Wat is een retentieslot?
Retentievergrendeling is een functie die wordt gebruikt op Data Domain Restorers (DDR's) om wijziging of verwijdering van bepaalde sets bestanden gedurende een vooraf bepaalde periode te voorkomen. Dat wil zeggen dat vergrendelde bestanden met retentie alleen-lezen zijn totdat hun retentieperiode is verstreken.
Wat zijn de verschillende versies van retentieslot?
Retentieslot is beschikbaar voor twee verschillende functies:
Welke protocollen voor datatoegang worden ondersteund met retentievergrendeling?
Retentievergrendelingsmodus voldoet aan wettelijke normen:
De lijst met wettelijke normen waaraan de nalevingsmodus voor retentievergrendeling voldoet, omvat het volgende:
Neem voor meer informatie over de certificeringsinformatie contact op met uw gecontracteerde supportprovider.
Hoe is Retention Lock Governance ingeschakeld?
# mtree retention-lock enable mode governance mtree [mtree]
Hoe is naleving van retentievergrendeling ingeschakeld?
(ADMIN USER) # user add [username] role security
(SECURITY USER): # authorization policy set security-officer enabled
(ADMIN USER) # system retention-lock compliance configure
(ADMIN USER) # system retention-lock compliance enable
(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]
Hoe is het mogelijk om te bepalen voor welke MTrees retentievergrendeling is ingeschakeld?
MTrees met ingeschakelde retentievergrendeling worden aangegeven in de uitvoer van mtree listbijvoorbeeld:
sysadmin@ddxxxx# mtree list Name Pre-Comp (GiB) Status Tenant-Unit --------------------------------- -------------- ------- ----------- ... /data/col1/rich-retention-lock 0.0 RW/RLGE - /data/col1/rl_test 0.0 RW/RLGD - /data/col1/rl_test_comp 0.0 RW/RLCE - /data/col1/test 3.1 RW/RLGE - ... --------------------------------- -------------- ------- ----------- ... RLGE : Retention-Lock Governance Enabled RLGD : Retention-Lock Governance Disabled RLCE : Retention-Lock Compliance Enabled
Kan een MTree met Retention Lock Governance ingeschakeld worden geconverteerd naar Retention Lock Compliance?
Zoals vermeld in de DDOS-beheerhandleiding is dit niet mogelijk.
Kan een MTree met ingeschakelde Retention Lock Compliance worden geconverteerd naar Retention Lock Governance?
Zoals vermeld in de DDOS-beheerhandleiding is dit niet mogelijk.
Hoe worden bewaar- of vergrendelingsperioden voor bestanden ingesteld?
Zodra een retentievergrendeling is ingeschakeld voor een MTree, moet een minimale en maximale retentieperiode worden ingesteld. Deze perioden bepalen de minimale en maximale tijd dat een bestand binnen de MTree kan worden vergrendeld. Bijvoorbeeld:
# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]
Perioden kunnen als volgt in verschillende eenheden worden gegeven:
Hoe kunnen bestaande bewaartermijnen worden weergegeven?
Dit kan worden gedaan met behulp van de volgende twee opdrachten:
# mtree retention-lock show min-retention-period mtree [mtree] # mtree retention-lock show max-retention-period mtree [mtree]
Bijvoorbeeld:
sysadmin@dd630# mtree retention-lock show min-retention-period mtree /data/col1/rl_test
Retention-lock min-retention-period of mtree /data/col1/rl_test is: 720 minutes.
sysadmin@dd630# mtree retention-lock show max-retention-period mtree /data/col1/rl_test
Retention-lock max-retention-period of mtree /data/col1/rl_test is: 30 days.
Hoe worden bestanden binnen een MTree met retentievergrendeling vergrendeld?
De tijd van een bestand kan worden gewijzigd vanaf een NFS- of CIFS-client met behulp van de opdracht 'touch':
# touch -a -t [expiry time] [file to be locked]
Als u bijvoorbeeld een tijd van /data/col1/rl_test/testfile wilt instellen op 07:05 op 8 juni:
# touch -a -t 06080705 /data/col1/rl_test/testfile
De periode van de huidige tijd tot de toekomstige tijd moet binnen de minimale en maximale bewaartermijnen voor de MTree vallen. Anders wordt er een fout gegenereerd bij het wijzigen van de bestanden tegelijkertijd:
# touch -a -t 08080705 /data/col1/rl_test/testfile
touch: setting times of `/data/col1/rl_test/testfile': Permission denied
Een overeenkomstig bericht wordt ook weergegeven in de DDFS-logboekbestanden (Data Domain File System):
06/07 13:44:57.197 (tid 0x2b28ee5258c0): Attempt to set atime of /data/col1/rl_test/testfile to larger than maximum retention period of mtree.
CIFS-clients (Windows) bevatten standaard geen aanraakopdracht of hulpprogramma, maar verschillende van dergelijke hulpprogramma's kunnen gratis worden gedownload van verschillende websites van derden.
Welke back-upapplicaties ondersteunen het automatisch bewaren van vergrendelingsbestanden nadat ze naar een DDR zijn geschreven?
Data Domain Retention Lock is compatibel met de industriestandaard, op NAS gebaseerde Write-Once-Read-Many (WORM)-protocollen. Integratie is gekwalificeerd met archiefapplicaties zoals Symantec Enterprise Vault, SourceOne, Cloud Tiering Appliance of DiskXtender.
Voor Dell NetWorker worden zowel de governance- als compliancemodus ondersteund.
Vanaf juni 2024 ondersteunen recente Avamar-versies zowel Data Domain Retention Lock Compliance als Governance) als onderdeel van de Avamar-functie "Immutable Backups". Raadpleeg het onderstaande artikel en de Avamar-documentatie voor meer informatie:
Avamar en Data Domain: Onveranderlijke Avamar back-ups inschakelen en Data Domain nalevingsmodus Retentieslot
Het is van cruciaal belang dat de stappen om de functie "Immutable Backups" van Avamar in te schakelen strikt worden gevolgd. Als u dit niet doet, kan dit leiden tot een Avamar MTree in het DD waarnaar niet verder kan worden geschreven of die operationele problemen heeft die langdurig herstel afdwingen. Avamar werkt niet met DD Automatic Retention Lock (ARL) en ARL mag niet worden ingeschakeld voor Avamar MTree op een DD.
Klanten die andere back-upapplicaties gebruiken die Data Domain Retention Lock niet standaard ondersteunen, kunnen ook aangepaste scripts ontwikkelen om Data Domain Retention Lock te gebruiken om handmatig bewaarperioden van bestanden in te stellen. Zorg er in dit geval voor dat aangepaste scripts de tijd van bestanden zodanig instellen dat ze worden ontgrendeld voordat de back-upapplicatie het bestand probeert te verwijderen. Als u dit niet doet, kan de back-uptoepassing proberen vergrendelde bestanden te verwijderen (wat mislukt); Het bestand blijft voor onbepaalde tijd op de DDR staan en neemt schijfruimte in beslag. Zie de beheergids voor Data Domain.
Automatische retentievergrendeling
Voor back-upapplicaties die de Data Domain retentievergrendelingsfunctie niet standaard ondersteunen, is het altijd een probleem geweest voor klanten om de functie te gebruiken. De back-upbeheerder moet scripts configureren om de retentievergrendeling in te stellen op nieuw opgenomen bestanden voor een MTree. De vergrendeling moet zo worden ingesteld dat deze verloopt kort voordat de back-up door de back-upbeheerder
moet verlopen (en worden verwijderd).ARL stelt een vergrendeling in op elk bestand dat naar de MTree wordt geschreven nadat de functie is ingeschakeld, waardoor wordt voorkomen dat het bestand gedurende een bepaalde periode wordt gewijzigd of verwijderd nadat de geconfigureerde afkoelingsperiode is verstreken. Dat betekent dat ARL niet moet worden ingeschakeld voor workloads of back-upapplicaties die sommige bestanden in de loop van de tijd herhaaldelijk moeten bijwerken, bijvoorbeeld op VTL-pools (VTL-tapebestanden worden herhaaldelijk geschreven) of voor back-upapplicaties die metadata-informatie bewaren naast de back-upbestanden van de klant zelf (zoals NetWorker of Avamar). Als ARL in deze gevallen wordt ingeschakeld, worden belangrijke bestanden enige tijd vergrendeld en wanneer deze bestanden later moeten worden weggeschreven voor andere back-ups, mislukt het schrijven en dat geldt ook voor eventuele volgende back-ups.
Om back-upbeheerders te helpen de last van het behouden van retentievergrendeling in back-upbestanden te verlagen en de DDOS op functiepariteit te brengen met andere leveranciers, is er sinds DDOS 6.2.0.20 een functie die kan worden ingeschakeld vanuit de CLI voor elke MTree met Retention Lock geconfigureerd, om een vergrendeling in te stellen op elk opgenomen bestand (voor een bepaalde periode), nadat een vooraf bepaalde hoeveelheid tijd is verstreken sinds het schrijven van het bestand naar schijf is voltooid. Op deze manier hoeven beheerders zich geen zorgen meer te maken over het handmatig (of gescript) instellen van het retentieslot, en kan dit automatisch gebeuren zonder de medewerking van de back-up applicatie.
Vóór DDOS 7.8 kan automatische retentievergrendeling niet worden gebruikt op DD Boost Logical Storage Units (LSU) en een poging om dit in te schakelen wordt een fout geretourneerd met de melding dat deze niet wordt ondersteund.
Vanaf 7.8 wordt ARL ondersteund voor DD Boost LSU's.
(ARL dat wordt gebruikt op doel-DD's voor Managed File Replication (MFR), zoals NW-kloon, moet een voldoende lange "automatische vergrendelingsvertraging" hebben om ervoor te zorgen dat kloonbewerkingen zijn voltooid voor de back-upset voordat vergrendeling op de bestanden wordt ingesteld. Voorbeeld: Een klein bestand dat deel uitmaakt van een back-upset is snel gerepliceerd terwijl een groter bestand langer duurt, dan is het eerste bestand vergrendeld tegen de tijd dat het grotere bestand klaar is met repliceren en er een fout optreedt wanneer NW probeert alle bestanden van de back-upset naar de uiteindelijke archiefmap te verplaatsen.)
Automatische retentievergrendeling wordt niet ondersteund op Data Domain VTL.
Op de toepasselijke versies zijn er extra opties in de mtree retention-lock CLI, zoals hieronder weergegeven. Deze functie kan ook via de gebruikersinterface worden geconfigureerd door "Automatisch" te kiezen in plaats van "Handmatig" bij de optie "Gebruiken":
# mtree retention-lock set
{min-retention-period | max-retention-period |
automatic-retention-period | automatic-lock-delay} <period>
mtree <mtree-path>
De functie Automatische retentievergrendeling vergrendelt een bestand onmiddellijk nadat een vooraf geconfigureerde afkoelperiode is verstreken (automatische vergrendelingsvertraging). Nadat het bestand is geschreven naar een MTree met retentievergrendeling en de vergrendeling geldig is voor "automatic-retention-period" vanaf het moment dat deze is ingesteld, vindt de vergrendeling plaats als de waarde binnen de waarden "min-retention-period" en "max-retention-period" valt die zijn ingesteld voor de MTree.
Raadpleeg voor meer gebruik en algemene informatie over de functie de bijbehorende DDOS-beheerhandleiding. Deze functie is niet erg geschikt voor situaties waarin dezelfde MTree wordt gebruikt als doel voor back-ups met vergrendelingssets voor verschillende perioden, of back-ups met back-ups die om te beginnen geen vergrendeling moeten hebben.
Wat kan er wel of niet worden gedaan tegen een vergrendeld bestand?
Is het mogelijk om de retentievergrendeling voor een bestand of een reeks bestanden volledig te verwijderen?
Het is mogelijk om de retentievergrendeling terug te draaien (te verwijderen) tegen bestanden in MTrees met behulp van de governance-modus - dit wordt gedaan met de volgende opdracht:
# mtree retention-lock revert [path]
Zodra de retentievergrendeling voor een bestand is verwijderd, kan het zoals gebruikelijk worden gewijzigd of verwijderd. Als deze opdracht wordt uitgevoerd voor een map, worden de retentievergrendelingen voor alle bestanden in die map en alle submappen verwijderd.
Het is niet mogelijk om een retentievergrendeling ongedaan te maken voor bestanden in MTrees met behulp van de nalevingsmodus - als dit wordt geprobeerd, wordt een overeenkomstige fout weergegeven:
# mtree retention-lock revert /data/col1/rl_test_comp/testfile
This operation is not allowed. Mtree is in retention-lock compliance mode.
Wat gebeurt er als wordt geprobeerd een bestand met retentievergrendeling te wijzigen of te verwijderen?
Elke poging om een bestand met retentievergrendeling te wijzigen of te verwijderen veroorzaakt een corresponderend permission denied fout:
# echo " test2" >> /data/col1/rl_test/testfile
bash: testfile: Permission denied
# rm testfile
rm: remove write-protected regular file `testfile'? y
rm: cannot remove `testfile': Permission denied
DDFS-logboeken geven aan dat de bewerking is mislukt omdat het bestand is vergrendeld met retentie:
06/07 07:06:59.756 (tid 0x2b5a77605d50): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
06/07 07:07:42.504 (tid 0x2b5a79111390): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
Is het mogelijk om een lijst te maken van alle bestanden die zijn vergrendeld met retentie?
Ja, dit kan met behulp van de mtree retention-lock report generate retention-details bevelen:
mtree retention-lock report generate retention-details
mtrees {<mtree-list> | all}
[format {text | tsv | csv}]
[output-file <file-name>]
Report detailed information of
retention-lock files.
Als u bijvoorbeeld details wilt weergeven van alle vergrendelde bestanden in het /data/col1/rl_test MTree Het volgende wordt uitgevoerd:
sysadmin@ddxxxx# mtree retention-lock report generate retention-details mtrees /data/col1/jftest
Report generated on: Fri Jul 1 14:19:31 2016
Report for mtree: /data/col1/jftest
File Path Mode Size(Bytes) Expiration Date
/data/col1/jftest/file1 governance 10521456 Sat Jul 2 22:35:48 2016
/data/col1/jftest/testdir/file2 governance 10521680 Sat Jul 2 22:35:42 2016
/data/col1/jftest/file3 governance 10521820 Sun Jul 10 22:36:09 2016
Total files: 3
Is het mogelijk om retentievergrendeling voor een MTree volledig uit te schakelen (nadat deze is ingeschakeld)?
Ja, voor MTrees die de governancemodus gebruiken, wordt dit uitgevoerd met behulp van de mtree retention-lock disable bevelen:
# mtree retention-lock disable mtree [mtree] For example: sysadmin@xxxx# mtree retention-lock disable mtree /data/col1/rl_test Retention-lock feature is disabled (previously enabled) for mtree /data/col1/rl_test. Once disabled,MTree listindicates that retention lock was used against the MTree but has since been disabled, that is: sysadmin@ddxxxx#mtree listName Pre-Comp (GiB) Status Tenant-Unit --------------------------------- -------------- ------- ----------- ... /data/col1/rl_test 0.0 RW/RLGD - ...
sysadmin@ddxxxx# mtree retention-lock revert /data/col1/rl_test/testfile **** Retention-lock feature is disabled (previously enabled) for mtree which contains the path /data/col1/rl_test/testfile.
sysadmin@ddxxxx# mtree retention-lock disable mtree /data/col1/rl_test_comp **** Operation is not allowed because the system is a retention-lock compliance system
# replication break mtree://[destination system]/data/col1/[mtree]
# replication add source mtree://[source system]/data/col1/[mtree] destination mtree://[destination system/data/col1/[mtree]
# mtree retention-lock enable mode compliance mtree [mtree]
# replication resync mtree://[destination system/data/col1/[mtree]
# user reset
# filesys destroy
# filesys archive unit del [archive unit name] Dergelijke systemen kunnen niet worden opgestart naar de modus voor één gebruiker voor herstel door technische support zonder gebruik van een USB-station en fysieke toegang tot het systeem.
# mtree delete [mtree] # mtree retention-lock reset [min-retention-period period | max-retention-period period] mtree [mtree] # mtree retention-lock disable mtree [mtree] # mtree retention-lock revertIn DDOS 7.3 en latere releases is echter een voorziening getroffen voor klanten om MTrees met Retention Lock Compliance te verwijderen als:
# cloud unit del <cloud unit name>
# filesys enable