Windows rendszerű virtuális gép futtatása az Azure Stack Hubon

  • Cikk

A virtuális gépek Azure Stack Hubban való üzembe helyezéséhez a virtuális gép mellett néhány további összetevőre is szükség van, beleértve a hálózati és tárolási erőforrásokat is. Ez a cikk a Windows rendszerű virtuális gépek Azure-beli futtatásának ajánlott eljárásait mutatja be.

Architektúra Windows rendszerű virtuális gépekhez az Azure Stack Hubon

Erőforráscsoport

Az erőforráscsoport egy logikai tároló, amely a kapcsolódó Azure Stack Hub-erőforrásokat tartalmazza. Általánosságban elmondható, hogy az erőforrásokat az élettartamuk alapján csoportosítják, és ki fogja kezelni őket.

A szorosan összekapcsolt, azonos életciklusú erőforrásokat helyezze egy erőforráscsoportba. Az erőforráscsoportok segítségével csoportosan helyezhet üzembe és monitorozhat erőforrásokat, és a számlázási költségeket erőforráscsoportonként követheti. Az erőforrások készletként is törölhetők, ami teszttelepítésekhez hasznos. Jelentéssel bíró erőforrásneveket adjon meg, hogy egyszerűbben megkereshesse és azonosíthassa az egyes erőforrásokat és azok szerepkörét. További információ: Az Azure-erőforrások ajánlott elnevezési konvenciói.

Virtuális gép

A virtuális gépeket üzembe helyezheti a közzétett rendszerképek listájából, vagy az Azure Stack Hub Blob Storage-ba feltöltött, egyénileg felügyelt rendszerképből vagy virtuális merevlemezről (VHD- fájlból).

Az Azure Stack Hub az Azure-tól eltérő virtuálisgép-méreteket kínál. További információ: Méretek virtuális gépekhez az Azure Stack Hubban. Ha egy meglévő számítási feladatot helyez át az Azure Stack Hubba, kezdje a virtuális gép méretével, amely a legközelebb esik a helyszíni kiszolgálókhoz/Azure-hoz. Ezután mérje meg a tényleges számítási feladat teljesítményét a processzor-, memória- és lemezbemeneti/kimeneti műveletek másodpercenkénti száma (IOPS) szempontjából, és szükség szerint módosítsa a méretet.

Lemezek

A költség az üzembe helyezett lemez kapacitásától függően változik. Az IOPS és az átviteli sebesség (azaz az adatátviteli sebesség) a virtuális gép méretétől függ, ezért lemez kiépítésekor vegye figyelembe mindhárom tényezőt (kapacitás, IOPS és átviteli sebesség).

Az Azure Stack Hubon a lemez IOPS (bemeneti/kimeneti műveletek másodpercenként) a lemez típusa helyett a virtuálisgép-méret függvénye. Ez azt jelenti, hogy egy Standard_Fs sorozatú virtuális gép esetében, függetlenül attól, hogy az SSD-t vagy a HDD-t választja a lemeztípushoz, egyetlen további adatlemez IOPS-korlátja 2300 IOPS. A kiszabott IOPS-korlát korlát (maximálisan lehetséges) a zajos szomszédok megelőzése érdekében. Ez nem az IOPS egy bizonyossága, amelyet egy adott virtuálisgép-mérethez fog kapni.

Azt is javasoljuk, hogy használja a Managed Disks. A felügyelt lemezek egyszerűbbé teszik a lemezkezelést a tárterület kezelésével. A felügyelt lemezek nem igényelnek tárfiókot. Egyszerűen adja meg a méretet és a lemez típusát, és az magas rendelkezésre állású erőforrásként lesz üzembe helyezve.

Az operációsrendszer-lemez egy Azure Stack Hub-blobtárolóban tárolt virtuális merevlemez, így akkor is megmarad, ha a gazdagép leállt. Azt is javasoljuk, hogy hozzon létre egy vagy több adatlemezt, amelyek az alkalmazásadatokhoz használt állandó VHD-k. Ha lehetséges, az alkalmazásokat adatlemezre telepítse, ne az operációs rendszer lemezére. Előfordulhat, hogy néhány örökölt alkalmazásnak összetevőket kell telepítenie a C: meghajtóra. Ebben az esetben az operációsrendszer-lemezt átméretezheti a PowerShell használatával.

A virtuális gép egy ideiglenes lemezzel (a Windows D: meghajtójával) is létrejön. Ezt a lemezt egy ideiglenes kötet tárolja az Azure Stack Hub tárolási infrastruktúrájában. Előfordulhat, hogy az újraindítások és a virtuális gépek egyéb életciklus-eseményei során törlődik. Ez a lemez csak ideiglenes adatokat, például lapozófájlokat tárol.

Network (Hálózat)

A hálózati összetevők a következő erőforrásokat tartalmazzák:

  • Virtuális hálózat. Minden virtuális gép egy virtuális hálózatba van üzembe helyezve, amely több alhálózatra szegmentált.

  • Hálózati adapter (NIC). A hálózati adapter teszi lehetővé a virtuális gép számára a virtuális hálózattal való kommunikációt. Ha több hálózati adapterre van szüksége a virtuális géphez, vegye figyelembe, hogy az egyes virtuálisgép-méretekhez maximális számú hálózati adapter van meghatározva.

  • Nyilvános IP-cím/VIRTUÁLIS IP-cím. A virtuális géppel való kommunikációhoz nyilvános IP-címre van szükség – például távoli asztalon (RDP) keresztül. A nyilvános IP-cím lehet dinamikus vagy statikus. Alapértelmezés szerint dinamikus.

  • Statikus IP-cím lefoglalása, ha olyan rögzített IP-címre van szüksége, amely nem változik – például ha létre kell hoznia egy "A" DNS-rekordot, vagy hozzá kell adnia az IP-címet egy biztonságos listához.

  • Létrehozhat egy teljes tartománynevet (FQDN) is az IP-címhez. Ezután a DNS-ben regisztrálhat egy, az FQDN-re mutató CNAME rekordot. További információért tekintse meg a Teljes tartománynév létrehozása az Azure Portalon szakaszt.

  • Hálózati biztonsági csoport (NSG). Az NSG-k a virtuális gépek hálózati forgalmának engedélyezésére vagy letiltására szolgálnak. Az NSG-k alhálózatokhoz vagy egyéni virtuálisgép-példányokhoz társíthatók.

Minden NSG tartalmaz egy alapértelmezett szabálykészletet, amelyben szerepel egy minden bejövő internetes forgalmat blokkoló szabály. Az alapértelmezett szabályok nem törölhetők, azonban más szabályokkal felülírhatók. Az internetes forgalom engedélyezéséhez hozzon létre olyan szabályokat, amelyek engedélyezik az adott portokra irányuló bejövő forgalmat – például a HTTP 80-ai portot. Az RDP engedélyezéséhez adjon hozzá egy NSG-szabályt, amely engedélyezi a bejövő forgalmat a 3389-es TCP-porton.

Üzemeltetés

Diagnosztika. Engedélyezze a megfigyelést és a diagnosztikát, beleértve az alapvető állapotmetrikákat, a diagnosztikai infrastruktúra naplófájljait és a rendszerindítási diagnosztikát. A rendszerindítási diagnosztika segít diagnosztizálni a rendszerindítási hibát, ha a virtuális gép nem indítható állapotba kerül. Hozzon létre egy Azure Storage-fiókot a naplók tárolásához. Egy standard helyileg redundáns tárolási (LRS) fiók elegendő a diagnosztikai naplókhoz. További információkat a megfigyelés és a diagnosztika engedélyezésével kapcsolatos szakaszban találhat.

Rendelkezésre állás. Előfordulhat, hogy a virtuális gép újraindítása az Azure Stack Hub-operátor által ütemezett tervezett karbantartás miatt történhet. A több virtuális gépből álló éles rendszerek magas rendelkezésre állása érdekében az Azure-ban a virtuális gépek egy rendelkezésre állási csoportban vannak elhelyezve, amely több tartalék tartományra és frissítési tartományra osztva osztva őket. Az Azure Stack Hub kisebb léptékében a rendelkezésre állási csoportok tartalék tartománya egyetlen csomópontként van definiálva a skálázási egységben.

Bár az Azure Stack Hub infrastruktúrája már rugalmas a hibákkal szemben, a mögöttes technológia (feladatátvételi fürtszolgáltatás) hardverhiba esetén továbbra is leáll egy érintett fizikai kiszolgálón lévő virtuális gépek esetében. Az Azure Stack Hub támogatja, hogy egy rendelkezésre állási csoport legfeljebb három tartalék tartománnyal legyen konzisztens az Azure-ral.

Tartalék tartományok

A rendelkezésre állási csoportban elhelyezett virtuális gépek fizikailag el lesznek különítve egymástól azáltal, hogy a lehető leg egyenletesen oszlanak el több tartalék tartományon (Azure Stack Hub-csomópontokon). Hardverhiba esetén a meghibásodott tartalék tartományból származó virtuális gépek más tartalék tartományokban is újraindulnak. Ezeket a többi virtuális géptől eltérő tartalék tartományokban, de ha lehetséges, ugyanabban a rendelkezésre állási csoportban tároljuk. Amikor a hardver újra online állapotba kerül, a virtuális gépek újra ki lesznek egyensúlyban a magas rendelkezésre állás fenntartása érdekében.

Frissítési tartományok

A frissítési tartományok egy másik módja annak, hogy az Azure magas rendelkezésre állást biztosít a rendelkezésre állási csoportokban. A frissítési tartomány az alapul szolgáló hardverek logikai csoportja, amely egyidejűleg karbantartáson is áteshet. Az ugyanabban a frissítési tartományban található virtuális gépek együtt indulnak újra a tervezett karbantartás során. Ahogy a bérlők virtuális gépeket hoznak létre egy rendelkezésre állási csoportban, az Azure platform automatikusan elosztja a virtuális gépeket a frissítési tartományok között.

Az Azure Stack Hubban a virtuális gépek élő migrálása a fürt többi online gazdagépén történik a mögöttes gazdagép frissítése előtt. Mivel a gazdagép frissítése során nem áll rendelkezésre bérlői állásidő, az Azure Stack Hub frissítési tartománya csak az Azure-ral való sablonkompatibilitás érdekében létezik. A rendelkezésre állási csoportban lévő virtuális gépek frissítési tartományszámaként a 0 jelenik meg a portálon.

Mentések Az Azure Stack Hub IaaS virtuális gépeinek védelmére vonatkozó javaslatokért tekintse meg az Azure Stack Hubon üzembe helyezett virtuális gépek védelmét ismertető témakört.

Virtuális gép leállítása. Az Azure különbséget tesz a „leállított” és a „felszabadított” állapot között. A leállított virtuális gépek után fizetni kell, a felszabadítottak után azonban nem. Az Azure Stack Hub portálon a Leállítás gomb felszabadítja a virtuális gépet. Ha az operációs rendszerből állítja le, amikor be van jelentkezve, azzal a virtuális gépet leállítja, de nem szabadítja fel, tehát továbbra is fizetnie kell a díját.

Virtuális gép törlése. Ha töröl egy virtuális gépet, a virtuálisgép-lemezek nem törlődnek. Ez azt jelenti, hogy biztonságosan törölheti a virtuális gépet anélkül, hogy adatot vesztene. A tárolásért azonban továbbra is díjat kell fizetnie. A virtuálisgép-lemez törléséhez törölje a felügyelt lemezobjektumot. A véletlen törlés megelőzése érdekében használjon erőforrászárat. Ezzel zárolhat egy egész erőforráscsoportot, vagy egyes erőforrásokat, például egy virtuális gépet.

Biztonsági szempontok

A virtuális gépek előkészítése Azure Security Center, hogy központi képet kapjon az Azure-erőforrások biztonsági állapotáról. A Security Center monitorozza a potenciális biztonsági problémákat, és átfogó képet nyújt az üzemi környezet biztonsági állapotáról. A Security Center Azure-előfizetésenként külön konfigurálandó. Engedélyezze a biztonsági adatgyűjtést az Azure-előfizetés előkészítése a Security Center Standardba című cikkben leírtak szerint. Az adatgyűjtés engedélyezése esetén a Security Center automatikusan figyeli az előfizetés alatt létrehozott összes virtuális gépet.

Javításkezelés. A javításkezelés virtuális gépen való konfigurálásához tekintse meg ezt a cikket. Ha engedélyezve van, a Security Center ellenőrzi, hogy a biztonsági és kritikus frissítések hiányoznak-e. Használjon Csoportszabályzat-beállításokat a virtuális gépen az automatikus rendszerfrissítések engedélyezéséhez.

Kártevőirtó. Ha engedélyezve van, a Security Center ellenőrzi, hogy van-e telepítve kártevőirtó szoftver. A Security Center segítségével telepíthet is kártevőirtó szoftvert az Azure Portalon belülről.

Hozzáférés-vezérlés. Szerepköralapú hozzáférés-vezérléssel (RBAC) szabályozhatja az Azure-erőforrásokhoz való hozzáférést. Az RBAC lehetővé teszi, hogy engedélyezési szerepköröket rendeljen a fejlesztő és üzemeltető csapata tagjaihoz. Az Olvasó szerepkör például áttekintheti az Azure-erőforrásokat, de nem hozhatja létre, nem kezelheti és nem törölheti őket. Egyes engedélyek egy Azure-erőforrástípusra vonatkoznak. A Virtuális gépek közreműködője szerepkör például újraindíthat vagy felszabadíthat egy virtuális gépet, alaphelyzetbe állíthatja a rendszergazdai jelszót, létrehozhat egy új virtuális gépet, stb. Ehhez az architektúrához hasznos lehet még a DevTest Labs-felhasználó és a Hálózati közreműködőbeépített RBAC-szerepkör.

Megjegyzés

Az RBAC nem korlátozza a virtuális gépre bejelentkezett felhasználó által végezhető műveleteket. Azokat az engedélyeket a vendég operációs rendszeren lévő fiók típusa határozza meg.

Naplók naplózása. A tevékenységnaplók segítségével megtekintheti a kiépítési műveleteket és más virtuálisgép-eseményeket.

Adattitkosítás. Az Azure Stack Hub BitLocker 128 bites AES-titkosítást használ a tárolási alrendszerben inaktív felhasználói és infrastruktúra-adatok védelméhez. További információkért lásd: Inaktív adatok titkosítása az Azure Stack Hubban.

Következő lépések