Objetivos

• Criar um bucket Object Storage configurado para cargas de trabalho de backup
• Habilite a imutabilidade (WORM) para proteger os dados de backup contra modificação ou exclusão
• Configurar restrições baseadas em contexto para limitar o acesso a redes e serviços autorizados
• Recupere as credenciais e as informações de conexão exigidas pelo seu produto de backup

Arquitetura

A arquitetura do cofre de dados seguro consiste em:

• Object Storage bucket- O destino de armazenamento dos dados de backup
• Política de imutabilidade- proteção WORM (Write Once Read Many) que impede a modificação de dados
• Restrições baseadas em contexto- Controles de acesso baseados em rede e serviços
• Credenciais de serviço- chaves HMAC (chave de acesso e chave secreta) para acesso a S3-compatible

Usando o console

1. Efetue login no console da IBM Cloud.
2. Navegue até sua instância Object Storage na lista de recursos.
3. Clique em Criar depósito.
4. Selecione Personalizar seu balde.
5. Configure as definições do bucket.
   1. Nome do compartimento: Digite um nome exclusivo e descritivo (por exemplo, company-backup-vault-prod).
   2. Resiliência: Selecione Cross Region ou Regional com base em seus requisitos.
   3. Localização: Escolha um local próximo à sua infraestrutura de backup.
   4. Classe de armazenamento: Selecione Padrão para backups acessados com frequência ou Cofre para retenção a longo prazo.
6. Clique em Criar depósito.

Usando a CLI

ibmcloud cos bucket-create \
  --bucket company-backup-vault-prod \
  --ibm-service-instance-id <your-cos-instance-crn> \
  --region us-south \
  --class standard

Você pode encontrar o CRN da sua instância IBM Cloud Object Storage no console IBM Cloud na seção Credenciais de serviço da sua instância Object Storage.

Compreensão dos períodos de retenção

Object Storage a imutabilidade usa três configurações de período de retenção:

Habilite a imutabilidade usando o console

1. Navegue até o seu bucket de backup no console Object Storage.
2. Clique na guia Configuração.
3. Role até Immutable Object Storage e clique em Add retention policy (Adicionar política de retenção ).
4. Configure os períodos de retenção.
   1. Período mínimo de retenção: Defina com base em seu requisito de retenção de backup mais curto (por exemplo, 7 dias).
   2. Período de retenção padrão: Defina como sua retenção de backup padrão (por exemplo, 30 dias).
   3. Período máximo de retenção: Defina como seu requisito de retenção mais longo (por exemplo, 365 dias ou 7 anos para conformidade).
5. Clique em Salvar.

Habilite a imutabilidade usando a CLI

ibmcloud cos bucket-protection-configuration-put \
  --bucket company-backup-vault-prod \
  --protection-configuration '{
    "status": "Retention",
    "minimum_retention": {"days": 7},
    "default_retention": {"days": 30},
    "maximum_retention": {"days": 365}
  }'

Planeje suas regras de acesso

Antes de configurar o CBR, identifique o seguinte:

• Endereços IP ou sub-redes do servidor de backup: Os intervalos de rede onde seu software de backup é executado
• Acesso a endpoints privados ou públicos: Prefira endpoints privados para cargas de trabalho de produção
• Acesso de serviço a serviço: Se outros serviços do site IBM Cloud precisam de acesso

Criar uma zona de rede

Uma zona de rede define as redes de origem permitidas para acesso.

1. Navegue até Restrições baseadas em contexto no console IBM Cloud.
2. Clique em Criar zona.
3. Digite um nome descritivo (por exemplo, backup-infrastructure-zone).
4. Adicionar fontes de rede permitidas.
   1. Endereços IP: Adicione os IPs de seu servidor de backup (por exemplo, 10.240.0.0/24).
   2. VPC: Selecione sua VPC se os servidores de backup forem executados em IBM Cloud.
   3. Referências de serviço: Adicione todos os serviços IBM Cloud que precisam de acesso.
5. Clique em Criar.

Criar uma regra CBR

1. Navegue até Regras de restrições baseadas em contexto.
2. Clique em Criar regra.
3. Configure a regra.
   1. Descrição: Restrict backup bucket to authorized infrastructure.
   2. Serviço: Selecione Cloud Object Storage.
   3. Escopo: Selecione sua instância Object Storage e o bucket de backup específico.
   4. Contextos: Adicione a zona de rede que você criou.
   5. Aplicação: Comece com Report-only para testar e depois mude para Enabled.
4. Clique em Criar.

Teste suas regras de CBR completamente no modo somente de relatório antes de ativar a aplicação. Verifique os registros do site Activity Tracker para verificar se o tráfego de backup legítimo está correspondendo às regras.

Regra CBR usando a CLI

# Create a network zone
ibmcloud cbr zone-create \
  --name backup-infrastructure-zone \
  --addresses 10.240.0.0/24,10.241.0.0/24

# Create a CBR rule for the backup bucket
ibmcloud cbr rule-create \
  --description "Restrict backup bucket access" \
  --service-name cloud-object-storage \
  --resource-attributes "accountId=<account-id>,serviceName=cloud-object-storage,resource=company-backup-vault-prod" \
  --zone-id <zone-id> \
  --enforcement-mode enabled

Usando o console

1. Navegue até a sua instância Object Storage no console IBM Cloud.
2. Clique em Credenciais de serviço na navegação à esquerda.
3. Clique em Nova credencial.
4. Configure a credencial.
   1. Name (Nome ): Digite um nome descritivo (por exemplo, veeam-backup-credentials).
   2. Função: Selecione Writer para operações de backup (ou Manager se o produto de backup precisar gerenciar as configurações de bucket).
   3. Credencial HMAC: Alterne para On (isso é fundamental para a compatibilidade com o site S3 ).
5. Clique em Incluir.
6. Expanda a nova credencial para ver os detalhes.

Usando a CLI

ibmcloud resource service-key-create veeam-backup-credentials Writer \
  --instance-name my-cos-instance \
  --parameters '{"HMAC": true}'

Recuperar credenciais HMAC

Depois de criar a credencial de serviço, expanda-a para encontrar as chaves HMAC:

{
  "apikey": "...",
  "cos_hmac_keys": {
    "access_key_id": "1a2b3c4d5e6f7g8h9i0j",
    "secret_access_key": "AbCdEfGhIjKlMnOpQrStUvWxYz1234567890abcd"
  },
  "endpoints": "https://control.cloud-object-storage.cloud.ibm.com/v2/endpoints",
  "iam_apikey_description": "...",
  "resource_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:..."
}

Registre os seguintes valores para a configuração do seu produto de backup:

Armazene sua chave secreta de forma segura. Ela não pode ser recuperada novamente depois que a credencial é criada.

Encontre seu ponto de extremidade

1. Navegue até o seu bucket no console Object Storage.
2. Clique na guia Configuração.
3. Role até Endpoints para ver os endpoints disponíveis para a localização do seu bucket.

Tipos de terminal

URLs de endpoints comuns

Pontos finais regionais (exemplo do Sul dos EUA):

Pontos finais entre regiões (exemplo dos EUA):

Para obter uma lista completa de pontos de extremidade, consulte Pontos de extremidade e locais de armazenamento.

Valores de configuração necessários

Reúna as seguintes informações antes de configurar seu produto de backup:

IBM Storage Defender Proteção de dados

IBM Storage Defender O Data Protect oferece suporte ao armazenamento em nuvem e ao arquivamento em S3-compatible, incluindo Object Storage. O processo de configuração envolve o registro de um alvo externo S3 e a criação de políticas de proteção.

Para obter etapas detalhadas de configuração, consulte o IBM Storage Defender Redbook, que abrange as versões do Data Protect 7.1.1 e posteriores.

Veeam Backup & Replication

O Veeam Backup & Replication suporta Object Storage como um destino de storage de objeto S3-compatible. Use o assistente New Object Storage Repository para adicionar o bucket Object Storage.

Para obter a documentação completa, consulte Adição de S3 compatível com Object Storage no Veeam Help Center.

Commvault

A Commvault oferece suporte a Object Storage como um destino de armazenamento em nuvem S3-compatible. Você pode configurá-lo por meio do Command Center para operações de backup e arquivamento.

Para obter a documentação completa, consulte Getting Started with IBM Cloud Object Storage e Configuration for IBM Cloud Object Storage na documentação da Commvault.

Testar operações de backup

1. Crie um pequeno trabalho de backup de teste em seu produto de backup.
2. Execute o backup e verifique se ele foi concluído com êxito.
3. Verifique se os dados de backup aparecem em seu bucket Object Storage.

Verificar a imutabilidade

1. Tentativa de excluir um objeto de backup recente diretamente no console Object Storage.
2. A exclusão deve ser negada com um erro de política de retenção.
3. Verifique no site Activity Tracker se a tentativa de exclusão foi registrada.

Verifique se o CBR está funcionando

1. Verifique em Activity Tracker se há solicitações negadas de fora de suas zonas de rede aprovadas.
2. Tente acessar a partir de uma rede não aprovada para verificar se ela está bloqueada (se for seguro fazê-lo).
3. Revise as avaliações de regras de CBR no console IBM Cloud.

Recomendações de segurança

• Use endpoints privados: Encaminhe o tráfego de backup pela rede privada IBM Cloud quando possível.
• Faça a rotação das credenciais regularmente: Crie novas credenciais HMAC periodicamente e atualize seu produto de backup.
• Monitorar com Activity Tracker: Habilite Activity Tracker para registrar todas as operações do bucket.
• Aplique o privilégio mínimo: Conceda apenas as funções de IAM mínimas necessárias para as credenciais de backup.
• Habilite o controle de versão: Considere ativar o controle de versão para obter mais proteção contra substituições.

Recomendações de imutabilidade

• Alinhe a retenção com as políticas de backup: Defina uma retenção mínima para corresponder ao seu requisito de retenção de backup mais curto.
• Planeje a conformidade: Se estiver sujeito a regulamentações (HIPAA, SEC, GDPR), defina os períodos de retenção de acordo.
• Teste os procedimentos de recuperação: Teste regularmente se você pode restaurar a partir de backups imutáveis.

Recomendações de desempenho

• Escolha a classe de armazenamento apropriada: Use Standard para backups ativos, Vault ou Cold Vault para arquivos.
• Habilite a aceleração da transferência: Para backups grandes em longas distâncias, considere Aspera a transferência em alta velocidade.
• Dimensione corretamente as conexões simultâneas: A maioria dos produtos de backup permite o ajuste de fluxos de upload simultâneos.

Object Storage documentação

• Object Storage documentação
• Immutable Object Storage
• Restrições baseadas em contexto
• Credenciais de serviço e HMAC
• Terminais e locais de armazenamento
• Integração do Activity Tracker
• S3 Bloqueio de objeto

Backup da documentação do produto

• IBM Storage Defender Redbook: Data Management Proteção de serviços e dados
• IBM Storage Defender Documentação do Data Protect
• Veeam: Adicionando S3 compatível Object Storage
• Veeam: S3 Considerações e limitações de storage compatível
• Commvault: Primeiros passos com a IBM Cloud Object Storage
• Commvault: Configuração para IBM Cloud Object Storage
• Commvault: Adicionando o repositório IBM Cloud Object Storage