文書番号: 000079803

Data Domain：Retention Lock 常见问题

概要: 本文概述了 Data Domain retention lock (RL) 功能，并说明了治理和合规性模式的配置和利用之间的差异。

この記事は自動翻訳されたものである可能性があります。品質に関するフィードバックがある場合は、このページの下部にあるフォームを使用してお知らせください。

文書の内容

現象

本文简要概述了 Data Domain Retention Lock (RL) 功能以及相关常见问题 (FAQ) 的答案。

原因

本文简要概述了 Data Domain Retention Lock (RL) 功能以及相关常见问题 (FAQ) 的答案。

解決方法

什么是保留锁定？
保留锁定是在 Data Domain Restorer (DDR) 上使用的一项功能，可防止在预定的时间段内修改或删除某些文件集。也就是说，保留锁定的文件在保留期到期之前是只读的。

保留锁定的不同版本是什么？
保留锁定可用于两种不同的功能：

治理：两个保留锁定功能中（即如有必要，可以恢复针对文件的锁定）不太严格的那个。
Compliance：这两个功能中较为严格的那个，遵循多个通用法规标准。也就是说，无法恢复针对文件的锁定。DDR 务必通过必须对某些命令进行身份验证的“安全专员”用户配置。其他功能也存在各种限制，以防删除锁定数据或过早恢复锁定。

提醒：

合规性模式仅在 DDOS 5.3（及更高版本）中可用。
保留锁定的每个功能都需要单独的许可证密钥。
保留锁定功能按 MTree 启用。
单个系统可以针对单独的 MTree 使用治理和合规性模式。但是，它必须安装单独的治理和合规性许可证。
除非 Avamar 文档中有要求，否则请勿在用于存储 Avamar 数据的 MTree 上启用任何类型的 DD Retention Lock，这是让此功能在 Avamar 上正常运行的一部分。如果不按照正确的 Avamar 流程在任何此类 MTree 上启用 DD RL，则可能会导致 MTree 无法用于备份，并需要进行长时间的恢复。在为 Avamar MTree 启用自动保留锁定 (ARL) 的情况下，更是会出现上述这些问题。
对于用于在 Integration Data Protection Appliance 或 PowerProtect 数据保护系列备份一体机上使用旧版本 Avamar 存储数据或保护软件数据的 Mtree，可能不支持保留锁定功能。这可能会阻止 Integration Data Protection Appliance 内的 Avamar 或保护软件按预期运行并进入 READONLY 状态。

保留锁定支持哪些数据访问协议？

使用保留锁定治理或合规性模式的 Mtree 完全支持 NFS、CIFS 和 DD Boost 协议。
使用保留锁定治理模式的 MTree 仅支持虚拟磁带库 (VTL) 协议。Data Domain VTL 不支持自动保留锁定。请参阅 Data Domain 管理指南，以确定如何解锁保留锁定的磁带，以便可以在其中写入数据。

保留锁合规性模式符合法规标准：
保留锁定合规性模式满足的法规标准列表包括：

SEC 17a-4(f)
CFTC 法规 1.31b
FDA 21 CFR Part 11
萨班斯-奥克斯利法案
IRS 98025 和 97-22
ISO 标准 15489-1
MoREQ2010

有关认证信息的完整详细信息，请联系您的签约支持提供商。

如何启用保留锁定治理？

将保留锁定治理许可证添加到 DDR。
针对任何必需的 MTree 启用了保留锁定治理模式：

# mtree retention-lock enable mode governance mtree [mtree]

如何启用保留锁定合规性？

对于某些使用 iDRAC 的较新 Data Domain 型号，有具体的说明。
将保留锁合规性许可证添加到 DDR。
应创建具有“安全性”角色的用户（假定不存在此用户）：

(ADMIN USER) # user add [username] role security

具有“安全性”角色的用户应登录到 DDR 并启用安全用户授权：

(SECURITY USER): # authorization policy set security-officer enabled

应该为保留锁定合规性模式配置系统。在运行以下命令后，系统将自动重新启动：

(ADMIN USER) # system retention-lock compliance configure

系统重新启动后，应在系统上启用保留锁定合规性模式：

(ADMIN USER) # system retention-lock compliance enable

提醒：对于较新的 DDOS 版本，必须通过在 Data Domain UI 中，选择“Administration”>“Compliance”来执行此任务

针对任何必需的 MTree 启用了保留锁定合规性模式：

(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]

如何确定哪些 MTree 启用了保留锁定？
在 'mtree list'的输出中指明启用了保留锁定的 MTree，例如：

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rich-retention-lock                 0.0   RW/RLGE   -
/data/col1/rl_test                             0.0   RW/RLGD   -
/data/col1/rl_test_comp                        0.0   RW/RLCE   -
/data/col1/test                                3.1   RW/RLGE   -
...
---------------------------------   --------------   -------   -----------
...
 RLGE : Retention-Lock Governance Enabled
 RLGD : Retention-Lock Governance Disabled
 RLCE : Retention-Lock Compliance Enabled

是否可以将启用了保留锁定治理的 MTree 转换为保留锁定合规性？
如《DDOS 管理指南》中所述，这是不可能的。

是否可以将启用了保留锁定合规性的 MTree 转换为保留锁定治理？
如《DDOS 管理指南》中所述，这是不可能的。

如何设置文件保留期或锁定期？
针对 MTree 启用保留锁定后，必须设置最短和最长保留期。这些保留期规定了 MTree 中的文件可以锁定的最短和最长时间。例如：

# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]

可以按如下所示使用各种单位提供保留期：

1 分钟
1 小时
1 天
1 个月
1 年

提醒：

最短保留期不能少于 12 小时。
最长保留期不能超过 70 年。
最短保留期必须小于最长保留期。
无论使用的保留锁定类型如何，每个 MTree 的保留期设置方式都相同。

如何显示现有保留期？
这可以使用以下两个命令来完成：

# mtree retention-lock show min-retention-period mtree [mtree]
# mtree retention-lock show max-retention-period mtree [mtree]

例如：

sysadmin@dd630# mtree retention-lock show min-retention-period mtree /data/col1/rl_test
Retention-lock min-retention-period of mtree /data/col1/rl_test is: 720 minutes.
sysadmin@dd630# mtree retention-lock show max-retention-period mtree /data/col1/rl_test
Retention-lock max-retention-period of mtree /data/col1/rl_test is: 30 days.

启用了保留锁定的 MTree 中的文件是如何锁定的？

当针对 MTree 启用保留锁定时，MTree 中的现有文件不会自动锁定（即，所有预先存在的文件都保持读取或写入状态）。
当新文件写入启用了保留锁定的 MTree 时，该文件不会自动保留锁定。也就是说，新文件保持为读取或写入状态。

提醒：从 DDOS 6.2.0.20 开始，DDOS 中有一项称为“自动保留锁定”的功能，可以自动对所有写入的文件设置锁定。有关详情，请参阅本知识库文章中的“自动保留锁定”部分。

要保留锁定特定文件，必须修改文件的 atime，以匹配文件应保留锁定的日期和时间。这是文件应在这之前保持只读状态的日期和时间。在以这种方式修改时间之前，文件无法保留锁定（可以修改或删除）。

可以使用“touch”命令从 NFS 或 CIFS 客户端更改文件的 atime：

# touch -a -t [expiry time] [file to be locked]

例如，要将 /data/col1/rl_test/testfile 的 atime 设置为 07:05 on 8 June：

# touch -a -t 06080705 /data/col1/rl_test/testfile

从当前时间到未来 atime 的时间段必须在 MTree 的最短和最长保留期范围内。否则，在修改文件 atime 时会生成错误：

# touch -a -t 08080705 /data/col1/rl_test/testfile
touch: setting times of `/data/col1/rl_test/testfile': Permission denied

Data Domain 文件系统 (DDFS) 日志文件中还会显示相应的消息：

06/07 13:44:57.197 (tid 0x2b28ee5258c0): Attempt to set atime of /data/col1/rl_test/testfile to larger than maximum retention period of mtree.

默认情况下，CIFS (Windows) 客户端不包含 touch 命令或实用程序，但可从各种第三方网站免费下载多个此类实用程序。

提醒：在将文件写入 DDR 之前，无法将其保留锁定。无法创建空文件，保留锁定该文件，然后将数据写入文件。

哪些备份应用程序支持在将文件写入 DDR 后自动保留锁定文件？
Data Domain Retention Lock 与基于 NAS 的行业标准一次写入多次读取 (WORM) 协议兼容。Symantec Enterprise Vault、SourceOne、Cloud Tiering Appliance 或 DiskXtender 等归档应用程序符合集成要求。

对于 Dell NetWorker，支持治理和合规性模式。

从 2024 年 6 月起，作为 Avamar“不可变备份”功能的一部分，最近的 Avamar 版本支持 Data Domain Retention Lock 合规性和治理。有关详细信息，请参阅以下文章和 Avamar 文档：
Avamar 和 Data Domain：启用 Avamar 不可变备份和 Data Domain 合规性模式 Retention Lock

严格遵循启用 Avamar“不可变备份”功能的步骤至关重要。否则，最终可能会在 DD 中生成无法进一步写入的 Avamar MTree，或者出现操作问题而不得不进行长时间恢复。Avamar 不能使用 DD 自动保留锁定 (ARL)，因此不得为 DD 上的任何 Avamar MTree 启用 ARL。

使用不原生支持 Data Domain Retention Lock 的其他备份应用程序的客户也可以开发自定义脚本，以使用 Data Domain Retention Lock 手动设置文件的保留期限。在这种情况下，请确保自定义脚本设置文件的 atime，以便在备份应用程序尝试删除文件之前将其解锁。否则，可能会导致备份应用程序尝试删除锁定的文件（失败）；文件将无限期地保留在 DDR 上，占用磁盘空间。请参阅 Data Domain 管理指南。

自动保留锁定
对于本机不支持 Data Domain retention lock 功能的备份应用程序，客户使用该功能一直是一个问题。备份管理员必须配置脚本，才能为 MTree 新接收的文件设置保留锁定。该锁定必须设置，以便在备份到期（和被备份管理员删除）之前不久过期。

在启用该功能后，ARL 会对写入 MTree 的每个文件设置锁定，防止在配置的冷却期过后的给定时间段内更改或删除文件。这意味着，对于随着时间的推移必须重复更新某些文件的工作负载或备份应用程序，例如 VTL 池（VTL 磁带文件会被重复写入），或者对于将元数据信息与客户备份文件本身一起保存的备份应用程序（例如 NetWorker 或 Avamar），不得启用 ARL。在这些情况下启用 ARL 会在一段时间内锁定重要文件，当以后必须写入这些文件进行其他备份时，写入会失败，随后的任何备份也会失败。

为了帮助备份管理员减轻保留锁定子备份文件的负担，并使 DDOS 与其他供应商保持功能奇偶校验，从 DDOS 6.2.0.20 开始，推出了一项功能，可以从 CLI 中为配置了 Retention Lock 的每个 MTree 启用，以便自文件写入磁盘完成后，经过一些预先确定的时间，对接收的每个文件设置锁定（在给定的时间段内）。这样，管理员就不必再担心手动（或脚本化）设置保留锁定，而无需备份应用程序的配合，这种情况会自动发生。
在 DDOS 7.8 之前，无法在 DD Boost 逻辑存储单元 (LSU) 上使用自动保留锁定，尝试启用它将返回一个错误，指出该功能不受支持。
从 7.8 开始，DD Boost LSU 支持 ARL。

（在托管文件复制 (MFR) 的目标 DD 上使用的 ARL [如 NW 克隆] 应具有足够长的“automatic-lock-delay”，以确保在文件上设置锁定之前，备份集的克隆操作已完成。示例：作为备份集一部分的小文件快速完成复制，而较大的文件需要更长时间，然后当较大的文件完成复制时，第一个文件将被保留锁定，并且当 NW 尝试将备份集的所有文件移动到最终归档目录时，会遇到错误。）

Data Domain VTL 不支持自动保留锁定。

在适用的版本上，“mtree Retention-lock”CLI 中有其他选项，如下所示。也可以通过 UI 配置此功能，方法是在“Use”选项中选择“Automatic”而不是“Manual”：

# mtree retention-lock set
{min-retention-period | max-retention-period |
automatic-retention-period | automatic-lock-delay} <period>
mtree <mtree-path>

自动保留锁定功能会在预配置的冷却期到期后立即锁定文件 (automatic-lock-delay)。将文件写入启用了保留锁定的 MTree 后，如果值在为 MTree 设置的“min-retention-period”与“max-retention-period”值之间，锁定从设置时开始对于 "automatic-retention-period” 有效，锁定发生。

有关该功能的更多使用和一般详细信息，请参阅相应的 DDOS 管理指南。此功能不太适合以下情况：将同一 MTree 用作应具有不同时段的锁定设置的备份以及不应开头设置锁定的备份的目标。

可以或不能对锁定的文件执行哪些操作？

保留锁定文件为只读文件，不能修改或删除。
文件的保留期到期后，它将“解锁” — 当处于解锁状态时，仍无法修改文件，但可以将其删除。DDR 不会在文件的保留期到期时自动删除文件（后续删除必须从客户端系统或备份应用程序执行）。
设置后，无法缩短特定文件的保留期（即无法使文件 atime 提前）。
但是，可以增加保留期（可以将 atime 增加到 MTree 的最长保留期）。
可在文件锁定时继续修改文件的所有权和权限设置
只有启用了保留锁定的 MTree 中的目录不包含任何文件时，才可重命名或删除该目录。如果目录包含文件（即使这些文件未被保留锁定），则重命名或删除目录将失败
即使它不更改文件内容本身，也不允许更改具有锁定集的名称（重命名）文件，但是文件锁定过期后，也不允许重命名。对于不再被锁定的文件，仅允许执行删除操作。这一点在 DDOS 7.7.4 中发生变化，对于不再被锁定的文件，允许重命名文件。

是否可以完全删除文件或文件集的保留锁定？
可以使用治理模式对 MTree 中的文件“恢复”（删除）保留锁定 — 这可通过以下命令完成：

# mtree retention-lock revert [path]

删除文件的保留锁定后，可以正常修改或删除它。如果对某个目录运行此命令，则该目录和所有子目录中的所有文件均删除其保留锁定。

无法使用合规性模式恢复 MTree 中文件的保留锁定 — 如果尝试这样做，则会显示相应的错误：

# mtree retention-lock revert /data/col1/rl_test_comp/testfile
This operation is not allowed. Mtree is in retention-lock compliance mode.

如果尝试修改或删除保留锁定文件，会发生什么情况？
任何修改或删除保留锁定文件的尝试都会导致相应的“permission denied”错误发生：

# echo " test2" >> /data/col1/rl_test/testfile
bash: testfile: Permission denied
# rm testfile
rm: remove write-protected regular file `testfile'? y
rm: cannot remove `testfile': Permission denied

DDFS 日志指示操作由于文件被保留锁定而失败：

06/07 07:06:59.756 (tid 0x2b5a77605d50): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
06/07 07:07:42.504 (tid 0x2b5a79111390): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.

是否可以列出保留锁定的所有文件？
可以，可以使用 'mtree retention-lock report generate retention-details’ 命令执行此操作：

mtree retention-lock report generate retention-details
mtrees {<mtree-list> | all}
[format {text | tsv | csv}]
[output-file <file-name>]
               Report detailed information of
               retention-lock files.

例如，要列出 /data/col1/rl_test MTree 中所有锁定文件的详细信息，将执行以下操作：

sysadmin@ddxxxx# mtree retention-lock report generate retention-details mtrees /data/col1/jftest
Report generated on: Fri Jul  1 14:19:31 2016

Report for mtree: /data/col1/jftest
File Path        Mode        Size(Bytes)        Expiration Date
/data/col1/jftest/file1 governance 10521456 Sat Jul  2 22:35:48 2016
/data/col1/jftest/testdir/file2 governance 10521680 Sat Jul  2 22:35:42 2016
/data/col1/jftest/file3 governance 10521820 Sun Jul 10 22:36:09 2016
Total files: 3

是否可以完全禁用 MTree 的保留锁定（启用后）？
是，对于使用治理模式的 Mtree，这使用 'mtree retention-lock disable’ 命令执行：

# mtree retention-lock disable mtree [mtree]

For example:     
sysadmin@xxxx# mtree retention-lock disable mtree /data/col1/rl_test
Retention-lock feature is disabled (previously enabled) for mtree /data/col1/rl_test.

Once disabled, MTree list indicates that retention lock was used against the MTree but has since been disabled, that is: 
sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rl_test                             0.0   RW/RLGD   -
...

提醒：在 MTree 上禁用保留锁定后：

写入 MTree 的新文件不能保留锁定。
已锁定的文件在先前定义的保留期内保持锁定状态（即，当针对 MTree 禁用保留锁定时，不会自动恢复所有锁定）。
无法恢复 MTree 中禁用保留锁定的文件的现有锁定。在禁用保留锁定之前，必须执行所有必要的反向操作：

sysadmin@ddxxxx# mtree retention-lock revert /data/col1/rl_test/testfile
**** Retention-lock feature is disabled (previously enabled) for mtree which contains the path /data/col1/rl_test/testfile.

无法为使用合规性模式的 MTree 禁用保留锁定：

sysadmin@ddxxxx# mtree retention-lock disable mtree /data/col1/rl_test_comp
**** Operation is not allowed because the system is a retention-lock compliance system

是否仍可以对启用了保留锁定的 MTree 使用复制？

是，可以使用各种复制拓扑复制保留锁定的 MTree 或文件：

目录复制 — 仅支持使用治理模式的文件 — 不会将最短和最长保留期复制到目标系统。
MTree 复制 — 可用于治理或合规性模式数据，并将最短和最长保留期复制到目标系统。
集合复制 — 可用于治理或合规性模式数据，并将最短和最长保留期复制到目标系统。

提醒：要在目标系统上保存保留锁定，请执行以下操作：

源系统和目标系统都必须安装相应的保留锁定许可证。
MTree 复制上下文必须将 'Replication propagate-retention-lock’ 设置为 Enabled。
对于通过目录复制复制的文件，必须在目标系统上手动设置相应的 MTree 最小和最长保留期。

复制保留锁定文件时是否有任何其他限制？

是，使用保留锁定数据的复制上下文（尝试重新建立以前配置但断开的上下文）的重新同步可能会失败。

提醒：

如果使用 MTree 复制，并且目标 MTree 包含源上不存在的保留锁定文件，则重新同步将失败。
如果使用目录复制，并且目标已启用保留锁定但源未启用，则重新同步将失败。

提醒：使用 MTree 复制时，如果目标 MTree 不包含源 DDR 上不存在的保留锁定文件，则在以下情况下重新同步会成功：

源 MTree 未启用保留锁定，但目标已启用。
目标 MTree 未启用保留锁定，但源已启用。

也无法在已是 MTree 复制上下文成员的 MTree 上启用保留锁定合规性模式。在这种情况下：

源系统和目标系统上的 MTree 复制上下文均应断开：

# replication break mtree://[destination system]/data/col1/[mtree]

应在源系统和目标系统上创建新的 MTree 复制上下文：

# replication add source mtree://[source system]/data/col1/[mtree] destination mtree://[destination system/data/col1/[mtree]

应在源系统上启用保留锁定合规性模式：

# mtree retention-lock enable mode compliance mtree [mtree]

应在源系统上重新同步新创建的复制上下文：

# replication resync mtree://[destination system/data/col1/[mtree]

是否可以快速复制保留锁定的文件？

是，可以正常快速拷贝保留锁定的文件。如果保存快速拷贝的目标 MTree 已启用保留锁定，则文件的保留锁定将保留在快速拷贝上。如果目标 MTree 未启用保留锁定，则快速拷贝不会保留锁定。

使用保留锁定时，系统功能是否有任何其他限制？

在使用保留锁定合规性模式的系统上，不允许使用以下命令：

# user reset
# filesys destroy
# filesys archive unit del [archive unit name]

如果不使用 USB 驱动器和物理访问系统，技术支持无法将此类系统启动至单个用户模式进行恢复。

在使用保留锁定合规性模式的 MTree 上，不允许使用以下命令：

# mtree delete [mtree]
# mtree retention-lock reset [min-retention-period period | max-retention-period period] mtree [mtree]
# mtree retention-lock disable mtree [mtree]
# mtree retention-lock revert

但是，在 DDOS 7.3 及更高版本中，执行了一项资源调配，以便客户能够删除启用了 Retention Lock Compliance 的 MTree，前提是：

DD 正在运行 DDOS 7.3 或更高版本。
要删除的 RLCE MTree 为空（没有文件和目录）。
管理员成功通过安全专员身份验证。

在配置了长期保留（云层）的系统中，可能也不允许使用类似破坏性的命令，例如：

# cloud unit del <cloud unit name>

提醒：使用保留锁定治理模式（或启用此模式）的 MTree 只能在 MTree 不包含任何文件时被删除 — 如果 MTree 中剩余任何文件，则返回错误。

启用了保留锁定的系统上的系统时钟是否重要？

是的，启用了保留锁定合规性的系统可启用内部“安全时钟”，以防恶意篡改系统时钟（这可能会允许尽早删除保留锁定文件）。定期比较安全时钟和系统时钟的时间，如果在单个日历年内两者之间累积了 2 周偏差，Data Domain 文件系统 (DDFS) 将自动禁用，以防止访问 DDR 上的数据。如果系统时钟突然被修改并且时间更改超过 2 周，也会发生这种情况。

在这种情况下，可以通过以下方式重新启用 DDFS：

登录 DDR
检查系统时钟是否设置正确。
启用文件系统：
```
# filesys enable
```
出现提示时，输入具有安全角色的用户的详细信息，以允许重置安全时钟，并启用 DDFS。

在启用了保留锁定合规性的系统上，系统时钟是否可以与 Active Directory 同步？
否，启用保留锁定合规性后，CIFS 服务器将不再将系统时间与 Active Directory 同步。如果系统与 Active Directory 之间的时间差超过五分钟，则当 Active Directory 用户尝试登录或系统尝试加入 Active Directory 域时，CIFS 服务器将显示错误消息。使用 NTP 配置 Active Directory 时间以避免此错误。

这与未启用保留锁定合规性但使用 Active Directory 的系统形成鲜明对比。在这种情况下，不建议启用 NTP，因为 Active Directory 和 NTP 之间可能存在时间设置冲突。

如果使用保留锁定文件的 DDR 填满容量，可以采取哪些步骤？

假设 DDR 上没有“可清理”空间（已运行清理，但系统仍已填满容量），则应检查其内容以确定：

有没有可以删除的未保留锁定的文件。
有没有文件使用治理模式锁定，可以恢复和删除其锁定。

完成此操作后，应再次运行清理以在系统上物理释放空间。或者，如果无法从系统中删除物理数据，则应将额外的物理存储添加到 DDR 和扩展的文件系统（假设当前 DDR 或配置支持扩展）。

如果系统上的唯一文件使用合规性模式锁定，则无法恢复锁定并删除这些文件。因此，除非发生以下情况，否则无法释放空间：

一些或所有文件的保留期已到。在此之后，可以删除它们并进行运行清理（如上所述）。
系统从 USB 驱动器重新安装（这会导致 DDR 上的所有数据丢失）。
系统中添加了更多物理存储（如上所述）。

提醒：完全可以用使用合规性模式锁定的文件填满 DDR。在这种情况下，管理员或技术支持无法释放空间（即没有低级功能来删除/恢复合规性模式锁定及尽早删除相应的文件）。

文書のプロパティ

影響を受ける製品

Data Domain, Data Domain Retention Lock

製品

Data Domain

最後に公開された日付

18 7月 2024

バージョン

文書の種類

Solution

トップに戻る

ようこそ

Dellへようこそ

Data Domain：Retention Lock 常见问题

概要: 本文概述了 Data Domain retention lock (RL) 功能，并说明了治理和合规性模式的配置和利用之间的差异。

文書の内容

現象

原因

解決方法

文書のプロパティ

影響を受ける製品

製品

最後に公開された日付

バージョン

文書の種類