Aanbevolen praktijken voor de architectuur van Azure Virtuele Machines en schaalsets

Beoordeel quota en limieten voor Virtual Machines die mogelijk ontwerpbeperkingen vormen. VM's hebben specifieke limieten en quota, die variëren op basis van het type VM of de regio. Er zijn mogelijk abonnementsbeperkingen, zoals het aantal VM's per abonnement of het aantal kernen per VM. Als andere workloads uw abonnement delen, kan uw mogelijkheid om gegevens te gebruiken worden verminderd. Controleer de limieten voor VM's, virtuele-machineschaalsets en beheerde schijven.

Voer een foutmodusanalyse uit om storingspunten te minimaliseren door VM-interacties met het netwerk en de opslagonderdelen te analyseren. Kies configuraties zoals kortstondige besturingssysteemschijven om schijftoegang te lokaliseren en netwerkhops te voorkomen. Voeg een load balancer toe om het zelfbehoud te verbeteren door netwerkverkeer over meerdere VM's te distribueren, waardoor de beschikbaarheid en betrouwbaarheid worden verbeterd.

Bereken uw samengestelde serviceniveaudoelstellingen (SLO's) op basis van Azure service level agreements (SLA's). Zorg ervoor dat uw SLO niet hoger is dan de Azure SLA's om onrealistische verwachtingen en potentiële problemen te voorkomen.

Houd rekening met de complexiteit die afhankelijkheden introduceren. Sommige afhankelijkheden, zoals virtuele netwerken en netwerkinterfacekaarten (NIC's), hebben bijvoorbeeld geen eigen SLA's. Andere afhankelijkheden, zoals een gekoppelde gegevensschijf, hebben SLA's die zijn geïntegreerd met VM-SLA's. U moet deze variaties overwegen omdat ze van invloed kunnen zijn op de prestaties en betrouwbaarheid van de VM.

Houd rekening met de kritieke afhankelijkheden van VM's op onderdelen zoals schijven en netwerkonderdelen. Als u deze relaties begrijpt, kunt u de kritieke stromen bepalen die van invloed zijn op de betrouwbaarheid.

Statusisolatie maken. Werkbelastinggegevens moeten zich op een afzonderlijke gegevensschijf bevinden om interferentie met de besturingssysteemschijf te voorkomen. Als een VIRTUELE machine mislukt, kunt u een nieuwe besturingssysteemschijf maken met dezelfde gegevensschijf, waardoor tolerantie en foutisolatie gegarandeerd zijn. Zie Kortstondige besturingssysteemschijven voor meer informatie.

Vm's en de bijbehorende afhankelijkheden redundant maken in meerdere zones. Als een VM uitvalt, moet de werkbelasting blijven functioneren dankzij redundantie. Voeg afhankelijkheden toe aan uw redundantiekeuzes. Gebruik bijvoorbeeld de ingebouwde redundantieopties die beschikbaar zijn voor schijven. Gebruik zone-redundante IP-adressen om de beschikbaarheid van gegevens en een hoge uptime te garanderen.

Vermijd workloadontwerpen die afhankelijk zijn van één virtuele machine, aangezien deze VM niet bestand is tegen gepland of ongepland onderhoud of betrouwbaarheidsincidenten.

Wees klaar om omhoog te schalen en uit te schalen om degradatie op serviceniveau te voorkomen en om fouten te voorkomen. Virtual Machine Scale Sets beschikt over mogelijkheden voor automatisch schalen waarmee nieuwe exemplaren naar behoefte worden gemaakt en de belasting over meerdere VM's en beschikbaarheidszones wordt verdeeld.

Verken de opties voor automatisch herstel. Azure ondersteunt statusdegradatiebewaking en zelfherstelfuncties voor VM's. Schaalsets bieden bijvoorbeeld automatisch exemplaarherstel. In geavanceerdere scenario's omvat zelfherstel het gebruik van Azure Site Recovery, het hebben van een passieve stand-by om een failover uit te voeren naar of het opnieuw implementeren van infrastructuur als code (IaC). De methode die u kiest, moet overeenkomen met de bedrijfsvereisten, uw organisatieactiviteiten en ondersteuning bieden voor het uitvoeren van herstelanalyses. Zie vm-serviceonderbrekingen voor meer informatie.

Berecht de VM's en de bijbehorende afhankelijkheden. Begrijp het verwachte werk van uw virtuele machine om ervoor te zorgen dat deze niet ondermaats is en de maximale belasting kan verwerken. Extra capaciteit hebben om fouten te beperken.

Zorg ervoor dat Virtuele Machines altijd ingeschakeld blijven. Virtual Machines in Azure kan worden afgesloten. Dit is een afzonderlijke status dan de resource die wordt verwijderd. Voor VM's die zijn ontworpen om actief te blijven, gebruikt u een ReadOnlyresourcevergrendeling om te voorkomen dat de VM per ongeluk wordt gestopt. Hiermee voorkomt u niet dat het besturingssysteem opnieuw wordt opgestart als dat nodig is voor updates, maar er wordt een operatorfout voorkomen via de Azure portal of CLI.

Maak een uitgebreid plan voor herstel na noodgevallen. Voorbereiding op noodgevallen omvat het maken van een uitgebreid plan en het bepalen van een technologie voor herstel.

Afhankelijkheden en componenten die toestand behouden, zoals gekoppelde opslag, kunnen het herstel bemoeilijken. Als de schijven omlaag gaan, is deze fout van invloed op de werking van de virtuele machine. Neem een duidelijk proces op voor deze afhankelijkheden in uw herstelplannen.

Toepassingen verdelen over VM's In een workload met een N-laag plaatst u bijvoorbeeld geen toepassingen of opslagservices uit verschillende lagen op dezelfde VM's. Voer in plaats daarvan elke laag uit op verschillende VM's. Ontwerp uw workload met één verantwoordelijkheidsprincipaal, waarmee u de betrouwbaarheidskenmerken en herstelstrategie per VM-groepering kunt afstemmen.

Voer bewerkingen uit met rigor. Keuzes voor betrouwbaarheidsontwerp moeten worden ondersteund door effectieve bewerkingen op basis van de principes van bewaking, tolerantietests in productie, geautomatiseerde patches en upgrades voor toepassings-VM's en consistentie van implementaties. Zie Operational Excellence voor operationele richtlijnen.

Beoordeel de beveiligingsbaselines voor Linux en Windows VM's en Virtuele Machine Schaalsets.

Houd rekening met de beveiligingsfuncties van de VM-SKU's die ondersteuning bieden voor uw workload als onderdeel van uw basislijntechnologie.

Zorg voor tijdige en geautomatiseerde beveiligingspatches en upgrades. Zorg ervoor dat updates automatisch worden geïmplementeerd en gevalideerd met behulp van een goed gedefinieerd proces. Gebruik een oplossing zoals Azure Automation voor het beheren van besturingssysteemupdates en het onderhouden van beveiligingsnaleving door essentiële updates te maken.

Identificeer de VM's die de status bevatten. Zorg ervoor dat gegevens worden geclassificeerd op basis van de vertrouwelijkheidslabels die uw organisatie levert. Gegevens beveiligen met behulp van beveiligingscontroles, zoals de juiste niveaus van at-rest- en in-transit-versleuteling. Als u hoge gevoeligheidsvereisten hebt, kunt u overwegen om beveiligingsmaatregelen met hoge beveiliging te gebruiken, zoals dubbele versleuteling en Azure Confidential Computing om gegevens tijdens gebruik te beveiligen.

Geef segmentatie voor de VM's en schaalsets door netwerkgrenzen en toegangscontroles in te stellen. Plaats VM's in resourcegroepen die dezelfde levenscyclus delen.

Pas toegangsbeheer toe op de identiteiten die de VM's proberen te bereiken en ook op de VM's die andere resources bereiken. Gebruik Microsoft Entra ID voor verificatie- en autorisatiebehoeften. Plaats sterke wachtwoorden, meervoudige verificatie en op rollen gebaseerd toegangsbeheer (RBAC) voor uw VM's en hun afhankelijkheden, zoals geheimen, om toe te staan dat identiteiten alleen de bewerkingen uitvoeren die van hun rollen worden verwacht.

Beperk de toegang tot resources op basis van voorwaarden met behulp van Microsoft Entra Voorwaardelijke toegang. Definieer het voorwaardelijke beleid op basis van de duur en de minimale set vereiste machtigingen.

Gebruik netwerkbesturingselementen om inkomend en uitgaand verkeer te beperken. Isoleer VM's en schaalsets in Azure Virtual Network en definieer netwerkbeveiligingsgroepen om verkeer te filteren. Bescherm tegen DDoS-aanvallen (Distributed Denial of Service). Gebruik load balancers en firewallregels om te beschermen tegen schadelijke aanvallen op verkeer en gegevensexfiltratie.

Gebruik Azure Bastion om een veiligere verbinding met de virtuele machines te bieden voor operationele toegang.

Communicatie van en naar de VM's naar PaaS-oplossingen (Platform as a Service) moet via privé-eindpunten zijn.

Verminder de kwetsbaarheid voor aanvallen door installatiekopieën van het besturingssysteem te beveiligen en ongebruikte onderdelen te verwijderen. Gebruik kleinere afbeeldingen en verwijder binaire bestanden die niet nodig zijn om de workload uit te voeren. Verstrak de VM-configuraties door onnodige functies, zoals standaardaccounts en poorten, te verwijderen.

Bescherm geheimen , zoals de certificaten die u nodig hebt om gegevens tijdens overdracht te beveiligen. Overweeg het gebruik van de Azure Key Vault-extensie voor Windows of Linux waarmee automatisch de certificaten worden vernieuwd die zijn opgeslagen in een sleutelkluis. Wanneer er een wijziging in de certificaten wordt gedetecteerd, haalt de extensie de bijbehorende certificaten op en installeert deze.

Detectie van bedreigingen. Vm's controleren op bedreigingen en onjuiste configuraties. Gebruik Defender voor Servers om wijzigingen in vm's en besturingssystemen vast te leggen en een audittrail met toegang, nieuwe accounts en wijzigingen in machtigingen te onderhouden.

Bedreigingspreventie. Bescherm tegen malwareaanvallen en kwaadwillende actoren door beveiligingscontroles zoals firewalls, antivirussoftware en inbraakdetectiesystemen te implementeren. Bepaal of een Trusted Execution Environment (TEE) vereist is.

Maak een schatting van de realistische kosten. Gebruik de prijscalculator om de kosten van uw VM's te schatten. Identificeer de beste VM voor uw workload met behulp van de VM-selector. Zie Linux en Windows prijzen voor meer informatie.

Kostenbeveiligingen implementeren. Beheerbeleid gebruiken om resourcetypen, configuraties en locaties te beperken. Gebruik RBAC om acties te blokkeren die kunnen leiden tot overbesteding.

Kies de juiste resources. Uw selectie van VM-plangrootten en SKU's is rechtstreeks van invloed op de totale kosten. Kies VM's op basis van workloadkenmerken. Is de CPU-werkbelasting intensief of worden onderbreekbare processen uitgevoerd? Elke SKU heeft gekoppelde schijfopties die van invloed zijn op de totale kosten.

Kies de juiste mogelijkheden voor afhankelijke resources. Bespaar op backup-opslagkosten voor de standaardlaagnaar door Azure Backup-opslag met gereserveerde capaciteit te gebruiken. Het biedt een korting wanneer u een reservering doorvoert voor een jaar of drie jaar.

De archieflaag in Azure Storage is een offlinelaag die is geoptimaliseerd voor het opslaan van blobgegevens die zelden worden geopend. De archieflaag biedt de laagste opslagkosten, maar hogere kosten voor het ophalen van gegevens en latentie in vergelijking met de dynamische en statische onlinelagen.

Overweeg het gebruik van zone-naar-zone rampenherstel voor virtuele machines om te herstellen van site-onderbrekingen, terwijl u de complexiteit van beschikbaarheid vermindert door gebruik te maken van zone-redundante diensten. Er kunnen kostenvoordelen zijn van verminderde operationele complexiteit.

Kies het juiste factureringsmodel. Evalueer of op toezegging gebaseerde modellen voor computing de kosten optimaliseren op basis van de bedrijfsvereisten van de workload. Houd rekening met deze Azure opties:

• Azure reserveringen: Vooruitbetalen voor voorspelbare workloads om de kosten te verlagen in vergelijking met prijzen op basis van verbruik.

  Important

  Koop gereserveerde instanties om Azure kosten te verlagen voor workloads met stabiel gebruik. Beheer het gebruik om ervoor te zorgen dat u niet betaalt voor meer resources dan u gebruikt. Houd gereserveerde instanties eenvoudig en houd beheeroverhead laag om de kosten te verlagen.

• Besparingsplan: Als u een vast uurbedrag aan rekenservices wilt uitgeven voor een of drie jaar, kan dit plan de kosten verlagen.
• Azure Hybrid Benefit: Opslaan wanneer u uw on-premises VM's migreert naar Azure.

Gebruik bewaken. Continu gebruikspatronen bewaken en ongebruikte of onderbenutte VM's detecteren. Sluit voor die gevallen VM's af wanneer ze niet in gebruik zijn. Bewaking is een belangrijke benadering van Operational Excellence. Zie de aanbevelingen in Operational Excellence voor meer informatie.

Zoek naar manieren om te optimaliseren. Sommige strategieën omvatten het kiezen van de meest rendabele benadering tussen het verhogen van resources in een bestaand systeem of omhoog schalen en het toevoegen van meer exemplaren van dat systeem of uitschalen. U kunt de vraag offloaden door deze te distribueren naar andere resources of u kunt de vraag verminderen door prioriteitswachtrijen, gateway-offloading, buffering en snelheidsbeperking te implementeren. Zie de aanbevelingen in Prestatie-efficiëntie voor meer informatie.

Bewaak de VM-exemplaren. Verzamel logboeken en metrische gegevens van VM-exemplaren om het resourcegebruik te bewaken en de status van de exemplaren te meten. Enkele veelvoorkomende metrische gegevens zijn CPU-gebruik, aantal aanvragen en I/O-latentie (input/output). Stel Azure Monitor alerts in om op de hoogte te worden gesteld van problemen en om configuratiewijzigingen in uw omgeving te detecteren.

Controleer de status van de VM's en de bijbehorende afhankelijkheden.

• Implementeer bewakingsonderdelen om logboeken en metrische gegevens te verzamelen die een uitgebreide weergave geven van uw VM's, gastbesturingssystemen en diagnostische gegevens over opstarten. Virtual Machine Scale Sets verzamelen telemetrie, waardoor u gezondheidsmetingen kunt bekijken op het niveau van een afzonderlijke VM of als een geheel. Gebruik Azure Monitor om deze gegevens weer te geven voor elke VIRTUELE machine of samengevoegd op meerdere VM's. Zie Aanbevelingen voor het bewaken van agenten voor meer informatie.

• Profiteer van netwerkonderdelen die de status van VM's controleren. Azure Load Balancer bijvoorbeeld VM's pingt om beschadigde VM's te detecteren en verkeer dienovereenkomstig omleiden.

• Stel Azure Monitor waarschuwingsregels in. Bepaal belangrijke voorwaarden in uw bewakingsgegevens om problemen te identificeren en op te lossen voordat ze van invloed zijn op het systeem.

Maak een onderhoudsplan met regelmatige systeempatching als onderdeel van routinebewerkingen. Neem noodprocessen op die directe patchtoepassing mogelijk maken. U kunt aangepaste processen hebben om patching te beheren of de taak gedeeltelijk te delegeren aan Azure. Azure biedt functies voor afzonderlijke VM-onderhoud. U kunt onderhoudsvensters instellen om onderbrekingen tijdens updates te minimaliseren. Tijdens platformupdates zijn overwegingen voor foutdomeinen essentieel voor tolerantie. U wordt aangeraden ten minste twee exemplaren in een zone te implementeren. Twee VM's per zone garanderen minimaal één VM in elke zone, omdat er slechts één foutdomein in een zone tegelijk wordt bijgewerkt. Richt voor drie zones dus ten minste zes exemplaren in.

Automatiseer processen voor bootstrapping, het uitvoeren van scripts en het configureren van VM's. U kunt processen automatiseren met behulp van extensies of aangepaste scripts. De volgende opties worden aangeraden:

• De vm-extensie Key Vault vernieuwt automatisch certificaten die zijn opgeslagen in een key vault.

• De Azure Custom Script Extension voor Windows en Linux downloadt en voert scripts uit op Virtuele Machines. Gebruik deze extensie voor configuratie na implementatie, software-installatie of een andere configuratie- of beheertaak.

• Gebruik cloud-init om de opstartomgeving in te stellen voor linux-VM's.

Heb processen voor het installeren van automatische updates. Overweeg het gebruik van automatische VM-gastpatches voor een tijdige implementatie van kritieke patches en beveiligingspatches. Gebruik Azure Update Manager om besturingssysteemupdates te beheren voor uw Windows- en Linux-VM's in Azure.

Bouw een testomgeving die nauw overeenkomt met uw productieomgeving om updates en wijzigingen te testen voordat u deze implementeert in productie. Zorg ervoor dat er processen zijn om de beveiligingsupdates, prestatiebasislijnen en betrouwbaarheidsfouten te testen. Profiteer van Azure Chaos Studio foutbibliotheken om foutomstandigheden te injecteren en te simuleren. Zie Azure Chaos Studio fout- en actiebibliotheek voor meer informatie.

Beheer uw quotum. Plan welk quotum uw workload nodig heeft en controleer dit niveau regelmatig naarmate de workload zich ontwikkelt. Als u uw quotum wilt verhogen of verlagen, vraagt u deze wijzigingen vroeg aan.

Definieer prestatiedoelen. Identificeer metrische gegevens van vm's om prestatie-indicatoren bij te houden en te meten als reactietijd, CPU-gebruik en geheugengebruik, evenals metrische gegevens over workloads, zoals transacties per seconde, gelijktijdige gebruikers en beschikbaarheid en status.

Houd rekening met het prestatieprofiel van VM's, schaalsets en schijfconfiguratie in uw capaciteitsplanning. Elke SKU heeft een ander geheugen- en CPU-profiel en gedraagt zich anders, afhankelijk van het type workload. Voer piloten en proofs of concept uit om inzicht te hebben in het prestatiegedrag onder de specifieke workload.

Prestaties van vm's afstemmen. Profiteer van prestatieoptimalisatie en verbeter functies zoals vereist voor de workload. Gebruik bijvoorbeeld lokaal gekoppelde NVMe (Non-Volatile Memory Express) voor high performance use cases en versneld netwerken, en gebruik Premium SSD v2 voor betere prestaties en schaalbaarheid.

Neem rekening met de afhankelijke services. Workloadafhankelijkheden, zoals caching, netwerkverkeer en netwerken voor contentlevering, die communiceren met de VM's, kunnen van invloed zijn op de prestaties. Overweeg ook geografische distributie, zoals zones en regio's, die latentie kunnen toevoegen.

Verzamel prestatiegegevens. Volg de best practices voor Operational Excellence voor het bewaken en implementeren van de juiste extensies om metrische gegevens weer te geven die worden bijgehouden op basis van prestatie-indicatoren.

Nabijheidsplaatsingsgroepen. Gebruik nabijheidsplaatsingsgroepen in workloads waarbij lage latentie is vereist om ervoor te zorgen dat VM's zich fysiek dicht bij elkaar bevinden.