Microsoft Azure Zóny dostupnosti jsou samostatná fyzická umístění v rámci oblasti Azure, každé s jedním nebo více datacentry, které mají nezávislé napájení, chlazení a sítě. Fyzické oddělení zón dostupnosti v rámci oblasti omezuje vliv selhání zóny na aplikace a data. Referenční architektura uvedená v tomto článku ukazuje osvědčené postupy pro nasazení na základě struktury – nasazení, které používá Zóny dostupnosti ke zvýšení dostupnosti aplikace. Nasazení zona je vhodné pro mnoho druhů aplikací. konkrétní příklad zobrazený tady je oblast nasazení webové aplikace, která běží na virtuálních počítačích (vm) a používá Microsoft SQL Server databázi.
Tento přístup se používá ve scénářích s vysokou dostupností, kde je odolnost velmi důležitá. S architekturou HA existuje rovnováhu mezi vysokou odolností, nízkou latencí a náklady. Tato architektura používá k zajištění vysoké odolnosti redundantní prostředky rozložené mezi zónami. Provoz je možné směrovat mezi zónami, aby se minimalizoval dopad selhání zóny. Pokud dojde k selhání zóny, prostředky v jiných zónách budou tento provoz absorbovat, dokud se neúspěšná obnovení zóny. To poskytuje vysokou úroveň odolnosti.
Tato architektura poskytuje efektivní využití prostředků, protože většina prostředků se aktivně používá. všechny prostředky, jiné než pasivní SQL Server, se používají při zpracování požadavků. pasivní SQL Server bude aktivní pouze v případě, že dojde k chybě aktivního SQL Server.
Zóna – redundantní služba Azure Application Gateway a redundantní Nástroj pro vyrovnávání zatížení distribuují provoz na dostupné prostředky.
Stáhněte si soubor aplikace Visio s touto architekturou.
Architektura
architektura používá prostředky rozdělené do několika zón, aby poskytovala vysokou dostupnost webové aplikace infrastruktury jako služby (IaaS), která používá databázi SQL Server. Zóna redundantní Application Gateway směruje provoz do virtuálních počítačů v rámci webové vrstvy. Zóna redundantního vyrovnávání zatížení směruje provoz z virtuálních počítačů ve webové vrstvě na aktivní SQL Server. V případě selhání zóny Application Gateway trasy k virtuálním počítačům v jiných dostupných zónách. Směrování mezi zónami má vyšší latenci než směrování v rámci zóny.
pokud aktivní SQL Server nebude k dispozici, buď kvůli selhání zóny, nebo místní chybě, pasivní SQL Server se aktivuje jako aktivní SQL Server. zóna redundantního vyrovnávání zatížení detekuje převzetí služeb při selhání nově aktivních SQL Server a směruje do ní provoz.
Následující příklad ukazuje selhání Zóna 1.
Stáhněte si soubor aplikace Visio s touto architekturou.
Application Gateway je redundantní v zóně. To není ovlivněné selháním Zóna 1 a k určení dostupných virtuálních počítačů používá sondy stavu. Pokud není Zóna 1 k dispozici, směruje provoz pouze do zbývajících dvou zón. Záložní Nástroj pro vyrovnávání zatížení v zóně je také neovlivněný selháním Zóna 1 a pomocí sond stavu určí umístění aktivního SQL Server. v tomto příkladu nástroj pro vyrovnávání zatížení zjistí, že aktivní SQL Server je v Zóna 3 a směruje provoz do něj.
Rozprostření prostředků mezi Zóny dostupnosti také chrání aplikace před plánovanou údržbou. Když se virtuální počítače distribuují mezi tři Zóny dostupnosti jsou, v důsledku toho se rozprostře mezi tři aktualizační domény. Platforma Azure tuto distribuci rozpoznává mezi aktualizačními doménami, aby se zajistilo, že se virtuální počítače v různých zónách neaktualizují současně.
Replikací virtuálních počítačů napříč Zóny dostupnosti umožňuje chránit aplikace a data před selháním zóny. To je způsob, jakým Azure splňuje oborovou smlouvu o úrovni služeb (SLA), která je nejlepší 99,99% doba provozu virtuálního počítače. Přečtěte si téma vytváření řešení pro vysokou dostupnost pomocí zóny dostupnosti.
Tato architektura se skládá z následujících součástí.
Obecné
Skupiny prostředků. Skupiny prostředků se používají k seskupení prostředků Azure, aby je bylo možné spravovat podle doby životnosti, vlastníka a dalších kritérií.
Zóny dostupnosti Azure. Zóny dostupnosti jsou samostatná fyzická umístění v rámci oblasti Azure, každé s jedním nebo více datacentry, které mají nezávislé napájení, chlazení a sítě. Po umístění virtuálních počítačů mezi zónami se aplikace bude odolná vůči selháním v rámci zóny.
Sítě a vyrovnávání zatížení
- Virtuální síť a podsítě. Každý virtuální počítač Azure je nasazený do virtuální sítě, která se dá rozdělit do podsítí, jednu podsíť pro každou vrstvu.
- Application Gateway. Azure Application Gateway je nástroj pro vyrovnávání zatížení vrstvy 7. V této architektuře zóna redundantní Application Gateway směruje požadavky HTTP na webový front-end. Application Gateway také poskytuje Firewall webových aplikací (WAF), který chrání aplikaci před běžnými zneužitím a ohrožením zabezpečení. SKU v2 Application Gateway podporuje redundanci mezi zónami. Jediné nasazení Application Gateway může spouštět více instancí brány. V případě produkčních úloh spusťte alespoň dvě. Další informace najdete v tématech automatické škálování a redundantní Application Gateway v2 a jak Application Gateway podporují vysokou dostupnost a škálovatelnost?.
- Azure Load Balancer. Azure Load Balancer je nástroj pro vyrovnávání zatížení vrstvy 4. V této architektuře zóna redundantní v Azure Standard Load Balancer směruje síťový provoz z webové vrstvy do SQL Server. Protože redundantní Nástroj pro vyrovnávání zatížení v zóně není připnutý k určité zóně, aplikace bude v případě selhání zóny nadále distribuovat síťový provoz. služba redundantního vyrovnávání zatížení se používá k zajištění dostupnosti v případě, že aktivní SQL Server nebude k dispozici. standardní SKU Azure Load Balancer podporuje redundanci mezi zónami. Další informace najdete v tématu Standard Load Balancer a zóny dostupnosti.
- Skupiny zabezpečení sítě (skupin zabezpečení sítě). Skupina zabezpečení sítě se používá k omezení síťového provozu v rámci virtuální sítě. V této architektuře webová vrstva přijímá pouze provoz z koncového bodu veřejné IP adresy. Databázová vrstva také nepřijímá přenosy z jiné podsítě než z podsítě webové vrstvy.
- DDoS Protection. Platforma Azure zajišťuje ochranu před distribuovanými útoky s cílem odepření služeb (DDoS). Pro zvýšení ochrany doporučujeme použít Azure DDoS Protection Standard, který má rozšířené funkce zmírnění DDoS. Podívejte se na téma informace o zabezpečení.
- Bastionu Azure. Azure bastionu poskytuje zabezpečené a bezproblémové protokol RDP (Remote Desktop Protocol) (RDP) a Secure Shell (SSH) přístup k virtuálním počítačům v rámci virtuální sítě. Tím se zajistí přístup, který omezí vystavené veřejné IP adresy virtuálních počítačů v rámci virtuální sítě. Azure bastionu nabízí cenově výhodné alternativu k zřízenému virtuálnímu počítači, který poskytuje přístup ke všem virtuálním počítačům ve stejné virtuální síti.
Microsoft SQL Server
skupiny dostupnosti Always On SQL Server. skupina dostupnosti Always On SQL Server poskytuje vysokou dostupnost v datové vrstvě tím, že povoluje replikaci a převzetí služeb při selhání. používá technologii služby Windows Server Failover Cluster (WSFC) pro převzetí služeb při selhání.
Disk s kopií cloudu Cluster s podporou převzetí služeb při selhání vyžaduje, aby bylo spuštěno více než polovina jeho uzlů, což je stav, který se nazývá kvorum. Pokud má cluster pouze dva uzly, může síťový oddíl způsobit, že se každý uzel bude domnívat, že je primárním uzlem. V takovém případě potřebujete určující, aby bylo možné rušit vazby a vytvořit kvorum. Určující disk je prostředek, jako je například sdílený disk, který může při navazování kvora fungovat jako akce pro svázání. Disk s kopií cloudu je typ určující sdílené složky, který používá Azure Blob Storage. aby služba Azure Blob Storage mohla být neovlivněná selháním zóny, musí používat redundantní Storage zóny (ZRS).
Další informace o konceptu kvora najdete v tématu Principy kvora clusteru a fondu. Další informace o určujícím cloudu najdete v tématu nasazení určujícího cloudu pro cluster s podporou převzetí služeb při selhání.
Doporučení
Vaše požadavky se mohou od popsané architektury lišit. Použijte tato doporučení jako výchozí bod.
doporučení ke konfiguraci virtuálních počítačů najdete v tématu spuštění virtuálního počítače s Windows v Azure.
Další informace o návrhu virtuálních sítí a podsítí najdete v tématu plánování a návrh Azure Virtual Networks.
Network Security Groups (Skupiny zabezpečení sítě)
Použijte pravidla skupiny zabezpečení sítě, abyste omezili provoz mezi vrstvami. V této architektuře může přímo komunikovat s databázovou vrstvou pouze webová vrstva. Pro vymáhání tohoto pravidla by měla databázová vrstva blokovat veškerý příchozí provoz s výjimkou podsítě webové vrstvy.
- Zakazuje veškerý příchozí provoz z virtuální sítě. (Použijte virtuální _ Značka sítě v pravidle.)
- Povolte příchozí provoz z podsítě webové vrstvy.
- Povolte příchozí provoz ze samotné podsítě databázové vrstvy. Toto pravidlo umožňuje komunikaci mezi databázovými virtuálními počítače, která je potřebná pro replikaci databáze a převzetí služeb při selhání.
Vytvořte pravidla 2–3 s vyšší prioritou než první pravidlo, takže ho přepíší.
Skupiny dostupnosti AlwaysOn pro SQL Server
Pro vysokou dostupnost doporučujeme skupiny Microsoft SQL Server dostupnosti Always On. Další vrstvy se k databázi připojí prostřednictvím naslouchacího procesu skupiny dostupnosti. Naslouchací proces umožňuje klientovi SQL připojit se bez znalosti názvu fyzické instance SQL Serveru. Virtuální počítače, které přistupují k databázi, musí být připojené k doméně. Klient (v tomto případě jiná vrstva) používá DNS, aby přeložil název virtuální sítě naslouchacího procesu do IP adres.
Následujícím způsobem SQL Server skupiny dostupnosti Always On:
- Vytvořte cluster Windows převzetí služeb při selhání serveru (WSFC), skupinu dostupnosti SQL Server Always On a primární repliku. Další informace najdete v tématu Začínáme skupin dostupnosti Always On.
- Vytvořte interní nástroj pro vyrovnávání zatížení se statickou privátní IP adresou.
- Vytvořte naslouchací proces skupiny dostupnosti a namapte název DNS naslouchacího procesu na IP adresu interního nástroje pro vyrovnávání zatížení.
- Pro port SQL Serveru pro naslouchání (ve výchozím nastavení je to port 1433 protokolu TCP) vytvořte pravidlo nástroje pro vyrovnávání zatížení. Pravidlo nástroje pro vyrovnávání zatížení musí umožňovat plovoucí IP adresu (jinak známou jako přímou odpověď ze serveru). Díky tomu bude virtuální počítač odpovídat přímo klientovi, což umožňuje přímé připojení k primární replice.
Poznámka
Když je plovoucí adresa povolená, front-endové číslo portu musí být stejné jako back-endové číslo portu v pravidle nástroje pro vyrovnávání zatížení.
Když se klient SQL pokusí připojit, nástroj pro vyrovnávání zatížení bude směrovat žádosti na připojení na primární repliku. Pokud dojde k převzetí služeb při selhání do jiné repliky, nástroj pro vyrovnávání zatížení automaticky směruje nové požadavky na novou primární repliku. Další informace najdete v tématu Konfigurace nástroje pro vyrovnávání zatížení pro skupinu dostupnosti na virtuálních SQL Server Azure.
Převzetí služeb při selhání zavře stávající připojení klientů. Po dokončení převzetí služeb při selhání se nová připojení směrují na novou primární repliku.
Pokud vaše aplikace čte podstatně více než zapisuje, přesměruje některé dotazy jen pro čtení na sekundární repliku. Viz Připojení na repliku jen pro čtení.
Otestujte své nasazení vynucením ručního převzetí služeb při selhání skupiny dostupnosti.
Aspekty dostupnosti
Zóny dostupnosti zajištění vysoké odolnosti v rámci jedné oblasti. Pokud potřebujete ještě vyšší dostupnost, zvažte replikaci aplikace do dvou oblastí s využitím Azure Traffic Manager převzetí služeb při selhání. Další informace najdete v tématu Spuštění n-vrstvéaplikace v několika oblastech Azure pro vysokou dostupnost.
Ne všechny oblasti podporují Zóny dostupnosti a ne všechny velikosti virtuálních počítačů jsou podporované ve všech zónách. Spuštěním následujícího příkazu Azure CLI vyhledejte podporované zóny pro každou velikost virtuálního počítače v rámci oblasti:
az vm list-skus --resource-type virtualMachines --zone false --location eastus -o table
Virtual Machine Scale Sets skupiny umístění, které slouží jako implicitní skupina dostupnosti. Další informace o skupinách umístění najdete v tématu Práce s velkými škálovacími sadami virtuálních počítačů.
Sondy stavu
Application Gateway i Azure Load Balancer používají sondy stavu k monitorování dostupnosti instancí virtuálních počítače.
- Application Gateway vždy používá sondu HTTP.
- Load Balancer testovat pomocí protokolu HTTP nebo TCP. Obecně platí, že pokud virtuální počítač používá server HTTP, použijte sondu PROTOKOLU HTTP. V opačném případě použijte tcp.
Pokud se sonda během časového limitu nemůže k instanci dostat, brána nebo nástroj pro vyrovnávání zatížení zastaví odesílání provozu na tento virtuální počítač. Sonda pokračuje v kontrole a vrátí virtuální počítač do back-end fondu, jakmile bude virtuální počítač opět dostupný.
Sondy HTTP odesílaly požadavek HTTP GET na zadanou cestu a naslouchají odpovědi HTTP 200. Tato cesta může být kořenová cesta (/) nebo koncový bod monitorování stavu, který implementuje vlastní logiku pro kontrolu stavu aplikace. Tento koncový bod musí umožňovat anonymní žádosti HTTP.
Další informace o sondách stavu najdete v těchto tématu:
Důležité informace o návrhu koncového bodu sondy stavu najdete v tématu Model monitorování koncových bodů stavu.
Důležité informace o nákladech
K odhadu nákladů použijte cenovou kalkulačku Azure. Tady je několik dalších hledisek.
Virtual Machine Scale Sets
Virtual Machine Scale Sets jsou k dispozici ve všech Windows virtuálních počítačů. Účtují se vám jenom nasazené virtuální počítače Azure a všechny další spotřebované prostředky základní infrastruktury, jako jsou úložiště a sítě. Za službu Virtual Machine Scale Sets přírůstkové poplatky.
Cenové možnosti pro jednotlivé virtuální počítače najdete v tématu Windows ceny za virtuální počítače.
SQL Server
Pokud zvolíte Azure SQL DBaaS, můžete snížit náklady, protože nemusíte konfigurovat skupinu dostupnosti Always On a počítače řadiče domény. Existuje několik možností nasazení od jedné databáze až po spravovanou instanci nebo elastické fondy. Další informace najdete na stránce s cenami služby Azure SQL.
Cenové SQL virtuálních počítače se serverem najdete v tématu SQL ceny virtuálních SQL počítače.
Azure Load Balancer
Účtují se vám jenom nakonfigurovaná pravidla vyrovnávání zatížení a odchozích pravidel. Příchozí pravidla NAT jsou zdarma. Pokud nejsou nakonfigurovaná žádná pravidla, neúčtuje Standard Load Balancer hodinové poplatky.
Další informace najdete v části věnované nákladům v tématu Rozhraní architektury Azure.
Application Gateway
Pro Application Gateway by mělo být zřízeno SKU v2 a může zahrnovat několik Zóny dostupnosti. U cenového modelu v2 se cenový model řídí spotřebou a má dvě komponenty: hodinovou fixní cenu a náklady založené na spotřebě.
Další informace najdete v oddílu s cenami v tématu Automatické škálování a zónově redundantní Application Gateway v2.
Důležité informace o zabezpečení
Virtuální sítě jsou hranicí izolace provozu v Azure. Ve výchozím nastavení virtuální počítače v jedné virtuální síti nekomunikují přímo s virtuálními počítači v jiné virtuální síti. Virtuální sítě ale můžete explicitně propojit pomocí partnerského vztahu virtuálních sítí.
Omezení provozu
Pomocí skupin zabezpečení sítě (NSG) můžete omezit provoz do a z internetu. Další informace získáte v tématu Zabezpečení sítí a cloudových služeb Microsoftu.
DMZ
Zvažte přidání síťového virtuálního zařízení, které vytvoří hraniční síť mezi internetem a virtuální sítí Azure. Síťové virtuální zařízení je obecný termín pro virtuální zařízení, které provádí úlohy související se sítí, jako je brána firewall, kontrola paketu, auditování a vlastní směrování. Další informace najdete v tématu DmZ sítě mezi Azure a místním datacentrem.
Šifrování
Zašifruje důvěrná neaktivní uložená data a ke správě šifrovacích klíčů databáze použijte Azure Key Vault. Key Vault umí ukládat šifrovací klíče do modulů hardwarového zabezpečení (HSM). Další informace najdete v tématu Konfigurace Integrace se službou Azure Key Vault pro virtuální počítače Azure. Doporučuje se také ukládat tajné kódy aplikací, jako jsou databázové připojovací řetězce, do Key Vault.
Ochrana před útoky DDoS
Platforma Azure poskytuje ve výchozím nastavení základní ochranu před DDoS. Tato základní ochrana je zaměřená na ochranu infrastruktury Azure. I když je základní ochrana před DDoS povolená automaticky, doporučujeme použít Azure DDoS Protection Standard. Standardní ochrana využívá k detekci hrozeb adaptivní ladění na základě vzorců síťového provozu vaší aplikace. To umožňuje použít zmírnění rizik proti útokům DDoS, které si nemusí být všimnou zásad DDoS v celé infrastruktuře. Standardní ochrana také poskytuje výstrahy, telemetrii a analýzy prostřednictvím Azure Monitor. Další informace najdete v tématu Azure DDoS Protection: Osvědčené postupy a referenční architektury.