'UE, casa madre statunitense, sub-responsabili americani nel percorso predefinito, chiavi gestite dal fornitore.

Supera Stack gestito da Binadit

Passa su tutte e quattro.

Ospitato in UE su infrastruttura con sede europea. Zero sub-responsabili statunitensi nel percorso predefinito. Chiavi del cliente o di KMS europeo. Elencati per nome nel suo DPA Articolo 28.

Perché i team se ne vanno Microsoft Azure

Azure exits typically come from one of three triggers: a public-sector tender that explicitly excludes US-jurisdiction processors, a healthcare or financial services audit that flagged Microsoft 365 + Azure as a single concentration risk under DORA, or a CISO who calculated that the licence true-up costs and "free" Azure credits actually translate to vendor lock-in worth six figures. The Azure ecosystem has tighter coupling than AWS - Active Directory, Office 365, Defender, Sentinel are typically all in the mix - which makes the migration more invasive than its AWS equivalent. It is still doable; we have done it.

Microsoft Azure servizi e i loro equivalenti solo UE

Una migrazione non è "scambiare una scatola con un'altra". La mappatura sottostante è ciò che eseguiamo per i clienti che lasciano Microsoft Azure in base a Schrems II: piena giurisdizione UE, nessuna capogruppo statunitense nel percorso dei dati.

Microsoft Azure servizio	Cosa usiamo al suo posto	Nota di ingegneria
Azure Virtual Machines	Binadit Managed Cloud Platform. Macchine virtuali KVM su Debian o Ubuntu, provisionate con Terraform e configurate con Ansible.	La migrazione IaaS è semplice; il capitolo del licensing Windows richiede maggiore attenzione (BYOL o passaggio a Linux dove possibile).
Azure Blob Storage	Binadit Managed Cloud Platform. MinIO o Ceph RGW, compatibili S3.	Lo storage EU compatibile S3 è la destinazione della migrazione; le modifiche all'SDK sono minime.
Azure SQL Database	Binadit Managed Cloud Platform. PostgreSQL o MySQL con Patroni per il failover e pgBackRest per il point-in-time recovery.	Il porting dello schema da Azure SQL (variante T-SQL) è il compito più lungo; strumenti come AWS SCT o pgloader aiutano. Spesso è un buon momento per rivedere le scelte relative all'ORM.
Azure Front Door / CDN	Implementiamo e gestiamo per te una CDN EU: Bunny.net o KeyCDN, con caching Nginx e Varnish sulla tua origine.	Il CDN è uno dei pochi livelli che non gestiamo direttamente. Scegliamo il provider EU, configuriamo cache headers, strategia di purge e origin shielding, e lo operiamo come parte del servizio gestito.
Azure DNS	Binadit Managed Cloud Platform. PowerDNS o Knot, autoritativi, firmati con DNSSEC.	Le zone vengono esportate e importate come file di zona standard, quindi questa è di solito la parte meno critica di una migrazione. Abbassa i TTL con una settimana di anticipo.
AKS (managed Kubernetes)	Binadit Managed Cloud Platform. Kubernetes su Debian o Talos, con networking Cilium e cert-manager per i certificati.	I chart Helm e i file YAML si trasferiscono senza problemi; gli addon specifici di Azure (Application Gateway Ingress, Azure CNI) devono essere sostituiti con equivalenti standard.
Azure Functions	Binadit Managed Cloud Platform. Knative o OpenFaaS sul tuo cluster Kubernetes.	La maggior parte dei workload Azure Functions si adatta a un piccolo cluster Kubernetes UE che esegue Knative.
Azure Active Directory / Entra ID	Binadit Managed Cloud Platform. Keycloak o Authentik come identity provider, con OIDC e SAML.	La singola migrazione più difficile. Pianifica una finestra di esecuzione parallela di 3 mesi. Le integrazioni SSO tra i vari SaaS richiedono una rimappatura.
Azure Service Bus / Event Grid	Binadit Managed Cloud Platform. RabbitMQ, NATS o Redis Streams, a seconda delle garanzie di consegna richieste.	Le opzioni di queueing gestito nello spazio sovrano UE sono limitate; l'autogestione è lo standard.
Azure Monitor / Application Insights	Binadit Managed Cloud Platform. Prometheus, Grafana, Loki e Tempo, integrati con OpenTelemetry.	L'instrumentazione OpenTelemetry rende meccanico lo swap per il codice applicativo.
Azure Cosmos DB	Binadit Managed Cloud Platform. Replica set MongoDB, o PostgreSQL con JSONB dove il modello a documenti è più leggero di quanto sembri.	Non esiste un sostituto 1:1 per il multi-region active-active globale; se il tuo workload richiede davvero questo pattern, la conversazione è diversa.
Defender / Sentinel (security)	Binadit Managed Cloud Platform. Coraza o ModSecurity con l'OWASP Core Rule Set, più CrowdSec per il blocco comportamentale.	CrowdSec ha sede in Francia ed è sempre più competitiva nello spazio SIEM/IDS.
Key Vault	Binadit Managed Cloud Platform. HashiCorp Vault o Infisical, self-hosted, con rotazione automatica dei lease.	Vault è la risposta sovrana di livello produttivo; la gestiamo noi per conto dei clienti.
Microsoft 365 (email, Teams, OneDrive)	Binadit Managed Cloud Platform. Postfix con DKIM, SPF e DMARC, e Rspamd per il filtraggio.	Spesso è la conversazione politica più difficile rispetto alla migrazione dell'infrastruttura. Frequentemente resta su M365 con esposizione documentata invece di essere migrata.

Azure Virtual Machines

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. Macchine virtuali KVM su Debian o Ubuntu, provisionate con Terraform e configurate con Ansible.
Nota di ingegneria: La migrazione IaaS è semplice; il capitolo del licensing Windows richiede maggiore attenzione (BYOL o passaggio a Linux dove possibile).

Azure Blob Storage

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. MinIO o Ceph RGW, compatibili S3.
Nota di ingegneria: Lo storage EU compatibile S3 è la destinazione della migrazione; le modifiche all'SDK sono minime.

Azure SQL Database

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. PostgreSQL o MySQL con Patroni per il failover e pgBackRest per il point-in-time recovery.
Nota di ingegneria: Il porting dello schema da Azure SQL (variante T-SQL) è il compito più lungo; strumenti come AWS SCT o pgloader aiutano. Spesso è un buon momento per rivedere le scelte relative all'ORM.

Azure Front Door / CDN

Cosa usiamo al suo posto: Implementiamo e gestiamo per te una CDN EU: Bunny.net o KeyCDN, con caching Nginx e Varnish sulla tua origine.
Nota di ingegneria: Il CDN è uno dei pochi livelli che non gestiamo direttamente. Scegliamo il provider EU, configuriamo cache headers, strategia di purge e origin shielding, e lo operiamo come parte del servizio gestito.

Azure DNS

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. PowerDNS o Knot, autoritativi, firmati con DNSSEC.
Nota di ingegneria: Le zone vengono esportate e importate come file di zona standard, quindi questa è di solito la parte meno critica di una migrazione. Abbassa i TTL con una settimana di anticipo.

AKS (managed Kubernetes)

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. Kubernetes su Debian o Talos, con networking Cilium e cert-manager per i certificati.
Nota di ingegneria: I chart Helm e i file YAML si trasferiscono senza problemi; gli addon specifici di Azure (Application Gateway Ingress, Azure CNI) devono essere sostituiti con equivalenti standard.

Azure Functions

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. Knative o OpenFaaS sul tuo cluster Kubernetes.
Nota di ingegneria: La maggior parte dei workload Azure Functions si adatta a un piccolo cluster Kubernetes UE che esegue Knative.

Azure Active Directory / Entra ID

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. Keycloak o Authentik come identity provider, con OIDC e SAML.
Nota di ingegneria: La singola migrazione più difficile. Pianifica una finestra di esecuzione parallela di 3 mesi. Le integrazioni SSO tra i vari SaaS richiedono una rimappatura.

Azure Service Bus / Event Grid

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. RabbitMQ, NATS o Redis Streams, a seconda delle garanzie di consegna richieste.
Nota di ingegneria: Le opzioni di queueing gestito nello spazio sovrano UE sono limitate; l'autogestione è lo standard.

Azure Monitor / Application Insights

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. Prometheus, Grafana, Loki e Tempo, integrati con OpenTelemetry.
Nota di ingegneria: L'instrumentazione OpenTelemetry rende meccanico lo swap per il codice applicativo.

Azure Cosmos DB

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. Replica set MongoDB, o PostgreSQL con JSONB dove il modello a documenti è più leggero di quanto sembri.
Nota di ingegneria: Non esiste un sostituto 1:1 per il multi-region active-active globale; se il tuo workload richiede davvero questo pattern, la conversazione è diversa.

Defender / Sentinel (security)

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. Coraza o ModSecurity con l'OWASP Core Rule Set, più CrowdSec per il blocco comportamentale.
Nota di ingegneria: CrowdSec ha sede in Francia ed è sempre più competitiva nello spazio SIEM/IDS.

Key Vault

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. HashiCorp Vault o Infisical, self-hosted, con rotazione automatica dei lease.
Nota di ingegneria: Vault è la risposta sovrana di livello produttivo; la gestiamo noi per conto dei clienti.

Microsoft 365 (email, Teams, OneDrive)

Cosa usiamo al suo posto: Binadit Managed Cloud Platform. Postfix con DKIM, SPF e DMARC, e Rspamd per il filtraggio.
Nota di ingegneria: Spesso è la conversazione politica più difficile rispetto alla migrazione dell'infrastruttura. Frequentemente resta su M365 con esposizione documentata invece di essere migrata.

Come migriamo da Microsoft Azure

Una tipica migrazione di mid-market si svolge in tre fasi. I numeri qui sotto assumono un team di ingegneria di 6-10 persone e uno stack applicativo moderatamente complesso.

Weeks 1-3

Audit & ID-mapping

Inventory Azure services, Entra ID dependencies, SSO integrations and licensing. The identity layer is the longest tail. Output: phased plan with the SSO migration scoped separately.
Weeks 3-6

Edge, monitoring, soft dependencies

Replace Front Door, Azure DNS, App Insights and Blob Storage. Pre-stage EU compute and replicate database. Move CI/CD off Azure DevOps if applicable.
Weeks 6-18

Compute, DB, identity cutover

AKS workloads to managed EU K8s. SQL Database to PostgreSQL with logical replication for live cutover. Identity migration with parallel-run; cut SSO over per application.

5-year TCO on Azure exits we have run: typically 25-45% cheaper, with the largest savings coming from licence true-up avoidance and bandwidth/egress. Bear in mind: if your team uses Microsoft 365 and is staying on it, the identity-layer migration only partially decouples - that decision belongs at board level.

Domande frequenti

Visualizza tutte le domande frequenti

Does Microsoft Cloud for Sovereignty solve the Schrems II problem?

It improves the documentation story but does not change the underlying jurisdiction: Microsoft Corporation remains the parent. For workloads where the analysis turns on parent-jurisdiction (i.e. most regulated workloads after Schrems II), it is not sufficient on its own.

What about Bleu?

Licensed sovereign offerings, where an EU entity operates US technology under licence, are pseudo-sovereign - operated by EU-headquartered entities under licence from a US technology partner. They can satisfy specific regulatory requirements (notably the French SecNumCloud certification for Bleu) but inherit a stack they cannot independently maintain. For most buyers, a clean EU-native stack is the architecturally simpler answer.

Can we leave Azure but keep Microsoft 365?

Yes, and many of our clients run that hybrid. The trade-off is that personal data flowing through M365 (email content, OneDrive files, Teams chat) remains under Microsoft processing. Document it in your DPA, apply supplementary measures (encryption at rest with EU-held keys for sensitive folders), and keep customer-data infrastructure on the sovereign stack.

How does this affect our Microsoft Enterprise Agreement?

Existing EAs typically have annual or multi-year terms; the migration target is to stop the next renewal or right-size it, not to break the current contract. Your account manager will offer concessions when they hear "we are evaluating sovereign alternatives." Use that.

Is Active Directory replaceable in practice?

Replaceable in stages. Keycloak handles OIDC/SAML/SCIM well; for Windows-domain authentication on physical desktops, Samba 4 with FreeIPA is the established open-source path. The transition typically runs alongside a "modern workplace" simplification - fewer per-app SSOs, more standard OIDC.

How long does an Azure exit take?

For a mid-size workload (50-200 VMs, 1-2 SQL DBs, AKS, Entra ID): 16-24 weeks elapsed time. With a managed-infrastructure partner driving the choreography: 10-16 weeks. The identity layer is the schedule risk, not the compute.

Pianifica la tua uscita da Microsoft Azure.

Chiamata di scoping di 30 minuti. Mappiamo il tuo stack rispetto alle alternative solo UE, stimiamo lo sforzo di migrazione e ti diciamo se è la scelta giusta.

Prenota una chiamata Confronta un altro provider