Prospettiva di Azure Well-Architected Framework su Archiviazione BLOB di Azure

Usare l'analisi della modalità di errore: ridurre al minimo i punti di errore considerando le dipendenze interne, ad esempio la disponibilità di reti virtuali, Azure Key Vault o gli endpoint di Azure rete per la distribuzione di contenuti o Frontdoor di Azure. Gli errori possono verificarsi se le credenziali richieste dai carichi di lavoro per accedere al BLOB Archiviazione non sono presenti nell'insieme di credenziali delle chiavi o se i carichi di lavoro usano un endpoint basato su una rete per la distribuzione di contenuti rimossa. In questi casi, i carichi di lavoro potrebbero dover usare un endpoint alternativo per connettersi. Per informazioni generali sull'analisi della modalità di errore, vedere Consigli per l'esecuzione dell'analisi della modalità di errore.

Definire obiettivi di affidabilità e ripristino: esaminare i contratti di servizio di Azure. Derivare l'obiettivo del livello di servizio (SLO) per l'account di archiviazione. Ad esempio, l'SLO potrebbe essere interessato dalla configurazione di ridondanza scelta. Prendere in considerazione l'effetto di un'interruzione a livello di area, la potenziale perdita di dati e il tempo necessario per ripristinare l'accesso dopo un'interruzione. Considerare anche la disponibilità di eventuali dipendenze interne identificate come parte dell'analisi della modalità di errore.

Configurare la ridondanza dei dati: per la durabilità massima, scegliere una configurazione che copia i dati tra zone di disponibilità o aree globali. Per la disponibilità massima, scegliere una configurazione che consenta ai client di leggere i dati dall'area secondaria durante un'interruzione dell'area primaria.

Progettare applicazioni: progettare applicazioni per passare facilmente alla lettura dei dati dall'area secondaria se l'area primaria non è più disponibile per qualsiasi motivo. Questo vale solo per le configurazioni di archiviazione con ridondanza geografica e archiviazione con ridondanza geografica della zona.This only applies to geo-redundant storage (GRS) and geo-zone-redundant storage (GZRS) configurations. La progettazione di applicazioni per gestire le interruzioni riduce i tempi di inattività per gli utenti finali.

Esplorare le funzionalità per soddisfare le destinazioni di ripristino: rendere i BLOB ripristinabili in modo che possano essere ripristinati se sono danneggiati, modificati o eliminati per errore.

Creare un piano di ripristino: prendere in considerazione le funzionalità di protezione dei dati, le operazioni di backup e ripristino o le procedure di failover. Prepararsi per potenziali perdite di dati e incoerenze dei dati e il tempo e il costo del failover. Per altre informazioni, vedere Consigli per la progettazione di una strategia di ripristino di emergenza.

Monitorare i potenziali problemi di disponibilità: sottoscrivere il dashboard integrità dei servizi di Azure per monitorare i potenziali problemi di disponibilità. Usare le metriche di archiviazione in Monitoraggio di Azure e nei log di diagnostica per analizzare gli avvisi.

Esaminare la baseline di sicurezza per Archiviazione di Azure: per iniziare, esaminare prima di tutto la baseline di sicurezza per Archiviazione.

Usare i controlli di rete per limitare il traffico in ingresso e in uscita: disabilitare tutto il traffico pubblico per l'account di archiviazione. Usare i controlli di rete dell'account per concedere il livello minimo di accesso richiesto da utenti e applicazioni. Per altre informazioni, vedere Come affrontare la sicurezza di rete per l'account di archiviazione.

Ridurre la superficie di attacco: impedire l'accesso anonimo, l'accesso alla chiave dell'account o l'accesso tramite connessioni HTTP non sicure può ridurre la superficie di attacco. Richiedere ai client di inviare e ricevere dati usando la versione più recente del protocollo TLS (Transport Layer Security).

Autorizzare l'accesso senza usare password o chiavi: Microsoft Entra ID offre maggiore sicurezza e facilità d'uso rispetto alle chiavi condivise e alle firme di accesso condiviso. Concedere alle entità di sicurezza solo le autorizzazioni necessarie per eseguire le attività.

Proteggere le informazioni riservate: proteggere informazioni riservate, ad esempio chiavi dell'account e token di firma di accesso condiviso. Anche se queste forme di autorizzazione in genere non sono consigliate, è consigliabile assicurarsi di ruotare, scadere e archiviarle in modo sicuro.

Abilitare l'opzione trasferimento sicuro obbligatorio: l'abilitazione di questa impostazione per tutti gli account di archiviazione garantisce che tutte le richieste effettuate sull'account di archiviazione debbano essere eseguite tramite connessioni sicure. Tutte le richieste effettuate su HTTP hanno esito negativo.

Proteggere gli oggetti critici: applicare criteri di immutabilità per proteggere gli oggetti critici. I criteri proteggono i BLOB archiviati per scopi legali, di conformità o di altro tipo da modificare o eliminare. Configurare i blocchi per i periodi di tempo impostati o fino a quando le restrizioni non vengono revocate da un amministratore.

Rilevare le minacce: abilitare Microsoft Defender per Archiviazione per rilevare le minacce. Gli avvisi di sicurezza vengono attivati quando si verifica un'anomalia nell'attività. Gli avvisi notificano agli amministratori delle sottoscrizioni tramite posta elettronica i dettagli delle attività sospette e le raccomandazioni su come analizzare e correggere le minacce.

Identificare i contatori usati per calcolare la fattura: i contatori vengono usati per tenere traccia della quantità di dati archiviati nell'account (capacità dati) e il numero e il tipo di operazioni eseguite per scrivere e leggere i dati. Esistono anche contatori associati all'uso di funzionalità facoltative, ad esempio tag di indice BLOB, inventario BLOB, supporto feed di modifiche, ambiti di crittografia e supporto SFTP (SSH File Transfer Protocol). Per altre informazioni, vedere Come vengono addebitati i costi per Archiviazione BLOB.

Informazioni sul prezzo di ogni contatore: assicurarsi di usare la pagina dei prezzi appropriata e di applicare le impostazioni appropriate in tale pagina. Per altre informazioni, vedere Ricerca del prezzo unitario per ogni contatore. Prendere in considerazione il numero di operazioni associate a ogni prezzo. Ad esempio, il prezzo associato alle operazioni di scrittura e lettura si applica a 10.000 operazioni. Per determinare il prezzo di una singola operazione, dividere il prezzo elencato per 10.000.

Stimare il costo della capacità e delle operazioni: è possibile modellare i costi associati all'archiviazione dei dati, all'ingresso e all'uscita usando il calcolatore prezzi di Azure. Usare i campi per confrontare il costo associato a varie aree, tipi di account, tipi di spazio dei nomi e configurazioni di ridondanza. Per determinati scenari, è possibile usare calcoli di esempio e fogli di lavoro disponibili nella documentazione Microsoft. Ad esempio, è possibile stimare il costo dell'archiviazione dei dati o stimare il costo dell'uso del comando AzCopy per trasferire i BLOB.

Scegliere un modello di fatturazione per la capacità: valutare se l'uso di un modello basato sull'impegno è più conveniente rispetto all'uso di un modello basato sul consumo. Se non si è certi della capacità necessaria, è possibile iniziare con un modello basato sul consumo, monitorare le metriche della capacità e quindi valutare in un secondo momento.

Scegliere un tipo di account, un livello di ridondanza e un livello di accesso predefinito: è necessario selezionare un valore per ognuna di queste impostazioni quando si crea un account di archiviazione. Tutti i valori influiscono sugli addebiti delle transazioni e sulla capacità. Tutte queste impostazioni, ad eccezione del tipo di account, possono essere modificate dopo la creazione dell'account.

Scegliere il livello di accesso predefinito più conveniente: a meno che non venga specificato un livello con ogni caricamento BLOB, i BLOB deducono il livello di accesso dall'impostazione predefinita del livello di accesso. Una modifica dell'impostazione predefinita del livello di accesso per un account di archiviazione si applica a tutti i BLOB nell'account per cui non è stato impostato in modo esplicito un livello di accesso. Questo costo può essere significativo se è stato raccolto un numero elevato di BLOB. Per altre informazioni su come una modifica del livello influisce su ogni BLOB esistente, vedere Modifica del livello di accesso di un BLOB.

Caricare i dati direttamente nel livello di accesso più conveniente: ad esempio, se l'impostazione predefinita del livello di accesso dell'account è attiva, ma si caricano file a scopo di archiviazione, specificare un livello più sporadico come archivio o un livello ad accesso sporadico come parte dell'operazione di caricamento. Dopo il caricamento dei BLOB, usare i criteri di gestione del ciclo di vita per spostare i BLOB nei livelli più convenienti in base alle metriche di utilizzo, ad esempio l'ultimo tempo di accesso. La scelta del livello più ottimale in primo piano può ridurre i costi. Se si modifica il livello di un BLOB in blocchi già caricato, si paga il costo di scrittura nel livello iniziale quando si carica prima il BLOB e quindi si paga il costo di scrittura nel livello desiderato.

Pianificare la gestione del ciclo di vita dei dati: ottimizzare i costi delle transazioni e della capacità sfruttando i livelli di accesso e la gestione del ciclo di vita. I dati usati meno spesso devono essere posizionati nei livelli di accesso più sporadico, mentre i dati a cui si accede spesso devono essere posizionati nei livelli di accesso più caldi.

Decidere quali funzionalità sono necessarie: alcune funzionalità, ad esempio il controllo delle versioni e l'eliminazione temporanea del BLOB, comportano costi aggiuntivi di transazione e capacità, nonché altri addebiti. Assicurarsi di esaminare le sezioni relative ai prezzi e alla fatturazione negli articoli che descrivono tali funzionalità quando si scelgono le funzionalità da aggiungere all'account.

Ad esempio, se si abilita la funzionalità di inventario BLOB, viene addebitato il numero di oggetti analizzati. Se si usano tag di indice BLOB, viene addebitato il numero di tag di indice. Se si abilita il supporto SFTP, viene addebitato un addebito orario, anche se non sono presenti trasferimenti SFTP. Se si decide di usare una funzionalità, verificare che la funzionalità sia disabilitata perché alcune funzionalità vengono abilitate automaticamente quando si crea l'account.

Creare protezioni: creare budget basati su sottoscrizioni e gruppi di risorse. Usare i criteri di governance per limitare tipi di risorse, configurazioni e posizioni. Inoltre, usare il controllo degli accessi in base al ruolo per bloccare le azioni che possono causare sovraccariche.

Monitorare i costi: assicurarsi che i costi rimangano all'interno dei budget, confrontare i costi rispetto alle previsioni e verificare dove si verificano eccedenze. È possibile usare il riquadro analisi dei costi nel portale di Azure per monitorare i costi. È anche possibile esportare i dati dei costi in un account di archiviazione e analizzare tali dati usando Excel o Power BI.

Monitorare l'utilizzo: monitorare continuamente i modelli di utilizzo e rilevare gli account e i contenitori inutilizzati o sottoutilizzati. Usare Archiviazione informazioni dettagliate per identificare gli account senza uso o senza uso ridotto. Abilitare i report di inventario BLOB e usare strumenti come Azure Databricks o Azure Synapse Analytics e Power BI per analizzare i dati sui costi. Prestare attenzione a un aumento imprevisto della capacità, che potrebbe indicare che si raccolgono numerosi file di log, versioni blob o BLOB eliminati soft. Sviluppare una strategia per la scadenza o la transizione di oggetti a livelli di accesso più convenienti. Disporre di un piano per gli oggetti in scadenza o lo spostamento di oggetti in livelli di accesso più convenienti.

Creare piani di manutenzione e ripristino di emergenza: prendere in considerazione le funzionalità di protezione dei dati, le operazioni di backup e ripristino e le procedure di failover. Prepararsi per potenziali perdite di dati e incoerenze dei dati e il tempo e il costo del failover.

Monitorare l'integrità dell'account di archiviazione: creare dashboard Archiviazione insights per monitorare le metriche di disponibilità, prestazioni e resilienza. Configurare gli avvisi per identificare e risolvere i problemi nel sistema prima che i clienti li notino. Usare le impostazioni di diagnostica per instradare i log delle risorse a un'area di lavoro Log di Monitoraggio di Azure. È quindi possibile eseguire query sui log per analizzare gli avvisi in modo più approfondito.

Abilitare i report di inventario BLOB: abilitare i report di inventario BLOB per esaminare la conservazione, il blocco legale o lo stato di crittografia del contenuto dell'account di archiviazione. È anche possibile usare i report di inventario BLOB per comprendere le dimensioni totali dei dati, l'età, la distribuzione a livelli o altri attributi dei dati. Usare strumenti come Azure Databricks o Azure Synapse Analytics e Power BI per visualizzare meglio i dati di inventario e creare report per gli stakeholder.

Configurare criteri che eliminano i BLOB o li spostano in livelli di accesso convenienti: creare criteri di gestione del ciclo di vita con un set iniziale di condizioni. I criteri vengono eseguiti automaticamente per eliminare o impostare il livello di accesso dei BLOB in base alle condizioni definite. Analizzare periodicamente l'uso del contenitore usando Monitorare le metriche e i report di inventario BLOB in modo da ottimizzare le condizioni per ottimizzare l'efficienza dei costi.

Pianificare la scalabilità: comprendere le destinazioni di scalabilità per gli account di archiviazione.

Scegliere il tipo di account di archiviazione ottimale: se il carico di lavoro richiede frequenze di transazioni elevate, oggetti più piccoli e una latenza delle transazioni costantemente bassa, è consigliabile usare account di archiviazione BLOB in blocchi Premium. Un account standard per utilizzo generico v2 è più appropriato nella maggior parte dei casi.

Ridurre la distanza di viaggio tra il client e il server: posizionare i dati nelle aree più vicine ai client di connessione (idealmente nella stessa area). Ottimizzare i client in aree lontane usando la replica di oggetti o una rete per la distribuzione di contenuti. Le configurazioni di rete predefinite offrono prestazioni ottimali. Modificare le impostazioni di rete solo per migliorare la sicurezza. In generale, le impostazioni di rete non riducono la distanza di viaggio e non migliorano le prestazioni.

Scegliere uno schema di denominazione efficiente: ridurre la latenza delle operazioni di elenco, elenco, query e lettura usando i prefissi di tag hash più vicino all'inizio della chiave di partizione BLOB (account, contenitore, directory virtuale o nome BLOB). Questo schema trae vantaggio principalmente da account con uno spazio dei nomi flat.

Ottimizzare le prestazioni dei client di dati: scegliere uno strumento di trasferimento dati più appropriato per le dimensioni dei dati, la frequenza di trasferimento e la larghezza di banda dei carichi di lavoro. Alcuni strumenti, ad esempio AzCopy , sono ottimizzati per le prestazioni e richiedono un intervento minimo. Prendere in considerazione i fattori che influenzano la latenza e ottimizzare le prestazioni esaminando le linee guida per l'ottimizzazione delle prestazioni pubblicate con ogni strumento.

Ottimizzare le prestazioni del codice personalizzato: è consigliabile usare Archiviazione SDK anziché creare wrapper personalizzati per le operazioni REST BLOB. Gli SDK di Azure sono ottimizzati per le prestazioni e forniscono meccanismi per ottimizzare le prestazioni. Prima di creare un'applicazione, esaminare l'elenco di controllo delle prestazioni e della scalabilità per l'Archiviazione BLOB. Prendere in considerazione l'uso dell'accelerazione delle query per filtrare i dati indesiderati durante la richiesta di archiviazione e impedire ai client di trasferire i dati in rete inutilmente.

Raccogliere dati sulle prestazioni: monitorare l'account di archiviazione per identificare i colli di bottiglia delle prestazioni che si verificano dalla limitazione. Per altre informazioni, vedere Monitoraggio del servizio di archiviazione con Monitoraggio Archiviazione informazioni dettagliate. Usare sia le metriche che i log. Le metriche forniscono numeri, ad esempio errori di limitazione. I log descrivono l'attività. Se vengono visualizzate le metriche di limitazione, è possibile usare i log per identificare i client che ricevono errori di limitazione. Per altre informazioni, vedere Controllo delle operazioni del piano dati.