Лучшие архитектурные практики для приложений Azure Container

Выберите подходящие конфигурации SKU. Выберите SKU среды, которое соответствует требованиям к ресурсам и производительности ваших контейнерных приложений.

Оцените, какие особенности платформы требуют ваши целевые показатели надежности. Выделенные профили рабочей нагрузки предлагают изоляцию вычислений и более крупные ограничения ресурсов. Премиум ingress выделяет ресурсы прокси с настраиваемыми тайм-аутами, чтобы предотвратить заторы.

Создание избыточности для повышения устойчивости. Для приложений, доступных для входящего трафика (HTTP или TCP), используйте по крайней мере три реплики, чтобы обеспечить доступность. Чтобы свести к минимуму холодный запуск, настройте минимальное количество постоянно готовых реплик.

Используйте зоны доступности как часть вашей стратегии устойчивости, чтобы повысить доступность при развертывании в одном регионе. Многие регионы Azure предоставляют зоны доступности. Зоны расположены достаточно близко, чтобы обеспечить соединение между ними с низкой задержкой, но достаточно далеко друг от друга, чтобы свести к минимуму риск локальных сбоев, затрагивающих несколько зон.

Для критически важных рабочих нагрузок разверните среды Container Apps в нескольких регионах и используйте Azure Front Door или Диспетчер трафика Azure для управления трафиком. Эти услуги помогают обеспечить высокую доступность и непрерывность бизнеса. В случае регионального сбоя вы можете автоматически перенаправить трафик в дополнительный регион, чтобы свести к минимуму время простоя и потерю данных.

Реализуйте горизонтальное автомасштабирование. Настройте автомасштабирование с помощью правил масштабирования, основанных на HTTP-запросах, TCP-подключениях или пользовательских метриках, таких как пороговые значения ЦП и памяти. Вы можете определить пользовательские метрики в Служебная шина Azure, Центры событий Azure, Apache Kafka и Azure Managed Redis. Используйте автоскалирование для динамического управления нагрузками и поддержания высокой доступности в периоды пиковых нагрузок.

Убедитесь, что ваши контейнерные приложения могут обслуживать запросы в рамках вашего целевого уровня обслуживания (SLO) при высокой нагрузке.

Следите за надежностью и общими показателями состояния контейнерного приложения. Сбор журналов и метрик для мониторинга состояния системы, выявления тенденций производительности и надежности, а также для устранения проблем. Для получения дополнительной информации о проектировании решения для мониторинга надежности и состояния вашей рабочей нагрузки см. Моделирование состояния для рабочих нагрузок.

Реализуйте инструменты мониторинга и оповещения. Активируйте инструменты мониторинга, такие как Azure Monitor и OpenTelemetry. Настройте оповещения, чтобы своевременно обнаруживать и реагировать на события, влияющие на надежность.

Настройте проверки состояния. Настройте проверки запуска, готовности и активности для всех сервисов, чтобы следить за состоянием и поддерживать работоспособность приложения.

Настройте механизмы самовосстановления для автоматического перезапуска нежизнеспособных контейнеров. Автоматические перезапуски увеличивают надежность и доступность ваших приложений. Они помогают обеспечить быстрое восстановление после отказов без необходимости ручного вмешательства. Используйте проверки состояния для обнаружения неисправных контейнеров и настройте политики устойчивости для автоматической обработки повторных попыток и перекидных автоматических выключателей.

Просмотрите базовые показатели безопасности. Чтобы улучшить позицию безопасности вашей рабочей нагрузки, ознакомьтесь с базовым уровнем безопасности для контейнерных приложений.

Интеграция с Microsoft Entra ID для управления удостоверениями и доступом. Используйте управление доступом на основе ролей (RBAC) с идентификатором Microsoft Entra ID для доступа с минимальными привилегиями.

Используйте управляемые удостоверения с идентификатором Microsoft Entra ID для безопасного доступа к ресурсам Azure без учетных данных.

Реализуйте сегментацию и управление сетью. Разверните окружения приложений в контейнерах в частной сети и используйте внутренний режим входа для изоляции от публичного интернета.

Контролируйте исходящий трафик. Чтобы предотвратить утечку данных, интегрируйте среду своих контейнерных приложений в настраиваемую виртуальную сеть с маршрутами, определяемыми пользователем, для повышения безопасности исходящего трафика.

Использование частных конечных точек. Настройте частные конечные точки для среды "Приложения контейнеров", чтобы гарантировать, что входящий трафик никогда не проходит через общедоступный Интернет. Отключите доступ к общедоступной сети на уровне среды при использовании частных конечных точек. Такой подход обеспечивает более сильную сетевую изоляцию, чем внутренний режим входящего трафика.

Поддерживайте укреплённую цепочку поставок программного обеспечения нагрузки. Реализуйте сканирование с учетом контейнеров в ваших безопасных конвейерах непрерывной интеграции и доставки (CI/CD). Эта функция обнаруживает уязвимости и помогает обеспечивать целостность образов ваших контейнеров. Для получения дополнительной информации см. Containers Secure Supply Chain.

Уменьшите поверхность атаки. Защитите контейнерные образы и удалите неиспользуемые компоненты. Используйте лёгкие и минимальные базовые образы, такие как образы Alpine и Chiselled Ubuntu.

Интеграция с Microsoft Defender. Используйте Microsoft Defender для контейнеров, чтобы сканировать изображения в Реестр контейнеров Azure.

Изолировать выполнение ненадежного кода. Для рабочих нагрузок, которые выполняют код, отправленный пользователем или ИИ, используйте динамические сеансы для выполнения кода в безопасных эфемерных песочницах. Динамические сеансы используют изоляцию Hyper-V для строгого разделения на уровне ядра между сеансами. Каждый сеанс автоматически уничтожается после использования, что предотвращает утечку данных между выполнением.

Шифруйте данные в состоянии покоя и данные при передаче. Используйте современные методы, соответствующие отраслевым стандартам, для обеспечения конфиденциальности и целостности.

Используйте Azure Key Vault. Храните конфиденциальные значения конфигурации и секреты в Key Vault для защиты от несанкционированного доступа.

Включите взаимную безопасность транспортного уровня (mTLS). Используйте mTLS для аутентификации и шифрования трафика между службами. Эта функция проверяет обе стороны, что повышает безопасность.

Принудительное применение ПРОТОКОЛА HTTPS. Настройте прокси-сервер Envoy для перенаправления всего HTTP-трафика на HTTPS. Конфигурация по умолчанию для Envoy - allowInsecure: false.

Реализовать стратегию мониторинга безопасности. Записывайте подробные журналы для мониторинга и аудита. Отправляйте журналы систем и консолей в рабочее пространство Log Analytics, Event Hubs или в решение, не принадлежащее Microsoft, для целей мониторинга и аудита. Очистите журналы от конфиденциальных данных. Журналы консоли поступают из потоков stderr и stdout в приложении.

Намеренно применять профили конфиденциальной рабочей нагрузки. Используйте профили конфиденциальной рабочей нагрузки для рабочих нагрузок, которые должны защищать используемые данные, например отрегулированную обработку или вывод конфиденциальных моделей. Перед развертыванием проверьте аттестацию, региональную доступность, совместимость образов и операционные регламенты, поскольку доверенные среды выполнения накладывают ограничения на развертывание и поддержку.

Выберите подходящие тарифные планы. Выбирайте наиболее экономичные тарифные планы для приложений-контейнеров в зависимости от требований к рабочей нагрузке и ожидаемых шаблонов использования.

Воспользуйтесь планом экономии Azure для вычислений, заключив обязательство по фиксированной почасовой ставке на один или три года. Используйте план накоплений, чтобы сэкономить до 17% по сравнению с тарифами оплаты по мере использования. Оптимизируйте ваш бюджет и сократите общие расходы для долгосрочных, предсказуемых рабочих нагрузок.

Оптимизируйте затраты на компоненты рабочей нагрузки. Регулярно пересматривайте и корректируйте распределение ЦП и памяти, чтобы соответствовать потребностям ваших приложений. Эта практика предотвращает избыточное выделение ресурсов и минимизирует затраты.

Используйте уровни управляемых дисков. Когда вы используете монтирование томов, выбирайте соответствующие уровни и размеры управляемых дисков, чтобы оптимизировать затраты на хранение для постоянных данных. Платите только за то, что вам нужно.

Используйте упрощенные и оптимизированные образы контейнеров, чтобы улучшить время запуска и эффективность использования ресурсов, что снижает затраты на хранение и подключение к сети.

Оптимизация затрат на рабочую нагрузку GPU. Для рабочих нагрузок искусственного интеллекта и машинного обучения используйте бессерверные GPU с помесячной оплатой за каждую секунду использования и возможностью масштабирования до нуля для устранения затрат в период простоя. Выберите соответствующий тип GPU на основе требований к рабочей нагрузке. Используйте экономичные графические процессоры T4 для вывода и упрощенных задач. Зарезервировать графические процессоры A100 для обучения больших моделей и сценариев с высоким уровнем вычислений.

Оптимизируйте расходы на масштабирование. Настройте политики авто масштабирования для автоматического уменьшения ресурсов в периоды низкого спроса и увеличения в пиковое время. Эта практика обеспечивает эффективное использование ресурсов.

Оптимизируйте затраты на сетевые ресурсы. Оптимизируйте сетевые пути для минимизации затрат на передачу данных, особенно для приложений с большими объемами пропускной способности.

Используйте инструменты управления затратами. Используйте инструменты Управление затратами Microsoft для отслеживания и анализа расходов, устанавливайте бюджеты, создавайте оповещения о стоимости и внедряйте единые теги для всех ресурсов.

Эти инструменты обеспечивают детальную видимость затрат на облачные услуги, помогают выявлять возможности для экономии, обеспечивают соблюдение бюджетных ограничений и позволяют тщательно отслеживать и отчитываться о затратах, связанных с конкретными рабочими нагрузками, приложениями и средами.

Реализуйте подход к развертыванию инфраструктуры как кода (IaC). Реализуйте развертывание на основе шаблонов с помощью таких инструментов, как Bicep или Terraform. Убедитесь, что все развертывания повторяемы, отслеживаемы и сохраняются в репозитории исходного кода.

Автоматизируйте развертывание инфраструктуры и рабочих нагрузок. Используйте стандартные программные решения для управления, интеграции и автоматизации развертывания ваших рабочих нагрузок.

Настройте конвейеры развертывания для повторного развертывания среды в другом регионе в случае регионального сбоя. Такой подход помогает быстро восстанавливать и повторно развертывать критически важные данные и конфигурации в другом регионе, что расширяет возможности аварийного восстановления и сводит к минимуму время простоя во время региональных сбоев.

Создайте автоматизированные процессы для настройки ваших сред с необходимыми конфигурациями и развертыванием, используя CI/CD конвейеры.

Реализуйте комплексную стратегию мониторинга. Настройте параметры диагностики для сбора журналов, метрик и диагностических данных. Используйте такие инструменты, как Azure Monitor и Application Insights, для отслеживания состояния и производительности приложений, выявления тенденций в производительности и надежности, а также для устранения неполадок.

Эмитируйте данные телеметрии для рабочих нагрузок. Разработайте свои рабочие нагрузки так, чтобы они генерировали телеметрические данные, включая статусы доступности и готовности, для облегчения мониторинга и устранения неисправностей.

Отслеживайте показатели производительности. Непрерывно отслеживайте ключевые показатели эффективности, такие как использование ЦП, памяти и сети, чтобы выявлять возможности для оптимизации затрат и повышения эффективности работы.

Используйте управляемый агент OpenTelemetry. Разрешить агенту OpenTelemetry выдавать стандартизированные трассировки, метрики и журналы без развертывания пользовательского сборщика и управления ими. Управляемый агент поддерживает несколько направлений экспорта и сокращает рабочее бремя обслуживания инфраструктуры наблюдаемости.

Внедрить хаос-инжиниринг. Применяйте практики инженерии хаоса, используя такие инструменты, как Azure Chaos Studio, чтобы выявлять потенциальные проблемы с надежностью в вашей среде Container Apps. Проведите эксперименты, чтобы убедиться, что ваши приложения могут выдерживать неожиданные сбои. Проводите нагрузочное тестирование производительности с помощью таких инструментов, как Нагрузочное тестирование Azure, чтобы убедиться, что правила масштабирования работают должным образом и не вызывают сбоев у клиентов.

Реализуйте согласованное добавление тегов к ресурсам во всех контейнерах, приложениях и других ресурсах рабочей нагрузки. Последовательная маркировка способствует эффективному управлению ресурсами, контролю затрат и автоматизации.

Обеспечьте управление рабочей нагрузкой. Политика Azure помогает обеспечивать постоянное соблюдение организационных стандартов, автоматизирует применение политик и предоставляет централизованную видимость и контроль над ресурсами вашей нагрузки.

Стандартизация путей экспорта телеметрии. Используйте управляемые целевые точки экспорта для данных OpenTelemetry, чтобы подключить Container Apps к таким платформам, как New Relic, Dynatrace, Elastic и другим поддерживаемым серверным системам без необходимости запускать пользовательские сборщики. Определите маршрутизацию, семплирование, хранение и зоны ответственности для каждого назначения, чтобы наблюдаемость оставалась согласованной, а затраты — под контролем во всех средах.

Планируйте журналирование больших объемов входящего трафика. Включите ContainerAppHTTPLogs только для сценариев, требующих устранения неполадок на уровне запроса задержки, повторных попыток или сбоев маршрутизации. Определите пороговые значения хранения, редактирования и затрат перед развертыванием, так как журналы HTTP с большим объемом могут увеличить объем хранилища, конфиденциальности и анализа затрат.

Разработайте подробный план емкости, чтобы убедиться, что ваши контейнерные приложения имеют достаточные ресурсы для обработки переменных нагрузок, избегая при этом избыточного выделения ресурсов. Планирование емкости помогает оптимизировать затраты и производительность.

Регулярно обновляйте свой план, чтобы документировать корректное распределение ресурсов, настройки автомасштабирования и стратегии переключения на резерв для ваших контейнерных приложений. Этот подход обеспечивает возможность быстро восстановить и развернуть критичные данные и конфигурации в другом регионе, что улучшает возможности по восстановлению после аварий и минимизирует время простоя в случае региональных сбоев.

Включите автомасштабирование. Настройте политики автоматического масштабирования, чтобы автоматически регулировать количество экземпляров контейнеров в зависимости от текущего спроса. Это обеспечивает оптимальную производительность в периоды пиковых и непиковых нагрузок.

Оптимизация выделения ресурсов. Постоянно контролируйте и корректируйте распределение CPU и памяти на основе показателей производительности, чтобы обеспечить эффективное использование ресурсов и предотвратить чрезмерное выделение.

Проводите нагрузочное тестирование. Проводите регулярное нагрузочное тестирование, чтобы оценить производительность и масштабируемость ваших контейнерных приложений при различных условиях. Тестирование помогает гарантировать, что приложения в контейнерах могут справляться с ожидаемыми уровнями трафика.

Отдельные рабочие нагрузки. Размещайте критические и чувствительные рабочие нагрузки в отдельных средах Container Apps, чтобы избежать проблем с шумными соседями. Распределите рабочую нагрузку по нескольким средам, чтобы гарантировать, что критически важные приложения имеют выделенные ресурсы. Этот метод также гарантирует, что требования к производительности менее критически важных приложений не влияют на критически важные приложения.

Выберите соответствующие профили рабочей нагрузки GPU для рабочих нагрузок с интенсивным вычислением. Для инференса искусственного интеллекта, машинного обучения и рабочих нагрузок высокопроизводительных вычислений выберите бессерверные GPU для переменных по нагрузке требований или выделенные профили рабочих нагрузок GPU для устойчивых и чувствительных к задержке рабочих нагрузок. Выберите подходящий тип GPU, например T4 для вывода или A100 для обучения, в зависимости от ваших требований к производительности. Свести к минимуму задержку холодного запуска для бессерверных GPU с помощью образов контейнеров, потоковой передачи артефактов и настройки минимального количества реплик.

Используйте премиальный вход для рабочих нагрузок, чувствительных к задержке. Настройте входящий трафик класса Premium для выделения выделенных вычислительных ресурсов прокси-серверу входящего трафика. Настройте пользовательские значения времени ожидания и параметры масштабирования, чтобы предотвратить ограничение запросов со стороны слоя входящих запросов при высокой параллелизации.