编辑

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

对远程办公室或分支办公室使用 Azure Stack HCI 无交换机互连和轻型仲裁

Azure Arc
Azure Monitor
Azure Policy
Microsoft Defender for Cloud
Azure Stack HCI

此参考体系结构演示如何为远程办公室/分支办公室 (ROBO) 场景中的高可用性虚拟化和容器化工作负载设计基础结构。

体系结构

演示 Azure Stack HCI ROBO 场景的示意图，其中包含使用无交换机互连和基于 USB 的仲裁的双节点 Azure Stack HCI 群集。该群集使用许多 Azure 服务，包括提供用于实现 Azure Policy 的功能的 Azure Arc、包含 Azure 更新管理功能的 Azure 自动化、Azure Monitor、Azure 文件同步、Azure 网络适配器、Microsoft Defender for Cloud、Azure 备份、Azure Site Recovery 和存储副本。

下载此体系结构的 Visio 文件。

工作流

该体系结构包含以下功能：

  • Azure Stack HCI (20H2)。 Azure Stack HCI 是一种超融合基础设施 (HCI) 群集解决方案，它在混合本地环境中托管虚拟化的 Windows 和 Linux 工作负载及其存储。 拉伸群集可包含 4 到 16 个物理节点。
  • 文件共享见证。 文件共享见证是故障转移群集用作群集仲裁中的投票的服务器消息块 (SMB) 共享。 从 Windows Server 2019 开始，可使用连接到路由器的 U 盘来实现此目的。
  • Azure Arc。一项基于云的服务，它将基于 Azure 资源管理器的管理模型扩展到非 Azure 资源，包括虚拟机 (VM)、Kubernetes 群集和容器化数据库。
  • Azure Policy。 一项基于云的服务，它将属性与可自定义的业务规则进行比较，通过与 Azure Arc 的集成来评估 Azure 和本地资源。
  • Azure Monitor。 一项基于云的服务，它提供用于收集、分析和处理来自云与本地环境的遥测数据的综合解决方案，可将应用程序和服务的可用性和性能最大化。
  • Microsoft Defender for Cloud。 Microsoft Defender for Cloud 是一个统一的基础结构安全管理系统，可以增强数据中心的安全态势，以及为云中（无论是否在 Azure 中）和本地的混合工作负载提供高级威胁防护。
  • Azure 自动化。 Azure 自动化提供基于云的自动化和配置服务，用于支持 Azure 环境和非 Azure 环境之间的一致管理。
  • 更改跟踪和清单。 Azure 自动化的一项功能，可跟踪托管在 Azure、本地和其他云环境中的 Windows Server 和 Linux 服务器的更改，帮助查明由分发包管理器管理的软件的操作和环境问题。
  • 更新管理。 Azure 自动化的一项功能，可简化 Azure、本地环境和其他云环境中 Windows Server 和 Linux 计算机的 OS 更新管理。
  • Azure 备份。 Azure 备份服务提供简单、安全且经济高效的解决方案来备份数据，并从 Microsoft Azure 云恢复数据。
  • Azure Site Recovery。 一项基于云的服务，有助于保持业务应用和工作负载在停机期间的正常运行，从而确保业务连续性。 Site Recovery 可管理在物理计算机和虚拟机上运行的工作负载在其主站点和次要位置之间的复制和故障转移。
  • Azure 文件同步。一项基于云的服务，可通过在 Azure 和非 Azure 环境中使用 Windows Server 来同步和缓存 Azure 文件共享的内容。
  • 存储副本。 一种 Windows Server 技术，它允许针对灾难恢复在服务器或群集之间进行卷的复制。

组件

用于实现此体系结构的关键技术：

方案详细信息

可能的用例

此体系结构的典型用途包括以下远程办公室/分支办公室 (ROBO) 场景：

  • 以经济高效的方式实现高度可用、基于容器的边缘工作负载和虚拟化的业务必不可少的应用程序。
  • 通过 Microsoft 认证的解决方案、基于云的自动化、集中管理和集中监视来降低总拥有成本 (TCO)。
  • 使用基于虚拟化的保护、经过认证的硬件和基于云的服务来控制和审核安全性与合规性。

建议

以下建议适用于大多数方案。 除非有优先于这些建议的特定要求，否则请遵循这些建议。

使用 Azure Stack HCI 无交换机互连和轻型仲裁实现高度可用且经济高效的 ROBO 基础结构。

在 ROBO 场景中，主要的业务问题是将成本降至最低。 然而，许多 ROBO 工作负载至关重要，对停机时间的容忍度非常低。 Azure Stack HCI 通过提供复原能力和成本效益来提供最佳解决方案。 使用 Azure Stack HCI，可以应用内置的存储空间直通复原能力和故障转移群集技术，为容器化和虚拟化 ROBO 工作负载实现高度可用的计算、存储和网络基础结构。 若要实现成本效益，可以使用最少两个群集节点，其中每个节点只有四个磁盘和 64 GB 内存。 若要进一步降低成本，可以在节点之间使用无交换机互连，从而消除对冗余交换机设备的需求。 要完成群集配置，可以使用 U 盘实现文件共享见证，该 U 盘连接到托管来自群集节点的上行链路的路由器。 若要实现最大的复原能力，在双节点群集上，可以选择使用嵌套双向镜像或嵌套镜像加速奇偶校验来配置存储空间直通卷。 与传统的双向镜像不同，这些选项可以容忍多个同时发生的硬件故障，但不会丢失数据。

注意

借助嵌套复原能力，双节点群集及其所有卷将在单个节点和剩余节点上的单个磁盘发生故障后保持联机状态。

将 Azure Stack HCI 部署与 Azure 完全集成，以将 ROBO 场景中的 TCO 降至最低。

作为 Azure Stack 产品系列的一部分，Azure Stack HCI 本质上依赖于 Azure。 因此，要优化功能和支持，必须在部署第一个 Azure Stack HCI 群集后的 30 天内注册该群集。 此过程会生成相应的 Azure 资源管理器资源，从而有效地将 Azure 管理平面扩展到 Azure Stack HCI，并自动启用基于 Azure 门户的监视、支持和计费功能。

为了最大程度地减少 Azure Stack HCI 群集和工作负载管理开销，还应考虑使用以下 Azure 服务，这些服务提供以下功能：

为了进一步从 Azure 功能中获益，可以通过实现以下功能，将 Azure Arc 集成的范围扩展到 Azure Stack HCI 虚拟化和容器化工作负载：

注意

在发布此参考体系结构时，Azure Stack HCI 上的 AKS 和已启用 Azure Arc 的数据服务为预览版。

随着 Azure Arc 的范围扩展到 Azure Stack HCI VM，你将能够通过使用 Azure VM 扩展来自动化其配置，并通过使用 Azure Policy 评估其是否符合行业法规和公司标准。

利用 Azure Stack HCI 基于虚拟化的保护、经过认证的硬件和基于云的服务来增强 ROBO 场景中的安全性与合规性。

ROBO 场景在安全性与合规性方面提出了独特的挑战。 由于没有本地 IT 支持或十分有限以及缺少专用数据中心，因此保护它们的工作负载免受内部和外部威胁尤为重要。 Azure Stack HCI 的功能及其与 Azure 服务的集成便可解决此问题。

Azure Stack HCI 认证的硬件可确保内置安全启动、统一可扩展固件接口 (UEFI) 和受信任的平台模块 (TPM) 支持。 这些技术与基于虚拟化的安全性 (VBS) 相结合，有助于保护安全敏感型工作负载。 BitLocker 驱动器加密允许对存储空间直接卷进行静态加密，而 SMB 加密提供传输中的自动加密，从而帮助遵守美国联邦信息处理标准 140-2 (FIPS 140-2) 和 Health Insurance Portability and Accountability Act (HIPAA) 等规定。

此外，还可以在 Microsoft Defender for Cloud 中加入 Azure Stack HCI VM，以激活基于云的行为分析、威胁检测和修正、警报和报告。 同样，通过在 Azure Arc 中加入 Azure Stack HCI VM，可以使用 Azure Policy 来评估其是否符合行业法规和公司标准。

注意事项

Microsoft Azure 架构良好的框架是此参考体系结构中遵循的一组指导原则。 以下注意事项是在这些原则的背景下提出的。

可靠性

可靠性可确保应用程序符合你对客户的承诺。 有关详细信息，请参阅可靠性支柱概述。

可靠性注意事项包括：

  • 提高了存储空间直通卷的修复速度（也称为“重新同步”）。 通过存储空间直通，可在发生影响存储池磁盘的可用性的事件后进行自动重新同步，例如在关闭群集节点或发生本地化的硬件故障后。 Azure Stack HCI 实现了一个增强的重新同步过程，其运行粒度比 Windows Server 2019 更精细，并大大减少了重新同步操作时间。 这将尽量减少多个重叠硬件故障的潜在影响。
  • 故障转移群集见证选择。 基于 U 盘的轻型见证消除了对可靠 Internet 连接的依赖，而这在使用基于云见证的配置时是必需的。

安全性

安全性针对蓄意攻击及滥用宝贵数据和系统提供保障措施。 有关详细信息，请参阅安全性支柱概述。

安全性注意事项包括：

  • Azure Stack HCI 基本安全性。 利用 Azure Stack HCI 硬件组件（如安全启动、UEFI 和 TPM）为 Azure Stack HCI VM 级别的安全性（包括 Device Guard 和 Credential Guard）构建安全基础。 遵循最小权限原则，使用 Windows Admin Center 基于角色的访问控制委托管理任务。
  • Azure Stack HCI 高级安全性。 通过将 Active Directory 域服务 (AD DS) 与组策略结合使用，来将 Microsoft 安全基线应用于 Azure Stack HCI 群集及其 Windows Server 工作负载。 可以使用 Microsoft 高级威胁分析 (ATA) 来检测和修复针对 AD DS 域控制器的网络威胁，这些控制器为 Azure Stack HCI 群集及其 Windows Server 工作负载提供身份验证服务。

成本优化

成本优化是关于寻找减少不必要的费用和提高运营效率的方法。 有关详细信息，请参阅成本优化支柱概述。

成本优化注意事项包括：

  • 无交换机与基于交换机的群集互连。 无交换机互连拓扑由每个节点（形成完整网格）上的单端口或双端口远程直接内存访问 (RDMA) 适配器之间的冗余连接组成，其中每个节点直接连接到每个其他节点。 虽然这很容易在双节点群集中实现，但更大的群集需要在每个节点的硬件中安装额外的网络适配器。
  • 云样式的计费模式。 Azure Stack HCI 定价遵循每月订阅计费模式，Azure Stack HCI 群集中的每个物理处理器核心采用统一费率。

注意

虽然托管 Azure Stack HCI 基础结构的群集节点不需要本地软件许可，但 Azure Stack HCI VM 可能需要单独的 OS 许可证。 如果使用其他 Azure 服务，可能还会收取额外的使用费。

卓越运营

卓越运营涵盖了部署应用程序并使其在生产环境中保持运行的运营流程。 有关详细信息，请参阅卓越运营支柱概述。

卓越运营注意事项包括：

  • 通过 Windows Admin Center 简化了预配和管理体验。 Windows Admin Center 中的“创建群集”向导提供向导驱动的接口，指导你创建 Azure Stack HCI 群集。 同样地，Windows Admin Center 简化了管理 Azure Stack HCI VM 的过程。
  • 自动化功能。 Azure Stack HCI 提供了一系列自动化功能，其中 OS 更新与全堆栈更新相结合，包括由 Azure Stack HCI 供应商和合作伙伴提供的固件和驱动程序。 使用群集感知更新 (CAU)，OS 更新在无人参与的模式下运行，而 Azure Stack HCI 工作负载保持联机状态。 这可在群集节点之间实现无缝转换，从而消除修补后重启带来的影响。 Azure Stack HCI 还使用 Windows PowerShell 提供对自动群集预配和 VM 管理的支持。 可以从其中一个 Azure Stack HCI 服务器在本地运行 Windows PowerShell，也可从管理计算机远程运行。 与 Azure 自动化 和 Azure Arc 的集成为虚拟化和容器化工作负载提供了一系列附加自动化方案。
  • 降低了管理复杂性。 无交换机互连消除了交换机设备故障的风险以及对其配置和管理的需要。

性能效率

性能效率是指工作负载能够以高效的方式扩展以满足用户对它的需求。 有关详细信息，请参阅性能效率要素概述。

性能效率注意事项包括：

  • 存储复原能力与使用效率和性能。 规划 Azure Stack HCI 卷涉及确定复原能力、使用效率和性能之间的最佳平衡。 挑战源于这样一个事实：最大化这些特征之一通常会对另外两个特征中的至少一个产生负面影响。 例如，提升复原能力会减少可用容量，而由此产生的性能可能会因复原能力类型而有所不同。 对于嵌套双向镜像卷或嵌套镜像加速奇偶校验卷，与传统的双向镜像相比，更高的复原能力会导致容量效率降低。 同时，嵌套双向镜像卷所提供的性能优于嵌套镜像加速奇偶校验卷，但代价是使用效率较低。
  • 存储空间直通磁盘配置。 存储空间直通支持硬盘驱动器 (HDD)、固态硬盘 (SSD) 和 NVMe 驱动器类型。 由于每种类型之间的性能特征和缓存机制（存储空间直通配置不可或缺的一部分）不同，因此驱动器类型直接影响存储性能。 根据 Azure Stack HCI 工作负载和预算约束，可以选择最大化性能、最大化容量，或实现一种提供性能和容量之间的平衡的驱动器配置。
  • 存储缓存优化。 存储空间直通提供内置、持久、实时、读写、服务器端缓存，可最大限度地提高存储性能。 缓存的大小和配置应适应应用程序和工作负载的工作集。 此外，Azure Stack HCI 与群集共享卷 (CSV) 内存中读取缓存兼容。 使用系统内存缓存读取可以提高 Hyper-V 性能。
  • 计算性能优化。 Azure Stack HCI 提供对图形处理单元 (GPU) 加速的支持，针对面向边缘场景的高性能 AI/ML 工作负载。
  • 网络性能优化。 作为设计的一部分，在确定最佳网络硬件配置时，请务必包括预计的流量带宽分配。 其中包括解决无交换机互连最低带宽要求的规定。

后续步骤

产品文档：

Microsoft Learn 模块：