目标

• 创建一个为备份工作负载配置的 Object Storage 存储桶
• 启用不变性 (WORM)，保护备份数据不被修改或删除
• 配置基于上下文的限制，以限制对授权网络和服务的访问
• 检索备份产品所需的凭证和连接信息

体系结构

安全数据存储库架构包括

• Object Storage bucket- 备份数据的存储目标
• 不变性策略- WORM（一次写入多次读取）保护，防止数据被修改
• 基于上下文的限制- 基于网络和服务的访问控制
• 服务凭证- 用于 S3-compatible 访问的 HMAC 密钥（访问密钥和保密密钥

使用控制台

1. 登录 IBM Cloud 控制台。
2. 从资源列表导航到 Object Storage 实例。
3. 单击创建存储区。
4. 选择自定义水桶。
5. 配置水桶设置。
   1. 桶名：输入唯一的描述性名称（例如 company-backup-vault-prod ）。
   2. 弹性：根据您的要求选择跨地区或地区。
   3. 地点：选择靠近备份基础设施的地点。
   4. 存储类别：为频繁访问的备份选择“标准”，为长期保留的备份选择“保险库”。
6. 单击创建存储区。

使用 CLI

ibmcloud cos bucket-create \
  --bucket company-backup-vault-prod \
  --ibm-service-instance-id <your-cos-instance-crn> \
  --region us-south \
  --class standard

您可以在 IBM Cloud 控制台的 Object Storage 实例的服务凭据部分找到您的 IBM Cloud Object Storage 实例 CRN。

了解保留期

Object Storage 不变性使用三种保留期设置：

使用控制台启用不变性

1. 在 Object Storage 控制台中导航到备份桶。
2. 单击配置选项卡。
3. 滚动到不可变 Object Storage，然后单击添加保留策略。
4. 配置保留期。
   1. 最短保留期：根据最短备份保留要求设置（例如 7 天）。
   2. 默认保留期：设置为标准备份保留期（例如 30 天）。
   3. 最长保留期：设置为最长保留要求（例如，365 天或 7 年，以符合规定）。
5. 单击保存。

使用 CLI 启用不变性

ibmcloud cos bucket-protection-configuration-put \
  --bucket company-backup-vault-prod \
  --protection-configuration '{
    "status": "Retention",
    "minimum_retention": {"days": 7},
    "default_retention": {"days": 30},
    "maximum_retention": {"days": 365}
  }'

规划访问规则

在配置 CBR 之前，请确定以下内容：

• 备份服务器 IP 地址或子网：备份软件运行所在的网络范围
• 专用或公共端点访问：生产工作负载首选专用端点
• 服务对服务的访问：其他 IBM Cloud 服务是否需要访问

创建网络区域

网络区域定义了允许访问的源网络。

1. 导航至 IBM Cloud 控制台中的 基于上下文的限制。
2. 单击创建区域。
3. 输入一个描述性名称（例如 backup-infrastructure-zone ）。
4. 添加允许的网络源。
   1. IP 地址：添加备份服务器 IP 地址（例如 10.240.0.0/24 ）。
   2. VPC：如果备份服务器在 IBM Cloud 中运行，请选择您的 VPC。
   3. 服务引用：添加任何需要访问的 IBM Cloud 服务。
5. 单击创建。

创建 CBR 规则

1. 导航至 基于上下文的限制规则。
2. 单击创建规则。
3. 配置规则。
   1. 说明：Restrict backup bucket to authorized infrastructure。
   2. 服务：选择 Cloud Object Storage.
   3. 范围：选择 Object Storage 实例和特定备份桶。
   4. 上下文：添加创建的网络区域。
   5. 执行：开始时只测试报告，然后切换到启用。
4. 单击创建。

在启用强制执行之前，在纯报告模式下彻底测试 CBR 规则。 检查 Activity Tracker 日志，验证合法备份流量是否符合规则。

使用 CLI 查看 CBR 规则

# Create a network zone
ibmcloud cbr zone-create \
  --name backup-infrastructure-zone \
  --addresses 10.240.0.0/24,10.241.0.0/24

# Create a CBR rule for the backup bucket
ibmcloud cbr rule-create \
  --description "Restrict backup bucket access" \
  --service-name cloud-object-storage \
  --resource-attributes "accountId=<account-id>,serviceName=cloud-object-storage,resource=company-backup-vault-prod" \
  --zone-id <zone-id> \
  --enforcement-mode enabled

使用控制台

1. 在 IBM Cloud 控制台中导航到 Object Storage 实例。
2. 单击左侧导航中的服务证书。
3. 单击新建凭证。
4. 配置证书。
   1. 名称：输入描述性名称（例如 veeam-backup-credentials ）。
   2. 角色：为备份操作选择“写入器”（如果备份产品需要管理数据桶设置，则选择 " 管理器 "）。
   3. HMAC 凭证：切换为打开 （这对 S3 兼容性至关重要）。
5. 单击添加。
6. 展开新凭证查看详细信息。

使用 CLI

ibmcloud resource service-key-create veeam-backup-credentials Writer \
  --instance-name my-cos-instance \
  --parameters '{"HMAC": true}'

读取 HMAC 证书

创建服务凭证后，展开它以找到 HMAC 密钥：

{
  "apikey": "...",
  "cos_hmac_keys": {
    "access_key_id": "1a2b3c4d5e6f7g8h9i0j",
    "secret_access_key": "AbCdEfGhIjKlMnOpQrStUvWxYz1234567890abcd"
  },
  "endpoints": "https://control.cloud-object-storage.cloud.ibm.com/v2/endpoints",
  "iam_apikey_description": "...",
  "resource_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:..."
}

记录备份产品配置的以下值：

安全存储密匙。 创建证书后，就无法再次检索。

查找终端

1. 导航至 Object Storage 控制台中的水桶。
2. 单击配置选项卡。
3. 滚动到“端点”，查看水桶所在位置的可用端点。

端点类型

常用端点 URL

地区终点（以美国南部为例）：

跨地区终点（以美国为例）：

有关端点的完整列表，请参阅 端点和存储位置。

所需配置值

在配置备份产品之前，请收集以下信息：

IBM Storage Defender 数据保护

IBM Storage Defender Data Protect 支持云分层和归档至 S3-compatible 存储，包括 Object Storage。 配置过程包括注册外部 S3 目标和创建保护策略。

有关详细配置步骤，请参阅 IBM Storage Defender 红皮书，其中涵盖 Data Protect 7.1.1 及更高版本。

Veeam 备份与复制

Veeam Backup & Replication 支持 Object Storage 作为 S3-compatible 对象存储目标。 使用新建 Object Storage 储藏库向导添加 Object Storage 储藏桶。

有关完整文档，请参阅 Veeam 帮助中心中的 添加 S3 兼容 Object Storage。

Commvault

Commvault 支持 Object Storage 作为 S3-compatible 云存储目标。 您可以通过指挥中心对其进行配置，以进行备份和存档操作。

有关完整文档，请参阅 Commvault 文档中的 IBM Cloud Object Storage 入门和 IBM Cloud Object Storage 配置。

测试备份操作

1. 在备份产品中创建一个小型测试备份任务。
2. 运行备份并验证是否成功完成。
3. 验证备份数据是否出现在 Object Storage 存储桶中。

验证不变性

1. 尝试直接在 Object Storage 控制台中删除最近备份的对象。
2. 应拒绝删除，并指出保留政策错误。
3. 在 Activity Tracker 中验证是否记录了删除尝试。

验证 CBR 是否正常工作

1. 检查 Activity Tracker，查看是否有来自已批准网络区域之外的被拒绝请求。
2. 尝试从未获批准的网络进行访问，以验证其是否被阻止（如果安全的话）。
3. 在 IBM Cloud 控制台中查看 CBR 规则评估。

安全建议

• 使用专用端点：尽可能通过 IBM Cloud 专用网络路由备份流量。
• 定期轮换凭证：定期创建新的 HMAC 凭证并更新备份产品。
• 使用 Activity Tracker 监控：启用 Activity Tracker，记录所有水桶操作。
• 应用最小特权：只授予备份凭证所需的最低 IAM 角色。
• 启用版本控制：考虑启用版本控制，以提供更多保护，防止覆盖。

不变性建议

• 根据备份策略调整保留时间：设置最小保留时间，以满足最短备份保留时间的要求。
• 制定合规计划：如果需要遵守相关法规（HIPAA、SEC、GDPR），请相应设置保留期限。
• 测试恢复程序：定期测试能否从不可变备份中恢复。

性能建议

• 选择适当的存储类别：活动备份使用标准，存档使用 Vault 或 Cold Vault。
• 启用传输加速：对于长距离的大量备份，可考虑使用 Aspera 高速传输。
• 调整并发连接的大小：大多数备份产品允许调整并发上传流。

Object Storage 文件

• Object Storage 文件
• 不可变对象存储器
• 基于上下文的限制
• 服务证书和 HMAC
• 端点和存储位置
• Activity Tracker 集成
• S3 对象锁定

备份产品文档

• IBM Storage Defender 红皮书：Data Management 服务和数据保护
• IBM Storage Defender 数据保护文件
• Veeam：添加 S3 兼容 Object Storage
• Veeam：S3 兼容存储的考虑因素和限制
• Commvault：开始使用 IBM Cloud Object Storage
• Commvault：配置为 IBM Cloud Object Storage
• Commvault：添加 IBM Cloud Object Storage 存储库