Kör en virtuell Linux-dator på Azure

Azure Backup

Azure Bastion

Azure Blob Storage

Azure Resource Manager

Azure Storage

Azure Virtual Machines

Om du vill etablera en virtuell dator (VM) i Azure behöver du fler komponenter än själva den virtuella datorn. En fullständig distribution omfattar nätverks- och lagringsresurser. I den här artikeln beskrivs metodtips för att köra en säker virtuell Linux-dator på Azure.

Arkitektur

Ladda ned en Visio fil i den här arkitekturen.

Arbetsflöde

Det här exemplet visar en grundläggande distribution som använder nödvändiga komponenter för en enskild virtuell dator. Den virtuella datorn kan köra arbetsbelastningar och nå det offentliga Internet samtidigt som man undviker direkt exponering för externa hot. I den här arkitekturen:

Arbetsbelastningar på den virtuella datorn har ingen direkt internetexponering. Åtkomsten är begränsad till resurser i samma virtuella nätverk eller ett peer-kopplat virtuellt nätverk, till exempel i en hub-and-spoke-konfiguration.
Du hanterar den virtuella datorn med hjälp av Azure Bastion via Secure Shell (SSH). Det finns ingen direkt åtkomst från det offentliga Internet till den virtuella datorn för hantering.
Nat-gatewayen (Network Address Translation) och dess associerade offentliga IP-adress ger utgående extern internetåtkomst.

Komponenter

Den här arkitekturen använder följande komponenter.

Resursgrupp

En resource-grupp är en logisk container som innehåller relaterade Azure resurser. Med resursgrupper kan du distribuera, övervaka och ta bort relaterade resurser tillsammans och spåra deras kostnader som en enhet.

I allmänhet grupperar du resurser efter delad livscykel och ägarskap. Använd konsekventa, beskrivande namn för resurser för att göra dem enklare att identifiera och förstå. Mer information finns i Definiera din namngivningskonvention.

Virtuell maskin

Du kan etablera en virtuell dator från en lista över publicerade avbildningar, en anpassad hanterad avbildning eller en virtuell hårddisk (VHD) som laddats upp till Azure Blob Storage. Azure stöder populära Linux-distributioner, inklusive Debian, Red Hat Enterprise Linux (RHEL) och Ubuntu. Mer information finns i Godkända Linux-distributioner.

Azure innehåller många olika VM-storlekar. Om du flyttar en befintlig arbetsbelastning till Azure börjar du med den VM-storlek som bäst matchar dina lokala servrar. När du har distribuerat den virtuella datorn mäter du prestandan för din faktiska arbetsbelastning när det gäller cpu-, minnes- och diskindatautdata per sekund (IOPS) och justerar storleken efter behov.

Välj en Azure region som är närmast dina interna användare eller kunder. Alla VM-storlekar är inte tillgängliga i alla regioner. Mer information finns i Azure geographies. Kör följande kommando från Azure CLI för en lista över de VM-storlekar som är tillgängliga i en viss region:

az vm list-sizes --location <location>

Information om hur du väljer en publicerad VM-avbildning finns i Hitta information om Azure Marketplace-avbildningar.

Diskar

För bästa prestanda för diskindata (I/O) rekommenderar vi Premium SSD som lagrar data på SSD-enheter (Solid State Drives). Kapaciteten för den etablerade disken avgör kostnad, IOPS och dataflöde (dataöverföringshastighet). Tänk på alla tre faktorerna när du väljer en diskstorlek. Premium SSD-diskar inkluderar kostnadsfri burstning, vilket hjälper dig att hantera toppar i efterfrågan utan överdimensionering och minskar kostnaden för outnyttjad kapacitet i kombination med förståelse för arbetsbelastningsmönster.

Anmärkning

Premium SSD v2- och Ultra-diskar kan endast användas för datadiskar. De stöds inte för operativsystemdiskar (OS).

Hanterade diskar förenklar diskhanteringen genom att hantera lagringen åt dig. Managed disks kräver inget storage konto. Du anger storlek och typ av disk och distribueras som en resurs med hög tillgänglighet. Hanterade diskar minskar också kostnaderna genom att tillhandahålla den prestanda som du behöver utan överetablering, vilket hjälper dig att undvika att betala för outnyttjad etablerad kapacitet.

Os-disken är som standard en hanterad disk som lagras i Azure-disklagring, så den bevaras även när värddatorn är nere. För tillståndslösa arbetsbelastningar, där snabb provisionering och utan beständig OS-lagring önskas, använd tillfälliga operativsystemdiskar. Dessa diskar placerar OS-avbildningen på VM-värdens lokala lagring i stället för i fjärrlagring i Azure Storage, vilket minskar läslatensen, snabbar upp omavbildning och eliminerar kostnaden för hanterade diskar. Alla data på en tillfällig OS-disk går dock förlorade vid stopp (frigör), återskapande eller värdunderhållsåterställningshändelser. Tillfälliga OS-diskar stöder inte ögonblicksbilder eller Azure Backup. Använd endast tillfälliga OS-diskar när virtuella datorer är fullt omdistribuerbara genom automatisering.

Som standard har många Linux-avbildningar inte konfigurerat växlingsutrymme. Om din arbetsbelastning kräver växlingsutrymme ska du skapa det på den temporära disken med hjälp av cloud-init i stället för på OS-disken eller en datadisk.

Vi rekommenderar att du skapar en eller flera datadiskar för programdata. Datadiskar är beständiga hanterade diskar som backas upp av Storage.

När du skapar en disk är den oformaterad. Logga in på den virtuella datorn för att formatera disken. I Linux-gränssnittet visas datadiskar som /dev/sdc, /dev/sddoch senare bokstäver i serien. Du kan köra lsblk för att visa blockenheterna, inklusive diskarna, i listan. Skapa en partition och ett filsystem och montera disken om du vill använda en datadisk. Till exempel:

# Create a partition.

sudo fdisk /dev/sdc     # Enter 'n' to partition, 'w' to write the change.

# Create a file system.

sudo mkfs -t ext3 /dev/sdc1

# Mount the drive.

sudo mkdir /data1
sudo mount /dev/sdc1 /data1

När du lägger till en datadisk tilldelas disken ett logiskt enhetsnummer-ID (LUN-ID). Du kan också ange LUN-ID:t om du till exempel ersätter en disk och vill behålla samma LUN-ID, eller om du har ett program som söker efter ett specifikt LUN-ID. LUN-ID:t måste dock vara unika för varje disk.

För Premium-lagringsdiskar kanske du vill ändra I/O-schemaläggaren för att optimera prestanda på SSD:er. En vanlig rekommendation är att använda NOOP-schemaläggaren (No Operation) för SSD:er, men du bör använda ett verktyg som iostat för att övervaka disk-I/O-prestanda för din arbetsbelastning.

Många virtuella datorer skapas med en tillfällig disk som lagras på en fysisk enhet på värddatorn. Den sparas inte i Storage och kan tas bort under omstarter och andra händelser i vm-livscykeln. Använd enbart den här disken för tillfälliga data, till exempel sidfiler eller växlingsfiler. För virtuella Linux-datorer är den tillfälliga disken /dev/disk/azure/resource-part1 och den är monterad på /mnt/resource eller /mnt.

Nätverk

Nätverkskomponenterna innehåller följande resurser:

Virtuellt nätverk: Varje virtuell dator distribueras till ett virtuellt nätverk som segmenteras i undernät.
Nätverkskort (NIC): Nätverkskortet ansluter den virtuella datorn till det virtuella nätverket och hanterar all inkommande och utgående trafik. Varje VM-storlek definierar ett maximalt antal nätverkskort.
Offentlig IP-adress: En offentlig IP-adress kan användas för att kommunicera med den virtuella datorn utifrån Azure via SSH. Det här alternativet rekommenderas dock inte eftersom det är en potentiell säkerhetsrisk.

Varning

Undvik att ansluta en offentlig IP-adress direkt till en virtuell dator. Gör det endast under extrema omständigheter och inkludera andra säkerhetsåtgärder, till exempel att använda nätverkssäkerhetsgrupper (NSG:er) för att filtrera trafik.

För hanteringsåtkomst till en virtuell dator använder du Azure Bastion för webbläsarbaserad SSH-åtkomst eller ansluter privat via ett VPN eller Azure ExpressRoute.
- Den offentliga IP-adressen kan vara dynamisk eller statisk. Standardvärdet är dynamiskt. Reservera en statisk IP-adress när du behöver en fast IP-adress som inte ändras, till exempel om du behöver skapa en DNS A-post eller lägga till IP-adressen i en säker lista.
- Du kan också skapa ett fullständigt domännamn (FQDN) för IP-adressen. Du kan sedan registrera en CNAME-post i DNS som pekar på värdnamnet. Mer information finns i Skapa ett fullständigt domännamn för en virtuell dator.
NSG: Använd NSG:er för att tillåta eller neka nätverkstrafik till virtuella datorer och undernät. Associera dem med undernäten eller med enskilda nätverkskort som är kopplade till virtuella datorer.

Alla NSG:er innehåller en uppsättning standardsäkerhetsregler, inklusive en regel som blockerar all inkommande Internettrafik. Du kan inte ta bort standardreglerna, men du kan åsidosätta dem med andra regler. Du kan till exempel skapa regler som tillåter inkommande Internettrafik till specifika portar, till exempel port 443 för HTTPS.
Azure NAT-gateway(Network Address Translation):Azure NAT Gateway tillåter att alla instanser i ett privat undernät ansluter utgående till Internet samtidigt som de förblir helt privata. Endast paket som tas emot som svarspaket till en utgående anslutning kan passera genom en NAT-gateway. Ej begärda inkommande anslutningar från Internet är inte tillåtna.

Anmärkning

För att förbättra standardsäkerheten blir implicit utgående Internetåtkomst inaktuell för alla nya virtuella nätverk. Du måste uttryckligen konfigurera utgående Internetanslutning med hjälp av andra resurser som NAT Gateway, Azure Standard Load Balancers eller brandväggar. Mer information finns i Standard åtkomst utgående i Azure.
Azure Bastion:Azure Bastion är en fullständigt hanterad PaaS-lösning (Plattform som en tjänst) som ger säker åtkomst till virtuella datorer via privata IP-adresser. Med den här konfigurationen behöver virtuella datorer inte någon offentlig IP-adress som exponerar dem för Internet, vilket ökar deras säkerhetsstatus. Azure Bastion ger säker Fjärrskrivbord Protocol (RDP) eller SSH-anslutning till dina virtuella datorer direkt via TLS (Transport Layer Security) med hjälp av olika metoder, inklusive Azure-portalen eller interna SSH- eller RDP-klienter.

Operativa åtgärder

Det här avsnittet beskriver viktiga operativa metoder för att hantera en virtuell Linux-dator i Azure.

SSH: Innan du skapar en virtuell Linux-dator genererar du ett 2048-bitars RSA offentlig-privat nyckelpar. Använd fil för offentlig nyckel när du skapar den virtuella datorn. Mer information finns i Skapa och använda ett offentlig-privat SSH-nyckelpar.
Diagnostik: Aktivera övervakning och diagnostik, inklusive grundläggande hälsomått, loggar för diagnostikinfrastruktur och startdiagnostik. Startdiagnostik kan hjälpa dig att diagnostisera startfel om den virtuella datorn hamnar i ett tillstånd som inte är startbart. Lagra diagnostikloggar i ett lagringskonto. Ett lokalt redundant standardlagringskonto (LRS) är tillräckligt för diagnostiska loggar. Mer information finns i Metodtips för övervakning och diagnostik.
Tillgänglighet:Planerat underhåll eller oplanerad stilleståndstid kan påverka den virtuella datorn. Du kan använda vm-omstartsloggar för att avgöra om planerat underhåll orsakade en omstart av en virtuell dator. För högre tillgänglighet distribuerar du flera virtuella datorer mellan tillgänglighetszoner i en region. Den här driftsättningen ger ett högre servicenivåavtal (SLA). Om tillgänglighetszoner inte stöds kan tillgänglighetsuppsättningar ge skydd mot värdfel eller värduppdateringar. Tillgänglighetszoner är dock det rekommenderade alternativet där det är möjligt.
Säkerhetskopior: För att skydda mot oavsiktlig dataförlust använder du tjänsten Azure Backup för att säkerhetskopiera dina virtuella datorer till lagring. Beroende på region kan du använda geo-redundant lagring eller zonredundant lagring för säkerhetskopior. Azure Backup tillhandahåller programkonsekventa säkerhetskopior. För prestandakänsliga arbetsbelastningar eller specialiserade Linux-distributioner som inte stöder traditionella säkerhetskopieringsagenter använder du den agentlösa funktionen för kraschkonsekvent säkerhetskopiering med flera diskar för att automatisera säkerhetskopieringsskyddet utan att påverka programmets prestanda.
Stoppa en virtuell dator: Azure skiljer mellan stoppade och frigjorda tillstånd. Du debiteras när den virtuella datorns status stoppas, men inte när den virtuella datorn frigörs. I Azure-portalen frigör knappen Stop den virtuella datorn. Om du stänger av den virtuella datorn via operativsystemet när du är inloggad stoppas den virtuella datorn men frigörs inte , så du betalar fortfarande.
Ta bort en virtuell dator: Om du tar bort en virtuell dator kan du välja att ta bort eller behålla dess diskar, vilket gör att du kan behålla data. Du betalar dock fortfarande för diskarna. Du kan ta bort hanterade diskar precis som alla andra Azure-resurser. Om du vill förhindra oavsiktlig borttagning använder du ett resurslås och låser hela resursgruppen eller enskilda resurser, till exempel den virtuella datorn.

Alternatives

Azure Virtual Machine Scale Sets ger möjlighet att sprida arbetsbelastningar mellan noder. Arbetsbelastningar som är viktiga för affärsåtgärder bör aldrig vara beroende av en enda virtuell dator. Du kan lägga till eller ta bort virtuella datorinstanser automatiskt baserat på efterfrågan och kan skala ut i tider med högre trafik eller skala in när trafiken är lägre för att minimera kostnaderna.
Azure Load Balancer distribuerar trafik mellan flera virtuella datorer eller en VM-skalningsuppsättning. Det kan också användas som ett alternativ till en NAT-gateway för att ge åtkomst från internet till en arbetsbelastning, samtidigt som utgående åtkomst också stöds.
Application Gateway tillhandahåller belastningsutjämningsfunktioner till Azure Load Balancer för HTTP/HTTPS-arbetsbelastningar i en Azure region.
Information om distribution på företagsnivå finns i Azure Virtual Machines-baslinjearkitektur i en Azure-landningszon.

Scenarioinformation

Föregående diagram visar en grundläggande distribution av en enskild virtuell dator i ett virtuellt nätverk. Det här scenariot är användbart för att tillhandahålla en icke-kritisk arbetsbelastning för interna användare.

Potentiella användningsfall

Den här arkitekturen passar ett enkelt program som inte behöver offentlig internetexponering och som kan tolerera enstaka stilleståndstider. Ett grundläggande internt rapporteringsverktyg är ett vanligt användningsfall.

Att tänka på

Dessa överväganden implementerar grundpelarna i Azure Well-Architected Framework, som är en uppsättning vägledande grundsatser som du kan använda för att förbättra kvaliteten på en arbetsbelastning. Mer information finns i Well-Architected Framework.

Reliability

Tillförlitlighet hjälper till att säkerställa att ditt program kan uppfylla de åtaganden som du gör gentemot dina kunder. Mer information finns i Checklista för designgranskning för tillförlitlighet.

Den här exempelarkitekturen använder en enda virtuell dator, så den ger en minimal tillförlitlighetsnivå. Alla problem med den virtuella datorn eller med värddatorn där den körs leder till ett avbrott och gör de arbetsbelastningar som körs där otillgängliga. För alla arbetsbelastningar som behöver högre tillgänglighet distribuerar du flera virtuella datorer som innehåller samma arbetsbelastning och placerar instanserna bakom en lämplig belastningsutjämningslösning. Om de finns i samma region distribuerar du de virtuella datorerna i tillgänglighetszoner (där det stöds) och lägger till dem i serverdelen av en Azure Standard Load Balancer eller en Application Gateway om arbetsbelastningen är HTTP/HTTPS-baserad. Med den här arkitekturen kan arbetsbelastningen förbli tillgänglig om en enskild virtuell dator i serverdelen slutar fungera.

Vm-skalningsuppsättningar är ett annat alternativ för att förenkla hanteringen av arbetsbelastningar med flera noder som behöver möjlighet att automatiskt skala in eller ut antalet instanser beroende på något av flera mått, till exempel PROCESSOR- och minnesförbrukning.

Hög tillgänglighet och haveriberedskap (HA/DR)

Om du vill minska explosionsradien och förbättra motståndskraften distribuerar du arbetsbelastningen i flera regioner och använder vägledningen för Azure landningszon. Den här distributionen kan vara i en aktiv-passiv konfiguration, med redundans till den sekundära regionen om den primära regionen blir otillgänglig eller en aktiv-aktiv arkitektur där båda regionerna hanterar trafik till konsumenter.

Ett exempel finns i Webbprogram med flera nivåer som skapats för hög tillgänglighet och haveriberedskap. Exemplet i den artikeln använder Azure Site Recovery för att replikera diskarna för enskilda virtuella datorer till en sekundär region. Du kan använda Site Recovery för att redundansväxla dessa virtuella datorer till den sekundära regionen med hjälp av ett mål för låg återställningspunkt (RPO) och mål för återställningstid (RTO).

Se till att utvärdera arkitekturen så att den uppfyller kraven på ha/dr för alla komponenter, inte bara de virtuella datorerna. I alla dessa beslut inkluderar du överväganden som nätverk, identitet och data.

Säkerhet

Säkerhet ger skydd mot avsiktliga attacker och missbruk av dina värdefulla data och system. Mer information finns i Checklista för designgranskning för säkerhet.

Tänk på följande när du utvecklar din arkitektur:

Använd Microsoft Defender för molnet för att få en central vy över säkerhetstillståndet för dina Azure resurser. Defender för molnet övervakar potentiella säkerhetsproblem och ger en omfattande bild av distributionens säkerhetshälsa. Konfigurera Defender för molnet per Azure prenumeration och aktivera insamling av säkerhetsdata. Defender för molnet söker automatiskt igenom virtuella datorer som skapats under den prenumerationen.
- Korrigeringshantering: När det är aktiverat identifierar Defender för molnet saknade säkerhetsuppdateringar och kritiska uppdateringar.
- Skydd mot skadlig kod: När det är aktiverat kontrollerar Defender för molnet om programvara mot skadlig kod är installerad. Du kan också använda Defender för molnet för att installera programvara mot skadlig kod direkt från Azure portalen.
Använd Azure rollbaserad åtkomstkontroll (Azure RBAC) för att styra åtkomsten till Azure resurser. Med Azure RBAC beviljar du bara användarna de behörigheter som de behöver för att utföra sitt jobb. Rollen Läsare kan till exempel visa Azure resurser men kan inte skapa, hantera eller ta bort dem. Vissa behörigheter är specifika för en Azure resurstyp. Rollen Virtuell datordeltagare kan till exempel starta om eller frigöra en virtuell dator, återställa administratörslösenordet och skapa en ny virtuell dator. Andra inbyggda roller som kan vara användbara för den här arkitekturen är DevTest Labs-användare och nätverksdeltagare.

Anmärkning

Azure RBAC begränsar inte de åtgärder som en användare som är inloggad på en virtuell dator kan utföra. Kontotypen i gästoperativsystemet avgör dessa behörigheter.
Använd granskningsloggar om du vill visa etableringsåtgärder och andra virtuella datorhändelser.
Aktivera kryptering på värden för att uppnå heltäckande kryptering för VM-data, inklusive tillfälliga diskar och diskcache. Kryptering på värd hanterar kryptering på värdinfrastrukturen för den virtuella datorn och förbrukar inte CPU-resurser på själva de virtuella datorerna, jämfört med gästbaserad kryptering. Du kan använda anpassade hanterade nycklar med Azure Key Vault för beständiga operativsystem och datadiskar. Tillfälliga diskar och tillfälliga OS-diskar krypteras med plattformshanterade nycklar. Kontrollera att den valda VM-storleken stöder kryptering på värden innan du skapar den virtuella datorn.

Kostnadsoptimering

Kostnadsoptimering fokuserar på att hitta sätt att minska onödiga utgifter och förbättra drifteffektiviteten. Mer information finns i Checklista för designgranskning för kostnadsoptimering.

Det finns olika alternativ för VM-storlekar beroende på användning och arbetsbelastning. Intervallet innehåller det mest ekonomiska alternativet i Bs-serien till de nyaste virtuella GPU-datorerna som är optimerade för machine learning. Information om tillgängliga alternativ finns i Azure prissättning för virtuella Linux-datorer.

För förutsägbara arbetsbelastningar använder du Azure Reservations och Azure-sparplan för datorkapacitet. Ett ettårigt eller treårskontrakt kan minska beräkningskostnaderna avsevärt jämfört med betala per användning-priser. För arbetsbelastningar utan förutsägbar tid för slutförande eller resursförbrukning bör du överväga alternativet Betala per användning .

Azure Spot-VM:ar använder ledig Azure-kapacitet till avsevärt lägre priser. Azure kan avlägsna virtuella datorer med kort varsel när den behöver tillbaka kapaciteten, så de är endast lämpliga för feltoleranta arbetsbelastningar utan någon strikt tidsgräns för slutförande. Överväg spot-VM:ar för:

Scenarier med högpresterande beräkning, jobb för batchbearbetning eller program med visuell rendering.
Testmiljöer, inklusive kontinuerlig integrering och arbetsbelastningar för kontinuerlig leverans.
Storskaliga tillståndslösa program.

Använd priskalkylatorn Azure för att beräkna kostnaderna.

Operativ skicklighet

Operational Excellence omfattar de driftsprocesser som distribuerar ett program och håller det igång i produktion. Mer information finns i Checklista för designgranskning för Operational Excellence.

Använd IaC-mallar (infrastruktur som kod) för att etablera Azure resurser och deras beroenden. Du kan skriva dessa mallar med hjälp av Bicep, Azure Resource Manager eller Terraform. Dessa mallar kan användas som en del av en CI/CD-pipeline (kontinuerlig integrering och kontinuerlig distribution) via automatiserad distribution. Den här metoden ger versionskontroll över din arkitektur, säkerställer konsekvens mellan miljöer och framtvingar reproducerbarhet, säkerhet och efterlevnad.

För att övervaka och diagnostisera problem aktiverar du diagnostikloggar på dina resurser och skickar dem till Azure Monitor för analys och optimering. Du kan använda dessa loggar för att implementera aviseringar och meddelanden om kritiska händelser och i vissa fall tillåta automatisk reparation eller loggning av biljetter i DITT ITSM-system (IT Service Management).

Prestandaeffektivitet

Prestandaeffektivitet syftar på arbetsbelastningens förmåga att skala för att effektivt uppfylla användarnas krav. För mer information, se Designgranskningschecklistan för prestandaeffektivitet.

Prestandaeffektivitet hjälper dig att minimera svarstiden, uppnå skalbara arkitekturer, optimera resursanvändningen och kontinuerligt förbättra systemets prestanda. De beslut du fattar om arbetsbelastningsarkitektur, VM-storlek och diskkonfigurationer kan påverka arbetsbelastningens prestanda avsevärt. Genom att göra rätt val kan du förhindra behovet av att göra om lösningen i framtiden, lägga till flexibilitet och spara kostnader.