הגנה על הנתונים באמצעות שכפול אזורי

בוחרים גרסה של מאמר העזרה:

בדף הזה מתוארת ארכיטקטורת הייחוס של "זמינות משופרת" ב-AlloyDB Omni, שמספקת זמינות גבוהה על ידי פריסת עותק אחד או יותר של מסד הנתונים באותו אזור, כדי להגן מפני כשלים ברמת הצומת או ברמת האזור.

תרחישים לדוגמה

ארכיטקטורת הזמינות הזו מתאימה לתרחישים הבאים:

  • אפליקציות קריטיות לעסק שדורשות RTO ו-RPO נמוכים יותר.
  • אתם רוצים לפרוס רפליקה באזור או בצומת אחרים, כדי להבטיח זמינות גבוהה של מסדי הנתונים ולהגן מפני כשלים במכונות, בשרתים ובאזורים.
  • אתם רוצים הגנה מפני שגיאות של משתמשים ופגיעה בנתונים (באמצעות גיבויים).

איך פועלת ארכיטקטורת העזר

זמינות משופרת מוסיפה לזמינות הרגילה על ידי הוספת מכונות של רפליקות לקריאה בלבד בתוך האזור, כדי לאפשר זמינות גבוהה (HA) שמפחיתה את יעד זמן ההתאוששות (RTO). הגישה הזו גם מקטינה את היעד להתאוששות מאסון (RPO) בכך שהיא מאפשרת להעביר בסטרימינג שינויים טרנזקציונליים לרפליקה.

זמינות גבוהה ב-AlloyDB Omni מתבססת על לפחות שני מופעי מסד נתונים. מכונה אחת מתפקדת כמסד הנתונים הראשי, שתומך בפעולות קריאה וכתיבה. המופעים הנותרים משמשים כרפליקות לקריאה, ופועלים במצב קריאה בלבד.

אלה מושגים חשובים שקשורים לזמינות גבוהה:

  • מעבר לגיבוי (Failover) הוא התהליך שמתבצע במהלך הפסקת שירות לא מתוכננת, שבו המופע הראשי נכשל או הופך ללא זמין, והעותק המשוכפל במצב המתנה מופעל כדי להניח את מצב הראשי (קריאה-כתיבה). התהליך הזה נקרא קידום. בדרך כלל בתרחישים כאלה, כשהשרת הראשי או מסד הנתונים הראשי חוזרים לפעול, צריך לבנות מחדש את מסד הנתונים ואז הוא צריך לפעול כגיבוי. כדי לספק זמן פעולה תקינה ארוך, יש מנגנונים שמאפשרים יתירות כשל אוטומטית.
  • מעבר, שנקרא גם היפוך תפקידים, הוא הליך שמשמש למעבר בין המצבים של מסד הנתונים הראשי ואחד ממסדי הנתונים במצב המתנה, כך שמסד הנתונים הראשי הופך למסד נתונים במצב המתנה ומסד הנתונים במצב המתנה הופך למסד הנתונים הראשי. העברות מתרחשות בדרך כלל באופן מבוקר ומסודר, ויכולות להתבצע מכל מיני סיבות, למשל כדי לאפשר זמן השבתה ותיקון של מסד הנתונים הראשי הקודם. מעברים חלקים צריכים לאפשר מעבר חזרה בעתיד בלי צורך ליצור מחדש את הגיבוי החדש או היבטים אחרים של הגדרת השכפול.

אפשרויות לזמינות גבוהה

בפריסות שאינן Kubernetes, משתמשים ב-Patroni וב-HAProxy. מידע נוסף זמין במאמר ארכיטקטורת זמינות גבוהה ל-AlloyDB Omni ל-PostgreSQL.

הערה: Patroni ו-HAProxy הם כלים לשימוש לא מסחרי של צד שלישי, והם תואמים ל-AlloyDB Omni.

מומלץ להגדיר לפחות שני מסדי נתונים במצב המתנה, כדי שאובדן של מסד נתונים אחד לא ישפיע על הזמינות הגבוהה של האשכול. במצב הזה, יש לכם לפחות זוג HA אחד במקרה של מעבר לגיבוי או במהלך תחזוקה מתוכננת של צומת.

כדי לתכנן את הגודל והצורה של פריסת AlloyDB Omni, קראו את המאמר תכנון ההתקנה של AlloyDB Omni במכונה וירטואלית.

מאזני עומסים

מנגנון חשוב נוסף שעוזר להליכי מעבר ויתירות כשל חלקים יותר הוא נוכחות של מאזן עומסים.

בפריסות שאינן של Kubernetes, תוכנת HAProxy מספקת איזון עומסים. ‫HAProxy מאזן עומסים על ידי פיזור התנועה ברשת בין כמה שרתים. ‫HAProxy גם מבצע בדיקות תקינות כדי לשמור על מצב התקינות של שרתי בק-אנד שאליהם הוא מתחבר. אם שרת נכשל בבדיקת תקינות, HAProxy מפסיק לשלוח אליו תנועה עד שהוא עובר שוב את בדיקות התקינות.

זמינות גבוהה

מסדי נתונים של רפליקות לקריאה שנפרסו באזור מסוים מספקים זמינות גבוהה אם מסד הנתונים הראשי נכשל. אם מתרחש כשל במסד הנתונים הראשי, מסד הנתונים במצב המתנה מקודם כדי להחליף את הראשי, והאפליקציה ממשיכה לפעול עם השבתה קצרה או ללא השבתה בכלל.

מומלץ לבצע בדיקות שנתיות או חצי-שנתיות קבועות בצורה של מעבר בין מסדי נתונים כדי לוודא שכל האפליקציות שמסתמכות על מסדי הנתונים האלה עדיין יכולות להתחבר ולהגיב בפרק זמן מתאים.

אפשר להשיג הגנה ברמת האזור באמצעות כל אחד מסוגי הפריסה, על ידי הצבת אחת מהרפליקות לקריאה במצב המתנה באזור זמינות שונה ממסד הנתונים הראשי.

יתרון נוסף של רפליקות לקריאה בלבד הוא היכולת להעביר פעולות לקריאה בלבד למסדי הנתונים במצב המתנה, שיכולים לשמש כמסדי נתונים לדיווח באמצעות נתונים עדכניים. הגישה הזו מפחיתה את העומס ואת התקורה בשרת הראשי לקריאה וכתיבה.

גיבויים והגדרת זמינות גבוהה

אפשר להגדיר עותקים לקריאה בלבד בכמה אזורים, כדי לספק זמינות גבוהה. הם מספקים RTO ו-RPO נמוכים, אבל לא מגנים מפני הפסקות מסוימות, כמו פגם לוגי בנתונים, למשל מחיקה של טבלה בטעות או עדכוני נתונים שגויים. לכן, בנוסף להגדרת הזמינות הגבוהה, צריך לבצע גיבויים באופן קבוע. לפרטים, קראו את המאמר ארכיטקטורת זמינות רגילה.

באיור 1 מוצגת הגדרת HA מומלצת עם שני מסדי נתונים של רפליקות לקריאה בלבד במצב המתנה, בשני אזורי זמינות שונים.

‫AlloyDB Omni עם אפשרויות גיבוי וזמינות גבוהה

איור 1. ‫AlloyDB Omni עם אפשרויות לגיבויים ולזמינות גבוהה.

כדי להגן על הנתונים מפני אובדן במקרה של כשל במופע הראשי, צריך להגדיר שכפול במצב סינכרוני. השיטה הזו מספקת הגנה על נתונים חזקה, אבל היא יכולה להשפיע על הביצועים של מסד הנתונים הראשי, כי צריך לכתוב את כל ה-commits גם למסד הנתונים הראשי וגם לכל מסדי הנתונים המסונכרנים במצב המתנה. חיבור רשת עם זמן אחזור קצר בין המכונות של מסדי הנתונים האלה הוא קריטי להגדרה הזו.

פריסות HA שאינן Kubernetes

פריסה עצמאית שאינה Kubernetes היא הגדרה ידנית שדורשת כלים של צד שלישי, וההגדרה והתחזוקה שלה מורכבות יותר מאלה של פריסת Kubernetes.

כשמשתמשים בפריסה שהיא לא של Kubernetes, יש כמה פרמטרים שמשפיעים על האופן שבו מזוהה יתירות כשל ועל משך הזמן שחולף עד שמתרחשת יתירות כשל אחרי שהשרת הראשי לא זמין. לפניכם סיכום קצר של הפרמטרים האלה:

  • ‫Ttl: הזמן המקסימלי שנדרש כדי לקבל נעילה של מסד הנתונים הראשי לפני הפעלת יתירות כשל. ברירת המחדל היא 30 שניות.
  • ‫Loop_wait: משך הזמן שצריך להמתין לפני בדיקה חוזרת. ברירת המחדל היא 10 שניות.
  • ‫Retry_timeout: הזמן הקצוב לתפוגה לפני הורדה בדרגה של המכונה הראשית בגלל כשל ברשת. ברירת המחדל היא 10 שניות.

מידע נוסף זמין במאמר ארכיטקטורת זמינות גבוהה ב-AlloyDB Omni ל-PostgreSQL.

הטמעה

כשבוחרים ארכיטקטורת הפניה לזמינות, חשוב לקחת בחשבון את היתרונות, המגבלות והחלופות הבאים.

יתרונות

  • הגנה מפני כשלים במכונות.
  • הגנה מפני כשלים בשרת.
  • הגנה מפני כשלים באזור.
  • זמן ה-RTO קצר משמעותית בהשוואה לזמינות רגילה.

מגבלות

  • אין הגנה נוספת מפני אסונות אזוריים.
  • השפעה פוטנציאלית על הביצועים של השרת הראשי בגלל שכפול סינכרוני.
  • הגדרת סטרימינג של WAL ב-PostgreSQL במצב סינכרוני מונעת אובדן נתונים (RPO=0) במהלך פעולה רגילה או יתירות כשל אופיינית. עם זאת, הגישה הזו לא מגינה מפני אובדן נתונים במצבים ספציפיים של תקלה כפולה, למשל כשכל המכונות במצב המתנה אובדות או שאי אפשר להגיע אליהן מהמכונה הראשית, ומיד לאחר מכן המכונה הראשית מופעלת מחדש.

חלופות

המאמרים הבאים