Creare un caveau sicuro per i prodotti di backup

Obiettivi

• Creare un bucket Object Storage configurato per i carichi di lavoro di backup
• Abilita l'immutabilità (WORM) per proteggere i dati di backup da modifiche o cancellazioni
• Configurare restrizioni basate sul contesto per limitare l'accesso a reti e servizi autorizzati
• Recuperare le credenziali e le informazioni di connessione richieste dal prodotto di backup

Architettura

L'architettura del caveau sicuro è composta da:

• Object Storage bucket- La destinazione di archiviazione per i dati di backup
• Politica di immutabilità- Protezione WORM (Write Once Read Many) che impedisce la modifica dei dati
• Restrizioni basate sul contesto- Controlli di accesso basati sulla rete e sui servizi
• Credenziali di servizio- chiavi HMAC (chiave di accesso e chiave segreta) per l'accesso a S3-compatible

Utilizzo della console

1. Accedere alla console IBM Cloud.
2. Selezionate l'istanza di Object Storage dall'elenco delle risorse.
3. Fai clic su Crea bucket.
4. Selezionare Personalizza il secchio.
5. Configurare le impostazioni del bucket.
   1. Nome del secchio: inserire un nome unico e descrittivo (ad esempio, company-backup-vault-prod).
   2. Resilienza: Selezionare Cross Region o Regional in base alle proprie esigenze.
   3. Posizione: Scegliere una sede vicina alla propria infrastruttura di backup.
   4. Classe di archiviazione: Selezionare Standard per i backup ad accesso frequente o Vault per la conservazione a lungo termine.
6. Fai clic su Crea bucket.

Utilizzo della CLI

ibmcloud cos bucket-create \
  --bucket company-backup-vault-prod \
  --ibm-service-instance-id <your-cos-instance-crn> \
  --region us-south \
  --class standard

Il CRN dell'istanza IBM Cloud Object Storage si trova nella console IBM Cloud, nella sezione Credenziali di servizio dell'istanza Object Storage.

Comprendere i periodi di conservazione

Object Storage l'immutabilità utilizza tre impostazioni del periodo di conservazione:

Abilitare l'immutabilità utilizzando la console

1. Passare al bucket di backup nella console Object Storage.
2. Fai clic sulla scheda Configurazione.
3. Spostarsi su Immutabile Object Storage e fare clic su Aggiungi criterio di conservazione.
4. Configurare i periodi di conservazione.
   1. Periodo minimo di conservazione: Impostare in base al requisito di conservazione del backup più breve (ad esempio, 7 giorni).
   2. Periodo di conservazione predefinito: Impostare la conservazione standard dei backup (ad esempio, 30 giorni).
   3. Periodo di conservazione massimo: Impostare il requisito di conservazione più lungo (ad esempio, 365 giorni o 7 anni per la conformità).
5. Fare clic su Salva.

Abilitare l'immutabilità utilizzando la CLI

ibmcloud cos bucket-protection-configuration-put \
  --bucket company-backup-vault-prod \
  --protection-configuration '{
    "status": "Retention",
    "minimum_retention": {"days": 7},
    "default_retention": {"days": 30},
    "maximum_retention": {"days": 365}
  }'

Pianificare le regole di accesso

Prima di configurare il CBR, individuare quanto segue:

• Indirizzi IP o sottoreti del server di backup: Gli intervalli di rete in cui viene eseguito il software di backup
• Accesso agli endpoint privati o pubblici: Preferire endpoint privati per i carichi di lavoro di produzione
• Accesso da servizio a servizio: Se altri servizi di IBM Cloud necessitano di accesso

Crea una zona di rete

Una zona di rete definisce le reti di origine consentite per l'accesso.

1. Passare alle restrizioni basate sul contesto nella console IBM Cloud.
2. Fare clic su Crea zona.
3. Inserire un nome descrittivo (ad esempio, backup-infrastructure-zone).
4. Aggiungere le fonti di rete consentite.
   1. Indirizzi IP: Aggiungere gli IP del server di backup (ad esempio, 10.240.0.0/24).
   2. VPC: selezionare la VPC se i server di backup vengono eseguiti in IBM Cloud.
   3. Riferimenti ai servizi: Aggiungere tutti i servizi di IBM Cloud che necessitano di accesso.
5. Fai clic su Crea.

Creare una regola CBR

1. Spostarsi su Regole di restrizione basate sul contesto.
2. Fai clic su Crea regola.
3. Configurare la regola.
   1. Descrizione: Restrict backup bucket to authorized infrastructure.
   2. Servizio: Selezionare Cloud Object Storage.
   3. Ambito: Selezionare l'istanza Object Storage e il bucket di backup specifico.
   4. Contesti: Aggiungere la zona di rete creata.
   5. Applicazione: Iniziare con Solo rapporti per testare, quindi passare a Abilitato.
4. Fai clic su Crea.

Testare a fondo le regole CBR in modalità solo report prima di abilitare l'applicazione. Controllare i registri di Activity Tracker per verificare che il traffico di backup legittimo corrisponda alle regole.

Regola CBR utilizzando la CLI

# Create a network zone
ibmcloud cbr zone-create \
  --name backup-infrastructure-zone \
  --addresses 10.240.0.0/24,10.241.0.0/24

# Create a CBR rule for the backup bucket
ibmcloud cbr rule-create \
  --description "Restrict backup bucket access" \
  --service-name cloud-object-storage \
  --resource-attributes "accountId=<account-id>,serviceName=cloud-object-storage,resource=company-backup-vault-prod" \
  --zone-id <zone-id> \
  --enforcement-mode enabled

Utilizzo della console

1. Navigate nella vostra istanza di Object Storage nel sito IBM Cloud console.
2. Fare clic su Credenziali di servizio nella navigazione a sinistra.
3. Fai clic su New credential.
4. Configurare la credenziale.
   1. Nome: Inserire un nome descrittivo (ad esempio, veeam-backup-credentials).
   2. Ruolo: Selezionare Writer per le operazioni di backup (o Manager se il prodotto di backup deve gestire le impostazioni del bucket).
   3. Credenziale HMAC: Attivare (è fondamentale per la compatibilità con S3 ).
5. Fai clic su Aggiungi.
6. Espandere la nuova credenziale per visualizzarne i dettagli.

Utilizzo della CLI

ibmcloud resource service-key-create veeam-backup-credentials Writer \
  --instance-name my-cos-instance \
  --parameters '{"HMAC": true}'

Recuperare le credenziali HMAC

Dopo aver creato la credenziale del servizio, espandetela per trovare le chiavi HMAC:

{
  "apikey": "...",
  "cos_hmac_keys": {
    "access_key_id": "1a2b3c4d5e6f7g8h9i0j",
    "secret_access_key": "AbCdEfGhIjKlMnOpQrStUvWxYz1234567890abcd"
  },
  "endpoints": "https://control.cloud-object-storage.cloud.ibm.com/v2/endpoints",
  "iam_apikey_description": "...",
  "resource_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:..."
}

Registrare i seguenti valori per la configurazione del prodotto di backup:

Conservare la chiave segreta in modo sicuro. Non può essere recuperata dopo la creazione della credenziale.

Individuare l'endpoint

1. Passare al proprio bucket nella console Object Storage.
2. Fai clic sulla scheda Configurazione.
3. Spostarsi su Endpoint per vedere gli endpoint disponibili per la posizione del bucket.

Tipi di endpoint

URL endpoint comuni

Punti finali regionali (esempio Stati Uniti del Sud):

Endpoint interregionali (esempio USA):

Per un elenco completo degli endpoint, vedere Endpoint e posizioni di archiviazione.

Valori di configurazione richiesti

Prima di configurare il prodotto di backup, raccogliere le seguenti informazioni:

IBM Storage Defender Protezione dei dati

IBM Storage Defender Data Protect supporta il tiering e l'archiviazione nel cloud su S3-compatible, compreso Object Storage. Il processo di configurazione prevede la registrazione di un target esterno S3 e la creazione di criteri di protezione.

Per le fasi di configurazione dettagliate, consultare il Redbook IBM Storage Defender, che copre le versioni di Data Protect 7.1.1 e successive.

Veeam Backup & Replication

Veeam Backup & Replication supporta Object Storage come destinazione di archiviazione a oggetti S3-compatible. Utilizzare la procedura guidata Nuovo repository Object Storage per aggiungere il bucket Object Storage.

Per una documentazione completa, vedere Aggiunta di S3 compatibile con Object Storage nel Veeam Help Center.

Commvault

Commvault supporta Object Storage come destinazione di archiviazione cloud S3-compatible. È possibile configurarlo attraverso il Centro di comando per le operazioni di backup e archiviazione.

Per la documentazione completa, vedere Guida introduttiva a IBM Cloud Object Storage e Configurazione per IBM Cloud Object Storage nella documentazione di Commvault.

Test delle operazioni di backup

1. Create un piccolo lavoro di backup di prova nel vostro prodotto di backup.
2. Eseguire il backup e verificare che venga completato correttamente.
3. Verificare che i dati di backup vengano visualizzati nel bucket Object Storage.

Verificare l'immutabilità

1. Tentativo di eliminare un oggetto di cui è stato eseguito il backup di recente direttamente nella console Object Storage.
2. L'eliminazione deve essere negata con un errore di politica di conservazione.
3. Verificare in Activity Tracker che il tentativo di cancellazione sia stato registrato.

Verificare che il CBR funzioni

1. Controllare Activity Tracker per eventuali richieste negate dall'esterno delle zone di rete approvate.
2. Tentare l'accesso da una rete non approvata per verificare che sia bloccata (se è sicuro farlo).
3. Esaminare le valutazioni delle regole CBR nella console IBM Cloud.

Consigli per la sicurezza

• Utilizzare endpoint privati: Se possibile, instradare il traffico di backup sulla rete privata IBM Cloud.
• Ruotare regolarmente le credenziali: Creare periodicamente nuove credenziali HMAC e aggiornare il prodotto di backup.
• Monitoraggio con Activity Tracker: Abilitare Activity Tracker per registrare tutte le operazioni del bucket.
• Applicare il minimo privilegio: Concedere solo i ruoli IAM minimi richiesti alle credenziali di backup.
• Abilitare il versioning: Considerare la possibilità di attivare il versioning per una maggiore protezione contro le sovrascritture.

Raccomandazioni sull'immutabilità

• Allineare la conservazione ai criteri di backup: Impostare una conservazione minima che corrisponda ai requisiti di conservazione dei backup più brevi.
• Pianificare la conformità: Se si è soggetti a normative (HIPAA, SEC, GDPR), impostare i periodi di conservazione di conseguenza.
• Testare le procedure di ripristino: Verificate regolarmente la possibilità di ripristinare da backup immutabili.

Raccomandazioni sulle prestazioni

• Scegliere la classe di archiviazione appropriata: Utilizzare Standard per i backup attivi, Vault o Cold Vault per gli archivi.
• Attivare l'accelerazione del trasferimento: Per i backup di grandi dimensioni su lunghe distanze, prendere in considerazione il trasferimento ad alta velocità all'indirizzo Aspera.
• Dimensionare correttamente le connessioni simultanee: La maggior parte dei prodotti di backup consente di sintonizzare i flussi di upload simultanei.

Object Storage documentazione

• Object Storage documentazione
• Immutable Object Storage
• Limitazioni basate sul contesto
• Credenziali di servizio e HMAC
• Endpoint e ubicazioni di archiviazione
• Integrazione di Activity Tracker
• S3 Blocco dell'oggetto

Backup della documentazione del prodotto

• IBM Storage Defender Redbook: Data Management Servizio e protezione dei dati
• IBM Storage Defender Documentazione Data Protect
• Veeam: Aggiunta di S3 compatibile Object Storage
• Veeam: S3 Considerazioni e limitazioni sullo storage compatibile
• Commvault: Guida introduttiva IBM Cloud Object Storage
• Commvault: Configurazione per IBM Cloud Object Storage
• Commvault: Aggiunta del repository IBM Cloud Object Storage