Надежность в Azure Event Grid и пространстве имен Event Grid

В этой статье содержатся подробные сведения о региональной устойчивости сетки событий и пространства имен сетки событий с зонами доступности и аварийного восстановления между регионами и непрерывностью бизнес-процессов.

Общие сведения об архитектуре надежности в Azure см. в статье "Надежность Azure".

Поддержка зоны доступности

Зоны доступности — это физически отдельные группы центров обработки данных в каждом регионе Azure. При сбое одной зоны службы могут переключиться на одну из оставшихся зон.

Дополнительные сведения о зонах доступности в Azure см. в статье "Что такое зоны доступности?"

Определения ресурсов Сетки событий для разделов, системных тем, доменов и подписок на события и данных о событиях автоматически реплицируются в трех зонах доступности. При возникновении регионального сбоя в одной из зон доступности ресурсы Event Grid автоматически переключаются на другую зону доступности без вмешательства человека. В настоящее время вы не можете контролировать эту функцию (включить или отключить). Когда существующий регион начинает поддерживать зоны доступности, существующие ресурсы Event Grid автоматически переключаются, чтобы использовать преимущества этой функции. Вмешательство пользователя не требуется.

Пространство имен Azure Event Grid также обеспечивает высокий уровень доступности внутри региона, используя зоны доступности.

Предварительные требования

Для поддержки зоны доступности ресурсы Сетки событий должны находиться в регионе, поддерживающем зоны доступности. Сведения о том, какие регионы поддерживают зоны доступности, см. в списке поддерживаемых регионов.

Цены

Так как Служба "Сетка событий" автоматически поддерживает зоны доступности в регионах, поддерживающих зоны доступности, нет изменений в цене.

Создание ресурса с включенными зонами доступности

Так как Служба "Сетка событий" автоматически поддерживает зоны доступности в регионах, поддерживающих зоны доступности, конфигурация установки не требуется.

Переход на поддержку зон доступности

При перемещении ресурсов Сетки событий в регион, поддерживающий зоны доступности, вы автоматически получаете поддержку зоны доступности. Сведения о перемещении ресурсов в другой регион, поддерживающий зоны доступности, см. в следующих статьях:

• Перемещение системных тем Azure Event Grid в другой регион
• Перемещение специальных тем Azure Event Grid в другой регион
• Перемещение доменов Сетка событий Azure в другой регион

Аварийное восстановление между регионами и непрерывность бизнес-процессов

Аварийное восстановление (DR) относится к процедурам, которые организации используют для восстановления после событий значительного воздействия, таких как стихийные бедствия или ошибочные развертывания, которые приводят к простою и потере данных. Независимо от причины, лучшее средство для аварийного восстановления является хорошо определенным и проверенным планом аварийного восстановления и проектом приложения, который активно поддерживает аварийное восстановление. Прежде чем приступить к созданию плана аварийного восстановления, ознакомьтесь с рекомендациями по разработке стратегии аварийного восстановления.

Для восстановления после сбоя компания Microsoft использует модель общей ответственности. В этой модели корпорация Майкрософт гарантирует, что доступны базовые инфраструктуры и службы платформы. Однако многие службы Azure не делают автоматической репликации данных и не обеспечивают возврат из вышедшего из строя региона для перекрестной репликации в другой доступный регион. Для этих служб вы отвечаете за настройку плана аварийного восстановления, который подходит для вашей рабочей нагрузки. Большинство служб, работающих на платформе Azure как услуга (PaaS), предоставляют функции и рекомендации для поддержки аварийного восстановления. Вы можете использовать специализированные функции для поддержки быстрого восстановления и разработки плана аварийного восстановления.

Аварийное восстановление обычно включает создание ресурса резервного копирования, чтобы предотвратить прерывания, когда регион становится неработоспособным. Во время этого процесса в рабочей нагрузке потребуется основной и дополнительный регион Сетка событий Azure ресурсов.

Существует несколько способов восстановления после серьезной потери функциональных возможностей приложения. В этом разделе описан контрольный список, который необходимо выполнить, чтобы подготовить клиента к восстановлению после сбоя из-за неработоспособного ресурса или региона.

Event Grid поддерживает как ручное, так и автоматическое геоаварийное восстановление (GeoDR) на стороне сервера. Если вы хотите получить больший контроль над процессом отказа, можно реализовать логику аварийного восстановления на стороне клиента. Дополнительные сведения об автоматическом аварийном восстановлении по географическому признаку (GeoDR) см. в разделе Аварийное восстановление серверной стороны в Azure Event Grid. Для получения дополнительных сведений о реализации аварийного восстановления на стороне клиента см. Реализация отработки отказа на стороне клиента в сетке событий Azure.

В следующей таблице показаны возможности отказоустойчивости на стороне клиента и функция географического аварийного восстановления в Event Grid.

Пространство имен сетки событий

Пространство имен Сетки событий не поддерживает отказоустойчивость между регионами. Однако вы можете достичь высокого уровня доступности между регионами через реализацию отработки отказа на стороне клиента, создав первичные и вторичные пространства имен.

С помощью реализации отработки отказа на стороне клиента вы можете:

• Реализуйте пользовательский (ручной или автоматизированный) процесс для репликации пространства имен, удостоверений клиентов и других конфигураций** включая сертификаты ЦС, группы клиентов, пространства разделов, привязки разрешений, маршрутизацию между основными и вторичными регионами.

• Реализуйте службу консьержа, которая предоставляет клиентам доступ к основным и вспомогательным конечным точкам, выполняя проверку их работоспособности. Консьерж-служба может быть веб-приложением, которое реплицируется и остается доступным с помощью методов перенаправления DNS, например, с помощью Azure Traffic Manager.

• Выполните решение аварийного восстановления active-Active, реплицируя метаданные и балансировку нагрузки между пространствами имен. Решение аварийного восстановления активного пассивного восстановления можно добиться путем репликации метаданных, чтобы сохранить дополнительное пространство имен готовым, чтобы, когда основное пространство имен недоступно, трафик можно направить в дополнительное пространство имен.

Настройка аварийного восстановления

Для парных регионов сетка событий предоставляет возможность отработки отказа трафика публикации в парном регионе для пользовательских тем, системных тем и доменов. Event Grid автоматически синхронизирует определения ресурсов тем, системные темы, домены и подписки на события с парным регионом. Однако данные событий не реплицируются в парный регион. В обычном состоянии события хранятся в выбранном регионе для этого ресурса. Когда происходит сбой в регионе, и Майкрософт инициирует переключение в резервный режим, новые события начинают поступать в географически связанный регион и обрабатываются там без вмешательства. События, опубликованные и принятые в исходном регионе, отправляются туда после устранения сбоя.

Вы можете выбрать между двумя вариантами переключения при отказе: переключение, инициированное Microsoft, и инициированное клиентом. Подробные инструкции по настройке обоих этих параметров см. в разделе "Настройка расположения данных".

• Переключение ресурсов, инициированное Microsoft, выполняется в редких ситуациях для переноса ресурсов Сети событий из затронутого региона в соответствующий геопарированный регион. Корпорация Майкрософт оставляет за собой право определить, когда этот параметр будет использоваться. Этот механизм не требует согласия пользователя перед переключением его трафика.

  Включите эту функцию, обновив конфигурацию для раздела или домена. Выберите Cross-Geo (по умолчанию), чтобы включить отработку отказа, инициированную Microsoft.

• Отработка отказа, инициированная клиентом, определяется пользовательским планом аварийного восстановления для Azure Event Grid тем и доменов, и данные любого рода не реплицируются в другой регион корпорацией Майкрософт. Хотя этот вариант отработки отказа требует немного больше усилий, он позволяет более быструю отработку отказа, и вы управляете выбором вторичных регионов. Если вы хотите реализовать катастрофическое восстановление на стороне клиента для тем Azure Event Grid, см. статью «Создание собственного катастрофического восстановления на стороне клиента для тем Azure Event Grid».

  Существует несколько причин, по которым может потребоваться отключить функцию отработки отказа, инициированную корпорацией Майкрософт:

  • Отработка отказа, инициированная корпорацией Майкрософт, выполняется на основе максимально возможных усилий.
  • Некоторые геопары не соответствуют требованиям к месту расположения данных вашей организации.

  Включите эту функцию, обновив конфигурацию для раздела или домена. Выберите Региональный.

  

Если вы используете неисключаемый регион, независимо от выбранной конфигурации расположения данных, метаданные будут реплицироваться только в пределах региона.

Опыт переключения на резервную систему при аварийном восстановлении

Аварийное восстановление измеряется двумя метриками, целевой точкой восстановления (RPO) и целевым временем восстановления (RTO). Дополнительные сведения см. в статье "Что такое непрерывность бизнес-процессов, высокий уровень доступности и аварийное восстановление?".

Сетевой сервис Event Grid, обеспечивающий автоматическую отработку отказа, имеет различные показатели RPO и RTO для ваших метаданных (темы, домены, подписки на события) и данных (события). Если вам нужна спецификация, отличная от перечисленных ниже, вы по-прежнему можете реализовать собственную обработку отказов на стороне клиента с помощью API оценки работоспособности тем.

Целевая точка восстановления (RPO)

• RPO для метаданных: ноль минут. Для применимых ресурсов при создании или обновлении или удалении ресурса определение ресурса синхронно реплицируется в геопару. При резервном переходе метаданные не теряются.

• RPO данных: при отработке отказа новые данные обрабатываются в парном регионе. Как только сбой в затронутом регионе устраняется, необработанные события начинают оттуда отправляться. Если для восстановления региона требуется больше времени, чем значение времени жизни, заданное для событий, данные могут быть удалены. Чтобы предотвратить потерю данных, мы рекомендуем настроить пункт назначения для "мертвых писем" в подписке на события. Если затронутая область потеряна и неустранима, произойдет некоторая потеря данных. В лучшем случае подписчик следит за скоростью публикации и теряется всего несколько секунд данных. Худшим сценарием будет ситуация, когда подписчик неактивно обрабатывает события, и с временем жизни максимум 24 часа потеря данных может составлять до 24 часов.

Целевое время восстановления (RTO)

• RTO метаданных: принятие решения о переключении основано на таких факторах, как доступная емкость в парном регионе, и может занимать 60 минут или более. После запуска отработки отказа в течение 5 минут сетка событий начинает принимать вызовы создания и обновления и удаления для разделов и подписок.

• RTO данных: аналогично приведенной выше информации.

Следующие шаги

• Создайте собственное аварийное восстановление для клиентской стороны тем Azure Event Grid.

• Надежность в Azure