Étape 1 : Préparation du déploiement Azure

Attention : Pour éviter la perte de données, assurez-vous que l'infrastructure que vous utilisez ne supprime pas automatiquement les disques du cluster lors du redémarrage ou de l'arrêt du cluster. Si cette fonctionnalité est activée, veillez à la désactiver.

Abonnement et autorisations Azure

Le déploiement nécessite l'accès à un abonnement Azure et à un groupe de ressources avec le rôle RBAC Owner (Propriétaire). Le rôle Propriétaire est nécessaire pour créer une identité managée affectée par l'utilisateur avec le rôle Contributeur affecté à l'étendue Groupe de ressources. L'identité managée est nécessaire pour gérer les machines virtuelles (effectuer des actions de montée en puissance et de montée en puissance parallèle, appliquer la protection de l'instance, mettre à jour le système d'exploitation).

Vous pouvez vérifier l'attribution de votre rôle en procédant comme suit :

Groupe de ressources (Resource Group) → Contrôle d'accès (Access Control) (IAM) → Vérifier l'accès (Check Access) → Afficher mon accès (View My Access)

Quotas

Le déploiement enregistre un certain nombre de machines virtuelles Standard_D (à usage général), Standard_E et/ou Standard_NC (avec GPU). L'abonnement Azure présente un quota pour le nombre de cœurs qui peuvent être enregistrés pour la famille de machines virtuelles.

Certaines des machines virtuelles déployées doivent être dotées de disques SSD Premium et, selon la configuration, de disques SSD Ultra. Assurez-vous que ces disques SSD sont disponibles et ne sont bloqués par aucune stratégie.

Nous utilisons des pools élastiques SQL pour déployer les bases de données. Assurez-vous que les pools élastiques SQL ne sont bloqués par aucune stratégie.

Pour vérifier le quota d'abonnement, accédez à Utilisation + quotas (Usage + quotas) sur le portail Azure.

Remarque : Assurez-vous que votre quota est suffisant pour le déploiement d'Automation Suite, sinon le déploiement échouera. Demandez à l'augmenter en cliquant sur Demander une augmentation (Request Increase).

Protection des instances

Dans le cadre du processus d'installation, nous ajoutons une protection d'instance contre les opérations de groupes identiques à tous les nœuds du Groupe identique de serveurs. Étant donné que ces opérations sont effectuées à partir d'Azure, sans le contexte du serveur, le dysfonctionnement du cluster est évité. Nous fournissons des runbooks pour les opérations de gestion de cluster. Pour en savoir plus sur la protection des instances groupe identique, consultez la documentation Azure.

Résiliation d'instance

Important : la fermeture des instances de machine virtuelle de serveur entraînera très probablement une perte de données et entraînera le blocage du cluster. N'essayez pas de résilier les instances de machine virtuelle de serveur.

Nous fournissons une prise en charge de la résiliation d’instance pour les instances de machine virtuelle d’agent. Cela signifie que lorsqu'une instance de machine virtuelle d'agent est arrêtée, nous bloquons, drainons et supprimons ce nœud du cluster Automation Suite.

Nous exécutons un script sur chaque instance de machine virtuelle d'agent qui regroupe le service de métadonnées d'instance pour les événements de résiliation. Chaque fois que nous recevons un événement, nous déclenchons une commande cordon et une commande drain sur le nœud respectif, et un serveur exécute également une commande de suppression de nœud pour ce nœud spécifique.

Des journaux étendus sont disponibles pour ce processus. Vous pouvez trouver les journaux de chaque opération de terminaison de nœud sous le compte de stockage principal de déploiement dans le conteneur logs . Chaque fichier journal contient le nom du nœud et a le suffixe -termination.log .

Disponibilité de la région de la famille des machines virtuelles

Assurez-vous que les références SKU de machine virtuelle sont disponibles pour la région dans laquelle vous déployez.

Vous pouvez vérifier la disponibilité à l’adresse : Produits Azure par région.

Cluster certificate configuration

Le modèle Azure vous permet de fournir des certificats pour un domaine personnalisé que vous spécifiez lors du déploiement afin que vous n'ayez pas besoin de le faire manuellement après le déploiement. Cependant, vous devez vous assurer que les certificats .crt sont encodés en Base64 avant de les fournir.

Le script suivant génère les chaînes encodées en Base64 à partir d'un seul certificat .pfx (certificat de serveur). Vous pouvez ensuite utiliser ces chaînes lors du remplissage des paramètres du modèle. Vous pouvez exécuter ce script bash sur une machine Windows à l'aide du sous-système Windows pour Linux (Windows Subsystem for Linux). Il utilise openssl pour convertir les certificats. Gardez à l'esprit que le certificat de serveur (.pfx) doit répondre à certaines exigences.

Exécutez les commandes suivantes une par une, car certaines nécessitent le mot de passe du certificat .pfx :

pfxFile=<path of the pfx file>

# Key
openssl pkcs12 -in $pfxFile -nocerts -out serverCertKeyEncrypted.key
openssl rsa -in serverCertKeyEncrypted.key -out serverCertKeyDecrypted.key

# Server cert
openssl pkcs12 -in $pfxFile -clcerts -nokeys -out serverCert.crt

# CA Bundle:
openssl pkcs12 -in $pfxFile  -cacerts -nokeys -chain | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > caBundle.crt

# Converting to base64 and removing newlines
cat serverCertKeyDecrypted.key | base64 | tr -d '\n' > base64CertKey
cat serverCert.crt | base64 | tr -d '\n' > base64Cert
cat caBundle.crt | base64 | tr -d '\n' > base64CABundle

External Orchestrator certificates

Pour connecter AI Center à une installation Orchestrator externe, vous devez définir Connect AiCenter to an external Orchestrator sur true et fournir des certificats pour Orchestrator et Identity aux paramètres répertoriés dans la section Déploiement d'Automation Suite vers Azure (Deploying Automation Suite to Azure). Pour plus de détails sur la façon d'obtenir les certificats, consultez la section Certificats de chaîne (Chain certificates).

Pour coder les certificats en Base64, exécutez les commandes suivantes :

cat orchestrator.cer | base64 | tr -d '\n' > orchestratorCert
cat identity.cer | base64 | tr -d '\n' > identityCert

Pour enregistrer AI Center dans une installation Orchestrator externe, vous devez exécuter le runbook RegisterAiCenterExternalOrchestrator.

Résilience aux défaillances zonales dans un cluster en mode de production multi-nœuds compatible haute disponibilité

Par défaut, les modèles déploient les machines virtuelles sur autant de zones de disponibilité Azure que possible pour activer la résilience aux défaillances zonales dans un cluster de mode de production multi-nœuds compatible haute disponibilité.

Remarque :

Toutes les régions Azure ne prennent pas en charge les zones de disponibilité. Voir Régions Azure (Azure Geographies) pour plus de détails.

Les références SKU de machine virtuelle ont des restrictions de zones de disponibilité supplémentaires que vous pouvez vérifier à l'aide de la cmdlet de CLI. Voir Get-AzComputeResourceSku pour plus de détails.

Le cluster est considéré comme résilient aux défaillances zonales si les serveurs sont répartis sur trois zones de disponibilité Azure. Si la région Azure ne prend pas en charge les zones de disponibilité pour le type de machine virtuelle sélectionné pour les serveurs, le déploiement se poursuivra sans résilience de zone.

Dns

Le modèle enregistre un équilibreur de charge Azure avec une adresse IP publique et une étiquette DNS pour accéder aux services.

L'étiquette DNS appartient à Microsoft et doit avoir un format similaire à : <dnsName>.<regionName>.cloudapp.azure.com.

Nous déployons également une zone DNS privée, pour que les MV du cluster puissent résoudre plusieurs sous-domaines. Ceci est nécessaire pour le processus d'installation. Pour résoudre les enregistrements dans une zone DNS privée à partir du réseau virtuel, assurez-vous que le serveur DNS est défini sur Azure-provided ou 168.63.129.16.

Si vous souhaitez accéder au cluster via Internet, vous pouvez consulter Étape 3 : Étapes de post-déploiement.

Déploiement dans un réseau virtuel existant

Le modèle vous permet de déployer les nœuds dans un réseau virtuel existant. Cependant, le réseau virtuel doit avoir un sous-réseau qui répond aux exigences suivantes :

• dispose de suffisamment d'espace d'adressage libre pour accueillir tous les nœuds et l'équilibreur de charge interne ;
• connectivité sortante ; configuré de préférence via une passerelle NAT selon les recommandations de Microsoft ;
• autorise le trafic HTTPS sur le port 443 ;
• Facultatif: possède un point de terminaison de service configuré pour Microsoft.Storage. Cela est nécessaire si vous activez la sauvegarde au moment du déploiement.

Lors du déploiement dans un réseau virtuel existant, vous devez disposer du rôle RBAC de propriétaire pour créer une attribution de rôle de collaborateur dans son étendue. Cela est nécessaire pour l'opération d'actualisation de l'instance lors de la montée en puissance parallèle.

Sauvegarde

Le modèle vous permet d'activer la sauvegarde au moment du déploiement. Cela implique de créer un compte de stockage Microsoft avec une capacité de stockage variable (en fonction du nombre de nœuds de serveur - # of server nodes x 512 Gio) utilisé comme partage NFS et de configurer la sauvegarde pour le cluster. Par défaut, l'intervalle de sauvegarde est défini sur 90 minutes et l'intervalle de rétention est de 72 heures. Vous pouvez modifier les intervalles de sauvegarde et de rétention après le déploiement. Pour plus de détails, consultez BackupCluster.