Pilot Light dan Cadangan Hangat

Jika persyaratan RTO Anda lebih ketat daripada beberapa jam, Backup and Restore tidaklah memadai. Dua tingkatan DR berikutnya — Pilot Light dan Warm Standby — mempertahankan sebagian atau seluruh infrastruktur Anda tetap berjalan di Region DR setiap saat, sehingga waktu pemulihan berkurang secara signifikan. Kedua strategi ini melibatkan pemeliharaan lingkungan DR secara terus-menerus dan penggunaan failover pemeriksaan kesehatan Route 53 untuk mengarahkan ulang lalu lintas saat terjadi bencana. Perbedaannya terletak pada seberapa banyak lingkungan DR yang aktif berjalan.

Dalam strategi Pilot Light, Anda hanya mempertahankan inti sistem yang kritis agar tetap berjalan di Region DR — biasanya hanya tingkat database dengan Replication berkelanjutan. Server aplikasi TIDAK berjalan; sebagai gantinya, Anda memelihara AMI, templat peluncuran, atau infrastruktur sebagai kode yang telah dibuat sebelumnya dan dapat meluncurkannya dengan cepat. Bayangkan strategi ini seperti nyala api kecil pada pilot kompor gas yang dapat menyalakan api penuh dalam hitungan menit saat diperlukan. RTO biasanya 30–60 menit.

Saat Region utama gagal dan failover Pilot Light dipicu: Langkah 1 — Promosikan RDS Read Replica di Region DR menjadi database utama mandiri. Langkah 2 — Luncurkan instans EC2 dari AMI atau templat peluncuran yang telah dibuat sebelumnya. Langkah 3 — Buat atau aktifkan Application Load Balancer dan daftarkan instans EC2 baru. Langkah 4 — Perbarui konfigurasi aplikasi agar menunjuk ke titik akhir database yang telah dipromosikan. Langkah 5 — Failover pemeriksaan kesehatan Route 53 menyelesaikan pengalihan DNS. Total waktu: 30–60 menit.

Dalam strategi Warm Standby, versi lengkap tetapi diperkecil dari lingkungan produksi Anda berjalan terus-menerus di Region DR. Semua tingkat aplikasi aktif — server web, server aplikasi, dan database — tetapi dengan kapasitas yang lebih rendah (misalnya, 2 instans, bukan 20). Saat failover, Anda meningkatkan skala lingkungan DR agar sesuai dengan beban produksi. Route 53 secara otomatis mengalihkan lalu lintas melalui failover pemeriksaan kesehatan. RTO biasanya kurang dari 15 menit. Warm Standby adalah tingkat DR yang paling populer untuk aplikasi yang kritis bagi bisnis.

Aurora Global Database adalah teknologi database yang ideal untuk DR Warm Standby. Klaster Region sekunder selalu berjalan, selalu menerima Replication (keterlambatan <1 detik), dan dapat dipromosikan menjadi utama dalam waktu kurang dari 1 menit — jauh lebih cepat daripada mempromosikan RDS Read Replica (yang memerlukan penghentian Replication dan penerapan keterlambatan yang tersisa). Karena itu, Aurora Global Database direkomendasikan jika persyaratan RTO Anda berada dalam hitungan menit, bukan puluhan menit.

Pilot Light dan Warm Standby sama-sama mengandalkan perutean failover Route 53 untuk mengarahkan ulang lalu lintas secara otomatis. Konfigurasikan catatan Primary yang menunjuk ke ALB atau titik akhir di Region produksi Anda, dengan pemeriksaan kesehatan yang terpasang. Konfigurasikan catatan Sekunder yang menunjuk ke titik akhir di Region DR Anda. Saat Route 53 mendeteksi bahwa pemeriksaan kesehatan utama gagal melewati ambang yang dikonfigurasi, Route 53 berhenti mengembalikan catatan utama dan hanya menyajikan catatan sekunder — semuanya dalam periode TTL DNS.

Agar Warm Standby mencapai target RTO-nya, lingkungan DR harus disiapkan sebelumnya — dikonfigurasi dan diuji sepenuhnya sehingga peningkatan skala saat failover menjadi satu-satunya tindakan yang diperlukan. Artinya: koneksi database telah dibuat dan disimpan dalam cache, file konfigurasi aplikasi merujuk ke titik akhir di Region DR, instans EC2 sudah aktif di belakang ALB (meskipun jumlahnya sedikit), dan pemeriksaan kesehatan berhasil. Lakukan latihan DR bulanan dengan menyimulasikan failover untuk memastikan lingkungan tetap mengikuti konfigurasi produksi.

Menjaga lingkungan DR tetap selaras dengan produksi merupakan tantangan operasional yang paling sulit. Jika Anda mengonfigurasi produksi secara manual dan lupa memperbarui DR, lingkungan DR mungkin tidak berfungsi dengan benar saat bencana nyata terjadi. Solusinya adalah Infrastruktur sebagai Kode (IaC) dengan templat yang sama, yang diterapkan ke kedua Region. Gunakan AWS CloudFormation StackSets atau Terraform dengan beberapa ruang kerja untuk menerapkan infrastruktur identik ke kedua Region dari satu basis kode. Hal ini menghilangkan perbedaan konfigurasi.

Perbedaan biaya antara kedua strategi ini cukup besar. Pilot Light hanya membebankan biaya replika database (biasanya 50–100% dari biaya DB utama) ditambah biaya networking minimal di Region DR. Server aplikasi dalam keadaan mati, sehingga tidak ada biaya EC2. Warm Standby menambahkan biaya untuk menjalankan instans EC2 yang diperkecil, ALB, dan kemungkinan klaster cache yang lebih kecil — biasanya 15–30% dari total biaya lingkungan produksi. Pertanyaannya adalah apakah RTO Warm Standby yang lebih cepat sepadan dengan biaya berkelanjutan yang lebih tinggi.

Setelah region primary dipulihkan, Anda memerlukan rencana pemulihan kembali untuk kembali menggunakannya. Pemulihan kembali sering kali merupakan bagian tersulit dari DR: selama gangguan berlangsung, region DR mungkin telah memproses data baru yang perlu disinkronkan kembali ke primary. Untuk database, Anda mungkin perlu menyiapkan replikasi balik atau menyinkronkan ulang dari DR ke primary. Untuk Route 53, Anda mengaktifkan kembali catatan primary beserta pemeriksaan kesehatannya. Selalu rencanakan dan uji prosedur pemulihan kembali dengan ketelitian yang sama seperti failover itu sendiri.

Pilih Pilot Light jika RTO Anda memungkinkan waktu 30–60 menit dan Anda ingin meminimalkan biaya DR. Risiko utamanya adalah waktu yang diperlukan untuk meluncurkan dan mengonfigurasi server aplikasi saat terjadi bencana dan semua pihak berada di bawah tekanan. Pilih Warm Standby jika RTO Anda mengharuskan pemulihan dalam 15 menit, aplikasi Anda cukup kompleks sehingga peluncuran baru saat terjadi bencana berisiko, atau komitmen SLA kepada pelanggan menuntut pemulihan yang lebih cepat. Untuk sebagian besar beban kerja produksi dengan tingkat kekritisan menengah, Warm Standby memberikan keseimbangan yang tepat.

Uji pemahaman Anda tentang konsep AWS Solutions Architect (SAA-C03) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: Pilot Light hanya menjalankan database di DR dan meluncurkan server aplikasi saat failover, Warm Standby menjalankan lingkungan lengkap berskala lebih kecil yang diperbesar saat failover, dan Infrastructure as Code mencegah perbedaan konfigurasi antara lingkungan primary dan DR. Selalu uji dan rencanakan prosedur pemulihan kembali, selain failover. Selanjutnya kita akan membahas multi-site active-active dengan DynamoDB Global Tables dan Route 53.