你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Azure 存储为数据提供了各种存储选项。 本文提供了有助于选择适当的访问层的注意事项，以便可以平衡成本和性能。 它还介绍了存储的生命周期管理，包括有助于有效使用访问层的功能和最佳做法。
生命周期管理
Azure 存储提供可用于存储 Blob 对象数据的各种访问层。 选择最适合工作负荷的层以优化成本。
使用 热层 存储经常访问的数据。
使用 冷层 存储不经常访问的数据。 此层至少存储 30 天的数据。
使用 冷层 存储不经常访问或修改的数据。 此层至少存储 90 天的数据。 与冷层相比，寒层的存储成本较低，访问成本较高。
使用 存档层 存储很少访问的数据。 此层至少存储 180 天的数据。 访问此数据可以具有灵活的延迟要求，这意味着检索数据可能需要几个小时。
重要
联机访问层（热、温和冷）无需在可靠性、安全性、卓越运营或性能效率上做出权衡。 因此，应根据每个 Blob 的成本做出决策。 请考虑工作负荷访问数据大小、作交互以及删除 Blob 之前的时间。 根据这些因素为每个 Blob 选择适当的层。 有关详细信息，请参阅规划和管理 Azure Blob 存储的成本。
使用访问层时，请考虑以下因素：
仅在帐户级别设置热访问层和冷访问层。 帐户级别不支持存档访问层。
在上传期间或上传后，在 Blob 级别设置热层、冷层和存档层。
冷层和冷层中的数据的可用性略低，但这些层提供的功能类似于热层的功能，例如高持久性、检索延迟和吞吐量。 对于次冷层或冷层中的数据，考虑到与热层相比存储成本的降低，较低的可用性和更高的访问成本是可接受的折衷。
存档存储将数据脱机存储，并提供最低的存储成本。 但它也会产生最高的数据解除冻结和访问成本。
有关详细信息，请参阅 Blob 数据的访问层。
重要
对于云规模分析，请使用自定义微服务来实现 生命周期管理。 仔细考虑将用户可发现的数据移动到冷存储的影响。 仅针对理解良好的工作负荷，将数据湖的部分移动到冷层。
数据湖连接
每个 Data Lake 都应使用集成到数据登陆区域的虚拟网络中的专用终结点。 为提供跨登陆区域的访问，请通过虚拟网络对等互连来连接数据登陆区域。 此连接从成本和访问控制角度提供了最佳解决方案。
有关详细信息，请参阅专用终结点和数据管理登陆区域到数据登陆区域。
重要
数据落地区域可以通过虚拟网络对等互连访问其他数据落地区域的数据。 专用终结点建立与每个 Data Lake 帐户关联的连接。 建议关闭对湖的所有公共访问并使用专用终结点。 平台操作团队应控制数据登陆区域的网络连接。
容器软删除
容器的软删除有助于防止意外或恶意删除数据。 如果为存储帐户启用容器软删除，则存储将保留已删除的容器及其内容以指定时间长度。 在数据保留期内，可以还原以前删除的容器。 还原操作还会恢复该容器被删除时其中的 Blob 对象。
启用以下数据保护功能以增强端到端 Blob 数据保护：
使用容器软删除还原已删除的容器。 有关详细信息，请参阅 “启用和管理容器的软删除”。
使用 Blob 软删除还原已删除的 Blob 或版本。 有关详细信息，请参阅 “为 Blob 启用和管理软删除”。
警告
删除存储帐户后，无法撤消删除作。 容器软删除不会防止存储帐户删除，而只能防止删除帐户中的容器。 若要防止存储帐户被删除，请在存储帐户资源上配置锁。 有关详细信息，请参阅锁定资源以防止意外更改。
监视
在数据着陆区中，将所有监控发送到 Azure 着陆区管理订阅 进行分析。
有关详细信息，请参阅 使用 Azure Monitor 监视 Azure 资源 和 监视 Blob 存储。
仅针对针对服务终结点的请求创建日志条目。 记录以下类型的经过身份验证的请求：
- 成功的请求
- 失败的请求，包括超时、限制、网络问题、授权问题和其他错误
- 使用共享访问签名 (SAS) 或 OAuth 的请求，包括失败和成功的请求
- 对分析数据（比如
$logs容器中的经典日志数据和$metric表中的类指标数据）的请求
不会记录存储服务本身发出的请求，如创建或删除日志。 记录以下类型的匿名请求：
- 成功的请求
- 服务器错误
- 客户端和服务器的超时错误
- 错误代码为 304 的 HTTP GET 请求失败（
Not Modified）
不会记录其他失败的匿名请求。
重要
将默认监视策略设置为审核存储，并将日志发送到企业级管理订阅。
Data Lake 区域安全性
建议对 Data Lake 区域使用以下安全模式：
原始用法 仅允许使用安全主体名称（SPN）访问数据。 建议使用托管标识。
扩充用法 仅允许使用 SPN 访问数据。 建议使用托管标识。
特选用法 允许使用 SPN 和用户主体名称（UPN）访问数据。
有关详细信息，请参阅 Data Lake Storage 中的访问控制模型。