微軟專家深度解析：Azure平臺虛擬化和安全機制
上一部分內容微軟專家深度解析：Azure運行模式。
平臺即服務功能
為什么如此復雜？嗯，首先它是Windows，其次該節點是自動進行維護的。Windows Azure系統執行的定期更新與其他Windows產品相同，一般每月一次，并要求重啟虛擬機。
用戶感興趣的部分：Azure要求運行兩個實例，并在其99.9%的正常運行時間內享受服務級別協議（SLA）。基本上每次實例升級更新時，微軟都實施了一個高可用性、不間斷容錯的措施。對配置的小規模更新和變更都無需重啟，但是被Russinovich稱為“VIP swaps”的操作卻需要重啟。
很明顯，這需要以用戶無法忽略或跳過的方式進行。在資源虛擬硬盤驅動器上安裝了類似的復雜更新程序。關閉一個實例、更新資源虛擬硬盤驅動器，然后是另一個實例。虛擬硬盤驅動器之間的差異使得進入Azure服務的新數據得到保留，并在每個虛擬機重啟時進行同步。
#p#
虛擬化和安全
我們運行的基礎是什么？當微軟向客戶推出Hyper-V之后，他們卻宣稱Azure與Hyper-V不兼容或不支持兩者的互操作。
事實上，它是Hyper-V的一個分支。Russinovich表示它基本上就是如同Azure操作系統一樣，為微軟所使用的硬件布置而量身定做的。
Russinovich表示虛擬機是Azure的安全邊界。在管理程序層面上，每個物理機上的主機代理都是得到信任的。該結構控制器操作系統也是得到信任的。用戶所控制的那部分（客戶代理）是不被信任的。虛擬機只通過負載平衡器和公共IP（用戶終端）進行通信。 因此，有些睿智的安全人士可能會充分享受這項計劃的樂趣。
結構控制器處理網絡安全，Hyper-V使用機器狀態等級（MSR）以驗證基本的機器完整性。那不是令人難以置信的豐富細節，同時也與Amazon基于Xen安全完全不同。這里有小部分關于Hyper-V安全性的內容。
如同對虛擬機的全部管理權限一樣（又稱為提升的權限），Azure新增加的功能證實了這種方法，Russinovich說：“我們都了解這樣一個事實，必須在安全性方面依賴于這個模型。”
是否用戶會感到安全和適用？用戶創建的新虛擬機角色實施略微有不同。
目前，Azure為用戶提供了創建自己Windows鏡像和在微軟云上運行它們的能力。這些虛擬機角色都由您自行創建（sysprep推薦），并上傳至您的blob存儲空間。當基于定制虛擬機上創建了一個服務，并啟動實例，結構控制器將不厭其煩地確保其冗余性。它會在虛擬硬盤驅動器上建立一個屬于您的文件和緩存副本，然后為每個所需的虛擬機創建三個如前文所述的虛擬硬盤驅動器。至此，您的工作已告一段落，微軟不會在Azure中為您打上補丁。
#p#
托管主機運行監測
Azure對實例進行監控：它周期性地每隔幾秒鐘Ping結構控制器，就是這樣。這里同樣也使用了容錯措施。您擁有兩個正在運行的實例（如果你操作正確。Azure會讓您運行一個實例，但那樣您就無法得到SLA)。如果有一個實例發生故障，實例運行監測超時，位于其他虛擬機上的差異虛擬硬盤驅動器將開始計時，而Azure則會重啟發生故障的虛擬機或在其他某個地方重新創建配置。然后同步變更，業務也重新恢復正常。
不要終止這些進程
現在我們已擁有了創建Azure角色的能力，Russinovich也解釋了Azure在虛擬機中運行的進程：WaAppHost.exe（工作角色）、WaWebHost.exe（Web角色）、coulddrivesvc.exe（所有角色）以及其他少數用于IIS配置等等的特殊進程w3wp.exe。所有這些進程之前都是用于限制用戶訪問的，但現在通過新的管理權限也可進行訪問。
除此之外的眾多功能都處于開發和測試階段，但是很快就能交付最終用戶使用。
Russinovich指出，這里所列出的操作仍然發生了顯著的變化。無論如何，他在PDC會議上為我們打開了一扇通往迷人云計算世界的大門，讓我們能夠了解云是如何運行。他比我（或者其他人都一樣）要更了解Amazon Web服務與應用或Google App Engine的工作原理。
#p#
名詞解釋
Azure：微軟公司的云基礎設施平臺
結構控制器：一組運行于Azure、用于控制配置和管理、經過改進的虛擬Windows Server2008鏡像。
故障域（Fabric Controller）：在Azure數據中心中的一組資源，如同一個單一服務器機柜一樣，被認為是無故障容錯的一個離散單元。默認狀態下至少應分置為位于兩個故障域中虛擬實例的服務。
角色（Role）：微軟為Azure虛擬機的一個特定配置所起的名字。該術語源自于Hyper-V。
服務（Service）：Azure讓用戶運行服務，然后在諸如網絡或工作者角色的某些預配置類型中運行的虛擬機實例。一個服務是一批全部由服務參數和策略所管理的實例。
Web角色（Web Role）：一個用于運行微軟Web服務器技術互聯網信息服務（IIS）的預配置實例。
工作者角色（Worker Role）：一個不運行IITS但是替代由最終用戶開發和/或上傳至虛擬機運行應用程序的預配置實例。
虛擬機角色（VM Role）：由用戶創建、不支持通過用戶門戶網站由用戶上傳和控制的Windows Server 2008虛擬機鏡像。與Web角色和工作者角色不同，這些都不是自動由Azure更新和維護的。
【編輯推薦】
- 微軟公布云計算平臺Azure收費模式細節
- 云計算意在長遠，微軟云計算服務Windows Azure已經啟用
- 技術透析：Windows Azure Platform框架與組成
- 微軟Windows Azure Platform技術解析
- 走近微軟云:SQL Server到Azure數據同步
- 當微軟Azure遭遇亞馬遜EC2：五大關鍵區別
