حسابات Azure Storage

يُعد Azure Storage Account المورد الأساسي الذي يتيح لكم الوصول إلى خدمات التخزين الرئيسية في Azure: Blob Storage (تخزين الكائنات)، وAzure Files (مشاركات الملفات المُدارة)، وQueue Storage (قوائم انتظار الرسائل)، وTable Storage (مخزن NoSQL للقيم المرتبطة بالمفاتيح)، وAzure Data Lake Storage Gen2 (مساحة أسماء هرمية للتحليلات). يمكن لحساب تخزين واحد استضافة جميع هذه الخدمات في الوقت نفسه، كما يوفر مساحة أسماء فريدة في Azure — إذ يصبح اسم الحساب جزءًا من عنوان URL لكل كائن يحتويه.

توفر Azure عدة أنواع من حسابات التخزين: Standard general-purpose v2 (GPv2) — النوع الموصى به لمعظم السيناريوهات، ويدعم جميع خدمات التخزين وخيارات التكرار ضمن مستوى الأداء Standard. Premium block blobs — تخزين مدعوم بأقراص SSD للسيناريوهات التي تتطلب زمن استجابة منخفضًا جدًا لعمليات Blob Storage. Premium file shares — مشاركات Azure Files مدعومة بأقراص SSD لأحمال العمل ذات IOPS المرتفعة، مثل قواعد البيانات أو الأدلة الرئيسية. Premium page blobs — تخزين SSD لأقراص نظام التشغيل والبيانات الخاصة بالأجهزة الافتراضية في Azure (وتستخدم Managed Disks هذا النوع ضمنيًا). بالنسبة إلى معظم حالات الاستخدام، ابدؤوا بحساب Standard GPv2.

تكرر Azure Storage بياناتكم تلقائيًا للحماية من أعطال الأجهزة. خيارات التكرار الأربعة هي: LRS (Locally Redundant Storage) — ثلاث نسخ متزامنة داخل مركز بيانات واحد. ZRS (Zone-Redundant Storage) — ثلاث نسخ متزامنة عبر ثلاث مناطق توافر في منطقة واحدة. GRS (Geo-Redundant Storage) — استخدام LRS في المنطقة الأساسية، مع نسخ متماثل غير متزامن إلى منطقة ثانوية (LRS). GZRS (Geo-Zone-Redundant Storage) — استخدام ZRS في المنطقة الأساسية، مع نسخ متماثل غير متزامن إلى منطقة ثانوية. يؤدي التكرار الأكبر إلى متانة أعلى وتكلفة أكبر.

اختاروا مستوى التكرار استنادًا إلى متطلبات RTO وRPO والميزانية لديكم: LRS — الأقل تكلفة، ومتانة تبلغ 11 تسعة، لكنه لا يوفر حماية من تعطل مركز البيانات. استخدموه للتطوير والاختبار أو للبيانات التي يمكن إعادة إنشائها. ZRS — يحمي من تعطل مركز البيانات، وهو مناسب لبيانات الإنتاج في منطقة واحدة. GRS/GZRS — يحمي من توقف منطقة Azure بأكملها؛ إذ تُنسخ البيانات بشكل غير متزامن إلى المنطقة المقترنة. بالنسبة إلى بيانات الأعمال المهمة التي يجب أن تنجو من كارثة إقليمية، يُعد GRS أو GZRS الخيار المناسب رغم التكلفة الإضافية.

توفر Azure Storage مستويين للأداء: Standard — مدعوم بمحركات أقراص صلبة (HDD)، ومناسب لمعظم أحمال العمل بتكلفة أقل لكل GB. Premium — مدعوم بمحركات أقراص ذات حالة صلبة (SSD)، ومصمم للسيناريوهات الحساسة لزمن الاستجابة التي تتطلب عمليات إدخال وإخراج بزمن يبلغ بضعة أجزاء من الألف من الثانية. تتم محاسبة التخزين Standard لكل GB مخزن؛ أما Premium فتكلفته أعلى لكل GB، لكنه يوفر أداءً ثابتًا ومتوقعًا. بالنسبة إلى أصول الويب والنسخ الاحتياطية والسجلات والأرشفة، يكون Standard مناسبًا. أما بالنسبة إلى الأجهزة الافتراضية التي تحتوي على قواعد بيانات كثيفة الاستخدام لعمليات الإدخال والإخراج، أو مشاركات الملفات التي يصل إليها مستخدمو أجهزة سطح المكتب، فيكون Premium الخيار الأفضل.

يجب أن تكون أسماء حسابات التخزين فريدة عالميًا عبر Azure بأكملها (لأنها تشكل جزءًا من اسم DNS عام مثل mystorageacct.blob.core.windows.net). يجب أن يتراوح طول الأسماء بين 3 و24 حرفًا، وأن تحتوي فقط على أحرف صغيرة وأرقام — ولا يُسمح بالواصلات أو الشرطات السفلية أو الأحرف الكبيرة. وبما أن الأسماء يجب أن تكون فريدة عالميًا، فقد حُجزت الكلمات الشائعة وأسماء العلامات التجارية بالفعل. من الممارسات الجيدة دمج بادئة الشركة والبيئة (prod/dev) والغرض (store/media)، ثم إلحاق لاحقة عشوائية عند الحاجة، مثل: contosoprodmedia7x2.

يحتوي كل حساب تخزين على مفتاحي وصول بحجم 512 بت يمنحان وصولًا إداريًا كاملًا إلى كل شيء في الحساب. يجب التعامل مع هذين المفتاحين مثل كلمات المرور — وتخزينهما في Azure Key Vault بدلًا من تخزينهما في التعليمات البرمجية أو ملفات التكوين. تنشئ Azure مفتاحين حتى تتمكنوا من إجراء تدوير المفاتيح دون توقف: حدّثوا تطبيقاتكم لاستخدام Key 2، ثم أعيدوا إنشاء Key 1، ثم بدّلوا التطبيقات لاستخدام Key 1، ثم أعيدوا إنشاء Key 2. وللحصول على تحكم أدق في الوصول، استخدموا Shared Access Signatures (SAS) أو Azure RBAC بدلًا من مشاركة المفاتيح الرئيسية.

يُعد Azure RBAC (Role-Based Access Control) الطريقة الموصى بها لتفويض الوصول إلى بيانات التخزين دون مشاركة المفاتيح. عيّنوا دور Storage Blob Data Reader للسماح بالوصول للقراءة فقط إلى Blob Storage، أو دور Storage Blob Data Contributor للسماح بالقراءة والكتابة. تُسنَد هذه الأدوار إلى مستخدمي Entra ID أو مجموعاته أو هوياته المُدارة، وبذلك يرتبط الوصول بهوية موثَّقة بدلًا من سر مشترك. يتوفر تفويض RBAC للتخزين في خدمات Blob وQueue وTable (وليس File — إذ تستخدم هذه الخدمة بروتوكولات SMB/NFS مع عناصر تحكم وصول خاصة بها).

تقبل حسابات التخزين افتراضيًا الاتصالات من أي شبكة. ولأمان بيئات الإنتاج، قيّدوا الوصول باستخدام Storage Account Firewall، وذلك بالسماح بنطاقات محددة من عناوين IP العامة أو الشبكات الفرعية للشبكات الافتراضية فقط. ولتحقيق أعلى مستوى من الأمان، عطّلوا الوصول عبر الإنترنت العام بالكامل واستخدموا Private Endpoint — وهو عنوان IP خاص داخل VNet الخاصة بكم يوجّه حركة المرور إلى حساب التخزين عبر البنية الأساسية الخاصة في Azure، من دون كشفه على الإنترنت العام. تُعد Private Endpoints النهج الموصى به لحسابات التخزين التي تحتوي على بيانات حساسة أو خاضعة للتنظيم.

توفر Azure Storage ميزات مدمجة لحماية البيانات من الحذف غير المقصود: Blob soft delete — يتم الاحتفاظ بالكائنات الثنائية الكبيرة المحذوفة وإصداراتها لفترة قابلة للتكوين (من يوم واحد إلى 365 يومًا)، ويمكن استردادها دون الاستعادة من نسخة احتياطية. Blob versioning — يؤدي كل استبدال إلى إنشاء إصدار جديد، بحيث يمكنكم استعادة أي إصدار سابق من الكائن الثنائي الكبير. Container soft delete — يمكن استرداد الحاويات المحذوفة عن طريق الخطأ. تكون هذه الميزات معطّلة افتراضيًا، وينبغي تمكينها لحسابات تخزين الإنتاج التي تحتوي على بيانات مهمة لا توجد لها نسخ احتياطية في مكان آخر.

يجمع Azure Monitor تلقائيًا مقاييس لكل حساب تخزين، ومنها: إجمالي السعة المستخدمة، وعدد المعاملات، والبايتات الواردة والصادرة، وزمن الاستجابة من طرف إلى طرف. يمكنكم عرض هذه المقاييس في لوحة Insights في مدخل Azure الخاص بحساب التخزين، حيث توفر مخططات جاهزة للسعة والتوافر والأداء. ولإجراء تدقيق مفصل للوصول، فعّلوا Storage Diagnostic Logs لتسجيل كل عملية قراءة وكتابة وحذف في وجهة للسجلات — وهو أمر مفيد للتحقيقات الأمنية وإعداد تقارير الامتثال.

اختبروا مدى فهمكم لمفاهيم Microsoft Azure Fundamentals (AZ-900) الواردة في هذا الدرس.

تعلمتم في هذا الدرس أن: حساب التخزين هو المورد الجذر لجميع خدمات التخزين في Azure، ويُعرَّف باسم فريد عالميًا، وخيارات التكرار — LRS وZRS وGRS وGZRS — توفر مستويات متزايدة من المتانة بتكلفة متزايدة، وينبغي التحكم في الوصول عبر RBAC ونقاط النهاية الخاصة بدلًا من مشاركة مفاتيح الوصول الرئيسية. بعد ذلك، سنتعمق في Blob Storage — مخزن الكائنات في Azure للبيانات غير المنظمة.