Azure Files に対する Azure Well-Architected Framework の観点

エラー モード分析の使用: 仮想ネットワーク、Azure Key Vault、Azure Content Delivery Network、Azure Front Door エンドポイントの可用性などの内部依存関係を考慮して、障害点を最小限に抑えます。 Azure Files にアクセスするために資格情報が必要で、資格情報が Key Vault に表示されない場合、エラーが発生する可能性があります。 または、不足しているコンテンツ配信ネットワークに基づくエンドポイントをワークロードが使用している場合に、エラーが発生する可能性があります。 このような場合は、代替エンドポイントに接続するようにワークロードを構成することが必要になる場合があります。 障害モード分析の一般的な情報については、「 エラー モード分析を実行するための推奨事項を参照してください。

信頼性と復旧のターゲットを定義する: Azure サービス レベル アグリーメント (SLA) を確認します。 ストレージ アカウントのサービス レベル目標 (SLO) を派生させます。 たとえば、選択した冗長性構成が SLO に影響する可能性があります。 リージョンの停止の影響、データ損失の可能性、および停止後にアクセスを復元するために必要な時間を考慮してください。 また、障害モード分析の一部として識別した内部依存関係の可用性も考慮してください。

データ冗長性の構成: 持続性を最大にするため、可用性ゾーンまたはグローバル リージョン間でデータをコピーする構成を選択します。 可用性を最大限に高めるために、プライマリ リージョンの停止中にクライアントがセカンダリ リージョンからデータを読み取る構成を選択します。

アプリケーションの設計: プライマリ リージョンが使用できない場合にセカンダリ リージョンからデータを読み取ることができるように アプリケーションをシームレスにシフトするように設計します。 この設計上の考慮事項は、geo 冗長ストレージ (GRS) と geo ゾーン冗長ストレージ (GZRS) の構成にのみ適用されます。 障害を適切に処理するようにアプリケーションを設計し、顧客のダウンタイムを短縮します。

回復ターゲットを満たすのに役立つ機能を調べる: 破損したファイル、編集済み、または削除されたファイルを回復できるようにファイルを復元できるようにします。

復旧計画を作成する: データ保護機能、バックアップと復元の操作、またはフェールオーバーの手順を検討します。 潜在的な データ損失とデータの不整合 フェールオーバーの 時間とコストに備えます。 詳細については、「 ディザスター リカバリー戦略の設計に関する推奨事項を参照してください。

可用性の問題の可能性を監視する: Azure Service Health ダッシュボードをサブスクライブ 潜在的な可用性の問題を監視します。 Azure Monitor のストレージ メトリックと診断ログを使用して、アラートを調査します。

Azure Storage のセキュリティ ベースラインを確認します: 開始するには、Storage のセキュリティ ベースライン 確認。

ネットワーク制御を使用してイングレス トラフィックとエグレス トラフィックを制限することを検討してください: ID ベースの認証を使用してファイル共有へのアクセスを許可する場合など、特定の条件下でストレージ アカウントをパブリック インターネットに公開するのが快適な場合があります。 ただし、ネットワーク制御を使用して、ユーザーとアプリケーションに最低限必要なレベルのアクセス権を付与することをお勧めします。 詳細については、「 ストレージ アカウントのネットワーク セキュリティにアプローチする方法を参照してください。

攻撃対象領域を減らす: 転送中の暗号化を使用し、セキュリティで保護されていない (HTTP) 接続経由のアクセスを防ぎ、攻撃対象領域を減らします。 トランスポート層セキュリティ (TLS) プロトコルの最新バージョンを使用して、クライアントにデータの送受信を要求します。

ストレージ アカウント キーの使用を最小限に抑えます: Identity ベースの認証 は、ストレージ アカウント キーの使用に比べて優れたセキュリティを提供します。 ただし、ストレージ アカウント キーを使用して、ファイル共有の完全な管理制御 (ファイルの所有権を取得する機能を含む) を取得する必要があります。 セキュリティ プリンシパルに、タスクを実行するために必要なアクセス許可のみを付与します。

機密情報の保護: ストレージ アカウント キーやパスワードなどの機密情報を保護します。 これらの形式の承認を使用することはお勧めしませんが、使用する場合は、ローテーション、期限切れ、および安全に保存する必要があります。

脅威の検出: Microsoft Defender for Storage を有効にして、SMB または FileREST プロトコル経由で Azure ファイル共有にアクセスまたは悪用しようとする潜在的に有害な試行を検出します。 サブスクリプション管理者は、疑わしいアクティビティの詳細と、脅威の調査と修復方法に関する推奨事項を含む電子メール アラートを受け取ります。 Defender for Storage では、Azure ファイル共有のウイルス対策機能はサポートされていません。 Defender for Storage を使用する場合、トランザクションが多いファイル共有では大きなコストが発生するため、特定のストレージ アカウントに対して Defender for Storage をオプトアウトすることを検討してください。

Storage のセキュリティ ベースラインを確認します: 作業を開始するには、Storage のセキュリティ ベースライン 確認。

組織のセキュリティ要件を理解する: NFS Azure ファイル共有では、NFSv4.1 プロトコルを使用する Linux クライアントのみがサポートされ、4.1 プロトコル仕様のほとんどの機能がサポートされます。 Kerberos 認証、アクセス制御リスト (ACL)、転送中の暗号化など、一部のセキュリティ機能はサポートされていません。

ネットワーク レベルのセキュリティと制御を使用してイングレス トラフィックとエグレス トラフィックを制限する: NFS Azure ファイル共有では ID ベースの認証を使用できないため、ネットワーク レベルのセキュリティと制御を使用して、ユーザーとアプリケーションに最低限必要なレベルのアクセス権を付与する必要があります。 詳細については、「 ストレージ アカウントのネットワーク セキュリティにアプローチする方法を参照してください。

ワークロードで Premium ファイル共有 (Azure Premium SSD) のパフォーマンスが必要かどうか、または Azure Standard HDD ストレージで十分かどうかを判断します: 必要なストレージの種類に基づいて、ストレージ アカウントの種類と課金モデルを決定します。 1 秒あたりの大量の入出力操作 (IOPS)、非常に高速なデータ転送速度、または非常に短い待機時間が必要な場合は、Premium Azure ファイル共有を選択する必要があります。 NFS Azure ファイル共有は、Premium レベルでのみ使用できます。 NFS ファイル共有と SMB ファイル共有は、Premium レベルで同じ価格です。

ファイル共有のストレージ アカウントを作成し、冗長性レベルを選択します: Standard (GPv2) アカウントまたは Premium (FileStorage) アカウントを選択します。 選択した冗長性レベルがコストに影響します。 冗長性が高いほど、コストが高くなります。 ローカル冗長ストレージ (LRS) は最も手頃な価格です。 GRS は、標準の SMB ファイル共有でのみ使用できます。 Standard ファイル共有では、ストレージ アカウント レベルのトランザクション情報のみが表示されるため、完全な課金の可視性を確保するために、各ストレージ アカウントに 1 つのファイル共有のみをデプロイすることをお勧めします。

請求書の計算方法を理解する: Standard Azure ファイル共有は、 従って支払うモデルを提供します。 Premium 共有では、 プロビジョニングされたモデルが使用されます。このモデルでは 一定の容量、IOPS、スループットを前もって指定して支払います。 従量課金制モデルでは、メーターは、アカウントに格納されているデータの量、容量、およびそのデータの使用状況に基づくトランザクションの数と種類を追跡します。 従量課金制モデルは、使用した分だけ支払うため、コスト効率が高くなります。 従量課金制モデルでは、パフォーマンス要件や需要の変動に基づいてストレージのオーバープロビジョニングやプロビジョニング解除を行う必要はありません。

ただし、エンドユーザーの消費によってコストが発生するため、予算作成プロセスの一環としてストレージを計画することは困難な場合があります。 プロビジョニングされたモデルでは、トランザクションは課金に影響しないため、コストを簡単に予測できます。 ただし、プロビジョニングされたストレージ容量は、使用するかどうかに関係なく支払います。 コストの計算方法の詳細な内訳については、「Azure Files の課金を理解する」を参照してください。

容量と操作のコストを見積もる: Azure pricing 計算ツール を使用して、データ ストレージ、イングレス、エグレスに関連するコストをモデル化できます。 さまざまなリージョン、アカウントの種類、冗長性の構成に関連するコストを比較します。 詳細については、「 Azure Files の価格を参照してください。

最もコスト効率の高いアクセス層を選択します:Standard SMB Azure ファイル共有には、 トランザクション最適化、 hot、 クールの 3 つのアクセス層が用意されています。 3 つのレベルはすべて、同じ Standard Storage ハードウェアに格納されます。 これら 3 つのレベルの主な違いは、保存データのストレージ価格 (よりクールなレベルでは低い) と、よりクールな層の方が高いトランザクション価格です。 詳細については、「standard レベルの Differences」を参照してください。

必要な付加価値サービスを決定する: Azure Files では、バックアップ、Azure File Sync、Defender for Storage などの 値が追加されたサービス との統合がサポートされます。 これらのソリューションには独自のライセンスと製品コストがありますが、多くの場合、ファイル ストレージの総保有コストの一部と見なされます。 Azure File Sync 使用する場合は その他のコスト面を検討してください。

ガードレールの作成: サブスクリプションとリソース グループに基づいてbudgets を作成します。 ガバナンス ポリシーを使用して、リソースの種類、構成、場所を制限します。 さらに、ロールベースのアクセス制御 (RBAC) を使用して、オーバーペンドにつながる可能性のあるアクションをブロックします。

コストの監視: コストが予算内に収まるようにし、コストを予測と比較して、超過支出が発生する場所を確認します。 Azure portal の コスト分析 ペインを使用して、コストを監視できます。 コスト データをストレージ アカウントにエクスポートし、Excel または Power BI を使用してそのデータを分析することもできます。

使用状況の監視: 使用状況パターンを継続的に監視して、未使用または未使用のストレージ アカウントとファイル共有を検出します。 予期しない容量の増加を確認します。これは、多数のログ ファイルまたは論理的に削除されたファイルを収集していることを示している可能性があります。 ファイルを削除したり、よりコスト効率の高いアクセス層にファイルを移動したりするための戦略を策定します。

メンテナンスと緊急復旧計画を作成する: データ保護機能、バックアップと復元の操作、フェールオーバーの手順を検討します。 潜在的な データ損失とデータの不整合 フェールオーバーの 時間とコストに備えます。

ストレージ アカウントの正常性を監視する: Storage insights ダッシュボードを作成して、可用性、パフォーマンス、回復性のメトリックを監視します。 アラートを設定して、システム内の問題を特定して対処してから、顧客が問題に気付く前に対処します。 診断設定を使用して、リソース ログを Azure Monitor ログ ワークスペースにルーティングします。 その後、ログにクエリを実行して、アラートをより深く調査できます。

ファイル共有アクティビティを定期的に確認する: 共有アクティビティは時間の経過と同時に変化する可能性があります。 Standard ファイル共有をよりクールなアクセス層に移動するか、Premium 共有の容量をプロビジョニングまたはプロビジョニング解除できます。 Standard ファイル共有を別のアクセス層に移動すると、トランザクション料金が発生します。 毎月の請求額を削減するために必要な場合にのみ、標準ファイル共有を移動します。

スケールの計画: ストレージ アカウント、Azure Files、Azure File Sync の スケーラビリティとパフォーマンスのターゲット について理解します。

予測可能なパフォーマンスを実現するためのアプリケーションと使用パターンを理解する: 待機時間の感度、IOPS とスループットの要件、ワークロードの期間と頻度、ワークロードの並列化を決定します。 サービスのパフォーマンスの上限を達成するのに役立つマルチスレッド アプリケーションには Azure Files を使用します。 要求のほとんどがメタデータ中心 (createfile、openfile、closefile、queryinfo、querydirectory など) である場合、要求は読み取りと書き込みの操作よりも待機時間が短くなります。 この問題が発生した場合は、同じストレージ アカウント内の複数のファイル共有にファイル共有を分離することを検討してください。

最適なストレージ アカウントの種類を選択: ワークロードで大量の IOPS、非常に高速なデータ転送速度、または非常に短い待機時間が必要な場合は、Premium (FileStorage) ストレージ アカウントを選択する必要があります。 ほとんどの SMB ファイル共有ワークロードには、標準の汎用 v2 アカウントを使用できます。 2 つのストレージ アカウントの種類間の主なトレードオフは、コストとパフォーマンスです。

プロビジョニングされた共有サイズ (IOPS、エグレス、イングレスなど) と単一ファイルの制限によって、Premium 共有のパフォーマンスが決まります。 詳細については、「 Premium ファイル共有のプロビジョニングの管理を参照してください。 Premium ファイル共有では、premium ファイル共有のベースライン IOPS 制限を一時的に超える必要がある場合にクレジットが保険契約として提供されます。

待機時間を短縮するためにクライアントを接続するのと同じリージョンにストレージ アカウントを作成します: Azure Files サービスから離れているほど、待機時間が長くなり、パフォーマンススケールの制限を達成するのが難しくなります。 この考慮事項は、オンプレミス環境から Azure Files にアクセスする場合に特に当てはまります。 可能であれば、ストレージ アカウントとクライアントが同じ Azure リージョンに併置されていることを確認します。 ネットワーク待機時間を最小限に抑えるか、ExpressRoute 接続を使用してオンプレミス ネットワークをプライベート接続経由で Microsoft クラウドに拡張することで、オンプレミス クライアント用に最適化します。

パフォーマンス データの収集: latency、 availability、 usage メトリックなど、ワークロードのパフォーマンスを監視します。 ログを分析 タイムアウトや調整などの問題を診断します。 アラートを作成 ファイル共有が調整されているか、調整されようとしているか、待機時間が長いかを通知します。

ハイブリッド デプロイの最適化: Azure File Sync を使用する場合、同期のパフォーマンスは、Windows Server と基になるディスク構成、サーバーと Azure ストレージ間のネットワーク帯域幅、ファイル サイズ、データセットの合計サイズ、データセットのアクティビティなど、さまざまな要因によって異なります。 Azure File Sync に基づくソリューションのパフォーマンスを測定するには、1 秒あたりに処理するオブジェクト (ファイルやディレクトリなど) の数を決定します。