Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
regional hub、global entry、hybrid path、DNS、data replicationのfailure domainを分けて設計する。
Key technical points
- hubはregionごとに置き、global traffic distributionはFront Door/Traffic Manager等を要件で選ぶ。
- cross-region east-westをGlobal Peering/VWAN transit/ER等から選択する。
- RTO/RPOだけでなくDNS TTL/BGP convergence/Firewall policy syncをDR testへ含める。
Design guidance
- design diagramと同時にtraffic matrix、route matrix、failure matrix、ownership matrixを作る。
- platform teamのcentral policyとworkload teamのself-service範囲をresource scope/RBACへ落とす。
- at-scale変更はstaged deployment、canary region/group、rollbackを前提にする。
Operations checklist
- scope/region/subscription/network groupを明示する。
- traffic matrixとfailure testをacceptance criteriaにする。
- IaC/Policyとruntime stateのdriftを確認する。
Common pitfalls
- diagramだけ作りtraffic/failure/ownershipを定義しない。
- central policyを一括deployし、blast radiusを大きくする。
Verification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。