Como você torna um banco de dados relacional gerenciado altamente disponível?

Rode multi zona de disponibilidade, então existe um standby síncrono em outra zona e o failover é automático, normalmente em um ou dois minutos. Réplicas de leitura são para escalar leitura, não para disponibilidade, porque a replicação é assíncrona e pode atrasar. Sustente isso com backups automatizados e recuperação para um ponto no tempo, conecte pelo endpoint do cluster ou por um proxy para o failover ser tratado, e teste o failover de verdade em vez de confiar nele.

Multi zona de disponibilidade é o coração disso: um standby síncrono em uma segunda zona, e o serviço gerenciado o promove se o primário falhar, normalmente dentro de um ou dois minutos. A distinção que eu sempre deixo explícita é que uma réplica de leitura não é um alvo de failover, ela é assíncrona, então promover uma pode significar perder escritas recentes; ela existe para escala de leitura. Durabilidade é outra coisa ainda, então backups automatizados mais recuperação para um ponto no tempo, e eu copio isso para outra região, porque um banco altamente disponível que só existe em uma região continua a um dia ruim de sumir. A parte que as pessoas esquecem é a aplicação. O failover muda para qual host o endpoint aponta, então um pool de conexões segurando conexões velhas ou um runtime cacheando DNS para sempre vai continuar falhando depois de o banco já estar saudável. Então eu conecto pelo endpoint do cluster ou por um proxy, configuro validação de pool sensata e garanto que os retries sejam seguros. E eu testo, disparando um failover em um ambiente inferior e cronometrando quanto a aplicação leva para se recuperar, porque esse número é sempre pior que o anunciado.