Melhores práticas de arquitetura para Azure Container Apps

Escolha as configurações de SKU apropriadas. Selecione um SKU de ambiente que esteja alinhado com os requisitos de recursos e desempenho das suas aplicações de contentores.

Avalie quais as funcionalidades da plataforma que os seus objetivos de fiabilidade exigem. Perfis dedicados de carga de trabalho oferecem isolamento de computação e maiores limites de recursos. A entrada premium aloca recursos proxy dedicados com configurações de timeout ajustáveis para evitar gargalos.

Construa redundância para melhorar a resiliência. Para aplicações expostas a entrada (HTTP ou Protocolo de Controle de Transmissão (TCP)), use pelo menos três réplicas para ajudar a garantir a disponibilidade. Para minimizar os inícios a frio, configure um número mínimo de réplicas sempre prontas.

Utilize zonas de disponibilidade como parte da sua estratégia de resiliência para aumentar a disponibilidade quando fizer a implementação numa única região. Muitas regiões do Azure fornecem zonas de disponibilidade. As zonas estão posicionadas suficientemente próximas para garantir conexões de baixa latência entre elas, mas suficientemente distantes para minimizar o risco de falhas locais afetarem múltiplas zonas.

Para cargas de trabalho críticas, desploe ambientes de Container Apps em várias regiões e use o Azure Front Door ou o Gestor de Tráfego do Azure para gestão de tráfego. Estes serviços ajudam a garantir alta disponibilidade e continuidade de negócios. Se ocorrer uma interrupção regional, pode redirecionar automaticamente o tráfego para uma região secundária para minimizar o tempo de inatividade e a perda de dados.

Implementar escalamento automático horizontal. Configure o dimensionamento automático utilizando regras de dimensionamento que se baseiam em pedidos HTTP, ligações TCP ou métricas personalizadas, como limites de CPU e memória. Pode definir métricas personalizadas no Azure Service Bus, Hubs de Eventos do Azure, Apache Kafka e Azure Managed Redis. Utilize o dimensionamento automático para gerir dinamicamente as cargas e manter alta disponibilidade durante os períodos de uso máximo.

Certifique-se de que as suas aplicações em contentores possam continuar a atender pedidos dentro do seu objetivo de nível de serviço (SLO) sob alta carga.

Monitorize a fiabilidade e os indicadores gerais de saúde da aplicação em contêiner. Recolha registos e métricas para monitorizar a saúde, identificar tendências de desempenho e fiabilidade, e resolver problemas. Para mais informações sobre como projetar a solução de monitorização de confiabilidade e saúde para a sua carga de trabalho, consulte Modelagem de saúde para cargas de trabalho.

Implemente ferramentas de monitorização e alertas. Ative ferramentas de monitorização, como o Azure Monitor e o OpenTelemetry. Configure alertas para detetar e responder rapidamente a eventos que afetam a fiabilidade.

Configure sondas de verificação. Configure sondas de inicialização, prontidão e vivacidade para todos os serviços, de modo a monitorizar e manter a saúde da aplicação.

Configurar mecanismos de autocura para reiniciar automaticamente instâncias de contentores com problemas. Reinícios automáticos aumentam a fiabilidade e disponibilidade das suas aplicações. Eles ajudam a garantir uma recuperação rápida de falhas sem intervenção manual. Utilize sondas de integridade para detectar containers com falhas e configure políticas de resiliência para lidar automaticamente com tentativas de repetição e circuit breakers.

Revisão dos padrões de segurança. Para melhorar a postura de segurança da sua carga de trabalho, reveja a linha de base de segurança para aplicativos de contêiner.

Integre com o Microsoft Entra ID para gerenciamento de identidade e acesso. Utilize controlo de acesso baseado em funções (RBAC) com Microsoft Entra ID para acesso de privilégios mínimos.

Use identidades gerenciadas com o Microsoft Entra ID para acesso seguro e sem credenciais aos recursos do Azure.

Implementar segmentação e controlos de rede. Implemente ambientes de aplicações em contentores privados e utilize o modo de entrada interno para isolar da internet pública.

Controle o tráfego de saída. Para evitar a exfiltração de dados, integre seu ambiente de aplicativos de contêiner em uma rede virtual personalizada que tenha rotas definidas pelo usuário para ajudar a proteger o tráfego de saída.

Use pontos de extremidade privados. Configurar endpoints privados para o seu ambiente de Aplicações de Contêiner de modo a garantir que o tráfego de entrada nunca passe pela internet pública. Desative o acesso à rede pública ao nível do ambiente quando usar endpoints privados. Esta abordagem proporciona um isolamento de rede mais forte do que o modo de entrada interno sozinho.

Mantém a cadeia de fornecimento de software de uma carga de trabalho reforçada. Implemente a varredura sensível a containers nas suas pipelines seguras de integração contínua e entrega contínua (CI/CD). Esse recurso deteta vulnerabilidades e ajuda a garantir a integridade das imagens de contêiner. Para mais informações, consulte Cadeia de Abastecimento Segura de Contentores.

Reduzir a superfície de ataque. Reforçar as imagens dos contentores e remover os componentes não utilizados. Use imagens de base enxutas e mínimas, como imagens Alpine e Chiselled Ubuntu.

Integre com o Microsoft Defender. Use o Microsoft Defender for Containers para digitalizar imagens no Registro de Contêiner do Azure.

Isolar a execução de código não confiável. Para cargas de trabalho que executam código submetido pelo utilizador ou gerado por IA, utilize sessões dinâmicas para executar código em sandboxes seguros e efémeros. As sessões dinâmicas utilizam o isolamento do Hyper-V para proporcionar uma separação robusta ao nível do kernel entre as sessões. Cada sessão é automaticamente destruída após a utilização, o que impede fugas de dados entre execuções.

Encripte os dados em repouso e os dados em trânsito. Use métodos modernos padrão do setor para proteger a confidencialidade e a integridade.

Utilize o Azure Key Vault. Armazene valores de configuração sensíveis e segredos no Key Vault para protegê-los de acessos não autorizados.

Ativar Segurança Mútua da Camada de Transporte (mTLS). Use mTLS para autenticar e criptografar o tráfego entre serviços. Este recurso verifica ambas as partes, o que aumenta a segurança.

Aplique HTTPS. Configure o proxy do Envoy para redirecionar todo o tráfego HTTP para HTTPS. A configuração padrão para o Envoy é allowInsecure: false.

Desenvolver uma estratégia de monitorização da segurança. Capture registos detalhados para monitorização e auditoria. Envie registos de sistema e de consola para um espaço de trabalho do Log Analytics, para os Event Hubs ou para uma solução não-Microsoft, para fins de monitorização e auditoria. Elimine dados sensíveis dos registos. Os registos de consola têm origem nos fluxos stderr e stdout na aplicação.

Adote deliberadamente perfis confidenciais de carga de trabalho. Utilize perfis confidenciais de cargas de trabalho para cargas que devem proteger dados em uso, como processamento regulado ou inferência de modelos sensíveis. Verifique a autenticação, disponibilidade regional, compatibilidade de imagem e runbooks operacionais antes do lançamento, pois ambientes de execução confiáveis adicionam restrições de implementação e suporte.

Selecione planos de preços apropriados. Escolha os planos de preços mais rentáveis para as suas aplicações de contentor com base nos requisitos de carga de trabalho e nos padrões de utilização esperados.

Aproveite o plano de poupança da Azure para computação comprometendo-se com uma taxa fixa por hora durante um ou três anos. Use um plano de poupança para economizar até 17% em comparação com o pagamento conforme o uso. Otimize seu orçamento e reduza as despesas gerais para cargas de trabalho previsíveis e de longo prazo.

Otimize os custos dos componentes da carga de trabalho. Revise e ajuste regularmente as alocações de CPU e memória para corresponder às necessidades das suas aplicações. Esta prática evita a sobreprovisionamento e minimiza os custos.

Utilize níveis de disco geridos. Quando utiliza montagens de volume, selecione as gamas e tamanhos de discos geridos apropriados para otimizar os custos de armazenamento de dados persistentes. Pague apenas aquilo de que necessita.

Utilize imagens de contêiner simplificadas e otimizadas para melhorar os tempos de inicialização e a eficiência de recursos, o que reduz os custos de armazenamento e rede.

Otimize os custos da carga de trabalho da GPU. Para cargas de trabalho em IA e aprendizagem automática, utilize GPUs serverless com faturação por segundo e capacidade de escalar até zero para eliminar custos durante os períodos de inatividade. Selecione o tipo de GPU apropriado com base nos requisitos de carga de trabalho. Use GPUs T4 económicas para inferência e tarefas leves. Reserve as GPUs A100 para treino de grandes modelos e cenários de alto nível de computação.

Otimizar os custos de escalonamento. Configure políticas de escalonamento automático para reduzir automaticamente os recursos durante períodos de baixa demanda e aumentá-los durante os horários de pico. Esta prática garante o uso eficiente dos recursos.

Otimizar os custos de rede. Otimize os caminhos de rede para minimizar os custos de transferência de dados, especialmente para aplicações que têm altos volumes de largura de banda.

Utilize ferramentas de gestão de custos. Utilize as ferramentas de Gestão de Custos da Microsoft para acompanhar e analisar despesas, definir orçamentos, criar alertas de custos e implementar etiquetagem consistente em todos os recursos.

Estas ferramentas oferecem visibilidade detalhada sobre os gastos com a nuvem, ajudam a identificar oportunidades de poupança, garantem a conformidade com as restrições orçamentais e permitem um acompanhamento e reporte detalhado dos custos associados a cargas de trabalho, aplicações e ambientes específicos.

Implementar uma abordagem de implementação de infraestrutura como código (IaC). Implemente implementações baseadas em modelos usando ferramentas como Bicep ou Terraform. Assegure que todas as implementações são repetíveis, rastreáveis e armazenadas num repositório de código fonte.

Automatize as implementações de infraestrutura e de cargas de trabalho. Utilize soluções de software padrão para gerir, integrar e automatizar a implementação das suas cargas de trabalho.

Configure pipelines de implementação para reimplementar o ambiente noutra região caso ocorra uma interrupção regional. Esta abordagem ajuda a restaurar e a redistribuir rapidamente dados críticos e configurações noutra região, o que melhora as capacidades de recuperação de desastres e minimiza o tempo de inatividade durante falhas regionais.

Crie processos automatizados para configurar seus ambientes com as configurações e implantações necessárias usando pipelines de CI/CD.

Implementar uma estratégia de monitorização abrangente. Configure as definições de diagnóstico para capturar logs, métricas e dados de diagnóstico. Utilize ferramentas como o Azure Monitor e o Application Insights para monitorizar a saúde e o desempenho das aplicações, identificar tendências de desempenho e fiabilidade, e resolver problemas.

Emitir telemetria para cargas de trabalho. Conceba as suas cargas de trabalho para emitir dados de telemetria, incluindo os estados de atividade e preparação, para facilitar a monitorização e resolução de problemas.

Monitorizar métricas de desempenho. Monitorizar continuamente métricas de desempenho chave, como CPU, memória e utilização da rede, para identificar oportunidades de otimização de custos e eficiência operacional.

Usa o agente gerido OpenTelemetry. Permitir que o agente OpenTelemetry emita trilhos, métricas e registos padronizados sem ter de implementar e gerir um coletor personalizado. O agente gerido suporta múltiplos destinos de exportação e reduz o encargo operacional de manter a infraestrutura de observabilidade.

Implementar engenharia do caos. Aplique práticas de engenharia do caos usando ferramentas como o Azure Chaos Studio para identificar problemas potenciais de fiabilidade no seu ambiente de Aplicações em Contêiner. Conduza experiências para garantir que as suas aplicações possam resistir a falhas inesperadas. Realize testes de desempenho utilizando ferramentas como o Azure Load Testing para garantir que as regras de escalonamento funcionem conforme esperado, sem interrupções para os clientes.

Implemente uma marcação de recursos consistente em todas as aplicações de contêiner e outros recursos de carga de trabalho. A etiquetagem consistente facilita a gestão eficiente de recursos, o acompanhamento de custos e a automatização.

Impor a governança do trabalho. O Azure Policy ajuda a garantir a conformidade consistente com os padrões organizacionais, automatiza a aplicação de políticas e fornece visibilidade e controlo centralizados sobre os recursos da sua carga de trabalho.

Padronizar os caminhos de exportação de telemetria. Use destinos de exportação geridos para dados OpenTelemetry para ligar Aplicações Container a plataformas como New Relic, Dynatrace, Elastic ou outros backends suportados sem executar coletores personalizados. Defina o roteamento, a amostragem, a retenção e a responsabilidade por destino para que a observabilidade se mantenha consistente e os custos sob controlo em todos os ambientes.

Planeie o registo de tráfego de entrada de elevado volume. Ative ContainerAppHTTPLogs apenas para cenários que exijam diagnóstico ao nível do pedido de latência, novas tentativas ou falhas de encaminhamento. Defina limiares de retenção, redação e custo antes do lançamento, pois registos HTTP de alto volume podem aumentar o armazenamento, privacidade e sobrecarga de análise.

Desenvolva um plano detalhado de capacidade para garantir que os seus aplicativos em contêiner tenham recursos suficientes para lidar com cargas variáveis, evitando a super-provisionamento. Um plano de capacidade ajuda a otimizar custos e desempenho.

Atualize regularmente o seu plano para documentar as alocações corretas de recursos, configurações de dimensionamento automático e estratégias de failover para as suas aplicações em contentores. Este método garante que você possa restaurar e redistribuir rapidamente dados críticos e configurações em outra região, o que melhora as capacidades de recuperação de desastres e minimiza o tempo de inatividade durante falhas regionais.

Habilite o dimensionamento automático. Configure políticas de dimensionamento automático para ajustar automaticamente o número de instâncias de contêiner com base na demanda em tempo real, o que garante um desempenho ideal durante os horários de pico e fora de pico.

Otimize a alocação de recursos. Monitore e ajuste continuamente as alocações de CPU e memória com base em métricas de desempenho para garantir o uso eficiente dos recursos e prevenir a superprovisionamento.

Realizar testes de carga. Realize testes de carga regulares para avaliar o desempenho e a escalabilidade das suas aplicações em contentores em diferentes condições. Os testes ajudam a garantir que as aplicações em contentores possam lidar com os níveis de tráfego esperados.

Cargas de trabalho separadas. Implementar cargas de trabalho críticas e sensíveis em ambientes separados do Container Apps para evitar problemas de vizinhança barulhenta. Distribua cargas de trabalho por múltiplos ambientes para garantir que aplicações críticas tenham recursos dedicados. Este método também garante que as exigências de desempenho de aplicações menos críticas não afetem as aplicações críticas.

Selecione perfis de carga de trabalho de GPU apropriados para cargas de trabalho intensivas em computação. Para cargas de trabalho de inferência de IA, aprendizagem automática e computação de alto desempenho, selecione GPUs serverless para demandas intermitentes ou perfis dedicados de carga de trabalho de GPU para cargas de trabalho contínuas e sensíveis à latência. Escolha o tipo de GPU apropriado, como T4 para inferência ou A100 para treino, com base nos seus requisitos de desempenho. Minimize a latência de inicialização a frio para GPUs serverless usando imagens de contentores leves, transmissão de artefactos e configuração de réplicas mínimas.

Use entrada premium para executar cargas de trabalho sensíveis à latência. Configure o ingress premium para alocar recursos de computação dedicados ao proxy de ingress. Configure timeouts personalizados e definições de escalabilidade para evitar que a camada de entrada reduza os pedidos sob alta concorrência.