Azure Blob 存储的体系结构最佳做法

使用故障模式分析：通过考虑内部依赖关系（例如虚拟网络、Azure Key Vault、Azure 内容分发网络或 Azure Front Door 终结点的可用性）来最大限度地减少故障点。 如果工作负荷访问 Blob 存储所需的凭据从密钥保管库中丢失，或者工作负荷使用基于已移除的内容分发网络的终结点，可能会发生故障。 在这些情况下，工作负荷可能需要使用备用终结点进行连接。 有关故障模式分析的一般信息，请参阅关于执行故障模式分析的建议。

定义可用性和恢复目标：查看 Azure 服务级别协议 (SLA)。 派生存储帐户的服务级别目标 (SLO)。 例如，SLO 可能会受到所选冗余配置的影响。 考虑区域中断的影响、数据丢失的可能性以及中断后恢复访问所需的时间。 另请考虑你标识为故障模式分析一部分的任何内部依赖项的可用性。

配置数据冗余：为了获得最大的持久性，请选择跨可用性区域或全球区域复制数据的配置。 为了实现最大可用性，请选择允许客户端在主要区域中断期间从次要区域读取数据的配置。

这仅适用于异地冗余存储（GRS）和异地区域冗余存储（GZRS）配置。 设计应用程序以处理中断可减少最终用户的停机时间。 Designing applications to handle outages reduces downtime for end users.

探索可帮助你实现恢复目标的功能：使 Blob 可恢复，以便在其损坏、被编辑或误删除时能够恢复。

创建恢复计划：考虑数据保护功能、备份和还原操作或故障转移程序。 为潜在的数据丢失和数据不一致以及故障转移的时间和成本做好准备。 有关详细信息，请参阅有关设计灾难恢复策略的建议。

监视潜在的可用性问题：订阅 Azure 服务运行状况仪表板以监视潜在的可用性问题。 使用 Azure Monitor 和诊断日志中的存储指标调查警报。

查看 Azure 存储的安全基线：若要开始，请先 查看存储的安全基线。

使用网络控制来限制入口和出口流量：禁用到存储帐户的所有公共流量。 使用帐户网络控制授予用户和应用程序所需的最低访问权限级别。 有关详细信息，请参阅如何实现存储帐户的网络安全性。

减少攻击面：防止匿名访问、帐户密钥访问或通过非安全（HTTP）连接进行访问可以减少攻击面。 要求客户端使用最新版本的传输层安全性 (TLS) 协议发送和接收数据。

在不使用密码或密钥的情况下授权访问权限：与共享密钥和共享访问签名相比，Microsoft Entra ID 提供更高的安全性和易用性。 仅向安全主体授予执行其任务所需的权限。

保护敏感信息：保护敏感信息，例如帐户密钥和共享访问签名令牌。 虽然通常不建议使用这些形式的授权，但应确保轮换、过期并安全地存储它们。

启用安全传输所需的选项：为所有存储帐户启用此设置可确保针对存储帐户发出的所有请求都必须通过安全连接进行。 通过 HTTP 发出的任何请求都失败。

保护关键对象：应用 不可变策略 来保护关键对象。 策略保护出于法律、符合性或其他业务目的存储的 Blob 不被修改或删除。 配置保留期（设定时间段或直到管理员解除限制）。

当活动出现异常时，会触发安全警报。 警报通过电子邮件通知订阅管理员，其中包含可疑活动的详细信息，以及有关如何调查和修正威胁的建议。 The alerts notify subscription administrators via email with details of suspicious activity and recommendations on how to investigate and remediate threats.

确定用于计算帐单的计量：计量用于跟踪帐户（数据容量）中存储的数据量，以及用于写入和读取数据的作的数量和类型。 还有与可选功能使用相关的计量，例如 Blob 索引标记、Blob 清单、更改源支持、加密范围和 SSH 文件传输协议 (SFTP) 支持。 要了解更多信息，请参阅 Blob 存储的收费方式。

了解每个计量的价格：请确保使用相应的定价页，并在该页中应用相应的设置。 有关详细信息，请参阅 查找每个计量的单价。 考虑与每个价格相关的操作数量。 例如，与写入和读取相关的价格适用于10,000次操作。 若要确定单个操作的价格，将标价除以10,000。

估算容量和作成本：可以使用 Azure 定价计算器对与数据存储、入口和出口相关的成本建模。 使用字段比较与各种区域、帐户类型、命名空间类型和冗余配置相关的成本。 对于某些方案，可以使用Microsoft文档中提供的示例计算和工作表。 例如，可以 估算存档数据的成本 ，或者 估算使用 AzCopy 命令传输 Blob 的成本。

为容量选择计费模型：评估使用 基于承诺的模型 是否比使用基于消耗的模型更具成本效益。 如果不确定所需的容量量，可以从基于消耗的模型开始，监视容量指标，然后稍后进行评估。

选择帐户类型、冗余级别和默认访问层：创建存储帐户时，必须为每个设置选择一个值。 所有值都会影响事务费用和容量费用。 创建帐户后，除了帐户类型之外的所有设置都可以更改。

选择最经济高效的默认访问层：除非为每个 Blob 上传指定了一个层，否则 Blob 会从默认访问层设置推断其访问层。 对存储帐户的默认访问层设置的更改适用于帐户中尚未显式设置访问层的所有 Blob。 如果已收集大量 Blob，此成本可能会很高。 有关层更改如何影响每个现有 Blob 的详细信息，请参阅 更改 Blob 的访问层。

将数据直接上传到最经济高效的访问层：例如，如果帐户的默认访问层设置为热，但出于存档目的上传文件，请将较冷层指定为存档层或冷层作为上传作的一部分。 上传 Blob 后，使用生命周期管理策略根据使用情况指标（例如上次访问的时间）将 blob 移动到最经济高效的层。 提前选择最佳层可以降低成本。 如果更改已上传的块 Blob 的层级，那么在首次上传时，您需要支付写入到初始层级的费用，然后再支付写入到所需层级的费用。

制定管理数据生命周期的计划：利用访问层和生命周期管理来优化事务和容量成本。 使用频率较低的数据应放在较冷的访问层中，而经常访问的数据应置于更温暖的访问层中。

确定需要哪些功能：某些功能（例如版本控制、Blob 软删除）会产生额外的事务和容量成本以及其他费用。 在选择要添加到帐户的功能时，请务必查看文章中的定价和计费部分，这些部分介绍了这些功能。

例如，如果启用 Blob 清单功能，系统会根据扫描的对象数计费。 如果使用 Blob 索引标记，则按索引标记数计费。 如果启用 SFTP 支持，则即使没有 SFTP 传输，也会按小时计费。 如果决定不使用某个功能，请确认该功能已禁用，因为在创建帐户时某些功能会自动启用。

Create guardrails: Create budgets based on subscriptions and resource groups. 使用治理策略来限制资源类型、配置和位置。 此外，使用 RBAC 阻止可能导致超支的动作。

Monitor costs: Ensure costs stay within budgets, compare costs against forecasts, and see where overspending occurs. You can use the cost analysis pane in the Azure portal to monitor costs. 还可以使用 Excel 或 Power BI 将成本数据导出到存储帐户并分析该数据。

注意容量的意外增加，这可能表明你正在收集大量日志文件、Blob 版本或软删除的 Blob。 制定一个策略，用于将对象过期或转换到更具成本效益的访问层。制定一个计划，用于将对象过期或将对象移动到更实惠的访问层。 Enable blob inventory reports, and use tools such as Azure Databricks or Azure Synapse Analytics and Power BI to analyze cost data. Watch out for unexpected increases in capacity, which might indicate that you're collecting numerous log files, blob versions, or soft-deleted blobs. Develop a strategy for expiring or transitioning objects to more cost-effective access tiers.Have a plan for expiring objects or moving objects to more affordable access tiers.

创建维护和紧急恢复计划：考虑数据保护功能、备份和还原操作以及故障转移程序。 为潜在的数据丢失和数据不一致以及故障转移的时间和成本做好准备。

监视存储帐户的运行状况：创建 存储见解 仪表板以监视可用性、性能和复原指标。 设置警报以在客户注意到你的系统中的问题之前找出和解决问题。 使用诊断设置将资源日志路由到 Azure Monitor 日志工作区。 然后，你可以查询日志来更深入地调查警报。

启用 Blob 清单报告：启用 Blob 清单报告以查看存储帐户内容的保留、法定保留或加密状态。 还可以使用 Blob 清单报告来了解数据的总大小、年龄、层分布或其他属性。 Use tools such as Azure Databricks or Azure Synapse Analytics and Power BI to better visualize inventory data and to create reports for stakeholders.

设置删除 blob 或将其移动到经济高效的访问层的策略：创建具有初始条件集的生命周期管理策略。 策略会根据你定义的条件自动删除 Blob 或设置 Blob 的访问层。 使用 Monitor 指标和 Blob 清单报表定期分析容器使用情况，以便优化条件以优化成本效益。

规划扩展：了解存储帐户的规模目标。

选择最佳存储帐户类型：如果工作负荷需要高事务速率、较小的对象和一致的低事务延迟，请考虑使用高级块 Blob 存储帐户。 在大多数情况下，标准通用 v2 帐户最合适。

减少客户端和服务器之间的旅行距离：将数据放置在最靠近连接客户端的区域（理想情况下在同一区域中）。 使用对象复制或内容分发网络来优化位于远程区域的客户端。 默认网络配置提供最佳性能。 仅修改网络设置以提高安全性。 通常，网络设置不会降低旅行距离，也不会提高性能。

选择有效的命名方案：通过在 blob 分区键（帐户、容器、虚拟目录或 Blob 名称）的开头使用哈希标签前缀，减少列出、查询和读取操作的延迟。 此方案主要受益于具有平面命名空间的帐户。

优化数据客户端的性能：选择最适合工作负荷的数据大小、传输频率和带宽的 数据传输工具 。 通过查看随每个工具发布的性能优化指南，考虑 影响延迟的因素，并微调性能。 Consider the factors that influence latency, and fine-tune performance by reviewing the performance optimization guidance that's published with each tool.

优化自定义代码的性能：请考虑使用存储 SDK，而不是自己为 Blob REST 操作创建包装器。 Azure SDK 针对性能进行优化，并提供微调性能的机制。 在创建应用程序之前，请查看 Blob 存储的性能和可伸缩性清单。 Consider using query acceleration to filter out unwanted data during the storage request and keep clients from needlessly transferring data across the network.

收集性能数据：监视存储帐户，以识别因限流而导致的性能瓶颈。 有关更多信息，请参阅使用监视存储见解监视存储服务。 同时使用指标和日志。 指标提供诸如限制错误等数据。 日志描述活动。 如果看到限制指标，你可以使用日志确定哪些客户端收到限制错误。 有关详细信息，请参阅 审核数据平面操作。