البنية والخدمات في Azure

النطاق الثاني من ثلاثة، وهو الأكبر بنسبة 35 إلى 40 بالمئة، وهو واسع يشمل البنية والحوسبة والشبكات والتخزين والهوية، ولذلك ركّز على أي خدمة تناسب أي حالة لا على الأسماء وحدها.

المكوّنات المعمارية الأساسية

المناطق وأزواج المناطق ومناطق التوافر

• المنطقة (Region) مجموعة من مراكز البيانات في نطاق جغرافي واحد تنشر فيها مواردك.
• زوج المناطق (Region pair) منطقتان في الجغرافيا نفسها تربطهما Azure للمرونة، فتُطرح التحديثات على واحدة تلو الأخرى وتتكرّر بعض الخدمات إلى الزوج للتعافي من الكوارث.
• مناطق التوافر (Availability zones) مراكز بيانات منفصلة ماديًا داخل المنطقة الواحدة، لكل منها طاقة وتبريد وشبكة مستقلة، فتوزيع الموارد عليها يحمي التطبيق من فشل مركز بيانات.
• المناطق السيادية نسخ معزولة من Azure لاحتياجات امتثال محددة مثل Azure Government.

التسلسل الإداري من الأعلى للأسفل

1. مجموعات الإدارة (Management groups): حاويات تنظّم عدة اشتراكات وتطبّق الحوكمة عليها.
2. الاشتراكات (Subscriptions): حدود للفوترة والوصول تحوي الموارد، فتُحسب التكاليف وتُطبّق الحدود لكل اشتراك.
3. مجموعات الموارد (Resource groups): حاويات منطقية تجمع موارد تطبيق واحد، والمورد يقع في مجموعة واحدة فقط، وحذف المجموعة يحذف كل ما فيها.
4. الموارد (Resources): الخدمات التي تنشئها كجهاز افتراضي أو قاعدة بيانات أو حساب تخزين.

Azure Resource Manager (ARM) هو طبقة النشر والإدارة التي تمرّ عبرها كل الطلبات سواء من البوابة أو سطر الأوامر أو القوالب، فتفرض التحكم في الوصول وتتيح نشر الموارد معًا عبر قوالب ARM بوصفها بنية تحتية كشيفرة.

خدمات الحوسبة

• Virtual Machines: بنية تحتية كخدمة بتحكم كامل في نظام التشغيل، تستخدمها حين تحتاج إعدادًا محددًا أو نقل خادم قائم.
• Virtual Machine Scale Sets: مجموعة أجهزة افتراضية متطابقة وموزّعة الحمل تتوسّع تلقائيًا مع الطلب.
• Availability sets: توزّع الأجهزة على نطاقات الأعطال والتحديث داخل مركز البيانات لتفادي التوقّف بسبب عطل أو صيانة.
• Azure App Service: منصة كخدمة لاستضافة تطبيقات الويب وواجهات البرمجة دون إدارة خوادم، مع توسّع مدمج.
• Azure Container Instances (ACI): تشغيل حاوية واحدة بسرعة دون إدارة بنية.
• Azure Kubernetes Service (AKS): Kubernetes مُدار لتنسيق كثير من الحاويات على نطاق واسع.
• Azure Functions: شيفرة بلا خادم تعمل عند وقوع حدث، وتدفع فقط أثناء تشغيلها.
• Azure Virtual Desktop: سطح مكتب وتطبيقات افتراضية تعمل في Azure وتصل إلى أي جهاز.

قاعدة عملية: VM للتحكم الكامل، وApp Service لتطبيقات الويب، والحاويات للتحزيم والتوسّع، وFunctions للمهام المدفوعة بالأحداث.

ما يحتاجه الجهاز الافتراضي

حين تنشئ جهازًا افتراضيًا تُنشأ أو تُربط موارد يعتمد عليها: حجم يحدد المعالج والذاكرة، وقرص نظام تشغيل وأقراص بيانات اختيارية، وبطاقة شبكة، وشبكة افتراضية ومقطع، وعنوان IP عام إن لزم، ومجموعة أمان شبكة تتحكم في حركة المرور المسموحة.

أين تستضيف التطبيق

• Virtual Machines: تحكم كامل في نظام التشغيل والبرامج، وأكبر مسؤولية.
• الحاويات (ACI أو AKS): تحزم التطبيق مع اعتمادياته فيعمل كما هو في أي مكان ويتوسّع بسهولة.
• App Service: استضافة مُدارة لتطبيقات الويب بأقل بنية تحتية تديرها.

خدمات الشبكات

• Virtual Network (VNet): شبكتك الخاصة في Azure، مقسّمة إلى مقاطع (subnets) تتواصل مواردك عبرها بأمان.
• VNet peering: يربط شبكتين افتراضيتين لتتواصلا كشبكة واحدة.
• VPN Gateway: اتصال مشفّر بين شبكتك داخل المؤسسة و Azure عبر الإنترنت العام.
• ExpressRoute: اتصال خاص ومخصص بـ Azure لا يمرّ عبر الإنترنت العام، لموثوقية وسرعة أعلى.
• Azure DNS: استضافة نطاقاتك وترجمة الأسماء إلى عناوين IP على بنية Azure.
• النقاط العامة والخاصة (endpoints): النقطة العامة تُوصل عبر الإنترنت، بينما النقطة الخاصة تمنح الخدمة عنوان IP خاصًا داخل شبكتك فتبقى حركتها على شبكة Azure الداخلية.

الفرق المتكرر في الاختبار: VPN Gateway مشفّر ويمرّ عبر الإنترنت، وExpressRoute خط خاص لا يمرّ عبره.

خدمات التخزين

كل شيء يقع في حساب تخزين (storage account)، وأهم خدمات البيانات: - Blob: كميات هائلة من البيانات غير المهيكلة كالصور والفيديو والنسخ الاحتياطية. - Azure Files: مشاركات ملفات مُدارة تركّبها كمحرّك شبكة. - Queue: رسائل بين مكوّنات التطبيق. - Table: كميات كبيرة من البيانات المهيكلة غير العلائقية. - Disk: أقراص افتراضية تُربط بالأجهزة.

أنواع حسابات التخزين

معظم البيانات في حساب general purpose v2 الذي يدعم blobs و files و queues و tables، وطبقتا الأداء هما Standard على الأقراص الصلبة لأغلب الأحمال، وPremium على أقراص الحالة الصلبة لزمن استجابة منخفض.

طبقات الوصول لـ Blob

خيارات التكرار

• LRS: ثلاث نسخ في مركز بيانات واحد، الأرخص والأقل مرونة.
• ZRS: نسخ عبر مناطق التوافر في منطقة واحدة.
• GRS: نسخ في منطقتك ونسخة في المنطقة المزدوجة.
• GZRS: يجمع تكرار المناطق مع نسخة في المنطقة المزدوجة، وهو الأكثر مرونة.

نقل البيانات إلى Azure

• AzCopy أداة سطر أوامر للنسخ من وإلى التخزين، وStorage Explorer تطبيق رسومي، وAzure File Sync لمركزة المشاركات، وAzure Migrate لتقييم الخوادم والتطبيقات ونقلها، وAzure Data Box جهاز مادي تشحنه Microsoft لنقل كميات ضخمة دون اتصال.

الهوية والوصول والأمن

• Microsoft Entra ID (المعروف سابقًا بـ Azure Active Directory) خدمة الهوية والوصول السحابية في Azure، تدير المستخدمين والمجموعات وتسجيل الدخول إلى Azure وآلاف التطبيقات.
• المصادقة (Authentication) تثبت من أنت، والتخويل (Authorization) يحدّد ما يُسمح لك به، والمصادقة أولًا ثم التخويل.
• الدخول الموحّد (SSO): تسجّل الدخول مرة واحدة فتصل إلى تطبيقات كثيرة.
• المصادقة متعددة العوامل (MFA): تطلب أكثر من دليل على هويتك كرمز على هاتفك مع كلمة المرور.
• المصادقة بلا كلمة مرور (Passwordless): تسجيل دخول دون كلمة مرور عبر Windows Hello أو تطبيق Authenticator أو مفتاح أمان، وهو أأمن وأسهل.
• Conditional Access: يطبّق قواعد الدخول حسب إشارات كالمستخدم والموقع والجهاز والمخاطرة، مثل طلب MFA من خارج المكتب.
• Microsoft Entra Domain Services: خدمات نطاق مُدارة في Azure كالانضمام للنطاق وسياسة المجموعة دون تشغيل وحدات تحكم نطاق بنفسك، وهي غير Active Directory Domain Services التقليدية داخل المؤسسة.
• الهويات الخارجية: تتيح دخول الشركاء والضيوف والعملاء.

التحكم في الوصول المبني على الأدوار (RBAC)

يمنح RBAC كل شخص أقل صلاحية يحتاجها عبر إسناد دور عند نطاق يكون مجموعة إدارة أو اشتراكًا أو مجموعة موارد أو موردًا، ويُورَّث الوصول إلى ما تحت النطاق.

الثقة الصفرية والدفاع في العمق

• الثقة الصفرية: لا تثق تلقائيًا، وتحقّق من كل طلب، وافترض حدوث اختراق.
• الدفاع في العمق: طبقات حماية متعددة من هوية وشبكة وحوسبة وتطبيق وبيانات، فإن سقطت واحدة صمدت التي تليها.
• Microsoft Defender for Cloud: يراقب وضعك الأمني ويمنحك درجة أمان ويحمي الأحمال عبر Azure وخارجها.

خلاصة سريعة

• التسلسل: مجموعات الإدارة تحوي الاشتراكات التي تحوي مجموعات الموارد التي تحوي الموارد، كلها عبر Azure Resource Manager.
• المناطق تجمع مراكز البيانات، ومناطق التوافر تحمي داخل المنطقة، وأزواج المناطق تحمي عبر المناطق.
• الحوسبة: VM للتحكم، و App Service لتطبيقات الويب، والحاويات للتوسّع، و Functions للأحداث.
• VPN Gateway مشفّر عبر الإنترنت، و ExpressRoute خط خاص.
• طبقات التخزين تقايض تكلفة التخزين بتكلفة الوصول، والتكرار يقايض التكلفة بالمرونة من LRS إلى GZRS.
• Entra ID يدير الهوية، و MFA و Conditional Access يقوّيان الدخول، و RBAC يمنح أقل صلاحية عند نطاق.