Pilot Light e Warm Standby

Quando il requisito RTO è più stringente di qualche ora, Backup and Restore non è sufficiente. I due livelli DR successivi, Pilot Light e Warm Standby, mantengono sempre in esecuzione una parte o tutta l'infrastruttura nella regione DR, riducendo significativamente il tempo di ripristino. Entrambe le strategie prevedono il mantenimento continuo di un ambiente DR e l'utilizzo del failover tramite health check di Route 53 per reindirizzare il traffico durante un disastro. La differenza riguarda la quantità di ambiente DR effettivamente in esecuzione.

Nella strategia Pilot Light, nella regione DR viene mantenuto in esecuzione solo il nucleo critico del sistema, in genere esclusivamente il livello del database con replica continua. I server applicativi NON sono in esecuzione; vengono invece mantenute AMI predefinite, launch template o infrastrutture come codice che consentono di avviarli rapidamente. È come una fiamma pilota a gas che brucia al minimo e può accendere la fiamma completa in pochi minuti quando necessario. L'RTO è in genere di 30-60 minuti.

Quando la regione primaria si guasta e viene attivato il failover Pilot Light: Fase 1: promuova la RDS Read Replica nella regione DR a database primario autonomo. Fase 2: avvii le istanze EC2 dall'AMI o dal launch template predefinito. Fase 3: crei o attivi l'Application Load Balancer e registri le nuove istanze EC2. Fase 4: aggiorni la configurazione dell'applicazione affinché punti all'endpoint del database promosso. Fase 5: il failover dell'health check di Route 53 completa il passaggio del DNS. Tempo totale: 30-60 minuti.

Nella strategia Warm Standby, nella regione DR viene eseguita continuamente una versione completa ma con capacità ridotta dell'ambiente di produzione. Tutti i livelli applicativi sono attivi, inclusi server web, server applicativi e database, ma con capacità inferiore (ad esempio, 2 istanze invece di 20). Durante il failover, si aumenta la capacità dell'ambiente DR per adeguarla al carico di produzione. Route 53 trasferisce automaticamente il traffico tramite failover basato sugli health check. L'RTO è in genere inferiore a 15 minuti. Warm Standby è il livello DR più utilizzato per le applicazioni critiche per l'azienda.

Aurora Global Database è la tecnologia di database ideale per il DR Warm Standby. Il cluster nella regione secondaria è sempre in esecuzione, riceve continuamente la replica (ritardo <1 secondo) e può essere promosso a primario in meno di 1 minuto, molto più rapidamente della promozione di una RDS Read Replica (che richiede l'arresto della replica e l'applicazione del ritardo rimanente). Per questo Aurora Global Database è la scelta consigliata quando il requisito RTO è nell'ordine dei minuti anziché delle decine di minuti.

Sia Pilot Light sia Warm Standby si basano sul routing di failover di Route 53 per reindirizzare automaticamente il traffico. Configuri un record Primary che punti all'ALB o all'endpoint della regione di produzione, associandovi un health check. Configuri un record Secondary che punti all'endpoint della regione DR. Quando Route 53 rileva che l'health check primario non è riuscito per la soglia configurata, interrompe la restituzione del record primario e restituisce solo quello secondario, tutto entro il periodo TTL del DNS.

Perché Warm Standby raggiunga l'RTO previsto, l'ambiente DR deve essere pre-riscaldato: completamente configurato e testato, così che durante il failover sia necessario soltanto aumentare la capacità. Ciò significa che le connessioni al database sono stabilite e memorizzate nella cache, i file di configurazione dell'applicazione fanno riferimento agli endpoint della regione DR, le istanze EC2 sono in servizio dietro l'ALB (anche se in numero ridotto) e gli health check hanno esito positivo. Esegua esercitazioni DR mensili simulando un failover, per assicurarsi che l'ambiente rimanga aggiornato rispetto alla configurazione di produzione.

Mantenere l'ambiente DR sincronizzato con la produzione è la sfida operativa più complessa. Se configura manualmente la produzione e dimentica di aggiornare il DR, l'ambiente DR potrebbe non funzionare correttamente durante un vero disastro. La soluzione è Infrastructure as Code (IaC), con gli stessi template distribuiti in entrambe le regioni. Utilizzi AWS CloudFormation StackSets o Terraform con più workspace per distribuire un'infrastruttura identica in entrambe le regioni a partire da un'unica base di codice. In questo modo elimina la deriva della configurazione.

La differenza di costo tra le due strategie è significativa. Pilot Light comporta solo il costo della replica del database (in genere il 50-100% del costo del database primario), oltre a costi di rete minimi nella regione DR. I server applicativi sono spenti, quindi non comportano costi EC2. Warm Standby aggiunge il costo delle istanze EC2 con capacità ridotta, di un ALB e potenzialmente di un cluster di cache più piccolo, in genere pari al 15-30% del costo dell'intero ambiente di produzione. La questione è se l'RTO più rapido di Warm Standby giustifichi il costo operativo continuo maggiore.

Dopo il ripristino della regione primaria, è necessario un piano di failback per tornarvi. Il failback è spesso la parte più complessa del DR: durante l'interruzione, la regione DR potrebbe aver elaborato nuovi dati che devono essere sincronizzati nuovamente con la primaria. Per i database, potrebbe essere necessario configurare la replica inversa o eseguire una nuova sincronizzazione dalla regione DR a quella primaria. Per Route 53, è necessario ripristinare il record primario con il relativo controllo dello stato. Pianifichi e testi sempre la procedura di failback con la stessa cura riservata al failover.

Scelga Pilot Light quando: il Suo RTO consente 30-60 minuti e desidera ridurre al minimo i costi del DR. Il rischio principale è il tempo necessario per avviare e configurare i server applicativi durante un'emergenza e sotto pressione. Scelga Warm Standby quando: il Suo RTO richiede il ripristino entro 15 minuti, l'applicazione è abbastanza complessa da rendere rischioso avviarla da zero durante un'emergenza oppure l'impegno SLA verso i clienti richiede un ripristino più rapido. Per la maggior parte dei carichi di lavoro di produzione a criticità media, Warm Standby rappresenta il giusto equilibrio.

In questa lezione ha imparato che: Pilot Light mantiene in esecuzione solo il database nella regione DR e avvia i server applicativi durante il failover, Warm Standby esegue un ambiente completo ma ridotto che viene ampliato durante il failover e Infrastructure as Code previene la deriva della configurazione tra gli ambienti primario e DR. Pianifichi e testi sempre le procedure di failback oltre a quelle di failover. Prossimamente esamineremo l'architettura multi-sito attivo-attivo con DynamoDB Global Tables e Route 53.