文書番号: 000079803
# mtree retention-lock enable mode governance mtree [mtree]
(ADMIN USER) # user add [username] role security
(SECURITY USER): # authorization policy set security-officer enabled
(ADMIN USER) # system retention-lock compliance configure
(ADMIN USER) # system retention-lock compliance enable
(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]
Как определить, на каких MTrees активирована блокировка хранения?
MTrees с включенной блокировкой хранения указываются в выходных данных «mtree list», например:
sysadmin@ddxxxx# mtree list
Name Pre-Comp (GiB) Status Tenant-Unit
--------------------------------- -------------- ------- -----------
...
/data/col1/rich-retention-lock 0.0 RW/RLGE -
/data/col1/rl_test 0.0 RW/RLGD -
/data/col1/rl_test_comp 0.0 RW/RLCE -
/data/col1/test 3.1 RW/RLGE -
...
--------------------------------- -------------- ------- -----------
...
RLGE : Retention-Lock Governance Enabled
RLGD : Retention-Lock Governance Disabled
RLCE : Retention-Lock Compliance Enabled
Можно ли преобразовать MTree с включенным режимом управления для блокировки хранения в режим комплаенса для блокировки хранения?
Как указано в Руководстве по администрированию DDOS, это невозможно.
Можно ли преобразовать MTree с включенным режимом управления для блокировки хранения в режим комплаенса для блокировки хранения?
Как указано в Руководстве по администрированию DDOS, это невозможно.
Как установить сроки хранения или блокировки файлов?
После включения блокировки хранения для MTree необходимо установить минимальный и максимальный период хранения. Эти периоды определяют минимальное и максимальное время, в течение которого файл в MTree может быть заблокирован. Пример.
# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]
Периоды могут быть указаны в различных единицах измерения следующим образом:
Как можно отобразить существующие периоды хранения?
Это можно сделать с помощью следующих двух команд:
# mtree retention-lock show min-retention-period mtree [mtree] # mtree retention-lock show max-retention-period mtree [mtree]
Пример.
sysadmin@dd630# mtree retention-lock show min-retention-period mtree /data/col1/rl_test
Retention-lock min-retention-period of mtree /data/col1/rl_test is: 720 minutes.
sysadmin@dd630# mtree retention-lock show max-retention-period mtree /data/col1/rl_test
Retention-lock max-retention-period of mtree /data/col1/rl_test is: 30 days.
Как заблокировать файлы в MTree с включенной блокировкой хранения?
Время ожидания файла можно изменить из клиента NFS или CIFS с помощью команды «touch»:
# touch -a -t [expiry time] [file to be locked]
Например, чтобы установить для параметра atime файла /data/col1/rl_test/testfile значение 07:05 8 июня:
# touch -a -t 06080705 /data/col1/rl_test/testfile
Период от текущего времени до будущего atime должен находиться в пределах минимального и максимального периодов хранения для MTree. В противном случае при изменении файлов возникает ошибка:
# touch -a -t 08080705 /data/col1/rl_test/testfile
touch: setting times of `/data/col1/rl_test/testfile': Permission denied
Соответствующее сообщение также отображается в файлах журнала файловой системы Data Domain (DDFS).
06/07 13:44:57.197 (tid 0x2b28ee5258c0): Attempt to set atime of /data/col1/rl_test/testfile to larger than maximum retention period of mtree.
Клиенты CIFS (Windows) по умолчанию не включают команду «touch» или утилиту, однако некоторые такие утилиты доступны для скачивания с различных сторонних сайтов.
Какие приложения резервного копирования поддерживают автоматическую блокировку хранения файлов после их записи в DDR?
Data Domain Retention Lock совместим со стандартными протоколами WORM (однократная запись, многократное чтение) на основе NAS. Интеграция сертифицирована для приложений архивирования, таких как Symantec Enterprise Vault, SourceOne, Cloud Tiering Appliance или DiskXtender.
Для Dell NetWorker поддерживается как режим управления, так и режим комплаенса.
По состоянию на июнь 2024 года, последние версии Avamar поддерживают Data Domain Retention Lock в режиме управления и комплаенса как часть функциональности Avamar «Неизменяемые резервные копии». Подробные сведения см. в документации Avamar и в этой статье:
Avamar и Data Domain. Включение неизменяемых резервных копий Avamar и режима комплаенса Data Domain Retention Lock
Критически важно строго соблюдать шаги, необходимые для включения функции Avamar «Неизменяемые резервные копии». В противном случае в системе DD будет MTree Avamar, на который не могут быть записаны дополнительные данные, или на котором происходят операционные проблемы, что приводит к длительному восстановлению. Avamar не работает с DD Automatic Retention Lock (ARL), а ARL не должен быть включен для любого MTree Avamar в DD.
Заказчики, использующие другие приложения резервного копирования, которые изначально не поддерживают Data Domain Retention Lock, могут также разработать пользовательские сценарии использования Data Domain Retention Lock для установки сроков хранения файлов вручную. В этом сценарии убедитесь, что пользовательские сценарии устанавливают значение atime, чтобы файл был разблокирован перед попыткой его удаления приложением резервного копирования. В противном случае приложение резервного копирования может попытаться удалить заблокированные файлы (что приведет к сбою); файл остается в DDR на неопределенное время, занимая дисковое пространство. См. «Руководство по администрированию Data Domain».
Автоматическая блокировка хранения
Для приложений резервного копирования, которые изначально не поддерживают функцию Data Domain Retention Lock, заказчики всегда сталкивались с проблемами при использовании этой функции. Администратор резервного копирования должен настроить сценарии для установки блокировки хранения новых полученных файлов для MTree. Блокировка должна быть установлена таким образом, чтобы срок ее действия заканчивался незадолго до завершения срока хранения (и удаления) резервной копии администратором резервного копирования.
ARL устанавливает блокировку для каждого файла, записанного в MTree после включения функции, предотвращая изменение или удаление файла в течение заданного периода времени после истечения заданного периода ожидания. Это означает, что ARL не следует включать для рабочих нагрузок или приложений резервного копирования, которые должны периодически обновлять некоторые файлы, например, в пулы VTL (на ленты VTL постоянно выполняется запись), или для приложений резервного копирования, которые сохраняют метаданные вместе с файлами резервного копирования заказчика (например, NetWorker или Avamar). Если включить ARL в этих экземплярах, чтобы заблокировать важные файлы на некоторое время, а затем в эти файлы должны быть записаны другие резервные копии, запись завершается сбоем, как и последующие операции резервного копирования.
Чтобы помочь администратору резервного копирования снизить нагрузку на поддержание блокировки хранения файлов резервного копирования и обеспечить возможность использования функций DDOS на одном уровне с другими поставщиками, так как в интерфейсе командной строки DDOS 6.2.0.20 можно включить функцию для каждого MTree с настроенной функцией Retention Lock, чтобы установить блокировку для каждого принятого файла (в течение заданного периода), по истечении определенного периода времени с момента завершения записи файла на диск. Таким образом, администраторам больше не нужно беспокоиться о настройке блокировки хранения вручную (или с помощью сценариев), это может происходить автоматически без взаимодействия с приложением резервного копирования.
До DDOS 7.8 автоматическая блокировка хранения не может быть использована в логических устройствах хранения DD Boost (LSU), и попытка ее включения возвращает ошибку, указывающую на то, что она не поддерживается.
Начиная с 7.8, ARL поддерживается для DD Boost LSU.
(ARL, используемая в целевых DD для MFR (управляемая репликация файлов), например, клон NW, должна иметь достаточно высокое значение «automatic-lock-delay», чтобы гарантировать завершение операций клонирования для набора резервного копирования до того, как для файлов будет установлена блокировка. Пример. Небольшой файл, являющийся частью набора резервных копий, быстро завершает репликацию, а больший файл занимает больше времени. Затем первый файл будет заблокирован к тому времени, как завершится репликация большего файла, и при попытке NW переместить все файлы набора резервных копий в конечный архивный каталог возникнет ошибка.)
Автоматическая блокировка хранения не поддерживается в Data Domain VTL.
В соответствующих версиях есть дополнительные параметры CLI «mtree retention-lock», как показано ниже. Эту функцию можно настроить с помощью пользовательского интерфейса, выбрав «Automatic» вместо «Manual» в параметре «Use»:
# mtree retention-lock set
{min-retention-period | max-retention-period |
automatic-retention-period | automatic-lock-delay} <period>
mtree <mtree-path>
Функция автоматической блокировки хранения блокирует файл сразу после истечения предварительно настроенного периода ожидания (automatic-lock-delay). После записи файла в MTree с включенной блокировкой хранения и блокировка действует на протяжении «automatic-retention-period» с момента установки, если значение находится в пределах «min-retention-period» и «max-retention-period», установленных для MTree, происходит блокировка.
Дополнительные сведения об использовании и общие сведения о функции см. в соответствующем «Руководстве по администрированию DDOS». Эта функция не подходит для ситуаций, когда одно и то же MTree используется в качестве целевого устройства для резервного копирования, в котором должны быть либо наборы блокировок для разных периодов, либо резервные копии, у которых должен быть набор блокировок, и у которых такого набора быть не должно.
Что можно и нельзя сделать с заблокированным файлом?
Можно ли полностью удалить блокировку хранения для файла или набора файлов?
Можно отменить (удалить) блокировку хранения файлов в MTree в режиме управления, это выполняется с помощью следующей команды:
# mtree retention-lock revert [path]
После удаления блокировки хранения файл можно изменить или удалить обычным образом. Если эта команда выполняется для каталога, то для всех файлов в этом каталоге и во всех подкаталогах будет удалена блокировка хранения.
Невозможно отменить блокировку хранения для файлов в MTree в режиме комплаенса: при попытке выполнения этой операции отображается соответствующая ошибка:
# mtree retention-lock revert /data/col1/rl_test_comp/testfile
This operation is not allowed. Mtree is in retention-lock compliance mode.
Что произойдет, если будет предпринята попытка изменить или удалить заблокированный файл?
Любая попытка изменить или удалить файл с блокировкой хранения приводит к соответствующей ошибке «permission denied»:
# echo " test2" >> /data/col1/rl_test/testfile
bash: testfile: Permission denied
# rm testfile
rm: remove write-protected regular file `testfile'? y
rm: cannot remove `testfile': Permission denied
Журналы DDFS указывают на то, что операция не выполнена из-за блокировки хранения файла:
06/07 07:06:59.756 (tid 0x2b5a77605d50): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
06/07 07:07:42.504 (tid 0x2b5a79111390): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
Можно ли вывести список всех файлов, которые заблокированы?
Да, это можно сделать с помощью команды «mtree retention-lock report generate retention-details»:
mtree retention-lock report generate retention-details
mtrees {<mtree-list> | all}
[format {text | tsv | csv}]
[output-file <file-name>]
Report detailed information of
retention-lock files.
Например, для отображения сведений обо всех заблокированных файлах в MTree /data/col1/rl_test будет выполнено следующее:
sysadmin@ddxxxx# mtree retention-lock report generate retention-details mtrees /data/col1/jftest
Report generated on: Fri Jul 1 14:19:31 2016
Report for mtree: /data/col1/jftest
File Path Mode Size(Bytes) Expiration Date
/data/col1/jftest/file1 governance 10521456 Sat Jul 2 22:35:48 2016
/data/col1/jftest/testdir/file2 governance 10521680 Sat Jul 2 22:35:42 2016
/data/col1/jftest/file3 governance 10521820 Sun Jul 10 22:36:09 2016
Total files: 3
Можно ли полностью отключить блокировку хранения для MTree (после ее включения)?
Да для MTree, использующих режим управления, это выполняется с помощью команды «mtree retention-lock disable»:
# mtree retention-lock disable mtree [mtree]
For example:
sysadmin@xxxx# mtree retention-lock disable mtree /data/col1/rl_test
Retention-lock feature is disabled (previously enabled) for mtree /data/col1/rl_test.
Once disabled, MTree list indicates that retention lock was used against the MTree but has since been disabled, that is:
sysadmin@ddxxxx# mtree list
Name Pre-Comp (GiB) Status Tenant-Unit
--------------------------------- -------------- ------- -----------
...
/data/col1/rl_test 0.0 RW/RLGD -
...
sysadmin@ddxxxx# mtree retention-lock revert /data/col1/rl_test/testfile
**** Retention-lock feature is disabled (previously enabled) for mtree which contains the path /data/col1/rl_test/testfile.
sysadmin@ddxxxx# mtree retention-lock disable mtree /data/col1/rl_test_comp
**** Operation is not allowed because the system is a retention-lock compliance system
# replication break mtree://[destination system]/data/col1/[mtree]
# replication add source mtree://[source system]/data/col1/[mtree] destination mtree://[destination system/data/col1/[mtree]
# mtree retention-lock enable mode compliance mtree [mtree]
# replication resync mtree://[destination system/data/col1/[mtree]
# user reset
# filesys destroy
# filesys archive unit del [archive unit name] Такие системы нельзя загрузить в однопользовательский режим для восстановления с помощью технической поддержки без использования USB-накопителя и физического доступа к системе.
# mtree delete [mtree]
# mtree retention-lock reset [min-retention-period period | max-retention-period period] mtree [mtree]
# mtree retention-lock disable mtree [mtree]
# mtree retention-lock revert Однако в DDOS 7.3 и более поздних версиях было сделано условие, чтобы заказчики могли удалять MTree со включенной блокировкой хранения в режиме комплаенса, до тех пор, пока:
# cloud unit del <cloud unit name>
# filesys enable Data Domain, Data Domain Retention Lock
Data Domain
04 6月 2024
16
Solution