Confiabilidade no Azure Bastion

O Azure Bastion é uma PaaS (plataforma como serviço) totalmente gerenciada que você provisiona para fornecer conexões de alta segurança a máquinas virtuais por meio de um endereço IP privado. Ele fornece conectividade RDP/SSH contínua para suas máquinas virtuais diretamente pelo TLS no portal do Azure ou por meio do cliente SSH ou RDP nativo já instalado no computador local. Ao se conectar por meio do Azure Bastion, suas máquinas virtuais não precisarão de um endereço IP público, nem de um agente e tampouco de um software cliente especial.

Quando você usa o Azure, a confiabilidade é uma responsabilidade compartilhada. A Microsoft fornece uma variedade de recursos para dar suporte à resiliência e recuperação. Você é responsável por entender como esses recursos funcionam em todos os serviços que você usa e selecionar os recursos necessários para atender aos seus objetivos de negócios e metas de tempo de atividade.

Este artigo descreve como tornar o Azure Bastion resiliente a uma variedade de possíveis interrupções e problemas, incluindo falhas transitórias, interrupções de zona de disponibilidade e interrupções de região. Ele destaca algumas informações importantes sobre o SLA (contrato de nível de serviço) do Azure Bastion.

Recomendações de implantação de produção para confiabilidade

Para cargas de trabalho de produção, recomendamos que você:

Visão geral da arquitetura de confiabilidade

Ao usar o Azure Bastion, você deve implantar um host de bastion em uma sub-rede que atenda aos requisitos do Azure Bastion.

Um host bastion tem um número definido de instâncias, que também são às vezes chamadas de unidades de escala. Cada instância representa uma única VM dedicada que manipula suas conexões do Azure Bastion. A plataforma gerencia automaticamente a criação da instância, o monitoramento de integridade e a substituição de instâncias não íntegras, para que você não veja ou gerencie as VMs diretamente.

O SKU Básico dá suporte a exatamente duas instâncias. Os SKUs Standard e Premium dão suporte ao dimensionamento de host, em que você pode configurar o número de instâncias, com um mínimo de duas instâncias. Quando você adiciona mais instâncias, o host bastion pode acomodar conexões de cliente simultâneas adicionais.

Resiliência a falhas transitórias

Falhas transitórias são falhas curtas e intermitentes nos componentes. Elas ocorrem com frequência em um ambiente distribuído, como a nuvem, e são uma parte normal das operações. Falhas transitórias se corrigem após um curto período de tempo. É importante que seus aplicativos possam lidar com falhas transitórias, geralmente repetindo solicitações afetadas.

Todos os aplicativos hospedados na nuvem devem seguir as diretrizes transitórias de tratamento de falhas do Azure quando eles se comunicam com qualquer APIs, bancos de dados e outros componentes hospedados na nuvem. Para obter mais informações, confira Recomendações para tratamento de falhas transitórias.

Se falhas transitórias afetarem sua máquina virtual ou host bastion, os clientes que usam os protocolos SSH (host de soquetes seguros) e RDP (Protocolo de Área de Trabalho Remota) normalmente tentarão novamente automaticamente.

Resiliência a falhas de zona de disponibilidade

As zonas de disponibilidade são grupos fisicamente separados de datacenters em uma região do Azure. Quando uma zona falha, os serviços podem fazer o failover de uma das zonas restantes.

O Azure Bastion oferece suporte a zonas de disponibilidade em configurações zona-redundantes e zonais.

• Com redundância de zona: Um host bastion com redundância de zona obtém resiliência e confiabilidade ao distribuir suas instâncias em várias zonas de disponibilidade. Selecione quais zonas de disponibilidade você deseja usar para o bastion host.

  O seguinte diagrama mostra um bastion host com redundância de zona, com as instâncias distribuídas em três zonas:

  

  Se você especificar mais zonas de disponibilidade do que o número de instâncias que possui, o Azure Bastion distribui as instâncias entre o maior número possível de zonas.

• De zona: um bastion host de zona e todas as instâncias estão em uma só zona de disponibilidade selecionada.

  Importante

  A anexação a uma única zona de disponibilidade só é recomendada quando a latência entre zonas é muito alta para suas necessidades e depois de verificar se a latência não atende aos seus requisitos. Por si só, um recurso zonal não fornece resiliência a uma interrupção de zona de disponibilidade. Para melhorar a resiliência de um recurso zonal, você precisa implantar explicitamente recursos separados em várias zonas de disponibilidade e configurar o roteamento e o failover de tráfego. Para obter mais informações, consulte recursos zonais e resiliência de zona.

Requisitos

• Suporte de regiões: os bastion hosts de zona e com redundância de zona podem ser implantados nas seguintes regiões:

  Américas	Europa	Oriente Médio	África	Pacífico Asiático
  Canadá Central	Europa Setentrional	Catar Central	Norte da África do Sul	Leste da Austrália
  EUA Central	Suécia Central	Israel Central		Coreia Central
  Leste dos EUA	Sul do Reino Unido
  Leste dos EUA 2	Oeste da Europa
  Oeste dos EUA 2	Leste da Noruega
  Leste dos EUA 2 EUAP	Norte da Itália
  México Central	Espanha Central

• SKU: Para configurar os bastion hosts para serem de zona ou com redundância de zona, você precisa implantá-los com os SKUs Básico, Standard ou Premium.

• Endereço IP público: O Azure Bastion requer um endereço IP público SKU Padrão com redundância de zona.

Custo

Não há nenhum custo adicional para usar o suporte à zona de disponibilidade para o Azure Bastion. As cobranças são baseadas no SKU do bastion host e no número de instâncias que ele usa. Para obter informações, consulte os preços do Azure Bastion.

Configurar o suporte à zona de disponibilidade

• Implante um novo host de bastion com suporte à zona de disponibilidade: Ao implantar um novo host de bastion em uma região que dá suporte a zonas de disponibilidade, você seleciona as zonas específicas para as quais deseja implantar.

  Para redundância de zona, você deve selecionar várias zonas.

  Quando você seleciona quais zonas de disponibilidade usar, na verdade está selecionando a zona de disponibilidade lógica. Se você implantar outros componentes de carga de trabalho em uma assinatura diferente do Azure, eles podem usar um número de zona de disponibilidade lógica diferente para acessar a mesma zona de disponibilidade física. Para obter mais informações, confira Zonas de disponibilidade físicas e lógicas.

• Hosts de bastião existentes: Não é possível alterar a configuração da zona de disponibilidade de um host de bastião existente. Em vez disso, você precisa criar um host bastion com a nova configuração e excluir a antiga.

Comportamento quando todas as zonas estão saudáveis

Esta seção descreve o que esperar quando os hosts bastion são configurados para suporte à zona de disponibilidade e todas as zonas de disponibilidade estão operacionais.

• Roteamento de tráfego entre zonas: Quando você inicia uma sessão SSH ou RDP, ela pode ser roteada para uma instância do Azure Bastion em qualquer uma das zonas de disponibilidade selecionadas.

  Se você configurar a redundância de zona no host do bastion, uma sessão poderá ser enviada para uma instância de bastião em uma zona de disponibilidade diferente da máquina virtual à qual você está se conectando. No diagrama a seguir, uma solicitação do usuário é enviada para uma instância do Azure Bastion na zona 2, embora a máquina virtual esteja na zona 1:

  

  Dica

  Na maioria dos cenários, a quantidade de latência entre zonas não é significativa. No entanto, se você tiver requisitos de latência excepcionalmente rigorosos para suas cargas de trabalho, deverá implantar um host de bastião de zona única dedicado na zona de disponibilidade da máquina virtual. Tenha em mente que essa configuração não fornece redundância de zona e não a recomendamos para a maioria dos clientes.

• Replicação de dados entre zonas: Como o Azure Bastion não armazena o estado, não há dados a serem replicados entre zonas.

Comportamento durante uma falha de zona

Esta seção descreve o que esperar quando os bastion hosts são configurados para suporte a zonas de disponibilidade e há uma interrupção na zona de disponibilidade.

• Detecção e resposta: quando você usa redundância de zona, o Azure Bastion detecta e responde a falhas em uma zona de disponibilidade. Você não precisa fazer nada para iniciar um failover da zona de disponibilidade.

  Para instâncias com redundância de zona, o Azure Bastion faz os melhores esforços para substituir todas as instâncias perdidas devido a uma interrupção de zona. No entanto, não há garantia de que as instâncias serão substituídas.

• Notificação: a Microsoft não notifica você automaticamente quando uma zona está inativa. No entanto, você pode usar o Azure Resource Health para monitorar a integridade de um recurso individual e pode configurar alertas do Resource Health para notificá-lo de problemas. Você também pode usar a Integridade do Serviço do Azure para entender a integridade geral do serviço, incluindo quaisquer falhas de zona, e pode configurar alertas de Integridade do Serviço para notificá-lo de problemas.

• Solicitações ativas: quando uma zona de disponibilidade não está disponível, todas as conexões RDP ou SSH em andamento que usam uma instância do Azure Bastion na zona de disponibilidade com falha são encerradas e precisam ser repetidas.

  Se a VM à qual você está se conectando não estiver na zona de disponibilidade afetada, ela continuará sendo executada. Para obter mais informações sobre a experiência de queda de zona das VMs, consulte Confiabilidade em VMs – Comportamento durante uma falha de zona.

• Tempo de inatividade esperado: O tempo de inatividade esperado depende da configuração da zona de disponibilidade que o host bastion usa.

  • Com redundância de zona: um pequeno tempo de inatividade pode ocorrer enquanto o serviço recupera as operações. Esse tempo de inatividade normalmente é de alguns segundos.

  • Zonal: Sua instância fica indisponível até que a zona de disponibilidade se recupere.

• Perda de dados esperada: Como o Azure Bastion não armazena o estado, não há nenhuma perda de dados esperada durante uma falha de zona.

• Redirecionamento de tráfego: Quando você usa redundância de zona, novas conexões usam instâncias Azure Bastion nas zonas de disponibilidade saudáveis. No geral, o Azure Bastion permanece operacional.

Recuperação de zona

Quando a zona de disponibilidade é recuperada, o Azure Bastion restaura automaticamente as instâncias na zona de disponibilidade e redireciona o tráfego entre suas instâncias normalmente.

Testar falhas em zonas

A plataforma Azure Bastion gerencia o roteamento de tráfego, o failover e o failback para bastion hosts com redundância de zona. Como esse recurso é totalmente gerenciado, você não precisa iniciar nada nem validar processos de falha da zona de disponibilidade.

Resiliência a falhas em toda a região

O Azure Bastion é implantado em redes virtuais ou redes virtuais emparelhadas e está associado a uma região do Azure. O Azure Bastion é um serviço de região única. Se a região ficar indisponível, o bastion host também ficará indisponível.

Azure Bastion dá suporte ao acesso de máquinas virtuais em redes virtuais emparelhadas globalmente, mas se a região que hospeda seu bastion host não estiver disponível, você não poderá utilizá-lo. Para maior resiliência, se você implantar sua solução geral em várias regiões com redes virtuais separadas em cada região, deve implantar o Azure Bastion em cada região.

Se você tiver um site de recuperação de desastre em outra região do Azure, certifique-se de implantar o Azure Bastion na rede virtual nessa região.

Contrato de nível de serviço

O acordo de nível de serviço (SLA) dos serviços do Azure descreve a disponibilidade esperada de cada serviço e as condições que sua solução deve atender para alcançar essa expectativa de disponibilidade. Para obter mais informações, consulte SLAs para serviços online.

Conteúdo relacionado

• Confiabilidade no Azure