Azure 容器应用的体系结构最佳做法

选择适当的 SKU 配置。 选择符合容器应用的资源和性能要求的环境 SKU。

生成冗余以提高复原能力。 对于入口公开的（HTTP 或传输控制协议（TCP）应用，请使用至少三个副本来帮助确保可用性。 为了尽量减少冷启动，请配置最少数量的始终就绪副本。

将可用性区域用作复原策略的一部分，以在部署到单个区域时提高可用性。 许多 Azure 区域提供可用性区域。 这些区域定位得足够近，以确保它们之间的低延迟连接，但相距足够远，以最大程度地降低影响多个区域的本地中断的风险。

对于关键工作负荷，跨多个区域部署容器应用环境，并使用 Azure Front Door 或 Azure 流量管理器 进行流量管理。 这些服务有助于确保高可用性和业务连续性。 如果发生区域性服务中断，可以自动将流量重定向到次要区域，以最大程度地减少停机时间和数据丢失。

实现水平自动缩放。 使用基于 HTTP 请求、TCP 连接或自定义指标（例如 CPU 和内存阈值）的规模规则配置自动缩放。 可以在 Azure 服务总线、Azure 事件中心、Apache Kafka 和 Azure Redis 缓存中定义自定义指标。 使用自动缩放在高峰使用时间动态管理负载和维护高可用性。

确保在高负载下，容器应用仍然可以在服务级别目标（SLO）内为请求提供服务。

监视容器应用的可靠性和整体运行状况指标。 收集日志和指标以监视运行状况、识别性能和可靠性趋势，并解决问题。 有关为工作负荷设计可靠性和运行状况监视解决方案的详细信息，请参阅 工作负载的运行状况建模。

实现监控工具和警报。 激活 Azure Monitor 和 OpenTelemetry 等监视工具。 设置警报以及时检测和响应影响可靠性的事件。

配置健康探针。 为所有服务设置启动、就绪情况和运行情况探测，以监视和维护应用程序运行状况。

配置自我修复机制以自动重启不正常的容器实例。 自动重启可提高应用程序的可靠性和可用性。 它们有助于确保快速从故障中恢复，而无需手动干预。 使用健康探测器检测失败的容器，并配置弹性策略以自动处理重试和断路器。

审查安全基线。 若要增强工作负荷的安全态势，请查看 容器应用的安全基线。

与 Microsoft Entra ID 集成以进行身份和访问管理。 将 基于角色的访问控制（RBAC） 与 Microsoft Entra ID 一起使用，以获得最低权限访问。

将托管标识与 Microsoft Entra ID 配合使用 ，以便安全、无凭据地访问 Azure 资源。

实现分段和网络控制。 部署专用容器应用环境，并使用内部引入模式以隔离公共互联网。

控制出口流量。 为了防止数据外泄，请将容器应用环境集成到具有用户定义的路由的自定义虚拟网络中，以帮助保护出站流量。

维护强化工作负荷的软件供应链。 在安全的持续集成和持续交付（CI/CD）管道中实现容器感知扫描。 此功能可检测漏洞，并帮助确保容器映像的完整性。 有关详细信息，请参阅 容器安全供应链。

减少攻击面。 强化容器映像并删除未使用的组件。 使用精简和最小的基础映像，如 Alpine 和 Chiselled Ubuntu 映像。

与 Microsoft Defender 集成。 使用 Microsoft Defender for Containers 扫描 Azure 容器注册表中的映像。

对静态数据和传输中的数据进行加密。 使用现代行业标准方法保护机密性和完整性。

使用 Azure 密钥保管库。 将敏感配置值和机密存储在 Key Vault 中，以保护它们免受未经授权的访问。

启用相互传输层安全性（mTLS）。 使用 mTLS 对服务之间的流量进行身份验证和加密。 此功能会验证双方，从而增强安全性。

强制实施 HTTPS。 配置 Envoy 代理以将所有 HTTP 流量重定向到 HTTPS。 Envoy 的默认配置为 allowInsecure: false。

实施安全监视策略。 捕获详细日志以进行监视和审核。 将系统和控制台日志发送到 Log Analytics 工作区、事件中心或非Microsoft解决方案，以便进行监视和审核。 从日志中清理敏感数据。 应用中的控制台日志来自stderr和stdout流。

选择适当的定价计划。 根据工作负荷要求和预期的使用模式，为容器应用选择最经济高效的定价计划。

通过承诺使用固定的每小时费率来利用适用于计算的 Azure 节省计划，时间可选择为一年或三年。 与即用即付定价相比，使用节省计划最多可节省 17%。 优化预算并降低长期可预测工作负荷的总体支出。

优化工作负荷组件成本。 定期查看和调整 CPU 和内存分配，以满足应用程序的需求。 这种做法可防止过度预配并最大程度地降低成本。

使用托管磁盘层。 使用卷装载时，请选择适当的托管磁盘层和大小，以优化持久数据的存储成本。 只需为所需内容付费。

使用简化和优化的容器映像 来提高启动时间和资源效率，从而减少存储和网络成本。

优化扩展成本。 配置自动缩放策略，以在低需求期间自动缩减资源，并在高峰期纵向扩展。 这种做法可确保高效的资源使用。

优化网络成本。 优化网络路径，以最大程度地降低数据传输成本，尤其是对于带宽量较高的应用程序。

使用成本管理工具。 使用Microsoft成本管理工具来跟踪和分析支出、设置预算、创建成本警报，以及跨资源实现一致的标记。

这些工具提供对云支出的详细可见性，帮助识别节省成本的机会，确保遵守预算约束，并允许对与特定工作负荷、应用程序和环境相关的成本进行精细跟踪和报告。

实现基础结构即代码（IaC）部署方法。 使用 Bicep 或 Terraform 等工具实现基于模板的部署。 确保所有部署都是可重复的、可跟踪的，并存储在源代码存储库中。

自动化基础设施和工作负载部署。 使用标准软件解决方案来管理、集成和自动部署工作负载。

设置部署管道 ，以在发生区域性中断时将环境重新部署到另一个区域。 此方法可帮助你快速还原和重新部署另一个区域中的关键数据和配置，从而增强灾难恢复功能，并最大限度地减少区域故障期间的停机时间。

构建自动化流程，通过使用 CI/CD 管道设置具有必要配置和部署的环境。

实施全面的监视策略。 配置诊断设置以捕获日志、指标和诊断数据。 使用 Azure Monitor 和 Application Insights 等工具跟踪应用程序运行状况和性能、识别性能和可靠性趋势以及解决问题。

为工作负荷发射遥测。 设计您的工作负载，以发出遥测数据，包括存活状态和就绪状态，从而便于监视和故障排除。

监视性能指标。 持续监视关键性能指标，例如 CPU、内存和网络使用情况，以确定成本优化和运营效率的机会。

实现混沌工程。 使用 Azure Chaos Studio 等工具应用混沌工程实践，以识别容器应用环境中的潜在可靠性问题。 进行试验，确保应用程序能够承受意外故障。 使用 Azure 负载测试等工具执行性能测试，以确保缩放规则按预期工作，而不会对客户端造成中断。

在所有容器应用和其他工作负荷资源中实现一致的资源标记。 一致的标记有助于高效资源管理、成本跟踪和自动化。

强制实施工作负荷治理。 Azure Policy 有助于确保符合组织标准、自动执行策略，并提供对工作负荷资源的集中可见性和控制。

制定详细的容量计划 ，以确保容器应用有足够的资源来处理不同的负载，同时避免过度预配。 容量计划有助于优化成本和性能。

定期更新计划，记录容器应用的正确资源分配、自动缩放设置和故障转移策略。 此方法可确保可以在另一个区域中快速还原和重新部署关键数据和配置，从而增强灾难恢复功能，并最大限度地减少区域故障期间的停机时间。

启用自动缩放。 配置自动缩放策略，以便根据实时需求自动调整容器实例的数量，这可确保在高峰和非高峰时段实现最佳性能。

优化资源分配。 根据性能指标持续监视和调整 CPU 和内存分配，以确保高效的资源使用并防止过度预配。

执行负载测试。 执行常规负载测试，以评估不同条件下容器应用的性能和可伸缩性。 测试有助于确保容器应用能够处理预期的流量级别。

单独的工作负荷。 在单独的容器应用环境中部署关键和敏感的工作负荷，以避免干扰邻居问题。 跨多个环境分配工作负荷，以确保关键应用程序具有专用资源。 此方法还可确保不太关键应用程序的性能需求不会影响关键应用程序。