Ziele

• Erstellen Sie einen Object Storage Bucket, der für Backup-Workloads konfiguriert ist
• Aktivierung der Unveränderbarkeit (WORM) zum Schutz der Sicherungsdaten vor Änderung oder Löschung
• Konfigurieren Sie kontextbasierte Einschränkungen, um den Zugriff auf autorisierte Netzwerke und Dienste zu beschränken
• Abrufen der Anmeldedaten und Verbindungsinformationen, die von Ihrem Sicherungsprodukt benötigt werden

Architektur

Die Architektur des sicheren Datentresors besteht aus:

• Object Storage bucket- Das Speicherziel für die Sicherungsdaten
• Unveränderbarkeitsrichtlinie- WORM-Schutz (Write Once Read Many) verhindert Datenveränderung
• Kontextbasierte Einschränkungen- Netzwerk- und dienstbasierte Zugangskontrollen
• Dienstanmeldedaten- HMAC-Schlüssel (Zugangsschlüssel und geheimer Schlüssel) für S3-compatible

Verwendung der Konsole

1. Melden Sie sich bei der Konsole IBM Cloud an.
2. Navigieren Sie in der Ressourcenliste zu Ihrer Instanz Object Storage.
3. Klicken Sie auf Bucket erstellen.
4. Wählen Sie Ihren Eimer anpassen.
5. Konfigurieren Sie die Bucket-Einstellungen.
   1. Name des Eimers: Geben Sie einen eindeutigen, beschreibenden Namen ein (z. B. company-backup-vault-prod).
   2. Ausfallsicherheit: Wählen Sie je nach Ihren Anforderungen regionsübergreifend oder regional.
   3. Standort: Wählen Sie einen Standort in der Nähe Ihrer Backup-Infrastruktur.
   4. Speicherklasse: Wählen Sie Standard für häufig genutzte Backups oder Vault für die langfristige Aufbewahrung.
6. Klicken Sie auf Bucket erstellen.

Verwendung der Befehlszeilenschnittstelle

ibmcloud cos bucket-create \
  --bucket company-backup-vault-prod \
  --ibm-service-instance-id <your-cos-instance-crn> \
  --region us-south \
  --class standard

Die CRN Ihrer Instanz IBM Cloud Object Storage finden Sie in der Konsole IBM Cloud unter dem Abschnitt " Service credentials" Ihrer Instanz Object Storage.

Verständnis der Aufbewahrungsfristen

Object Storage die Unveränderlichkeit verwendet drei Einstellungen für die Aufbewahrungsfrist:

Aktivieren Sie die Unveränderbarkeit mit Hilfe der Konsole

1. Navigieren Sie zu Ihrem Backup-Bucket in der Konsole Object Storage.
2. Klicken Sie auf die Registerkarte Konfiguration.
3. Blättern Sie zu Unveränderlich Object Storage und klicken Sie auf Aufbewahrungsrichtlinie hinzufügen.
4. Konfigurieren Sie die Aufbewahrungsfristen.
   1. Minimale Aufbewahrungsfrist: Legen Sie die kürzeste Aufbewahrungsfrist für Ihre Backups fest (z. B. 7 Tage).
   2. Standard-Aufbewahrungszeitraum: Legen Sie die Standardaufbewahrungszeit für Backups fest (z. B. 30 Tage).
   3. Maximale Aufbewahrungsfrist: Stellen Sie die längste Aufbewahrungsfrist ein (z. B. 365 Tage oder 7 Jahre für die Einhaltung von Vorschriften).
5. Klicken Sie auf Speichern.

Aktivieren Sie die Unveränderlichkeit mit Hilfe der CLI

ibmcloud cos bucket-protection-configuration-put \
  --bucket company-backup-vault-prod \
  --protection-configuration '{
    "status": "Retention",
    "minimum_retention": {"days": 7},
    "default_retention": {"days": 30},
    "maximum_retention": {"days": 365}
  }'

Planen Sie Ihre Zugangsregeln

Bevor Sie CBR konfigurieren, sollten Sie Folgendes beachten:

• IP-Adressen oder Subnetze des Sicherungsservers: Die Netzwerkbereiche, in denen Ihre Backup-Software läuft
• Privater oder öffentlicher Endpunktzugang: Bevorzugen Sie private Endpunkte für Produktions-Workloads
• Zugang von Dienst zu Dienst: Ob andere IBM Cloud Dienste Zugang benötigen

Netzzone erstellen

Eine Netzwerkzone definiert die erlaubten Quellnetzwerke für den Zugriff.

1. Navigieren Sie in der Konsole IBM Cloud zu den kontextbasierten Einschränkungen.
2. Klicken Sie auf Zone erstellen.
3. Geben Sie einen beschreibenden Namen ein (z. B. backup-infrastructure-zone).
4. Zulässige Netzwerkquellen hinzufügen.
   1. IP-Adressen: Fügen Sie die IP-Adressen Ihrer Backup-Server hinzu (z. B. 10.240.0.0/24).
   2. VPC: Wählen Sie Ihre VPC, wenn die Backup-Server in IBM Cloud laufen.
   3. Dienstverweise: Fügen Sie alle IBM Cloud Dienste hinzu, die Zugriff benötigen.
5. Klicken Sie auf Erstellen.

Eine CBR-Regel erstellen

1. Navigieren Sie zu Regeln für kontextbezogene Einschränkungen.
2. Klicken Sie auf Regel erstellen.
3. Konfigurieren Sie die Regel.
   1. Beschreibung: Restrict backup bucket to authorized infrastructure.
   2. Dienst: Wählen Sie Cloud Object Storage.
   3. Umfang: Wählen Sie Ihre Object Storage Instanz und den spezifischen Backup-Bucket.
   4. Kontexte: Fügen Sie die von Ihnen erstellte Netzwerkzone hinzu.
   5. Erzwingen: Beginnen Sie mit "Nur Bericht" zum Testen und wechseln Sie dann zu "Aktiviert".
4. Klicken Sie auf Erstellen.

Testen Sie Ihre CBR-Regeln gründlich im Modus "Nur Bericht", bevor Sie die Durchsetzung aktivieren. Überprüfen Sie die Protokolle von Activity Tracker, um sicherzustellen, dass der legitime Backup-Verkehr den Regeln entspricht.

CBR-Regel mit Hilfe der CLI

# Create a network zone
ibmcloud cbr zone-create \
  --name backup-infrastructure-zone \
  --addresses 10.240.0.0/24,10.241.0.0/24

# Create a CBR rule for the backup bucket
ibmcloud cbr rule-create \
  --description "Restrict backup bucket access" \
  --service-name cloud-object-storage \
  --resource-attributes "accountId=<account-id>,serviceName=cloud-object-storage,resource=company-backup-vault-prod" \
  --zone-id <zone-id> \
  --enforcement-mode enabled

Verwendung der Konsole

1. Navigieren Sie zu Ihrer Object Storage Instanz in der IBM Cloud Konsole.
2. Klicken Sie in der linken Navigation auf Dienstanmeldeinformationen.
3. Klicken Sie auf Neuer Berechtigungsnachweis.
4. Konfigurieren Sie die Zugangsdaten.
   1. Name: Geben Sie einen beschreibenden Namen ein (z. B. veeam-backup-credentials).
   2. Rolle: Wählen Sie Writer für Sicherungsvorgänge (oder Manager, wenn das Sicherungsprodukt Bucket-Einstellungen verwalten muss).
   3. HMAC-Berechtigung: Einschalten (dies ist wichtig für die Kompatibilität mit S3 ).
5. Klicken Sie auf Hinzufügen.
6. Erweitern Sie die neue Berechtigung, um die Details anzuzeigen.

Verwendung der Befehlszeilenschnittstelle

ibmcloud resource service-key-create veeam-backup-credentials Writer \
  --instance-name my-cos-instance \
  --parameters '{"HMAC": true}'

HMAC-Berechtigungsnachweise abrufen

Erweitern Sie nach der Erstellung der Dienstberechtigung diese, um die HMAC-Schlüssel zu finden:

{
  "apikey": "...",
  "cos_hmac_keys": {
    "access_key_id": "1a2b3c4d5e6f7g8h9i0j",
    "secret_access_key": "AbCdEfGhIjKlMnOpQrStUvWxYz1234567890abcd"
  },
  "endpoints": "https://control.cloud-object-storage.cloud.ibm.com/v2/endpoints",
  "iam_apikey_description": "...",
  "resource_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:..."
}

Notieren Sie die folgenden Werte für die Konfiguration Ihres Sicherungsprodukts:

Bewahren Sie Ihren geheimen Schlüssel sicher auf. Sie kann nach der Erstellung des Berechtigungsnachweises nicht mehr abgerufen werden.

Finden Sie Ihren Endpunkt

1. Navigieren Sie zu Ihrem Bucket in der Konsole Object Storage.
2. Klicken Sie auf die Registerkarte Konfiguration.
3. Blättern Sie zu Endpunkte, um die verfügbaren Endpunkte für den Standort Ihres Buckets anzuzeigen.

Endpunkttypen

Gemeinsame Endpunkt-URLs

Regionale Endpunkte (Beispiel USA-Süd):

Regionsübergreifende Endpunkte (Beispiel USA):

Eine vollständige Liste der Endpunkte finden Sie unter Endpunkte und Speicherorte.

Erforderliche Konfigurationswerte

Sammeln Sie die folgenden Informationen, bevor Sie Ihr Sicherungsprodukt konfigurieren:

IBM Storage Defender Daten schützen

IBM Storage Defender Data Protect unterstützt Cloud-Tiering und die Archivierung auf S3-compatible Speicher, einschließlich Object Storage. Der Konfigurationsprozess umfasst die Registrierung eines externen S3 Ziels und die Erstellung von Schutzrichtlinien.

Detaillierte Konfigurationsschritte finden Sie im IBM Storage Defender Redbook, das die Data Protect-Versionen 7.1.1 und höher abdeckt.

Veeam Backup & Replication

Veeam Backup & Replication unterstützt Object Storage als S3-compatible Objektspeicherziel. Verwenden Sie den Assistenten für ein neues Object Storage Repository, um Ihren Object Storage Bucket hinzuzufügen.

Eine vollständige Dokumentation finden Sie unter Hinzufügen von S3 Kompatibel Object Storage im Veeam Help Center.

Commvault

Commvault unterstützt Object Storage als ein S3-compatible Cloud-Speicherziel. Sie können es über das Command Center für Sicherungs- und Archivierungsvorgänge konfigurieren.

Eine vollständige Dokumentation finden Sie unter Erste Schritte mit IBM Cloud Object Storage und Konfiguration für IBM Cloud Object Storage in der Commvault-Dokumentation.

Test von Sicherungsvorgängen

1. Erstellen Sie einen kleinen Test-Sicherungsauftrag in Ihrem Sicherungsprodukt.
2. Führen Sie die Sicherung aus und überprüfen Sie, ob sie erfolgreich abgeschlossen wurde.
3. Überprüfen Sie, ob die Sicherungsdaten in Ihrem Object Storage Bucket erscheinen.

Überprüfung der Unveränderlichkeit

1. Versuchen Sie, ein kürzlich gesichertes Objekt direkt in der Konsole Object Storage zu löschen.
2. Die Löschung sollte mit einem Fehler in der Aufbewahrungsrichtlinie abgelehnt werden.
3. Überprüfen Sie unter Activity Tracker, ob der Löschversuch protokolliert wurde.

Überprüfen, ob CBR funktioniert

1. Überprüfen Sie Activity Tracker auf abgelehnte Anfragen von außerhalb Ihrer genehmigten Netzwerkzonen.
2. Versuchen Sie, von einem nicht zugelassenen Netz aus zuzugreifen, um zu überprüfen, ob es blockiert ist (sofern dies gefahrlos möglich ist).
3. Überprüfen Sie die Bewertungen der CBR-Regeln in der Konsole IBM Cloud.

Sicherheitsempfehlungen

• Verwenden Sie private Endpunkte: Leiten Sie den Backup-Datenverkehr nach Möglichkeit über das private Netzwerk IBM Cloud.
• Wechseln Sie die Zugangsdaten regelmäßig: Erstellen Sie regelmäßig neue HMAC-Anmeldedaten und aktualisieren Sie Ihr Sicherungsprodukt.
• Überwachung mit Activity Tracker: Aktivieren Sie Activity Tracker, um alle Bucket-Vorgänge zu protokollieren.
• Least Privilege anwenden: Gewähren Sie nur die minimal erforderlichen IAM-Rollen für Backup-Anmeldeinformationen.
• Aktivieren Sie die Versionierung: Ziehen Sie in Erwägung, die Versionierung zu aktivieren, um sich besser gegen Überschreibungen zu schützen.

Empfehlungen zur Unveränderlichkeit

• Richten Sie die Aufbewahrung an den Sicherungsrichtlinien aus: Legen Sie eine Mindestaufbewahrung fest, die der kürzesten Aufbewahrungsfrist für Ihr Backup entspricht.
• Planen Sie für die Einhaltung von Vorschriften: Wenn Sie Vorschriften unterliegen (HIPAA, SEC, GDPR), legen Sie entsprechende Aufbewahrungsfristen fest.
• Testen Sie Wiederherstellungsverfahren: Testen Sie regelmäßig, ob Sie aus unveränderlichen Backups wiederherstellen können.

Leistungsempfehlungen

• Wählen Sie die entsprechende Speicherklasse: Verwenden Sie Standard für aktive Backups, Vault oder Cold Vault für Archive.
• Aktivieren Sie die Übertragungsbeschleunigung: Für umfangreiche Backups über große Entfernungen sollten Sie die Hochgeschwindigkeitsübertragung Aspera in Betracht ziehen.
• Gleichzeitige Verbindungen richtig bemessen: Die meisten Datensicherungsprodukte erlauben die Abstimmung gleichzeitiger Upload-Streams.

Object Storage dokumentation

• Object Storage dokumentation
• Immutable Object Storage (IOS)
• Kontextbasierte Einschränkungen
• Dienstberechtigungsnachweise und HMAC
• Endpunkte und Speicherpositionen
• Activity Tracker-Integration
• S3 Objekt sperren

Sicherung der Produktdokumentation

• IBM Storage Defender Redbook: Data Management Service und Datenschutz
• IBM Storage Defender Data Protect-Dokumentation
• Veeam: Hinzufügen von S3 Kompatibel Object Storage
• Veeam: S3 Überlegungen zu kompatiblem Speicher und Einschränkungen
• Commvault: Erste Schritte mit IBM Cloud Object Storage
• Commvault: Konfiguration für IBM Cloud Object Storage
• Commvault: Hinzufügen von IBM Cloud Object Storage Repository