Instantanés de volume unique

Un instantané est une copie de votre volume que vous pouvez créer manuellement via la console ou l'interface de ligne de commande (CLI), ou générer par programmation à l'aide de l'API ou de Terraform. Vous pouvez créer un instantané d'un volume de démarrage ou de données associé à une instance de serveur virtuel en cours d'exécution. Une image instantanée "amorçable" est un instantané d'un volume d'amorçage. Une image instantanée "non amorçable" est d'un volume de données. Vous pouvez prendre des instantanés aussi souvent que vous le souhaitez. Toutefois, vous ne pouvez pas prendre une image instantanée d'un volume qui est dans un état dégradé.

Souhaitez-vous créer automatiquement des instantanés de vos Block Storage for VPC volumes? Avec Backup for VPC, vous pouvez créer des stratégies de sauvegarde pour planifier des sauvegardes de volume régulières. Pour plus d'informations, voir A propos du service Backup for VPC.

La première fois que vous prenez une image instantanée d'un volume, tout le contenu de ce volume est copié. Lorsque vous prenez une seconde image instantanée, elle capture uniquement les modifications qui se sont produites depuis la dernière image instantanée. Ainsi, la taille des instantanés peut augmenter ou diminuer, en fonction de ce qui est téléchargé dans le référentiel de stockage régional.

La création d'instantanés est asynchrone. L'instantané est créé immédiatement, mais il reste en attente jusqu'à ce que toutes les données soient transférées vers le référentiel de stockage régional.

Le nombre d'instantanés augmente avec chaque instantané successif que vous prenez. Vous pouvez prendre jusqu'à 750 instantanés pour un volume de première génération et 512 instantanés pour un volume de deuxième génération. Dans ces limites, vous pouvez prendre et conserver un instantané horaire pendant 30 jours, ainsi que quelques instantanés supplémentaires. La suppression d'instantanés de ce quota libère de l'espace pour créer de nouveaux instantanés. Un instantané d'un volume de première génération ne peut pas dépasser 10 To. Les instantanés de plus de 10 To sont pris en charge pour les volumes de deuxième génération.

Vous pouvez créer une instance de serveur virtuel avec un volume de démarrage initialisé à partir d'un instantané. Le profil d'instance de la nouvelle instance n'a pas besoin de correspondre à l'instance utilisée pour créer l'image instantanée. Vous pouvez également importer un instantané d'un volume de données lorsque vous créez et attachez un volume de données à l'instance. Vous pouvez spécifier des balises utilisateur pour ces instantanés.

Vous pouvez créer un volume à partir d'un instantané à tout moment. Ce processus est appelé restauration d'un volume et peut être exécuté lorsque vous créez une instance, que vous modifiez une instance ou que vous créez un volume autonome. Pour plus d'informations, voir Restauration d'un volume à partir d'une image instantanée.

Les instantanés ont un cycle de vie qui est indépendant du volume Block Storage for VPC source. Vous pouvez supprimer le volume d'origine ; l'image instantanée est conservée. Cependant, ne déconnectez pas le volume de l'instance pendant la création d'un instantané. Vous devez attendre que l'instantané devienne stable avant de vous déconnecter, sinon vous ne pouvez pas reconnecter le volume à une instance.

Les images instantanées sont cohérentes avec les pannes. Si le serveur virtuel s'arrête pour quelque raison que ce soit, les données de l'instantané sont en sécurité sur le disque.

Le coût des instantanés est calculé en fonction de la capacité en Go stockée par mois, sauf si la durée est inférieure à un mois. Comme l'instantané est basé sur la capacité qui a été mise à disposition pour le volume d'origine, la capacité de l'instantané ne varie pas.

Avec l' IBM Cloud® Identity and Access Management, vous pouvez configurer des groupes de ressources dans votre compte afin de permettre aux utilisateurs d'accéder à vos instantanés. Votre rôle IAM détermine si vous pouvez créer et gérer des instantanés. Pour plus d'informations, voir Rôles IAM de création et de gestion des instantanés.

Vous pouvez partager un instantané avec un autre compte et autoriser ce dernier à créer des volumes avec cet instantané. Pour ce faire, configurez l'autorisation inter-comptes avec le rôle de restaurateur de compte distant d'instantané et partagez le CRN de l'instantané avec l'autre compte. L'utilisateur de l'autre compte ayant le rôle Snapshot Remote Account Restorer peut utiliser le CRN pour créer un volume dans la console, à partir du CLI, avec l'API ou Terraform.

Avant de créer un instantané, assurez-vous que toutes les données mises en cache sont présentes sur le disque, en particulier lorsque vous créez des instantanés d'instances équipées des systèmes d'exploitation Windows et d' Linux®. Par exemple, sous Linux, exécutez la commande sync pour forcer une écriture immédiate de toutes les données mises en cache sur le disque.

Pour les clients disposant d'un accès spécial, l'isolement des données est fourni pour stocker les instantanés que vous avez créés à partir de vos hôtes dédiés. Grâce à la sécurité supplémentaire de l'isolement des données, vos données sont chiffrées au repos avec une clé unique et l'accès à vos données est protégé par un pare-feu privé.

Restauration rapide des clones d'instantané

En utilisant la fonction de restauration rapide des instantanés, vous créez et conservez un clone des données dans une zone de votre région VPC. Vos données sont entièrement disponibles dès la création du volume, car elles se trouvent déjà dans la région du VPC et non dans un référentiel de stockage régional distinct. En revanche, lorsque les données ne sont pas restaurées à partir d'un clone de cliché de restauration rapide, les données du volume sont copiées à partir du référentiel de stockage régional distinct lorsque le volume est attaché à une instance au fil du temps. La fonction de restauration rapide peut atteindre un objectif de temps de repriseDans le cadre de la planification de la reprise après sinistre, le temps nécessaire à la restauration d'un processus d'entreprise après un sinistre. (RTO) plus rapidement que la restauration à partir d'une image instantanée standard.

La fonction de restauration rapide peut être activée dans la console, à partir du CLI, avec l'API ou Terraform. Dans l'interface de ligne de commande, l'API et Terraform, les réponses indiquent clones. L'interface utilisateur affiche les clones d'instantané de restauration rapide en tant qu'instantanés de restauration rapide, mais ils sont identiques.

La facturation de la fonction de restauration rapide est définie à un taux fixe en fonction des heures d'instance. La fonction est facturée à un taux horaire supplémentaire pour chaque zone dans laquelle elle est activée, quelle que soit la taille de l'image instantanée. Le maintien de clones de restauration rapide est considérablement plus coûteux que la conservation d'instantanés réguliers.

Pour plus d'informations, voir Restauration d'un volume avec la fonction de restauration rapide.

Copies d'instantanés interrégionaux

Vous pouvez copier un instantané d'une région vers une autre et l'utiliser ultérieurement pour restaurer un volume dans la nouvelle région. Cette fonction peut être utilisée dans les scénarios de reprise après incident lorsque vous devez démarrer votre instance de serveur virtuel et les volumes de données dans une autre région. Vous pouvez également utiliser la copie à distance pour créer des volumes de stockage dans une nouvelle région afin de développer votre VPC.

Lorsque vous choisissez de créer une copie interrégionale d'un instantané, vous devez spécifier un seul instantané à copier dans la région cible. L'instantané est créé normalement et stocké dans un référentiel de stockage régional distinct. Lorsque l'instantané est stable, une copie de l'instantané est créée dans le référentiel de stockage régional de la région cible.

Lorsque la copie de l'instantané dans la région distante est stable, vous pouvez l'utiliser et la gérer indépendamment du volume parent ou de l'instantané d'origine.

La création de la copie dans la région éloignée prend du temps. Plus la capacité d'un volume est importante, plus il faut de temps pour que la copie dans la région distante soit complète et stable. Par exemple, la création d'un instantané complet d'un volume de 3 To dans une région éloignée peut prendre jusqu'à 12.5 heures.

La première fois que vous créez une copie interrégionale, cet instantané est une copie complète des données du volume parent. Les copies suivantes peuvent être incrémentales ou complètes. Le caractère incrémentiel de la copie à distance dépend de l'instantané qui précède immédiatement dans la chaîne. Si l'instantané précédent existe dans la région de destination, la copie peut être incrémentielle. Si l'instantané précédent n'existe pas, la copie doit être un instantané complet du volume parent.

Si l'instantané source n'est pas chiffré avec une clé client, le chiffrement de la copie reste géré par le fournisseur.

Si l'instantané source est protégé par une clé gérée par le client, vous devez spécifier la clé gérée par le client que vous souhaitez utiliser pour chiffrer la nouvelle copie.

Si vous modifiez le type de chiffrement ou la clé de chiffrement du volume parent, la prochaine copie à distance doit être une copie complète du cliché parent, et non une copie incrémentielle.

Une seule copie de l'instantané peut exister dans chaque région. Vous ne pouvez pas créer de copie dans la région locale (source).

La création d'une copie interrégionale affecte la facturation. Vous êtes facturé séparément pour le transfert de données et la consommation de stockage dans la région cible.

Lorsque vous créez un cliché ou que vous en répertoriez les détails, le système ne répertorie que les copies directes du cliché que vous avez spécifiées. Si vous créez une copie d'une copie, la seconde copie n'est pas renvoyée lorsque vous interrogez l'instantané original.

Groupes de cohérence d'instantanés

Un groupe de cohérence d'image instantanée contient des images instantanées de plusieurs volumes Block Storage connectés à la même instance de serveur virtuel. Vous pouvez inclure ou exclure des volumes d'amorçage. Le stockage d'instance n'est pas inclus.

Lorsque vous demandez un instantané d'un groupe de cohérence, le système s'assure que toutes les opérations d'écriture sont terminées avant de prendre les instantanés. Ensuite, le système génère des instantanés de tous les volumes Block Storage associés simultanément à l'instance de serveur virtuel. En fonction du nombre et de la taille des volumes connectés, plus la quantité de données à capturer, vous pouvez observer une légère pause d'E-S. Cette pause d'E-S peut aller de quelques millisecondes à 4 secondes.

Le groupe de cohérence doit avoir un nom unique qui ne peut pas dépasser 64 caractères. Si vous n'en indiquez pas, le système en génère un automatiquement pour vous. Les instantanés du groupe de cohérence sont nommés à partir des 16 premiers caractères du nom du groupe, suivis de 3 à 4 caractères générés automatiquement; leurs noms sont donc eux aussi uniques. Vous pouvez ensuite renommer les instantanés de membre si vous le souhaitez.

Le groupe de cohérence des instantanés possède son propre cycle de vie et conserve les références aux instantanés de membre. Par conséquent, si un instantané de membre est supprimé ou renommé, le groupe de cohérence est également mis à jour.

Les instantanés du groupe sont couplés de manière lâche. Vous pouvez gérer les instantanés au sein d'un groupe de cohérence de la même manière que vous gérez n'importe quel autre instantané. Vous pouvez supprimer des instantanés individuels du groupe de cohérence si vous le souhaitez. Vous pouvez conserver des instantanés individuels après avoir décidé de supprimer le groupe de cohérence.

Vous pouvez utiliser les membres du groupe de cohérence d'image instantanée pour restaurer les volumes séparément. La restauration d'une instance directement à partir de l'identificateur de groupe de cohérence d'instantané n'est pas prise en charge. Il n'est pas recommandé de restaurer plusieurs volumes provenant de différentes générations de stockage en une seule opération qui provisionne également une instance de serveur virtuel. Pour plus d'informations, consultez la section « Problèmes connus liés aux services de stockage ».

Vous pouvez créer des copies interrégionales des membres de l'ensemble d'instantanés séparément, mais vous ne pouvez pas créer une copie d'un groupe de cohérence dans une autre zone ou région.

Les groupes de cohérence ne peuvent pas inclure d'instantanés provenant de générations différentes.

Rôles IAM pour travailler avec des instantanés de groupe uniques et cohérents

Les images instantanées requièrent des droits IAM pour le contrôle d'accès basé sur les rôles. Vous avez besoin du rôle de plate-forme approprié pour créer et gérer des instantanés dans votre propre compte, et des rôles de service adéquats pour utiliser un instantané afin de restaurer des données à partir d'un autre compte. Pour plus d'informations, voir Rôles et actions IAM pour Block Storage Snapshots for VPC.

Lorsque vous partagez un instantané avec un autre compte, vous devez attribuer le rôle Restaurateur de compte distant d'instantané à l'utilisateur de l'autre compte pour lui permettre d'accéder à l'instantané. Ils doivent également disposer du rôle «* Restaurer le volume à partir d'un instantané de compte distant* » dans leur compte pour créer un volume avec le CRN de l'instantané distant dans la console.

Lorsque vous partagez un instantané avec un autre compte, vous devez attribuer le rôle SnapshotRemoteAccountRestorer à l'utilisateur de l'autre compte pour lui permettre d'accéder à l'instantané. Ils doivent également disposer du VolumeRemoteAccountSnapshotRestorer rôle dans leur compte pour créer un volume avec le CRN du snapshot distant à partir de l'interface CLI.

Lorsque vous partagez un instantané avec un autre compte, vous devez attribuer le rôle SnapshotRemoteAccountRestorer à l'utilisateur de l'autre compte pour lui permettre d'accéder à l'instantané. Ils doivent également disposer du VolumeRemoteAccountSnapshotRestorer rôle dans leur compte pour créer un volume avec le CRN du snapshot distant à l'aide de l'API.

Lorsque vous partagez un instantané avec un autre compte, vous devez attribuer le rôle SnapshotRemoteAccountRestorer à l'utilisateur de l'autre compte pour lui permettre d'accéder à l'instantané. Ils doivent également disposer du VolumeRemoteAccountSnapshotRestorer rôle dans leur compte pour créer un volume avec le CRN du snapshot distant avec Terraform.

Pour plus d'informations, consultez Rôles et actions IAM pour les instantanés Block Storage pour VPC, Rôles et actions IAM pour les instantanés multivolumes pour VPC et Rôles et actions IAM pour Block Storage for VPC.

Pour plus d'informations, consultez les bonnes pratiques de l'attribution d'accès. Pour plus d'informations sur le processus IAM complet, qui inclut l'invitation d'utilisateurs sur votre compte et l'attribution d'un accès Cloud IAM, voir Tutoriel d'initiation d'IAM.

Chiffrement au repos et en transit

L'instantané a le même type et la même clé de chiffrement que le volume parent (géré par le client ou par le fournisseur). Les instantanés sont stockés et récupérés dans le référentiel de stockage régional. Les données sont chiffrées lors du transit et stockées dans la même région que le volume d'origine.

Les Hyper Protect Crypto Services sont obsolètes. Les clients peuvent continuer à utiliser leurs instances existantes jusqu'au 20 mars 2027. Pour plus d'informations, consultez la section Abandon de la fonctionnalité IBM Cloud Hyper Protect Crypto Services. Pour une protection continue, envisagez de migrer vos clés de chiffrement existantes vers une instance dédiée d' Key Protect. Pour plus d'informations, consultez le guide de migration.

événements de suivi de l'activité

Vous pouvez utiliser IBM Cloud® Activity Tracker Event Routing pour configurer l'acheminement des événements d'audit. Les événements d'audit constituent des données essentielles pour les opérations de sécurité et un élément clé pour répondre aux exigences de conformité. Ces événements sont déclenchés lorsque vous créez, modifiez ou supprimez des instantanés. Pour plus d'informations sur les événements de suivi de l'activité, voir Événements des instantanés.

{
    "eventTime": "2022-02-22T17:59:07.57+0000",
    "action": "is.snapshot.create",
    "outcome": "success",
    "message": "Block Storage Snapshots for VPC: create my-snapshot-1",
    "initiator": {
        "id": "ABCid-45B7R6TVH4",
        "typeURI": "service/security/account/user",
        "name": "myname@mycompany.com",
        "host": {
            "address": "192.0.2.0"
        },
        "credential": {
            "type": "token"
        }
    },
    "target": {
        "id": "crn:v1::public:is::a/a1234567::snapshot:09ca2bab-c5c4-4c06-b034-dda9bbeb859c",
        "typeURI": "is.snapshot/snapshot",
        "name": "my-snapshot-1"
    },
    "observer": {
        "name": "ActivityTracker"
    },
    "reason": {
        "reasonCode": 201,
        "reasonType": "Created"
    },
    "severity": "normal",
    "requestData": {
        "generation": "2"
    },
    "responseData": {
        "responseURI": "/v1/snapshots/09ca2bab-c5c4-4c06-b034-dda9bbeb859c"
    },
    "dataEvent": false,
    "logSourceCRN": "crn:v1::public:is::a/a1234567::snapshot:09ca2bab-c5c4-4c06-b034-dda9bbeb859c",
    "saveServiceCopy": true
}

{
    "eventTime": "2022-01-16T17:55:25.60+0000",
    "action": "is.snapshot.read",
    "outcome": "success",
    "message": "Block Storage Snapshots for VPC: read my-snapshot-2",
    "initiator": {
        "id": "IBMid-50A7R6DVH5",
        "typeURI": "service/security/account/user",
        "name": "myuser@mycompany.com",
        "host": {
            "address": "192.0.2.0"
        },
        "credential": {
            "type": "token"
        }
    },
    "target": {
        "id": "crn:v1::public:is::a/a1234567::snapshot:4e3252d7-cf32-4586-93e9-f7d9a497bed4",
        "typeURI": "is.snapshot/snapshot",
        "name": "my-snapshot-2"
    },
    "observer": {
        "name": "ActivityTracker"
    },
    "reason": {
        "reasonCode": 200,
        "reasonType": "OK"
    },
    "severity": "normal",
    "requestData": {
        "generation": "2"
    },
    "responseData": {
        "responseURI": "/v1/snapshots/4e3252d7-cf32-4586-93e9-f7d9a497bed4"
    },
    "dataEvent": false,
    "logSourceCRN": "crn:v1::public:is::a/a1234567::snapshot:4e3252d7-cf32-4586-93e9-f7d9a497bed4",
    "saveServiceCopy": true
}

Balises utilisateur pour les instantanés

Les balises utilisateur sont identifiées de manière unique par un identifiant CRN (Cloud Resource Name). Lorsque vous créez un tag utilisateur, vous lui attribuez un nom unique au sein de votre compte de facturation. Vous pouvez définir des balises utilisateur au format libellé ou clé-valeur. Vous pouvez créer des étiquettes utilisateur ou ajouter des étiquettes existantes à des instantanés.

Vous pouvez créer, afficher et gérer des balises utilisateur à l'aide de l'interface de ligne de commande CLIAPITerraformet les supprimer à tout moment.

Balises de gestion des accès pour les instantanés Block Storage for VPC

Vous pouvez utiliser des balises de gestion des accès pour organiser le contrôle des accès en créant des regroupements de ressources flexibles, ce qui permet à vos ressources de stockage de croître sans nécessiter de mises à jour des règles Cloud Identity and Access Management (IAM). Vous pouvez créer des balises de gestion des accès dans IAM ou à l'aide de l'API de recherche globale et de balisage, puis les ajouter à des instantanés nouveaux ou existants.

Pour plus d'informations sur la gestion des étiquettes pour votre compte, voir Utilisation d'étiquettes.