为 Azure SQL 托管实例配置故障转移组

要在 Azure 门户中为辅助实例创建虚拟网络，请按照以下步骤操作：

1. 检查主实例的地址空间。 在 Azure 门户中转到主实例的虚拟网络资源，然后在“设置”下选择“地址空间”。 检查地址范围下的范围：

   

2. 转到创建虚拟网络页，创建一个计划用于辅助实例的新的虚拟网络。

3. 在“创建虚拟网络”页的“基本信息”选项卡上：

   1. 选择要用于辅助实例的“资源组”。 如果资源组不存在，则创建一个新的资源组。
   2. 提供虚拟网络的名称，例如 vnet-sql-mi-secondary。
   3. 选择与主实例所在的区域配对的区域。

4. 在“创建虚拟网络”页的“IP 地址”选项卡上：

   1. 使用“删除地址空间”，删除现有的 IPv4 地址空间。
   2. 删除地址空间后，选择“添加 IPv4 地址空间”，添加新的空间，然后提供与主实例虚拟网络使用的地址空间不同的 IP 地址空间。 例如，如果当前的主实例使用的地址空间是 10.0.0.16，则输入 10.1.0.0/16 表示你要用于辅助实例的虚拟网络的地址空间。
   3. 使用“+ 添加子网”，添加具有默认值的默认子网。
   4. 使用“+ 添加子网”，添加一个名为 ManagedInstance 的空子网，该子网专用于辅助实例，使用与默认子网不同的地址范围。 例如，如果主实例使用的地址范围是 10.0.0.0 - 10.0.255.255，则为辅助实例的子网提供子网范围 10.1.1.0 - 10.1.1.255。

   

5. 使用“查看 + 创建”以检查设置，然后使用“创建”以创建新的虚拟网络。

虚拟网络准备好后，按照以下步骤在 Azure 门户中创建辅助实例：

1. 转到 Azure 门户中的创建 Azure SQL 托管实例。

2. 在“创建 Azure SQL 托管实例”页的“基本信息”选项卡上：

   1. 为与主实例配对的辅助实例选择一个区域。
   2. 选择一个与主实例的服务层级匹配的服务层级。

3. 在“创建 Azure SQL 托管实例”页的“网络”选项卡上，使用“虚拟网络/子网”下的下拉列表选择之前创建的虚拟网络和子网：

   

4. 在“创建 Azure SQL 托管实例”页的“其他设置”选项卡上，选择“是”以“用作故障转移辅助托管实例”，然后从下拉列表中选择相应的主实例。

   

5. 根据业务需求配置实例的其余部分，然后使用“查看 + 创建”创建该实例。

可以使用 PowerShell 创建虚拟网络和辅助实例。 有关同时执行这两项的完整 PowerShell 脚本示例，请查阅使用 PowerShell 将实例添加到故障转移组。

如果要使用 Azure PowerShell 创建辅助实例，请确保将 DnsZonePartner 值指定为主实例的区域 ID。

可以使用 Get-AzSqlInstance 命令参数化主实例的 DNS 区域 ID，然后将其传递给 DnsZonePartner New-AzSqlInstance 命令的参数：

# Get the DNS zone ID of the primary instance
$primaryManagedInstanceId = Get-AzSqlInstance -Name $primaryInstance -ResourceGroupName $resourceGroupName | Select-Object Id

1. 在 Azure 门户中转到主托管实例的“虚拟网络”资源。

2. 在“设置”下选择“对等互连”，打开“对等互连”页，然后使用命令栏中的“+ 添加”打开“添加对等互连”页。

   

3. 在“添加对等互连”页中，为以下设置输入或选择值：

   展开表

   设置	说明
   远程虚拟网络摘要
   对等互连链接名称	对等互连的名称在虚拟网络中必须唯一。 本文使用的是 Fog-peering。
   虚拟网络部署模型	选择“资源管理器”。
   我知道我的资源 ID	可以取消选中此框，除非知道资源 ID。
   订阅	从下拉列表中选择“订阅”。
   虚拟网络	从下拉列表中选择辅助实例的虚拟网络。
   远程虚拟网络对等互连设置
   允许“辅助虚拟网络”访问“主虚拟网络”	选中此框，允许在两个网络之间进行通信。 启用虚拟网络之间的通信可允许资源连接到任意虚拟网络，并以相同的带宽和延迟互相进行通信，就如同它们是连接到同一个虚拟网络一样。 这两个虚拟网络中的资源之间的所有通信都在 Azure 专用网络上进行。
   允许“辅助虚拟网络”接收来自“主虚拟网络”的转发流量	可以选中或取消选中此框，这两种方法都适用于本指南。 有关详细信息，请参阅创建对等互连。
   允许“辅助虚拟网络”中的网关或路由服务器将流量转发到“主虚拟网络”	可以选中或取消选中此框，这两种方法都适用于本指南。 有关详细信息，请参阅创建对等互连。
   启用“辅助虚拟网络”，以使用“主虚拟网络”的远程网关或路由服务器	取消选中此框。 有关其他可用选项的详细信息，请参阅创建对等互连。
   本地虚拟网络摘要
   对等互连链接名称	远程虚拟网络使用的同一对等互连的名称。 本文使用的是 Fog-peering。
   允许“主虚拟网络”访问“辅助虚拟网络”	选中此框，允许在两个网络之间进行通信。 启用虚拟网络之间的通信可允许资源连接到任意虚拟网络，并以相同的带宽和延迟互相进行通信，就如同它们是连接到同一个虚拟网络一样。 这两个虚拟网络中的资源之间的所有通信都在 Azure 专用网络上进行。
   允许“主虚拟网络”接收来自“辅助虚拟网络”的转发流量	可以选中或取消选中此框，这两种方法都适用于本指南。 有关详细信息，请参阅创建对等互连。
   允许“主虚拟网络”中的网关或路由服务器将流量转发到“辅助虚拟网络”	可以选中或取消选中此框，这两种方法都适用于本指南。 有关详细信息，请参阅创建对等互连。
   启用“主虚拟网络”，以使用“辅助虚拟网络”的远程网关或路由服务器	取消选中此框。 有关其他可用选项的详细信息，请参阅创建对等互连。

4. 使用“添加”来配置与所选虚拟网络的对等互连，并自动导航回“对等互连”页，该页面显示两个网络已连接：

   

在主托管实例和辅助托管实例的虚拟网络之间配置全局虚拟网络对等互连：

# Create global virtual network peering
$primaryVirtualNetwork  = Get-AzVirtualNetwork -Name $primaryVNet -ResourceGroupName $resourceGroupName

$secondaryVirtualNetwork = Get-AzVirtualNetwork -Name $secondaryVNet -ResourceGroupName $resourceGroupName
                  
Write-host "Peering primary VNet to secondary VNet..."
Add-AzVirtualNetworkPeering -Name primaryVnet-secondaryVNet1 -VirtualNetwork $primaryVirtualNetwork -RemoteVirtualNetworkId $secondaryVirtualNetwork.Id
 Write-host "Primary VNet peered to secondary VNet successfully."

Write-host "Peering secondary VNet to primary VNet..."
Add-AzVirtualNetworkPeering -Name secondaryVNet-primaryVNet -VirtualNetwork $secondaryVirtualNetwork -RemoteVirtualNetworkId $primaryVirtualNetwork.Id
Write-host "Secondary VNet peered to primary VNet successfully."

Write-host "Checking peering state on the primary virtual network..."
Get-AzVirtualNetworkPeering -ResourceGroupName $resourceGroupName -VirtualNetworkName $primaryVNet | Select PeeringState

Write-host "Checking peering state on the secondary virtual network..."
Get-AzVirtualNetworkPeering -ResourceGroupName $resourceGroupName -VirtualNetworkName $secondaryVNet | Select PeeringState

此代码片段使用以下命令：

若要在 Azure 门户中打开网络安全组 (NSG) 端口，请执行以下步骤：

1. 转到主实例的网络安全组资源。

2. 在“设置”下，选择“入站安全规则”。 检查你是否已经有了允许端口 5022 和范围 11000-11999 的流量的规则。 如果是，并且源满足业务需求，请跳过此步骤。 如果规则不存在，或者要使用其他源（例如更加安全的 IP 地址），请删除现有规则，然后从命令栏中选择“+ 添加”，从而打开“添加入站安全规则”窗格：

   

3. 在“添加入站安全规则”窗格中，输入或选择以下设置的值：

   展开表

   设置	建议的值	说明
   Source	IP 地址或服务标记	通信源的筛选器。 IP 地址是最安全的，建议用于生产环境。 而服务标记则适用于非生产环境。
   源服务标记	如果选择了服务标记作为源，则提供 VirtualNetwork 作为源标记。	默认标记是表示 IP 地址类别的预定义标识符。 VirtualNetwork 标记表示所有虚拟和本地网络地址空间。
   源 IP 地址	如果选择了 IP 地址作为源，则提供辅助实例的 IP 地址。	使用 CIDR 表示法（例如 192.168.99.0/24 或 2001:1234::/64）或 IP 地址（例如 192.168.99.0 或 2001:1234::）提供地址范围。 还可以使用 IPv4 或 IPv6 提供 IP 地址或地址范围的逗号分隔列表。
   源端口范围	5022	这指定此规则允许哪些端口流量。
   服务	自定义	该服务会指定此规则的目标协议和端口范围。
   目标端口范围	5022	这指定此规则允许哪些端口流量。 此端口应与源端口范围相匹配。
   操作	允许	允许在指定端口上进行通信。
   协议	TCP	确定端口通信协议。
   优先级	1200	规则按优先级顺序进行处理：数字越低，优先级越高。
   名称	allow_geodr_inbound	规则的名称。
   说明	可选	可以选择提供说明，或将此字段留空。

   选择“添加”，保存设置并添加新规则。

4. 重复这些步骤，为端口范围 11000-11999 添加另一个入站安全规则，其名称可以是 allow_redirect_inbound，优先级略高于 5022 规则，例如 1100。

5. 在设置下，选择出站安全规则。 检查你是否已经有了允许端口 5022 和范围 11000-11999 的流量的规则。 如果是，并且源满足业务需求，请跳过此步骤。 如果规则不存在，或者要使用其他源（例如更加安全的 IP 地址），请删除现有规则，然后从命令栏中选择“+ 添加”，从而打开“添加出战安全规则”窗格。

6. 对于“添加出站安全规则”窗格中的端口 5022 和范围 11000-11999，请使用与入站端口相同的配置。

7. 转到辅助实例的网络安全组，重复这些步骤，使两个网络安全组都具有以下规则：

   • 允许端口 5022 上的入站流量
   • 允许端口范围 11000-11999 上的入站流量
   • 允许端口 5022 上的出站流量
   • 允许端口范围 11000-11999 上的出站流量

可以使用 Add-AzNetworkSecurityRuleConfig PowerShell 命令来修改现有网络安全组，为这两个虚拟网络配置 NSG 规则。 有关配置这两个网络的完整 PowerShell 脚本示例，请查阅使用 PowerShell 将实例添加到故障转移组。

使用 Azure 门户为 SQL 托管实例创建故障转移组。

1. 在 Azure 门户的左侧菜单中选择“Azure SQL”。 如果 Azure SQL 不在列表中，请选择“所有服务”，然后在搜索框中键入“Azure SQL”。 （可选）选择“Azure SQL”旁边的星号，将其作为收藏项添加到左侧导航栏。

2. 选择要添加到故障转移组中的主托管实例。

3. 在“数据管理”下，选择“故障转移组”，然后使用“添加组”以打开“实例故障转移组”页：

   

4. 在“实例故障转移组”页上：

   1. 预先选择“主托管实例”。
   2. 在“故障转移组名称”下，输入一个故障转移组的名称。
   3. 在“辅助托管实例”下，选择要用作故障转移组中的辅助实例的托管实例。
   4. 从下拉列表中选择“读/写故障转移策略”。 建议手动控制故障转移。
   5. 将“启用故障转移权限”保留为“关闭”，除非打算将此副本仅用于灾难恢复。
   6. 使用“创建”，保存设置并创建故障转移组。

   

5. 开始部署故障转移组后，你将返回到“故障转移组”页面。 刷新页面将，显示部署完成后的新故障转移组。

使用 New-AzSqlDatabaseInstanceFailoverGroup 通过 PowerShell 为托管实例创建故障转移组。

# Create failover group
Write-host "Creating the failover group..."
$failoverGroup = New-AzSqlDatabaseInstanceFailoverGroup -Name $failoverGroupName -Location $location -ResourceGroupName $resourceGroupName -PrimaryManagedInstanceName $primaryInstance -PartnerRegion $drLocation -PartnerManagedInstanceName $secondaryInstance -FailoverPolicy Manual -GracePeriodWithDataLossHours 1
$failoverGroup

使用 Azure 门户测试故障转移组的故障转移。

1. 转到 Azure 门户中的主托管实例或辅助托管实例。

2. 在数据管理下，选择故障转移组。

3. 在“故障转移组”窗格中，记下哪个实例是主实例，哪个实例是辅助实例。

4. 在“故障转移组”窗格上，从命令栏中选择“故障转移”。 在有关 TDS 会话断开连接的警告上选择“是”，并记下许可含义。

   

5. 在“故障转移组”窗格上，故障转移成功后，实例会切换角色，从而使之前的辅助实例成为新的主实例，而之前的主实例将成为新的辅助实例。

   重要

   如果角色未切换，请检查实例与相关 NSG 之间的连接以及防火墙规则。 仅当角色切换后才继续执行下一步。

6. （可选）在“故障转移组”窗格上，使用“故障转移”切换回角色，从而使原始主实例重新成为主实例。

通过使用 PowerShell 故障转移到辅助副本，然后故障回复来测试计划的故障转移。

使用 Get-AzSqlDatabaseInstanceFailoverGroup 命令确认每个实例的角色：

# Verify the current primary role
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName -Location $location -Name $failoverGroupName

使用 Switch-AzSqlDatabaseFailoverGroup 故障转移到辅助实例。

# Failover the primary managed instance to the secondary role
Write-host "Failing primary over to the secondary location"
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName -Location $drLocation -Name $failoverGroupName | Switch-AzSqlDatabaseInstanceFailoverGroup
Write-host "Successfully failed failover group to secondary location"

# Verify the current primary role
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName -Location $drLocation -Name $failoverGroupName

使用 Get-AzSqlDatabaseInstanceFailoverGroup 命令确认每个实例的角色：

# Verify the current primary role
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName -Location $location -Name $failoverGroupName

或者，使用 Switch-AzSqlDatabaseFailoverGroup 命令故障回复到主实例。

# Fail primary managed instance back to primary role
Write-host "Failing primary back to primary role"
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName -Location $location -Name $failoverGroupName | Switch-AzSqlDatabaseInstanceFailoverGroup
Write-host "Successfully failed failover group to primary location"

# Verify the current primary role
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName -Location $location -Name $failoverGroupName

要使用 Azure 门户修改现有的故障转移组，请遵照以下步骤执行：

1. 转到 Azure 门户中的 SQL 托管实例。

2. 在“数据管理”下，选择“故障转移组”以打开“故障转移组”窗格。

3. 在“故障转移组”窗格中，从命令栏中选择“编辑配置”以打开“编辑故障转移组”窗格：

   

要修改现有的故障转移组，可使用 Set-AzSqlDatabaseInstanceFailoverGroup PowerShell 命令来修改故障转移组配置设置。

要修改现有的故障转移组，可使用 az sql instance-failover-group update Azure CLI 命令来修改故障转移组配置设置。

要修改现有的故障转移组，可使用创建或更新故障转移组 REST API 调用来修改故障转移组配置设置。