Azure 虚拟机

Q: Azure 虚拟机 的最佳实践有哪些？

Azure 虚拟机 的最佳实践包括：生产环境绝不对 0.0.0.0/0 开放 SSH（22）或 RDP（3389）—— 用 Azure Bastion 通过 TLS 安全 RDP/SSH，虚拟机无需公网 IP。；使用托管磁盘（默认）而非非托管 VHD —— 自动处理复制、快照和加密。；为虚拟机打上 owner、cost-center、environment 标签；用 Azure 成本管理告警捕获超大虚拟机的失控支出。。其中首条「生产环境绝不对 0.0.0.0/0 开放 SSH（22）或 RDP（3389）—— 用 Azure Bastion 通过 TLS 安全 RDP/SSH，虚拟机无需公网 IP。」应作为团队默认规范写入 IaC 模板。

IaaS 计算服务，提供 Linux 和 Windows 虚拟机，数百种规格，临时 OS 磁盘、Spot 定价和邻近放置组以实现低延迟集群。

Azure进阶

为什么

虚拟机为无法在 PaaS 中运行的软件提供完整操作系统控制 —— 遗留应用、自定义内核、GPU ML 负载和集群数据库。Azure 提供 Spot 虚拟机最高 90% 折扣用于可中断负载，以及临时 OS 磁盘实现快速重置。Azure holds 21% cloud market share (Synergy Research Q4 2024)。

Azure 是拥有 Microsoft 365 / Active Directory 资产的企业的默认选择 — 95% 的财富 500 强使用 Azure。AKS 和 Cosmos DB 对 .NET 工作负载是一等公民。

何时使用

需要完整操作系统访问、PaaS 不支持的自定义软件、GPU 实例或迁移时使用虚拟机。Web 应用优先 App Service/Functions，容器优先 AKS，容忍驱逐的批处理/CI 作业用 Spot 虚拟机。

如何做

1. 创建资源组和带子网的 VNet。 2. 用 az vm create 创建虚拟机，选择镜像（UbuntuLTS、Win2019Datacenter）和规格。 3. 通过 NSG 规则开放端口（生产环境绝不对 0.0.0.0/0 开放 22）。 4. 挂载数据磁盘用于持久存储。 5. 启用启动诊断和 Azure Monitor。 6. 用 cloud-init 或自定义脚本扩展在首次启动时预配。 ```bash az vm create --name myvm --resource-group rg --image Ubuntu2204 --size Standard_D2s_v5 --vnet-name myvnet --subnet default --admin-username azureuser --ssh-key-values ~/.ssh/id_rsa.pub --public-ip-sku Standard az vm open-port --name myvm --resource-group rg --port 80 ```

示例

cloud-init 在首次启动时安装 Docker 并运行 nginx： ```yaml #cloud-config package_update: true packages: [docker.io] runcmd: - systemctl enable --now docker - docker run -d --name web --restart unless-stopped -p 80:80 nginx:stable ``` 用此 cloud-init 创建虚拟机： ```bash az vm create --name myvm --resource-group rg --image Ubuntu2204 --size Standard_B2s --custom-data ./cloud-init.yaml --admin-username azureuser --ssh-key-values ~/.ssh/id_rsa.pub ```

常见问题

⚠SSH 连接被拒绝/超时 —— NSG 阻止了端口 22 或公网 IP 为 Standard 且未分配；验证 NSG 入站规则和虚拟机运行状态。
⚠虚拟机规格大但慢 —— 可能是 OS 磁盘 IOPS 限制；高 IOPS 用 Premium SSD 或 Ultra Disk，数据放独立数据磁盘。
⚠Spot 虚拟机作业中被驱逐 —— Spot 是尽力而为；长作业需检查点，或用定义的驱逐策略并在驱逐信号时重新部署。

最佳实践

✓生产环境绝不对 0.0.0.0/0 开放 SSH（22）或 RDP（3389）—— 用 Azure Bastion 通过 TLS 安全 RDP/SSH，虚拟机无需公网 IP。
✓使用托管磁盘（默认）而非非托管 VHD —— 自动处理复制、快照和加密。
✓为虚拟机打上 owner、cost-center、environment 标签；用 Azure 成本管理告警捕获超大虚拟机的失控支出。

常见问题解答

什么是Azure 虚拟机？它解决什么问题？

IaaS 计算服务，提供 Linux 和 Windows 虚拟机，数百种规格，临时 OS 磁盘、Spot 定价和邻近放置组以实现低延迟集群。它可帮助开发者在不自建基础设施的前提下完成部署、存储与扩展，是云服务选型的核心参考。

如何在 5 分钟内上手Azure 虚拟机？

两步即可跑通：① 创建资源组和带子网的 VNet。；② 用 az vm create 创建虚拟机，选择镜像（UbuntuLTS、Win2019Datacenter）和规格。。建议先用免费套餐验证流程，再接入生产环境。

Azure 虚拟机最容易踩的坑是什么？

最高频的问题是：SSH 连接被拒绝/超时 —— NSG 阻止了端口 22 或公网 IP 为 Standard 且未分配；验证 NSG 入站规则和虚拟机运行状态。。建议在上线前用 checklist 逐项核对，并在 CI 中加入策略与配置扫描。

Azure 虚拟机的最佳实践有哪些？

Azure 虚拟机的最佳实践包括：生产环境绝不对 0.0.0.0/0 开放 SSH（22）或 RDP（3389）—— 用 Azure Bastion 通过 TLS 安全 RDP/SSH，虚拟机无需公网 IP。；使用托管磁盘（默认）而非非托管 VHD —— 自动处理复制、快照和加密。；为虚拟机打上 owner、cost-center、environment 标签；用 Azure 成本管理告警捕获超大虚拟机的失控支出。。其中首条「生产环境绝不对 0.0.0.0/0 开放 SSH（22）或 RDP（3389）—— 用 Azure Bastion 通过 TLS 安全 RDP/SSH，虚拟机无需公网 IP。」应作为团队默认规范写入 IaC 模板。

Azure 虚拟机如何控制成本与避免账单意外？

三招防超支：① 为所有资源打 env/team 标签并启用账单告警；② 用预算阈值触发 Slack/邮件通知；③ 定期用 Cost Explorer 审查闲置资源并清理。Azure 虚拟机多数提供免费套餐，先在免费额度内验证再放量。