文書番号: 000079803

Data Domain：Retention Lockに関するよくある質問/FAQ

概要: この記事では、Data Domain Retention Lock (RL)機能の概要と、ガバナンスモードとコンプライアンスモードの構成および利用の違いについて説明します。

この記事は自動翻訳されたものである可能性があります。品質に関するフィードバックがある場合は、このページの下部にあるフォームを使用してお知らせください。

文書の内容

現象

この記事では、Data Domain Retention Lock (RL)機能の概要と、関連するよくある質問/FAQへの回答を紹介します。

原因

この記事では、Data Domain Retention Lock (RL)機能の概要と、関連するよくある質問/FAQへの回答を紹介します。

解決方法

Retention Lockとは
Retention Lockとは、Data Domain Restorer (DDR)で使用される機能で、あらかじめ決められた期間、特定のファイルセットの変更や削除を防ぐためのものです。つまり、リテンションロックされたファイルは、そのリテンション期間が終了するまで読み取り専用となります。

Retention Lockのバージョンにはどのようなものがありますか？
Retention Lockは、次の2種類の機能があります。

Governance：2つのリテンションロック機能のうち、より厳密でない方（つまり、ファイルに対するロックは必要に応じて元に戻すことができる）。
［Compliance］：いくつかの共通の規制基準に準拠している2つの機能のうち、より厳格なもの。つまり、ファイルに対するロックを元に戻すことはできません。DDRには、特定のコマンドを認証する必要がある「セキュリティオフィサー」ユーザーを設定する必要があります。その他の機能では、ロックされたデータの削除やロックの早期復帰を防ぐため、さまざまな制限を設けています。

注：

コンプライアンスモードは、DDOS 5.3（以降）でのみ使用できます。
Retention Lockの各機能には、それぞれ別のライセンスキーが必要です。
リテンションロック機能は、MTree単位で有効化されます。
1つのシステムで、別々のMTreeに対してガバナンスモードとコンプライアンスモードの両方を使用することができます。ただし、それぞれでガバナンスライセンスとコンプライアンスライセンスをインストールする必要があります。
この機能をAvamarで実行する一環として、Avamarのドキュメントで指定されている場合を除き、Avamarデータの格納に使用されるMTreeでは、いかなる種類のDD Retention Lockも有効にしないでください。適切なAvamarプロセスに従わずに、MTreeでDD RLを有効にすると、MTreeがバックアップに使用できなくなり、時間のかかるリカバリーが必要になる可能性があります。これは、Avamar MTreeでAutomatic Retention Lock (ARL)を有効にする場合に特に当てはまります。
Retention Lock機能は、Integration Data Protection Appliance (IDPA)またはPowerProtect Data Protectionシリーズアプライアンス上で、旧バージョンのAvamarまたはProtectionソフトウェアデータを使用してデータを保存するために使用されるMTreeに対してはサポートされない場合があります。これにより、Integrated Data Protection Appliance内のAvamarやのProtectionソフトウェアが期待どおりに機能せず、READONLY状態になってしまうことがあります。

リテンションロックでサポートされているデータアクセスプロトコルはどれですか？

NFS、CIFS、DD Boostの各プロトコルは、Retention Lockのガバナンスモードまたはコンプライアンスモードを使用するMTreeに対して完全にサポートされています。
仮想テープライブラリー(VTL)プロトコルは、リテンションロックのガバナンスモードを使用するMTreeに対してのみサポートされます。Data Domain VTLでは、自動リテンションロックはサポートされていません。Retention Lockが適用されたテープをロック解除して書き込み可能にする方法については、『Data Domain Administration Guide』を参照してください。

Retention Lockコンプライアンスモードは、次の規制基準を満たしています。
リテンションロックコンプライアンスモードが満たす規制基準の一覧は以下のとおりです。

SEC 17a-4(f)
CFTC Rule 1.31b
FDA 21 CFR Part 11
Sarbanes-Oxley Act
IRS 98025および97-22
ISO標準15489-1
MoREQ2010

認証情報の詳細については、契約しているサポート会社にお問い合わせください。

リテンションロックガバナンスはどのように有効化されますか？

リテンションロックガバナンスライセンスがDDRに追加されます。
以下の必要なMTreeに対してリテンションロックガバナンスモードが有効になります。

# mtree retention-lock enable mode governance mtree [mtree]

リテンションロックコンプライアンスはどのように有効化されますか？

iDRACを搭載した一部の新しいData Domainモデルには固有の手順があります。
リテンションロックコンプライアンスライセンスがDDRに追加されます。
「セキュリティ」の役割を持つユーザーを作成する必要があります（このようなユーザーが存在しないと仮定）。

(ADMIN USER) # user add [username] role security

「セキュリティ」の役割を持つユーザーは、DDRにログインし、セキュリティユーザー権限を有効にする必要があります。

(SECURITY USER): # authorization policy set security-officer enabled

システムは、リテンションロックコンプライアンスモードに設定する必要があります。以下のコマンドを実行して完了すると、システムは自動的に再起動します。

(ADMIN USER) # system retention-lock compliance configure

システムが再起動したら、システム上でリテンションロックコンプライアンスモードを有効にする必要があります。

(ADMIN USER) # system retention-lock compliance enable

注：新しいDDOSリリースの場合、このタスクはData Domain UIを使用して実行する必要があります（［Administration］ > ［Compliance］）。

必要なMTreeに対してリテンションロックコンプライアンスモードが有効になります。

(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]

どのMTreeでRetention Lockが有効になっているかを判断する方法を教えてください。
Retention Lockが有効になっているMTreeは、「mtree list」の出力に表示されます。以下に例を示します。

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rich-retention-lock                 0.0   RW/RLGE   -
/data/col1/rl_test                             0.0   RW/RLGD   -
/data/col1/rl_test_comp                        0.0   RW/RLCE   -
/data/col1/test                                3.1   RW/RLGE   -
...
---------------------------------   --------------   -------   -----------
...
 RLGE : Retention-Lock Governance Enabled
 RLGD : Retention-Lock Governance Disabled
 RLCE : Retention-Lock Compliance Enabled

Retention Lockガバナンスモードが有効なMTreeをRetention Lockコンプライアンスモードに変換できますか？
『DDOS Administration Guide』に記載されているように、変換はできません。

Retention Lockコンプライアンスモードが有効なMTreeをRetention Lockガバナンスモードに変換できますか？
『DDOS Administration Guide』に記載されているように、変換はできません。

ファイル保存期間またはロック期間はどのように設定されますか？
MTreeに対してRetention Lockを有効にしたら、最小および最大の保存期間を設定する必要があります。これらの期間は、MTree内のファイルがロックされる最小および最大の時間を決定します。例：

# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]

期間は、次のようにさまざまな単位で指定できます。

1分
1時間
1日
1か月
1 年間

注：

最小リテンション期間は12時間未満にすることはできません。
最大リテンション期間は70年を超えることはできません。
最小リテンション期間は、最大リテンション期間よりも短くする必要があります。
各MTreeのリテンション期間は、使用されているリテンションロックの種類に関係なく、同じ方法で設定されます。

既存のリテンション期間を表示するにはどうしたらよいですか？
これは、次の2つのコマンドを使用して実行できます。

# mtree retention-lock show min-retention-period mtree [mtree]
# mtree retention-lock show max-retention-period mtree [mtree]

例：

sysadmin@dd630# mtree retention-lock show min-retention-period mtree /data/col1/rl_test
Retention-lock min-retention-period of mtree /data/col1/rl_test is: 720 minutes.
sysadmin@dd630# mtree retention-lock show max-retention-period mtree /data/col1/rl_test
Retention-lock max-retention-period of mtree /data/col1/rl_test is: 30 days.

リテンションロックが有効なMTree内のファイルは、どのようにロックを有効化するのですか？

MTreeに対してリテンションロックを有効にした場合、MTree内の既存のファイルは自動的にロックされません（つまり、既存のファイルはすべて読み取りまたは書き込みのままです）。
リテンションロックが有効になっているMTreeに新しいファイルが書き込まれた場合、そのファイルには自動的にリテンションロックはかかりません。つまり、新しいファイルは、読み取りまたは書き込みとして残ります。

注：DDOS 6.2.0.20から、DDOSには「自動リテンションロック」という機能があり、書き込んだすべてのファイルに自動的にロックがかかる場合があります。詳細については、このKB記事のさらに下にある「自動リテンションロック」セクションを参照してください。

特定のファイルをリテンションロックするには、ファイルのatimeを、ファイルをリテンションロックする日付と時刻に一致するように変更する必要があります。これは、ファイルがその日時まで読み取り専用のままでいる日付と時刻です。この方法で日時が変更されるまで、このファイルにRetention Lockを適用することはできません（変更または削除は可能です）。

NFSまたはCIFSクライアントから「touch」コマンドを使用して、ファイルのatimeを変更することができます。

# touch -a -t [expiry time] [file to be locked]

たとえば、/data/col1/rl_test/testfileのatimeを6月8日の07:05に設定するには、次のようにします。

# touch -a -t 06080705 /data/col1/rl_test/testfile

現在の時間から将来のatimeまでの期間は、MTreeの最小および最大リテンション期間の範囲内である必要があります。そうでない場合は、atimeのファイルを変更する際にエ次のようにラーが発生します。

# touch -a -t 08080705 /data/col1/rl_test/testfile
touch: setting times of `/data/col1/rl_test/testfile': Permission denied

対応するメッセージは、Data Domain File System (DDFS)ログファイルにも表示されます。

06/07 13:44:57.197 (tid 0x2b28ee5258c0): Attempt to set atime of /data/col1/rl_test/testfile to larger than maximum retention period of mtree.

CIFS (Windows)クライアントには、デフォルトではタッチコマンドやユーティリティーは含まれていませんが、このようなユーティリティーのいくつかは、さまざまなサードパーティーのWebサイトから自由にダウンロードできます。

注：DDRに書き込まれるまで、ファイルをリテンションロックすることはできません。空のファイルを作成し、そのファイルをリテンションロックしてから、ファイルにデータを書き込むすることはできません。

DDRへの書き込み後、ファイルを自動的にリテンションロックすることをサポートするバックアップアプリケーションはどれですか？
Data Domain Retention Lockは、業界標準のNASベースのWrite-Once-Read-Many (WORM)プロトコルと互換性があります。統合は、Symantec Enterprise Vault、SourceOne、Cloud Tiering Appliance、DiskXtenderなどのアーカイブアプリケーションで承認されています。

Dell NetWorkerでは、ガバナンスモードとコンプライアンスモードの両方がサポートされています。

2024年6月時点で、最新のAvamarバージョンは、Avamarの「不変バックアップ」機能の一部として、Data Domain Retention Lockのコンプライアンスモードとガバナンスモードの両方をサポートしています。詳細については、Avamarのドキュメントと次のKB記事を参照してください。
「AvamarおよびData Domain：Avamar不変バックアップとData Domainコンプライアンスモード保存ロックの有効化」

Avamarの「不変バックアップ」機能を有効にする手順に厳密に従うことが重要です。これを怠ると、DD内のAvamar MTreeに書き込むことができなくなったり、運用上の問題が発生して時間のかかるリカバリーが必要になったりする可能性があります。AvamarではDD Automatic Retention Lock (ARL)を使用できません。DD上のAvamar MTreeに対してARLを有効にしないでください。

Data Domain Retention Lockをネイティブにサポートしていない他のバックアップアプリケーションを使用しているお客様は、Data Domain Retention Lockを使用してファイルの保存期間を手動で設定するカスタムスクリプトを開発することもできます。このシナリオでは、カスタムスクリプトがファイルのatimeを設定し、バックアップアプリケーションがファイルを削除しようとする前にロックが解除されるようにすることを確認します。これを行わないと、バックアップアプリケーションがロックされたファイルの削除を試みる可能性があります。この試みは失敗し、ファイルはDDRに残され、ディスク領域を無期限に消費することになります。Data Domain管理ガイドを参照してください。

自動リテンションロック
Data Domain Retention Lock機能をネイティブにサポートしていないバックアップアプリケーションでは、この機能を活用することがお客様にとって常に問題となっていました。バックアップ管理者は、MTreeで新しく取得されたファイルにRetention Lockを設定するスクリプトを構成する必要があります。このロックは、バックアップの有効期限が切れる（および削除される）直前に期限切れになるように設定する必要があります。

ARLは、この機能が有効になった後にMTreeに書き込まれたすべてのファイルにロックを設定し、構成されたクーリングオフ期間が経過した後、指定された期間にファイルを変更または削除できないようにします。つまり、VTLプール（VTLテープファイルは繰り返し書き込まれる）など、一部のファイルを長期間にわたって繰り返し更新する必要があるワークロードまたはバックアップアプリケーション、またはお客様のバックアップファイル自体とともにメタデータ情報を保持するバックアップアプリケーション（NetWorkerやAvamarなど）では、ARLを有効にしないでください。これらのインスタンスでARLを有効にして重要なファイルを一定期間ロックすると、後で他のバックアップの際にそれらのファイルに書き込もうとすると、それ以降のバックアップは失敗します。

DDOS 6.2.0.20以降、バックアップ管理者がバックアップファイルのRetention Lockを維持する負担を軽減し、DDOSを他のベンダーと同等の機能にするために、Retention Lockが設定された各MTreeに対してCLIから有効にできる機能が追加されました。この機能により、ディスクへのファイル書き込み完了から所定の時間が経過すると、取り込んだすべてのファイルにロックを設定できます（指定期間）。この方法により、管理者は手動（またはスクリプト化）でリテンションロックを設定することを心配する必要がなくなり、バックアップアプリケーションの協力なしに自動的にこれを行うことができるようになりました。
DDOS 7.8より前のバージョンでは、DD Boost論理ストレージユニット(LSU)でAutomatic Retention Lock (ARL)を使用できず、これを有効にしようとすると、サポートされていないというエラーが返されます。
7.8以降では、ARLはDDBoost LSUでサポートされています。

（NWクローンなどの管理ファイルレプリケーション(MFR)のターゲットDDで使用されるARLは、ファイルにロックが設定される前にバックアップセットのクローン操作が完了するように、十分な長さの「automatic-lock-delay」を設定する必要があります。例：バックアップセットの一部である小さなファイルはすぐにレプリケーションが終了しますが、大きなファイルの場合には時間がかかるため、大きなファイルのレプリケーションが完了するまでに最初のファイルにRetention Lockが適用され、NWがバックアップセットのすべてのファイルを最終的なアーカイブディレクトリーに移動しようとするとエラーが発生します。）

Data Domain VTLでは、Automatic Retention Lock (ARL)はサポートされていません。

該当するバージョンでは、「mtree retention-lock」CLIに以下のような追加オプションがあります。この機能は、［Use］オプションで［Manual］ではなく［Automatic］を選択することで、UIからも設定することが可能です。

# mtree retention-lock set
{min-retention-period | max-retention-period |
automatic-retention-period | automatic-lock-delay} <period>
mtree <mtree-path>

Automatic Retention Lock (ARL)機能は、あらかじめ設定されたクールオフ期間が経過すると、直ちにファイルをロックする機能です(automatic-lock-delay)。リテンションロック有効のMTreeにファイルが書き込まれ、設定された時点から「automatic-retention-period」が有効で、その値がMTreeに設定された「min-retention-period」値と「max-retention-period」値の範囲内にある場合、ロックが発生します。

この機能の詳しい使い方や一般的な内容は、対応するDDOS管理ガイドを参照してください。この機能は、異なる期間のロックが設定されるバックアップ、または最初にロックが設定されるまたは設定されないバックアップのターゲットとして同じMTreeを使用する状況にはあまり適していません。

ロックされたファイルに対してできること、できないことは何ですか？

Retention Lockが適用されたファイルは読み取り専用であり、変更や削除はできません。
ファイルのリテンション期間が終了すると、「アンロック」されます。アンロックされた状態では、ファイルはまだ変更できませんが、削除することはできます。DDRは、ファイルのリテンション期間が終了しても、ファイルを自動的に削除しません（その後の削除は、クライアントシステムまたはバックアップアプリケーションから行う必要があります）。
一度設定された特定のファイルのリテンション期間を短縮することはできません（つまり、ファイルのatimeを繰り上げることはできません）。
ただし、リテンション期間は延長可能です（atimeはそのMTreeの最大リテンション期間まで延期可能です）。
ファイルの所有権やアクセス権の設定は、ファイルがロックされている間も変更可能です。
リテンションロックが有効なMTreeでは、ディレクトリーにファイルが存在しない場合のみ、ディレクトリーの名前変更または削除が可能です。ディレクトリーにファイルが含まれている場合（これらのファイルがリテンションロックされていない場合でも）、ディレクトリーの名前変更または削除は失敗します。
ファイルの内容自体が変更されない場合でも、ロックが設定されているファイルの名前を変更（名前変更）することはできませんが、ファイルのロックの期限が切れると名前変更もできなくなります。ロックの期限が切れたファイルに対しては、削除のみが許可されます。これはDDOS 7.7.4で変更され、ロックの期限が切れたファイルに対して、ファイルの名前変更が許可されるようになりました。

ファイルやファイル群に対するリテンションロックを完全に削除することは可能ですか？
ガバナンスモードを使用しているMTree内のファイルに対するリテンションロックを「元に戻す」（削除する）ことは可能です。これは、次のコマンドで実行します。

# mtree retention-lock revert [path]

ファイルに対するリテンションロックが削除されると、通常どおりファイルを変更または削除することができます。このコマンドがディレクトリーに対して実行された場合、そのディレクトリー内のすべてのファイルとすべてのサブディレクトリーのリテンションロックが削除されます。

コンプライアンスモードを使用しているMTree内のファイルに対するリテンションロックを元に戻すことはできません。戻そうとするとエラーが表示されます。

# mtree retention-lock revert /data/col1/rl_test_comp/testfile
This operation is not allowed. Mtree is in retention-lock compliance mode.

Retention Lockが適用されたファイルを変更または削除しようとするとどうなりますか？
Retention Lockが適用されたファイルを変更または削除しようとすると、それに対応する「permission denied」エラーが発生します。

# echo " test2" >> /data/col1/rl_test/testfile
bash: testfile: Permission denied
# rm testfile
rm: remove write-protected regular file `testfile'? y
rm: cannot remove `testfile': Permission denied

DDFSログは、ファイルがリテンションロックされているために操作が失敗したことを示しています。

06/07 07:06:59.756 (tid 0x2b5a77605d50): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
06/07 07:07:42.504 (tid 0x2b5a79111390): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.

リテンションロックされているファイルを一覧表示できますか？
はい。これは、「mtree retention-lock report generate retention-details」コマンドで実行可能です。

mtree retention-lock report generate retention-details
mtrees {<mtree-list> | all}
[format {text | tsv | csv}]
[output-file <file-name>]
               Report detailed information of
               retention-lock files.

たとえば、/data/col1/rl_test MTreeにあるすべてのロックされたファイルの詳細を一覧表示するには、次のように実行します。

sysadmin@ddxxxx# mtree retention-lock report generate retention-details mtrees /data/col1/jftest
Report generated on: Fri Jul  1 14:19:31 2016

Report for mtree: /data/col1/jftest
File Path        Mode        Size(Bytes)        Expiration Date
/data/col1/jftest/file1 governance 10521456 Sat Jul  2 22:35:48 2016
/data/col1/jftest/testdir/file2 governance 10521680 Sat Jul  2 22:35:42 2016
/data/col1/jftest/file3 governance 10521820 Sun Jul 10 22:36:09 2016
Total files: 3

MTreeのリテンションロックを（有効化後に）完全に無効にすることはできますか？
ガバナンスモードを使用するMTreeでは、「mtree retention-lock disable」コマンドを使用してこれを実行できます。

# mtree retention-lock disable mtree [mtree]

For example:     
sysadmin@xxxx# mtree retention-lock disable mtree /data/col1/rl_test
Retention-lock feature is disabled (previously enabled) for mtree /data/col1/rl_test.

Once disabled, MTree list indicates that retention lock was used against the MTree but has since been disabled, that is: 
sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rl_test                             0.0   RW/RLGD   -
...

注：MTreeに対してRetention Lockが無効になった場合：

MTreeに書き込まれた新しいファイルはリテンションロックできません。
すでにロックされているファイルは、事前に定義されたリテンション期間中、ロックされたままです（つまり、MTreeに対してリテンションロックを無効にしても、すべてのロックは自動的に元に戻りません）。
リテンションロックが無効なMTree内のファイルに対する既存のロックは、元に戻すことができません。必要なすべての復帰処理は、Retention Lockを無効にする前に実行する必要があります。

sysadmin@ddxxxx# mtree retention-lock revert /data/col1/rl_test/testfile
**** Retention-lock feature is disabled (previously enabled) for mtree which contains the path /data/col1/rl_test/testfile.

コンプライアンスモードを使用しているMTreeでは、リテンションロックを無効にすることはできません。

sysadmin@ddxxxx# mtree retention-lock disable mtree /data/col1/rl_test_comp
**** Operation is not allowed because the system is a retention-lock compliance system

リテンションロックが有効なMTreeに対して、レプリケーションを引き続き使用できますか？

はい、リテンションロックされたMTreeやファイルは、さまざまなレプリケーショントポロジーを使用してレプリケートできます。

ディレクトリーレプリケーション：ガバナンスモードを使用するファイルに対してのみサポートされており、最小および最大のリテンション期間をターゲットシステムにレプリケートしません。
MTreeレプリケーション：ガバナンスモードまたはコンプライアンスモードのデータに使用でき、最小および最大のリテンション期間をターゲットシステムにレプリケートします。
コレクションレプリケーション：ガバナンスモードまたはコンプライアンスモードのデータに使用でき、最小および最大のリテンション期間をターゲットシステムにレプリケートします。

注：リテンションロックをターゲットシステムに保存する場合、以下が必要です。

ソースとターゲットの両システムに、対応するリテンションロックライセンスがインストールされている必要があります。
MTreeレプリケーションコンテキストでは、「Replication propagate-retention-lock」がEnabledに設定されている必要があります。
ディレクトリーレプリケーションによってレプリケートされるファイルについては、対応するMTreeの最小および最大のリテンション期間をターゲットシステムで手動で設定する必要があります。

リテンションロックされたファイルをレプリケートする場合、他に何か制限はありますか？

Retention Lockが適用されたデータを使用するレプリケーションコンテキストの再同期（以前に構成されたが壊れたコンテキストを再確立しようとすること）に、失敗する可能性があります。

注：

MTreeレプリケーションを使用している場合、ターゲットMTreeにソースに存在しないRetention Lock適用済みファイルが含まれていると、再同期に失敗します。
ディレクトリーレプリケーションを使用していて、ターゲットでRetention Lockは有効だが、ソースでは有効でない場合、再同期は失敗します。

注：MTreeレプリケーションを使用する場合、ターゲットMTreeにソースDDRに存在しないRetention Lock適用済みファイルが含まれていなければ、再同期は次のシナリオで成功します。

ソースMTreeではRetention Lockは有効になっておらず、ターゲットMTreeでは有効になっている。
ターゲットMTreeではRetention Lockは有効になっておらず、ソースMTreeでは有効になっている。

また、すでにMTreeレプリケーションコンテキストのメンバーであるMTreeでRetention Lockコンプライアンスモードを有効にすることはできません。このシナリオでは、以下が必要です。

MTreeレプリケーションコンテキストは、ソースとターゲットの両システムで壊れている必要があります。

# replication break mtree://[destination system]/data/col1/[mtree]

新しいMTreeレプリケーションコンテキストは、ソースとターゲットの両システムで作成する必要があります。

# replication add source mtree://[source system]/data/col1/[mtree] destination mtree://[destination system/data/col1/[mtree]

ソースシステムでリテンションロックコンプライアンスモードを有効にする必要があります。

# mtree retention-lock enable mode compliance mtree [mtree]

新しく作成されたレプリケーションコンテキストは、ソースシステムで再同期する必要があります。

# replication resync mtree://[destination system/data/col1/[mtree]

Retention Lockが適用されたファイルは高速コピーできますか？

はい、Retention Lock適用済みのファイルは、通常どおり高速コピーすることができます。高速コピーを保持するターゲットMTreeでRetention Lockが有効になっている場合、高速コピーに対してファイルのRetention Lockが保持されます。ターゲットMTreeでRetention Lockが有効になっていない場合、高速コピーにはRetention Lockは適用されません。

リテンションロックを使用する場合、システム機能に他の制限はありますか？

リテンションロックコンプライアンスモードを使用しているシステムでは、次のコマンドは許可されません。

# user reset
# filesys destroy
# filesys archive unit del [archive unit name]

このようなシステムは、USBドライブを使用してシステムに物理的にアクセスしなければ、テクニカルサポートがリカバリーのためにシングルユーザーモードで起動することはできません。

Retention Lockコンプライアンスモードを使用するMTreeに対して、次のコマンドは許可されません。

# mtree delete [mtree]
# mtree retention-lock reset [min-retention-period period | max-retention-period period] mtree [mtree]
# mtree retention-lock disable mtree [mtree]
# mtree retention-lock revert

ただし、DDOS 7.3以降のリリースでは、Retention Lockコンプライアンスモードが有効なMTreeは、以下の条件を満たしている場合、お客様が削除できるようにプロビジョニングされています。

DDはDDOS 7.3以降が動作している。
削除するRLCE MTreeが空（ファイルおよびディレクトリーがゼロ）である。
管理者がsecurity-officer認証に成功した。

長期保存(Cloud Tier)が設定されているシステムでは、同様の破壊的なコマンドも禁止される場合があります。以下に例を示します。

# cloud unit del <cloud unit name>

注：Retention Lockガバナンスモードを使用するMTree（またはこのモードが有効な場合）は、MTreeにファイルが残っていない場合にのみ削除可能です。MTreeにファイルが残っている場合は、エラーが返されます。

リテンションロックが可能なシステムでは、システムクロックは重要ですか？

はい、Retention Lockコンプライアンスモードが有効なシステムでは、システムクロックが悪意を持って改ざんされるのを防ぐため、内部「セキュリティクロック」が有効になります（これにより、Retention Lock適用済みファイルが早期に削除される可能性があります）。セキュリティクロックとシステムクロックの時刻は定期的に比較され、1暦年で両者の間に累積2週間のずれが生じた場合、Data Domain File System (DDFS)は自動的に無効となり、DDR上のデータにアクセスできなくなります。これは、システムクロックが突然変更され、時刻が2週間以上変更された場合にも発生することがあります。

このシナリオでは、DDFSは以下の方法で再有効化することができます。

DDRにログインします。
システムクロックが正しく設定されているかを確認します。
ファイルシステムの有効化：
```
# filesys enable
```
プロンプトが表示されたら、セキュリティクロックのリセットを許可するため、セキュリティの役割を持つユーザーの詳細を入力し、DDFSを有効にします。

Retention Lockが適用されたファイルを使用しているDDRの容量が上限に達した場合、どのような対処が可能ですか？

DDRに「クリーニング可能」な領域がないと仮定して（cleanを実行してもシステムの容量が一杯のまま）、その内容を確認し、次のことを判断する必要があります。

リテンションロックされていないファイルは削除できます。
ガバナンスモードでロックされているファイルがあり、ロックを元に戻して削除することができます。

これが完了したら、再度cleanを実行して、物理的にシステムの空き容量を確保する必要があります。あるいは、システムから物理データを削除できない場合、DDRに物理ストレージを追加し、ファイルシステムを拡張する必要があります（現在のDDRまたは構成で拡張がサポートされていると仮定します）。

コンプライアンスモードを使用してシステム上のファイルのみがロックされている場合、ロックを元に戻してこれらのファイルを削除することはできません。その結果、次の場合を除き、領域を解放できません。

一部またはすべてのファイルがリテンション期間に達している。この後、削除してcleanを実行することができます（上記を参照）。
システムがUSBドライブから再インストールされる（DDR上の全データが失われる）。
システムに物理ストレージが追加される（上記を参照）。

注：コンプライアンスモードを使用してロックされたファイルでDDRを完全に満たすことが可能です。このシナリオでは、管理者やテクニカルサポートが領域を解放するためにできることはありません（つまり、コンプライアンスモードロックを削除/元に戻し、対応するファイルを早期に削除する低レベルの機能はありません）。

文書のプロパティ

影響を受ける製品

Data Domain, Data Domain Retention Lock

製品

Data Domain

最後に公開された日付

04 6月 2024

バージョン

文書の種類

Solution

トップに戻る

ようこそ

Dellへようこそ