Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Os Arquivos do Azure são uma solução de armazenamento de arquivos da Microsoft para a nuvem. Os Arquivos do Azure fornecem compartilhamentos de arquivos SMB (bloco de mensagens de servidor) e NFS (sistema de arquivos de rede) que podem ser montados em clientes na nuvem, localmente ou em ambos. Você também pode usar a Sincronização de Arquivos do Azure para armazenar em cache compartilhamentos de arquivos SMB em um servidor Windows local e arquivos usados com pouca frequência na nuvem.
Este artigo pressupõe que, como arquiteto, você revisou as opções de armazenamento e escolheu os Arquivos do Azure como o serviço de armazenamento no qual executar suas cargas de trabalho. As diretrizes neste artigo fornecem recomendações arquitetônicas que são alinhadas aos princípios dos pilares do Azure Well-Architected Framework.
Reliability
A finalidade do pilar confiabilidade é fornecer funcionalidade contínua criando resiliência suficiente e a capacidade de se recuperar rapidamente de falhas.
Os princípios de design de confiabilidade fornecem uma estratégia de design de alto nível aplicada a componentes individuais, cargas de trabalho, fluxos do sistema e o sistema como um todo.
Lista de verificação de design de carga de trabalho
Inicie sua estratégia de design com base na lista de verificação de design para Confiabilidade. Determine sua relevância para seus requisitos de negócios, tendo em mente a natureza do seu aplicativo e a criticidade de seus componentes. Estenda a estratégia para incluir mais abordagens conforme necessário.
Use a análise do modo de falha: Minimize os pontos de falha considerando as dependências internas, como a disponibilidade de redes virtuais, o Azure Key Vault, a Rede de Distribuição de Conteúdo do Azure ou os pontos de extremidade do Azure Front Door. Falhas poderão ocorrer se você precisar de credenciais para acessar os Arquivos do Azure e as credenciais desaparecerem do Key Vault. Ou você pode ter uma falha se suas cargas de trabalho usarem um ponto de extremidade baseado em uma rede de distribuição de conteúdo ausente. Nesses casos, talvez seja necessário configurar suas workloads para se conectar a um endpoint alternativo. Para obter informações gerais sobre a análise do modo de falha, consulte Recomendações para executar a análise do modo de falha.
Definir destinos de confiabilidade e recuperação: examine os SLAs (contratos de nível de serviço) do Azure. Derivar o SLO (objetivo de nível de serviço) para a conta de armazenamento. Por exemplo, a configuração de redundância escolhida pode afetar o SLO. Considere o efeito de uma interrupção regional, o potencial de perda de dados e o tempo necessário para restaurar o acesso após uma interrupção. Considere também a disponibilidade de dependências internas que você identificou como parte da análise do modo de falha.
Configurar a redundância de dados: para obter durabilidade máxima, escolha uma configuração que copie dados entre zonas de disponibilidade ou regiões globais. Para obter a disponibilidade máxima, escolha uma configuração que permita que os clientes leiam dados da região secundária durante uma interrupção da região primária.
Projete aplicativos: Projete seus aplicativos para alternarem perfeitamente e lerem dados de uma região secundária caso a região primária fique indisponível. Essa consideração de design se aplica apenas a configurações de GRS (armazenamento com redundância geográfica) e GZRS (armazenamento com redundância de zona geográfica). Projete seus aplicativos para lidar corretamente com interrupções, o que reduz o tempo de inatividade para os clientes.
Explore os recursos para ajudá-lo a atender aos seus destinos de recuperação: torne os arquivos restauráveis para que você possa recuperar arquivos corrompidos, editados ou excluídos.
Crie um plano de recuperação: considere recursos de proteção de dados, operações de backup e restauração ou procedimentos de failover. Prepare-se para possíveis perdas de dados e inconsistências de dados e o tempo e o custo do failover. Para obter mais informações, consulte Recomendações para criar uma estratégia de recuperação de desastre.
Monitorar possíveis problemas de disponibilidade: assine o painel de Integridade do Serviço do Azure para monitorar possíveis problemas de disponibilidade. Use métricas de armazenamento e logs de diagnóstico no Azure Monitor para investigar alertas.
Recomendações de configuração
| Recommendation | Benefit |
|---|---|
| Configure sua conta de armazenamento para redundância. Para obter disponibilidade e durabilidade máximas, configure sua conta com ZRS (armazenamento com redundância de zona),GRS ou GZRS. As regiões limitadas do Azure dão suporte ao ZRS para compartilhamentos de arquivos standard e SSD (premium ). Somente contas SMB padrão dão suporte a GRS e GZRS. Compartilhamentos Premium SMB e compartilhamentos NFS não dão suporte a GRS e GZRS. O Arquivos do Azure não oferece suporte ao armazenamento georredundante de acesso de leitura (RA-GRS) ou ao armazenamento georredundante de zona de acesso de leitura (RA-GZRS). Se você configurar uma conta de armazenamento para usar RA-GRS ou RA-GZRS, os compartilhamentos de arquivos serão configurados e cobrados como GRS ou GZRS. |
A redundância protege seus dados contra falhas inesperadas. As opções de configuração do ZRS e do GZRS são replicadas em várias zonas de disponibilidade e permitem que os aplicativos continuem lendo dados durante uma interrupção. Para obter mais informações, consulte Durabilidade e disponibilidade por cenário de interrupção e parâmetros de durabilidade e disponibilidade. |
| Antes de iniciar um failover ou failback, verifique o valor da propriedade hora da última sincronização para avaliar o potencial de perda de dados. Essa recomendação se aplica somente às configurações grs e GZRS. | Essa propriedade ajuda você a estimar quantos dados você pode perder se iniciar um failover de conta. Todos os dados e metadados gravados antes da hora da última sincronização estão disponíveis na região secundária, mas você pode perder dados e metadados gravados após a última hora de sincronização, pois não são gravados na região secundária. |
| Como parte de sua estratégia de backup e recuperação, habilite a exclusão reversível e use instantâneos para restauração pontual. Você pode usar o Backup do Azure para fazer backup de seus compartilhamentos de arquivos SMB. Você também pode usar a Sincronização de Arquivos do Azure para fazer backup de compartilhamentos de arquivos SMB locais em um compartilhamento de arquivos do Azure. O Backup do Azure também permite que você faça um backup em cofre dos Arquivos do Azure para proteger seus dados contra ataques de ransomware ou perda de dados de origem devido a um agente mal-intencionado ou administrador desonesto. Ao usar o backup em cofre, o Backup do Azure copia e armazena dados no cofre dos Serviços de Recuperação. Isso cria uma cópia de dados fora do local que você pode reter por até 99 anos. O Backup do Azure cria e gerencia os pontos de recuperação de acordo com o agendamento e a retenção definidos na política de backup. Saiba mais. |
A exclusão reversível funciona em um nível de compartilhamento de arquivos para proteger os compartilhamentos de arquivos do Azure contra exclusão acidental. A restauração em um ponto específico no tempo protege contra exclusão acidental ou corrupção porque você pode restaurar compartilhamentos de arquivos para um estado anterior. Para obter mais informações, veja Descrição geral da proteção de dados. |
Segurança
O objetivo do pilar Segurança é fornecer garantias de confidencialidade, integridade e disponibilidade para a carga de trabalho.
Os princípios de design de segurança fornecem uma estratégia de design de alto nível para atingir essas metas aplicando abordagens ao design técnico da configuração de armazenamento de arquivos.
Os requisitos de segurança e as recomendações variam dependendo se sua carga de trabalho usa o protocolo SMB ou NFS para acessar seus compartilhamentos de arquivos. Portanto, as seções a seguir têm listas de verificação de design e recomendações separadas para compartilhamentos de arquivos SMB e NFS.
Como prática recomendada, você deve manter os compartilhamentos de arquivos SMB e NFS em contas de armazenamento separadas porque eles têm requisitos de segurança diferentes. Use essa abordagem para fornecer à sua carga de trabalho uma forte segurança e alta flexibilidade.
Lista de verificação de design de carga de trabalho para compartilhamentos de arquivos SMB
Comece sua estratégia de design com base no checklist de revisão do design de segurança. Identifique vulnerabilidades e controles para melhorar a postura de segurança. Estenda a estratégia para incluir mais abordagens conforme necessário.
Examine a linha de base de segurança do Armazenamento do Azure: para começar, examine a linha de base de segurança do Armazenamento.
Considere o uso de controles de rede para restringir o tráfego de entrada e saída: você pode estar confortável expondo sua conta de armazenamento à Internet pública em determinadas condições, como se você usa a autenticação baseada em identidade para conceder acesso a compartilhamentos de arquivos. Mas recomendamos que você use controles de rede para conceder o nível mínimo necessário de acesso a usuários e aplicativos. Para obter mais informações, consulte Como abordar a segurança de rede para sua conta de armazenamento.
Reduzir a superfície de ataque: use a criptografia em trânsito e impeça o acesso em conexões HTTP (não seguras) para reduzir a superfície de ataque. Exigir que os clientes enviem e recebam dados usando a versão mais recente do protocolo TLS (Transport Layer Security).
Minimize o uso de chaves de conta de armazenamento: a autenticação baseada em identidade fornece segurança superior em comparação com o uso de uma chave de conta de armazenamento. Você pode usar o modelo de permissão do Windows para administrador SMB assumir a propriedade de um arquivo ou diretório e configurar ACLs do Windows sem usar a chave da conta de armazenamento. Conceda às entidades de segurança apenas as permissões necessárias de que elas precisam para executar suas tarefas.
Proteger informações confidenciais: proteja informações confidenciais, como chaves de conta de armazenamento e senhas. Não recomendamos que você use essas formas de autorização, mas, se o fizer, deverá rotacioná-las, definir um prazo de validade e armazená-las com segurança.
Detectar ameaças: permitir que o Microsoft Defender para Armazenamento detecte tentativas potencialmente prejudiciais de acessar ou explorar seus compartilhamentos de arquivos do Azure em protocolos SMB ou FileREST. Os administradores de assinatura recebem alertas de email com detalhes de atividades suspeitas e recomendações sobre como investigar e corrigir ameaças. O Defender para Armazenamento não dá suporte a recursos antivírus para compartilhamentos de arquivos do Azure. Se você usar o Defender para Armazenamento, os compartilhamentos de arquivos com muitas transações incorrerão em custos significativos, portanto, considere optar por não usar o Defender para Armazenamento em contas de armazenamento específicas.
Implementar o Entra ID para autenticação e autorização: prefira padrões de acesso SMB baseados em identidade que permitam que cargas de trabalho e usuários se autentiquem sem chaves de conta de armazenamento nem segredos de entidade de serviço. O Arquivos do Azure oferece suporte a identidades gerenciadas para acesso de aplicativos e automação e a identidades exclusivas do Entra para acesso de usuários, o que reduz a proliferação de credenciais e elimina a necessidade de estender o Active Directory híbrido apenas para autorizar compartilhamentos de arquivos. Para o AKS, use a identidade da carga de trabalho com o driver CSI do Arquivos do Azure para que cada pod se autentique nos compartilhamentos SMB por meio de sua identidade de carga de trabalho federada. A desvantagem é que você precisa validar RBAC, compartilhar permissões, federação de identidade e suporte ao cliente juntos para que as alterações de identidade não interrompam montagens persistentes ou sessões de usuário.
Recomendações de configuração para compartilhamentos de arquivos SMB
| Recommendation | Benefit |
|---|---|
| Aplique um bloqueio do Azure Resource Manager na conta de armazenamento. | Bloqueie a conta para evitar a exclusão acidental ou mal-intencionada da conta de armazenamento, o que pode causar perda de dados. |
| Abra a porta TCP 445 de saída ou configure um gateway de VPN ou uma conexão do Azure ExpressRoute para clientes fora do Azure acessarem o compartilhamento de arquivos. | O SMB 3.x é um protocolo seguro para a Internet, mas talvez você não tenha a capacidade de alterar políticas organizacionais ou ISP. Você pode usar um gateway de VPN ou uma conexão do ExpressRoute como uma opção alternativa. |
| Se você abrir a porta 445, desabilite o SMBv1 em clientes Windows e Linux . Os Arquivos do Azure não dão suporte ao SMB 1, mas você ainda deve desabilitá-lo em seus clientes. | SMB 1 é um protocolo desatualizado, ineficiente e inseguro. Desabilite-o nos clientes para melhorar sua postura de segurança. |
| Considere desabilitar o acesso à rede pública para sua conta de armazenamento. Habilite o acesso à rede pública somente se clientes SMB e serviços externos ao Azure exigirem acesso à sua conta de armazenamento. Se você desabilitar o acesso à rede pública, crie um ponto de extremidade privado para sua conta de armazenamento. Aplicam-se as taxas de processamento de dados padrão para pontos de extremidade privados. Um ponto de extremidade privado não bloqueia conexões com o ponto de extremidade público. Você ainda deve desabilitar o acesso à rede pública, conforme descrito anteriormente. Se você não precisar de um endereço IP estático para o compartilhamento de arquivos e quiser evitar o custo de pontos de extremidade privados, poderá restringir o acesso de ponto de extremidade público a redes virtuais e endereços IP específicos. |
O tráfego de rede viaja pela rede de backbone da Microsoft em vez da Internet pública, o que elimina a exposição de risco da Internet pública. |
| Habilite regras de firewall que limitam o acesso a redes virtuais específicas. Comece sem acesso e, em seguida, metodicamente e incrementalmente forneça a menor quantidade de acesso necessária para clientes e serviços. | Minimize o risco de criar aberturas para invasores. |
| Quando possível, use a autenticação baseada em identidade com criptografia de tíquete Kerberos AES-256 para autorizar o acesso aos compartilhamentos de arquivos do Azure SMB. | Use a autenticação baseada em identidade para diminuir a possibilidade de um invasor usar uma chave de conta de armazenamento para acessar compartilhamentos de arquivos. |
| Se você usar chaves de conta de armazenamento, armazene-as no Key Vault e certifique-se de regenere-las periodicamente. Você pode proibir completamente o acesso à chave da conta de armazenamento ao compartilhamento de arquivos removendo NTLMv2 das configurações de segurança SMB do compartilhamento. Mas você geralmente não deve remover NTLMv2 das configurações de segurança SMB do compartilhamento, pois talvez os administradores ainda precisem usar a chave da conta de armazenamento para algumas tarefas. |
Use o Key Vault para recuperar chaves em runtime em vez de salvá-las com seu aplicativo. O Key Vault também facilita a rotação de suas chaves sem interromper seus aplicativos. Gire periodicamente as chaves da conta para reduzir o risco de expor seus dados a ataques mal-intencionados. |
| Na maioria dos casos, você deve habilitar a opção de transferência segura necessária em todas as suas contas de armazenamento para habilitar a criptografia em trânsito para compartilhamentos de arquivos SMB. Não habilite essa opção se você precisar permitir que clientes muito antigos acessem o compartilhamento. Se você desabilitar a transferência segura, use os controles de rede para restringir o tráfego. |
Essa configuração garante que todas as solicitações feitas na conta de armazenamento ocorram por https (conexões seguras). Todas as solicitações feitas por HTTP falharão. |
| Configure sua conta de armazenamento para que o TLS 1.2 seja a versão mínima para os clientes enviarem e receberem dados. | A versão 1.2 é mais segura e mais rápida que as versões 1.0 e 1.1 do TLS, que não dão suporte aos modernos algoritmos e conjuntos de criptografia. |
| Use apenas a versão de protocolo SMB com suporte mais recente (atualmente 3.1.1.) e use apenas o AES-256-GCM para criptografia de canal SMB. Os Arquivos do Azure expõem as configurações que você pode usar para alternar o protocolo SMB e torná-lo mais compatível ou mais seguro, dependendo dos requisitos da sua organização. Por padrão, todas as versões SMB são permitidas. No entanto, o SMB 2.1 não será permitido se você habilitar Exigir transferência segura porque o SMB 2.1 não dá suporte à criptografia de dados em trânsito. Se você restringir essas configurações a um alto nível de segurança, talvez alguns clientes não consigam se conectar ao compartilhamento de arquivos. |
O SMB 3.1.1, lançado com o Windows 10, contém atualizações importantes de segurança e desempenho. O AES-256-GCM oferece criptografia de canal mais segura. |
Lista de verificação de design de carga de trabalho para compartilhamentos de arquivos NFS
Examine a linha de base de segurança do Armazenamento: para começar, examine a linha de base de segurança do Armazenamento.
Entenda os requisitos de segurança da sua organização: os compartilhamentos de arquivos do Azure NFS só dão suporte a clientes Linux que usam o protocolo NFSv4.1, com suporte para a maioria dos recursos da especificação de protocolo 4.1. Alguns recursos de segurança não têm suporte, como a autenticação Kerberos e as listas de controle de acesso (ACLs).
Use a segurança e os controles em nível de rede para restringir o tráfego de entrada e saída: a autenticação baseada em identidade não está disponível para compartilhamentos de arquivos do Azure NFS, portanto, você deve usar a segurança e os controles em nível de rede para conceder o nível mínimo necessário de acesso a usuários e aplicativos. Para obter mais informações, consulte Como abordar a segurança de rede para sua conta de armazenamento.
Recomendações de configuração para compartilhamentos de arquivos NFS
| Recommendation | Benefit |
|---|---|
| Aplique um bloqueio do Resource Manager na conta de armazenamento. | Bloqueie a conta para evitar a exclusão acidental ou mal-intencionada da conta de armazenamento, o que pode causar perda de dados. |
| Você deve abrir a porta 2049 nos clientes para os quais deseja montar seu compartilhamento NFS. | Abra a porta 2049 para permitir que os clientes se comuniquem com o compartilhamento de arquivos do Azure NFS. |
| Os compartilhamentos de arquivos do Azure do NFS só podem ser acessados por meio de redes restritas. Portanto, você deve criar um ponto de extremidade privado para sua conta de armazenamento ou restringir o acesso de ponto de extremidade público a redes virtuais e endereços IP selecionados. Recomendamos que você crie um ponto de extremidade privado. Recomendamos configurar a segurança em nível de rede para compartilhamentos NFS. Você também pode habilitar a criptografia em trânsito. As taxas padrão de processamento de dados se aplicam a pontos de extremidade privados. Se você não precisar de um endereço IP estático para o compartilhamento de arquivos e quiser evitar o custo de pontos de extremidade privados, poderá restringir o acesso ao ponto de extremidade público. |
O tráfego de rede viaja pela rede de backbone da Microsoft em vez da Internet pública, o que elimina a exposição de risco da Internet pública. |
| Considere não permitir o acesso à chave da conta de armazenamento no nível da conta de armazenamento. Você não precisa desse acesso para montar compartilhamentos de arquivos NFS. Mas tenha em mente que o controle administrativo total de um compartilhamento de arquivos NFS, incluindo a capacidade de assumir a propriedade de um arquivo, requer o uso de uma chave de conta de armazenamento. | Não permitir o uso de chaves de conta de armazenamento para tornar sua conta de armazenamento mais segura. |
Otimização de custos
A otimização de custos se concentra na na detecção de padrões de gastos, na priorização de investimentos em áreas críticas e na otimização de outras para atender ao orçamento da organização e, ao mesmo tempo, aos requisitos comerciais.
Os princípios de design de Otimização de Custos fornecem uma estratégia de design de alto nível para atingir essas metas e fazer compensações conforme necessário no design técnico relacionado ao armazenamento de arquivos e seu ambiente.
Lista de verificação de design de carga de trabalho
Comece sua estratégia de design com base na lista de verificação de revisão de design para otimização de custos em investimentos. Ajuste o design para que a carga de trabalho seja alinhada com o orçamento alocado para a carga de trabalho. Seu design deve usar os recursos corretos do Azure, monitorar investimentos e encontrar oportunidades para otimizar ao longo do tempo.
Decida se sua carga de trabalho requer o desempenho de compartilhamentos de arquivos SSD (premium) ou se o armazenamento HDD padrão é suficiente: determine o tipo de conta de armazenamento e o modelo de cobrança com base no tipo de armazenamento necessário. Se você precisar de grandes quantidades de IOPS (operações de entrada/saída por segundo), velocidades de transferência de dados extremamente rápidas ou latência muito baixa, deverá escolher compartilhamentos de arquivos do SSD Azure. Os compartilhamentos de arquivos do Azure do NFS só estão disponíveis para a camada de mídia SSD. Os compartilhamentos de arquivos NFS e SMB têm o mesmo preço do SSD.
Crie uma conta de armazenamento para o compartilhamento de arquivos e escolha um nível de redundância: escolha uma conta padrão (GPv2) ou premium (FileStorage). O nível de redundância escolhido afeta o custo. Quanto mais redundância, maior o custo. O LRS (armazenamento com redundância local) é o mais acessível. O GRS só está disponível para compartilhamentos de arquivos SMB padrão. Os compartilhamentos de arquivos padrão mostram apenas as informações de transação no nível da conta de armazenamento, portanto, recomendamos que você implante apenas um compartilhamento de arquivos em cada conta de armazenamento para garantir a visibilidade total da cobrança.
Entenda como sua fatura é calculada: os Arquivos do Azure fornecem três modelos de cobrança diferentes: pagamento conforme o uso, v2 provisionado e v1 provisionado. O modelo de pagamento conforme o uso pode ser economicamente eficiente porque você paga apenas pelo que usa; você não precisa provisionar recursos em excesso ou reduzir o armazenamento com base em requisitos de desempenho ou flutuações na demanda. No modelo pago conforme o uso, os medidores rastreiam a quantidade de dados armazenados na conta ou a capacidade e o número e o tipo de transações com base no uso desses dados. Nos modelos provisionados, você especifica e paga uma determinada quantidade de capacidade, IOPS e taxa de transferência antecipadamente.
Mas você pode achar difícil planejar o armazenamento como parte de um processo de orçamento porque o consumo do usuário final gera custos. Com os modelos provisionados, as transações não afetam a cobrança, portanto, os custos são fáceis de prever. Mas você paga pela capacidade de armazenamento provisionada, quer a use ou não. Para obter uma análise detalhada de como os custos são calculados, consulte Noções básicas sobre a cobrança dos Arquivos do Azure.
Estimar o custo da capacidade e das operações: você pode usar a calculadora de preços do Azure para modelar os custos associados ao armazenamento de dados, entrada e saída. Compare o custo associado a várias regiões, tipos de conta e configurações de redundância. Para obter mais informações, consulte os preços dos Arquivos do Azure. Você também pode consultar a lista de verificação de custo total de propriedade do compartilhamento de arquivos.
Escolha a camada de acesso mais econômica: os compartilhamentos de arquivos do Azure SMB Standard oferecem três camadas de acesso: otimizado para transações, frequentes e esporádicos. Todas as três camadas são armazenadas no mesmo hardware de armazenamento padrão. A principal diferença entre essas três camadas é o preço do armazenamento de dados em repouso, que é menor nas camadas mais esporádicas, e o preço das transações, que é maior nas camadas mais esporádicas. Para obter mais informações, consulte Diferenças nas camadas padrão.
Decida quais serviços de valor agregado você precisa: os Arquivos do Azure dão suporte a integrações com serviços de valor agregado , como Backup, Sincronização de Arquivos do Azure e Defender para Armazenamento. Essas soluções têm seus próprios custos de licenciamento e produto, mas geralmente são consideradas parte do custo total de propriedade para o armazenamento de arquivos. Considere outros aspectos de custo se você usar a Sincronização de Arquivos do Azure.
Criar proteções: criar orçamentos com base em assinaturas e grupos de recursos. Use políticas de governança para restringir tipos de recursos, configurações e locais. Além disso, use o RBAC (controle de acesso baseado em função) para bloquear ações que podem levar a gastos excessivos.
Monitorar custos: verifique se os custos permanecem dentro dos orçamentos, compare os custos com as previsões e veja onde ocorre o excesso de gastos. Você pode usar o painel de análise de custos no portal do Azure para monitorar os custos. Você também pode exportar dados de custo para uma conta de armazenamento e usar o Excel ou o Power BI para analisar esses dados.
Monitorar o uso: monitore continuamente os padrões de uso para detectar contas de armazenamento não utilizados ou subutilizados e compartilhamentos de arquivos. Verifique se há aumentos inesperados na capacidade, o que pode indicar que você está coletando vários arquivos de log ou arquivos com exclusão reversível. Desenvolva uma estratégia para excluir arquivos ou mover arquivos para camadas de acesso mais econômicas.
Recomendações de configuração
| Recommendation | Benefit |
|---|---|
| Ao migrar para compartilhamentos de arquivos padrão do Azure, recomendamos que você comece na camada com otimização de transação durante a migração inicial. O uso de transações durante a migração normalmente não é indicativo do uso normal de transações. Essa consideração não se aplica a compartilhamentos de arquivos SSD porque os modelos de cobrança provisionados não cobram por transações. | A migração para Arquivos do Azure é uma carga de trabalho temporária e com muitas transações. Otimize o custo das cargas de trabalho de alta transação para ajudar a reduzir os custos de migração. |
| Depois de migrar sua carga de trabalho, se você usar compartilhamentos de arquivos padrão, escolha cuidadosamente o nível de acesso mais econômico para seu compartilhamento de arquivos: quente, frio ou otimizado para transações. Depois de operar por alguns dias ou semanas com uso regular, você pode inserir suas contagens de transações na calculadora de preços para descobrir qual camada melhor se adapta à sua carga de trabalho. A maioria dos clientes deve escolher esporádico mesmo que usem ativamente o compartilhamento. Mas você deve examinar cada ação e comparar o saldo da capacidade de armazenamento com as transações para determinar seu nível. Se os custos de transação comporem uma porcentagem significativa da sua fatura, a economia com o uso da camada de acesso frio geralmente compensará esse custo e minimizará o custo total total. Recomendamos que você mova os compartilhamentos de arquivos padrão entre as camadas de acesso somente quando necessário para otimizar as alterações em seu padrão de carga de trabalho. Cada movimentação incorre em transações. Para obter mais informações, consulte Alternar entre as camadas padrão. |
Selecione a camada de acesso apropriada para compartilhamentos de arquivos padrão para reduzir consideravelmente seus custos. |
| Se você usar um modelo de cobrança provisionado, certifique-se de provisionar capacidade e desempenho mais do que suficientes para sua carga de trabalho, mas não tanto que você incorre em custos desnecessários. Recomendamos um superprovisionamento de duas a três vezes. Você pode dimensionar dinamicamente os compartilhamentos de arquivos SSD para cima ou para baixo, dependendo das características de desempenho de armazenamento e de entrada/saída (E/S). | Superprovisione compartilhamentos de arquivos SSD em um valor razoável para ajudar a manter o desempenho e considerar os requisitos futuros de crescimento e desempenho. |
| Use as reservas de Arquivos do Azure, também conhecidas como instâncias reservadas, para se comprometer previamente com o uso do armazenamento e obter um desconto. Use reservas para cargas de trabalho de produção ou cargas de trabalho de desenvolvimento/teste com perfis consistentes. Para obter mais informações, consulte Otimizar custos com reservas de armazenamento. As reservas não incluem encargos de transação, largura de banda, transferência de dados e armazenamento de metadados. |
As reservas de três anos podem fornecer um desconto de até 36% sobre o custo total do armazenamento de arquivos. As reservas não afetam o desempenho. |
| Monitorar o uso de instantâneos. Os snapshots geram custos, mas são cobrados com base na utilização diferencial de armazenamento de cada snapshot. Você paga apenas pela diferença em cada captura. Para obter mais informações, consulte Snapshots. A Sincronização de Arquivos do Azure usa instantâneos de nível de compartilhamento e de arquivo como parte do uso regular, o que pode aumentar sua fatura total dos Arquivos do Azure. |
Instantâneos diferenciais garantem que você não seja cobrado várias vezes pelo armazenamento dos mesmos dados. No entanto, você ainda deve monitorar o uso dos snapshots para ajudar a reduzir sua fatura do Arquivos do Azure. |
| Defina os períodos de retenção para o recurso de exclusão reversível, especialmente quando você começar a usá-lo pela primeira vez. Considere começar com um curto período de retenção para entender melhor como o recurso afeta sua conta. O período de retenção mínimo recomendado é de sete dias. Quando você realiza uma exclusão suave de compartilhamentos de arquivos, eles são cobrados como capacidade usada em vez de capacidade provisionada. E os compartilhamentos de arquivos SSD são cobrados na taxa de instantâneos durante o estado de exclusão reversível. Os compartilhamentos de arquivos padrão são cobrados na taxa regular durante o estado de exclusão temporária. |
Defina um período de retenção para que os arquivos excluídos temporariamente não se acumulem, aumentando assim os custos de capacidade. Após o período de retenção configurado, os dados excluídos permanentemente não incorrem em custo. |
Excelência operacional
A Excelência Operacional concentra-se principalmente em procedimentos relacionados às práticas de desenvolvimento , observabilidade e gerenciamento de lançamentos.
Os princípios de design da Excelência Operacional fornecem uma estratégia de design de alto nível para atingir essas metas para os requisitos operacionais da carga de trabalho.
Lista de verificação de design de carga de trabalho
Inicie sua estratégia de design com base na lista de verificação de revisão de design da Excelência Operacional para definir processos de observabilidade, teste e implantação relacionados à configuração de armazenamento de arquivos.
Crie planos de manutenção e recuperação de emergência: considere recursos de proteção de dados, operações de backup e restauração e procedimentos de failover. Prepare-se para possíveis perdas de dados e inconsistências de dados e o tempo e o custo do failover.
Monitore a integridade da sua conta de armazenamento: crie painéis de insights de armazenamento para monitorar as métricas de disponibilidade, desempenho e resiliência. Configure alertas para identificar e resolver problemas em seu sistema antes que os clientes os observem. Use as configurações de diagnóstico para rotear logs de recursos para um Workspace do Azure Monitor Logs. Em seguida, você pode consultar logs para investigar alertas mais profundamente.
Revisão periódica da atividade de compartilhamento de arquivos: a atividade de compartilhamento pode mudar ao longo do tempo. Mova compartilhamentos de arquivos padrão para camadas de acesso mais esporádicas ou você pode provisionar ou desprovisionar a capacidade para compartilhamentos premium. Ao mover compartilhamentos de arquivos padrão para uma camada de acesso diferente, você incorre em uma cobrança de transação. Mova os compartilhamentos de arquivos padrão somente quando necessário para reduzir sua fatura mensal.
Recomendações de configuração
| Recommendation | Benefit |
|---|---|
| Use a infraestrutura como código (IaC) para definir os detalhes de suas contas de armazenamento em modelos do ARM (modelos do Azure Resource Manager),Bicep ou Terraform. | Você pode usar seus processos de DevOps existentes para implantar novas contas de armazenamento e usar o Azure Policy para impor sua configuração. |
| Use informações de armazenamento para acompanhar a saúde e o desempenho de suas contas de armazenamento. Os insights de armazenamento fornecem uma exibição unificada das falhas, desempenho, disponibilidade e capacidade para todas as suas contas de armazenamento. | Você pode acompanhar a integridade e a operação de cada uma de suas contas. Crie facilmente dashboards e relatórios que os stakeholders podem usar para acompanhar a integridade de suas contas de armazenamento. |
| Use o Monitor para analisar métricas, como disponibilidade, latência e uso, e para criar alertas. | O Monitor fornece uma exibição de disponibilidade, desempenho e resiliência para seus compartilhamentos de arquivos. |
| Considere usar a Extensão do Sincronização de Arquivos do Azure Arc para ambientes híbridos com Windows Servers habilitados para Arc. | Habilita a implantação de sincronização de arquivos em ambientes multinuvem e de borda ao centralizar o gerenciamento por meio do Azure. Isso simplifica as operações para cenários de fabricação distribuída, varejo ou escritório remoto em que o acesso consistente a arquivos é necessário em vários locais com gerenciamento simplificado baseado no Azure. |
Eficiência de desempenho
Eficiência de desempenho significa manter a experiência do usuário mesmo quando há um aumento na carga por meio do gerenciamento da capacidade. A estratégia inclui dimensionamento de recursos, identificação e otimização de possíveis gargalos e otimização para o desempenho de pico.
Os princípios de design de eficiência de desempenho fornecem uma estratégia de design de alto nível para atingir essas metas de capacidade considerando o uso esperado.
Lista de verificação de design de carga de trabalho
Comece sua estratégia de design com base na lista de verificação de revisão de design para eficiência de desempenho. Defina uma linha de base baseada nos principais indicadores de desempenho para sua configuração de armazenamento de arquivos.
Planejar a escala: entenda os destinos de escalabilidade e desempenho para contas de armazenamento, Arquivos do Azure e Sincronização de Arquivos do Azure.
Entenda seus padrões de uso e aplicativo para obter um desempenho previsível: determine a sensibilidade de latência, os requisitos de IOPS e taxa de transferência, a duração e a frequência da carga de trabalho e a paralelização da carga de trabalho. Use os Arquivos do Azure em aplicativos multithread para ajudar você a alcançar os limites máximos de desempenho de um serviço. Se a maioria das suas solicitações estiver centrada em metadados, como createfile, openfile, closefile, queryinfo ou querydirectory, as solicitações criarão latência ruim que é maior do que as operações de leitura e gravação. Se você tiver esse problema e estiver usando compartilhamentos de arquivos SMB do SSD, habilite o cache de metadados. Você também pode tentar separar o compartilhamento de arquivos em vários compartilhamentos de arquivos na mesma conta de armazenamento.
Escolha o tipo de conta de armazenamento ideal: se sua carga de trabalho exigir grandes quantidades de IOPS, velocidades de transferência de dados extremamente rápidas ou latência muito baixa, você deverá escolher contas de armazenamento premium (FileStorage). Você pode usar uma conta de uso geral padrão v2 para a maioria das cargas de trabalho de compartilhamento de arquivos SMB. A principal desvantagem entre os dois tipos de conta de armazenamento é o custo versus o desempenho.
O tamanho do compartilhamento provisionado, o IOPS, a saída, a entrada e os limites de arquivo único determinam o desempenho do compartilhamento de arquivos SSD. Os compartilhamentos de arquivos SSD também oferecem créditos de intermitência como uma apólice de seguro se você precisar exceder temporariamente o limite de IOPS de linha de base de um compartilhamento de arquivos.
Crie contas de armazenamento nas mesmas regiões que conectar clientes para reduzir a latência: quanto mais longe você estiver do serviço arquivos do Azure, maior a latência e mais difícil alcançar limites de escala de desempenho. Essa consideração é especialmente verdadeira quando você acessa os Arquivos do Azure de ambientes locais. Se possível, verifique se sua conta de armazenamento e seus clientes estão localizados na mesma região do Azure. Otimize para clientes locais minimizando a latência de rede ou usando uma conexão do ExpressRoute para estender redes locais para a nuvem da Microsoft por meio de uma conexão privada.
Coletar dados de desempenho: monitore o desempenho da carga de trabalho, incluindo latência, disponibilidade e métricas de uso . Analise logs para diagnosticar problemas como tempos limite e limitação. Crie alertas para notificá-lo se um compartilhamento de arquivos estiver sendo limitado, prestes a ser limitado ou com alta latência.
Otimizar para implantações híbridas: se você usar a Sincronização de Arquivos do Azure, o desempenho da sincronização dependerá de muitos fatores: o Windows Server e a configuração de disco subjacente, a largura de banda de rede entre o servidor e o armazenamento do Azure, o tamanho do arquivo, o tamanho total do conjunto de dados e a atividade no conjunto de dados. Para medir o desempenho de uma solução baseada na Sincronização de Arquivos do Azure, determine o número de objetos, como arquivos e diretórios, que você processa por segundo.
Recomendações de configuração
| Recommendation | Benefit |
|---|---|
| Habilite o SMB Multichannel para compartilhamentos de arquivos SMB do SSD. O SMB Multichannel permite que um cliente SMB 3.1.1 estabeleça várias conexões de rede com um compartilhamento de arquivos do Azure SMB. O SMB Multichannel só funciona quando o recurso está habilitado no lado do cliente (seu cliente) e no lado do serviço (Azure). Em clientes Windows, o SMB Multichannel é habilitado por padrão, mas você precisa habilitá-lo em sua conta de armazenamento. |
Aumente a taxa de transferência e o IOPS, reduzindo o custo total de propriedade. Os benefícios de desempenho aumentam com o número de arquivos que distribuem a carga. |
| Habilite o cache de metadados para compartilhamentos de arquivos SMB do SSD. O cache de metadados reduz a latência de metadados e eleva os limites de escala de metadados. | Melhora a consistência de latência e o IOPS disponível e aumenta a taxa de transferência de rede. |
| Use a opção de montagem do lado do cliente nconnect com compartilhamentos de arquivos do Azure NFS em clientes Linux. O Nconnect permite que você use mais conexões TCP entre o cliente e o serviço Premium do Arquivos do Azure para NFSv4.1. | Aumente o desempenho em escala e reduza o custo total de propriedade para compartilhamentos de arquivos NFS. |
| Verifique se o compartilhamento de arquivos ou a conta de armazenamento não está sendo limitada, o que pode resultar em alta latência, baixa taxa de transferência ou IOPS baixa. As solicitações são limitadas quando os limites de IOPS, entrada ou saída são atingidos. Para contas de armazenamento padrão, a limitação ocorre no nível da conta. Para compartilhamentos de arquivos premium, a limitação geralmente ocorre no nível de compartilhamento. |
Evite a limitação para fornecer a melhor experiência possível para o cliente. |
Políticas do Azure
O Azure fornece um amplo conjunto de políticas internas relacionadas aos Arquivos do Azure. Algumas das recomendações anteriores podem ser auditadas por meio de políticas do Azure. Por exemplo, você pode verificar se:
- Somente solicitações de conexões seguras, como HTTPS, são aceitas.
- A autorização de chave compartilhada está desabilitada.
- As regras de firewall de rede são aplicadas à conta.
- As configurações de diagnóstico dos Arquivos do Azure são definidas para enviar logs de recursos para um workspace de Logs do Azure Monitor.
- O acesso à rede pública está desabilitado.
- A Sincronização de Arquivos do Azure foi configurada com pontos de extremidade privados para utilizar zonas DNS privadas.
Para governança abrangente, examine as definições internas do Azure Policy para armazenamento e outras políticas que podem afetar a segurança da camada de computação.
Recomendações do Assistente do Azure
O Assistente do Azure é um consultor de nuvem personalizado que ajuda você a seguir as práticas recomendadas para otimizar suas implantações do Azure.
Para obter mais informações, consulte o Assistente do Azure.
Próxima etapa
Para obter mais informações, consulte a documentação dos Arquivos do Azure.