Режим минимального ядра и тёплый резерв

Если требование к RTO строже, чем несколько часов, стратегия Backup and Restore недостаточна. Следующие два уровня DR — Pilot Light и Warm Standby — постоянно поддерживают часть или всю инфраструктуру в рабочем состоянии в регионе DR, значительно сокращая время восстановления. Обе стратегии предполагают постоянное обслуживание среды DR и использование переключения на основе проверки состояния Route 53 для перенаправления трафика во время аварии. Разница заключается в том, какая часть среды DR активно работает.

В стратегии Pilot Light в регионе DR работает только критически важная основа системы — обычно лишь уровень базы данных с непрерывной репликацией. Серверы приложений НЕ запущены; вместо этого Вы поддерживаете заранее созданные AMI, шаблоны запуска или инфраструктуру как код, с помощью которых их можно быстро запустить. Представьте небольшой запальник, который при необходимости за несколько минут разжигает полное пламя. Обычно RTO составляет 30–60 минут.

Когда основной регион выходит из строя и запускается переключение Pilot Light: этап 1 — повысить реплику чтения RDS в регионе DR до отдельной основной базы данных. Этап 2 — запустить экземпляры EC2 из заранее созданного AMI или шаблона запуска. Этап 3 — создать или активировать Application Load Balancer и зарегистрировать новые экземпляры EC2. Этап 4 — обновить конфигурацию приложения, указав конечную точку повышенной базы данных. Этап 5 — проверка состояния Route 53 завершает переключение DNS. Общее время: 30–60 минут.

В стратегии Warm Standby в регионе DR постоянно работает полная, но уменьшенная копия рабочей среды. Активны все уровни приложения — веб-серверы, серверы приложений и база данных, — но с уменьшенной ёмкостью (например, 2 экземпляра вместо 20). Во время переключения Вы увеличиваете масштаб среды DR в соответствии с рабочей нагрузкой. Route 53 автоматически переключает трафик с помощью переключения на основе проверки состояния. Обычно RTO составляет менее 15 минут. Warm Standby — самый популярный уровень DR для критически важных бизнес-приложений.

Aurora Global Database — идеальная технология баз данных для DR по стратегии Warm Standby. Кластер во вторичном регионе постоянно работает, постоянно получает репликацию (задержка <1 секунды) и может быть повышен до основной базы менее чем за 1 минуту — значительно быстрее, чем реплика чтения RDS, для повышения которой требуется остановить репликацию и применить оставшуюся задержку. Поэтому Aurora Global Database рекомендуется использовать, когда требование к RTO измеряется минутами, а не десятками минут.

И Pilot Light, и Warm Standby используют маршрутизацию с переключением Route 53 для автоматического перенаправления трафика. Настройте запись Primary, указывающую на ALB или конечную точку рабочего региона, и подключите к ней проверку состояния. Настройте запись Secondary, указывающую на конечную точку региона DR. Когда Route 53 обнаруживает, что проверка состояния основной записи не прошла заданное число раз, он перестаёт возвращать основную запись и обслуживает только вторичную — всё это происходит в пределах периода TTL DNS.

Чтобы Warm Standby достиг целевого RTO, среда DR должна быть предварительно подготовлена: полностью настроена и протестирована так, чтобы при переключении требовалось только увеличить масштаб. Это означает, что подключения к базе данных установлены и кэшированы, файлы конфигурации приложения ссылаются на конечные точки региона DR, экземпляры EC2 обслуживаются за ALB (даже в небольшом количестве), а проверки состояния проходят успешно. Проводите ежемесячные тренировки DR, имитируя переключение, чтобы среда оставалась синхронизированной с конфигурацией рабочей среды.

Поддержание синхронизации среды DR с рабочей средой — самая сложная операционная задача. Если Вы настроите рабочую среду вручную и забудете обновить DR, среда DR может неправильно работать во время настоящей аварии. Решение — инфраструктура как код (IaC) с одинаковыми шаблонами, развёрнутыми в обоих регионах. Используйте AWS CloudFormation StackSets или Terraform с несколькими рабочими пространствами, чтобы развёртывать идентичную инфраструктуру в обоих регионах из единой кодовой базы. Это устраняет расхождения конфигурации.

Разница в стоимости двух стратегий значительна. Pilot Light требует оплаты только реплики базы данных (обычно 50–100% стоимости основной базы данных) и минимальных сетевых ресурсов в регионе DR. Серверы приложений выключены, поэтому расходы на EC2 отсутствуют. Warm Standby добавляет стоимость работающих экземпляров EC2 уменьшенного размера, ALB и, возможно, небольшого кластера кэширования — обычно это 15–30% стоимости всей рабочей среды. Вопрос заключается в том, оправдывает ли более быстрый RTO Warm Standby более высокие постоянные расходы.

После восстановления основного региона Вам потребуется план возврата к нему. Возврат часто является самой сложной частью DR: во время сбоя в регионе DR могли быть обработаны новые данные, которые необходимо синхронизировать с основным регионом. Для баз данных может потребоваться настроить обратную репликацию или повторную синхронизацию из DR в основной регион. Для Route 53 необходимо восстановить основную запись вместе с её проверкой работоспособности. Всегда планируйте и тестируйте процедуру возврата так же тщательно, как и сам переход в резервный режим.

Выбирайте Pilot Light, когда Ваш RTO допускает 30–60 минут и Вы хотите минимизировать затраты на DR. Основной риск — время, необходимое для запуска и настройки серверов приложений во время аварии в условиях стресса. Выбирайте Warm Standby, когда восстановление согласно RTO должно занимать не более 15 минут, приложение достаточно сложное и его запуск с нуля во время аварии сопряжён с риском либо обязательства по SLA перед клиентами требуют более быстрого восстановления. Для большинства производственных нагрузок средней критичности Warm Standby обеспечивает оптимальный баланс.

Проверьте, насколько хорошо Вы усвоили концепции AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке Вы узнали, что Pilot Light поддерживает в DR только работающую базу данных и запускает серверы приложений во время перехода в резервный режим, Warm Standby поддерживает полностью готовую уменьшенную среду, которая масштабируется во время перехода в резервный режим, а Infrastructure as Code предотвращает расхождение конфигураций между основным и DR-окружениями. Всегда планируйте и тестируйте процедуры возврата так же, как и процедуры перехода в резервный режим. Далее мы рассмотрим активную работу на нескольких площадках с DynamoDB Global Tables и Route 53.