Data Domain: Často kladené dotazy ohledně funkce zámku uchování

Co je zámek uchování?
Zámek uchování (Retention Lock) je funkce, která se používá v zařízeních Data Domain Restorer (DDR) k zabránění úprav či odstranění určitých souborů po předem určenou dobu. To znamená, že soubory ošetřené touto funkcí jsou určeny pouze ke čtení, dokud nevyprší doba jejich uchování.

Jaké jsou různé verze zámku uchování?
Zámek uchování je k dispozici pro dvě různé funkce:

• Řízení: Méně přísná funkce zámku uchování (zámek souborů lze v případě potřeby odebrat).
• Soulad: Přísnější ze dvou funkcí, která je v souladu s několika společnými regulačními normami. Zámek souborů nelze odebrat. Zařízení DDR je nutné nakonfigurovat s pomocí uživatele „security officer“, který musí ověřit určité příkazy. Existují různá omezení pro další funkce, která brání předčasnému odstranění uzamčených dat nebo odebrání zámku.

Které protokoly přístupu k datům jsou podporovány u funkce zámku uchování?

• V případě fondů MTree s použitím funkce zámku uchování v režimu řízení či souladu jsou plně podporovány protokoly NFS, CIFS a DD Boost.
• Protokol VTL (Virtual Tape Library) je podporován pouze u fondů MTree s použitím funkce zámku uchování v režimu řízení. Automatický zámek uchování není podporován v knihovně Data Domain VTL. Informace o tom, jak odemknout pásky se zámkem uchování, aby na ně bylo možné provádět zápis, naleznete v průvodci správou systému Data Domain.

Režim souladu zámku uchování splňuje regulační normy:
Seznam regulačních norem, které režim souladu zámku uchování splňuje, zahrnuje následující:     

• SEC 17a-4(f)
• Pravidlo CFTC 1.31b
• FDA 21 CFR, část 11
• Zákon Sarbanes-Oxley
• IRS 98025 a 97-22
• Norma ISO 15489-1
• MoREQ2010

Podrobné informace o certifikaci vám poskytne váš smluvní poskytovatel podpory.

Jak se povoluje režim řízení zámku uchování?

• Do zařízení DDR je přidána licence řízení zámku uchování.
• Režim řízení zámku uchování se povolí u všech požadovaných fondů MTree:     

# mtree retention-lock enable mode governance mtree [mtree]

Jak se povoluje režim souladu zámku uchování?

• Existují specifické pokyny pro některé novější modely systému Data Domain s řadičem iDRAC.
• Do zařízení DDR je přidána licence souladu zámku uchování.
• Je třeba vytvořit uživatele s rolí „security“ (za předpokladu, že takový uživatel již neexistuje):     

(ADMIN USER) # user add [username] role security

•  Uživatel s rolí „security“ se musí přihlásit do zařízení DDR a povolit oprávnění uživatelů zabezpečení:     

(SECURITY USER): # authorization policy set security-officer enabled

• Systém je třeba nakonfigurovat na režim souladu zámku uchování. Jakmile se dokončí následující příkaz, systém se automaticky restartuje:     

(ADMIN USER) # system retention-lock compliance configure

• Po restartování systému by měl být režim souladu zámku uchování v systému povolen:     

(ADMIN USER) # system retention-lock compliance enable

• Režim souladu zámku uchování se povolí u všech požadovaných fondů MTree:

(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]

Jak je možné určit, které fondy MTree mají povolený zámek uchování?
Fondy MTree s povoleným zámkem uchování jsou uvedeny ve výstupu mtree listnapříklad:

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rich-retention-lock                 0.0   RW/RLGE   -
/data/col1/rl_test                             0.0   RW/RLGD   -
/data/col1/rl_test_comp                        0.0   RW/RLCE   -
/data/col1/test                                3.1   RW/RLGE   -
...
---------------------------------   --------------   -------   -----------
...
 RLGE : Retention-Lock Governance Enabled
 RLGD : Retention-Lock Governance Disabled
 RLCE : Retention-Lock Compliance Enabled

Lze fond MTree se zapnutým řízením zámku uchování převést na soulad zámku uchování?
Jak je uvedeno v průvodci správou systému DDOS, není to možné.

Může být fond MTree se zapnutým souladem zámku uchování převeden na řízení zámku uchování?
Jak je uvedeno v průvodci správou systému DDOS, není to možné.

Jak se nastavují doby uchování nebo uzamčení souborů?
Jakmile je u fondu MTree povolen zámek uchování, je nutné nastavit minimální a maximální dobu uchování. Tyto hodnoty určují minimální a maximální dobu, po kterou lze soubor v rámci fondu MTree uzamknout. Například:     

# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]

Období mohou být uvedena v různých jednotkách:     

• 1 minuta
• 1 hodina
• 1 den
• 1 měsíc
• 1 rok

Jak lze zobrazit stávající doby uchování?
To lze provést pomocí následujících dvou příkazů:     

# mtree retention-lock show min-retention-period mtree [mtree]
# mtree retention-lock show max-retention-period mtree [mtree]

Například:     

sysadmin@dd630# mtree retention-lock show min-retention-period mtree /data/col1/rl_test
Retention-lock min-retention-period of mtree /data/col1/rl_test is: 720 minutes.
sysadmin@dd630# mtree retention-lock show max-retention-period mtree /data/col1/rl_test
Retention-lock max-retention-period of mtree /data/col1/rl_test is: 30 days.

Jak se uzamykají soubory ve fondu MTree s povoleným zámkem uchování?

• Pokud je u fondu MTree povolen zámek uchování, stávající soubory v daném fondu nebudou automaticky uzamčeny (to znamená, že všechny stávající soubory budou dostupné ke čtení i zápisu).
• Když se nový soubor zapíše do fondu MTree s povoleným zámkem uchování, nedojde k jeho automatickému uzamčení. To znamená, že nový soubor bude dostupný ke čtení i zápisu.

• Chcete-li zámkem uchování opatřit určitý soubor, je nutné upravit jeho čas atime tak, aby odpovídal datu a času, po který má být soubor uzamčen. Jedná se tedy o datum a čas, do kterého má soubor zůstat k dispozici jen pro čtení. Dokud tímto způsobem nezměníte čas, soubor nebude možné uzamknout (a lze jej upravit nebo odebrat).

Čas atime souboru lze změnit z klienta NFS nebo CIFS pomocí příkazu „touch“:

# touch -a -t [expiry time] [file to be locked]

Chcete-li například nastavit čas atime /data/col1/rl_test/testfile na 07:05, 8. června: 

# touch -a -t 06080705 /data/col1/rl_test/testfile

Období od tohoto okamžiku do dosažení budoucího času atime musí být u fondu MTree v rámci minimální a maximální doby uchování. V opačném případě se při úpravě souborů atime vygeneruje chyba:

# touch -a -t 08080705 /data/col1/rl_test/testfile
touch: setting times of `/data/col1/rl_test/testfile': Permission denied

Odpovídající zpráva se také zobrazí v souborech protokolu DDFS (Data Domain File System):

06/07 13:44:57.197 (tid 0x2b28ee5258c0): Attempt to set atime of /data/col1/rl_test/testfile to larger than maximum retention period of mtree.

Klienti CIFS (Windows) standardně neobsahují příkaz nebo nástroj touch, avšak několik takových nástrojů je volně k dispozici ke stažení z různých webových stránek třetích stran.

Které zálohovací aplikace podporují automatický zámek uchování u souborů po jejich zápisu do zařízení DDR?
Funkce zámku uchování systému Data Domain je kompatibilní se standardními protokoly WORM (Write-Once-Read-Many) na bázi NAS. Integrace je způsobilá pro archivační aplikace jako Symantec Enterprise Vault, SourceOne, Cloud Tiering Appliance nebo DiskXtender.

V případě softwaru Dell NetWorker jsou podporovány režimy řízení i souladu.

Od června 2024 podporují nejnovější verze softwaru Avamar režim souladu i řízení zámku uchování Data Domain v rámci funkce „Immutable Backups“ systému Avamar. Podrobnosti naleznete v níže uvedeném článku a v dokumentaci k softwaru Avamar:
Avamar a Data Domain: Povolení neměnného zálohování Avamar a zámku uchování režimu souladu Data Domain

Je důležité striktně dodržovat kroky k povolení funkce „Immutable Backups“ systému Avamar. Pokud tak neučiníte, může se v systému DD objevit fond Avamar MTree, do kterého nebude možné dále zapisovat nebo který se bude potýkat s provozními problémy, což si vynutí zdlouhavé obnovení. Software Avamar nefunguje s automatickým zámkem uchování (ARL) systému DD a ARL nesmí být povolen pro žádný fond Avamar MTree v systému DD.

Zákazníci, kteří používají jiné zálohovací aplikace, které nativně nepodporují zámek uchování systému Data Domain, mohou také vytvořit vlastní skripty, které budou používat zámek uchování systému Data Domain k ručnímu nastavení doby uchování souborů. V tomto případě se ujistěte, že vlastní skripty nastavují u souborů takový čas atime, který je umožní odemknout, ještě než se je zálohovací aplikace pokusí odstranit. Pokud to tak není, zálohovací aplikace se pokusí odstranit uzamčené soubory, což se nezdaří, a soubory tak zůstanou navždy v zařízení DDR a budou zabírat místo na disku. Viz průvodce správou systému Data Domain.

Automatický zámek uchování
Uživatelé zálohovacích aplikací, které nativně nepodporují funkci zámku uchování systému Data Domain, měli vždy problémy při používání funkce. Správce zálohování musí nakonfigurovat skripty pro nastavení zámku uchování u nově zapsaných souborů pro fond MTree. Zámek je nutné nastavit tak, aby jeho platnost vypršela chvíli před tím, než správce zálohování ukončí platnost zálohy (a odstraní ji).

ARL nastaví zámek pro každý jednotlivý soubor zapsaný do fondu MTree po povolení této funkce, čímž zabrání změně nebo odebrání souboru po určitou dobu po uplynutí nakonfigurované doby. To znamená, že funkce ARL nesmí být povolena pro úlohy nebo zálohovací aplikace, které musí v průběhu času opakovaně aktualizovat některé soubory, například ve fondech VTL (opakovaný zápis na páskové soubory VTL) nebo pro zálohovací aplikace, které uchovávají informace metadat společně se samotnými zálohovanými soubory zákazníka (například NetWorker nebo Avamar). Když v těchto případech povolíte ARL, budou důležité soubory po určitou dobu uzamčeny, a když bude nutné do těchto souborů později zapisovat pro další zálohování, zápis se nezdaří, stejně jako následné zálohování.

Aby správce zálohování nemusel ručně udržovat zámek uchování na zálohovaných souborech a aby v systému DDOS bylo možné využívat funkce dalších dodavatelů, je od verze DDOS 6.2.0.20 k dispozici funkce, kterou lze povolit z rozhraní příkazového řádku pro každý fond MTree s nakonfigurovaným zámkem uchování a která umožňuje nastavit zámek na každý zapsaný soubor (na určitou dobu) po uplynutí předem nastavené doby od zápisu souboru na disk. Správci se tak již nemusí starat o ruční (nebo skriptované) nastavování zámku uchování, ke kterému dochází automaticky bez zapojení zálohovacích aplikací. 
Před verzí DDOS 7.8 nelze v jednotkách logického úložiště (LSU) DDBoost použít automatický zámek uchování a pokus o jeho povolení zobrazí chybu oznamující, že není podporován.
Automatický zámek uchování je podporován pro jednotky LSU DDBoost počínaje verzí 7.8.

(Automatický zámek uchování použitý v cílových systémech DD pro replikaci MFR (Managed File Replication), jako klon NW, by měl mít nastavenou dostatečně dlouhou dobu prodlevu automatického zámku („automatic-lock-delay“), aby byla zajištěna úplná operace klonování pro sadu zálohy před nastavením zámku v souborech. Příklad: U malého souboru, který je součástí zálohovacího skladu, se replikace dokončí rychle, zatímco u většího souboru to trvá déle. V době, kdy se dokončí replikace většího souboru, je první soubor opatřen zámkem uchování a při pokusu NW přesunout všechny soubory zálohovacího skladu do konečného archivačního adresáře dojde k chybě.)

Automatický zámek uchování není podporován v knihovně Data Domain VTL.

U příslušných verzí jsou k dispozici další možnosti v mtree retention-lock rozhraní příkazového řádku, jak je znázorněno níže. Tuto funkci lze také nakonfigurovat pomocí uživatelského rozhraní výběrem možnosti „Automatic“ namísto možnosti „Manual“ v nabídce „Use“:     

# mtree retention-lock set
{min-retention-period | max-retention-period |
automatic-retention-period | automatic-lock-delay} <period>
mtree <mtree-path>

Funkce automatického zámku uchování uzamkne soubor ihned po uplynutí předem nastavené doby (prodleva automatického uzamčení). Zámek se aktivuje po zapsání souboru do fondu MTree s povoleným zámkem uchování, pokud je tento zámek nastaven na možnost „automatic-retention-period“ od okamžiku jeho zapsání a pokud jsou pro fond MTree nastaveny hodnoty „min-retention-period“ a „max-retention-period“.

Další informace o použití a obecné podrobnosti o této funkci naleznete v příslušném průvodci správou systému DDOS. Tato funkce není vhodná v případě, kdy se stejný fond MTree používá jako cíl záloh, které by měly mít nastavený zámek na různá období, nebo záloh, které by zámek neměly mít nastavený vůbec.

Které úkony lze provádět u zamknutého souboru?

• Soubory opatřené zámkem uchování jsou k dispozici pouze pro čtení a nelze je upravit ani odstranit.
• Po uplynutí doby uchování souboru dojde k jeho „odemknutí“ – ani v odemknutém stavu nelze soubor upravit, je ho však možné odstranit. Zařízení DDR automaticky neodstraní soubor po vypršení jeho doby uchování (odstranění musí být provedeno z klientského systému nebo zálohovací aplikace).
• Dobu uchování pro určitý soubor nelze po nastavení zkrátit (to znamená, že čas atime souborů nelze snížit).
• Dobu uchování lze však prodloužit (čas atime lze zvýšit až na maximální dobu uchování pro daný fond MTree).
• Nastavení vlastnictví a oprávnění souboru lze upravovat, i když je soubor uzamčen.
• Adresář ve fondu MTree s povoleným zámkem uchování lze přejmenovat nebo odstranit pouze tehdy, pokud tento adresář neobsahuje žádné soubory. Pokud adresář obsahuje soubory (i když tyto soubory nejsou opatřeny zámkem uchování), přejmenování nebo odstranění adresáře není možné.
• I když nedojde ke změně samotného obsahu souboru, není povoleno měnit názvy (přejmenovat) souborů s nastaveným zámkem. Přejmenování je však zakázáno také po vypršení platnosti zámku. U souborů, které již nejsou uzamčené, je povolena pouze operace odstranění. V systému DDOS 7.7.4 došlo ke změně, kdy lze přejmenovat soubory, které již nejsou uzamčené.

Je možné zcela odstranit zámek uchování u souborů nebo sady souborů?
Zámek uchování lze odstranit u souborů ve fondech MTree, které používají režim řízení – k tomu je potřeba následující příkaz:     

# mtree retention-lock revert [path]

Po odstranění zámku uchování lze soubor upravit nebo odstranit běžným způsobem. Pokud tento příkaz spustíte u adresáře, pak odstraníte zámek uchování u všech souborů a podadresářů, které obsahuje.

Zámek uchování nelze odstranit u souborů ve fondu MTree, který používá režim souladu – při takovém pokusu se zobrazí odpovídající chyba:     

# mtree retention-lock revert /data/col1/rl_test_comp/testfile
This operation is not allowed. Mtree is in retention-lock compliance mode.

Co se stane, když se pokusíte upravit nebo odstranit soubor uzamčený uchováním?
Jakýkoli pokus o úpravu nebo odstranění souboru uzamčeného uchováním způsobí odpovídající permission denied chyba:

# echo " test2" >> /data/col1/rl_test/testfile
bash: testfile: Permission denied
# rm testfile
rm: remove write-protected regular file `testfile'? y
rm: cannot remove `testfile': Permission denied

Protokoly DDFS značí, že operace selhala, protože je soubor opatřen zámkem uchování:     

06/07 07:06:59.756 (tid 0x2b5a77605d50): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
06/07 07:07:42.504 (tid 0x2b5a79111390): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.

Je možné vypsat všechny soubory, které jsou opatřeny zámkem uchování?
Ano, to lze provést pomocí mtree retention-lock report generate retention-details :

mtree retention-lock report generate retention-details
mtrees {<mtree-list> | all}
[format {text | tsv | csv}]
[output-file <file-name>]
               Report detailed information of
               retention-lock files.

Chcete-li například zobrazit podrobnosti o všech uzamčených souborech v /data/col1/rl_test MTree Budou provedeny následující akce:

sysadmin@ddxxxx# mtree retention-lock report generate retention-details mtrees /data/col1/jftest
Report generated on: Fri Jul  1 14:19:31 2016

Report for mtree: /data/col1/jftest
File Path        Mode        Size(Bytes)        Expiration Date
/data/col1/jftest/file1 governance 10521456 Sat Jul  2 22:35:48 2016
/data/col1/jftest/testdir/file2 governance 10521680 Sat Jul  2 22:35:42 2016
/data/col1/jftest/file3 governance 10521820 Sun Jul 10 22:36:09 2016
Total files: 3

Je možné u fondu MTree zcela zakázat zámek uchování (poté, co je povolen
)?Ano, u fondů MTree používajících režim řízení se provádí pomocí mtree retention-lock disable :

# mtree retention-lock disable mtree [mtree]

For example:
sysadmin@xxxx# mtree retention-lock disable mtree /data/col1/rl_test
Retention-lock feature is disabled (previously enabled) for mtree /data/col1/rl_test.

Once disabled, MTree list indicates that retention lock was used against the MTree but has since been disabled, that is: 

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rl_test                             0.0   RW/RLGD   -
...

sysadmin@ddxxxx# mtree retention-lock revert /data/col1/rl_test/testfile
**** Retention-lock feature is disabled (previously enabled) for mtree which contains the path /data/col1/rl_test/testfile.

• Zámek uchování nelze zakázat u fondu MTree, který používá režim souladu:     

sysadmin@ddxxxx# mtree retention-lock disable mtree /data/col1/rl_test_comp
**** Operation is not allowed because the system is a retention-lock compliance system

• Replikace adresáře – podporována pouze u souborů v režimu řízení – nedochází k replikaci minimální a maximální doby uchování do cílového systému.
• Replikace fondu MTree – lze použít pro data režimu řízení nebo souladu a dochází k replikaci minimální a maximální doby uchování do cílového systému.
• Replikace sběru – lze použít pro data režimu řízení či souladu a dochází k replikaci minimální a maximální doby uchování do cílového systému.

# replication break mtree://[destination system]/data/col1/[mtree]

# replication add source mtree://[source system]/data/col1/[mtree] destination mtree://[destination system/data/col1/[mtree]

# mtree retention-lock enable mode compliance mtree [mtree]

# replication resync mtree://[destination system/data/col1/[mtree]

# user reset
# filesys destroy
# filesys archive unit del [archive unit name]

# mtree delete [mtree]
# mtree retention-lock reset [min-retention-period period | max-retention-period period] mtree [mtree]
# mtree retention-lock disable mtree [mtree]
# mtree retention-lock revert

# cloud unit del <cloud unit name>