Alternatywa tylko UE dla Microsoft Azure.

Microsoft Azure is the cloud most often defended with the words "but we already use Microsoft for everything." That defence does not survive a Schrems II analysis: Microsoft Corporation is a US company, every Azure subsidiary is US-controlled, and Microsoft has explicitly acknowledged in court (Microsoft Ireland, 2018) that it would comply with valid US legal process for data anywhere globally - which is precisely what the CLOUD Act later codified. The "Microsoft Cloud for Sovereignty" and Bleu (Microsoft × Capgemini × Orange) initiatives are interesting but technology-licensed from a US parent. For genuine EU sovereignty, you exit. Below is the map.

United States Stack zastępczy, wyłącznie UE 14 zmapowanych usług

Umów rozmowę Najpierw zeskanuj swoją domenę

Dostawca: Microsoft Azure
Siedziba: Redmond, WA
Jurysdykcja: United States
Reżim prawny: CLOUD Act, FISA 702, EO 12333

"Region UE" to nie suwerenność. Decydują cztery pytania.

Rezydencja danych mówi, gdzie leżą bity. Suwerenność mówi, który system prawny może wymusić dostęp. Odpowiedź musi się bronić we wszystkich czterech punktach, inaczej stack nie jest suwerenny.

Rezydencja

Gdzie dane są fizycznie przechowywane?

Nie "w chmurze": które centrum danych, w jakim kraju, pod jaką jurysdykcją.

Podprzetwarzający

Kto jeszcze znajduje się w Państwa ścieżce danych?

Każdy dostawca dotykający danych: CDN, przekaźnik e-mail, tracker błędów, pipeline analityczny.

Jurysdykcja

Czyje prawa mogą wymusić ujawnienie?

Dostawca z siedzibą w USA podlega FISA 702 i CLOUD Act, nawet gdy dane leżą we Frankfurcie.

Depozyt kluczy

Kto faktycznie ma klucze szyfrujące?

Jeśli dostawca chmury trzyma zarówno dane, jak i klucze, może je odczytać, niezależnie od jakiejkolwiek umowy powierzenia.

Nie spełnia AWS · Azure · GCP · Region UE

Nie spełnia kryterium jurysdykcji i depozytu kluczy.

Bity w UE, spółka matka w USA, podprzetwarzający z USA w domyślnej ścieżce, klucze zarządzane przez dostawcę.

Spełnia Stack zarządzany przez Binadit

Spełnia wszystkie cztery kryteria.

Hostowane w UE na infrastrukturze z siedzibą europejską. Zero podprzetwarzających z USA w domyślnej ścieżce. Klucze klienta lub europejskiego KMS. Wymienieni z nazwy w Państwa DPA z Artykułu 28.

Dlaczego zespoły wychodzą Microsoft Azure

Azure exits typically come from one of three triggers: a public-sector tender that explicitly excludes US-jurisdiction processors, a healthcare or financial services audit that flagged Microsoft 365 + Azure as a single concentration risk under DORA, or a CISO who calculated that the licence true-up costs and "free" Azure credits actually translate to vendor lock-in worth six figures. The Azure ecosystem has tighter coupling than AWS - Active Directory, Office 365, Defender, Sentinel are typically all in the mix - which makes the migration more invasive than its AWS equivalent. It is still doable; we have done it.

Microsoft Azure usługi i ich odpowiedniki tylko z UE

Migracja to nie "zamiana jednej skrzynki na drugą". Poniższe mapowanie jest tym, co uruchamiamy dla klientów opuszczających Microsoft Azure na gruncie Schrems II: pełna jurysdykcja UE, brak amerykańskiej spółki matki w ścieżce danych.

Microsoft Azure usługa	Czego używamy zamiast tego	Notatka inżynierska
Azure Virtual Machines	Binadit Managed Cloud Platform. Maszyny wirtualne KVM na Debianie lub Ubuntu, provisionowane za pomocą Terraform i konfigurowane za pomocą Ansible.	Migracja IaaS jest prosta; kwestia licencjonowania Windows wymaga więcej rozwagi (BYOL lub przejście na Linux tam, gdzie to możliwe).
Azure Blob Storage	Binadit Managed Cloud Platform. MinIO lub Ceph RGW, kompatybilne z S3.	Storage w UE kompatybilny z S3 jest celem migracji; zmiany w SDK są minimalne.
Azure SQL Database	Binadit Managed Cloud Platform. PostgreSQL lub MySQL z Patroni do failover i pgBackRest do point-in-time recovery.	Przenoszenie schematu z Azure SQL (dialekt T-SQL) jest najdłuższym pojedynczym zadaniem; pomagają narzędzia takie jak AWS SCT lub pgloader. Często to dobry moment na ponowne przemyślenie wyboru ORM.
Azure Front Door / CDN	Wdrażamy i utrzymujemy dla Ciebie CDN w UE: Bunny.net lub KeyCDN, z cache'owaniem Nginx i Varnish na Twoim origin.	CDN to jedna z niewielu warstw, których nie utrzymujemy samodzielnie. Wybieramy dostawcę z UE, konfigurujemy nagłówki cache, strategię czyszczenia cache oraz origin shielding, i zarządzamy tym w ramach usługi managed.
Azure DNS	Binadit Managed Cloud Platform. PowerDNS lub Knot, autorytatywne, podpisane DNSSEC.	Strefy są eksportowane i importowane jako standardowe pliki stref, więc zazwyczaj jest to najmniej problematyczna część migracji. Obniż TTL na tydzień przed migracją.
AKS (managed Kubernetes)	Binadit Managed Cloud Platform. Kubernetes na Debianie lub Talos, z siecią Cilium i cert-manager do certyfikatów.	Helm charts i YAML przenoszą się bez problemów; dodatki specyficzne dla Azure (Application Gateway Ingress, Azure CNI) wymagają zastąpienia standardowymi odpowiednikami.
Azure Functions	Binadit Managed Cloud Platform. Knative lub OpenFaaS na Twoim klastrze Kubernetes.	Większość obciążeń Azure Functions mieści się w niewielkim klastrze Kubernetes w UE z uruchomionym Knative.
Azure Active Directory / Entra ID	Binadit Managed Cloud Platform. Keycloak lub Authentik jako dostawca identity, z OIDC i SAML.	Najtrudniejsza pojedyncza migracja. Zaplanuj 3-miesięczne okno pracy równoległej. Integracje SSO w usługach SaaS wymagają przemapowania.
Azure Service Bus / Event Grid	Binadit Managed Cloud Platform. RabbitMQ, NATS lub Redis Streams, w zależności od gwarancji dostarczania.	Zarządzane opcje kolejkowania w suwerennym środowisku UE są ograniczone; standardem jest rozwiązanie self-managed.
Azure Monitor / Application Insights	Binadit Managed Cloud Platform. Prometheus, Grafana, Loki i Tempo, połączone za pomocą OpenTelemetry.	Instrumentacja OpenTelemetry sprawia, że zamiana w kodzie aplikacji jest mechaniczna.
Azure Cosmos DB	Binadit Managed Cloud Platform. MongoDB replica sets, lub PostgreSQL z JSONB tam, gdzie model dokumentowy jest cieńszy niż się wydaje.	Nie istnieje odpowiednik 1:1 dla globalnej konfiguracji multi-region active-active; jeśli Twoje obciążenie faktycznie tego wymaga, rozmowa wygląda inaczej.
Defender / Sentinel (security)	Binadit Managed Cloud Platform. Coraza lub ModSecurity z OWASP Core Rule Set, plus CrowdSec do blokowania behawioralnego.	CrowdSec ma siedzibę we Francji i staje się coraz bardziej konkurencyjny w przestrzeni SIEM/IDS.
Key Vault	Binadit Managed Cloud Platform. HashiCorp Vault lub Infisical, self-hosted, z automatyczną rotacją lease.	Vault to suwerenne rozwiązanie produkcyjnej klasy; obsługujemy je dla klientów.
Microsoft 365 (email, Teams, OneDrive)	Binadit Managed Cloud Platform. Postfix z DKIM, SPF i DMARC, oraz Rspamd do filtrowania.	Często trudniejsza jest rozmowa polityczna niż sama migracja infrastruktury. Klienci częściej pozostają na M365 z udokumentowanym ryzykiem, niż faktycznie migrują.

Azure Virtual Machines

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Maszyny wirtualne KVM na Debianie lub Ubuntu, provisionowane za pomocą Terraform i konfigurowane za pomocą Ansible.
Notatka inżynierska: Migracja IaaS jest prosta; kwestia licencjonowania Windows wymaga więcej rozwagi (BYOL lub przejście na Linux tam, gdzie to możliwe).

Azure Blob Storage

Czego używamy zamiast tego: Binadit Managed Cloud Platform. MinIO lub Ceph RGW, kompatybilne z S3.
Notatka inżynierska: Storage w UE kompatybilny z S3 jest celem migracji; zmiany w SDK są minimalne.

Azure SQL Database

Czego używamy zamiast tego: Binadit Managed Cloud Platform. PostgreSQL lub MySQL z Patroni do failover i pgBackRest do point-in-time recovery.
Notatka inżynierska: Przenoszenie schematu z Azure SQL (dialekt T-SQL) jest najdłuższym pojedynczym zadaniem; pomagają narzędzia takie jak AWS SCT lub pgloader. Często to dobry moment na ponowne przemyślenie wyboru ORM.

Azure Front Door / CDN

Czego używamy zamiast tego: Wdrażamy i utrzymujemy dla Ciebie CDN w UE: Bunny.net lub KeyCDN, z cache'owaniem Nginx i Varnish na Twoim origin.
Notatka inżynierska: CDN to jedna z niewielu warstw, których nie utrzymujemy samodzielnie. Wybieramy dostawcę z UE, konfigurujemy nagłówki cache, strategię czyszczenia cache oraz origin shielding, i zarządzamy tym w ramach usługi managed.

Azure DNS

Czego używamy zamiast tego: Binadit Managed Cloud Platform. PowerDNS lub Knot, autorytatywne, podpisane DNSSEC.
Notatka inżynierska: Strefy są eksportowane i importowane jako standardowe pliki stref, więc zazwyczaj jest to najmniej problematyczna część migracji. Obniż TTL na tydzień przed migracją.

AKS (managed Kubernetes)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Kubernetes na Debianie lub Talos, z siecią Cilium i cert-manager do certyfikatów.
Notatka inżynierska: Helm charts i YAML przenoszą się bez problemów; dodatki specyficzne dla Azure (Application Gateway Ingress, Azure CNI) wymagają zastąpienia standardowymi odpowiednikami.

Azure Functions

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Knative lub OpenFaaS na Twoim klastrze Kubernetes.
Notatka inżynierska: Większość obciążeń Azure Functions mieści się w niewielkim klastrze Kubernetes w UE z uruchomionym Knative.

Azure Active Directory / Entra ID

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Keycloak lub Authentik jako dostawca identity, z OIDC i SAML.
Notatka inżynierska: Najtrudniejsza pojedyncza migracja. Zaplanuj 3-miesięczne okno pracy równoległej. Integracje SSO w usługach SaaS wymagają przemapowania.

Azure Service Bus / Event Grid

Czego używamy zamiast tego: Binadit Managed Cloud Platform. RabbitMQ, NATS lub Redis Streams, w zależności od gwarancji dostarczania.
Notatka inżynierska: Zarządzane opcje kolejkowania w suwerennym środowisku UE są ograniczone; standardem jest rozwiązanie self-managed.

Azure Monitor / Application Insights

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Prometheus, Grafana, Loki i Tempo, połączone za pomocą OpenTelemetry.
Notatka inżynierska: Instrumentacja OpenTelemetry sprawia, że zamiana w kodzie aplikacji jest mechaniczna.

Azure Cosmos DB

Czego używamy zamiast tego: Binadit Managed Cloud Platform. MongoDB replica sets, lub PostgreSQL z JSONB tam, gdzie model dokumentowy jest cieńszy niż się wydaje.
Notatka inżynierska: Nie istnieje odpowiednik 1:1 dla globalnej konfiguracji multi-region active-active; jeśli Twoje obciążenie faktycznie tego wymaga, rozmowa wygląda inaczej.

Defender / Sentinel (security)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Coraza lub ModSecurity z OWASP Core Rule Set, plus CrowdSec do blokowania behawioralnego.
Notatka inżynierska: CrowdSec ma siedzibę we Francji i staje się coraz bardziej konkurencyjny w przestrzeni SIEM/IDS.

Key Vault

Czego używamy zamiast tego: Binadit Managed Cloud Platform. HashiCorp Vault lub Infisical, self-hosted, z automatyczną rotacją lease.
Notatka inżynierska: Vault to suwerenne rozwiązanie produkcyjnej klasy; obsługujemy je dla klientów.

Microsoft 365 (email, Teams, OneDrive)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Postfix z DKIM, SPF i DMARC, oraz Rspamd do filtrowania.
Notatka inżynierska: Często trudniejsza jest rozmowa polityczna niż sama migracja infrastruktury. Klienci częściej pozostają na M365 z udokumentowanym ryzykiem, niż faktycznie migrują.

Jak migrujemy z Microsoft Azure

Typowa migracja segmentu mid-market przebiega w trzech fazach. Poniższe liczby zakładają zespół inżynierski 6-10 osób i umiarkowanie złożony stack aplikacyjny.

Weeks 1-3

Audit & ID-mapping

Inventory Azure services, Entra ID dependencies, SSO integrations and licensing. The identity layer is the longest tail. Output: phased plan with the SSO migration scoped separately.
Weeks 3-6

Edge, monitoring, soft dependencies

Replace Front Door, Azure DNS, App Insights and Blob Storage. Pre-stage EU compute and replicate database. Move CI/CD off Azure DevOps if applicable.
Weeks 6-18

Compute, DB, identity cutover

AKS workloads to managed EU K8s. SQL Database to PostgreSQL with logical replication for live cutover. Identity migration with parallel-run; cut SSO over per application.

5-year TCO on Azure exits we have run: typically 25-45% cheaper, with the largest savings coming from licence true-up avoidance and bandwidth/egress. Bear in mind: if your team uses Microsoft 365 and is staying on it, the identity-layer migration only partially decouples - that decision belongs at board level.

Często zadawane pytania

Zobacz wszystkie często zadawane pytania

Does Microsoft Cloud for Sovereignty solve the Schrems II problem?

It improves the documentation story but does not change the underlying jurisdiction: Microsoft Corporation remains the parent. For workloads where the analysis turns on parent-jurisdiction (i.e. most regulated workloads after Schrems II), it is not sufficient on its own.

What about Bleu?

Licensed sovereign offerings, where an EU entity operates US technology under licence, are pseudo-sovereign - operated by EU-headquartered entities under licence from a US technology partner. They can satisfy specific regulatory requirements (notably the French SecNumCloud certification for Bleu) but inherit a stack they cannot independently maintain. For most buyers, a clean EU-native stack is the architecturally simpler answer.

Can we leave Azure but keep Microsoft 365?

Yes, and many of our clients run that hybrid. The trade-off is that personal data flowing through M365 (email content, OneDrive files, Teams chat) remains under Microsoft processing. Document it in your DPA, apply supplementary measures (encryption at rest with EU-held keys for sensitive folders), and keep customer-data infrastructure on the sovereign stack.

How does this affect our Microsoft Enterprise Agreement?

Existing EAs typically have annual or multi-year terms; the migration target is to stop the next renewal or right-size it, not to break the current contract. Your account manager will offer concessions when they hear "we are evaluating sovereign alternatives." Use that.

Is Active Directory replaceable in practice?

Replaceable in stages. Keycloak handles OIDC/SAML/SCIM well; for Windows-domain authentication on physical desktops, Samba 4 with FreeIPA is the established open-source path. The transition typically runs alongside a "modern workplace" simplification - fewer per-app SSOs, more standard OIDC.

How long does an Azure exit take?

For a mid-size workload (50-200 VMs, 1-2 SQL DBs, AKS, Entra ID): 16-24 weeks elapsed time. With a managed-infrastructure partner driving the choreography: 10-16 weeks. The identity layer is the schedule risk, not the compute.

Zaplanuj wyjście z Microsoft Azure.

30-minutowa rozmowa zakresowa. Mapujemy Państwa stack względem alternatyw tylko z UE, szacujemy nakład pracy migracji i mówimy, czy to właściwa decyzja.

Umów rozmowę Porównaj innego dostawcę