Data Domain: Veelgestelde vragen over retentievergrendeling

• Governance: De minst strikte van de twee retentievergrendelingsfuncties (dat wil zeggen dat vergrendelingen tegen bestanden indien nodig kunnen worden teruggedraaid).
• Naleving: De strengste van de twee functies die voldoen aan verschillende gemeenschappelijke wettelijke normen. Dat wil zeggen dat vergrendelingen tegen bestanden niet kunnen worden teruggedraaid. De DDR moet geconfigureerd zijn met een 'security officer' gebruiker die bepaalde commando's moet authenticeren. Er zijn verschillende beperkingen voor andere functionaliteit om te voorkomen dat vergrendelde gegevens worden verwijderd of vergrendelingen vroegtijdig worden teruggedraaid.

• De NFS-, CIFS- en DD Boost-protocollen worden volledig ondersteund tegen MTrees met behulp van retentievergrendelingsbeleid of nalevingsmodus.
• Het Virtual Tape Library (VTL)-protocol wordt alleen ondersteund tegen MTrees met behulp van de retentievergrendelingsgovernancemodus. Automatische retentievergrendeling wordt niet ondersteund op Data Domain VTL. Raadpleeg de Beheergids voor Data Domain om te bepalen hoe u retentievergrendelde tapes ontgrendelt, zodat ze kunnen worden beschreven.

• SEC 17a-4(f)
• CFTC-regel 1.31b
• FDA 21 CFR Deel 11
• Sarbanes-Oxley-wet
• IRS 98025 en 97-22
• ISO-norm 15489-1
• MoREQ2010

• Er wordt een Retention Lock Governance-licentie toegevoegd aan de DDR.
• Retention lock governance-modus is ingeschakeld voor elke vereiste MTree:     

# mtree retention-lock enable mode governance mtree [mtree]

• Er zijn specifieke instructies voor sommige nieuwere Data Domain-modellen met iDRAC.
• Er wordt een nalevingslicentie voor retentievergrendeling toegevoegd aan de DDR.
• Er moet een gebruiker met de rol van 'beveiliging' worden aangemaakt (ervan uitgaande dat zo'n gebruiker niet bestaat):     

(ADMIN USER) # user add [username] role security

•  De gebruiker met de rol van 'beveiliging' moet inloggen op de DDR en autorisatie van de beveiligingsgebruiker inschakelen:     

(SECURITY USER): # authorization policy set security-officer enabled

• Het systeem moet worden geconfigureerd voor de nalevingsmodus voor retentievergrendeling. Zodra de volgende opdracht is voltooid, wordt het systeem automatisch opnieuw opgestart:     

(ADMIN USER) # system retention-lock compliance configure

• Nadat het systeem opnieuw is opgestart, moet de nalevingsmodus voor retentievergrendeling op het systeem zijn ingeschakeld:     

(ADMIN USER) # system retention-lock compliance enable

• Retentievergrendelingsnalevingsmodus is ingeschakeld voor elke vereiste MTree:

(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]

Hoe is het mogelijk om te bepalen voor welke MTrees retentievergrendeling is ingeschakeld?
MTrees met retentievergrendeling ingeschakeld worden aangegeven in de uitvoer van'mtree list', bijvoorbeeld:     

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rich-retention-lock                 0.0   RW/RLGE   -
/data/col1/rl_test                             0.0   RW/RLGD   -
/data/col1/rl_test_comp                        0.0   RW/RLCE   -
/data/col1/test                                3.1   RW/RLGE   -
...
---------------------------------   --------------   -------   -----------
...
 RLGE : Retention-Lock Governance Enabled
 RLGD : Retention-Lock Governance Disabled
 RLCE : Retention-Lock Compliance Enabled

Kan een MTree met Retention Lock Governance ingeschakeld worden geconverteerd naar Retention Lock Compliance?
Zoals vermeld in de DDOS-beheerhandleiding is dit niet mogelijk.

Kan een MTree met ingeschakelde Retention Lock Compliance worden geconverteerd naar Retention Lock Governance?
Zoals vermeld in de DDOS-beheerhandleiding is dit niet mogelijk.

Hoe worden bewaar- of vergrendelingsperioden voor bestanden ingesteld?
Zodra een retentievergrendeling is ingeschakeld voor een MTree, moet een minimale en maximale retentieperiode worden ingesteld. Deze perioden bepalen de minimale en maximale tijd dat een bestand binnen de MTree kan worden vergrendeld. Bijvoorbeeld:     

# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]

Perioden kunnen als volgt in verschillende eenheden worden gegeven:     

• 1 min
• 1 uur
• 1 dag
• 1 maand
• 1 jaar

Hoe kunnen bestaande bewaartermijnen worden weergegeven?
Dit kan worden gedaan met behulp van de volgende twee opdrachten:     

# mtree retention-lock show min-retention-period mtree [mtree]
# mtree retention-lock show max-retention-period mtree [mtree]

Bijvoorbeeld:     

sysadmin@dd630# mtree retention-lock show min-retention-period mtree /data/col1/rl_test
Retention-lock min-retention-period of mtree /data/col1/rl_test is: 720 minutes.
sysadmin@dd630# mtree retention-lock show max-retention-period mtree /data/col1/rl_test
Retention-lock max-retention-period of mtree /data/col1/rl_test is: 30 days.

Hoe worden bestanden binnen een MTree met retentievergrendeling vergrendeld?

• Wanneer retentievergrendeling is ingeschakeld voor een MTree, worden bestaande bestanden binnen de MTree niet automatisch vergrendeld (dat wil zeggen dat alle bestaande bestanden lees- of schrijfbaar blijven).
• Wanneer een nieuw bestand wordt geschreven naar een MTree terwijl retentievergrendeling is ingeschakeld, wordt het bestand niet automatisch vergrendeld voor retentie. Dat wil zeggen dat het nieuwe bestand blijft zoals lezen of schrijven.

• Als u een specifiek bestand wilt vergrendelen, moet de tijd van het bestand worden gewijzigd zodat deze overeenkomt met de datum en moet de tijd waarop het bestand wordt vergrendeld, worden vergrendeld. Dat is de datum en tijd tot wanneer het bestand alleen-lezen moet blijven. Totdat de tijd op deze manier wordt gewijzigd, kan het bestand niet worden vergrendeld (en kan het worden gewijzigd of verwijderd).

De tijd van een bestand kan worden gewijzigd vanaf een NFS- of CIFS-client met behulp van de opdracht 'touch':

# touch -a -t [expiry time] [file to be locked]

Als u bijvoorbeeld een tijd van /data/col1/rl_test/testfile wilt instellen op 07:05 op 8 juni: 

# touch -a -t 06080705 /data/col1/rl_test/testfile

De periode van de huidige tijd tot de toekomstige tijd moet binnen de minimale en maximale bewaartermijnen voor de MTree vallen. Anders wordt er een fout gegenereerd bij het wijzigen van de bestanden tegelijkertijd: 

# touch -a -t 08080705 /data/col1/rl_test/testfile
touch: setting times of `/data/col1/rl_test/testfile': Permission denied

Een overeenkomstig bericht wordt ook weergegeven in de DDFS-logboekbestanden (Data Domain File System):     

06/07 13:44:57.197 (tid 0x2b28ee5258c0): Attempt to set atime of /data/col1/rl_test/testfile to larger than maximum retention period of mtree.

CIFS-clients (Windows) bevatten standaard geen aanraakopdracht of hulpprogramma, maar verschillende van dergelijke hulpprogramma's kunnen gratis worden gedownload van verschillende websites van derden.

Welke back-upapplicaties ondersteunen het automatisch bewaren van vergrendelingsbestanden nadat ze naar een DDR zijn geschreven?
Data Domain Retention Lock is compatibel met de industriestandaard, op NAS gebaseerde Write-Once-Read-Many (WORM)-protocollen. Integratie is gekwalificeerd met archiefapplicaties zoals Symantec Enterprise Vault, SourceOne, Cloud Tiering Appliance of DiskXtender.

Voor Dell NetWorker worden zowel de governance- als compliancemodus ondersteund.

Vanaf juni 2024 ondersteunen recente Avamar-versies zowel Data Domain Retention Lock Compliance als Governance) als onderdeel van de Avamar-functie "Immutable Backups". Raadpleeg het onderstaande artikel en de Avamar-documentatie voor meer informatie:
Avamar en Data Domain: Onveranderlijke Avamar back-ups inschakelen en Data Domain nalevingsmodus Retentieslot

Het is van cruciaal belang dat de stappen om de functie "Immutable Backups" van Avamar in te schakelen strikt worden gevolgd. Als u dit niet doet, kan dit leiden tot een Avamar MTree in het DD waarnaar niet verder kan worden geschreven of die operationele problemen heeft die langdurig herstel afdwingen. Avamar werkt niet met DD Automatic Retention Lock (ARL) en ARL mag niet worden ingeschakeld voor Avamar MTree op een DD.

Klanten die andere back-upapplicaties gebruiken die Data Domain Retention Lock niet standaard ondersteunen, kunnen ook aangepaste scripts ontwikkelen om Data Domain Retention Lock te gebruiken om handmatig bewaarperioden van bestanden in te stellen. Zorg er in dit geval voor dat aangepaste scripts de tijd van bestanden zodanig instellen dat ze worden ontgrendeld voordat de back-upapplicatie het bestand probeert te verwijderen. Als u dit niet doet, kan de back-uptoepassing proberen vergrendelde bestanden te verwijderen (wat mislukt); Het bestand blijft voor onbepaalde tijd op de DDR staan en neemt schijfruimte in beslag. Zie de beheergids voor Data Domain.

Automatische retentievergrendeling
Voor back-upapplicaties die de Data Domain retentievergrendelingsfunctie niet standaard ondersteunen, is het altijd een probleem geweest voor klanten om de functie te gebruiken. De back-upbeheerder moet scripts configureren om de retentievergrendeling in te stellen op nieuw opgenomen bestanden voor een MTree. De vergrendeling moet zo worden ingesteld dat deze verloopt kort voordat de back-up door de back-upbeheerder

moet verlopen (en worden verwijderd).ARL stelt een vergrendeling in op elk bestand dat naar de MTree wordt geschreven nadat de functie is ingeschakeld, waardoor wordt voorkomen dat het bestand gedurende een bepaalde periode wordt gewijzigd of verwijderd nadat de geconfigureerde afkoelingsperiode is verstreken. Dat betekent dat ARL niet moet worden ingeschakeld voor workloads of back-upapplicaties die sommige bestanden in de loop van de tijd herhaaldelijk moeten bijwerken, bijvoorbeeld op VTL-pools (VTL-tapebestanden worden herhaaldelijk geschreven) of voor back-upapplicaties die metadata-informatie bewaren naast de back-upbestanden van de klant zelf (zoals NetWorker of Avamar). Als ARL in deze gevallen wordt ingeschakeld, worden belangrijke bestanden enige tijd vergrendeld en wanneer deze bestanden later moeten worden weggeschreven voor andere back-ups, mislukt het schrijven en dat geldt ook voor eventuele volgende back-ups.

Om back-upbeheerders te helpen de last van het behouden van retentievergrendeling in back-upbestanden te verlagen en de DDOS op functiepariteit te brengen met andere leveranciers, is er sinds DDOS 6.2.0.20 een functie die kan worden ingeschakeld vanuit de CLI voor elke MTree met Retention Lock geconfigureerd, om een vergrendeling in te stellen op elk opgenomen bestand (voor een bepaalde periode), nadat een vooraf bepaalde hoeveelheid tijd is verstreken sinds het schrijven van het bestand naar schijf is voltooid. Op deze manier hoeven beheerders zich geen zorgen meer te maken over het handmatig (of gescript) instellen van het retentieslot, en kan dit automatisch gebeuren zonder de medewerking van de back-up applicatie. 
Vóór DDOS 7.8 kan automatische retentievergrendeling niet worden gebruikt op DD Boost Logical Storage Units (LSU) en een poging om dit in te schakelen wordt een fout geretourneerd met de melding dat deze niet wordt ondersteund.
Vanaf 7.8 wordt ARL ondersteund voor DD Boost LSU's.

(ARL dat wordt gebruikt op doel-DD's voor Managed File Replication (MFR), zoals NW-kloon, moet een voldoende lange "automatische vergrendelingsvertraging" hebben om ervoor te zorgen dat kloonbewerkingen zijn voltooid voor de back-upset voordat vergrendeling op de bestanden wordt ingesteld. Voorbeeld: Een klein bestand dat deel uitmaakt van een back-upset is snel gerepliceerd terwijl een groter bestand langer duurt, dan is het eerste bestand vergrendeld tegen de tijd dat het grotere bestand klaar is met repliceren en er een fout optreedt wanneer NW probeert alle bestanden van de back-upset naar de uiteindelijke archiefmap te verplaatsen.)

Automatische retentievergrendeling wordt niet ondersteund op Data Domain VTL.

Op toepasselijke versies zijn er extra opties in de CLI mtree retention-lock, zoals hieronder weergegeven. Deze functie kan ook via de gebruikersinterface worden geconfigureerd door "Automatisch" te kiezen in plaats van "Handmatig" bij de optie "Gebruiken":     

# mtree retention-lock set
{min-retention-period | max-retention-period |
automatic-retention-period | automatic-lock-delay} <period>
mtree <mtree-path>

De functie Automatische retentievergrendeling vergrendelt een bestand onmiddellijk nadat een vooraf geconfigureerde afkoelperiode is verstreken (automatische vergrendelingsvertraging). Nadat het bestand is geschreven naar een MTree met retentievergrendeling en de vergrendeling geldig is voor "automatic-retention-period" vanaf het moment dat deze is ingesteld, vindt de vergrendeling plaats als de waarde binnen de waarden "min-retention-period" en "max-retention-period" valt die zijn ingesteld voor de MTree.

Raadpleeg voor meer gebruik en algemene informatie over de functie de bijbehorende DDOS-beheerhandleiding. Deze functie is niet erg geschikt voor situaties waarin dezelfde MTree wordt gebruikt als doel voor back-ups met vergrendelingssets voor verschillende perioden, of back-ups met back-ups die om te beginnen geen vergrendeling moeten hebben.

Wat kan er wel of niet worden gedaan tegen een vergrendeld bestand?

• Retentievergrendelde bestanden zijn alleen-lezen en kunnen niet worden gewijzigd of verwijderd.
• Zodra de bewaarperiode van een bestand is verstreken, wordt het 'ontgrendeld' - wanneer het bestand in ontgrendelde staat is, kan het nog steeds niet worden gewijzigd, maar kan het wel worden verwijderd. De DDR verwijdert een bestand niet automatisch wanneer de bewaarperiode is verstreken (de daaropvolgende verwijdering moet worden uitgevoerd vanaf een clientsysteem of back-uptoepassing).
• Eenmaal ingesteld, kan de bewaartermijn voor een specifiek bestand niet worden verkort (dat wil zeggen dat de bestanden niet meer naar voren kunnen worden gehaald).
• De bewaartermijnen kunnen echter worden verlengd (de bewaartermijn kan worden verlengd tot de maximale bewaartermijn voor de MTree).
• Eigendoms- en machtigingsinstellingen voor een bestand kunnen nog steeds worden gewijzigd terwijl het bestand is vergrendeld
• Het is alleen mogelijk om een directory in een MTree met retentievergrendeling te hernoemen of te verwijderen als die directory geen bestanden bevat. Als de map bestanden bevat (zelfs als deze bestanden niet zijn vergrendeld met retentie), mislukt het hernoemen of verwijderen van de map
• Zelfs als de inhoud van het bestand zelf niet wordt gewijzigd, is het niet toegestaan om de naam te wijzigen (hernoemen) van bestanden waarvoor een vergrendeling is ingesteld, maar de hernoeming is ook niet toegestaan zodra de vergrendeling van het bestand is verlopen. Voor bestanden die niet langer vergrendeld zijn, is verwijderen de enige bewerking die is toegestaan. Dit is gewijzigd in DDOS 7.7.4 wanneer, voor niet-langer vergrendelde bestanden, een hernoeming van het bestand is toegestaan.

Is het mogelijk om de retentievergrendeling voor een bestand of een reeks bestanden volledig te verwijderen?
Het is mogelijk om de retentievergrendeling terug te draaien (te verwijderen) tegen bestanden in MTrees met behulp van de governance-modus - dit wordt gedaan met de volgende opdracht:     

# mtree retention-lock revert [path]

Zodra de retentievergrendeling voor een bestand is verwijderd, kan het zoals gebruikelijk worden gewijzigd of verwijderd. Als deze opdracht wordt uitgevoerd voor een map, worden de retentievergrendelingen voor alle bestanden in die map en alle submappen verwijderd.

Het is niet mogelijk om een retentievergrendeling ongedaan te maken voor bestanden in MTrees met behulp van de nalevingsmodus - als dit wordt geprobeerd, wordt een overeenkomstige fout weergegeven:     

# mtree retention-lock revert /data/col1/rl_test_comp/testfile
This operation is not allowed. Mtree is in retention-lock compliance mode.

Wat gebeurt er als wordt geprobeerd een bestand met retentievergrendeling te wijzigen of te verwijderen?
Elke poging om een bestand met retentievergrendeling te wijzigen of te verwijderen, veroorzaakt een overeenkomstige fout 'toestemming geweigerd':     

# echo " test2" >> /data/col1/rl_test/testfile
bash: testfile: Permission denied
# rm testfile
rm: remove write-protected regular file `testfile'? y
rm: cannot remove `testfile': Permission denied

DDFS-logboeken geven aan dat de bewerking is mislukt omdat het bestand is vergrendeld met retentie:     

06/07 07:06:59.756 (tid 0x2b5a77605d50): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
06/07 07:07:42.504 (tid 0x2b5a79111390): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.

Is het mogelijk om een lijst te maken van alle bestanden die zijn vergrendeld met retentie?
Ja, dit kan worden uitgevoerd met behulp van de opdracht 'mtree retention-lock report generate retention-details':     

mtree retention-lock report generate retention-details
mtrees {<mtree-list> | all}
[format {text | tsv | csv}]
[output-file <file-name>]
               Report detailed information of
               retention-lock files.

Als u bijvoorbeeld details van alle vergrendelde bestanden in de /data/col1/rl_test MTree wilt weergeven, wordt het volgende gedaan:     

sysadmin@ddxxxx# mtree retention-lock report generate retention-details mtrees /data/col1/jftest
Report generated on: Fri Jul  1 14:19:31 2016

Report for mtree: /data/col1/jftest
File Path        Mode        Size(Bytes)        Expiration Date
/data/col1/jftest/file1 governance 10521456 Sat Jul  2 22:35:48 2016
/data/col1/jftest/testdir/file2 governance 10521680 Sat Jul  2 22:35:42 2016
/data/col1/jftest/file3 governance 10521820 Sun Jul 10 22:36:09 2016
Total files: 3

Is het mogelijk om retentievergrendeling voor een MTree volledig uit te schakelen (nadat deze is ingeschakeld)?
Ja voor MTrees die de governance-modus gebruiken, wordt dit uitgevoerd met behulp van de opdracht 'mtree retention-lock disable':    

# mtree retention-lock disable mtree [mtree]

For example:     
sysadmin@xxxx# mtree retention-lock disable mtree /data/col1/rl_test
Retention-lock feature is disabled (previously enabled) for mtree /data/col1/rl_test.

Once disabled, MTree list indicates that retention lock was used against the MTree but has since been disabled, that is: 
sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rl_test                             0.0   RW/RLGD   -
...

sysadmin@ddxxxx# mtree retention-lock revert /data/col1/rl_test/testfile
**** Retention-lock feature is disabled (previously enabled) for mtree which contains the path /data/col1/rl_test/testfile.

• Retentievergrendeling kan niet worden uitgeschakeld voor een MTree met behulp van de nalevingsmodus:     

sysadmin@ddxxxx# mtree retention-lock disable mtree /data/col1/rl_test_comp
**** Operation is not allowed because the system is a retention-lock compliance system

• Directoryreplicatie - wordt alleen ondersteund voor bestanden die de governancemodus gebruiken - repliceert de minimale en maximale bewaarperioden niet naar het doelsysteem.
• MTree-replicatie - kan worden gebruikt voor gegevens in de governance- of nalevingsmodus en repliceert minimale en maximale bewaarperioden naar het doelsysteem.
• Verzamelingsreplicatie - Kan worden gebruikt voor gegevens in de beheer- of nalevingsmodus en repliceert minimale en maximale bewaarperioden naar het doelsysteem.

# replication break mtree://[destination system]/data/col1/[mtree]

# replication add source mtree://[source system]/data/col1/[mtree] destination mtree://[destination system/data/col1/[mtree]

# mtree retention-lock enable mode compliance mtree [mtree]

# replication resync mtree://[destination system/data/col1/[mtree]

# user reset
# filesys destroy
# filesys archive unit del [archive unit name]

# mtree delete [mtree]
# mtree retention-lock reset [min-retention-period period | max-retention-period period] mtree [mtree]
# mtree retention-lock disable mtree [mtree]
# mtree retention-lock revert

# cloud unit del <cloud unit name>