Informazioni sulla modalità di coordinamento dell'attivazione del centro dati

Si applica a: Exchange Server 2010 SP2, Exchange Server 2010 SP3

Ultima modifica dell'argomento: 2011-09-01

La modalità di coordinamento dell'attivazione del centro dati (DAC) è l'impostazione di una proprietà di un gruppo di disponibilità del database (DAG). La modalità DAC è disabilitata per impostazione predefinita e deve essere abilitata per tutti i gruppi di disponibilità del database con due o più membri che utilizzano la replica continua. La modalità DAC non deve essere abilitata per i DAG in modalità di replica di terze parti a meno che non sia specificato dal fornitore di terze parti.

La modalità DAC viene utilizzata per controllare il comportamento di montaggio del database di avvio in presenza di un errore irreversibile che coinvolge il gruppo di disponibilità del database (ad esempio, il guasto totale di uno dei data center). Se la modalità DAC non è abilitata e si verifica un errore che coinvolge più server nel gruppo DAG, quando dopo l'errore viene ripristinata la maggior parte dei membri DAG, il gruppo DAG si riavvierà e riproverà a installare i database. In una configurazione multi-datacenter, questo comportamento potrebbe provocare la sindrome split brain, una condizione che si verifica quando tutte le reti smettono di funzionare e i membri DAG non possono più scambiarsi i segnali heartbeat. La sindrome split brain si può verificare anche quando la connettività di rete tra i datacenter viene interrotta. È possibile evitare questa sindrome e mantenere il gruppo DAG operativo, facendo in modo che la maggior parte dei membri del gruppo DAG (e, nel caso di gruppi DAG con un numero pari di membri, il server di controllo) sia sempre disponibile e in grado di interagire. Quando la maggioranza dei membri è in comunicazione, si dice che il gruppo DAG raggiunge il cosiddetto quorum.

Ad esempio, si prenda il caso in cui il primo datacenter contenga due membri e il server di controllo del gruppo DAG e il secondo datacenter contenga altri due membri del gruppo DAG. Se viene interrotta l'alimentazione del primo data center e si attiva il gruppo di disponibilità del database nel secondo data center (ad esempio, attivando il server di controllo alternativo nel secondo data center), qualora il primo data center venga ripristinato senza connettività di rete al secondo data center, i database attivi nel gruppo di disponibilità del database potrebbero entrare in una condizione di split brain.

Funzionamento della modalità DAC

La modalità DAC è progettata per prevenire la sindrome split brain con l'inclusione di un protocollo chiamato Datacenter Activation Coordination Protocol (DACP). Dopo un errore catastrofico, quando il gruppo DAG si ripristina, non installerà automaticamente i database anche se il gruppo ha il quorum. Il protocollo DACP viene utilizzato invece per stabilire quale sia lo stato corrente del gruppo DAG e se Active Manager deve provare a installare i database.

La modalità DAC può essere intesa come livello applicativo del quorum per l'installazione dei database. Per comprendere lo scopo del protocollo DACP e il suo funzionamento, è importante capire lo scenario primario in cui si trova a interagire. Si consideri uno scenario con due datacenter. Si supponga che vi sia una totale interruzione di alimentazione al datacenter primario. In tal caso, tutti i server e la rete WAN non funzionano, quindi l'organizzazione prende la decisione di attivare il datacenter di standby. In quasi tutti gli scenari di ripristino, quando viene ripristinata l'alimentazione al datacenter primario, in genere la connettività WAN non viene subito ripristinata. Questo significa che i membri del gruppo DAG nel datacenter primario verranno di nuovo alimentati, ma non potranno comunicare con i membri del gruppo DAG nel datacenter di standby attivato. Il datacenter primario deve contenere sempre la maggioranza dei votanti del quorum del gruppo DAG, il che significa che quando viene ripristinata l'alimentazione, anche in assenza della connettività WAN con i membri del gruppo DAG nel datacenter di standby, i membri del gruppo DAG nel datacenter primario hanno la maggioranza e quindi il quorum. Questo rappresenta un problema perché con il quorum questi server potrebbero essere in grado di installare i loro database, il che potrebbe evidenziare una divergenza dagli effettivi database attivi che sono installati al momento nel datacenter di standby attivato.

Il protocollo DACP è stato creato per risolvere questo problema. Active Manager salva un bit in memoria (0 o 1) che indica al gruppo DAG se è autorizzato a installare i database locali assegnati come attivi sul server. Quando un gruppo DAG è in modalità DAC (un qualsiasi gruppo DAG con tre o più membri), ogni volta che Active Manager si avvia il bit è impostato su 0, il che significa che non è autorizzato a installare i database. Poiché è in modalità DAC, il server deve provare a comunicare con tutti gli altri membri del gruppo DAG che conosce affinché un altro membro del gruppo DAG fornisca una risposta alla domanda se può installare i database locali assegnati ad esso come attivi. La risposta arriva sotto forma di impostazione del bit per altri Active Manager nel gruppo DAG. Se un altro server risponde che il suo bit è impostato su 1, vuol dire che i server sono autorizzati a installare i database, quindi il server che si avvia imposta il suo bit su 1 e installa i database.

Ma quando si ristabilisce l'alimentazione al datacenter primario dopo un'interruzione ripristinando i server ma non la connettività WAN, tutti i membri del gruppo DAG nel datacenter primario avranno il valore 0 come bit DACP e quindi nessun dei server in fase di riavvio nel datacenter ripristinato installerà i database, perché nessuno di loro può comunicare con un membro del gruppo DAG che ha il valore 1 come bit DACP.

Modalità DAC per i DAG con due membri

I DAG con due membri hanno in sé delle limitazioni che impediscono al bit DACP da solo di proteggersi completamente dalla sindrome split brain a livello dell'applicazione. Per i gruppi di disponibilità del database con due soli membri, la modalità DAC utilizza anche il tempo di avvio del server di controllo alternativo del gruppo di disponibilità del database per determinare se è possibile montare i database all'avvio. L'ora di avvio del server di controllo alternativo viene confrontata con l'ora in cui il bit DACP è stato impostato su 1.

• Se l'ora di impostazione del bit DACP è precedente all'ora di avvio del server di controllo alternativo, il sistema suppone che il membro del gruppo di disponibilità del database e il server di controllo siano stati riavviati contemporaneamente (magari a causa di un'interruzione dell'alimentazione nel data center primario) e al membro del gruppi di disponibilità del database non viene consentito il montaggio dei database.

• Se l'ora di impostazione del bit DACP è successiva all'ora di avvio del server di controllo alternativo, il sistema suppone che il membro del gruppo di disponibilità del database sia stato riavviato per qualche altra ragione (magari un'interruzione programmata per effettuare la manutenzione, un arresto anomalo o un'interruzione dell'alimentazione isolata al membro del gruppo di disponibilità del database) e quindi al membro del gruppo viene consentito il montaggio dei database.

Altri benefici della modalità DAC

Oltre ad impedire la sindrome split brain a livello dell'applicazione, anche la modalità DAC abilita l'uso dei cmdlet della resilienza incorporata del sito utilizzati per eseguire i passaggi di datacenter. Ad esempio:

• Stop-DatabaseAvailabilityGroup

• Restore-DatabaseAvailabilityGroup

• Start-DatabaseAvailabilityGroup

L'esecuzione di un passaggio di datacenter per i DAG che non sono in modalità DAC comporta l'uso di una combinazione di strumenti Exchange  e strumenti di gestione cluster.

Per ulteriori informazioni sugli switchover dei datacenter, vedere Passaggi centro dati.

Abilitazione della modalità DAC

La modalità DAC può essere abilitata solo con Exchange Management Shell. In particolare, è possibile utilizzare il cmdlet Set-DatabaseAvailabilityGroup per abilitare e disabilitare la modalità DAC, come illustrato nell'esempio seguente.

Set-DatabaseAvailabilityGroup -Identity DAG2 -DatacenterActivationMode DagOnly

Nell'esempio precedente, un DAG denominato DAG2 viene abilitato per la modalità DAC.

Per ulteriori informazioni sull'abilitazione della modalità DAC, vedere Configurazione delle proprietà del gruppo di disponibilità del database e Set-DatabaseAvailabilityGroup.

 ©2010 Microsoft Corporation. Tutti i diritti riservati.