XenServerのHA機能には、仮想マシンレベルとホストレベルの2段階があるが、今回は、ホストレベルのHA機能における仮想マシンの再起動優先順位について解説する（HA機能の各レベルの機能については、「補足1」を参照のこと）。

解説

　XenServerでは、仮想マシンの再起動がリソースの観点から保証されているかどうかのチェックや、再起動時の動作制御が可能だ。プール内の各仮想マシンに対し、再起動の必要性や順序を設定できる。この設定を「フェイルオーバープラン」と呼ぶ。

　XenServerは、フェイルオーバープランを保証するために、「XenServerのホスト障害を何台まで許容するか」を自動で計算する。この台数のことをフォールトトレラント数と呼ぶ（追加の仮想マシンがプロビジョニングされれば、その時点で再計算する）。フォールトトレラント数までのホスト障害であれば、設定したフェイルオーバープランの遂行が保証される。管理者は、フォールトトレラント数を絶えずチェックしながら運用する必要がある。また、管理者がフォールトトレラント数を設定することもできる。保証されない状態になれば、その時点でアラートを自動で出す。この状態をオーバーコミット状態と呼ぶ。

　フェイルオーバープランは各仮想マシンに対して、以下の4段階で設定できる。

　設定のGUIは以下の通り（XenCenterの［HA］タブの［Configure HA］ボタンをクリック）。

　各選択肢に対して設定されるパラメータとその値は以下のようになっている。

　これらの優先順位の値は、コマンドラインで設定・確認できる。起動の必要性を「ha-always-run」、起動の順序を「ha-restart-priority」に格納している。下記は各パラメータを設定する例である。

　「ha-restart-priority」のパラメータは、上記のようにGUIでは「Restart First」「Restart」でそれぞれ「0」「1」と設定できるが、コマンドでは「2」「3」の値も設定でき、より詳細に順序を制御できる。このパラメータの値が小さい仮想マシンから順に起動する仕組みだ。実際の運用でこの順位付けの機能は非常に重要な役割を果たす。

　障害のあったXenServerホスト上に、仮想スイッチや仮想ルータなどのネットワーク仮想アプライアンスや、ライセンスサーバ、認証サーバなどシステム全体に影響を及ぼす仮想マシンがあれば、高いプライオリティで即再起動させる必要があるだろう。起動の順序に制御が必要な環境の場合にもこの機能は有効に働く。

　ちなみにこのケースでは、フォールトトレラント数が「2」である。つまり、プール内の各仮想マシンに設定されているフェイルオーバープランに対して、XenServerのホスト2台までは障害を起こしても再起動が保証されることになる。以下が、フォールトトレラント数を設定するコマンドである。

　また、以下がフォールトトレラント数を確認するコマンドである。

　簡単ではあるが、HA機能によるサービス復旧時の制御について解説した。しかしながら実運用の中で考慮しなければならない点も多くあるので、XenServerのドキュメント「Documentation for XenServer 5.6 FP1」を参照してほしい。

補足解説1：XenServerのHA機能の仕組みと動作

　XenServerのHA機能の仕組みと動作を簡単に説明する。HA機能は障害を監視して、自動的なシステム復旧によってサービスの可用性を高めるためのものだ。HA機能はXenServerプールと呼ばれる、リソースを共有したりXenServerを一元管理するための論理的グループに対して設定を有効化する。

　HA機能は、2段階のレベルで可用性を提供する。

　1つ目は、XenServerホスト内の仮想マシンのレベルである。ホスト内において何らかの障害で仮想マシンが停止した場合、仮想マシンを再起動することでサービス停止を最低限に抑える。

　2つ目は、ホストレベルの可用性である。プール内の各XenServerは管理ネットワーク上でのハートビートや共有ストレージへのアクセスチェックを行ってプール内のホストの障害を検知している。この障害検知を基にホストの障害を判断し、障害のあるホスト上の仮想マシンを他のホスト上で再起動させる。

　障害のあるホスト上で稼働していた仮想マシンは、同じXenServerプール内の別のホスト上で再起動されサービスを復旧させる。だが、仮想マシンが再起動するためには別のホストのリソースを利用する。つまり、プール内のリソースの利用状況によっては、全ての仮想マシンが再起動できるとは限らない。HA機能を実装していても、サービスが停止することもあるため、管理者は仮想マシンが想定通りに再起動できるかどうかを絶えずチェックしておかなければならない。そのためにフェイルオーバープランとフォールトトレラント数を設定する。

補足解説2：

　HA構成の要件の1つが共有ディスクを持っていることであるが、共有ディスクには各XenServerからのディスクアクセスの状態をチェックするためのハートビートボリュームが構成される。このボリュームの共有ディスクの形式には、iSCSIかファイバーチャネルボリュームが必要になる（XenServer 5.6 SP2時点）。

小林伸睦（こばやし のぶちか）

シトリックス・システムズ・ジャパン システムズエンジニアリング本部所属

XenDesktop、XenApp、XenServerを中心とした仮想化ソリューションの提案活動、ビジネスパートナーへの技術支援などプリセールス全般に従事する。

Citrix Blog for Nobuchika Kobayashi

Hyper-Vのバックアップ戦略の鍵を握るVSS