Versleutelde back-ups die je daadwerkelijk kunt herstellen.

Kies de repository-grens

Gebruik een aparte bestemming en aparte inloggegevens, los van de productieserver. Versleuteling aan de clientzijde kan opgeslagen kopieën beschermen, maar het wachtwoord of de sleutel van de repository moet privé worden geback-upt. Als u die verliest, kunnen alle versleutelde snapshots onbruikbaar worden.

Leg gegevens consistent vast

Gebruik databasespecifieke dumps of een door de applicatie ondersteunde snapshotprocedure. Maak een back-up van configuratie, implementatie-instructies en de beschermde geheimen die nodig zijn voor herstel. Sluit tijdelijke caches alleen uit wanneer je weet dat ze opnieuw kunnen worden opgebouwd.

Maak verwijderen moeilijker

Overweeg een append-only of onveranderlijke bestemming waar de bronmachine niet elke historische kopie kan wissen. Houd bewaar- en opschoningsreferenties waar mogelijk gescheiden. Versleuteling alleen weerhoudt een gecompromitteerde server er niet van een beschrijfbare repository te verwijderen.

Plan controles en hersteloefeningen

Monitor de exitstatus van taken en de leeftijd van de laatste goede back-up. Voer integriteitscontroles van de repository uit die door de tool worden ondersteund. Herstel regelmatig een voorbeeld en voer een volledige hersteloefening uit na grote applicatiewijzigingen.

Onderscheid het toevoegen van een kopie van het verwijderen van geschiedenis

Een alleen-toevoegen-bestemming kan de productieserver snapshots laten toevoegen terwijl de verwijderbevoegdheid op een aparte vertrouwde machine blijft. Retentie vereist nog steeds zorgvuldige beoordeling: vervalste nieuwere snapshots kunnen sommige op kalender gebaseerde selectiebeleidsregels ondermijnen. Controleer de richtlijnen van de tool, voer een retentietest uit en monitor de capaciteit. De forget-bewerking van Restic selecteert snapshots; pruning verwijdert niet-gerefereerde opgeslagen gegevens.

• Houd inloggegevens voor repository-onderhoud buiten de productiemachine
• Voer een proef met bewaartermijnen uit voordat verwijdering wordt toegestaan
• Gebruik voor elke hersteloefening een nieuw, leeg doel

restic check
restic snapshots
restic restore latest --target /srv/restore-drill

Officiële documentatie: Restic-retentie en -opschoning

Een hersteltest met een slaagcriterium

Kies één realistisch storingsscenario: een verwijderd bestand, een verloren database of een volledige herinstallatie van de machine. Herstel naar een aparte map of geïsoleerde host. Controleer bestandsinhoud, machtigingen en het vermogen van de applicatie om ze te gebruiken. Noteer de verstreken tijd en elke handmatige stap die ontbrak in het runbook. Een repository-check bevestigt een andere eigenschap dan een werkend applicatieherstel.

• Herstel niet als eerste test over de live applicatie
• Bevestig dat encryptiegegevens onafhankelijk herstelbaar zijn
• Waarschuw als de nieuwste geslaagde back-up uw hersteldoel overschrijdt

Stel een herstelmanifest op voordat je uitsluitingen kiest

Noteer de zaken die niet opnieuw kunnen worden aangemaakt door een pakket te herinstalleren: database-inhoud, uploads, applicatieconfiguratie, ondertekenings- of versleutelingssleutels en implementatieversies. Vermeld bij elk item de consistentiemethode. Een databasedump hoort bij een gedefinieerd tijdstip; het kopiëren van een drukke databasemap kan een ander resultaat opleveren. Bewaar repository-toegang, de passphrase en een eventuele Borg-sleutelexport op een aparte, particuliere herstellocatie. Test of een vervangende machine de repository kan openen voordat u die de enige herstelkopie maakt.

• Stel het recovery point objective vast: hoeveel recent werk mag verloren gaan. Stem het schema af op die eis.
• Stel het hersteltijddoel vast: hoe lang een herbouw mag duren. Neem database-import en wijzigingen in DNS op in de oefening.
• Controleer dat een uitsluiting bedoeld voor caches niet ook uploads, containervolumes of beschermde configuratie verwijdert.
• Gebruik de documentatie voor de geïnstalleerde hoofdversie van Borg; repository-indelingen en opdrachten zijn niet tussen alle versies uitwisselbaar.

Officiële documentatie: Borg: versleuteling, consistentie en herstel

Controleer opgeslagen gegevens en ook repositorymetadata

De standaard repositorycontrole van Restic en een read-through-verificatie doen verschillend werk. Plan gegevensverificatie met het oog op de bandbreedte en looptijd. Het voorbeeld controleert één bepaald vijfde deel van de pack-bestanden; volgende geplande controles moeten de andere fracties gebruiken om de repository te dekken. Een willekeurig geselecteerde subset biedt niet dezelfde dekkingsgarantie. Geen van beide bewerkingen bewijst dat de applicatie kan starten met herstelde gegevens.

restic check --read-data-subset=1/5
restic snapshots --host example-host
restic restore latest --host example-host --target /srv/restore-drill

Officiële documentatie: restic: repository-controles en gegevensverificatie

Houd onderhoud buiten het bereik van de gecompromitteerde client

Borg append-only opslag behoudt vastgelegde segmentgegevens, maar een client kan nog steeds de zichtbare archieflijst wijzigen; herstel en compactie vereisen de gedocumenteerde administratieve procedure. Beperk het externe back-upinloggegeven tot Borg's servercommando, niet tot een onbeperkte shell of filesystem-login die die beschermingen zou kunnen omzeilen. Beoordeel bij restic de keep-within-richtlijnen voor append-only retentie. Inspecteer vóór elk onderhoud dat geschiedenis kan verwijderen de gezondheid van de repository en bekijk een voorbeeld van de selectie vanaf een vertrouwde machine.

• Monitor de leeftijd van de laatste geslaagde kopie, de groei van de repository, cacheruimte en vrije capaciteit aan beide zijden.
• Als een herstel mislukt, bewaar dan de oorspronkelijke repository en logs voordat u reparaties of opschoning probeert.
• Als de taak slaagt maar de verwachte bestanden ontbreken, controleer dan de inhoud van het archief en de uitsluitingspatronen voordat je de retentie wijzigt.
• Rond de oefening af door bestanden te openen en applicatiecontroles geïsoleerd uit te voeren; houd productiebestemmingen buiten het herstelcommando.

Officiële documentatie: Borg: append-only werking en onderhoud · restic: retentie en append-only-overwegingen