Avamar: Aktivieren der Aufbewahrungssperre für unveränderliche Backups und Data Domain-Compliance-Modi von Avamar

Anforderungen für unveränderliche Avamar-Backups

Die unveränderliche Funktion ist in Avamar 19.8.x verfügbar.
Für ältere Versionen ist diese Funktion durch die Installation eines MCS-Hotfix verfügbar.

Avamar-Versionsanforderungen (Hotfix-Suite-Nummern finden Sie unter "Weitere Informationen"):

• 19.4.0-124 + MCS-Hotfix
• 19.7.0-82 + MCS-Hotfix

Die Integrated Data Protection Appliance-Version von Avamar unterstützt keine unveränderlichen Backups.

Unveränderliche Backupfunktionen
Sobald das unveränderliche Backup konfiguriert ist, können die folgenden Vorgänge nicht in MCGUI oder AUI durchgeführt werden:

• Ändern Sie das Ablaufdatum von lokalen und Remotebackups, während Sie Clients stilllegen.
• Löschen von Clients.
• Ändern Sie das Ablaufdatum eines Backups.
• Ändern des Aufbewahrungstyps eines Backups.
• Löschen Sie ein Backup.

So aktivieren Sie unveränderliche Backups auf Avamar: Installieren Sie die erforderlichen MCS-Hotfix-Suiten.
Führen Sie die folgenden Befehle aus, um diese Funktion zu aktivieren. Wägen Sie Ihre Entscheidung sorgfältig ab, denn DIES KANN NICHT RÜCKGÄNGIG GEMACHT WERDEN.

Als Admin-Nutzer auf Avamar Utility oder Single Node:

admin@avamar:~/>:avmaint config immutablebackups=true --ava --confirmthisisnotreversible

So überprüfen Sie, ob die Einstellung aktiviert ist:

admin@avamar:~/>:avmaint nodelist | grep immutablebackups
  immutablebackups="true"

Anforderungen für Data Domain Retention Lock

Die Aufbewahrungssperre ist eine Funktion, die auf Data Domain Restorers (DDRs) verwendet wird, um Änderungen oder Löschungen bestimmter Dateisätze für einen vorab festgelegten Zeitraum zu verhindern. Dateien mit Aufbewahrungssperre sind schreibgeschützt, bis ihre Aufbewahrungsfrist abgelaufen ist.

Retention Lock ist für zwei verschiedene Funktionen verfügbar:

• Governance: Bei der weniger strengen der beiden Retention-Lock-Funktionen können Dateisperren bei Bedarf rückgängig gemacht werden.
• Compliance: Die strengere der beiden Funktionen, die mehrere übliche gesetzliche Vorschriften erfüllt. Dateisperren können nicht zurückgesetzt werden. Der DDR muss mit einem „Security Officer“-Nutzer konfiguriert werden, der bestimmte Befehle authentifizieren muss. Es gibt Einschränkungen bei anderen Funktionen, um zu verhindern, dass gesperrte Daten entfernt oder Sperren frühzeitig zurückgesetzt werden.

Der Compliance-Modus von Retention Lock erfüllt gesetzliche Vorschriften:
Die Liste der gesetzlichen Vorschriften, die der Compliance-Modus von Retention Lock erfüllt, umfasst:

• SEC 17a-4(f)
• CFTC Regel 1.31b
• FDA 21 CFR Teil 11
• Sarbanes-Oxley Act
• IRS 98025 und 97-22
• ISO Standard 15489-1
• MoREQ2010

Ausführliche Informationen zu den Zertifizierungsinformationen erhalten Sie von dem von Ihnen beauftragten Supportanbieter.

Aktivieren der Aufbewahrungssperre im Compliancemodus auf Data Domain:
Wägen Sie Ihre Entscheidung sorgfältig ab, da DIES KANN NICHT RÜCKGÄNGIG GEMACHT WERDEN.

Als Nutzer sysadmin in der Data Domain-CLI:
Eine Retention Lock Compliance-Lizenz wird dem DDR hinzugefügt.
Es sollte ein Nutzer mit der Rolle "Security" erstellt werden (vorausgesetzt, ein solcher Nutzer ist nicht vorhanden):

(ADMIN USER) # user add [username] role security

Über das Nutzerkonto mit der Rolle „Security“ melden Sie sich beim DDR an und aktivieren die Sicherheitsnutzerautorisierungen:

(SECURITY USER): # authorization policy set security-officer enabled

Das System wird für den Compliance-Modus von Retention Lock konfiguriert werden. Sobald der folgende Befehl ausgeführt wird, wird das System automatisch neu gestartet:

(ADMIN USER) # system retention-lock compliance configure

Sobald das System neu gestartet wurde, wird der Compliance-Modus von Retention Lock auf dem System aktiviert:

(ADMIN USER) # system retention-lock compliance enable

Der Compliance-Modus von Retention Lock ist für jeden erforderlichen MTree aktiviert:

(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]

MTrees können in der Ausgabe von mtree list, wodurch auch angezeigt werden kann, in welchen MTrees Retention Lock aktiviert ist, z. B.:

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rich-retention-lock                 0.0   RW/RLGE   -
/data/col1/rl_test                             0.0   RW/RLGD   -
/data/col1/rl_test_comp                        0.0   RW/RLCE   -
/data/col1/test                                3.1   RW/RLGE   -
...
---------------------------------   --------------   -------   -----------
...
 RLGE : Retention-Lock Governance Enabled
 RLGD : Retention-Lock Governance Disabled
 RLCE : Retention-Lock Compliance Enabled

Sobald die Aufbewahrungssperre für einen MTree aktiviert ist, muss eine minimale und maximale Aufbewahrungsfrist festgelegt werden. Diese Zeiträume geben die minimale und maximale Zeit vor, für die eine Datei im MTree gesperrt werden kann. Zum Beispiel:

# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]

Zeiträume können in verschiedenen Einheiten wie folgt angegeben werden:

*  1min
*  1hr
*  1day
*  1mo
*  1year

Sobald Retention Lock auf Data Domain aktiviert ist:
Melden Sie sich beim Avamar-Server an und nehmen Sie einen Prüfpunkt vor:

admin@avamar:~/>:mccli checkpoint create --override_maintenance_scheduler=true

Fragen zur Aufbewahrungssperre, Data Domain, finden Sie im Artikel 79803: Retention Lock – Häufig gestellte Fragen.

Anweisungen zum Herunterladen von Hotfixes, Avamar, finden Sie in Artikel 212375: Anleitung zum Suchen und Herunterladen eines Produkt-Hotfix-, Patch-, Installations- oder Upgradepakets von der Dell Supportwebsite.

Avamar Server v19.4.0-124:

• Client-Hotfix – 335595
• Server-Hotfix – 335584

Avamar Server, Version 19.7.0-82

• Client-Hotfix – 335914
• Server-Hotfix – 335915