हैड्स-ऑन लैब — DP-420 Microsoft Azure Cosmos DB Developer Specialty

अवलोकन

पूर्व-आवश्यकताएं

चरण

1. 1.प्रदाता, संसाधन समूह, नामकरण आदि

   मानक Azure ओपनर। Cosmos DB खाता नाम विश्व स्तर पर अद्वितीय होने चाहिए (DNS-प्रकाशित के रूप में <name>.documents.azure.com) — random_id टकराव से बचाता है।

   कॉपी

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       random  = { source = "hashicorp/random",  version = "~> 3.6" }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   resource "random_id" "suffix" {
     byte_length = 3
   }
   
   data "azurerm_client_config" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-dp-420"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-dp-420-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.निरंतर बैकअप के साथ Cosmos DB खाते का प्रावधान करें

   प्रोविज़न:

   • Azure Cosmos DB

   DP-420 Cosmos DB समाधान लागू करें, प्रबंधित करें और मॉनिटर करें सीधे बैकअप मोड का परीक्षण करता है: आवधिक (डिफ़ॉल्ट; हर 4 घंटे में 2 बैकअप 8 दिनों तक बनाए रखे जाते हैं) बनाम निरंतर (30 या 7 दिनों के भीतर किसी भी सेकंड में पॉइंट-इन-टाइम पुनर्स्थापना)। निरंतर उत्पादन-स्तर का उत्तर है; लागत कम रखने के लिए हम लैब के लिए 7-दिवसीय टियर का उपयोग करते हैं।

   local_authentication_disabled = true Entra ID प्रमाणीकरण को बाध्य करता है — DP-420 उत्पादन उत्तर। Cosmos का RBAC डेटा-प्लेन मॉडल सबसे अधिक परीक्षण किए गए परीक्षा विषयों में से एक है।

   कॉपी

   resource "azurerm_cosmosdb_account" "main" {
     name                = "cosmos-dp420-${random_id.suffix.hex}"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     offer_type          = "Standard"
     kind                = "GlobalDocumentDB" # Core (SQL) API — DP-420 default
   
     consistency_policy {
       consistency_level       = "BoundedStaleness"
       max_interval_in_seconds = 10
       max_staleness_prefix    = 100
     }
   
     geo_location {
       location          = azurerm_resource_group.main.location
       failover_priority = 0
     }
   
     backup {
       type                = "Continuous"
       tier                = "Continuous7Days" # cheapest continuous-backup tier
     }
   
     local_authentication_disabled = true # Entra auth only
   
     tags = local.tags
   }

3. 3.विचारशील विभाजन कुंजी + अनुक्रमण के साथ एक डेटाबेस और एक कंटेनर बनाएँ

   प्रोविज़न:

   • Azure Cosmos DB

   कंटेनर वह जगह है जहाँ DP-420 परीक्षा का सबसे अधिक समय खर्च करता है। हम उदाहरण के लिए /userId को विभाजन कुंजी के रूप में चुनते हैं — उच्च कार्डिनैलिटी (अच्छा वितरण), विशिष्ट एक्सेस पैटर्न मेरे उपयोगकर्ता के रिकॉर्ड प्राप्त करें है, इसलिए हम विभाजन के भीतर पढ़ते हैं (सबसे तेज़, सबसे सस्ता RU/s)।

   अनुक्रमण नीति अगला बड़ा DP-420 लागत लीवर है। डिफ़ॉल्ट रूप से Cosmos हर प्रॉपर्टी को अनुक्रमित करता है — तेज़ क्वेरी, महंगी लिखाई। हम /largeBlob/? (एक पाथ जो भारी असंरचित डेटा रखता है जिसे हम कभी क्वेरी नहीं करते) और /_etag/? (स्वचालित रूप से प्रबंधित, अनुक्रमित करने के लिए कोई मान नहीं) को बाहर करते हैं। कस्टम अनुक्रमण नीतियों का स्पष्ट रूप से भारी-लिखावट वाले वर्कलोड के लिए लागत-अनुकूलन उत्तर के रूप में परीक्षण किया जाता है।

   अधिकतम 1000 RU/s का ऑटस्केल — निष्क्रियता पर अधिकतम न्यूनतम का 10% बिल करता है (100 RU/s = ~$24/महीना)। एक वास्तविक उत्पादन डेटाबेस के लिए आप प्रति अनुरोध अपेक्षित RU/s को मॉडल करेंगे, निरंतर QPS से गुणा करेंगे, 1.5x सुरक्षा से गुणा करेंगे, उस संख्या पर अधिकतम सेट करेंगे।

   कॉपी

   resource "azurerm_cosmosdb_sql_database" "app" {
     name                = "appdb"
     resource_group_name = azurerm_resource_group.main.name
     account_name        = azurerm_cosmosdb_account.main.name
   
     autoscale_settings {
       max_throughput = 1000
     }
   }
   
   resource "azurerm_cosmosdb_sql_container" "user_events" {
     name                = "user-events"
     resource_group_name = azurerm_resource_group.main.name
     account_name        = azurerm_cosmosdb_account.main.name
     database_name       = azurerm_cosmosdb_sql_database.app.name
     partition_key_paths = ["/userId"]
   
     indexing_policy {
       indexing_mode = "consistent"
   
       included_path {
         path = "/*"
       }
   
       excluded_path {
         path = "/largeBlob/?"
       }
   
       excluded_path {
         path = "/_etag/?"
       }
     }
   
     default_ttl = -1 # explicit opt-in (-1 means no auto-expiry); set to seconds for TTL
   }

4. 4.RBAC के माध्यम से वर्तमान प्रिंसिपल को Cosmos DB डेटा-प्लेन एक्सेस प्रदान करें

   प्रोविज़न:

   • Azure Cosmos DB
   • Microsoft Entra ID

   चरण 2 से local_authentication_disabled = true के साथ, कंटेनर को पढ़ने या लिखने का एकमात्र तरीका Entra ID प्रमाणीकरण + Cosmos के डेटा-प्लेन RBAC के माध्यम से है। अंतर्निहित Cosmos DB Built-in Data Contributor भूमिका (GUID 00000000-0000-0000-0000-000000000002) खाता दायरे पर पूर्ण पढ़ने/लिखने की अनुमति देती है।

   DP-420 कंट्रोल-प्लेन बनाम डेटा-प्लेन भूमिका के अंतर का परीक्षण करता है: कंट्रोल-प्लेन RBAC (Azure RBAC) खाते को स्वयं प्रबंधित करता है (कंटेनर बनाएँ, थ्रूपुट बदलें); डेटा-प्लेन RBAC (Cosmos-विशिष्ट) कंटेनरों के अंदर दस्तावेज़ों को प्रबंधित करता है। वे अलग-अलग भूमिका असाइनमेंट हैं; एक दूसरे का अर्थ नहीं है।

   कॉपी

   resource "azurerm_cosmosdb_sql_role_assignment" "me_data_contributor" {
     resource_group_name = azurerm_resource_group.main.name
     account_name        = azurerm_cosmosdb_account.main.name
     role_definition_id  = "${azurerm_cosmosdb_account.main.id}/sqlRoleDefinitions/00000000-0000-0000-0000-000000000002"
     principal_id        = data.azurerm_client_config.current.object_id
     scope               = azurerm_cosmosdb_account.main.id
   }

क्लीनअप (Cleanup)