Azure Files 的体系结构最佳实践

使用故障模式分析：通过考虑内部依赖关系（例如虚拟网络、Azure Key Vault、Azure 内容分发网络或 Azure Front Door 终结点的可用性）来最大限度地减少故障点。 如果你需要凭据来访问 Azure Files，而凭据在 Key Vault 中丢失，则可能会出现故障。 或者，如果你的工作负荷使用基于缺失的内容传送网络的终结点，则可能会出现故障。 在这些情况下，你可能需要将工作负荷配置为连接到备用终结点。 有关故障模式分析的一般信息，请参阅关于执行故障模式分析的建议。

定义可用性和恢复目标：查看 Azure 服务级别协议 (SLA)。 派生存储帐户的服务级别目标 (SLO)。 例如，你选择的冗余配置可能会影响 SLO。 考虑区域中断的影响、数据丢失的可能性以及中断后恢复访问所需的时间。 另外，请考虑你在故障模式分析中确定的内部依赖关系的可用性。

配置数据冗余：为了获得最大的持久性，请选择跨可用性区域或全球区域复制数据的配置。 为了实现最大可用性，请选择允许客户端在主要区域中断期间从次要区域读取数据的配置。

设计应用程序：设计应用程序以无缝转移，以便在主要区域不可用时从次要区域读取数据。 此设计注意事项仅适用于异地冗余存储 (GRS) 和地理区域冗余存储 (GZRS) 配置。 设计你的应用程序以正确处理中断，从而减少客户的停机时间。

探索可帮助你实现恢复目标的功能：使文件可恢复，以便你可以恢复损坏、编辑或删除的文件。

创建恢复计划：考虑数据保护功能、备份和还原操作或故障转移程序。 为潜在的数据丢失和数据不一致以及故障转移的时间和成本做好准备。 有关详细信息，请参阅有关设计灾难恢复策略的建议。

监视潜在的可用性问题：订阅 Azure 服务运行状况仪表板以监视潜在的可用性问题。 使用 Azure Monitor 中的存储指标和诊断日志来调查警报。

审查 Azure 存储的安全基线：首选，审查存储的安全基线。

考虑使用网络控制来限制入口流量和出口流量：在某些情况下，你可能愿意将你的存储帐户向公共 Internet 公开，例如，如果你使用基于身份的身份验证来授予对文件共享的访问权限。 但我们建议你使用网络控制来授予用户和应用程序所需的最低级别访问权限。 有关详细信息，请参阅如何实现存储帐户的网络安全性。

减小攻击面：在传输过程中使用加密并防止通过非安全 (HTTP) 连接进行访问以减小攻击面。 要求客户端使用最新版本的传输层安全性 (TLS) 协议发送和接收数据。

尽量少使用存储帐户密钥：与使用存储帐户密钥相比，基于标识的身份验证可提供更高的安全性。 但是你必须使用存储帐户密钥才能获得对文件共享的完全管理控制，包括取得文件所有权的能力。 仅授予安全主体执行任务所需的必要权限。

保护敏感信息：保护敏感信息，例如存储帐户密钥和密码。 我们不建议你使用这些形式的授权，但如果你这样做，则应该确保轮换密码、使密码过期和安全存储密码。

检测威胁：启用 Microsoft Defender for Storage 以检测通过 SMB 或 FileREST 协议访问或利用 Azure 文件共享的潜在有害尝试。 订阅管理员还获取电子邮件警报，其中详述了可疑活动以及有关如何调查和修正威胁的建议。 Defender for Storage 不支持 Azure 文件共享的防病毒功能。 如果你使用 Defender for Storage，则事务密集型文件共享会产生大量成本，因此，请考虑针对特定存储帐户选择退出 Defender for Storage。

审查存储的安全基线：首选，审查存储的安全基线。

了解组织的安全要求：NFS Azure 文件共享仅支持使用 NFSv4.1 协议的 Linux 客户端，并支持 4.1 协议规范中的大多数功能。 某些安全功能（例如 Kerberos 身份验证、访问控制列表 (ACL) 和传输中加密）不受支持。

使用网络级安全和控制来限制入口流量和出口流量：基于标识的身份验证不适用于 NFS Azure 文件共享，因此你必须使用网络级安全和控制来授予用户和应用程序所需的最低级别访问权限。 有关详细信息，请参阅如何实现存储帐户的网络安全性。

确定你的工作负荷是否需要高级文件共享（Azure Premium SSD）的性能，或者 Azure 标准 HDD 存储是否足够：根据你需要的存储类型确定存储帐户类型和计费模式。 如果需要大量每秒输入/输出操作 (IOPS)、极快的数据传输速度或非常低的延迟，应选择高级 Azure 文件共享。 NFS Azure 文件共享仅在高级层可用。 NFS 和 SMB 文件共享在高级层上的价格相同。

为文件共享创建存储帐户并选择冗余级别：选择标准 (GPv2) 或高级 (FileStorage) 帐户。 你选择的冗余级别会影响成本。 冗余度越高，成本越高。 本地冗余存储 (LRS) 最经济实惠。 GRS 仅适用于标准 SMB 文件共享。 标准文件共享仅显示存储帐户级别的交易信息，因此我们建议你在每个存储帐户中仅部署一个文件共享，以确保完整的计费可见性。

了解您的帐单如何计算：标准 Azure 文件共享提供即用即付模型。 高级共享使用预配模型，你可以在其中预先指定并支付一定数量的容量、IOPS 和吞吐量。 在即用即付模型中，计量器会跟踪帐户中存储的数据量或容量，以及基于你对这些数据的使用情况的交易数量和类型。 即用即付模型可能具有成本效益，因为你只需按实际使用量付费。 有了即用即付模型，你无需根据性能要求或需求波动来过度预配或取消预配存储。

但你可能会发现将存储规划为预算过程的一部分很困难，因为最终用户的消耗决定了成本。 对于预配模型，交易不会影响计费，因此很容易预测成本。 但无论你是否使用，都需要为所预配的存储容量付费。 有关如何计算成本的详细明细，请参阅了解 Azure 文件存储计费。

估算容量和运营成本：您可以使用 Azure 定价计算器来模拟与数据存储、流入量和流出量相关的成本。 比较与不同地区、帐户类型和冗余配置相关的成本。 有关详细信息，请参阅 Azure 文件定价。

选择最具成本效益的访问层：标准 SMB Azure 文件共享提供三个访问层：事务优化层、热层或冷层。 所有这三层都存储在相同的标准存储硬件上。 这三个层级的主要区别是静态数据存储价格（层级越冷，价格越低）和事务价格（层级越冷，价格越高）。 有关详细信息，请参阅标准层的区别。

确定您需要哪些增值服务：Azure Files 支持与备份、Azure 文件同步和 Defender for Storage 等增值服务集成。 这些解决方案有自己的许可和产品成本，但通常被视为文件存储总拥有成本的一部分。 如果你使用 Azure 文件同步，请考虑其他成本方面。

建立防范措施：根据订阅和资源组建立预算。 使用治理策略来限制资源类型、配置和位置。 此外，使用基于角色的访问控制 (RBAC) 来阻止可能导致超支的行为。

监视成本：确保成本保持在预算范围内，将成本与预测进行比较，并查看哪里出现超支。 你可以使用 Azure 门户中的成本分析窗格来监视成本。 你还可以将成本数据导出到存储帐户，并使用 Excel 或 Power BI 分析该数据。

监视使用情况：持续监视使用模式以检测未使用或未充分利用的存储帐户和文件共享。 检查容量是否有意外增加，这可能表明你正在收集大量日志文件或软删除的文件。 制定一种删除文件或将文件移到更具成本效益的访问层的策略。

创建维护和紧急恢复计划：考虑数据保护功能、备份和还原操作以及故障转移程序。 为潜在的数据丢失和数据不一致以及故障转移的时间和成本做好准备。

监视存储帐户的运行状况：创建存储见解仪表板以监视可用性、性能和弹性指标。 设置警报以在客户注意到你的系统中的问题之前找出和解决问题。 使用诊断设置将资源日志路由到 Azure Monitor 日志工作区。 然后，你可以查询日志来更深入地调查警报。

定期检查文件共享活动：共享活动可能会随着时间而改变。 将标准文件共享移至较冷的访问层，或者你可以为高级共享预配或取消预配容量。 当你将标准文件共享移到其他访问层时，会产生交易费用。 仅在需要时再移动标准文件共享以减少每月帐单的费用。

规划缩放：了解存储帐户、Azure Files 和 Azure 文件同步的可伸缩性和性能目标。

了解你的应用程序和使用模式以实现可预测的性能：确定延迟敏感度、IOPS 和吞吐量要求、工作负荷持续时间和频率以及工作负荷并行化。 将 Azure Files 用于多线程应用程序以帮助你达到服务的性能上限。 如果你的大多数请求都以元数据为中心，例如 createfile、openfile、closefile、queryinfo 或 querydirectory，则这些请求会产生比读取和写入操作更高的延迟。 如果你遇到此问题，请考虑将文件共享分成同一存储帐户内的多个文件共享。

选择最佳存储帐户类型：如果你的工作负荷需要大量的 IOPS、极快的数据传输速度或非常低的延迟，那么你应该选择高级 (FileStorage) 存储帐户。 你可以将标准通用 v2 帐户用于大多数 SMB 文件共享工作负荷。 两种存储帐户类型之间的主要权衡是成本与性能。

预配的共享大小（例如 IOPS、流出量和流入量）以及单文件限制决定了高级共享的性能。 有关详细信息，请参阅了解高级文件共享的预配。 如果你需要暂时超出高级文件共享的基准 IOPS 限制，则高级文件共享还会提供突发额度作为保险单。

在与连接客户端相同的区域中创建存储帐户以减少延迟：距离 Azure Files 服务越远，延迟越长，并且越难达到性能缩放限制。 当你从本地环境访问 Azure Files 时，尤其需要注意这一点。 如果可能，请确保你的存储帐户和客户端共同位于同一个 Azure 区域中。 通过最大限度地减少网络延迟或使用 ExpressRoute 连接通过专用连接将本地网络扩展到 Microsoft 云来针对本地客户端进行优化。

收集性能数据：监视工作负载性能，包括延迟、可用性和使用情况指标。 分析日志以诊断超时和限制等问题。 创建警报以在文件共享受到限制、即将受到限制或遇到高延迟时通知你。

针对混合部署进行优化：如果你使用 Azure 文件同步，则同步性能取决于许多因素：Windows Server 和底层磁盘配置、服务器和 Azure 存储之间的网络带宽、文件大小、数据集总大小以及数据集上的活动。 要衡量基于 Azure 文件同步的解决方案的性能，请确定每秒处理的对象（例如文件和目录）的数量。