Perspective d’Azure Well-Architected Framework sur les Machines Virtuelles et les groupes identiques

Passez en revue Machines Virtuelles quotas et limites susceptibles de poser des restrictions de conception. Les machines virtuelles ont des limites et des quotas spécifiques, qui varient en fonction du type de machine virtuelle ou de la région. Il peut y avoir des restrictions d’abonnement, telles que le nombre de machines virtuelles par abonnement ou le nombre de cœurs par machine virtuelle. Si d’autres charges de travail partagent votre abonnement, votre capacité à consommer des données peut être réduite. Vérifiez les limites sur les machines virtuelles, les groupes de machines virtuelles identiques et les disques managés.

Effectuez une analyse du mode d’échec pour réduire les points de défaillance en analysant les interactions des machines virtuelles avec les composants réseau et de stockage. Choisissez des configurations telles que des disques de système d’exploitation éphémères pour localiser l’accès au disque et éviter les sauts réseau. Ajoutez un équilibreur de charge pour améliorer la conservation de soi en répartissant le trafic réseau sur plusieurs machines virtuelles, ce qui améliore la disponibilité et la fiabilité.

Calculez vos objectifs de niveau de service (SLO) composites en fonction des contrats de niveau de service (SLA) Azure. Assurez-vous que votre SLO n’est pas supérieur aux contrats SLA Azure pour éviter les attentes irréalistes et les problèmes potentiels.

Soyez conscient des complexités que les dépendances introduisent. Par exemple, certaines dépendances, comme les réseaux virtuels et les cartes d’interface réseau ,n’ont pas leurs propres contrats SLA. D’autres dépendances, telles qu’un disque de données associé, ont des contrats SLA qui s’intègrent aux contrats SLA de machine virtuelle. Vous devez tenir compte de ces variantes, car elles peuvent affecter les performances et la fiabilité des machines virtuelles.

Tenez compte des dépendances critiques des machines virtuelles sur des composants tels que les disques et les composants réseau. Si vous comprenez ces relations, vous pouvez déterminer les flux critiques qui affectent la fiabilité.

Créez une isolation d’état. Les données de charge de travail doivent se trouver sur un disque de données distinct pour éviter toute interférence avec le disque du système d’exploitation. En cas de défaillance d’une machine virtuelle, vous pouvez créer un disque de système d’exploitation avec le même disque de données, ce qui garantit la résilience et l’isolation des erreurs. Pour plus d’informations, consultez Disques de système d’exploitation éphémères.

Rendre les machines virtuelles et leurs dépendances redondantes entre les zones. En cas d’échec d’une machine virtuelle, la charge de travail doit continuer à fonctionner en raison de la redondance. Incluez des dépendances dans vos choix de redondance. Par exemple, utilisez les options de redondance intégrées disponibles avec les disques. Utilisez des adresses IP redondantes interzone pour garantir la disponibilité des données et une disponibilité élevée.

Soyez prêt à effectuer un scale-up et un scale-out pour empêcher la dégradation du niveau de service et éviter les défaillances. Virtual Machine Scale Sets disposent de fonctionnalités de mise à l’échelle automatique qui créent de nouvelles instances en fonction des besoins et répartissent la charge sur plusieurs machines virtuelles et zones de disponibilité.

Explorez les options de récupération automatique. Azure prend en charge la surveillance de la dégradation de l’intégrité et les fonctionnalités d’auto-réparation pour les machines virtuelles. Par exemple, les groupes identiques fournissent des réparations automatiques instance. Dans des scénarios plus avancés, l’autoréparation implique l’utilisation d’Azure Site Recovery, la mise en place d’une veille passive vers laquelle basculer ou le redéploiement à partir de l’infrastructure en tant que code (IaC). La méthode que vous choisissez doit s’aligner sur les exigences métier et les opérations de votre organisation. Pour plus d’informations, consultez Interruptions de service de machine virtuelle.

Droits des machines virtuelles et de leurs dépendances. Comprenez le travail attendu de votre machine virtuelle pour vous assurer qu’elle n’est pas sous-dimensionnée et qu’elle peut gérer la charge maximale. Disposer d’une capacité supplémentaire pour atténuer les défaillances.

Créez un plan de récupération d’urgence complet. La préparation aux catastrophes implique la création d’un plan complet et le choix d’une technologie de récupération.

Les dépendances et les composants avec état, tels que le stockage attaché, peuvent compliquer la récupération. Si les disques tombent en panne, cette défaillance affecte le fonctionnement de la machine virtuelle. Incluez un processus clair pour ces dépendances dans vos plans de récupération.

Exécutez des opérations avec rigueur. Les choix de conception de fiabilité doivent être pris en charge par des opérations efficaces basées sur les principes de surveillance, de test de résilience en production, de correctifs et de mises à niveau automatisés des machines virtuelles d’application, et de cohérence des déploiements. Pour obtenir des conseils opérationnels, consultez Excellence opérationnelle.

Passez en revue les bases de référence de sécurité pour les machines virtuellesLinux et Windows et les Virtual Machine Scale Sets.

Dans le cadre de vos choix technologiques de base, tenez compte des fonctionnalités de sécurité des références SKU de machine virtuelle qui prennent en charge votre charge de travail.

Garantir des mises à niveau et des mises à jour correctives de sécurité rapides et automatisées. Assurez-vous que les mises à jour sont automatiquement déployées et validées à l’aide d’un processus bien défini. Utilisez une solution comme Azure Automation pour gérer les mises à jour du système d’exploitation et maintenir la conformité de la sécurité en effectuant des mises à jour critiques.

Identifiez les machines virtuelles qui contiennent l’état. Assurez-vous que les données sont classées en fonction des étiquettes de confidentialité fournies par votre organization. Protégez les données à l’aide de contrôles de sécurité tels que les niveaux appropriés de chiffrement au repos et en transit. Si vous avez des exigences de haute sensibilité, envisagez d’utiliser des contrôles de haute sécurité tels que le double chiffrement et l’informatique confidentielle Azure pour protéger les données en cours d’utilisation.

Fournissez la segmentation des machines virtuelles et des groupes identiques en définissant des limites réseau et des contrôles d’accès. Placez les machines virtuelles dans des groupes de ressources qui partagent le même cycle de vie.

Appliquez des contrôles d’accès aux identités qui tentent d’atteindre les machines virtuelles, ainsi qu’aux machines virtuelles qui atteignent d’autres ressources. Utilisez Microsoft Entra ID pour les besoins d’authentification et d’autorisation. Mettez en place des mots de passe forts, l’authentification multifacteur et le contrôle d’accès en fonction du rôle (RBAC) pour vos machines virtuelles et leurs dépendances, telles que les secrets, afin de permettre aux identités autorisées d’effectuer uniquement les opérations attendues de leurs rôles.

Limitez l’accès aux ressources en fonction des conditions en utilisant Microsoft Entra l’accès conditionnel. Définissez les stratégies conditionnelles en fonction de la durée et de l’ensemble minimal d’autorisations requises.

Utilisez des contrôles réseau pour limiter le trafic d’entrée et de sortie. Isolez les machines virtuelles et les groupes identiques dans Azure Réseau virtuel et définissez des groupes de sécurité réseau pour filtrer le trafic. Protégez-vous contre les attaques par déni de service distribué (DDoS). Utilisez des équilibreurs de charge et des règles de pare-feu pour vous protéger contre le trafic malveillant et les attaques d’exfiltration de données.

Utilisez Azure Bastion pour fournir une connectivité sécurisée aux machines virtuelles pour un accès opérationnel.

La communication entre les machines virtuelles et les solutions PaaS (Platform as a Service) doit se faire sur des points de terminaison privés.

Réduisez la surface d’attaque en durcissant les images du système d’exploitation et en supprimant les composants inutilisés. Utilisez des images plus petites et supprimez les fichiers binaires qui ne sont pas nécessaires pour exécuter la charge de travail. Renforcez les configurations de machine virtuelle en supprimant les fonctionnalités, telles que les comptes et les ports par défaut, dont vous n’avez pas besoin.

Protégez les secrets tels que les certificats dont vous avez besoin pour protéger les données en transit. Envisagez d’utiliser l’extension Azure Key Vault pour Windows ou Linux qui actualise automatiquement les certificats stockés dans un coffre de clés. Lorsqu’elle détecte une modification dans les certificats, l’extension récupère et installe les certificats correspondants.

Détection de menaces. Surveillez les machines virtuelles à la recherche de menaces et de configurations incorrectes. Utilisez Defender pour les serveurs pour capturer les modifications apportées aux machines virtuelles et au système d’exploitation, et tenir à jour une piste d’audit de l’accès, des nouveaux comptes et des modifications d’autorisations.

Prévention des menaces. Protégez-vous contre les attaques de programmes malveillants et les acteurs malveillants en implémentant des contrôles de sécurité tels que des pare-feu, des logiciels antivirus et des systèmes de détection des intrusions. Déterminez si un environnement d’exécution approuvé (TEE) est requis.

Estimer les coûts réalistes. Utilisez la calculatrice de prix pour estimer les coûts de vos machines virtuelles. Identifiez la machine virtuelle la mieux adaptée à votre charge de travail à l’aide du sélecteur de machine virtuelle. Pour plus d’informations, consultez Tarification Linux et Windows .

Implémenter des garde-fous de coût. Utilisez des stratégies de gouvernance pour restreindre les types de ressources, les configurations et les emplacements. Utilisez RBAC pour bloquer les actions susceptibles d’entraîner des dépenses excessives.

Choisissez les ressources appropriées. Votre sélection de tailles de plan de machine virtuelle et de références SKU affecte directement le coût global. Choisissez des machines virtuelles en fonction des caractéristiques de charge de travail. La charge de travail est-elle gourmande en processeur ou exécute-t-elle des processus interruptibles ? Chaque référence SKU a des options de disque associées qui affectent le coût global.

Choisissez les fonctionnalités appropriées pour les ressources dépendantes. Économisez sur les coûts de stockage de sauvegarde pour le niveau standard du coffre en utilisant Sauvegarde Azure stockage avec une capacité réservée. Il offre une remise lorsque vous vous engagez sur une réservation pour un an ou trois ans.

Le niveau archive dans Stockage Azure est un niveau hors connexion optimisé pour le stockage des données d’objets blob rarement accessibles. Le niveau archive offre les coûts de stockage les plus bas, mais des coûts de récupération des données et une latence plus élevés par rapport aux niveaux chaud et froid en ligne.

Envisagez d’utiliser la récupération d’urgence de zone à zone pour que les machines virtuelles récupèrent après une défaillance de site tout en réduisant la complexité de la disponibilité à l’aide de services redondants interzone. Une complexité opérationnelle réduite peut avoir des avantages en matière de coûts.

Choisissez le modèle de facturation approprié. Évaluez si les modèles basés sur l’engagement pour le calcul optimisent les coûts en fonction des exigences métier de la charge de travail. Tenez compte des options Azure suivantes :

• Réservations Azure : prépayez les charges de travail prévisibles afin de réduire les coûts par rapport à la tarification basée sur la consommation.

  Important

  Achetez des instances réservées pour réduire les coûts Azure pour les charges de travail qui ont une utilisation stable. Gérez l’utilisation pour vous assurer que vous ne payez pas pour plus de ressources que vous n’utilisez. Conservez la simplicité des instances réservées et réduisez la charge de gestion pour réduire les coûts.

• Plan d’économies : si vous vous engagez à dépenser un montant horaire fixe sur les services de calcul pendant un ou trois ans, ce plan peut réduire les coûts.
• Azure Hybrid Benefit : Enregistrez lorsque vous migrez vos machines virtuelles locales vers Azure.

Surveiller l’utilisation. Surveillez en permanence les modèles d’utilisation et détectez les machines virtuelles inutilisées ou sous-utilisées. Pour ces instances, arrêtez les instances de machine virtuelle lorsqu’elles ne sont pas utilisées. Le monitoring est une approche clé de l’excellence opérationnelle. Pour plus d’informations, consultez les recommandations dans Excellence opérationnelle.

Recherchez des moyens d’optimiser. Certaines stratégies incluent le choix de l’approche la plus économique entre l’augmentation des ressources dans un système existant, ou la montée en puissance, et l’ajout d’instances supplémentaires de ce système, ou le scale-out. Vous pouvez décharger la demande en la distribuant à d’autres ressources, ou vous pouvez réduire la demande en implémentant des files d’attente prioritaires, le déchargement de passerelle, la mise en mémoire tampon et la limitation du débit. Pour plus d’informations, consultez les recommandations dans Efficacité des performances.

Surveillez les instances de machine virtuelle. Collectez les journaux et les métriques des instances de machine virtuelle pour surveiller l’utilisation des ressources et mesurer l’intégrité des instances. Certaines métriques courantes incluent l’utilisation du processeur, le nombre de requêtes et la latence d’entrée/sortie (E/S). Configurez des alertes Azure Monitor pour être informé des problèmes et détecter les modifications de configuration dans votre environnement.

Surveillez l’intégrité des machines virtuelles et de leurs dépendances.

• Déployez des composants de supervision pour collecter des journaux et des métriques qui donnent une vue complète de vos machines virtuelles, de votre système d’exploitation invité et de vos données de démarrage diagnostics. Virtual Machine Scale Sets cumuler les données de télémétrie, ce qui vous permet d’afficher les métriques d’intégrité au niveau d’une machine virtuelle individuelle ou en tant qu’agrégat. Utilisez Azure Monitor pour afficher ces données par machine virtuelle ou agrégées sur plusieurs machines virtuelles. Pour plus d’informations, consultez Recommandations sur l’analyse des agents.
• Tirez parti des composants réseau qui case activée la status d’intégrité des machines virtuelles. Par exemple, Azure Load Balancer effectue un test ping sur les machines virtuelles pour détecter les machines virtuelles défectueuses et rediriger le trafic en conséquence.
• Configurez les règles d’alerte Azure Monitor. Déterminez les conditions importantes dans vos données de surveillance pour identifier et résoudre les problèmes avant qu’ils n’affectent le système.

Créez un plan de maintenance qui inclut une mise à jour corrective régulière du système dans le cadre des opérations de routine. Incluez les processus d’urgence qui permettent une application corrective immédiate. Vous pouvez avoir des processus personnalisés pour gérer la mise à jour corrective ou déléguer partiellement la tâche à Azure. Azure fournit des fonctionnalités pour la maintenance individuelle des machines virtuelles. Vous pouvez configurer des fenêtres de maintenance pour réduire les interruptions pendant les mises à jour. Lors des mises à jour de la plateforme, les considérations relatives au domaine d’erreur sont essentielles pour la résilience. Nous vous recommandons de déployer au moins deux instances dans une zone. Deux machines virtuelles par zone garantissent au moins une machine virtuelle dans chaque zone, car un seul domaine d’erreur dans une zone est mis à jour à la fois. Ainsi, pour trois zones, approvisionnez au moins six instances.

Automatisez les processus de démarrage, d’exécution de scripts et de configuration de machines virtuelles. Vous pouvez automatiser des processus à l’aide d’extensions ou de scripts personnalisés. Nous vous recommandons d’utiliser les options suivantes :

• L’extension de machine virtuelle Key Vault actualise automatiquement les certificats stockés dans un coffre de clés.

• L’extension de script personnalisé Azure pour Windows et Linux télécharge et exécute des scripts sur Machines Virtuelles. Utilisez cette extension pour la configuration post-déploiement, l’installation de logiciels ou toute autre tâche de configuration ou de gestion.

• Utilisez cloud-init pour configurer l’environnement de démarrage pour les machines virtuelles Linux.

Avoir des processus d’installation des mises à jour automatiques. Envisagez d’utiliser la mise à jour corrective automatique des invités de machine virtuelle pour un déploiement rapide des correctifs critiques et des correctifs de sécurité. Utilisez Update Management dans Azure Automation pour gérer les mises à jour du système d’exploitation pour vos machines virtuelles Windows et Linux dans Azure.

Créez un environnement de test qui correspond étroitement à votre environnement de production pour tester les mises à jour et les modifications avant de les déployer en production. Mettez en place des processus pour tester les mises à jour de sécurité, les bases de référence de performances et les erreurs de fiabilité. Tirez parti des bibliothèques d’erreurs Azure Chaos Studio pour injecter et simuler des conditions d’erreur. Pour plus d’informations, consultez Bibliothèque d’erreurs et d’actions Azure Chaos Studio.

Gérez votre quota. Planifiez le niveau de quota requis par votre charge de travail et examinez ce niveau régulièrement à mesure que la charge de travail évolue. Si vous devez augmenter ou diminuer votre quota, demandez ces modifications tôt.

Définissez des objectifs de performances. Identifiez les métriques de machine virtuelle pour suivre et mesurer les indicateurs de performances tels que le temps de réponse, l’utilisation du processeur et l’utilisation de la mémoire, ainsi que les métriques de charge de travail telles que les transactions par seconde, les utilisateurs simultanés et la disponibilité et l’intégrité.

Tenez compte du profil de performances des machines virtuelles, des groupes identiques et de la configuration de disque dans votre planification de capacité. Chaque référence SKU a un profil de mémoire et de processeur différent et se comporte différemment en fonction du type de charge de travail. Effectuez des pilotes et des preuves de concept pour comprendre le comportement des performances dans le cadre de la charge de travail spécifique.

Optimisation des performances des machines virtuelles. Tirez parti de l’optimisation des performances et de l’amélioration des fonctionnalités requises par la charge de travail. Par exemple, utilisez une mémoire express non volatile (NVMe) attachée localement pour des cas d’usage hautes performances et une mise en réseau accélérée, et utilisez SSD Premium v2 pour améliorer les performances et la scalabilité.

Prenez en compte les services dépendants. Les dépendances de charge de travail, telles que la mise en cache, le trafic réseau et les réseaux de distribution de contenu, qui interagissent avec les machines virtuelles peuvent affecter les performances. Tenez également compte de la distribution géographique, comme les zones et les régions, qui peut ajouter une latence.

Collecter des données de performances. Suivez les meilleures pratiques d’excellence opérationnelle pour la surveillance et le déploiement des extensions appropriées pour afficher les métriques qui effectuent un suivi par rapport aux indicateurs de performance.

Groupes de placement de proximité. Utilisez des groupes de placement de proximité dans les charges de travail où une faible latence est requise pour garantir que les machines virtuelles sont physiquement situées à proximité les unes des autres.