Procedure consigliate per l'architettura per Archiviazione BLOB di Azure

Usare l'analisi della modalità di errore: ridurre al minimo i punti di errore considerando le dipendenze interne, ad esempio la disponibilità di reti virtuali, Azure Key Vault o la rete per la distribuzione di contenuti di Azure o gli endpoint di Frontdoor di Azure. Possono verificarsi errori se le credenziali necessarie ai carichi di lavoro per accedere all'Archiviazione Blob mancano da Key Vault, oppure se i carichi di lavoro utilizzano un endpoint basato su una rete di distribuzione di contenuti rimossa. In questi casi, i carichi di lavoro potrebbero dover usare un endpoint alternativo per connettersi. Per informazioni generali sull'analisi della modalità di errore, vedere Raccomandazioni per l'esecuzione dell'analisi della modalità di errore.

Definire obiettivi di affidabilità e ripristino: esaminare i contratti di servizio di Azure. Derivare l'obiettivo relativo al livello di servizio (SLO) per l'account di storage. Ad esempio, l'SLO potrebbe essere interessato dalla configurazione di ridondanza scelta. Prendere in considerazione l'effetto di un'interruzione a livello di area, la potenziale perdita di dati e il tempo necessario per ripristinare l'accesso dopo un'interruzione. Prendere in considerazione anche la disponibilità di eventuali dipendenze interne identificate nell'ambito dell'analisi dei modi di guasto.

Configurare la ridondanza dei dati: per la durabilità massima, scegliere una configurazione che copia i dati tra zone di disponibilità o aree globali. Per la disponibilità massima, scegliere una configurazione che consenta ai client di leggere i dati dall'area secondaria durante un'interruzione dell'area primaria.

Progettare applicazioni: progettare applicazioni per passare alla lettura dei dati dall'area secondaria se l'area primaria non è più disponibile per qualsiasi motivo. Ciò richiede configurazioni di archiviazione con ridondanza geografica e accesso in lettura (RA-GRS) o archiviazione con ridondanza geografica della zona (RA-GZRS). Entrambe le configurazioni forniscono l'accesso in sola lettura ai dati nell'area secondaria. La progettazione di applicazioni per gestire le interruzioni riduce i tempi di inattività per gli utenti finali.

Esplorare le funzionalità per soddisfare le destinazioni di ripristino: rendere i BLOB ripristinabili in modo che possano essere ripristinati se sono danneggiati, modificati o eliminati per errore.

Creare un piano di ripristino: prendere in considerazione le funzionalità di protezione dei dati, le operazioni di backup e ripristino o le procedure di failover. Prepararsi per potenziali perdite di dati e incoerenze dei dati e il tempo e il costo del failover. Per altre informazioni, vedere Raccomandazioni per la progettazione di una strategia di ripristino di emergenza.

Monitorare i potenziali problemi di disponibilità: sottoscrivere il dashboard integrità dei servizi di Azure per monitorare i potenziali problemi di disponibilità. Usare le metriche di archiviazione in Monitoraggio di Azure e nei log di diagnostica per analizzare gli avvisi.

Analizzare periodicamente l'archivio dati: utilizzare Azure Storage Discovery e Azure Copilot per analizzare le configurazioni di ridondanza e ottimizzarle.

Esaminare la baseline di sicurezza per Archiviazione di Azure: per iniziare, esaminare prima di tutto la baseline di sicurezza per Archiviazione.

Usare i controlli di rete per limitare il traffico in ingresso e in uscita: disabilitare tutto il traffico pubblico per l'account di archiviazione. Usare i controlli di rete dell'account per concedere il livello minimo di accesso richiesto da utenti e applicazioni. Per altre informazioni, vedere Come affrontare la sicurezza di rete per l'account di archiviazione.

Ridurre la superficie di attacco: impedire l'accesso anonimo, l'accesso alla chiave dell'account o l'accesso tramite connessioni HTTP non sicure può ridurre la superficie di attacco. È possibile usare l'individuazione di Azure Storage con Azure Copilot per identificare queste minacce alla sicurezza nei tutti gli account. Richiedere ai client di inviare e ricevere dati usando la versione più recente del protocollo TLS (Transport Layer Security).

Autorizzare l'accesso senza usare password o chiavi: Microsoft Entra ID offre maggiore sicurezza e facilità d'uso rispetto alle chiavi condivise e alle firme di accesso condiviso. Concedere alle entità di sicurezza solo le autorizzazioni necessarie per eseguire le attività.

Proteggere le informazioni riservate: proteggere informazioni riservate, ad esempio chiavi dell'account e token di firma di accesso condiviso. Nonostante queste forme di autorizzazione non siano generalmente consigliate, è importante assicurarsi di ruotarle, annullarle e archiviarle in modo sicuro.

Abilitare l'opzione trasferimento sicuro obbligatorio: l'abilitazione di questa impostazione per tutti gli account di archiviazione garantisce che tutte le richieste effettuate sull'account di archiviazione debbano essere eseguite tramite connessioni sicure. Tutte le richieste effettuate su HTTP hanno esito negativo.

Proteggere gli oggetti critici: applicare criteri di immutabilità per proteggere gli oggetti critici. Le politiche proteggono i BLOB archiviati per scopi legali, di conformità o di altro tipo dall'essere modificati o eliminati. Configurare i blocchi per i periodi di tempo impostati o fino a quando le restrizioni non vengono revocate da un amministratore.

Rilevare le minacce: abilitareMicrosoft Defender per Archiviazione per rilevare le minacce. Gli avvisi di sicurezza vengono attivati quando si verifica un'anomalia nell'attività. Gli avvisi notificano agli amministratori delle sottoscrizioni tramite posta elettronica i dettagli delle attività sospette e le raccomandazioni su come analizzare e correggere le minacce.

Identificare i contatori usati per calcolare la fattura: i contatori vengono usati per tenere traccia della quantità di dati archiviati nell'account (capacità dati) e il numero e il tipo di operazioni eseguite per scrivere e leggere i dati. Esistono anche contatori associati all'uso di funzionalità facoltative come i tag di indice blob, l'inventario blob, il supporto per il feed delle modifiche, gli ambiti di crittografia e il supporto per il protocollo SFTP (SSH File Transfer Protocol). Per altre informazioni, vedere Come vengono addebitati i costi per Blob Storage.

Informazioni sul prezzo di ogni contatore: assicurarsi di usare la pagina dei prezzi appropriata e di applicare le impostazioni appropriate in tale pagina. Per altre informazioni, vedere Ricerca del prezzo unitario per ogni contatore. Prendere in considerazione il numero di operazioni associate a ogni prezzo. Ad esempio, il prezzo associato alle operazioni di scrittura e lettura si applica a 10.000 operazioni. Per determinare il prezzo di una singola operazione, dividere il prezzo elencato per 10.000.

Stimare il costo della capacità e delle operazioni: è possibile modellare i costi associati all'archiviazione dei dati, all'ingresso e all'uscita usando il calcolatore prezzi di Azure. Usa i campi per confrontare il costo associato a diverse regioni, tipi di account, tipi di namespace e configurazioni di ridondanza. Per determinati scenari, è possibile usare calcoli di esempio e fogli di lavoro disponibili nella documentazione Microsoft. Ad esempio, è possibile stimare il costo dell'archiviazione dei dati o stimare il costo dell'uso del comando AzCopy per trasferire i BLOB.

Scegliere un modello di fatturazione per la capacità: valutare se l'uso di un modello basato sull'impegno è più conveniente rispetto all'uso di un modello basato sul consumo. Se non si è certi della capacità necessaria, è possibile iniziare con un modello basato sul consumo, monitorare le metriche della capacità e quindi valutare in un secondo momento.

Scegliere un tipo di account, un livello di ridondanza e un livello di accesso predefinito: è necessario selezionare un valore per ognuna di queste impostazioni quando si crea un account di archiviazione. Tutti i valori influiscono sugli addebiti delle transazioni e sulla capacità. Tutte queste impostazioni, ad eccezione del tipo di account, possono essere modificate dopo la creazione dell'account.

Scegliere il livello di accesso predefinito più conveniente: a meno che non venga specificato un livello con ogni caricamento BLOB, i BLOB deducono il livello di accesso dall'impostazione predefinita del livello di accesso. Una modifica dell'impostazione predefinita del livello di accesso per un account di archiviazione si applica a tutti i BLOB nell'account per cui non è stato impostato in modo esplicito un livello di accesso. Questo costo può essere significativo se hai raccolto un numero elevato di BLOB. Per altre informazioni su come una modifica del livello influisce su ogni BLOB esistente, vedere Modifica del livello di accesso di un BLOB.

Carica i dati direttamente nel livello di accesso più economico: ad esempio, se l'impostazione predefinita del livello di accesso dell'account è caldo, ma stai caricando file a scopo di archiviazione, specifica un livello di archiviazione o un livello freddo come parte dell'operazione di caricamento. Dopo il caricamento dei BLOB, usare i criteri di gestione del ciclo di vita per spostare i BLOB nei livelli più convenienti in base alle metriche di utilizzo, ad esempio l'ultimo tempo di accesso. La scelta del livello più ottimale in primo piano può ridurre i costi. Se si modifica il livello di un BLOB in blocchi già caricato, si paga il costo di scrittura nel livello iniziale quando si carica prima il BLOB e quindi si paga il costo di scrittura nel livello desiderato.

Pianificare la gestione del ciclo di vita dei dati: ottimizzare i costi delle transazioni e della capacità sfruttando i livelli di accesso e la gestione del ciclo di vita. I dati usati meno spesso devono essere posizionati nei livelli di accesso più sporadico, mentre i dati a cui si accede spesso devono essere posizionati nei livelli di accesso più caldi.

Decidere quali funzionalità sono necessarie: alcune funzionalità, ad esempio il controllo delle versioni e l'eliminazione temporanea del BLOB, comportano costi aggiuntivi di transazione e capacità, nonché altri addebiti. Assicurarsi di esaminare le sezioni relative ai prezzi e alla fatturazione negli articoli che descrivono tali funzionalità quando si scelgono le funzionalità da aggiungere all'account.

Ad esempio, se si abilita la funzionalità di inventario BLOB, viene addebitato il numero di oggetti analizzati. Se si usano tag di indice BLOB, viene addebitato il numero di tag di indice. Se si abilita il supporto SFTP, viene addebitato un addebito orario, anche se non sono presenti trasferimenti SFTP. Se si decide di non usare una funzionalità, verificare che la funzionalità sia disabilitata perché alcune funzionalità vengono abilitate automaticamente quando si crea l'account.

Creare protezioni: creare budget basati su sottoscrizioni e gruppi di risorse. Usare i criteri di governance per limitare tipi di risorse, configurazioni e posizioni. Inoltre, utilizzare il controllo degli accessi in base al ruolo per bloccare le azioni che possono causare spese eccessive.

Monitorare i costi: assicurarsi che i costi rimangano all'interno dei budget, confrontare i costi rispetto alle previsioni e verificare dove si verificano eccedenze. È possibile usare il riquadro analisi dei costi nel portale di Azure per monitorare i costi. È anche possibile esportare i dati dei costi in un account di archiviazione e analizzare tali dati usando Excel o Power BI.

Monitorare l'utilizzo: monitorare continuamente i modelli di utilizzo e rilevare gli account e i contenitori inutilizzati o sottoutilizzati. Usare Informazioni dettagliate sull'archiviazione per identificare gli account senza uso o senza uso ridotto. Usare Individuazione dell'archiviazione di Azure e Azure Copilot per trovare inefficienze dei costi, ad esempio l'archiviazione sottoutilizzata che si trova in livelli di accesso costosi. È anche possibile abilitare i report di inventario BLOB e usare strumenti come Azure Databricks o Azure Synapse Analytics e Power BI per analizzare i dati sui costi. Prestare attenzione a un aumento imprevisto della capacità, che potrebbe indicare che stiate raccogliendo numerosi file di log, versioni del blob o BLOB eliminati temporaneamente. Sviluppare una strategia per la scadenza o la transizione di oggetti a livelli di accesso più convenienti. Disporre di un piano per gli oggetti in scadenza o lo spostamento di oggetti in livelli di accesso più convenienti.

Prendere in considerazione Le azioni di Archiviazione di Azure per la gestione automatica del ciclo di vita dei dati: Le azioni di Archiviazione di Azure consentono la gestione automatica del ciclo di vita dei dati tra gli account di archiviazione con una maggiore disponibilità a livello di area. Ciò consente criteri di archiviazione, eliminazione e transizione dei dati automatizzati coerenti tra aree, mantenendo al contempo la conformità alla residenza dei dati.

Creare piani di manutenzione e ripristino di emergenza: prendere in considerazione le funzionalità di protezione dei dati, le operazioni di backup e ripristino e le procedure di failover. Prepararsi per potenziali perdite di dati e incoerenze dei dati e il tempo e il costo del failover.

Monitorare l'integrità dell'account di archiviazione: creare dashboard di analisi di archiviazione per monitorare le metriche di disponibilità, prestazioni e resilienza. Configurare gli avvisi per identificare e risolvere i problemi nel sistema prima che i clienti li notino. Usare le impostazioni di diagnostica per instradare i log delle risorse a un'area di lavoro di Azure Monitor Log. È quindi possibile eseguire query sui log per analizzare gli avvisi in modo più approfondito.

Abilitare i report di inventario BLOB: abilitare i report di inventario BLOB per esaminare la conservazione, il blocco legale o lo stato di crittografia del contenuto dell'account di archiviazione. È anche possibile usare i report di inventario BLOB per comprendere le dimensioni totali dei dati, l'età, la distribuzione a livelli o altri attributi dei dati. Usare strumenti come Azure Databricks o Azure Synapse Analytics e Power BI per visualizzare meglio i dati di inventario e creare report per gli stakeholder.

Configurare criteri che eliminano i BLOB o li spostano in livelli di accesso convenienti: creare criteri di gestione del ciclo di vita con un set iniziale di condizioni. Le politiche vengono eseguite automaticamente per eliminare o impostare il livello di accesso dei BLOB in base alle condizioni che definisci. Analizzare periodicamente l'uso del contenitore utilizzando le metriche di monitoraggio e i report di inventario blob per affinare le condizioni e ottimizzare l'efficienza dei costi.

Garantire la coerenza dei criteri tra aree. Quando i dati vengono archiviati a livello globale, hanno strategie di gestione del ciclo di vita dei dati che soddisfano i requisiti di residenza dei dati. Sfruttare le funzionalità di automazione native che consentono criteri di archiviazione coerenti tra aree.

Pianificare la scalabilità: comprendere le destinazioni di scalabilità per gli account di archiviazione.

Scegliere il tipo di account di archiviazione ottimale: se il carico di lavoro richiede frequenze di transazioni elevate, oggetti più piccoli e una latenza delle transazioni costantemente bassa, è consigliabile usare account di archiviazione BLOB in blocchi Premium. Un account standard per utilizzo generico v2 è più appropriato nella maggior parte dei casi.

Ridurre la distanza di viaggio tra il client e il server: posizionare i dati nelle aree più vicine ai client di connessione (idealmente nella stessa area). Ottimizzare per i client nelle aree lontane utilizzando la replica degli oggetti o una rete di distribuzione dei contenuti. Le configurazioni di rete predefinite offrono prestazioni ottimali. Modificare le impostazioni di rete solo per migliorare la sicurezza. In generale, le impostazioni di rete non riducono la distanza di viaggio e non migliorano le prestazioni.

Scegliere uno schema di denominazione efficiente: ridurre la latenza delle operazioni di elencazione, lista, interrogazione e lettura usando i prefissi di tag hash più vicini all'inizio della chiave di partizione BLOB (account, contenitore, directory virtuale o nome BLOB). Questo schema trae vantaggio principalmente dagli account con uno spazio dei nomi piatto.

Ottimizzare le prestazioni dei client di dati: scegliere uno strumento di trasferimento dati più appropriato per le dimensioni dei dati, la frequenza di trasferimento e la larghezza di banda dei carichi di lavoro. Alcuni strumenti, ad esempio AzCopy , sono ottimizzati per le prestazioni e richiedono un intervento minimo. Prendere in considerazione i fattori che influenzano la latenza e ottimizzare le prestazioni esaminando le linee guida per l'ottimizzazione delle prestazioni pubblicate con ogni strumento.

Ottimizzare le prestazioni del codice personalizzato: è consigliabile usare gli SDK di archiviazione invece di creare wrapper personalizzati per le operazioni REST BLOB. Gli SDK di Azure sono ottimizzati per le prestazioni e forniscono meccanismi per ottimizzare le prestazioni. Prima di creare un'applicazione, esaminare l'elenco di controllo delle prestazioni e della scalabilità per Blob Storage. Prendere in considerazione l'uso dell'accelerazione delle query per filtrare i dati indesiderati durante la richiesta di archiviazione e impedire ai client di trasferire i dati in rete inutilmente.

Raccogliere dati sulle prestazioni: Monitorare l'account di archiviazione per identificare i colli di bottiglia delle prestazioni che si verificano a causa della limitazione della velocità. Per altre informazioni, vedere Monitoraggio del servizio di archiviazione con Monitor Storage Insights. Usare sia le metriche che i log. Le metriche forniscono numeri, ad esempio errori di controllo del flusso. I log descrivono l'attività. Se vengono visualizzate le metriche di limitazione, è possibile usare i log per identificare i client che ricevono errori di limitazione. Per altre informazioni, vedere Controllo delle operazioni del piano dati.