Выбірайце даступнасць паміж зонамі і рэгіёнамі

Пачніце з аперацыі карыстальніка

Высокая даступнасць (HA) імкнецца захаваць магчымасць карыстацца сэрвісам, нягледзячы на збоі кампанентаў. Вызначце гэтую магчымасць перад выбарам архітэктуры. Старонка браніравання, якая загружаецца, калі ўсе запыты браніравання завяршаюцца памылкай, не з’яўляецца даступным сэрвісам браніравання.

Задайце мэтавы ўзровень сэрвісу (SLO) для істотнай аперацыі. Вызначце, якія запыты ўлічваюцца, што азначае поспех і які перыяд вымярэння. SLA воблачнага сэрвісу апісвае абавязацельства гэтага пастаўшчыка. Гэтае пагадненне не пацвярджае вымераную даступнасць вашай праграмы.

Для ілюстрацыі: даступнасць 99,9%, вымераная па часе, дапускае 43,2 хвіліны недаступнасці за 30-дзённы месяц. SLO на аснове запытаў мае іншы назоўнік. Ніводная мера не кажа, колькі даных можна страціць, і не гарантуе максімальную працягласць аднаго перапынку.

Зразумейце межы збояў

Зона даступнасці AWS (Availability Zone, AZ) — ізаляванае месца размяшчэння інфраструктуры ў межах рэгіёну (Region). Рэгіён змяшчае некалькі AZ. Multi-region праект размяркоўвае кампаненты рабочай нагрузкі паміж рэгіёнамі. Іншыя пастаўшчыкі маюць свае межы і паводзіны сэрвісаў; вывучайце выбраны сэрвіс.

Гэта магчымасці праектавання, а не гарантыі даступнасці. Пазнака не даказвае, што кожны неабходны кампанент выкарыстоўвае задуманыя межы.

Прасочвайце ўвесь шлях запыту

Разгледзім выдуманы сэрвіс браніравання. Вэб-рэплікі працуюць у дзвюх AZ. Абедзве выкарыстоўваюць адну базу даных і адзін выходны шлюз у AZ A. Шлюз патрэбны для выкліку плацежнага пастаўшчыка.

Калі AZ A выходзіць з ладу, вэб-рэпліка ў AZ B можа заставацца працаздольнай, але браніраванне ўсё роўна не працуе. Каманда павінна ацаніць базу даных, сеткавы шлях, пастаўшчыка ідэнтычнасцей, плацежную залежнасць і маршрутызацыю. Вывучыце фактычны рэжым кіраванай базы даных: рэплікацыя, пераключэнне пры збоі і паводзіны кампанентаў чытання адрозніваюцца паводле прадукту і канфігурацыі.

Таксама правярайце магутнасць. Рэсурсы, што засталіся, павінны вытрымліваць неабходную нагрузку. Праект, які абапіраецца на стварэнне магутнасці падчас інцыдэнту, залежыць ад квот, даступных рэсурсаў і аперацый плоскасці кіравання.

Правядзіце кантраляванае практыкаванне з вызначанымі межамі, умовамі спынення і адказным. Праверце поўнае браніраванне, уключаючы зверку плацяжу. Запішыце няўдалыя запыты і час аднаўлення карыснай працы.

Вырашыце, ці вырашае іншы рэгіён праблему

Multi-region эксплуатацыя дадае перадачу даных, дубляваныя рэсурсы, каардынацыю разгортвання і эксплуатацыйную працу. Active/passive трымае адно асяроддзе гатовым прыняць трафік. Active/active абслугоўвае трафік больш чым у адным асяроддзі. Неабходная гатоўнасць і паводзіны даных адрозніваюцца.

Для сэрвісу браніравання адначасовы запіс стварае пытанне: ці могуць два рэгіёны прадаць адно і тое ж месца? Вызначце, хто мае паўнамоцтвы на браніраванне і якія паводзіны пры перапыненай рэплікацыі. «Рэплікаваць базу даных» — не поўны адказ.

Правярайце дазволеныя месцы даных, ключы шыфравання, сертыфікаты, DNS, сакрэты і знешнія сэрвісы. Збой агульнага сэрвісу ідэнтычнасцей або няўдалы выпуск могуць закрануць некалькі рэгіёнаў. Больш месцаў не прыбіраюць кожную агульную прычыну.

Звяжыце даступнасць з аднаўленнем

HA апрацоўвае вызначаныя збоі падчас эксплуатацыі. Аварыйнае аднаўленне вяртае працаздольны сэрвіс і яго даныя пасля падзеі, якая парушыла працу. Multi-region сэрвісу ўсё роўна патрэбны план аднаўлення пасля выдалення або пашкоджання даных.

Дакументуйце выбраныя сцэнарыі збояў і тыя, якія бізнес прымае. Падтрымлівайце адпаведнасць тэстаў і апісанняў інфраструктуры пры зменах праграмы. Працягвайце з урокам пра RTO, RPO і аварыйнае аднаўленне.