Steuerungsebenen und Datenebenen

Bevor wir zu den tatsächlichen Mustern kommen, die Sie für die Evakuierung einer Availability Zone verwenden können, müssen wir die Konzepte von Steuerungsebenen und Datenebenen erörtern.AWSunterscheidet in unseren Diensten zwischen Steuerebenen und Datenebenen. Steuerungsebenen sind die Maschinen, die daran beteiligt sind, Änderungen an einem System vorzunehmen — Ressourcen hinzuzufügen, Ressourcen zu löschen, Ressourcen zu ändern — und diese Änderungen an die Stellen zu übertragen, an denen sie wirksam werden müssen, z. B. beim Aktualisieren einer Netzwerkkonfiguration für ein ALB oder beim Erstellen einesAWS LambdaFunktion.

Datenebenen sind die Hauptfunktion dieser Ressourcen, z. B. die laufende EC2-Instance oder das Abrufen von Elementen aus einer Amazon DynamoDB-Tabelle oder das Einfügen von Elementen in eine Amazon DynamoDB-Tabelle. Eine detailliertere Erläuterung der Steuerungsebenen und Datenebenen finden Sie unterStatische Stabilität mithilfe von Availability ZonesundAWSGrenzen der Fehlerisolierung.

Beachten Sie für die Zwecke dieses Dokuments, dass Steuerungsebenen in der Regel mehr bewegliche Teile und Abhängigkeiten aufweisen als Datenebenen. Dadurch ist die Wahrscheinlichkeit, dass die Steuerebene beeinträchtigt wird, statistisch höher als die Datenebene. Dies ist besonders relevant für Dienste, die AZI bereitstellen, wie Amazon EC2 und EBS, da Teile dieser Dienste über Steuerungsebenen verfügen, die auch zonenunabhängig sind und bei einem Single-AZ-Ereignis beeinträchtigt werden können.

Aktionen auf der Steuerungsebene können zwar verwendet werden, um eine AZ-Evakuierung durchzuführen, auf der Grundlage der vorherigen Informationen haben sie jedoch möglicherweise eine geringere Erfolgswahrscheinlichkeit, insbesondere bei einem Störungsereignis. Um die Wahrscheinlichkeit zu erhöhen, dass die Auswirkungen erfolgreich gemildert werden, können Sie zwei verschiedene Muster verwenden. Das erste Muster stützt sich nur auf Aktionen auf der Datenebene, um zunächst die Auswirkungen zu mildern, indem verhindert wird, dass Arbeit an die betroffene Availability Zone weitergeleitet wird oder dass Arbeit in der betroffenen Availability Zone beendet wird. Anschließend kann mit dem zweiten Muster versucht werden, die Konfiguration der Ressourcen mit Aktionen auf der Steuerungsebene zu aktualisieren, um sowohl zu verhindern, dass Kapazität in der betroffenen Availability Zone bereitgestellt wird, als auch die Kommunikation zwischen den Availability Zones mit dieser Availability Zone zu beenden.

Die in diesem Abschnitt erörterten Wiederherstellungsmuster sindgroße rote Knöpfe. Sie sind die Mechanismen, die Sie verwenden, um schnell groß angelegte Maßnahmen zu ergreifen, ähnlich wie beim Ziehen einesAndonkabel an einer Montagelinie. Sie gehen davon aus, dass die Workloads bereits Strategien ausprobiert haben, wiewiederholen Sie den Vorgang mit exponentiellem Backoff mit Jitterin ihrem Code, um vorübergehende Fehler zu überwinden. Dies bedeutet, dass, wenn isolierte Auswirkungen auf die Availability Zone erkannt werden, deren Auswirkungen auf die Verfügbarkeit oder Latenz so schwerwiegend sind, dass die Availability Zone evakuiert werden muss, um sie wirksam zu mindern.