Az Azure Stack Hubon üzembe helyezett virtuális gépek védelme

  • Cikk

Ez a cikk útmutatóként segítséget nyújt az Azure Stack Hubon üzembe helyezett, felhasználó által üzembe helyezett IaaS virtuális gépek adatvédelmi és vészhelyreállítási stratégiájának kidolgozásában.

Az adatvesztés és a hosszabb állásidő elleni védelem érdekében implementáljon egy biztonsági mentési vagy vészhelyreállítási tervet a felhasználói alkalmazásokhoz és adataikhoz. Minden alkalmazást a szervezet átfogó üzletmenet-folytonossági és vészhelyreállítási (BC/DR) stratégiájának részeként kell kiértékelni.

Az IaaS virtuális gépek védelmének szempontjai

Szerepkörök és felelősségek

Először is győződjön meg arról, hogy a védelem és helyreállítás összefüggésében egyértelműen tisztában van az alkalmazástulajdonosok és az operátorok szerepköreivel és felelősségeivel.

A felhasználók felelősek a virtuális gépek védelméért. Az operátorok felelősek az Azure Stack Hub online állapotának és kifogástalan állapotának fenntartásáért. Az Azure Stack Hub olyan szolgáltatást tartalmaz, amely biztonsági másolatot készít az infrastruktúra-szolgáltatások belső szolgáltatási adatairól, és nem tartalmaz semmilyen felhasználói adatot, beleértve a felhasználó által létrehozott virtuális gépeket, a felhasználói vagy alkalmazásadatokat tartalmazó tárfiókokat vagy a felhasználói adatbázisokat.

Alkalmazás tulajdonosa/tervezője Azure Stack Hub-operátor
– Az alkalmazásarchitektúra és a felhőtervezés alapelveinek igazítása.
– Szükség szerint modernizálja a hagyományos alkalmazásokat, hogy felkészítse őket a felhőkörnyezetre.
– Az alkalmazás elfogadható RTO-jának és RPO-jának meghatározása.
– Azonosítsa azokat az alkalmazás-erőforrásokat és adattárakat, amelyeket védeni kell.
– Implementáljon egy olyan adat- és alkalmazás-helyreállítási módszert, amely a legjobban igazodik az alkalmazásarchitektúrához és az ügyfélkövetelményekhez.		 – A szervezet üzletmenet-folytonossági és vészhelyreállítási céljainak azonosítása.
– Helyezzen üzembe elegendő Azure Stack Hub-példányt a szervezet BC/DR céljainak teljesítéséhez.
- Alkalmazás-/adatvédelmi infrastruktúra tervezése és üzemeltetése.
– Felügyelt megoldások vagy önkiszolgáló hozzáférés biztosítása a védelmi szolgáltatásokhoz.
– Az alkalmazástulajdonosokkal/tervezőkkel együttműködve megismerheti az alkalmazástervezést, és védelmi stratégiákat javasolhat.
– Az infrastruktúra biztonsági mentésének engedélyezése a szolgáltatások helyreállításához és a felhő helyreállításához.

Forrás-/célkombinációk

Azok a felhasználók, amelyeknek védelmet kell nyújtaniuk az adatközpontok vagy a webhelykimaradások ellen, egy másik Azure Stack Hubot vagy Azure-t használhatnak a magas rendelkezésre állás vagy a gyors helyreállítás biztosításához. Elsődleges és másodlagos helyen a felhasználók két környezetben helyezhetnek üzembe alkalmazásokat aktív/aktív vagy aktív/passzív konfigurációban. A kevésbé kritikus számítási feladatok esetében a felhasználók a másodlagos helyen lévő kapacitással végezhetik el az alkalmazások igény szerinti visszaállítását a biztonsági másolatból.

Egy vagy több Azure Stack Hub-felhő üzembe helyezhető egy adatközpontban. A katasztrofális katasztrófa túlélése érdekében legalább egy Azure Stack Hub-felhő üzembe helyezése egy másik adatközpontban biztosítja, hogy feladatátvételt végezhet a számítási feladatokon, és minimalizálhatja a nem tervezett állásidőt. Ha csak egy Azure Stack Hubja van, érdemes megfontolnia az Azure nyilvános felhő használatát helyreállítási felhőként. Az alkalmazás futtatásának helyét a kormányzati rendeletek, a vállalati szabályzatok és a szigorú késési követelmények határozzák meg. Rugalmasan meghatározhatja az alkalmazásonkénti megfelelő helyreállítási helyet. Előfordulhat például, hogy az egyik előfizetésben lévő alkalmazások biztonsági másolatot készítenek az adatokról egy másik adatközpontba, egy másik előfizetésben pedig adatokat replikálnak az Azure nyilvános felhőbe.

Alkalmazás-helyreállítási célkitűzések

Az alkalmazástulajdonosok elsősorban az alkalmazás és a szervezet által tolerálható állásidő és adatvesztés mennyiségének meghatározásáért felelősek. Az elfogadható állásidő és az elfogadható adatvesztés számszerűsítésével létrehozhat egy helyreállítási tervet, amely minimalizálja a katasztrófa szervezetre gyakorolt hatását. Minden alkalmazás esetében vegye figyelembe a következőket:

  • Helyreállítási időre vonatkozó célkitűzés (RTO)
    Az RTO az a maximális elfogadható idő, amikor egy alkalmazás nem érhető el egy incidens után. A 90 perces RTO például azt jelenti, hogy a katasztrófa kezdetétől számított 90 percen belül vissza kell tudnia állítani az alkalmazást egy futó állapotba. Ha alacsony RTO-jával rendelkezik, előfordulhat, hogy egy második üzemelő példányt folyamatosan készenléti állapotban tart, hogy megvédhesse magát a regionális kimaradásoktól.
  • Helyreállítási időkorlát (RPO)
    A helyreállítási időkorlát (RPO) a katasztrófa során elfogadható adatveszteség maximális ideje. Ha például egyetlen adatbázisban tárol adatokat, amelyekről óránként készít biztonsági másolatot, és nem replikál más adatbázisokba, akár egy órányi adatot is elveszíthet.

Egy másik metrika a Helyreállítás átlagos ideje (MTTR), amely az alkalmazás meghibásodás utáni visszaállításához szükséges átlagos idő. Az MTTR egy rendszer empirikus értéke. Ha az MTTR meghaladja az RTO-t, akkor a rendszer meghibásodása elfogadhatatlan üzleti fennakadást okoz, mert a rendszer nem állítható vissza a megadott RTO-ban.

Védelmi lehetőségek

Biztonsági mentés visszaállítása

Az alkalmazások és adathalmazok biztonsági mentése lehetővé teszi, hogy gyorsan helyreálljon az állásidőből adatsérülés, véletlen törlés vagy katasztrófa miatt. IaaS virtuálisgép-alapú alkalmazások esetén vendégügynökkel védheti az alkalmazásadatokat, az operációs rendszer konfigurációját és a köteteken tárolt adatokat.

Biztonsági mentés vendégügynökkel

A virtuális gépek vendég operációsrendszer-ügynökkel történő biztonsági mentése általában magában foglalja az operációs rendszer konfigurációjának, a fájloknak/mappáknak, a lemezeknek, az alkalmazás bináris fájljainak vagy az alkalmazásadatoknak a rögzítését.

Az alkalmazások ügynökből való helyreállításához manuálisan kell újra üzembe állítani a virtuális gépet, telepíteni kell az operációs rendszert, és telepíteni kell a vendégügynököt. Ezen a ponton az adatok visszaállíthatók a vendég operációs rendszerbe vagy közvetlenül az alkalmazásba.

Biztonsági mentés leállított virtuális gépek lemez-pillanatképe használatával

A biztonsági mentési termékek megvédhetik az IaaS virtuális gép konfigurációját és a leállított virtuális géphez csatlakoztatott lemezeket. Az Azure Stack Hub API-kkal integrálható biztonsági mentési termékek használatával rögzítheti a virtuális gépek konfigurációját, és lemezpillanatképeket hozhat létre. Ha lehetséges az alkalmazás tervezett állásideje, győződjön meg arról, hogy a virtuális gép leállt állapotban van a biztonsági mentési munkafolyamat elindítása előtt.

Biztonsági mentés lemezes pillanatkép használatával virtuális gépek futtatásához

Fontos

A portál lemezpillanatképeinek használata jelenleg nem támogatott a futó virtuális gépek esetében. Egy futó virtuális géphez csatolt lemez pillanatképének létrehozása ronthatja a teljesítményt, vagy hatással lehet az operációs rendszer vagy alkalmazás rendelkezésre állására a virtuális gépen. Javasoljuk, hogy olyan biztonsági mentési szállítói megoldást használjon, amely integrálható a Storage RP növekményes pillanatkép-funkciójával, vagy egy vendégügynökkel, amely megvédi az alkalmazást, ha a tervezett állásidő nem megoldás.

Méretezési vagy rendelkezésre állási csoportban lévő virtuális gépek

A méretezési csoportban vagy rendelkezésre állási csoportban lévő, rövid élettartamú erőforrásoknak tekintett virtuális gépekről nem szabad biztonsági másolatot készíteni a virtuális gép szintjén, különösen akkor, ha az alkalmazás állapot nélküli. A méretezési csoportban vagy rendelkezésre állási csoportban üzembe helyezett állapotalapú alkalmazások esetében fontolja meg az alkalmazásadatok védelmét (például egy adatbázist vagy kötetet egy tárolókészletben).

Replikáció/manuális feladatátvétel

A minimális adatvesztést vagy minimális állásidőt igénylő alkalmazások esetében az adatreplikáció engedélyezhető a vendég operációs rendszer vagy az alkalmazás szintjén az adatok másik helyre történő replikálásához. Egyes alkalmazások, például a Microsoft SQL Server natív módon támogatják a replikációt. Ha az alkalmazás nem támogatja a replikációt, a vendég operációs rendszer szoftverével replikálhatja a lemezeket, vagy egy partnermegoldást, amely ügynökként telepítheti magát a vendég operációs rendszerben.

Ezzel a megközelítéssel az alkalmazás az egyik felhőben lesz üzembe helyezve, és az adatok replikálódnak a másik helyszíni felhőbe vagy az Azure-ba. Feladatátvétel aktiválásakor a célalkalmazást el kell indítani, és csatolni kell a replikált adatokhoz, mielőtt megkezdené a karbantartási kéréseket.

Magas rendelkezésre állás/automatikus feladatátvétel

Az olyan állapot nélküli alkalmazások esetében, amelyek csak néhány másodpercet vagy perc állásidőt képesek elviselni, fontolja meg a magas rendelkezésre állású konfigurációt. A magas rendelkezésre állású alkalmazások úgy vannak kialakítva, hogy egy aktív/aktív topológia több helyén legyenek üzembe helyezve, ahol minden példány képes kiszolgálni a kéréseket. Helyi hardverhibák esetén az Azure Stack Hub-infrastruktúra két állványkapcsolóval magas rendelkezésre állást valósít meg a fizikai hálózaton. Számítási szintű hibák esetén az Azure Stack Hub több csomópontot használ egy méretezési egységben, és automatikusan feladatátvételt fog végrehajtani egy virtuális gépen. A virtuális gép szintjén a rendelkezésre állási csoportban lévő méretezési csoportok vagy virtuális gépek használatával gondoskodhat arról, hogy a csomóponthibák ne vegyék le az alkalmazást. Ugyanazt az alkalmazást egy másodlagos helyen kell üzembe helyezni ugyanabban a konfigurációban. Az alkalmazás aktív/aktívvá tétele érdekében a terheléselosztó vagy a DNS segítségével az összes elérhető példányra irányíthatja a kéréseket.

Nincs helyreállítás

Előfordulhat, hogy a környezet egyes alkalmazásai nem igényelnek védelmet a nem tervezett állásidővel vagy adatvesztéssel szemben. A fejlesztéshez és teszteléshez használt virtuális gépeket például általában nem kell helyreállítani. Az Ön döntése, hogy egy alkalmazás vagy adatkészlet védelme nélkül végezze el a műveletet.

Fontos szempontok az Azure Stack Hub üzembe helyezéséhez:

Ajánlás Megjegyzések
Virtuális gépek biztonsági mentése/visszaállítása az adatközpontban már üzembe helyezett külső biztonsági mentési célhelyre Ajánlott Használja ki a meglévő biztonsági mentési infrastruktúrát és üzemeltetési készségeket. Győződjön meg arról, hogy méretezi a biztonsági mentési infrastruktúrát, hogy készen álljon a további virtuálisgép-példányok védelmére. Győződjön meg arról, hogy a biztonsági mentési infrastruktúra nincs a forrás közelében. A virtuális gépeket visszaállíthatja a forrás Azure Stack Hubra, egy másodlagos Azure Stack Hub-példányra vagy az Azure-ra.
Virtuális gépek biztonsági mentése/visszaállítása az Azure Stack Hub számára dedikált külső biztonsági mentési célra Ajánlott Vásárolhat új biztonsági mentési infrastruktúrát, vagy dedikált biztonsági mentési infrastruktúrát építhet ki az Azure Stack Hubhoz. Győződjön meg arról, hogy a biztonsági mentési infrastruktúra nincs a forrás közelében. A virtuális gépeket visszaállíthatja a forrás Azure Stack Hubra, egy másodlagos Azure Stack Hub-példányra vagy az Azure-ra.
Virtuális gépek biztonsági mentése/visszaállítása közvetlenül a globális Azure-ba vagy egy megbízható szolgáltatóhoz Ajánlott Amíg megfelel az adatvédelmi és szabályozási követelményeknek, a biztonsági másolatokat a globális Azure-ban vagy egy megbízható szolgáltatóban tárolhatja. Ideális esetben a szolgáltató az Azure Stack Hubot is futtatja, így a visszaállításkor konzisztenciát kaphat az üzemeltetési élményben.
Virtuális gépek replikálása/feladatátvétele egy külön Azure Stack Hub-példányra Ajánlott Feladatátvétel esetén egy második Azure Stack Hub-felhőre van szükség, amely teljesen működőképes, így elkerülheti a kiterjesztett alkalmazás-állásidőt.
Virtuális gépek replikálása/feladatátvétele közvetlenül az Azure-ba vagy egy megbízható szolgáltatóba Ajánlott Amíg megfelel az adatvédelmi és szabályozási követelményeknek, replikálhatja adatait a globális Azure-ba vagy egy megbízható szolgáltatóba. Ideális esetben a szolgáltató az Azure Stack Hubot is futtatja, így a feladatátvétel után konzisztenciát kaphat az üzemeltetési élményben.
Helyezzen üzembe egy biztonsági mentési célt ugyanazon az Azure Stack Hubon, amely az azonos biztonsági mentési cél által védett összes alkalmazást is üzemelteti. Önálló cél: Nem ajánlott
cél, amely külsőleg replikálja a biztonsági mentési adatokat: Ajánlott		 Ha úgy dönt, hogy biztonsági mentési berendezést helyez üzembe az Azure Stack Hubon (a működési visszaállítás optimalizálása érdekében), gondoskodnia kell arról, hogy az összes adat folyamatosan át legyen másolva egy külső biztonsági mentési helyre.
Fizikai biztonsági mentési berendezés üzembe helyezése ugyanabban az állványban, ahol az Azure Stack Hub-megoldás telepítve van Nem támogatott Jelenleg nem csatlakoztathat más eszközöket az állványkapcsolók tetejére, amelyek nem részei az eredeti megoldásnak.

A visszaállított IaaS virtuális gép szempontjai

A gép biztonsági mentésből történő visszaállítása után módosítania kell a virtuális gépet. Ezek a következők:

  • MAC-cím
    A virtuális hálózati adapter új MAC-címet kap. Nincs mód az eredeti MAC-cím megőrzésére.
  • IP-cím
    Ha a virtuális gép belső statikus IP-címe van beállítva, a virtuális hálózati adapter belső IP-címe az eredetinek megfelelően állítható be. Előfordulhat, hogy meg kell fontolnia, hogy a virtuális hálózat rendelkezik-e S2S VPN-sel egy olyan külső környezetben, ahol az IP-cím használatban lehet.
  • Felesleges összetevők
    Ha a virtuális gépről egy másik platformon, például a VMware vSphere-en készült biztonsági mentés, további lépéseket kell követnie a forrásból származó felesleges összetevők eltávolításához.

Következő lépések

Ez a cikk általános irányelveket adott meg az Azure Stack Hubon üzembe helyezett felhasználói virtuális gépek védelméhez. Az Azure-szolgáltatások felhasználói virtuális gépek védelmére való használatával kapcsolatos információkért lásd: