Executar uma VM Windows no Azure

O provisionamento de uma VM (máquina virtual) em Azure requer componentes adicionais além da própria VM, incluindo recursos de rede e armazenamento. Este artigo mostra as práticas recomendadas para executar uma VM de Windows segura no Azure.

Arquitetura

Carrege um arquivo Visio desta arquitetura.

Workflow

Este exemplo mostra uma implantação básica usando uma única máquina virtual com os componentes necessários. A máquina virtual pode executar cargas de trabalho, é gerenciável e pode se comunicar com a Internet pública. Ele foi projetado para evitar a exposição direta a ameaças externas.

• As cargas de trabalho que estão em execução na máquina virtual não são expostas externamente e só podem ser acessadas de dentro da mesma rede virtual ou de uma rede emparelhada, como em uma configuração de rede hub e spoke.
• O acesso de gerenciamento à máquina virtual é mostrado usando Azure Bastion por meio do Protocolo Área de Trabalho Remota (RDP) e não é permitido diretamente da Internet pública.
• O acesso à internet externo de saída é fornecido por meio do uso do gateway de NAT (Conversão de Endereços de Rede) e seu endereço IP público associado.

Componentes

Grupo de recursos

Um grupo resource é um contêiner lógico que contém recursos Azure relacionados. Agrupe os recursos com base em seu tempo de vida e em quem irá gerenciá-los.

Implante recursos intimamente associados que compartilham o mesmo ciclo de vida no mesmo grupo de recursos. Os grupos de recursos permitem implantar e monitorar recursos como um grupo e rastrear custos de cobrança por grupo de recursos. Também é possível excluir recursos como um conjunto, o que é útil para implantações de teste. Atribua nomes de recursos significativos para simplificar a localização de um recurso específico e o reconhecimento de sua função. Para obter mais informações, consulte Recommended Naming Conventions for Azure Resources.

Máquina virtual

Você pode provisionar uma VM a partir de uma lista de imagens publicadas, ou de uma imagem gerenciada personalizada ou a partir de um arquivo VHD (disco rígido virtual) carregado para o Armazenamento de Blobs do Azure.

Azure fornece muitos tamanhos de máquina virtual diferentes. Se você mover uma carga de trabalho existente para a Azure, comece com o tamanho da máquina virtual que mais se aproxima dos seus servidores locais. Em seguida, meça o desempenho da carga de trabalho real em termos de CPU, memória e IOPS (operações de entrada/saída de disco por segundo) e ajuste o tamanho conforme a necessidade.

Geralmente, escolha uma região Azure mais próxima de seus usuários ou clientes internos. Nem todos os tamanhos de VM estão disponíveis em todas as regiões. Para obter mais informações, consulte Serviços por região. Para obter uma lista dos tamanhos de VM disponíveis em uma região específica, execute o seguinte comando no CLI do Azure:

az vm list-sizes --location <location>

Para obter informações sobre como escolher uma imagem de VM publicada, consulte Encontre imagens de VM do Windows.

Discos

Para obter o melhor desempenho de E/S de disco, recomendamos SSDs Premium, que armazenam dados em SSDs (unidades de estado sólido). O custo é baseado na capacidade do disco provisionado. O IOPS e a taxa de transferência também dependem do tamanho do disco. Portanto, ao provisionar um disco, considere todos os três fatores (capacidade, IOPS e taxa de transferência). Os SSDs Premium têm uma intermitência gratuita que, combinada com uma compreensão dos padrões de carga de trabalho, oferece uma estratégia eficaz de seleção de SKU e otimização de custos para a infraestrutura de IaaS. Isso permite um alto desempenho sem excesso de provisionamento e minimiza o custo da capacidade não utilizada.

O Managed Disks simplifica o gerenciamento de disco cuidando do armazenamento para você. Os discos gerenciados não exigem uma conta de armazenamento. Você define o tamanho e o tipo de disco, e ele é implementado como um recurso altamente disponível. Managed disks também oferecem otimização de custo fornecendo o desempenho desejado sem a necessidade de provisionamento excessivo, contabilizando padrões de carga de trabalho flutuantes e minimizando a capacidade provisionada não utilizada.

Por padrão, o disco do sistema operacional é um disco gerenciado armazenado em Armazenamento em Disco do Azure, portanto, ele persiste mesmo quando o computador host está inativo. No caso de workloads stateless, onde se deseja provisionamento rápido sem persistência do sistema operacional, são recomendados discos de sistema operacional efêmeros. Esses discos colocam a imagem do sistema operacional no armazenamento local do host da VM em vez do armazenamento remoto do Azure, reduzindo a latência de leitura, acelerando a reinstalação e eliminando os custos de discos gerenciados. No entanto, todos os dados em um disco do sistema operacional efêmero são perdidos ao parar (desalocar), reimaging ou durante eventos de manutenção e recuperação do host. Os discos de sistema operacional efêmeros não oferecem suporte a snapshots ou ao Backup do Azure. Use discos do sistema operacional efêmero somente quando as VMs forem totalmente reimplantáveis através de automação.

Dependendo da SKU escolhida, a VM também pode ter um disco temporário armazenado em uma unidade física no computador host (a unidade D: em Windows). O disco temporário não é mantido para Armazenamento do Azure e pode ser excluído durante reinicializações e outros eventos de ciclo de vida da VM. Use o disco de armazenamento temporário apenas para dados temporários que não precisam sobreviver a um reinício, como arquivos temporários específicos do aplicativo ou espaço de troca.

Windows precisa de um arquivo de página para o gerenciamento de memória virtual. Em tamanhos de VM baseados em SCSI (Interface do Sistema de Computador Pequeno) (v5 e anteriores), as imagens do marketplace colocam o arquivo de página no disco temporário por padrão. Em tamanhos de VM baseados em NVMe (Express de Memória Não Volátil) (v6 e mais recente), o arquivo de página usa como padrão o disco do sistema operacional porque os discos temporários NVMe exigem inicialização após cada inicialização. Para VMs com disco do sistema operacional efêmero, o arquivo de página também fica no disco do sistema operacional.

Quando possível, instale aplicativos em um disco de dados, não no disco do sistema operacional. Algumas aplicações legadas podem precisar instalar componentes na unidade C:. Nesse caso, você pode redimensionar o disco de SO utilizando o PowerShell.

É recomendável criar um ou mais discos de dados para dados do aplicativo. Os discos de dados são discos gerenciados persistentes apoiados por Armazenamento do Azure.

Quando você adiciona um novo disco a uma VM, ele não é formatado. Faça logon na VM para formatar o disco. A adição de um novo disco de dados também pode ser feita por meio do PowerShell.

Rede

Os componentes de rede incluem os seguintes recursos:

• Rede virtual. Cada VM é implantada em um virtual network que pode ser segmentado em várias sub-redes.

• Interface de rede (NIC). A NIC permite que a VM se comunique com o virtual network. Se você precisar de vários NICs para sua VM, um número máximo de NICs é definido para cada tamanho de VM.

• Endereço IP público. Um endereço IP público pode ser usado para se comunicar com a VM de fora do Azure, via Área de Trabalho Remota. No entanto, isso é desencorajado, pois é um risco potencial à segurança.

  Aviso

  Anexar um endereço IP público representa diretamente um risco potencial de segurança. Isso só deve ser feito em circunstâncias extremas e somente em conjunto com outros métodos de segurança, como filtrar o tráfego usando grupos de segurança de rede.

  Para o acesso de gerenciamento a uma máquina virtual, recomendamos que você use Azure Bastion ou internamente quando conectado por meio de uma VPN ou Azure ExpressRoute.

  • Esse endereço IP público pode ser dinâmico ou estático. O padrão é dinâmico. Reserve um endereço IP stático se precisar de um endereço IP fixo que não seja alterado, por exemplo, se precisar criar um registro DNS 'A' ou adicionar o endereço IP a uma lista segura.
  • Você também pode criar um FQDN (nome de domínio totalmente qualificado) para o endereço IP. Em seguida, é possível registrar um registro CNAME no DNS que aponta para o FQDN. Para obter mais informações, consulte Criar um nome de domínio totalmente qualificado no portal Azure.

• NSG (grupo de segurança de rede) . Os grupos de segurança de rede são usados para permitir ou negar o tráfego de rede para VMs e/ou sub-redes. Elas podem ser associadas às sub-redes ou a NICs individuais anexadas a VMs.

  • Todos os NSGs contêm um conjunto de regras padrão, incluindo uma regra que bloqueia todo o tráfego de Internet de entrada. As regras padrão não podem ser excluídas, mas outras regras podem substituí-las. Para habilitar o tráfego da Internet, crie regras que permitem o tráfego de entrada para portas específicas, por exemplo, a porta 443 para HTTPS.

• Gateway da NAT do Azure.Network Address Translation (NAT) gateways permitem que todas as instâncias em uma sub-rede privada se conectem de saída à Internet enquanto permanecem totalmente privadas. Somente os pacotes que chegam como pacotes de resposta a uma conexão de saída podem passar por um gateway da NAT. Conexões de entrada não solicitadas da Internet não são permitidas.

• Azure Bastion.Azure Bastion é uma plataforma totalmente gerenciada como uma solução de serviço que fornece acesso seguro a VMs por meio de endereços IP privados. Com essa configuração, as VMs não precisam de um endereço IP público que as exponha à Internet, o que aumenta sua postura de segurança. Azure Bastion fornece conectividade segura Área de Trabalho Remota Protocol (RDP) ou Secure Shell (SSH) para suas VMs diretamente pelo TLS (Transport Layer Security) por meio de vários métodos, incluindo o portal Azure ou clientes nativos de SSH ou RDP.

Operações

Diagnóstico. Habilite o monitoramento e diagnóstico, incluindo métricas básicas de integridade, logs de infraestrutura de diagnóstico e diagnósticos de inicialização. O diagnóstico de inicialização poderá ajudar a diagnosticar uma falha de inicialização se sua VM entrar em um estado não inicializável. Crie uma conta Armazenamento do Azure para armazenar os logs. Uma conta de armazenamento padrão com redundância local (LRS) é suficiente para logs de diagnóstico. Para saber mais, confira Habilitar monitoramento e diagnóstico.

Disponibilidade. Sua VM pode ser afetada por manutenção planejada ou por tempo de inatividade não planejado. Você pode usar os logs de reinicialização da VM para determinar se uma reinicialização da VM foi causada por manutenção planejada. Para maior disponibilidade, implante várias VMs entre zonas de disponibilidade em uma região. Isso fornece um SLA (contrato de nível de serviço) mais alto. Quando não há suporte para zonas de disponibilidade, os conjuntos de disponibilidade podem ajudar a fornecer proteção contra falhas de host ou atualizações de host. No entanto, as zonas de disponibilidade são a opção recomendada sempre que possível.

Backups. Para proteger contra perda acidental de dados, use o serviço Backup do Azure para fazer backup de suas VMs no armazenamento. Dependendo da região, você pode usar o armazenamento com redundância geográfica ou com redundância de zona para backups. Backup do Azure fornece backups consistentes com o aplicativo. Para cargas de trabalho sensíveis ao desempenho, considere o recurso de backup consistente de vários discos sem agente, que permite backups de VMs sem o uso do VSS (Volume Shadow Copy Service), reduzindo o impacto no desempenho.

Interromper uma VM. Azure faz uma distinção entre estados "parados" e "desalocados". Você será cobrado quando o status da VM for interrompido, mas não quando a VM for desalocada. No portal Azure, o botão Stop desaloca a VM. No entanto, se você desligar por meio do sistema operacional enquanto estiver conectado, a VM será interrompida, mas não desalocada e, portanto, você ainda será cobrado.

Excluir uma VM. Se você excluir uma VM, terá a opção de excluir ou manter seus discos. Isso significa que você poderá excluir com segurança a VM sem perda de dados. No entanto, você ainda será cobrado pelos discos. Você pode excluir discos gerenciados como qualquer outro recurso de Azure. Para evitar a exclusão acidental, use um resource lock para bloquear todo o grupo de recursos ou bloquear recursos individuais, como uma VM.

Alternatives

• Conjuntos de dimensionamento de máquinas virtuais – cargas de trabalho críticas para operações de negócios nunca devem depender de uma única máquina virtual. Os conjuntos de dimensionamento fornecem a capacidade de espalhar cargas de trabalho entre nós e podem escalar horizontalmente em tempos de tráfego alto ou escalar para dentro quando o tráfego é mínimo para ajudar a minimizar os custos.

• Azure Load Balancer seria útil para fornecer balanceamento de carga entre várias máquinas virtuais ou um conjunto de dimensionamento de máquinas virtuais. Ele também pode ser usado como alternativa a um Gateway de NAT para permitir o acesso a uma carga de trabalho da Internet, ao mesmo tempo em que dá suporte ao acesso de saída.

• Application Gateway é uma opção alternativa de balanceamento de carga de Camada 7 para tráfego HTTP/HTTPS, normalmente implantado na frente de várias máquinas virtuais ou em um conjunto de dimensionamento de máquinas virtuais em uma região Azure.

• Para uma implantação de nível corporativo, consulte arquitetura de linha de base do Máquinas Virtuais do Azure em uma zona de aterrissagem do Azure.

Detalhes do cenário

No diagrama acima, esse cenário seria útil para fornecer uma carga de trabalho não crítica que é útil para usuários somente internos.

Possíveis casos de uso

Uma única implantação de VM pode ser usada para hospedar um aplicativo simples que não precisa ser exposto à Internet e pode suportar algum tempo de inatividade. Por exemplo, esse pode ser um aplicativo de relatório interno básico.

Considerações

Essas considerações implementam os pilares do Azure Well-Architected Framework, que é um conjunto de princípios orientadores que podem ser usados para melhorar a qualidade de uma carga de trabalho. Para obter mais informações, consulte Microsoft Azure Well-Architected Framework.

Fiabilidade

A confiabilidade garante que seu aplicativo possa cumprir os compromissos que você assume com seus clientes. Para obter mais informações, consulte Lista de verificação de revisão de design para confiabilidade.

Como essa arquitetura é apenas um exemplo simples usando uma única máquina virtual, ela tem um nível mínimo de confiabilidade. Qualquer problema com a própria máquina virtual ou o host em que ela está sendo executada causará uma interrupção, resultando em cargas de trabalho hospedadas indisponíveis. Para qualquer carga de trabalho que precise de maior disponibilidade, várias máquinas virtuais devem ser implantadas que contenham a mesma carga de trabalho, com essas instâncias por trás de uma solução de balanceamento de carga apropriada. Se estiverem dentro da mesma região, essas VMs deverão ser implantadas entre zonas de disponibilidade (onde houver suporte) e adicionadas ao back-end de um Azure Standard Load Balancer ou de um Gateway de Aplicativo se a carga de trabalho for baseada em HTTP/HTTPS. Isso permite que a carga de trabalho ainda esteja disponível se uma única máquina virtual no back-end estiver inativa.

Os conjuntos de dimensionamento de máquinas virtuais são outra opção para ajudar a simplificar o gerenciamento de cargas de trabalho de vários nós que precisam da capacidade de dimensionar automaticamente o número de instâncias dentro ou fora, dependendo de qualquer uma das várias métricas, como CPU e/ou consumo de memória.

Alta disponibilidade/recuperação de desastre (HA/DR)

Para reduzir o raio de explosão e melhorar a resiliência, a carga de trabalho deve ser implantada em várias regiões e aproveitar as diretrizes Azure Landing Zone. Isso pode estar em uma configuração de Active-Passive, com failover para a região secundária se a região primária ficar indisponível, ou uma arquitetura Active-Active em que ambas as regiões atendem ao tráfego para os consumidores. Para obter um exemplo, consulte o aplicativo Web de várias camadas criado para HA/DR nas Próximas Etapas abaixo.

O exemplo nesse artigo usa Azure Site Recovery para replicar os discos de máquinas virtuais individuais para uma região secundária, onde o Site Recovery pode ser usado para realizar o failover dessas máquinas virtuais para a região secundária com um RPO (Objetivo de Ponto de Recuperação)/RTO (Objetivo de Tempo de Recuperação) baixo.

Avalie sua arquitetura para atender aos requisitos de HA/DR em todos os componentes, não apenas nas máquinas virtuais. Em todas essas decisões, inclua rede, identidade e dados entre suas considerações.

Segurança

A segurança fornece garantias contra ataques deliberados e o abuso de seus dados e sistemas valiosos. Para obter mais informações, consulte Lista de verificação de revisão de design para segurança.

Use Microsoft Defender para Nuvem para obter uma visão central do estado de segurança de seus recursos de Azure. O Defender para Nuvem monitora problemas de segurança potenciais e fornece uma visão abrangente da integridade de segurança de sua implantação. O Defender para Nuvem é configurado por assinatura Azure. Habilite a coleta de dados de segurança, conforme descrito em Conecte suas assinaturas de Azure. Depois que a coleta de dados for habilitada, o Defender para Nuvem examinará automaticamente todas as VMs criadas nessa assinatura.

Gerenciamento de patch. Se for habilitado, o Defender para Nuvem verificará se quaisquer atualizações críticas e de segurança estão ausentes. Use a Configuração da Política de Grupo na máquina virtual para habilitar as atualizações automáticas do sistema.

Antimalware. Se habilitado, Defender para Nuvem verifica se o software antimalware está instalado. Você também pode usar Defender para Nuvem para instalar software antimalware de dentro do portal Azure.

Controle de acesso. Use Azure controle de acesso baseado em função (Azure RBAC) para controlar o acesso aos recursos do Azure. Azure RBAC permite atribuir funções de autorização a membros da sua equipe do DevOps. Por exemplo, a função Leitor pode exibir Azure recursos, mas não criá-los, gerenciá-los ou excluí-los. Algumas permissões são específicas para um tipo de recurso Azure. Por exemplo, a função Colaborador de Máquina Virtual pode reiniciar ou desalocar uma VM, redefinir a senha de administrador e criar uma nova VM. Outras funções internas que podem ser úteis para essa arquitetura incluem Usuário do DevTest Labs e Colaborador de Rede.

Logs de auditoria. Use audit logs para ver ações de provisionamento e outros eventos de VM.

Criptografia de dados. Habilite encriptação no host para oferecer criptografia de ponta a ponta para seus dados de VM, incluindo discos temporários e caches de disco. A criptografia no host manipula a criptografia na infraestrutura de host da VM e não consome recursos de CPU de VM, ao contrário da criptografia baseada em convidado. Você pode usar chaves gerenciadas por customer com Azure Key Vault para discos de dados e sistema operacional persistentes. Discos temporários e discos de sistema operacional efêmeros são criptografados com chaves gerenciadas pela plataforma. Verifique se o tamanho VM selecionado dá suporte à criptografia no host antes do provisionamento.

Otimização de custos

A Otimização de Custos trata-se de procurar maneiras de reduzir despesas desnecessárias e melhorar a eficiência operacional. Para obter mais informações, consulte Lista de verificação de revisão de design para otimização de custos.

Há várias opções para tamanhos de VM, dependendo do uso e da carga de trabalho. O intervalo inclui a opção mais econômica da série Bs para as VMs de GPU mais recentes otimizadas para machine learning. Para obter informações sobre as opções disponíveis, consulte preços de VM do Azure Windows.

Para cargas de trabalho previsíveis, use Azure Reservations e Plano de economia do Azure para computação com um contrato de um ou três anos e receba descontos significativos nos preços de pagamento conforme o uso. Para cargas de trabalho sem tempo previsível de conclusão ou consumo de recursos, considere a opção Pagamento conforme o uso.

Use Azure VMs spot para executar cargas de trabalho que podem ser interrompidas e não exigem a conclusão em um período predeterminado ou em um SLA. Azure implanta VMs spot se houver capacidade disponível e as revoga quando precisar da capacidade de volta. Os custos associados ao Spot virtual machines são significativamente menores. Considere as VMs Spot para estas cargas de trabalho:

• Cenários de computação de alto desempenho, processamento em lotes ou aplicativos de renderização visual.
• Ambientes de teste, incluindo cargas de trabalho de integração contínua e entrega contínua.
• Aplicativos sem estado de grande escala.

Use a calculadora de preços Azure para estimar os custos.

Para obter mais informações, consulte a seção de custo no Microsoft Azure Well-Architected Framework.

Excelência Operacional

A Excelência Operacional abrange os processos de operações que implantam um aplicativo e o mantêm em execução em produção. Para obter mais informações, consulte Lista de verificação de revisão de design para Excelência Operacional.

Use modelos de IaC (Infraestrutura como Código) para provisionar Azure recursos e suas dependências. Eles podem ser escritos usando modelos do ARM Bicep, Azure Resource Manager (modelos arm) ou Terraform, dependendo de sua preferência e escolhas de ferramentas estabelecidas. Esses modelos permitem um processo de CI/CD (Integração Contínua/Implantação Contínua) como parte de uma metodologia de implantação automatizada para implantar e configurar recursos. Essa abordagem permite o controle de versão de arquiteturas e garante a consistência entre ambientes, bem como a imposição de reprodutibilidade, segurança e conformidade.

Para ajudar no monitoramento e diagnóstico de problemas, verifique se os logs de diagnóstico estão habilitados em seus recursos e são disponibilizados para Azure Monitor para ajudar na análise e otimização de seus recursos. Esses logs podem ser usados para implementar alertas e notificações de eventos críticos e, em alguns casos, permitem a correção automatizada ou o registro em log de um tíquete no sistema ITSM (Gerenciamento de Serviços de TI).

Eficiência de desempenho

A Eficiência de Desempenho concentra-se na otimização de cargas de trabalho de nuvem para velocidade, capacidade de resposta e escalabilidade. Para obter mais informações, consulte a lista de verificação de revisão de design para Eficiência de Desempenho.

Algumas das principais metas incluem minimizar a latência, garantir arquiteturas escalonáveis, otimizar a utilização de recursos e melhorar continuamente o desempenho do sistema.

Conforme mencionado acima, as decisões tomadas em relação à arquitetura da carga de trabalho, ao SKU da VM e às configurações de disco podem ter um grande impacto sobre o desempenho da carga de trabalho. Fazer as escolhas corretas pode impedir a necessidade de arquitetar novamente a solução no futuro, adicionando flexibilidade e economizando custos.

Considere estes pontos ao desenvolver sua arquitetura:

• Use conjuntos de dimensionamento de máquinas virtuais se a carga de trabalho tiver uma carga dinâmica. Por exemplo, escale horizontalmente em tempos de grandes quantidades de tráfego e, em seguida, desescale horizontalmente quando o tráfego diminuir. Isso garantirá o poder de processamento adequado enquanto ainda mantém os custos sob controle.
• Escolha as SKUs de disco e VM apropriadas para atender ao IOPS necessário durante o processamento. Configure o cache para melhorar ainda mais o desempenho.
• Se sua carga de trabalho for sensível a latência incomum, utilize Grupos de Posicionamento por Proximidade (PPGs) para garantir que várias VMs estejam fisicamente próximas para obter um melhor desempenho. Os PPGs também podem ser usados em conjunto com conjuntos de disponibilidade para combinar baixa latência com alta disponibilidade em um único datacenter físico.
• Sempre que possível, habilite a rede acelerada para minimizar a latência entre os componentes.
• Criar arquitetura de rede para minimizar saltos desnecessários.
• Use Azure Monitor, VM Insights e outras ferramentas para analisar continuamente as métricas e criar linhas de base de desempenho atualizadas. Use as informações de desempenho para determinar onde implementar alterações e, em seguida, testar essas linhas de base.

Contributors

Esse artigo é mantido pela Microsoft. Ele foi originalmente escrito pelos colaboradores a seguir.

Autor principal:

• Donnie Trumpower | Arquiteto sênior de soluções de nuvem e IA

Para ver perfis de LinkedIn não públicos, entre em LinkedIn.

Próximas etapas

• Para criar uma VM Windows, consulte Quickstart: Criar uma máquina virtual Windows no portal Azure.
• Para instalar drivers NVIDIA em uma VM Windows, consulte Instalar drivers de GPU NVIDIA em VMs da série N executando Windows.
• Para instalar drivers AMD em uma VM Windows, consulte Instalar drivers de GPU AMD em VMs da série N executando Windows.
• Para provisionar uma VM Windows, consulte Criar e gerenciar VMs Windows com Azure PowerShell.
• Acesso externo padrão no Azure.
• Para obter um exemplo de uma arquitetura mais complexa, consulte arquitetura de referência do Máquinas Virtuais do Azure em uma zona de aterrissagem do Azure.
• Para implantar um aplicativo Web entre regiões, consulte o aplicativo Web de várias camadas criado para HA/DR.

Recurso relacionado

• Planeje a implantação para a atualização das VMs Windows no Azure
• Executar uma VM do Linux no Azure