Health probes en gecontroleerde degradatie

Gezondheidscontroles zijn het mechanisme waarmee load balancers en verkeersbeheerders detecteren of een backendinstantie verzoeken kan verwerken. Zonder gezondheidscontroles kan een load balancer verkeer blijven sturen naar een defecte of niet-reagerende server, wat leidt tot fouten voor gebruikers. Goed geconfigureerde gezondheidscontroles maken het mogelijk om verkeer binnen enkele seconden na een storing automatisch om te leiden van ongezonde instanties.

Azure Load Balancer ondersteunt twee typen gezondheidscontroles:

• TCP-controle — controleert of de backend een TCP-verbinding op een opgegeven poort kan accepteren. Eenvoudig, maar controleert de toepassingslogica niet.
• HTTP/HTTPS-controle — verstuurt een GET-verzoek naar een opgegeven pad en verwacht een antwoord 200 OK. Nauwkeuriger, omdat hiermee het eindpunt van de toepassing rechtstreeks wordt getest.

Een backend wordt als ongezond gemarkeerd als de controle een configureerbaar aantal opeenvolgende pogingen mislukt.

Een goed ontworpen gezondheidseindpunt (/health) doet meer dan 200 OK retourneren — het controleert of de kritieke afhankelijkheden van de toepassing bereikbaar zijn. Een uitgebreide gezondheidscontrole kan de verbinding met de database, de cache en downstream-API's testen. Als een afhankelijkheid niet beschikbaar is, retourneert het eindpunt een 5xx-statuscode, waarmee aan de load balancer wordt aangegeven dat deze instantie uit de rotatie moet worden verwijderd.

Azure Traffic Manager gebruikt ook gezondheidscontroles, maar op regioniveau. De service verstuurt periodiek HTTP- of HTTPS-GET-verzoeken naar de geconfigureerde URL van het eindpunt in elke regio. Als een eindpunt binnen het time-outvenster gedurende een ingesteld aantal opeenvolgende intervallen niet reageert, markeert Traffic Manager dat eindpunt als gedegradeerd en stopt het met het routeren van DNS-query's ernaartoe. Gebruikers worden dan omgeleid naar een gezonde regio.

Azure Application Gateway heeft geavanceerdere mogelijkheden voor gezondheidscontroles dan de standaard Load Balancer. De service ondersteunt aangepaste controles waarmee je de hostheader, het verwachte bereik van statuscodes (bijvoorbeeld 200-399) en een tekenreeks die in de hoofdtekst moet voorkomen, kunt opgeven. Application Gateway ondersteunt ook routering per pad, zodat verschillende backendpools voor verschillende URL-paden verschillende configuraties voor gezondheidscontroles kunnen hebben.

Gecontroleerde vermindering van functionaliteit is het vermogen van een toepassing om gedeeltelijke functionaliteit te blijven bieden wanneer een of meer afhankelijkheden uitvallen. In plaats van volledig vast te lopen, detecteert de toepassing dat een niet-kritieke service niet beschikbaar is en schakelt deze over naar een beperkte maar nog steeds bruikbare toestand. Als een aanbevelingsservice bijvoorbeeld uitvalt, kan een e-commercesite algemene suggesties weergeven in plaats van de volledige productpagina niet meer te tonen.

Het circuitonderbrekerpatroon voorkomt dat een toepassing herhaaldelijk een falende afhankelijke service aanroept. Wanneer een service fouten begint te veroorzaken, opent de circuitonderbreker en retourneert deze onmiddellijk een fout- of fallbackreactie zonder de netwerkaanroep uit te voeren. Na een afkoelperiode gaat de circuitonderbreker over naar de status halfopen en staat deze één testaanroep toe. Als die slaagt, sluit het circuit en wordt de normale werking hervat.

Voor tijdelijke fouten (korte netwerkstoringen, tijdelijke overbelasting van een service) is een strategie waarbij je het opnieuw probeert met exponentieel toenemende wachttijd geschikt. De toepassing probeert de mislukte aanroep na een vertraging opnieuw uit en verdubbelt de vertraging bij elke poging tot een maximum. Door jitter (een willekeurige variatie) aan de vertraging toe te voegen, voorkom je dat alle nieuwe pogingen synchroniseren en een herstellende service overbelasten.

Het bulkheadpatroon isoleert verschillende delen van een toepassing in resourcepools, zodat een fout in één gebied niet alle resources verbruikt en het hele systeem uitvalt. De naam verwijst naar de waterdichte scheidingswanden in schepen, die voorkomen dat één ondergelopen compartiment het hele schip laat zinken. In Azure kan dit betekenen dat je afzonderlijke threadpools of afzonderlijke App Service-plannen gebruikt voor verschillende services, zodat fouten beperkt blijven.

Een veelgebruikte techniek voor gecontroleerde vermindering van functionaliteit is het aanbieden van gegevens uit de cache of verouderde gegevens wanneer een live gegevensbron niet beschikbaar is. Een productcataloguspagina kan bijvoorbeeld de prijzen van gisteren uit Azure Cache for Redis tonen in plaats van een fout weer te geven als de database tijdelijk niet bereikbaar is. Gebruikers ervaren dan een klein ongemak (iets verouderde prijzen) in plaats van een volledige storing.

Gecontroleerde vermindering van functionaliteit moet zichtbaar en meetbaar zijn. Gebruik Application Insights om het aantal keer dat de circuitonderbreker opent, fallbackreacties en nieuwe pogingen bij te houden als aangepaste metrieken. Stel waarschuwingen in wanneer deze metrieken drempelwaarden overschrijden, zodat het team van dienst weet dat de toepassing in een beperkte toestand werkt, zelfs als de ervaring voor de gebruiker aanvaardbaar lijkt.

In deze les heb je geleerd dat health probes load balancers in staat stellen om defecte backends te detecteren en verkeer automatisch om te leiden; dat gecontroleerde vermindering van functionaliteit toepassingen gedeeltelijk bruikbaar houdt wanneer afhankelijkheden uitvallen; en dat patronen zoals circuitonderbreker, opnieuw proberen met wachttijd en bulkhead veerkracht op toepassingsniveau implementeren. Hierna verkennen we concepten voor herstel na calamiteiten: RTO, RPO en herstelniveaus definiëren.