Bästa praxis för arkitektur för Azure Virtual Machines och skalningsuppsättningar

Review Virtual Machines kvoter och gränser som kan innebära designbegränsningar. Virtuella datorer har specifika gränser och kvoter, som varierar beroende på typ av virtuell dator eller region. Det kan finnas prenumerationsbegränsningar, till exempel antalet virtuella datorer per prenumeration eller antalet kärnor per virtuell dator. Om andra arbetsbelastningar delar din prenumeration kan din möjlighet att använda data minskas. Kontrollera gränserna för VM, VM-skalningsuppsättningar och hanterade diskar.

Utför en fellägesanalys för att minimera felpunkter genom att analysera VM-interaktioner med nätverks- och lagringskomponenterna. Välj konfigurationer som tillfälliga operativsystemdiskar (OS) för att lokalisera diskåtkomst och undvika nätverkshopp. Lägg till en lastbalanserare för att förbättra självbevarandet genom att distribuera nätverkstrafik över flera virtuella datorer, vilket förbättrar tillgängligheten och tillförlitligheten.

Beräkna dina sammansatta servicenivåmål (SLO) baserat på Azure serviceavtal (SLA). Se till att din SLO inte är högre än Azure serviceavtal för att undvika orealistiska förväntningar och potentiella problem.

Tänk på de komplexiteter som beroenden medför. Vissa beroenden, till exempel virtuella nätverk och nätverkskort ,har till exempel inte egna serviceavtal. Andra beroenden, till exempel en associerad datadisk, har serviceavtal som integreras med vm-serviceavtal. Du bör överväga dessa variationer eftersom de kan påverka vm-prestanda och tillförlitlighet.

Ta hänsyn till de kritiska beroendena för virtuella datorer på komponenter som diskar och nätverkskomponenter. Om du förstår dessa relationer kan du fastställa de kritiska flöden som påverkar tillförlitligheten.

Skapa tillståndsisolering. Arbetsbelastningsdata ska finnas på en separat datadisk för att förhindra interferens med OS-disken. Om en virtuell dator misslyckas kan du skapa en ny OS-disk med samma datadisk, vilket säkerställer motståndskraft och felisolering. Mer information finns i Tillfälliga OS-diskar.

Gör virtuella datorer och deras beroenden redundanta mellan zoner. Om en virtuell dator misslyckas bör arbetsbelastningen fortsätta att fungera på grund av redundans. Inkludera beroenden i dina redundansval. Använd till exempel de inbyggda redundansalternativen som är tillgängliga med diskar. Använd zonredundanta IP-adresser för att säkerställa datatillgänglighet och hög drifttid.

Undvik arbetsbelastningsdesign som är beroende av en enskild virtuell dator, eftersom den virtuella datorn inte kommer att vara motståndskraftig mot planerade eller oplanerade underhålls- eller tillförlitlighetshändelser.

Var redo att skala upp och skala ut för att förhindra försämring på tjänstnivå och för att undvika fel. Virtual Machine Scale Sets har funktioner för autoskalning som skapar nya instanser efter behov och distribuerar belastningen över flera virtuella datorer och tillgänglighetszoner.

Utforska alternativen för automatisk återställning. Azure stöder övervakning av hälsoförsämring och självåterställningsfunktioner för virtuella datorer. Skalningsuppsättningar ger till exempel automatiska instansreparationer. I mer avancerade scenarier innebär självåterställning att använda Azure Site Recovery, att ha ett passivt vänteläge att växla över till eller omdistribuera från infrastruktur som kod (IaC). Den metod som du väljer bör överensstämma med affärskraven, organisationens åtgärder och stödja din förmåga att utföra återställningstest. Mer information finns i Avbrott i VM-tjänsten.

Optimera storleken på de virtuella datorerna och deras beroenden. Förstå den virtuella datorns förväntade arbete för att säkerställa att den inte är undersedd och kan hantera den maximala belastningen. Ha extra kapacitet för att undvika fel.

Se till att alltid påslagna virtuella datorer förblir i drift. Virtual Machines i Azure kan stängas av, vilket är ett distinkt tillstånd än resursen som tas bort. För virtuella datorer som är utformade för att fortsätta köras använder du ett ReadOnlyresurslås för att förhindra oavsiktligt stopp av den virtuella datorn. Detta förhindrar inte att operativsystemet startas om om det behövs för uppdateringar, men förhindrar ett operatörsfel via Azure-portalen eller CLI.

Skapa en omfattande plan för haveriberedskap. Katastrofberedskap handlar om att skapa en omfattande plan och besluta om en teknik för återställning.

Beroenden och tillståndskänsliga komponenter, till exempel ansluten lagring, kan komplicera återställningen. Om diskarna slutar fungera påverkar det felet den virtuella datorns funktion. Inkludera en tydlig process för dessa beroenden i dina återställningsplaner.

Distribuera program mellan virtuella datorer I en N-nivå arbetsbelastning ska du till exempel inte placera program eller lagringstjänster från olika nivåer på samma virtuella datorer, utan kör i stället varje nivå på olika virtuella datorer. Utforma din arbetsbelastning med ett enda ansvarshuvudnamn i åtanke, vilket gör att du kan justera tillförlitlighetsegenskaperna och återställningsstrategin per VM-gruppering.

Utför operationer med noggrannhet. Val av tillförlitlighetsdesign måste stödjas av effektiva åtgärder baserat på principerna för övervakning, återhämtningstestning i produktion, automatiserade program-VM-korrigeringar och uppgraderingar samt konsekvens i distributioner. Driftsvägledning finns i Operational Excellence (Driftskompetens).

Visa säkerhetsbaslinjerna för Linux och Windows virtuella datorer och Virtual Machine Scale Sets.

Som en del av dina alternativ för baslinjeteknik bör du överväga säkerhetsfunktionerna för de VM-SKU:er som stöder din arbetsbelastning.

Se till att säkerhetskorrigeringar i tid och uppgraderingar automatiseras. Kontrollera att uppdateringarna distribueras och verifieras automatiskt med hjälp av en väldefinierad process. Använd en lösning som Azure Automation för att hantera OS-uppdateringar och upprätthålla säkerhetsefterlevnad genom att göra kritiska uppdateringar.

Identifiera de virtuella datorer som har status. Kontrollera att data klassificeras enligt de känslighetsetiketter som din organisation tillhandahåller. Skydda data med hjälp av säkerhetskontroller som lämpliga nivåer av vilande kryptering och kryptering under överföring. Om du har höga känslighetskrav kan du överväga att använda högsäkerhetskontroller som dubbel kryptering och Azure konfidentiell databehandling för att skydda data som används.

Ange segmentering till de virtuella datorerna och skalningsuppsättningarna genom att ange nätverksgränser och åtkomstkontroller. Placera virtuella datorer i resursgrupper som delar samma livscykel.

Tillämpa åtkomstkontroller på de identiteter som försöker nå de virtuella datorerna och även för de virtuella datorer som når andra resurser. Använd Microsoft Entra ID för autentiserings- och auktoriseringsbehov. Placera starka lösenord, multifaktorautentisering och rollbaserad åtkomstkontroll (RBAC) på plats för dina virtuella datorer och deras beroenden, till exempel hemligheter, för att tillåta tillåtna identiteter att endast utföra de åtgärder som förväntas av deras roller.

Begränsa resursåtkomst baserat på villkor med hjälp av Villkorsstyrd åtkomst i Microsoft Entra. Definiera de villkorsstyrda principerna baserat på varaktighet och den minsta uppsättningen nödvändiga behörigheter.

Använd nätverkskontroller för att begränsa inkommande och utgående trafik. Isolera virtuella datorer och skalningsuppsättningar i Azure Virtual Network och definiera nätverkssäkerhetsgrupper för att filtrera trafik. Skydda mot DDoS-attacker (Distributed Denial of Service). Använd lastbalanserare och brandväggsregler för att skydda mot skadliga trafik- och dataexfiltreringsattacker.

Använd Azure Bastion för att tillhandahålla säkrare anslutning till de virtuella datorerna för driftåtkomst.

Kommunikation till och från de virtuella datorerna till PaaS-lösningar (plattform som en tjänst) bör finnas över privata slutpunkter.

Minska attackytan genom att härda OS-avbildningar och ta bort oanvända komponenter. Använd mindre bilder och ta bort binärfiler som inte behövs för att köra arbetsbelastningen. Skärpa konfigurationerna för virtuella datorer genom att ta bort funktioner, till exempel standardkonton och portar, som du inte behöver.

Skydda hemligheter som de certifikat som du behöver för att skydda data under överföring. Överväg att använda Azure Key Vault-tillägget för Windows eller Linux som automatiskt uppdaterar certifikaten som lagras i ett nyckelvalv. När den identifierar en ändring i certifikaten hämtar och installerar tillägget motsvarande certifikat.

Hotdetektering Övervaka virtuella datorer efter hot och felkonfigurationer. Använd Defender för servrar för att samla in ändringar i virtuella datorer och operativsystem och upprätthålla en spårningslogg med åtkomst, nya konton och ändringar i behörigheter.

Hotförebyggande Skydda mot attacker mot skadlig kod och skadliga aktörer genom att implementera säkerhetskontroller som brandväggar, antivirusprogram och intrångsidentifieringssystem. Avgör om en betrodd körningsmiljö (TEE) krävs.

Beräkna realistiska kostnader. Använd priskalkylatorn för att beräkna kostnaderna för dina virtuella datorer. Identifiera den bästa virtuella datorn för din arbetsbelastning med hjälp av VM-väljaren. Mer information finns i prissättningen Linux och Windows.

Implementera kostnadsskyddsmekanismer. Använd styrningsprinciper för att begränsa resurstyper, konfigurationer och platser. Använd RBAC för att blockera åtgärder som kan leda till överförbrukning.

Välj rätt resurser. Ditt val av VM-planstorlekar och SKU:er påverkar direkt den totala kostnaden. Välj virtuella datorer baserat på arbetsbelastningsegenskaper. Är arbetsbelastningen processorintensiv eller kör den avbrottsbara processer? Varje SKU har associerade diskalternativ som påverkar den totala kostnaden.

Välj rätt funktioner för beroende resurser. Spara på kostnader för säkerhetskopieringslagring i standardnivån för valvet genom att använda Azure Backup med reserverad kapacitet. Du får rabatt när du binder dig till en reservation på antingen ett år eller tre år.

Arkivnivån i Azure Storage är en offlinenivå som är optimerad för lagring av blobdata som sällan används. Arkivnivån erbjuder de lägsta lagringskostnaderna men högre kostnader för datahämtning och svarstid jämfört med de frekventa och lågfrekventa onlinenivåerna.

Överväg att använda zon-till-zon-haveriberedskap för virtuella datorer för att återställa från platsfel samtidigt som du minskar tillgänglighetens komplexitet med hjälp av zonredundanta tjänster. Det kan finnas kostnadsfördelar med minskad driftskomplexitet.

Välj rätt faktureringsmodell. Utvärdera om åtagandebaserade modeller för databehandling optimerar kostnaderna baserat på arbetsbelastningens affärsbehov. Tänk på följande Azure alternativ:

• Azure reservationer: Förskottsbetala för förutsägbara arbetsbelastningar för att minska kostnaderna jämfört med förbrukningsbaserad prissättning.

  Important

  Köp reserverade instanser för att minska Azure kostnader för arbetsbelastningar som har stabil användning. Hantera användning för att se till att du inte betalar för fler resurser än du använder. Håll reserverade instanser enkla och håll hanteringskostnaderna låga för att minska kostnaderna.

• Sparplan: Om du åtar dig att spendera ett fast timbelopp på beräkningstjänster i ett eller tre år kan den här planen minska kostnaderna.
• Azure Hybrid Benefit: Spara när du migrerar dina lokala virtuella datorer till Azure.

Övervaka användning. Övervaka användningsmönster kontinuerligt och identifiera oanvända eller underutnyttjade virtuella datorer. För dessa instanser stänger du av virtuella datorinstanser när de inte används. Övervakning är en viktig metod för driftskvalitet. Mer information finns i rekommendationerna i Operational Excellence.

Leta efter sätt att optimera. Vissa strategier omfattar att välja den mest kostnadseffektiva metoden mellan att öka resurser i ett befintligt system eller skala upp och lägga till fler instanser av systemet eller skala ut. Du kan avlasta efterfrågan genom att distribuera den till andra resurser, eller så kan du minska efterfrågan genom att implementera prioritetsköer, gateway-avlastning, buffring och hastighetsbegränsning. Mer information finns i rekommendationerna i Prestandaeffektivitet.

Övervaka de virtuella datorinstanserna. Samla in loggar och mått från VM-instanser för att övervaka resursanvändningen och mäta hälsotillståndet för instanserna. Några vanliga mått är CPU-användning, antal begäranden och svarstid för indata/utdata (I/O). Konfigurera Azure Monitor alerts som ska meddelas om problem och identifiera konfigurationsändringar i din miljö.

Övervaka hälsotillståndet för de virtuella datorerna och deras beroenden.

• Distribuera övervakningskomponenter för att samla in loggar och mått som ger en omfattande vy över dina virtuella datorer, gästoperativsystem och startdiagnostikdata. Virtual Machine Scale Sets sammanställer telemetri, vilket gör att du kan visa hälsomått på en enskild virtuell maskin-nivå eller som en helhet. Använd Azure Monitor för att visa dessa data för varje virtuell dator eller aggregerade över flera virtuella datorer. Mer information finns i Rekommendationer för övervakningsagenter.

• Dra nytta av nätverkskomponenter som kontrollerar hälsotillståndet för virtuella datorer. Till exempel pingar Azure Load Balancer virtuella datorer för att identifiera felaktiga virtuella datorer och omdirigera trafik därefter.

• Konfigurera Azure Monitor aviseringsregler. Fastställa viktiga villkor i dina övervakningsdata för att identifiera och åtgärda problem innan de påverkar systemet.

Skapa en underhållsplan som innehåller regelbunden systemkorrigering som en del av rutinåtgärder. Inkludera nödsituationsprocesser som gör det möjligt att omedelbart korrigera program. Du kan ha anpassade processer för att hantera korrigeringar eller delvis delegera uppgiften till Azure. Azure innehåller funktioner för individuellt VM-underhåll. Du kan konfigurera underhållsperioder för att minimera störningar under uppdateringar. Under plattformsuppdateringar är överväganden för feldomäner nyckeln till motståndskraft. Vi rekommenderar att du distribuerar minst två instanser i en zon. Två virtuella datorer per zon garanterar minst en virtuell dator i varje zon eftersom endast en feldomän i en zon uppdateras i taget. För tre zoner etablerar du därför minst sex instanser.

Automatisera processer för bootstrapping, köra skript och konfigurera virtuella datorer. Du kan automatisera processer med hjälp av tillägg eller anpassade skript. Vi rekommenderar följande alternativ:

• Key Vault VM-tillägget uppdaterar automatiskt certifikat som lagras i en key vault.

• Tillägget Azure anpassat skript för Windows och Linux laddar ned och kör skript på Virtual Machines. Använd det här tillägget för konfiguration efter distribution, programvaruinstallation eller någon annan konfigurations- eller hanteringsuppgift.

• Använd cloud-init för att konfigurera startmiljön för Linux-baserade virtuella datorer.

Ha processer för att installera automatiska uppdateringar. Överväg att använda automatisk vm-gästkorrigering för en snabb distribution av kritiska korrigeringar och säkerhetskorrigeringar. Använd Azure uppdateringshanterare för att hantera os-uppdateringar för dina Windows och virtuella Linux-datorer i Azure.

Skapa en testmiljö som matchar produktionsmiljön för att testa uppdateringar och ändringar innan du distribuerar dem till produktion. Ha processer på plats för att testa säkerhetsuppdateringar, prestandabaslinjer och tillförlitlighetsfel. Dra nytta av Azure Chaos Studio felbibliotek för att mata in och simulera feltillstånd. Mer information finns i Azure Chaos Studio fel- och åtgärdsbibliotek.

Hantera din kvot. Planera vilken kvotnivå din arbetsbelastning kräver och granska den nivån regelbundet när arbetsbelastningen utvecklas. Om du behöver öka eller minska din kvot kan du begära ändringarna tidigt.

Definiera prestandamål. Identifiera VM-mått för att spåra och mäta mot prestandaindikatorer som svarstid, CPU-användning och minnesanvändning, samt arbetsbelastningsmått som transaktioner per sekund, samtidiga användare samt tillgänglighet och hälsa.

Ta hänsyn till prestandaprofilen för virtuella datorer, skalningsuppsättningar och diskkonfiguration i kapacitetsplaneringen. Varje SKU har en annan profil av minne och CPU och fungerar olika beroende på typ av arbetsbelastning. Utför piloter och konceptbevis för att förstå prestandabeteendet under den specifika arbetsbelastningen.

Prestandajustering för virtuella datorer. Dra nytta av prestandaoptimering och förbättra funktioner som krävs av arbetsbelastningen. Använd till exempel lokalt anslutna NvMe (Non-Volatile Memory Express) för användningsfall med höga prestanda och accelererat nätverk, och använd Premium SSD v2 för bättre prestanda och skalbarhet.

Ta hänsyn till de beroende tjänsterna. Arbetsbelastningsberoenden, till exempel cachelagring, nätverkstrafik och nätverk för innehållsleverans, som interagerar med de virtuella datorerna kan påverka prestanda. Tänk också på geografisk fördelning, till exempel zoner och regioner, vilket kan ge svarstid.

Samla in prestanda data. Följ metodtipsen för operational excellence för övervakning och distribuera lämpliga tillägg för att visa mått som spårar mot prestandaindikatorer.

Närhetsplaceringsgrupper. Använd närhetsplaceringsgrupper i arbetsbelastningar där låg svarstid krävs för att säkerställa att virtuella datorer finns fysiskt nära varandra.