REL02-BP01 Utiliser une connectivité réseau hautement disponible pour vos points de terminaison publics de charge de travail - Reliability Pillar
Directives d’implémentationRessources

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

REL02-BP01 Utiliser une connectivité réseau hautement disponible pour vos points de terminaison publics de charge de travail

La mise en place d’une connectivité réseau hautement disponible aux points de terminaison publics de vos charges de travail peut vous aider à réduire les temps d’arrêt dus à la perte de connectivité et à améliorer la disponibilité et le SLA de votre charge de travail. Pour ce faire, utilisez le DNS hautement disponible, les réseaux de diffusion de contenu (CDN), des passerelles API, l’équilibrage de charge ou les proxys inverses.

Résultat escompté : il est essentiel de planifier, de créer et de rendre opérationnelle une connectivité réseau hautement disponible pour vos points de terminaison publics. Si votre charge de travail devient inaccessible en raison d’une perte de connectivité, même si elle est en cours d’exécution et disponible, vos clients verront votre système comme étant en panne. En combinant une connectivité réseau hautement disponible et résiliente pour les points de terminaison publics de votre charge de travail, ainsi qu’une architecture résiliente pour votre charge de travail elle-même, vous pouvez offrir la meilleure disponibilité et le meilleur niveau de service possible à vos clients.

AWS Global Accelerator, Amazon CloudFront, Amazon API Gateway, les URL de fonction AWS Lambda, les API AWS AppSync et Elastic Load Balancing (ELB) fournissent tous des points de terminaison publics hautement disponibles. Amazon Route 53 fournit un service DNS hautement disponible pour la résolution des noms de domaine afin de vérifier que vos adresses de point de terminaison publiques peuvent être résolues.

Vous pouvez également évaluer des appliances logicielles AWS Marketplace pour l’équilibrage de charge et les proxys.

Anti-modèles courants :

  • Concevoir une charge de travail hautement disponible sans planifier le DNS et la connectivité réseau pour la haute disponibilité.

  • Utiliser des adresses Internet publiques sur des instances ou des conteneurs individuels et gestion de la connectivité à ces adresses avec le DNS.

  • Utiliser des adresses IP au lieu des noms de domaine pour localiser les services.

  • Ne pas tester des scénarios où la connectivité à vos points de terminaison publics est perdue.

  • Ne pas analyser les besoins en débit du réseau et les modèles de distribution.

  • Ne pas tester et planifier des scénarios dans lesquels la connectivité du réseau Internet aux points de terminaison publics de votre charge de travail pourrait être interrompue.

  • Fournir du contenu (comme les pages web, les ressources statiques ou les fichiers multimédias) à une grande zone géographique sans utiliser un réseau de diffusion de contenu.

  • Ne pas se préparer aux attaques par déni de service distribué (DDoS). Les attaques DDoS risquent d’interrompre le trafic légitime et de réduire la disponibilité pour vos utilisateurs.

Avantages du respect de cette bonne pratique : la conception d’une connectivité réseau hautement disponible et résiliente garantit que votre charge de travail est accessible et disponible pour vos utilisateurs.

Niveau d’exposition au risque si cette bonne pratique n’est pas respectée : élevé

Directives d’implémentation

Le routage du trafic est au cœur de la mise en place d’une connectivité réseau hautement disponible pour vos points de terminaison publics. Pour vérifier que votre trafic est en mesure d’atteindre les points de terminaison, le DNS doit être capable de résoudre les noms de domaine à leurs adresses IP correspondantes. Utilisez un système de nom de domaine (DNS) hautement disponible et évolutif tel qu’Amazon Route 53 pour gérer les enregistrements DNS de votre domaine. Vous pouvez également utiliser les surveillances de l’état fournies par Amazon Route 53. Les surveillances de l’état permettent de s’assurer que votre application est accessible, disponible et fonctionnelle. Elles peuvent être configurées de manière à imiter le comportement de l’utilisateur, comme la demande d’une page web ou d’une URL spécifique. En cas de panne, Amazon Route 53 répond aux demandes de résolution DNS et dirige uniquement le trafic vers les points de terminaison en bonne santé. Vous pouvez également envisager d’utiliser les fonctionnalités de Geo DNS et de routage basé sur la latence offertes par Amazon Route 53.

Pour vérifier que votre charge de travail elle-même est hautement disponible, utilisez Elastic Load Balancing (ELB). Amazon Route 53 peut être utilisé pour cibler le trafic vers ELB, qui le distribue aux instances de calcul cibles. Vous pouvez également utiliser Amazon API Gateway avec AWS Lambda pour une solution sans serveur. Les clients peuvent également exécuter des charges de travail dans plusieurs Régions AWS. Avec un modèle actif/actif multisite, la charge de travail peut desservir le trafic provenant de plusieurs régions. Avec un schéma actif/passif multisite, la charge de travail sert le trafic provenant de la région active tandis que les données sont répliquées vers la région secondaire et deviennent actives en cas de panne dans la région principale. Les surveillances de l’état de Route 53 peuvent ensuite être utilisées pour contrôler le basculement DNS depuis n’importe quel point de terminaison d’une région principale vers un point de terminaison d’une région secondaire, en vérifiant que votre charge de travail est accessible et disponible pour vos utilisateurs.

Amazon CloudFront fournit une API simple pour distribuer du contenu avec une faible latence et des taux de transfert de données élevés en répondant aux demandes à l’aide d’un réseau d’emplacements périphériques dans le monde entier. Les réseaux de diffusion de contenu (CDN) desservent les clients en proposant un contenu situé ou mis en cache à un endroit proche de l’utilisateur. Cela améliore également la disponibilité de votre application, car la charge de contenu est transférée de vos serveurs vers les emplacements périphériques de CloudFront. Les emplacements périphériques et les caches périphériques régionaux conservent des copies en cache de votre contenu à proximité de vos utilisateurs, ce qui permet une récupération rapide et augmente l’accessibilité et la disponibilité de votre charge de travail.

Pour les charges de travail avec des utilisateurs dispersés géographiquement, AWS Global Accelerator améliore la disponibilité et les performances des applications. AWS Global Accelerator fournit des adresses IP statiques Anycast qui servent de point d’entrée fixe à votre application hébergée dans une ou plusieurs Régions AWS. Cela permet au trafic d’entrer sur le réseau mondial AWS aussi près que possible de vos utilisateurs, améliorant ainsi l’accessibilité et la disponibilité de votre charge de travail. AWS Global Accelerator surveille également l’état de santé des points de terminaison de vos applications en utilisant la surveillance de l’état TCP, HTTP et HTTPS. Toute modification de l’état ou de la configuration de vos points de terminaison permet la redirection du trafic utilisateur vers des points de terminaison sains qui offrent les meilleures performances et la meilleure disponibilité à vos utilisateurs. De plus, AWS Global Accelerator est conçu pour être isolé des pannes et utilise deux adresses IPv4 statiques qui sont desservies par des zones réseau indépendantes, ce qui augmente la disponibilité de vos applications.

Pour aider à protéger les clients contre les attaques DDoS, AWS fournit AWS Shield Standard. Shield Standard est activé automatiquement et protège contre les attaques d’infrastructure courantes (couches 3 et 4) telles que les inondations SYN/UDP et les attaques par réflexion afin de garantir la haute disponibilité de vos applications sur AWS. Pour bénéficier de protections supplémentaires contre des attaques plus sophistiquées et plus importantes (comme les inondations UDP), les attaques par épuisement d’état (comme les inondations TCP SYN), et pour aider à protéger vos applications fonctionnant sur Amazon Elastic Compute Cloud (Amazon EC2), Elastic Load Balancing (ELB), Amazon CloudFront, AWS Global Accelerator et Route 53, vous pouvez envisager d’utiliser AWS Shield Advanced. Pour se protéger contre les attaques au niveau de la couche application, comme les inondations HTTP POST ou GET, utilisez AWS WAF. AWS WAF peut utiliser les adresses IP, les en-têtes HTTP, le corps HTTP, les chaînes URI, l’injection SQL et les conditions de script intersite pour déterminer si une requête doit être bloquée ou autorisée.

Étapes d’implémentation

  1. Définir un DNS hautement disponible : Amazon Route 53 est un service web de système de nom de domaine (DNS) hautement disponible et évolutif. Route 53 connecte les demandes des utilisateurs aux applications Internet exécutées sur AWS ou sur site. Pour plus d’informations, consultez Configuration d’Amazon Route 53 en tant que service DNS.

  2. Configurez la surveillance de l’état : lorsque vous utilisez Route 53, vérifiez que seules les cibles saines sont résolubles. Commencez par la création de surveillance de l’état Route 53 et la configuration du basculement DNS. Il est important de tenir compte des aspects suivants lors de la mise en place des surveillances de l’état :

    1. Comment Amazon Route 53 détermine si une surveillance de l’état est saine

    2. Création, mise à jour et suppression de surveillances de l’état

    3. Surveillance du statut de la surveillance de l’état et obtention de notifications

    4. Bonnes pratiques relatives à Amazon Route 53 DNS

  3. Connectez votre service DNS à vos points de terminaison.

    1. Lorsque vous utilisez Elastic Load Balancing comme cible pour votre trafic, créez un enregistrement d’alias à l’aide d’Amazon Route 53 qui pointe vers le point de terminaison régional de votre équilibreur de charge. Pendant la création de l’enregistrement de l’alias, réglez l’option « Évaluer l’état de la cible » sur « Oui ».

    2. Pour les charges de travail sans serveur ou les API privées lorsqu’une passerelle API est utilisée, utilisez Route 53 pour diriger le trafic vers la passerelle API.

  4. Choisissez un réseau de diffusion de contenu.

    1. Pour diffuser du contenu en utilisant des emplacements périphériques plus proches de l’utilisateur, commencez par comprendre comment CloudFront diffuse le contenu.

    2. Démarrez avec une distribution CloudFront simple. CloudFront comprend alors l’endroit d’où vous souhaitez que le contenu soit diffusé, ainsi que les détails concernant le suivi et la gestion de la diffusion du contenu. Il est important de comprendre et de prendre en compte les aspects suivants lors de la mise en place de la distribution CloudFront :

      1. Fonctionnement de la mise en cache avec les emplacements périphériques CloudFront

      2. Augmentation de la proportion de demandes servies directement à partir des caches CloudFront (taux d’accès au cache)

      3. Utilisation d’Amazon CloudFront Origin Shield

      4. Optimisation de la haute disponibilité avec le basculement d’origine CloudFront

  5. Configurez la protection de la couche d’application : AWS WAF vous aide à vous protéger contre les exploits et les bots web courants qui peuvent affecter la disponibilité, compromettre la sécurité ou consommer des ressources excessives. Pour mieux comprendre, découvrez comment AWS WAF fonctionne et quand vous serez prêt à mettre en œuvre des protections contre les inondations HTTP POST AND GET de la couche d’application, consultez Démarrer avec AWS WAF. Vous pouvez également utiliser AWS WAF avec CloudFront. Consultez la documentation sur le fonctionnement de AWS WAF avec des fonctionnalités d’Amazon CloudFront.

  6. Configurez une protection DDoS supplémentaire : par défaut, tous les clients AWS bénéficient d’une protection contre les attaques DDoS les plus fréquentes au niveau de la couche réseau et de la couche transport qui ciblent votre site web ou votre application avec AWS Shield Standard, et ce sans frais supplémentaires. Pour une protection supplémentaire des applications connectées à Internet exécutées sur Amazon EC2, Elastic Load Balancing, Amazon CloudFront, AWS Global Accelerator et Amazon Route 53, vous pouvez prendre en compte AWS Shield Advanced et examiner des exemples d’architectures résilientes aux attaques DDoS. Pour protéger votre charge de travail et vos points de terminaison publics contre les attaques DDoS, consultez Démarrer avec AWS Shield Advanced.

Ressources

Bonnes pratiques associées :

Documents connexes :

Vidéos connexes :

Exemples associés :