Azure Depolama Hesapları

Bir Azure Depolama Hesabı, Azure'ın temel depolama hizmetlerine erişmenizi sağlayan temel kaynaktır: Blob Storage (nesne deposu), Azure Files (yönetilen dosya paylaşımları), Queue Storage (ileti kuyrukları), Table Storage (NoSQL anahtar-değer deposu) ve Azure Data Lake Storage Gen2 (analiz için hiyerarşik ad alanı). Tek bir depolama hesabı tüm bu hizmetleri aynı anda barındırabilir ve Azure içinde benzersiz bir ad alanı sağlar; hesap adı, içerdiği her nesnenin URL'sinin bir parçası olur.

Azure çeşitli depolama hesabı türleri sunar: Standard genel amaçlı v2 (GPv2) — çoğu senaryo için önerilen türdür; tüm depolama hizmetlerini ve standart performanstaki yedeklilik seçeneklerini destekler. Premium block blobs — Blob Storage işlemlerinde çok düşük gecikme gerektiren senaryolar için SSD destekli depolama. Premium file shares — veritabanları veya kişisel dizinler gibi yüksek IOPS gerektiren iş yükleri için SSD destekli Azure Files paylaşımları. Premium page blobs — Azure VM işletim sistemi ve veri diskleri için SSD depolama (Managed Disks bunu arka planda kullanır). Çoğu kullanım amacı için Standard GPv2 hesabıyla başlamanız önerilir.

Azure Storage, donanım arızalarına karşı koruma sağlamak için verilerinizi otomatik olarak çoğaltır. Dört yedeklilik seçeneği şunlardır: LRS (Locally Redundant Storage) — tek bir veri merkezinde üç eş zamanlı kopya. ZRS (Zone-Redundant Storage) — bir bölgedeki üç kullanılabilirlik alanına dağıtılmış üç eş zamanlı kopya. GRS (Geo-Redundant Storage) — birincil bölgede LRS ve ikincil bölgeye (LRS) eş zamansız çoğaltma. GZRS (Geo-Zone-Redundant Storage) — birincil bölgede ZRS ve ikincil bölgeye eş zamansız çoğaltma. Daha fazla yedeklilik, daha yüksek dayanıklılık ve maliyet anlamına gelir.

Yedeklilik katmanınızı RTO, RPO ve bütçe gereksinimlerinize göre seçin: LRS — en ucuz seçenektir, 11 dokuz dayanıklılık sunar ve veri merkezi arızasına karşı koruma sağlamaz. Geliştirme/test ortamlarında veya yeniden oluşturabileceğiniz veriler için kullanın. ZRS — veri merkezi arızasına karşı koruma sağlar ve tek bir bölgedeki üretim verileri için uygundur. GRS/GZRS — Azure bölgesinin tamamının çevrimdışı kalmasına karşı koruma sağlar; veriler eş zamansız olarak eşleştirilmiş bölgeye çoğaltılır. Bölgesel bir felaketten sağ çıkması gereken kritik iş verileri için ek maliyete rağmen GRS veya GZRS uygun seçimdir.

Azure Storage iki performans katmanı sunar: Standard — sabit disk sürücüleriyle (HDD) desteklenir ve GB başına daha düşük maliyetle çoğu iş yükü için uygundur. Premium — katı hâl sürücüleriyle (SSD) desteklenir ve tek haneli milisaniye cinsinden G/Ç gerektiren gecikmeye duyarlı senaryolar için tasarlanmıştır. Standard depolama, depolanan GB başına ücretlendirilir; Premium'un GB başına maliyeti daha yüksektir ancak tutarlı ve öngörülebilir performans sağlar. Web varlıkları, yedekler, günlükler ve arşivleme için Standard uygundur. G/Ç yoğun veritabanlarına sahip VM'ler veya masaüstü kullanıcılarının eriştiği dosya paylaşımları için Premium daha iyi bir seçimdir.

Depolama hesabı adları Azure genelinde benzersiz olmalıdır (çünkü mystorageacct.blob.core.windows.net gibi genel bir DNS adının parçasını oluştururlar). Adlar 3-24 karakter uzunluğunda olmalı ve yalnızca küçük harfler ile rakamlardan oluşmalıdır; kısa çizgi, alt çizgi veya büyük harf kullanılamaz. Adların küresel olarak benzersiz olması gerektiğinden yaygın sözcükler ve marka adları zaten alınmış olabilir. İyi bir uygulama; şirket ön ekini, ortamı (prod/dev) ve amacı (store/media) birleştirmek, gerekirse sonuna rastgele bir ek getirmektir: örneğin contosoprodmedia7x2.

Her depolama hesabında, hesaptaki her şeye tam yönetici erişimi sağlayan iki 512 bitlik erişim anahtarı bulunur. Bu anahtarlar parola gibi değerlendirilmeli; kod veya yapılandırma dosyalarında saklanmak yerine Azure Key Vault içinde tutulmalıdır. Azure, kesinti olmadan anahtar döndürme işlemi yapabilmeniz için iki anahtar oluşturur: uygulamalarınızı Key 2'yi kullanacak şekilde güncelleyin, ardından Key 1'i yeniden oluşturun; sonra uygulamaları Key 1'e geçirin ve Key 2'yi yeniden oluşturun. Daha ayrıntılı erişim denetimi için ana anahtarları paylaşmak yerine Shared Access Signatures (SAS) veya Azure RBAC kullanın.

Azure RBAC (Role-Based Access Control), anahtarları paylaşmadan depolama verilerine erişim yetkisi vermek için önerilen yöntemdir. Blob Storage'a salt okunur erişim vermek için Storage Blob Data Reader rolünü, okuma/yazma erişimi içinse Storage Blob Data Contributor rolünü atayın. Bu roller Entra ID kullanıcılarına, gruplarına veya yönetilen kimliklere atanır; böylece erişim paylaşılan bir gizli bilgi yerine kimliği doğrulanmış bir kimliğe bağlanır. Depolama için RBAC yetkilendirmesi Blob, Queue ve Table hizmetlerinde kullanılabilir (File'da kullanılamaz; File, kendi erişim denetimlerine sahip SMB/NFS protokollerini kullanır).

Varsayılan olarak depolama hesapları tüm ağlardan gelen bağlantıları kabul eder. Üretim güvenliği için Storage Account Firewall kullanarak erişimi kısıtlayın: yalnızca belirli genel IP aralıklarına veya sanal ağ alt ağlarına izin verin. En yüksek güvenlik düzeyi için genel internet erişimini tamamen devre dışı bırakın ve bir Private Endpoint kullanın. Bu, trafiği Azure'ın özel omurgası üzerinden depolama hesabına yönlendiren ve hesabı genel internete hiç açmayan, VNet'iniz içindeki özel bir IP adresidir. Private Endpoint'ler, hassas veya düzenlemeye tabi veriler içeren depolama hesapları için önerilen yaklaşımdır.

Azure Storage, yanlışlıkla silmeye karşı koruma sağlamak için yerleşik veri koruma özellikleri sunar: Blob soft delete — silinen blob'lar ve sürümler yapılandırılabilir bir süre boyunca (1-365 gün) saklanır ve yedekten geri yükleme yapılmadan kurtarılabilir. Blob versioning — her üzerine yazma işlemi yeni bir sürüm oluşturur; böylece bir blob'un önceki sürümlerinden herhangi birini geri yükleyebilirsiniz. Container soft delete — yanlışlıkla silinen kapsayıcılar kurtarılabilir. Bu özellikler varsayılan olarak devre dışıdır ve başka bir yerde yedeklenmeyen önemli verileri barındıran üretim depolama hesaplarında etkinleştirilmelidir.

Azure Monitor her depolama hesabı için şu ölçümleri otomatik olarak toplar: kullanılan toplam kapasite, işlem sayısı, gelen ve giden baytlar ve uçtan uca gecikme. Bunları, depolama hesabınız için kapasite, kullanılabilirlik ve performansa ilişkin hazır grafikler sunan Azure portalındaki Insights bölmesinde görüntüleyebilirsiniz. Ayrıntılı erişim denetimi için her okuma, yazma ve silme işlemini bir günlük hedefine kaydeden Storage Diagnostic Logs özelliğini etkinleştirin; bu özellik güvenlik incelemeleri ve uyumluluk raporlaması için kullanışlıdır.

Bu derste Microsoft Azure Fundamentals (AZ-900) kavramlarını ne kadar anladığınızı sınayın.

Bu derste şunları öğrendiniz: depolama hesabı, Azure'ın tüm depolama hizmetleri için kök kaynaktır ve küresel olarak benzersiz bir ad ile tanımlanır; yedeklilik seçenekleri (LRS, ZRS, GRS, GZRS), artan maliyet karşılığında giderek daha yüksek dayanıklılık düzeyleri sağlar; ayrıca erişim, ana erişim anahtarlarını paylaşmak yerine RBAC ve özel uç noktalar aracılığıyla denetlenmelidir. Sıradaki bölümde Azure'ın yapılandırılmamış veriler için nesne deposu olan Blob Storage'ı ayrıntılı olarak inceleyeceğiz.