Akaun Storan Azure

Akaun Storage Azure ialah sumber asas yang memberikan Anda akses kepada perkhidmatan Storage teras Azure: Blob Storage (storan objek), Azure Files (perkongsian file terurus), Queue Storage (baris gilir mesej), Table Storage (storan nilai-kunci NoSQL), dan Azure Data Lake Storage Gen2 (ruang nama hierarki untuk analitik). Satu akaun Storage boleh mengehoskan semua perkhidmatan ini secara serentak dan menyediakan ruang nama unik dalam Azure — nama akaun menjadi sebahagian daripada URL bagi setiap objek yang terkandung di dalamnya.

Azure menawarkan beberapa jenis akaun Storage: Standard general-purpose v2 (GPv2) — jenis yang disyorkan untuk kebanyakan senario, menyokong semua perkhidmatan Storage dan pilihan lebihan pada prestasi standard. Premium block blobs — storan berasaskan SSD untuk senario yang memerlukan kependaman sangat rendah bagi operasi Blob Storage. Premium file shares — perkongsian Azure Files berasaskan SSD untuk beban kerja IOPS tinggi seperti pangkalan data atau direktori utama. Premium page blobs — storan SSD untuk OS dan disk data Azure VM (Managed Disks menggunakan storan ini di sebalik tabir). Bagi kebanyakan kes penggunaan, mulakan dengan akaun Standard GPv2.

Azure Storage mereplikasi Data Anda secara automatik untuk melindungi daripada kegagalan perkakasan. Empat pilihan lebihan ialah: LRS (Locally Redundant Storage) — tiga salinan segerak dalam satu pusat Data. ZRS (Zone-Redundant Storage) — tiga salinan segerak merentasi tiga zon ketersediaan dalam satu rantau. GRS (Geo-Redundant Storage) — LRS di lokasi utama + replikasi tak segerak ke rantau sekunder (LRS). GZRS (Geo-Zone-Redundant Storage) — ZRS di lokasi utama + replikasi tak segerak ke rantau sekunder. Lebihan yang lebih tinggi bermaksud ketahanan dan kos yang lebih tinggi.

Pilih tahap lebihan berdasarkan keperluan RTO, RPO dan belanjawan Anda: LRS — paling murah, ketahanan 11 angka sembilan, tiada perlindungan terhadap kegagalan pusat Data. Gunakan untuk pembangunan/pengujian atau Data yang boleh dicipta semula. ZRS — melindungi daripada kegagalan pusat Data, sesuai untuk Data pengeluaran dalam satu rantau. GRS/GZRS — melindungi daripada seluruh rantau Azure terputus; Data direplikasi secara tak segerak ke rantau berpasangan. Untuk Data perniagaan kritikal yang mesti kekal selamat selepas bencana serantau, GRS atau GZRS ialah pilihan yang sesuai walaupun melibatkan kos tambahan.

Azure Storage menawarkan dua tahap prestasi: Standard — berasaskan pemacu cakera keras (HDD), sesuai untuk kebanyakan beban kerja dengan kos lebih rendah bagi setiap GB. Premium — berasaskan pemacu keadaan pepejal (SSD), direka untuk senario sensitif terhadap kependaman yang memerlukan I/O dalam julat milisaat satu digit. Storan Standard dibilkan mengikut GB yang disimpan; Premium lebih mahal bagi setiap GB tetapi memberikan prestasi yang konsisten dan boleh dijangka. Untuk aset web, sandaran, log dan pengarkiban, Standard sesuai digunakan. Untuk VM dengan pangkalan data yang intensif I/O atau perkongsian file yang diakses oleh pengguna desktop, Premium ialah pilihan yang lebih baik.

Nama akaun Storage mestilah unik secara global merentasi seluruh Azure (kerana nama tersebut menjadi sebahagian daripada nama DNS awam seperti mystorageacct.blob.core.windows.net). Nama mestilah sepanjang 3-24 aksara dan hanya mengandungi huruf kecil dan nombor — tiada tanda sempang, garis bawah atau huruf besar. Oleh sebab nama mestilah unik secara global, perkataan umum dan nama jenama biasanya telah digunakan. Amalan yang baik ialah menggabungkan awalan syarikat, persekitaran (prod/dev) dan tujuan (store/media), kemudian menambah akhiran rawak jika perlu: contohnya, contosoprodmedia7x2.

Setiap akaun Storage mempunyai dua kunci akses 512-bit yang memberikan akses pentadbiran penuh kepada segala-galanya dalam akaun tersebut. Kunci ini hendaklah dikendalikan seperti kata laluan — disimpan dalam Azure Key Vault, bukannya dalam kod atau file konfigurasi. Azure menjana dua kunci supaya Anda boleh melakukan putaran kunci tanpa masa henti: kemas kini aplikasi Anda untuk menggunakan Kunci 2, kemudian jana semula Kunci 1, tukar aplikasi kepada Kunci 1, kemudian jana semula Kunci 2. Untuk kawalan akses yang lebih terperinci, gunakan Shared Access Signatures (SAS) atau Azure RBAC dan bukannya berkongsi kunci utama.

Azure RBAC (Role-Based Access Control) ialah cara yang disyorkan untuk membenarkan akses kepada Data storan tanpa berkongsi kunci. Berikan peranan Storage Blob Data Reader untuk membenarkan akses baca sahaja kepada Blob Storage, atau Storage Blob Data Contributor untuk akses baca/tulis. Peranan ini diberikan kepada pengguna, kumpulan atau identiti terurus Entra ID, maka akses dikaitkan dengan identiti yang disahkan dan bukannya rahsia yang dikongsi. Keizinan RBAC untuk Storage tersedia bagi perkhidmatan Blob, Queue dan Table (bukan File — perkhidmatan itu menggunakan protokol SMB/NFS dengan kawalan aksesnya sendiri).

Secara lalai, akaun Storage menerima sambungan daripada mana-mana rangkaian. Untuk keselamatan pengeluaran, hadkan akses menggunakan Firewall Akaun Storage: benarkan hanya julat IP awam atau subnet rangkaian maya tertentu. Untuk keselamatan tertinggi, lumpuhkan akses internet awam sepenuhnya dan gunakan Titik Akhir Persendirian — alamat IP persendirian dalam VNet Anda yang menghalakan trafik ke akaun Storage melalui rangkaian tulang belakang persendirian Azure, tanpa mendedahkannya kepada internet awam. Titik Akhir Persendirian ialah pendekatan yang disyorkan untuk akaun Storage yang mengandungi Data sensitif atau terkawal.

Azure Storage menyediakan ciri perlindungan Data terbina dalam untuk melindungi daripada pemadaman tidak sengaja: pemadaman lembut Blob — Blob dan versi yang dipadam dikekalkan untuk tempoh yang boleh dikonfigurasikan (1-365 hari) dan boleh dipulihkan tanpa pemulihan daripada sandaran. Pemversian Blob — setiap penggantian mencipta versi baharu, jadi Anda boleh memulihkan mana-mana versi Blob terdahulu. pemadaman lembut Container — Container yang terpadam secara tidak sengaja boleh dipulihkan. Ciri ini dilumpuhkan secara lalai dan hendaklah didayakan untuk akaun Storage pengeluaran yang menyimpan Data penting yang tidak disandarkan di tempat lain.

Azure Monitor mengumpulkan metrik secara automatik bagi setiap akaun Storage: jumlah kapasiti yang digunakan, bilangan transaksi, bait masuk dan keluar, serta kependaman hujung ke hujung. Anda boleh melihatnya dalam bilah Insights portal Azure bagi akaun Storage Anda, yang menyediakan carta sedia terbina untuk kapasiti, ketersediaan dan prestasi. Untuk pengauditan akses terperinci, dayakan Storage Diagnostic Logs bagi merekod setiap operasi baca, tulis dan padam ke destinasi log — berguna untuk penyiasatan keselamatan dan pelaporan pematuhan.

Dalam pelajaran ini, Anda telah mempelajari bahawa: akaun Storage ialah sumber akar bagi semua perkhidmatan Storage Azure dan dikenal pasti melalui nama yang unik secara global, pilihan lebihan — LRS, ZRS, GRS, GZRS — menyediakan tahap ketahanan yang semakin tinggi dengan kos yang semakin meningkat, dan akses hendaklah dikawal melalui RBAC dan titik akhir persendirian, bukannya dengan berkongsi kunci akses utama. Seterusnya, kita akan mendalami Blob Storage — storan objek Azure untuk Data tidak berstruktur.