Przegląd Azure Container Apps Sandboxes

Piaskownice usługi Azure Container Apps zapewniają szybkie, bezpieczne, tymczasowe środowiska obliczeniowe z wbudowanymi funkcjami wstrzymywania i wznawiania. Piaskownice są pełnoprawnym typem zasobu (Microsoft.App/SandboxGroups) w usłudze Container Apps, obok aplikacji, zadań i sesji dynamicznych.

Twórz środowiska testowe i zarządzaj nimi

Możesz tworzyć piaskownice i zarządzać nimi w portalu Sandboxes lub programowo za pomocą interfejsu wiersza polecenia (CLI) lub zestawu SDK usługi Azure Container Apps.

Kluczowe cechy piaskownic usługi Container Apps

• Uruchamianie w czasie poniżej sekundy: środowiska izolowane są tworzone z wstępnie rozgrzanych pul, co zapewnia niemal natychmiastową dostępność.

• Silna izolacja: każda piaskownica działa we własnym bezpiecznie odizolowanym środowisku, odpowiednim do uruchamiania niezaufanego kodu.

• Skaluj do zera: Nie płacisz żadnych opłat za CPU ani pamięć, gdy sandboxy zostaną zatrzymane.

• Skalowanie horyzontalne: Usługa może dynamicznie skalować się do tysięcy jednoczesnych sandboxów w razie potrzeby.

• Obsługa obrazów kontenerów OCI: Użyj dołączonego publicznego obrazu lub własnych obrazów kontenerów jako głównych systemów plików piaskownicy.

• Wstrzymywanie i wznawianie: zapisuj pełny stan, w tym zawartość pamięci i dysku, jako migawkę, a następnie wznawiaj działanie później w czasie krótszym niż sekunda.

• Kontrola cyklu życia: Możesz zarządzać pełnym cyklem życia sandboxa, w tym migawkami stanów, trwałym przechowywaniem oraz politykami sieciowymi (zarówno egress, jak i ingres).

Kiedy należy używać piaskownic

Używaj sandboxów, gdy potrzebujesz izolowanych środowisk obliczeniowych z wyraźną kontrolą cyklu życia, stałym stanem lub programowalnym dostępem przez SDK.

Wybieranie odpowiedniej opcji obliczeniowej usługi Container Apps

Skorzystaj z poniższej tabeli, aby wybrać typ obliczeniowy Usługi Container Apps pasujący do obciążenia.

Kluczowe pojęcia

Wymagania wstępne

Aby tworzyć środowiska izolowane lub nimi zarządzać, musisz mieć przypisaną rolę platformy Azure Container Apps SandboxGroup Data Owner. Bez tej roli nie można wykonywać operacji w środowisku sandbox. Przypisz tę rolę w żądanym zakresie (subskrypcja Azure lub grupa zasobów Azure) w portalu Azure lub przy użyciu Azure CLI.

Przed uruchomieniem następującego polecenia zastąp symbole zastępcze otoczone <> własnymi wartościami.

az role assignment create \
  --assignee "<USER_EMAIL_OR_OBJECT_ID>" \
  --role "Container Apps SandboxGroup Data Owner" \
  --scope "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP_NAME>"

Grupy w piaskownicy

Grupa piaskownic to najwyższy poziom zarządzania piaskownicami. Jest to zasób Azure Resource Manager (ARM), który jest tworzony w grupie zasobów i regionie. Wszystkie środowiska izolowane, obrazy dysków, migawki, woluminy i sekrety należą do zakresu grupy środowiska izolowanego.

Grupy piaskownicy umożliwiają organizowanie piaskownic według aplikacji, zespołu lub środowiska.

Piaskownice

Piaskownica to indywidualna, izolowana instancja obliczeniowa w obrębie grupy piaskownic. Każde środowisko izolowane działa w oparciu o obraz dysku lub migawkę i ma odizolowane zasoby procesora, pamięci, dysku oraz sieci.

Wchodzisz w interakcję ze środowiskami sandbox, wykonując polecenia, zarządzając plikami, udostępniając porty i kontrolując stan cyklu życia.

Obrazy dysków

Obrazy dysków to obrazy kontenerów OCI przekonwertowane do użytku jako główne systemy plików środowiska izolowanego. Możesz użyć obrazów publicznych lub utworzyć obrazy prywatne na podstawie własnych rejestrów kontenerów.

Obrazy dysków można tworzyć na podstawie następujących funkcji:

• Obrazy publiczne: gotowe obrazy dostępne dla wszystkich grup sandbox.
• Obrazy rejestru kontenerów: ściąganie z rejestrów publicznych lub prywatnych przy użyciu opcjonalnego uwierzytelniania.

Snapshots

Migawki zapisują pełny stan działającego środowiska izolowanego, w tym pamięć i dysk. Użyj migawek, aby:

• Wstrzymywanie i wznawianie: wstrzymaj piaskownicę i przywróć ją później ze wszystkimi procesami i danymi bez zmian.
• Klonowanie środowisk: utwórz nowe piaskownice na podstawie sprawdzonego stanu.
• Udostępnianie punktów odniesienia: dystrybuuj wstępnie skonfigurowane środowiska w całym zespole.

Volumes

Microsoft zarządza woluminami i zapewnia trwałą pamięć masową, którą można zamontować w piaskownicach. Dostępne są dwa typy woluminów:

Stany cyklu życia

Piaskownice przechodzą przez następujące stany:

Gdy sandbox zostanie zatrzymany, operacja pobiera i zachowuje migawkę opartą na trybie zawieszenia (patrz następująca sekcja).

Możesz skonfigurować polityki cyklu życia dla każdego sandboxu:

• Automatyczne zawieszanie: Zawiesza nieaktywne środowisko izolowane po upływie konfigurowalnego limitu czasu. Sandbox przechodzi w stan bezczynności, gdy nie ma ruchu wejściowego (przychodzącego), nie jest wykonywany kod (za pośrednictwem interfejsu API execute), nie ma interaktywnych sesji powłoki ani operacji na plikach.
• Tryb zawieszenia: Wybierz między trybem pamięci (pełna migawka — dysk + pamięć) a trybem dysku (z zachowaniem tylko stanu dysku).
• Automatyczne usuwanie: Automatyczne usuwanie piaskownic po określonej liczbie dni od ich zatrzymania.

Architecture

Piaskownice korzystają z architektury dwuwarstwowej:

Grupy piaskownic tworzysz i zarządzasz nimi za pośrednictwem płaszczyzny sterowania ARM. Wszystkie operacje na poszczególnych środowiskach izolowanych i ich zasobach są realizowane za pośrednictwem płaszczyzny danych ADC, przypisanej do określonej grupy środowisk izolowanych.

Poziomy zasobów

Każdemu środowisku izolowanemu jest przypisany poziom zasobów, który określa przydział procesora, pamięci i miejsca na dysku.

Considerations

Podczas pracy z piaskownicami należy wziąć pod uwagę następujące kwestie:

• Entra ID wymagane: tylko konta Microsoft Entra ID mogą uzyskiwać dostęp do piaskownic. Osobiste konta Microsoft nie są obsługiwane.
• Kontrola sieci: Możesz konfigurować zasady ruchu wychodzącego, aby kontrolować ruch wychodzący z piaskownic, w tym reguły oparte na domenach zezwalające lub blokujące ruch, reguły sieciowe oparte na CIDR oraz integrację z siecią wirtualną (VNet).

Piaskownice a sesje dynamiczne

Piaskownice i sesje dynamiczne zapewniają izolowane środowiska obliczeniowe w ramach usługi Container Apps, ale służą różnym celom.

Wybierz sesje dynamiczne, gdy potrzebujesz zarządzanego środowiska uruchomieniowego, które abstrahuje infrastrukturę. Wybierz Sandboxes, gdy potrzebujesz możliwości programowego sterowania izolowanym środowiskiem obliczeniowym z zachowaniem stanu.

Treści powiązane

• Migawki i zarządzanie stanem w piaskownicach
• Zasady ruchu wychodzącego i kontrole sieciowe dla piaskownic