Co to jest blokada retencji?
Blokada retencji to funkcja używana w systemach Data Domain Restorer (DDR) w celu zapobiegania modyfikacji lub usunięciu określonych zestawów plików przez wstępnie ustalony okres. Oznacza to, że pliki z blokadą retencji są tylko do odczytu do upływu okresu retencji.
Jakie są wersje blokady retencji?
Blokada retencji jest dostępna dla dwóch różnych funkcji:
Które protokoły dostępu do danych są obsługiwane przez blokadę retencji?
Blokada retencji w trybie compliance jest zgodna ze standardami prawnymi:
Lista standardów prawnych, które spełnia blokada retencji w trybie zgodności, obejmuje następujące:
Aby uzyskać pełne informacje na temat certyfikatów, należy skontaktować się z dostawcą umowy pomocy technicznej.
Jak włączyć blokadę retencji w trybie governance?
# mtree retention-lock enable mode governance mtree [mtree]
Jak włączyć blokadę retencji w trybie compliance?
(ADMIN USER) # user add [username] role security
(SECURITY USER): # authorization policy set security-officer enabled
(ADMIN USER) # system retention-lock compliance configure
(ADMIN USER) # system retention-lock compliance enable
(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]
W jaki sposób można określić, które drzewa MTree mają włączoną blokadę retencji?
Drzewa MTree z włączoną blokadą retencji są wskazywane w danych wyjściowych mtree listna przykład:
sysadmin@ddxxxx# mtree list Name Pre-Comp (GiB) Status Tenant-Unit --------------------------------- -------------- ------- ----------- ... /data/col1/rich-retention-lock 0.0 RW/RLGE - /data/col1/rl_test 0.0 RW/RLGD - /data/col1/rl_test_comp 0.0 RW/RLCE - /data/col1/test 3.1 RW/RLGE - ... --------------------------------- -------------- ------- ----------- ... RLGE : Retention-Lock Governance Enabled RLGD : Retention-Lock Governance Disabled RLCE : Retention-Lock Compliance Enabled
Czy MTree z włączoną funkcją Retention Lock Governance można przekształcić w funkcję Retention Lock Compliance?
Jak wskazano w podręczniku administratora DDOS, nie jest to możliwe.
Czy MTree z włączoną funkcją Retention Lock Compliance można przekształcić w funkcję Retention Lock Governance?
Jak wskazano w podręczniku administratora DDOS, nie jest to możliwe.
W jaki sposób konfigurowane są okresy przechowywania plików lub blokady?
Po włączeniu blokady retencji dla MTree należy ustawić minimalny i maksymalny okres przechowywania. Okresy te dyktują minimalny i maksymalny czas zablokowania pliku w drzewie MTree. Na przykład:
# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]
Okresy mogą być podawane w następujących jednostkach:
Jak wyświetlić istniejące okresy retencji?
Można to zrobić przy użyciu następujących dwóch poleceń:
# mtree retention-lock show min-retention-period mtree [mtree] # mtree retention-lock show max-retention-period mtree [mtree]
Na przykład:
sysadmin@dd630# mtree retention-lock show min-retention-period mtree /data/col1/rl_test
Retention-lock min-retention-period of mtree /data/col1/rl_test is: 720 minutes.
sysadmin@dd630# mtree retention-lock show max-retention-period mtree /data/col1/rl_test
Retention-lock max-retention-period of mtree /data/col1/rl_test is: 30 days.
Jak blokować pliki w MTree z włączoną blokadą retencji?
Parametr atime pliku można zmienić z poziomu klienta NFS lub CIFS przy użyciu polecenia „touch”.
# touch -a -t [expiry time] [file to be locked]
Na przykład aby ustawić parametr atime dla pliku /data/col1/rl_test/testfile na 07:05 w dniu 8 czerwca:
# touch -a -t 06080705 /data/col1/rl_test/testfile
Okres od bieżącego czasu do czasu atime w przyszłości musi być w zakresie od minimalnego do maksymalnego okresu retencji dla drzewa MTree. W przeciwnym razie podczas modyfikowania parametru atime plików zostanie wygenerowany błąd:
# touch -a -t 08080705 /data/col1/rl_test/testfile
touch: setting times of `/data/col1/rl_test/testfile': Permission denied
Odpowiedni komunikat będzie wyświetlany także w plikach dziennika systemu plików Data Domain (DDFS):
06/07 13:44:57.197 (tid 0x2b28ee5258c0): Attempt to set atime of /data/col1/rl_test/testfile to larger than maximum retention period of mtree.
Klienty CIFS (Windows) domyślnie nie obejmują polecenia lub narzędzia touch, ale wiele tego typu narzędzi jest dostępnych bezpłatnie do pobrania z witryn internetowych innych producentów.
Które aplikacje do tworzenia kopii zapasowych obsługują automatyczne obejmowanie plików blokadą retencji do zapisania w DDR?
Funkcja Data Domain Retention Lock jest zgodna ze stanowiącymi standard branżowy protokołami WORM (Write-Once-Read-Many) opartymi na NAS. Integracja jest możliwa z aplikacjami do archiwizacji, takimi jak Symantec Enterprise Vault, SourceOne, Cloud Tiering Appliance lub DiskXtender.
W przypadku rozwiązania Dell NetWorker obsługiwane są tryby governance i compliance.
Od czerwca 2024 r. najnowsze wersje Avamar obsługują zarówno tryb compliance funkcji Data Domain Retention Lock, jak i governance w ramach funkcji niezamiennych kopii zapasowych „Immutable Backups” Avamar. Szczegółowe informacje można znaleźć w poniższym artykule i dokumentacji Avamar:
Avamar i Data Domain: Włączanie niezmiennych kopii zapasowych Avamar i blokady retencji w trybie compliance Data Domain
Bardzo ważne jest, aby ściśle przestrzegać kroków umożliwiających włączenie funkcji „niezmiennych kopii zapasowych” Avamar. W przeciwnym razie w DD pojawi się obiekt Avamar MTree, w którym nie będzie można już niczego zapisać lub w którym wystąpią problemy operacyjne wymuszające czasochłonne odzyskiwanie. Avamar nie działa z DD Automatic Retention Lock (ARL), a ARL nie może być włączony dla żadnego Avamar MTree na DD.
Klienci korzystający z innych aplikacji do tworzenia kopii zapasowych, które nie obsługują natywnie Data Domain Retention Lock, mogą również opracowywać niestandardowe skrypty umożliwiające ręczne ustawianie okresów retencji plików za pomocą tej funkcji. W tym scenariuszu należy upewnić się, że niestandardowe skrypty ustawiają parametr atime pliku w taki sposób, aby został odblokowany przed próbą usunięcia pliku przez aplikację do tworzenia kopii zapasowych. W przeciwnym razie aplikacja do tworzenia kopii zapasowych może podjąć próbę usunięcia zablokowanych plików (która nie powiedzie się). Plik pozostanie w DDR na czas nieokreślony i będzie zajmować miejsce na dysku. Należy zapoznać się z podręcznikiem administracyjnym Data Domain.
Automatyczna blokada retencji
W przypadku aplikacji do tworzenia kopii zapasowych bez natywnej obsługi funkcji blokady retencji Data Domain korzystanie z tej funkcji zawsze było problemem dla klientów. Administrator kopii zapasowej musi skonfigurować skrypty, aby ustawić blokadę retencji na nowo przyswojonych plikach dla MTree. Blokada musi być ustawiona w taki sposób, aby wygasała na krótko przed wygaśnięciem (i usunięciem) kopii zapasowej przez administratora kopii zapasowych.
ARL nakłada blokadę na każdy plik zapisany w MTree po włączeniu funkcji, uniemożliwiając zmianę lub usunięcie pliku przez określony czas po upływie skonfigurowanego okresu karencji. Oznacza to, że funkcja ARL nie może być włączona dla obciążeń roboczych lub aplikacji do tworzenia kopii zapasowych, które muszą z czasem wielokrotnie aktualizować niektóre pliki, na przykład w pulach VTL (VTL, na których pliki taśmy są wielokrotnie zapisywane) lub dla aplikacji do tworzenia kopii zapasowych, które przechowują informacje o metadanych wraz z samymi plikami kopii zapasowych klienta (np. NetWorker lub Avamar). Włączenie ARL w tych przykładach, aby zablokować na jakiś czas ważne pliki lub dodać je do innych kopii zapasowych, spowoduje, że zapis kończy się niepowodzeniem, podobnie jak wszelkie kolejne kopie zapasowe.
Aby pomóc administratorom kopii zapasowych zmniejszyć obciążenie związane z kontrolą blokady retencji na plikach kopii zapasowych i uczynić DDOS równorzędnym z funkcjami innych dostawców, od wersji DDOS 6.2.0.20 istnieje funkcja, którą można włączyć z poziomu interfejsu CLI dla każdego drzewa MTree ze skonfigurowaną blokadą retencji, aby ustawić blokadę dla każdego wczytywanego pliku (na dany okres) po określonym czasie od wykonania zapisu pliku na dysku. W ten sposób administratorzy nie muszą już martwić się o ręczne (lub skryptowe) ustawianie blokady retencji i może to następować automatycznie bez współpracy z aplikacją do tworzenia kopii zapasowych.
Przed wprowadzeniem systemu DDOS 7.8 nie można używać automatycznej blokady retencji na logicznych jednostkach pamięci masowej (LSU) DD Boost, a próba włączenia tej funkcji powoduje błąd informujący, że nie jest ona obsługiwana.
Od wersji 7.8 funkcja ARL jest obsługiwana przez jednostki LSU DD Boost.
(Protokół ARL używany w docelowych systemach DD dla Managed File Replication (MFR), takich jak klon NW, powinien mieć wystarczająco dużo czasu „automatycznego opóźnienia blokady”, aby upewnić się, że operacje klonowania zostały zakończone dla zestawu kopii zapasowych przed ustawieniem blokady w plikach. Przykład: Replikacja małego pliku, który jest częścią zestawu kopii zapasowych, trwa szybko, podczas gdy większy plik trwa dłużej, wtedy pierwszy plik jest objęty blokadą retencji do czasu zakończenia replikacji większego pliku i napotyka błąd, gdy NW próbuje przenieść wszystkie pliki zestawu kopii zapasowych do końcowego katalogu archiwalnego.)
Automatyczna blokada retencji nie jest obsługiwana w Data Domain VTL.
W przypadku odpowiednich wersji dostępne są dodatkowe opcje mtree retention-lock CLI, jak pokazano poniżej. Funkcję tę można skonfigurować za pośrednictwem interfejsu użytkownika, wybierając opcję „Automatic” zamiast „Manual” w opcji „Use”:
# mtree retention-lock set
{min-retention-period | max-retention-period |
automatic-retention-period | automatic-lock-delay} <period>
mtree <mtree-path>
Funkcja automatycznej blokady retencji blokuje plik natychmiast po upływie wstępnie skonfigurowanego okresu (opóźnienie automatycznej blokady). Po zapisaniu pliku w drzewie MTree z obsługą blokady retencji blokada obowiązuje przez „automatyczny czas retencji” od momentu ustawienia. Jeśli wartość mieści się w zakresie od „min. czasu retencji” do „maks. czasu retencji” ustawionym dla drzewa MTree, następuje blokada.
Więcej informacji użytkowych i ogólnych na temat funkcji można znaleźć w odpowiednim przewodnikiem administracyjnym DDOS. Funkcja ta nie jest dobrze przystosowana do sytuacji, gdzie to samo drzewo MTree jest używane jako punkt docelowy dla kopii zapasowych, które powinny mieć zestawy blokad dla różnych przedziałów czasowych oraz które powinny mieć blokadę od początku lub które nie powinny jej mieć wcale.
Co można, a czego nie można zrobić z zablokowanym plikiem?
Czy możliwe jest całkowite usunięcie blokady retencji pliku lub zestawu plików?
„Cofnięcie” (usunięcie) blokady retencji plików w drzewach MTree jest możliwe w trybie governance — odbywa się to przy użyciu następującego polecenia:
# mtree retention-lock revert [path]
Po usunięciu blokady retencji plik można zmodyfikować lub usunąć w standardowy sposób. Jeśli to polecenie zostanie wykonane na katalogu, wszystkie pliki w tym katalogu i wszystkie podkatalogi zostaną pozbawione blokady retencji.
Nie jest możliwe cofnięcie blokady retencji plików w drzewie MTree przy użyciu trybu compliance — próba spowoduje wyświetlenie odpowiedniego błędu:
# mtree retention-lock revert /data/col1/rl_test_comp/testfile
This operation is not allowed. Mtree is in retention-lock compliance mode.
Co się stanie, jeśli spróbuje się zmodyfikować lub usunąć plik z blokadą przechowywania?
Każda próba zmodyfikowania lub usunięcia pliku z blokadą przechowywania powoduje permission denied błąd:
# echo " test2" >> /data/col1/rl_test/testfile
bash: testfile: Permission denied
# rm testfile
rm: remove write-protected regular file `testfile'? y
rm: cannot remove `testfile': Permission denied
Dzienniki DDFS wskazują, że operacja nie powiodła się z powodu blokady retencji pliku:
06/07 07:06:59.756 (tid 0x2b5a77605d50): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
06/07 07:07:42.504 (tid 0x2b5a79111390): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
Czy można wyświetlić listę wszystkich plików, które są objęte blokadą retencji?
Tak, można to zrobić za pomocą mtree retention-lock report generate retention-details :
mtree retention-lock report generate retention-details
mtrees {<mtree-list> | all}
[format {text | tsv | csv}]
[output-file <file-name>]
Report detailed information of
retention-lock files.
Na przykład, aby wyświetlić szczegółowe informacje o wszystkich zablokowanych plikach w pliku /data/col1/rl_test MTree Zostaną wykonane następujące czynności:
sysadmin@ddxxxx# mtree retention-lock report generate retention-details mtrees /data/col1/jftest
Report generated on: Fri Jul 1 14:19:31 2016
Report for mtree: /data/col1/jftest
File Path Mode Size(Bytes) Expiration Date
/data/col1/jftest/file1 governance 10521456 Sat Jul 2 22:35:48 2016
/data/col1/jftest/testdir/file2 governance 10521680 Sat Jul 2 22:35:42 2016
/data/col1/jftest/file3 governance 10521820 Sun Jul 10 22:36:09 2016
Total files: 3
Czy możliwe jest całkowite wyłączenie blokady retencji dla drzewa MTree (po jej włączeniu)?
Tak, w przypadku drzew MTree korzystających z trybu governance odbywa się to za pomocą mtree retention-lock disable :
# mtree retention-lock disable mtree [mtree] For example: sysadmin@xxxx# mtree retention-lock disable mtree /data/col1/rl_test Retention-lock feature is disabled (previously enabled) for mtree /data/col1/rl_test. Once disabled,MTree listindicates that retention lock was used against the MTree but has since been disabled, that is: sysadmin@ddxxxx#mtree listName Pre-Comp (GiB) Status Tenant-Unit --------------------------------- -------------- ------- ----------- ... /data/col1/rl_test 0.0 RW/RLGD - ...
sysadmin@ddxxxx# mtree retention-lock revert /data/col1/rl_test/testfile **** Retention-lock feature is disabled (previously enabled) for mtree which contains the path /data/col1/rl_test/testfile.
sysadmin@ddxxxx# mtree retention-lock disable mtree /data/col1/rl_test_comp **** Operation is not allowed because the system is a retention-lock compliance system
# replication break mtree://[destination system]/data/col1/[mtree]
# replication add source mtree://[source system]/data/col1/[mtree] destination mtree://[destination system/data/col1/[mtree]
# mtree retention-lock enable mode compliance mtree [mtree]
# replication resync mtree://[destination system/data/col1/[mtree]
# user reset
# filesys destroy
# filesys archive unit del [archive unit name] Takie systemy nie mogą być uruchamiane w trybie pojedynczego użytkownika w celu odzyskania danych przez pomoc techniczną bez użycia nośnika USB i fizycznego dostępu do systemu.
# mtree delete [mtree] # mtree retention-lock reset [min-retention-period period | max-retention-period period] mtree [mtree] # mtree retention-lock disable mtree [mtree] # mtree retention-lock revertJednak w wersji DDOS 7.3 i nowszych umożliwiono klientom usuwanie MTrees z blokadą retencji w trybie compliance pod następującymi warunkami:
# cloud unit del <cloud unit name>
# filesys enable