Azure 本機基準參考架構

此基準參考架構提供與工作負載無關的指引和建議，以設定 Azure 本機版本 23H2、2311 版和更新版本的基礎結構，以確保可部署和管理高可用性虛擬化和容器化工作負載的可靠平臺。 此架構描述提供本機計算、記憶體和網路功能之實體節點的資源元件和叢集設計選擇。 它也說明如何使用 Azure 服務來簡化及簡化 Azure 本機的日常管理。

如需已優化以在 Azure 本機上執行之工作負載架構模式的詳細資訊，請參閱 Azure 本機工作負載 導覽功能表中的內容。

此架構是如何使用記憶體交換器網路設計來部署多節點 Azure 本機實例的起點。 部署在 Azure 本機實例上的工作負載應用程式應該經過妥善架構。 架構良好的工作負載應用程序必須使用多個實例或任何重要工作負載服務的高可用性來部署，並備妥適當的商務持續性和災害復原（BCDR） 控制件。 這些BCDR控制件包括一般備份和災害復原故障轉移功能。 為了專注於 HCI 基礎結構平臺，本文會刻意排除這些工作負載設計層面。

如需 Azure Well-Architected Framework 五大要素指導方針和建議的詳細資訊，請參閱 azure 本機 Well-Architected 架構服務指南。

文章版面配置

建築

如需詳細資訊，請參閱 相關資源。

潛在的使用案例

Azure 本機的典型使用案例包括能夠在內部部署或邊緣位置執行高可用性 （HA） 工作負載，以提供解決工作負載需求的解決方案。 您可以：

• 提供部署在內部部署的混合式雲端解決方案，以解決數據主權、法規和合規性或延遲需求。

• 部署和管理部署在單一位置或多個位置的HA虛擬化或容器型邊緣工作負載。 此策略可讓業務關鍵應用程式和服務以具彈性、符合成本效益且可調整的方式運作。

• 使用經過Microsoft、雲端式部署、集中式管理和監視和警示認證的解決方案，降低總擁有成本（TCO）。

• 使用 Azure 和 Azure Arc 在多個位置一致且安全地部署工作負載，以提供集中式布建功能。 Azure 入口網站、Azure CLI 或基礎結構即程式代碼 （IaC） 範本等工具會使用 Kubernetes 進行容器化或傳統工作負載虛擬化，以驅動自動化和重複性。

• 遵循嚴格的安全性、合規性和稽核需求。 Azure 本機會以預設設定的強化安全性狀態進行部署，或預設 安全。 Azure Local 包含認證的硬體、安全開機、信賴平臺模組 （TPM）、虛擬化型安全性 （VBS）、Credential Guard，以及強制執行的 Windows Defender 應用程控原則。 它也與新式雲端式安全性和威脅管理服務整合，例如適用於雲端的 Microsoft Defender 和 Microsoft Sentinel。

案例詳細數據

下列各節提供有關此參考架構之案例和潛在使用案例的詳細資訊。 這些區段包含您可以在 Azure 本機上部署的商務權益和範例工作負載資源類型清單。

搭配 Azure 本機使用 Azure Arc

Azure Local 會使用 Azure Arc 直接與 Azure 整合，以降低 TCO 和作業額外負荷。 Azure Local 是透過 Azure 進行部署和管理，透過部署 Azure Arc 資源網橋 元件，提供 Azure Arc 的內建整合。 此元件會在 HCI 叢集部署程式期間安裝。 Azure 本機叢集節點會向適用於伺服器的 Azure Arc 註冊， 作為起始叢集雲端式部署的必要條件。 在部署期間，強制擴充功能會安裝在每個叢集節點上，例如生命週期管理員、Microsoft Edge 裝置管理，以及遙測和診斷。 您可以使用 Azure 監視器和 Log Analytics 在部署後監視 HCI 叢集，方法是啟用 Azure Local 的 Insights。 Azure 本機 的功能更新會定期發行，以增強客戶體驗。 更新是透過 Azure Update Manager來控制和管理。

您可以部署工作負載資源，例如 Azure Arc 虛擬機（VM）、已啟用 Azure Arc 的 Azure Kubernetes Service （AKS），以及 Azure 虛擬桌面會話主機 使用 Azure 入口網站，方法是選取 Azure 本機實例自定義位置 作為工作負載部署的目標。 這些元件提供集中式管理、管理和支援。 如果您在現有的 Windows Server Datacenter 核心授權上有作用中的軟體保證，您可以將 Azure Hybrid Benefit 套用至 Azure 本機、Windows Server VM 和 AKS 叢集，以進一步降低成本。 此優化可協助有效地管理這些服務的成本。

Azure 和 Azure Arc 整合可擴充 Azure 本機虛擬化和容器化工作負載的功能，包括：

• Azure Arc VM Azure 本機上在 VM 中執行的傳統應用程式或服務。

• Azure 本機 上的 AKS，以用於使用 Kubernetes 作為協調流程平臺而受益的容器化應用程式或服務。

• Azure 虛擬桌面，在 Azure 本機（內部部署）上部署 Azure 虛擬桌面工作負載的會話主機。 您可以使用 Azure 中的控制和管理平面來起始主機集區建立和設定。

• 已啟用 Azure Arc 的數據服務， 用於容器化 Azure SQL 受控實例的 Azure SQL 受控實例，或使用 Azure Local 上裝載的已啟用 Azure Arc 的 AKS 的適用於 PostgreSQL 的 Azure 資料庫伺服器。

• 適用於 Kubernetes 已啟用 Azure Arc 的 Azure 事件方格擴充功能，可部署 Event Grid 訊息代理程式和事件方格運算子 元件。 此部署可啟用事件方格主題和訂用帳戶等功能，以進行事件處理。

• 已啟用 Azure Arc 的機器學習，且 AKS 叢集部署在 Azure 本機作為執行 Azure Machine Learning 的計算目標。 您可以使用此方法在邊緣定型或部署機器學習模型。

Azure Arc 連線的工作負載為 Azure 本機部署提供增強的 Azure 一致性和自動化功能，例如使用 Azure Arc VM 擴充功能將客體 OS 設定自動化，或透過 Azure 原則評估業界法規或公司標準的合規性。 您可以透過 Azure 入口網站或 IaC 自動化來啟用 Azure 原則。

利用 Azure 本機預設安全性設定

Azure 本機預設安全性設定提供深度防禦策略，以簡化安全性和合規性成本。 針對零售、製造和遠程辦公室案例部署和管理IT服務，會帶來獨特的安全性和合規性挑戰。 在IT支援有限或缺乏或專用資料中心的環境中，保護工作負載免受內部和外部威脅的影響非常重要。 Azure Local 具有預設安全性強化和與 Azure 服務的深度整合，可協助您解決這些挑戰。

Azure 本機認證的硬體可確保內建安全開機、整合可擴展韌體介面 （UEFI） 和 TPM 支援。 將這些技術與 VBS 搭配使用，以協助保護您的安全性敏感工作負載。 您可以使用 BitLocker 磁碟驅動器加密來加密開機磁碟區和儲存空間直接存取磁碟區。 伺服器消息塊 （SMB） 加密提供叢集中伺服器之間流量的自動加密，以及簽署叢集節點與其他系統之間的 SMB 流量。 SMB 加密也有助於防止轉送攻擊，並協助遵守法規標準。

您可以在適用於 雲端的Defender 中將 Azure 本機 VM 上線，以啟用雲端式行為分析、威脅偵測和補救、警示和報告。 管理 Azure Arc 中的 Azure 本機 VM，讓您可以使用 Azure 原則 來評估其符合業界法規和公司標準。

元件

此架構包含實體伺服器硬體，可用來在內部部署或邊緣位置部署 Azure 本機實例。 為了增強平臺功能，Azure Local 會與 Azure Arc 和其他提供支持資源的 Azure 服務整合。 Azure Local 提供彈性的平臺，可部署、管理及操作使用者應用程式或商務系統。 下列各節將說明平臺資源和服務。

平台資源

此架構需要下列必要資源和元件：

• Azure 本機 是一種超融合基礎結構（HCI）解決方案，其部署在內部部署或邊緣位置使用實體伺服器硬體和網路基礎結構。 Azure Local 提供平臺來部署和管理虛擬化工作負載，例如 VM、Kubernetes 叢集，以及 Azure Arc 所啟用的其他服務。Azure 本機實例可以使用原始設備製造商 （OEM） 合作夥伴所提供的已驗證、整合或進階硬體類別，從單一節點部署調整為最多 16 個節點。

• Azure Arc 是雲端式服務，可根據 Azure Resource Manager 將管理模型延伸至 Azure 本機和其他非 Azure 位置。 Azure Arc 會使用 Azure 作為控制和管理平面，以管理各種資源，例如 VM、Kubernetes 叢集，以及容器化數據和機器學習服務。

• Azure Key Vault 是一項雲端服務，可用來安全地儲存和存取秘密。 秘密是您想要嚴格限制存取的任何專案，例如 API 金鑰、密碼、密碼、憑證、密碼編譯密鑰、本機系統管理員認證和 BitLocker 修復金鑰。

• 雲端見證 是 Azure 記憶體的一項功能，可作為故障轉移叢集仲裁。 Azure 本機叢集節點會使用此仲裁進行投票，以確保叢集的高可用性。 記憶體帳戶和見證設定會在 Azure 本機雲端部署程式期間建立。

• Update Manager 是一項統一的服務，其設計目的是管理和控管 Azure 本機的更新。 您可以使用更新管理員來管理部署在 Azure 本機上的工作負載，包括 Windows 和 Linux VM 的客體 OS 更新合規性。 此整合方法可透過單一儀錶板，簡化跨 Azure、內部部署環境和其他雲端平臺的修補程式管理。

平臺支持資源

此架構包含下列選擇性支援服務，以增強平臺的功能：

• 監視 是雲端式服務，可用來收集、分析及處理來自雲端和內部部署工作負載的診斷記錄和遙測。 您可以使用監視器，透過完整的監視解決方案，將應用程式和服務的可用性和效能最大化。 部署適用於 Azure Local 的深入解析，以簡化監視數據收集規則 （DCR） 的建立，並快速啟用 Azure 本機實例的監視。

• Azure 原則 是評估 Azure 和內部部署資源的服務。 Azure 原則會透過將這些資源的屬性與 Azure Arc 整合來評估資源，這些規則稱為 原則定義，以判斷您可以使用原則設定來套用 VM 客體設定的合規性或功能。

• 適用於雲端的Defender 是完整的基礎結構安全性管理系統。 它可增強數據中心的安全性狀態，並針對混合式工作負載提供進階威脅防護，無論它們位於 Azure 或其他地方，以及跨內部部署環境。

• Azure 備份 是雲端式服務，可提供簡單、安全且符合成本效益的解決方案，以備份您的數據，並從Microsoft雲端復原。 Azure 備份伺服器可用來備份部署在 Azure 本機上的 VM，並將其儲存在備份服務中。

• Site Recovery 是災害復原服務，可讓商務應用程式和工作負載在發生災害或中斷時故障轉移，以提供 BCDR 功能。 Site Recovery 會管理在實體伺服器和 VM 上執行之工作負載的復寫和故障轉移，這些工作負載在其主要月臺（內部部署）和次要位置 （Azure） 之間執行。

叢集設計選擇

當您設計 Azure 本機實例時，請務必瞭解工作負載效能和復原需求。 這些需求包括復原時間目標 （RTO） 和恢復點目標 （RPO） 時間、計算 （CPU）、記憶體，以及部署在 Azure 本機實例上之所有工作負載的記憶體需求。 工作負載的數個特性會影響決策程式，包括：

• 中央處理器（CPU）架構功能，包括硬體安全性技術功能、CPU 數目、GHz 頻率（速度）和每個 CPU 套接字的核心數目。

• 工作負載的圖形處理單位 （GPU） 需求，例如 AI 或機器學習、推斷或圖形轉譯。

• 每個節點的記憶體，或執行工作負載所需的物理記憶體數量。

• 叢集中規模為1到16個節點的實體節點數目。 當您使用 記憶體無交換器網路架構時，節點數目上限為三。

  • 若要維護計算復原能力，您必須在叢集中保留至少 N+1 個節點的容量。 此策略可讓節點耗盡更新，或從電源中斷或硬體故障等突然中斷中復原。

  • 對於業務關鍵性或任務關鍵性工作負載，請考慮保留值得的 N+2 節點，以提高復原能力。 例如，如果叢集中的兩個節點脫機，則工作負載可以維持在在線狀態。 此方法提供復原功能，適用於在計劃更新程式期間執行工作負載的節點離線，並導致兩個節點同時離線的情況。

• 記憶體復原能力、容量和效能需求：

  • 復原：我們建議您部署三個以上的節點，以啟用三向鏡像，以提供三份數據復本，以供基礎結構和使用者磁碟區使用。 三向鏡像可提升記憶體的效能和最大可靠性。

  • 容量：容錯之後所需的可用記憶體總數，或 份考慮。 當您使用三向鏡像時，此數目大約是容量層磁碟原始儲存空間的 33%。

  • 效能：當乘以應用程式的區塊大小時，決定工作負載記憶體輸送量功能的平臺每秒輸入/輸出作業。

若要設計和規劃 Azure 本機部署，建議您使用 Azure 本機重設大小工具，並建立 新專案 來調整 HCI 叢集的大小。 使用重設大小工具需要您瞭解工作負載需求。 考慮叢集上執行的工作負載 VM 數目和大小時，請務必考慮 VM 的 vCPU 數目、記憶體需求和必要記憶體容量等因素。

重設大小工具 喜好設定 一節會引導您完成與系統類型相關的問題（頂級、整合式系統或已驗證的節點）和 CPU 系列選項。 它也可協助您選取叢集的復原需求。 請務必：

• 在叢集上保留至少 N+1 個節點的容量，或一個節點。

• 保留 N+2 節點，以取得額外的復原能力。 此選項可讓系統在更新或其他同時影響兩個節點的非預期事件期間承受節點失敗。 它也可確保叢集中有足夠的容量可供工作負載在其餘在線節點上執行。

此案例需要針對使用者磁碟區使用三向鏡像，這是具有三個或多個實體節點之叢集的預設值。

Azure 本機重設大小工具的輸出是建議的硬體解決方案 SKU 清單，可根據 Sizer 專案中的輸入值，提供所需的工作負載容量和平台復原需求。 如需可用 OEM 硬體合作夥伴解決方案的詳細資訊，請參閱 Azure 本機解決方案目錄。 若要協助將解決方案 SKU 授權以符合您的需求，請連絡您慣用的硬體解決方案提供者或系統整合（SI） 合作夥伴。

實體磁碟驅動器

儲存空間直接存取 支援多個因效能和容量而異的實體磁碟驅動器類型。 當您設計 Azure 本機實例時，請與您選擇的硬體 OEM 合作夥伴合作，以判斷最適合的實體磁碟驅動器類型，以符合工作負載的容量和效能需求。 範例包括旋轉硬碟機 （HDD），或固態硬碟 （SSD） 和 NVMe 磁碟驅動器。 這些磁碟驅動器通常稱為 快閃磁碟驅動器，或 持續性記憶體 （PMem） 儲存體，稱為 記憶體類別記憶體 （SCM）。

平臺的可靠性取決於重要平臺相依性的效能，例如實體磁碟類型。 請務必為您的需求選擇正確的磁碟類型。 針對具有高效能或低延遲需求的工作負載，使用 NVMe 或 SSD 磁碟驅動器等全快閃記憶體解決方案。 這些工作負載包括但不限於具有低延遲或高輸送量記憶體需求的高事務資料庫技術、生產 AKS 叢集，或任何任務關鍵性或業務關鍵性工作負載。 使用全快閃部署將記憶體效能最大化。 All-NVMe 磁碟驅動器或全 SSD 磁碟驅動器組態，特別是在小規模，改善儲存效率並最大化效能，因為沒有磁碟驅動器作為快取層。如需詳細資訊，請參閱 全快閃式記憶體。

針對一般用途的工作負載，混合式記憶體組態，例如 NVMe 磁碟驅動器或用於快取的 SSD，以及容量的 HDD，可能會提供更多儲存空間。 取捨是，如果您的工作負載超過 快取工作集，而 HDD 與 NVMe 和 SSD 磁碟驅動器相比，旋轉磁碟的效能較低。

叢集記憶體的效能會受到實體磁碟驅動器類型的影響，這會根據每個磁碟驅動器類型的效能特性和您選擇的快取機制而有所不同。 實體磁碟驅動器類型是任何儲存空間直接存取設計和設定不可或缺的一部分。 根據 Azure 本機工作負載需求和預算限制，您可以選擇 最大化效能、最大化容量，或實作混合磁碟驅動器類型組態，平衡效能和容量。

儲存空間直接存取提供 內建、持續性、即時、讀取、寫入、伺服器端快取，以最大化儲存效能。 快取的大小與設定應符合 應用程式和工作負載的工作集，。 儲存空間直接存取虛擬磁碟或 磁碟區，會與叢集共用磁碟區 （CSV） 記憶體中讀取快取搭配使用，以 改善 Hyper-V 效能，特別是針對工作負載虛擬硬碟 （VHD） 或虛擬硬碟 v2 （VHDX） 檔案的未壓縮輸入存取。

網路設計

網路設計是網路實體基礎結構和邏輯組態內元件的整體排列方式。 您可以針對管理、計算和儲存網路意圖的所有組合，使用相同的實體網路介面卡 （NIC） 埠。 針對所有意圖相關用途使用相同的 NIC 埠，稱為 完全融合式網路組態。

雖然支援完全聚合式網路設定，但效能和可靠性的最佳設定是記憶體意圖使用專用網路適配器埠。 因此，此基準架構提供如何使用記憶體交換器網路架構來部署多節點 Azure 本機實例的範例指引，以及兩個用於管理和計算意圖的網路適配器埠，以及兩個記憶體意圖的專用網路適配器埠。 如需詳細資訊，請參閱 Azure 本機雲端部署的網路考慮。

此架構需要兩個以上的實體節點，且規模上限為16個節點。 每個節點都需要四個網路適配器埠，這些埠會連線到兩個機架頂端 （ToR） 交換器。 這兩個 ToR 交換器應該透過多底座連結匯總群組 （MLAG） 連結互連。 用於記憶體意圖流量的兩個網路適配器埠必須支持遠端直接記憶體存取 （RDMA）。 這些埠需要最低連結速度 10 Gbps，但我們建議速度為 25 Gbps 或更高。 用於管理和計算意圖的兩個網路適配器埠會使用交換器內嵌小組 （SET） 技術來聚合。 SET 技術提供連結備援和負載平衡功能。 這些埠需要最低連結速度 1 Gbps，但我們建議速度為 10 Gbps 或更高。

實體網路拓撲

下列實體網路拓撲顯示節點與網路元件之間的實際實體連線。

當您設計使用此基準架構的多節點記憶體交換 Azure 本機部署時，您需要下列元件：

• 雙重 ToR 參數：

  • 網路復原需要雙重 ToR 網路交換器，以及服務或將韌體更新套用至交換器的能力，而不會造成停機時間。 此策略可防止單一失敗點 （SPoF）。

  • 雙 ToR 交換器用於記憶體或東西側的流量。 這些交換器會使用兩個專用乙太網路埠，這些埠具有特定的記憶體虛擬局域網路（VLAN）和優先順序流量控制（PFC）流量類別，這些流量類別會定義以提供無損失的 RDMA 通訊。

  • 這些交換器會透過乙太網路纜線連線到節點。

• 兩個以上的實體節點，最多16個節點：

  • 每個節點都是執行 Azure Stack HCI OS 的實體伺服器。

  • 每個節點總共需要四個網路適配器埠：兩個支援 RDMA 的記憶體埠，以及兩個網路適配器埠來管理和計算流量。

  • 記憶體會使用兩個專用 RDMA 功能的網路適配器埠，以兩個 ToR 交換器的每個路徑連線。 此方法提供SMB直接記憶體流量的鏈接路徑備援和專用優先頻寬。

  • 管理和計算會使用兩個網路適配器埠，為每個兩個 ToR 交換器提供一個路徑，以提供鏈接路徑備援。

• 外部連線能力：

  • 雙重 ToR 交換器會連線到外部網路，例如您的內部公司 LAN，以使用邊緣邊界網路裝置來存取所需的輸出 URL。 此裝置可以是防火牆或路由器。 這些交換器會路由傳送進出 Azure 本機實例或南北流量的流量。

  • 外部南北流量連線支援叢集管理意圖和計算意圖。 這可透過交換器內嵌小組 （SET） 和 Hyper-V 內的虛擬交換器，在每個節點使用兩個交換器埠和兩個網路適配器埠，以確保復原能力。 這些元件可用來為使用 Azure 入口網站、CLI 或 IaC 範本在 Resource Manager 中建立的邏輯網路內部署的 Azure Arc VM 和其他工作負載資源提供外部連線。

邏輯網路拓撲

邏輯網路拓撲會顯示無論其實體連線為何，網路數據在裝置之間流動的概觀。

此多節點記憶體交換基準架構 Azure 本機的邏輯設定摘要如下：

• 雙重 ToR 參數：

  • 在部署叢集之前，必須針對 管理、計算和 記憶體 埠設定所需的 VLAN 識別碼、最大傳輸單位設定和數據中心橋接組態來設定這兩個 ToR 網路交換器。 如需詳細資訊，請參閱 azure 本機的 實體網路需求，或要求交換器硬體廠商或 SI 合作夥伴取得協助。

• Azure 本機會使用 網路 ATC 方法 來套用網路自動化和意圖型網路組態。

  • 網路 ATC 的設計目的是使用網路流量 意圖，確保最佳的網路設定和流量流量。 網路 ATC 會定義哪些實體網路適配器埠用於不同的網路流量意圖（或類型），例如叢集 管理、工作負載 計算，以及叢集 記憶體 意圖。

  • 意圖型原則會根據 Azure 本機雲端部署程式中指定的參數輸入，將節點網路組態自動化，以簡化網路設定需求。

• 外部通訊：

  • 當節點或工作負載需要透過存取公司 LAN、因特網或其他服務進行外部通訊時，它們會使用雙重 ToR 交換器進行路由。 此程式概述於上一節 實體網路拓撲 一節。

  • 當兩個 ToR 交換器作為第 3 層裝置時，它們會處理路由，並提供叢集以外的連線到邊緣邊界裝置，例如您的防火牆或路由器。

  • 管理網路意圖會使用聚合式 SET 小組虛擬介面，讓叢集管理IP位址和控制平面資源能夠外部通訊。

  • 針對計算網路意圖，您可以在 Azure 中使用您環境的特定 VLAN 識別碼，在 Azure 中建立一或多個邏輯網路。 工作負載資源，例如 VM，會使用這些標識符來授與實體網路的存取權。 邏輯網路會使用使用SET小組進行計算和管理意圖的兩個實體網路適配器埠。

• 記憶體流量：

  • 實體節點會使用連線至 ToR 交換器的兩個專用網路適配器埠彼此通訊，以提供高頻寬和記憶體流量的復原能力。

  • SMB1 和 SMB2 記憶體埠會連線到兩個不同的不可路由 （或第 2 層） 網路。 每個網路都有設定的特定 VLAN 識別碼，必須符合 ToR 交換器 預設記憶體 VLAN 識別碼上的交換器埠設定：711 和 712。

  • Azure Stack HCI OS 內的兩個記憶體意圖網路適配器埠上沒有 預設閘道。

  • 每個節點都可以存取叢集的儲存空間直接存取功能，例如儲存集區、虛擬磁碟和磁碟區中使用的遠端實體磁碟。 透過每個節點中可用的兩個專用記憶體網路適配器埠，透過 SMB-Direct RDMA 通訊協定來存取這些功能。 SMB 多重通道用於復原。

  • 此組態為記憶體相關作業提供足夠的數據傳送速率，例如為鏡像磁碟區維護一致的數據復本。

網路交換器需求

您的乙太網路交換器必須符合 Azure Local 所需的不同規格，並由電氣和電子工程師標準協會（IEEE SA）設定。 例如，針對多節點記憶體交換部署，記憶體網路會透過 RoCE v2 或 iWARP用於 RDMA。 此程式需要 IEEE 802.1Qbb PFC，以確保 儲存體流量類別的無遺失通訊。 您的 ToR 交換器必須針對 VLAN 提供 IEEE 802.1Q 的支援，以及連結層探索通訊協定的 IEEE 802.1AB 支援。

如果您打算針對 Azure 本機部署使用現有的網路交換器，請檢閱網路交換器和組態必須提供 必要 IEEE 標準和規格 清單。 購買新的網路交換器時，請檢閱 支援 Azure 局域網路需求的硬體廠商認證交換器型號清單。

IP 位址需求

在多節點記憶體交換的部署中，所需的IP位址數目會隨著每個實體節點的新增而增加，最多在單一叢集中最多16個節點。 例如，若要部署 Azure Local 的雙節點記憶體交換組態，叢集基礎結構至少需要配置 11 x 個 IP 位址。 如果您使用微分類或軟體定義網路，則需要更多IP位址。 如需詳細資訊，請參閱 檢閱 Azure 本機的雙節點記憶體參考模式 IP 位址需求。

當您設計和規劃 Azure 本機的 IP 位址需求時，請記得考慮工作負載所需的其他 IP 位址或網路範圍，超出 Azure 本機實例和基礎結構元件所需的 IP 位址。 如果您打算在 Azure 本機上部署 AKS，請參閱 azure Arc 網路需求啟用 AKS。

監測

若要增強監視和警示，請在 Azure 本機上啟用 Monitor Insights。 深入解析可以使用 Azure 一致體驗來調整規模以監視和管理多個內部部署叢集。 深入解析會使用叢集性能計數器和事件記錄通道來監視重要的 Azure 本機功能。 記錄是由透過監視和Log Analytics所設定的 DCR 所收集。

Azure Local 的深入解析是使用監視器和 Log Analytics 所建置，可確保一律 up-to可高度自定義的可調整解決方案。 深入解析提供預設活頁簿的存取權，其中包含基本計量，以及為監視 Azure 本機重要功能的特製化活頁簿。 這些元件提供近乎即時的監視解決方案，並可讓您建立圖形、透過匯總和篩選自定義視覺效果，以及設定自定義資源健康情況警示規則。

更新管理

Azure 本機實例和已部署的工作負載資源，例如 Azure Arc VM，必須定期更新和修補。 藉由定期套用更新，您可確保貴組織維持強大的安全性狀態，並改善資產的整體可靠性和可支援性。 我們建議您使用自動和定期的手動評估，以便早期探索及應用安全性修補程式和 OS 更新。

基礎結構更新

Azure Local 會持續更新，以改善客戶體驗，並新增新功能。 此程式是透過發行訓練來管理，其會每季提供新的基準組建。 基準組建會套用至 Azure 本機實例，使其保持在最新狀態。 除了一般基準組建更新之外，Azure 本機也會使用每月OS安全性和可靠性更新來更新。

更新管理員是一項 Azure 服務，可用來套用、檢視及管理 Azure 本機的更新。 此服務提供一種機制，可讓您使用 Azure 入口網站來檢視整個基礎結構和邊緣位置的所有 Azure 本機實例，以提供集中式管理體驗。 如需詳細資訊，請參閱下列資源：

• 關於 Azure 本機版本資訊

• Azure 本機生命週期頻率

• 檢閱 Azure 本機 的更新階段

• 使用 Azure Update Manager 更新 Azure 本機

請務必定期檢查新的驅動程式和韌體更新，例如每三到六個月一次。 如果您使用 Azure 本機硬體的頂級解決方案類別版本，解決方案產生器擴充功能套件更新 會與更新管理員整合，以提供簡化的更新體驗。 如果您使用已驗證的節點或整合系統類別，可能需要下載並執行包含硬體韌體和驅動程式更新的 OEM 特定更新套件。 若要判斷如何為您的硬體提供更新，請連絡硬體 OEM 或 SI 合作夥伴。

工作負載客體 OS 修補

您可以使用 Azure Update Manager （AUM） 註冊部署在 Azure 本機上的 Azure Arc VM，以使用用來更新 Azure 本機叢集實體節點的相同機制來提供統一的修補程式管理體驗。 您可以使用 AUM建立 客體維護組態。 這些組態會控制設定，例如，視需要重新啟動 重新啟動、排程（日期、時間和重複選項），以及範圍 Azure Arc VM 的動態（訂用帳戶）或靜態清單。 這些設定可控制在工作負載 VM 客體 OS 內安裝 OS 安全性修補程式時的設定。

考慮

這些考慮會實作 Azure Well-Architected Framework 的要素，這是一組可用來改善工作負載質量的指導原則。 如需詳細資訊，請參閱 Microsoft Azure Well-Architected Framework。

可靠性

可靠性可確保您的應用程式可以符合您對客戶的承諾。 如需詳細資訊，請參閱 可靠性支柱概觀。

識別潛在的失敗點

每個架構都容易受到失敗的影響。 您可以預期失敗，並使用失敗模式分析來備妥風險降低措施。 下表說明此架構中可能失敗點的四個範例：

如需詳細資訊，請參閱 執行失敗模式分析的建議。

可靠性目標

本節說明範例案例。 名為 Contoso Manufacturing 的虛構客戶會使用此參考架構來部署 Azure 本機。 他們想要解決其需求，並在內部部署部署和管理工作負載。 Contoso Manufacturing 的內部服務等級目標 （SLO） 目標為 99.8% 企業和應用程式專案關係人對其服務達成一致。

• SLO 為 99.8% 執行時間或可用性，針對使用 Azure 本機上執行的 Azure Arc VM 所部署的應用程式，導致下列允許停機或無法使用的期間：

  • 每周：20 分 10 秒

  • 每月：1 小時、26 分和 56 秒

  • 每季：4 小時 20 分 49 秒

  • 每年：17 小時 23 分 16 秒

• 為了協助滿足 SLO 目標，Contoso Manufacturing 會實作最低許可權原則（PoLP），以將 Azure 本機實例管理員的數目限制為一小群受信任且合格的個人。 這種方法有助於防止停機，因為對生產資源執行的任何意外或意外動作。 此外，內部部署 Active Directory Domain Services （AD DS） 域控制器的安全性事件記錄檔會受到監視，以偵測和報告任何使用者帳戶群組成員資格變更，稱為 新增 和 移除 動作，Azure 本機實例系統管理員會使用安全性資訊事件管理 （SIEM） 解決方案 群組。 監視會增加可靠性，並改善解決方案的安全性。

  如需詳細資訊，請參閱 身分識別和存取管理的建議。

• Contoso 製造生產系統已 嚴格的變更控制程式。 此程式要求在生產環境中實作之前，在具代表性的測試環境中測試並驗證所有變更。 提交至每周變更諮詢程式的所有變更都必須包含詳細的實作計劃（或原始程式碼的連結）、風險等級分數、全面回復計劃、發行后測試和驗證，以及清除要檢閱或核准變更的成功準則。

  如需詳細資訊，請參閱 安全部署做法的建議。

• 每月安全性修補程式和每季基準更新 只會在生產階段前環境驗證之後，才會套用至生產 Azure 本機實例。 更新管理員和叢集感知更新功能會將使用 VM 實時移轉的程式自動化，以將每月維護作業期間業務關鍵工作負載的停機時間降到最低。 Contoso 製造標準作業程式要求安全性、可靠性或基準組建更新會在發行日期四周內套用至所有生產系統。 如果沒有此原則，生產系統就永遠無法使用每月OS和安全性更新保持最新狀態。 過時的系統會對平臺可靠性和安全性造成負面影響。

  如需詳細資訊，請參閱 建立安全性基準的建議。

• Contoso Manufacturing 每天實作 每周和每月備份 保留過去 6 天每日備份 （星期一到星期六）、過去 3 x 周 （星期日） 和 3 x 個每月備份，每個 星期 4 會保留為每月 1、月 2 和 3 個月的備份，方法是使用記錄和可稽核的 輪流行事曆。 此方法符合 Contoso 製造需求，以在可用的數據恢復點數目之間取得適當的平衡，並降低異地或雲端備份記憶體服務的成本。

  如需詳細資訊，請參閱 設計災害復原策略的建議。

• 每個商務系統每六個月測試一次數據備份和復原程式。 此策略可保證 BCDR 程式有效，而且如果數據中心發生災害或網路事件，企業會受到保護。

  如需詳細資訊，請參閱 設計可靠性測試策略的建議。

• 本文先前所述的作業程式和 程式，以及 Azure LocalWell-Architected Framework 服務指南中的建議，讓 Contoso Manufacturing 能夠符合其 99.8% SLO 目標，並有效地調整和管理分散在世界各地多個製造月臺的 Azure 本機和工作負載部署。

  如需詳細資訊，請參閱 定義可靠性目標的建議。

冗餘

請考慮您在單一 Azure 本機實例上部署的工作負載，做為 本機備援部署。 叢集可在平台層級提供高可用性，但您必須在單一機架中部署叢集。 針對業務關鍵性或任務關鍵性使用案例，建議您在兩個或多個個別的 Azure 本機實例之間部署多個工作負載或服務實例，理想情況下在不同的實體位置。

針對提供主動/被動復寫、同步復寫或異步複寫的工作負載使用業界標準、高可用性模式，例如 SQL Server Always On。 您也可以使用外部網路負載平衡 （NLB） 技術，將使用者要求路由傳送到您在個別實體位置部署在 Azure 本機實例上執行的多個工作負載實例。 請考慮使用合作夥伴外部 NLB 裝置。 或者，您可以評估 負載平衡選項， 支援混合式和內部部署服務的流量路由，例如使用 Azure ExpressRoute 或 VPN 通道連線到內部部署服務的 Azure 應用程式閘道實例。

如需詳細資訊，請參閱 設計備援的建議。

安全

安全性可提供針對蓄意攻擊和濫用寶貴數據和系統的保證。 如需詳細資訊，請參閱 安全性支柱概觀。

安全性考慮包括：

• Azure 本機平臺的安全基礎：Azure Local 是一種預設安全的產品，使用已驗證的硬體元件搭配 TPM、UEFI 和安全開機，為 Azure 本機平臺和工作負載安全性建置安全的基礎。 使用預設安全性設定部署時，Azure 本機已啟用 Windows Defender 應用程控、Credential Guard 和 BitLocker。 若要使用 PoLP 簡化委派許可權，請使用 Azure 本機內建角色型訪問控制 （RBAC） 角色，例如適用於平臺管理員的 Azure 本機系統管理員，以及工作負載操作員的 Azure 本機 VM 參與者或 Azure 本機 VM 讀取器。

• 預設安全性設定：Azure 本機安全性預設 在部署期間套用 Azure 本機實例的預設安全性設定，可讓漂移控制 讓節點保持已知的良好狀態。 您可以使用安全性預設設定來管理叢集安全性、漂移控制和叢集上安全的核心伺服器設定。

• 安全性事件記錄：Azure 本機 syslog 轉送 藉由擷取相關的安全性事件記錄來匯總和儲存事件，以將保留期儲存在您自己的 SIEM 平臺中，藉此與安全性監視解決方案整合。

• 保護免受威脅和弱點：適用於雲端的Defender 可保護您的 Azure 本機實例免於各種威脅和弱點。 此服務可協助改善 Azure 本機環境的安全性狀態，並可防範現有和不斷演變的威脅。

• 威脅偵測和補救：Microsoft進階威脅分析 偵測並補救威脅，例如以 AD DS 為目標的威脅，這些威脅會將驗證服務提供給 Azure 本機實例節點及其 Windows Server VM 工作負載。

• 網路隔離：視需要隔離網路。 例如，您可以佈建多個使用個別 VLAN 和網路位址範圍的邏輯網路。 當您使用此方法時，請確定管理網路可以連線到每個邏輯網路和 VLAN，讓 Azure 本機實例節點可以透過 ToR 交換器或網關與 VLAN 網路通訊。 管理工作負載需要此設定，例如允許基礎結構管理代理程式與工作負載客體OS通訊。

  如需詳細資訊，請參閱 建置分割策略的建議。

成本優化

成本優化是考慮如何減少不必要的費用，並提升營運效率。 如需詳細資訊，請參閱 成本優化支柱概觀。

成本優化考慮包括：

• 適用於授權的雲端式計費模型：Azure 本機定價會遵循 azure 本機實例中每個實體處理器核心 每月訂用帳戶計費模型 一般費率。 如果您使用其他 Azure 服務，則適用額外的使用量費用。 如果您擁有具有作用中軟體保證的 Windows Server Datacenter 版本內部部署核心授權，您可以選擇交換這些授權，以啟用 Azure 本機實例和 Windows Server VM 訂用帳戶費用。

• Azure Arc VM 的自動 VM 客體修補：此功能可協助降低手動修補的額外負荷和相關聯的維護成本。 此動作不僅有助於讓系統更安全，還能優化資源配置，並有助於整體成本效益。

• 成本監視匯總：若要合併監視成本，請使用適用於 Azure 本機 的 Insights，並使用適用於 Azure 本機的 Update Manager 進行修補。 深入解析會使用監視器來提供豐富的計量和警示功能。 Azure Localintegrates 與 Update Manager 的生命週期管理員元件，藉由將各種元件的更新工作流程合併成單一體驗，簡化將叢集保持在最新狀態的工作。 使用監視和更新管理員將資源配置優化，並有助於整體成本效益。

  如需詳細資訊，請參閱 優化人員時間的建議。

• 初始工作負載容量和成長：當您規劃 Azure 本機部署時，請考慮您的初始工作負載容量、復原需求，以及未來的成長考慮。 請考慮使用兩個或三節點的無交換器架構可以降低成本，例如移除採購記憶體類別網路交換器的需求。 採購額外的記憶體類別網路交換器可能是新 Azure 本機實例部署的昂貴元件。 相反地，您可以使用現有的交換器來管理和計算網路，以簡化基礎結構。 如果您的工作負載容量和復原需求未調整超過三個節點組態，請考慮您是否可以使用現有的交換器來管理和計算網路，並使用 三節點記憶體無交換器架構 來部署 Azure 本機。

  如需詳細資訊，請參閱 優化元件成本的建議。

卓越營運

卓越營運涵蓋部署應用程式的作業程式，並讓它在生產環境中執行。 如需詳細資訊，請參閱 卓越營運支柱概觀。

卓越營運考慮包括：

• 簡化與 Azure整合的布建和管理體驗：Azure 中的 雲端式部署提供精靈驅動介面，示範如何建立 Azure 本機實例。 同樣地，Azure 可簡化 管理 Azure 本機實例 和 Azure Arc VM的程式。 您可以使用 ARM 範本，將 Azure 本機實例的入口網站型部署自動化。 此範本提供一致性和自動化，以大規模部署 Azure Local，特別是在需要 Azure Local 實例執行業務關鍵工作負載的邊緣案例中。

• 虛擬機自動化功能：Azure 本機提供各種不同的自動化功能來管理工作負載，例如 Azure Arc VM，使用 Azure CLI、ARM 或 Bicep 模板自動部署 Azure Arc VM，並使用 Azure Arc Extension for Updates 和 Azure Update Manager 來更新每個 Azure 本機實例。 Azure Local 也支援使用 Azure CLI Azure Arc VM 管理，並使用 Windows PowerShell 非 Azure Arc VM。 您可以從其中一部 Azure 本機電腦或從管理電腦從遠端執行 Azure CLI 命令。 與 Azure 自動化 和 Azure Arc 整合，可協助透過 Azure Arc 擴充功能 VM 工作負載的各種額外自動化案例。

  如需詳細資訊，請參閱使用 IaC的 建議。

• AKS上容器的自動化功能：Azure Local 提供各種不同的自動化功能來管理 AKS 上的工作負載，例如容器。 您可以使用 Azure CLI 自動部署 AKS 叢集。 使用適用於 Kubernetes 更新的 Azure Arc 擴充功能，更新 AKS 工作負載叢集。 您也可以使用 Azure CLI 來管理已啟用 Azure Arc 的 AKS 。 您可以從其中一部 Azure 本機電腦或從管理電腦從遠端執行 Azure CLI 命令。 針對透過 Azure Arc 擴充功能 容器化工作負載 各種額外自動化案例，與 Azure Arc 整合。

  如需詳細資訊，請參閱啟用自動化的 建議。

效能效率

效能效率是工作負載調整的能力，以符合使用者以有效率的方式滿足其需求。 如需詳細資訊，請參閱 效能效率要素概觀。

效能效率考慮包括：

• 工作負載記憶體效能：請考慮使用 DiskSpd 工具來測試 Azure 本機實例的工作負載記憶體效能功能。 您可以使用 VMFleet 工具來產生負載並測量記憶體子系統的效能。 評估您是否應該使用 VMFleet 來測量記憶體子系統效能。

  • 建議您在部署生產工作負載之前，先建立 Azure 本機實例效能的基準。 DiskSpd 使用各種命令行參數，讓系統管理員能夠測試叢集的記憶體效能。 DiskSpd 的主要功能是發出讀取和寫入作業和輸出效能計量，例如延遲、輸送量和 IOPS。

    如需詳細資訊，請參閱 效能測試的建議。

• 工作負載記憶體復原：請考慮 記憶體復原、使用量（或容量）效率及效能的優點。 規劃 Azure 本機磁碟區包括識別復原能力、使用效率與效能之間的最佳平衡。 您可能會發現難以將此平衡優化，因為最大化其中一個特性通常對一或多個其他特性產生負面影響。 增加復原能力可減少可用容量。 因此，效能可能會根據選取的復原類型而有所不同。 當復原和效能是優先順序，而且當您使用三個或多個節點時，預設記憶體組態會針對基礎結構和使用者磁碟區採用三向鏡像。

  如需詳細資訊，請參閱 容量規劃的建議。

• 網路效能優化：請考慮網路效能優化。 在您的設計中，請務必在判斷 最佳網路硬體組態時，包含預測 網路流量頻寬配置。

  • 若要優化 Azure 本機中的計算效能，您可以使用 GPU 加速。 GPU 加速對於 高效能 AI 或機器學習工作負載很有説明， 牽涉到數據深入解析或推斷。 由於數據重力或安全性需求等考慮，這些工作負載需要在邊緣位置部署。 在混合式部署或內部部署中，請務必考慮工作負載效能需求，包括 GPU。 此方法可協助您在設計和採購 Azure 本機實例時選取正確的服務。

    如需詳細資訊，請參閱 選取正確服務的建議。

部署此案例

下一節提供用來部署 Azure 本機的高階工作或一般工作流程的範例清單，包括必要條件工作和考慮。 此工作流程清單僅供範例指南使用。 這不是所有必要動作的完整清單，這些動作可能會根據組織、地理或專案特定需求而有所不同。

案例：有專案或使用案例需求，可在內部部署或邊緣位置部署混合式雲端解決方案，以提供本機計算以進行數據處理功能，以及想要使用 Azure 一致的管理和計費體驗。 本文 一節 潛在使用案例中會說明更多詳細數據。 其餘步驟假設 Azure Local 是專案的所選基礎結構平台解決方案。

1. 收集相關項目關係人的工作負載和使用案例需求。 此策略可讓項目確認 Azure Local 的特性和功能符合工作負載規模、效能和功能需求。 此檢閱程式應包括瞭解工作負載規模或大小，以及 Azure Arc VM、AKS、Azure 虛擬桌面或已啟用 Azure Arc 的數據服務或已啟用 Azure Arc 的 Machine Learning 服務等必要功能。 工作負載 RTO 和 RPO （可靠性） 值和其他非功能需求 （效能/負載延展性） 應記載為此需求收集步驟的一部分。

2. 檢閱建議硬體合作夥伴解決方案的 Azure 本機大小器輸出。 此輸出包含建議的實體伺服器硬體製造和模型、實體節點數目，以及部署和執行工作負載所需之每個實體節點的 CPU、記憶體和記憶體設定規格的詳細數據。

3. 使用 Azure 本機重設大小工具 建立新的專案，以建立工作負載類型和調整模型的新專案。 此專案包含 VM 的大小和數目及其記憶體需求。 這些詳細數據會與系統類型、慣用 CPU 系列的選項，以及高可用性和記憶體容錯的復原需求一起輸入，如先前 叢集設計選擇 一節所述。

4. 檢閱建議硬體合作夥伴解決方案的 Azure 本機大小器輸出。 此解決方案包含建議的實體伺服器硬體詳細數據（製造和模型）、實體節點數目，以及部署和執行工作負載所需的每個實體節點的 CPU、記憶體和記憶體和記憶體設定規格。

5. 請連絡硬體 OEM 或 SI 合作夥伴，以進一步符合建議的硬體版本與工作負載需求。 如果有的話，請使用 OEM 特定的重設大小工具來判斷所需工作負載的 OEM 特定硬體重設大小需求。 此步驟通常包含與硬體 OEM 或 SI 合作夥伴討論解決方案的商業層面。 這些層面包括報價、硬體可用性、潛在客戶時間，以及合作夥伴提供的任何專業或增值服務，以協助加速您的專案或業務成果。

6. 部署兩個 ToR 交換器以進行網路整合。 針對高可用性解決方案，HCI 叢集需要部署兩個 ToR 交換器。 每個實體節點都需要四個 NIC，其中兩個必須具備 RDMA 功能，其會提供兩個從每個節點到兩個 ToR 交換器的連結。 兩個 NIC，一個連接到每個交換器，會交集，用於計算和管理網路的輸出南北連線。 另外兩個支援 RDMA 的 NIC 則專用於記憶體東西方流量。 如果您打算使用現有的網路交換器，請確定交換器的製造和模型位於 Azure 本機所支援 核准的網路交換器清單。

7. 請與硬體 OEM 或 SI 合作夥伴合作，以安排硬體的傳遞。 SI 合作夥伴或您的員工接著需要將硬體整合到內部部署資料中心或邊緣位置，例如機架和堆疊實體節點的硬體、實體網路和電源供應裝置纜線。

8. 執行 Azure 本機實例部署。 根據您選擇的解決方案版本（頂級解決方案、整合系統或已驗證的節點），硬體合作夥伴、SI 合作夥伴或您的員工都可以 部署 Azure 本機軟體。 此步驟會先將 Azure Stack HCI OS 上線至已啟用 Azure Arc 的伺服器，然後啟動 Azure 本機雲端部署程式。 客戶和合作夥伴可以直接在 azure 入口網站中Microsoft提出支援要求，Azure 入口網站，方法是選取 支援 + 疑難解答 圖示，或連絡其硬體 OEM 或 SI 合作夥伴，視要求的性質和硬體解決方案類別而定。

   提示

   Azure Stack HCI OS 版本 23H2 系統參考實作 示範如何使用 ARM 範本和參數檔案部署 Azure Local 的切換多伺服器部署。 或者，Bicep 範例 示範如何使用 Bicep 範本來部署 Azure 本機實例，包括其必要條件資源。

9. 使用 Azure 入口網站、CLI 或 ARM + Azure Arc 範本在 Azure 本機上部署高可用性工作負載，以進行自動化。 當您 部署工作負載資源，例如 Azure Arc VM、AKS、Azure 虛擬桌面會話主機或其他已啟用 Azure Arc 的服務， 您可以在 Azure 本機上透過 AKS 擴充功能和容器化啟用時，使用新 HCI 叢集 自定義位置 資源作為目標區域。

10. 安裝每月更新，以改善平臺的安全性和可靠性。 若要讓您的 Azure 本機實例保持在最新狀態，請務必安裝Microsoft軟體更新和硬體 OEM 驅動程式和韌體更新。 這些更新可改善平臺的安全性和可靠性。 Update Manager 套用更新，並提供集中式且可調整的解決方案，以跨單一叢集或多個叢集安裝更新。 請洽詢硬體 OEM 合作夥伴，以判斷安裝硬體驅動程式和韌體更新的程式，因為此程式可能會因您選擇的硬體解決方案類別類型（頂級解決方案、整合系統或已驗證的節點）而有所不同。 如需詳細資訊，請參閱 基礎結構更新。

相關資源

• 混合式架構設計
• Azure 混合式選項
• 混合式環境中的 自動化
• Azure 自動化狀態設定
• 使用 Azure Arc 優化內部部署和多重雲端環境中的 SQL Server 實例管理

後續步驟

產品檔案：

• Azure Stack HCI OS 版本 23H2 版本資訊
• Azure 本機 上的 AKS
• 適用於 Azure 本機 的 Azure 虛擬桌面
• 什麼是 Azure 本機監視？
• 使用 Azure 本機 上的 Site Recovery 保護 VM 工作負載
• 監視器概觀
• 變更追蹤和清查概觀
• Update Manager 概觀
• 什麼是已啟用 Azure Arc 的數據服務？
• 什麼是已啟用 Azure Arc 的伺服器？
• 什麼是備份服務？

產品檔，以取得特定 Azure 服務的詳細資料：

• Azure 本機
• Azure Arc
• Key Vault
• Azure Blob 記憶體
• 監視器
• Azure 原則
• Azure Container Registry
• 適用於雲端的 Defender
• Site Recovery
• 備份

Microsoft Learn 課程模組：

• 設定監視器
• 在 Azure 中設計月臺復原解決方案
• 已啟用 Azure Arc 的伺服器簡介
• 已啟用 Azure Arc 的數據服務簡介
• AKS 簡介
• 隨處使用 Machine Learning 調整模型部署 - 技術社群部落格
• 使用 AKS 和已啟用 Azure Arc 的 Machine Learning 在任何地方實現 Machine Learning - 技術社群部落格
• 使用已啟用 Azure Arc 的機器學習在 AKS 混合式和 Stack HCI 上 機器學習 - 技術社群部落格
• Machine Learning 中的 Kubernetes 計算目標簡介
• 保持 VM 更新
• 使用自動化狀態設定保護 VM 設定
• 使用備份 保護您的 VM