Confronto tra backup e istantanee

I backup sono in effetti istantanee automatiche con una data di conservazione. Nella console, i backup appaiono negli stessi elenchi delle istantanee. Le istantanee e i backup dello storage a blocchi sono elencati nella pagina Istantanee dello storage a blocchi per VPC. Le istantanee e i backup delle condivisioni di file si trovano nella scheda Istantanee di ciascuna condivisione di file. I backup vengono identificati in base al modo in cui sono stati creati, in base al criterio di backup e non in base all'utente. I termini snapshot e backup sono usati in modo intercambiabile nella documentazione, a seconda del contesto. Le istantanee e i backup presentano molte analogie, ma anche alcune differenze. La tabella seguente mette a confronto i backup e le istantanee:

Confronto tra backup e snapshot

Funzione	Backup del volume a blocchi a livello di account	Backup di volumi a blocchi di livello aziendale	Istantanea del volume a blocchi	Istantanea della condivisione dei file	Backup della condivisione dei file
Esegue il backup dei volumi di dati e di avvio Block Storage for VPC.				N/D	N/D
Esegue il backup delle azioni di File Storage for VPC	N/D	N/D	N/D
Ripristinare manualmente un intero volume o una condivisione da un'istantanea.
Ripristino manuale di un singolo file da un'istantanea	N/D	N/D	N/D
Eseguire il backup dei dati in base a una pianificazione.			No	No
Eseguire immediatamente il backup dei dati.	No	No			No
I dati vengono copiati in un determinato momento.
Impostare un periodo di conservazione per l'eliminazione automatica.			No	No
Possibilità di eseguire fino a 750 istantanee per volume¹ o condivisione.
Clone di ripristino rapido				Non supportato	Non supportato
Copia interregionale				Non supportato	Non supportato
Gruppi di congruenza a più volumi				N/D	N/D
I costi si basano sui GB al mese.

¹ Si possono avere 750 snapshot di volumi di archiviazione di prima generazione e 512 snapshot di volumi di archiviazione di seconda generazione.

Vantaggi della creazione di backup

Il backup IBM Cloud per VPC ti offre i seguenti vantaggi.

• Prevenire la perdita di dati - Proteggi i tuoi dati critici pianificando backup regolari. Stabilite un piano di ripristino dei dati per ripristinare rapidamente i volumi o le condivisioni compromessi. Ridurre gli impatti tecnici e finanziari delle interruzioni non pianificate.

• Proteggi da errori su scala ridotta - Ripristina il volume di avvio da un'istantanea avviabile se si verifica un errore host o un attacco dannoso.

• Migliorare la conformità - È possibile evitare problemi relativi alla conformità e ai requisiti normativi, garantendo che i backup siano in atto e che i dati possano essere ripristinati facilmente.

• Risparmiare sui costi - Un piano di conservazione dei criteri di backup significa che i backup vengono regolarmente eliminati, riducendo i costi non archiviando più dati del necessario.

• Facilità di gestione - Il servizio backup di IBMè più facile da gestire rispetto a un servizio di backup di terzi perché è completamente integrato con le tue risorse VPC.

Politiche di backup e piani di backup

Una politica di backup identifica i tipi di risorsa di destinazione ed elenca le tag utilizzate per identificare le risorse di cui eseguire il backup. La politica contiene uno o più piani di backup che definiscono le pianificazioni per la creazione automatica del backup e la conservazione dei dati.

In un piano di backup, si pianifica la frequenza dei backup. Nella console è possibile scegliere tra giornaliero, settimanale o mensile. Oppure è possibile utilizzare un'espressione cron per specificare la frequenza.

In un piano di backup, si pianifica la frequenza dei backup. Quando crei un piano da CLI, puoi utilizzare un'espressione cron per specificare la frequenza.

In un piano di backup, si pianifica la frequenza dei backup. Quando crei un piano con API, puoi usare un'espressione cron per specificare la frequenza.

In un piano di backup, si pianifica la frequenza dei backup. Quando crei un piano con Terraform, puoi utilizzare un'espressione cron per specificare la frequenza.

È possibile specificare il periodo di conservazione o il numero totale di backup prima che venga eliminato il meno recente. L'intervallo per la creazione di un backup e il relativo periodo di conservazione può essere lo stesso o può essere diverso. Il periodo di conservazione predefinito è di 30 giorni, ma è possibile impostare un valore compreso tra 1 e 1000 giorni. È inoltre possibile impostare il numero totale di backup da conservare fino a 750 per volume di prima generazione. Il numero massimo di istantanee di backup per i volumi di seconda generazione è 512. Quando il numero massimo viene superato, i backup più vecchi vengono eliminati.

Se si specifica sia l'età che il numero di backup, l'età ha la priorità nel determinare quando eliminare un'istantanea. Il conteggio si applica solo se l'istantanea più vecchia è compresa nell'intervallo di età.

Considerare i seguenti esempi:

• Esempio 1 - Si crea un piano giornaliero con un periodo di conservazione di 14 giorni e nessun numero massimo di istantanee da conservare. Manterrai 14 backup e il più vecchio avrà 2 settimane.
• Esempio 2 - Si crea un piano settimanale che ha un periodo di conservazione di 365 giorni e un conteggio massimo di 8. In pratica, otterrai un massimo di 8 istantanee nella catena, con il più vecchio che ha 8 settimane.
• Esempio 2 - Si crea un piano mensile e si imposta il periodo di conservazione per 80 giorni con un conteggio massimo di 10. In pratica, tieni sempre un massimo di 3 istantanee. Quando viene eseguito il quarto backup, il primo raggiunge gli 80 giorni e viene eliminato.

È possibile creare fino a quattro piani per politica di backup e modificare la pianificazione di backup e la politica di conservazione in qualsiasi momento. I tuoi quattro piani possono avere frequenze diverse. Ad esempio, uno può essere giornaliero. Un altro può essere settimanale o mensile. Tutti i piani si applicano ai volumi con tag che corrispondono alla politica di backup. I backup creati dal piano di backup ereditano i dettagli del gruppo di risorse del volume principale.

È possibile visualizzare lo stato del lavoro di backup mentre i backup vengono creati, modificati o eliminati.

È possibile eliminare i piani di backup o il criterio di backup quando non sono più necessari. Quando si elimina un criterio di backup, si eliminano anche tutti i piani ad esso associati. Quando si elimina o si disattiva un piano di backup, questo non può più avviare alcun processo di backup. Non crea o elimina più alcuna istantanea di backup. I backup esistenti rimangono intatti, poiché il loro ciclo di vita è indipendente dal criterio. I backup esistenti devono essere eliminati separatamente.

Ambito delle politiche di backup

Come amministratore dell'account aziendale, puoi gestire i piani e le politiche di backup collettivamente tra gli account secondari nell'account aziendale. Gli utenti dell'account aziendale possono vedere tutte le politiche di backup che sono state create dall'account aziendale. L'utente dell'account aziendale può visualizzare tutti i lavori di backup avviati dalla politica di backup aziendale, anche se i lavori vengono eseguiti negli account secondari.

Gli utenti in ogni account nell'azienda possono creare, utilizzare e collaborare sulle risorse come è possibile fare in un account autonomo. Per ulteriori informazioni, consultare Gestione delle risorse in un'azienda.

Mentre l'amministratore aziendale visualizza i riferimenti di tutte le istantanee di backup create dalla politica, gli account child visualizzano solo i backup creati nel proprio account.

Gli utenti dell'account secondario possono vedere le istantanee di backup create nei loro account dalla politica a livello aziendale. Possono identificare tali backup in base al CRN della politica di backup a livello aziendale che ha creato i backup. Tuttavia, non hanno alcuna visibilità per la politica di backup a livello aziendale. Gli utenti dell'account secondario possono utilizzare i backup per creare altri volumi.

Gli utenti autorizzati negli account secondari possono anche creare politiche di backup specifiche dell'account nei loro account.

Tag per le risorse di destinazione

Le policy di backup contengono tag utente per le risorse di destinazione che associano la policy a volumi di archiviazione a blocchi, condivisioni di file o istanze di server virtuali con lo stesso tag utente. Per creare i backup, almeno una tag utente applicata a una risorsa deve corrispondere alla tag nella politica di backup. I tag utente vengono aggiunti da un utente autorizzato nell'account. Qualsiasi utente con il ruolo di accesso corretto può elencare ed eliminare le tag utente nell'account a condizione che le tag non siano collegate ad alcuna risorsa.

Oltre alle tag utente, le tag possono essere tag di gestione accessi e tag di servizio. Solo le tag utente vengono applicate alle politiche di backup. Le tag di gestione degli accessi vengono utilizzate per gestire l'accesso a risorse; solo il responsabile dell'account può creare tag di gestione degli accessi. Le tag di servizio sono un costrutto privilegiato che solo i servizi autorizzati possono gestire. Gli utenti non sono autorizzati a collegare e scollegare le tag del servizio su una risorsa, anche se hanno accesso per gestire le tag sulla risorsa. Le tag del servizio sono utili per distinguere quali istantanee sono state create manualmente o automaticamente da una politica di backup.

Se un volume, una condivisione o un'istanza di server virtuale ha più tag, solo un tag deve corrispondere a un tag del criterio di backup. In base alla pianificazione nel piano di backup, una tag corrispondente attiva un backup. Se più tag corrispondono alle tag della politica di backup, solo un backup viene creato all'intervallo pianificato. Se si dispone di più risorse con la stessa tag, i backup vengono creati per tutte le risorse corrispondenti.

È possibile aggiungere fino a 1.000 tag utente per le risorse. Tuttavia, solo 100 tag possono essere collegati o scollegati nella stessa operazione. Mantenere basso il numero di tag può rendere più facile tenere traccia del numero di backup che stai creando. Per ulteriori informazioni, vedi Applicazione di politiche di backup alle risorse con tag.

Quando si decidono le tag da utilizzare per le risorse di destinazione, assicurarsi che altre normative non utilizzino già le stesse tag.

Ripristino di un volume o di una condivisione da un backup

È possibile creare un volume o una condivisione separata da un'istantanea di backup. Questo processo si chiama ripristino. Funziona allo stesso modo del ripristino dei dati dalle istantanee create manualmente. Il ripristino di un volume da un'istantanea di backup crea un volume di dati o di avvio Block Storage for VPC con provisioning completo.

Un volume può essere ripristinato quando si crea un'istanza, si modifica un'istanza o quando si crea un volume autonomo. Il ripristino dei dati del volume inizia immediatamente quando il volume viene avviato, ma le prestazioni sono ridotte fino a quando il volume non viene ripristinato completamente. Il ripristino da un'istantanea avviabile è più lento rispetto all'utilizzo di un volume di avvio regolare.

Il volume ripristinato ha la stessa capacità e lo stesso profilo di volume del volume originale. Per ulteriori informazioni, vedi Ripristino di un volume da un'istantanea di backup.

Il ripristino di un'istanza del server virtuale direttamente dall'identificativo del gruppo di congruenza dell'istantanea non è supportato. Tuttavia, puoi ripristinare un'istanza del server virtuale ripristinando tutti i volumi di avvio e di dati dalle istantanee che fanno parte di un gruppo di congruenza.

I backup delle condivisioni di file possono essere utilizzati anche per creare nuove condivisioni. Poiché lo snapshot è collocato con la condivisione di file, le prestazioni della nuova condivisione non vengono influenzate durante l'inizializzazione. Tuttavia, per lo stesso motivo, i backup delle condivisioni di file non possono essere copiati in un'altra regione o zona per creare nuove condivisioni. Per ulteriori informazioni, vedere Ripristino di una condivisione da un'istantanea.

Una snapshot di un volume o di una condivisione di prima generazione non può essere utilizzata per creare un volume o una condivisione di seconda generazione. Analogamente, non è possibile utilizzare un'istantanea di un volume o di una condivisione di seconda generazione per creare un volume a blocchi o una condivisione di file con un profilo di prima generazione.

Ripristinare un volume utilizzando il ripristino rapido

Quando si ripristina un volume di archiviazione blocchi utilizzando il ripristino rapido, viene creato un volume completamente idratato.

È possibile creare un piano della politica di backup con zone di ripristino rapido e aggiungere o rimuovere le zone in un secondo momento, se necessario. La funzione di ripristino rapido memorizza nella cache una o più copie di un'istantanea di backup nelle zone selezionate. Successivamente, puoi utilizzare questi cloni di backup per creare volumi in qualsiasi zona all'interno della stessa regione.

Per ulteriori informazioni, vedi Ripristino di un volume da un'istantanea di backup.

Copie di backup interregionali

È possibile copiare un backup di archiviazione blocchi da una regione ad un'altra e successivamente utilizzare tale istantanea per ripristinare un volume nella nuova regione. È possibile utilizzare e gestire l'istantanea interregionale nella regione di destinazione indipendentemente dal volume principale o dall'istantanea originale.

Se l'istantanea di origine non è codificata con una chiave cliente, la codifica della copia rimane gestita dal provider. Se lo snapshot di origine è protetto da una chiave gestita dal cliente, è necessario specificare la chiave gestita dal cliente che si desidera utilizzare per crittografare la nuova copia nella regione di destinazione.

Quando una politica di backup crea un processo che include una copia interregionale, il servizio avvia prima la creazione dell'istantanea di backup. La creazione dell'istantanea è asincrona. L'istantanea viene creata immediatamente, ma rimane in stato di attesa fino a quando tutti i dati non vengono trasferiti all'archivio di archiviazione regionale. Quando l'istantanea raggiunge lo stato stabile nella regione di origine, il servizio crea le copie nelle regioni di destinazione e avvia il trasferimento dei dati.

Maggiore è la capacità di un volume, maggiore è il tempo necessario per creare la copia snapshot in un'altra regione. Ad esempio, la creazione di una copia di un volume di archiviazione da 3 TB in una regione remota può richiedere oltre 12.5 ore.

Quando si crea una copia remota dell'istantanea di backup per la prima volta, tale copia remota contiene tutti i dati del volume padre. Le copie successive possono essere incrementali o complete. Se la copia remota è incrementale dipende dallo snapshot di backup immediatamente precedente nella catena. Se l'istantanea immediatamente precedente esiste nella regione di destinazione, la copia può essere incrementale. Se l'istantanea immediatamente precedente non esiste o non è stabile, la nuova copia deve essere un'istantanea completa del volume padre.

Se il piano di backup prevede la creazione di una copia remota prima che la copia di backup precedente diventi stabile, il servizio di backup avvia una copia completa, non una incrementale. Per un volume da 3 TB, la copia di uno snapshot in una regione remota può richiedere più di 12 ore. Un’istantanea pianificata ogni 12 ore attiva quindi una copia completa, poiché la copia remota precedente non è ancora completa e stabile.

La tabella seguente mostra se la copia remota può essere incrementale in base alla capacità del volume (dimensione dell'istantanea) e alla frequenza di backup.

Solo una copia dell'istantanea di backup può esistere in ogni regione. Non è possibile creare una copia dell'istantanea di backup nella regione di origine (locale).

La creazione di una copia interregionale influenza la fatturazione. Ti vengono addebitati separatamente il trasferimento dati e il consumo di archiviazione nella regione di destinazione.

Ruoli IAM per le policy di backup

I backup richiedono autorizzazioni IAM per il controllo dell'accesso basato sul ruolo. A seconda del ruolo assegnato come utente di backup, è possibile creare e gestire le politiche di backup. Per ulteriori informazioni, vedere Ruoli e azioni IAM per Backup as a Service regionale per VPC.

Per ulteriori informazioni, vedi le procedure consigliate per l'assegnazione dell'accesso. Per il processo IAM completo, che include l'invito di utenti nel tuo account e l'assegnazione dell'acceso Cloud IAM, vedi l'esercitazione introduttiva IAM.

Autorizzazioni service - to - service

I ruoli utente IAM specifici sono richiesti per concedere le autorizzazioni da servizio a servizio. Le autorizzazioni da servizio a servizio tra il servizio di backup e Cloud Block Storage, Snapshots for VPC e Virtual server for VPC sono necessarie affinché il servizio di backup possa rilevare i tag del volume e creare istantanee. Se si desidera creare istantanee automatiche delle condivisioni di file, impostare le autorizzazioni da servizio a servizio tra il servizio di backup e il servizio Cloud File Storage. Per ulteriori informazioni, vedere Stabilire le autorizzazioni da servizio a servizio.

Quando si configurano le autorizzazioni da servizio a servizio, assicurarsi che l'ambito di autorizzazione copra tutte le risorse di cui è necessario eseguire il backup. Se si utilizzano politiche IAM specifiche per le risorse, verificare che ogni istanza di server virtuale di cui è necessario eseguire il backup dei volumi sia inclusa nell'ambito di autorizzazione. Il processo di creazione delle politiche di backup non è in grado di individuare le politiche di autorizzazione con un ambito di applicazione troppo ristretto, il che può causare errori di backup non segnalati per le risorse che non rientrano nell'ambito autorizzato. Monitorare regolarmente lo stato dei processi di backup per individuare tempestivamente eventuali problemi di autorizzazione. Per ulteriori informazioni, consultare la sezione " Visualizzazione dello stato dei processi di backup ".

Se aggiungi altre risorse da sottoporre a backup in un secondo momento applicando loro dei tag e disponi di un'autorizzazione specifica per quelle risorse, verifica e modifica la tua autorizzazione in modo da includere le nuove risorse. I nuovi backup potrebbero non andare a buon fine se l'ambito dell'autorizzazione specifica per la risorsa non copre le risorse appena contrassegnate.

Limitazioni basate sul contesto

È possibile attivare le restrizioni basate sul contesto (CBR) per tutte le operazioni di volume a blocchi e condivisione di file. Queste restrizioni funzionano con i tradizionali criteri IAM, che si basano sull'identità, per fornire un ulteriore livello di protezione. Per ulteriori informazioni, vedere Protezione dei servizi di infrastruttura Virtual Private Cloud(VPC)con restrizioni basate sul contesto.

Quando si crea una regola basata sul contesto, assicurarsi che consenta endpoint privati. Tutte le connessioni interservizi di cui il servizio di backup ha bisogno per funzionare sono private.

Crittografia a riposo e in transito

L'istantanea di backup ha lo stesso tipo di crittografia e la stessa chiave di crittografia del volume o della condivisione madre (gestita dal cliente o dal fornitore).

I backup dei volumi vengono archiviati e recuperati da un repository di archiviazione regionale. I dati vengono crittografati durante il transito e archiviati nella stessa regione del volume originale.

Tracciamento e verifica delle attività

Quando viene creato un backup, si attiva un evento per il servizio Backup e per il servizio Istantanee. Allo stesso modo, quando il servizio non riesce a creare un backup a causa di un'autorizzazione mancante, viene attivato un evento di notifica. I registri eventi vengono creati anche quando vengono creati o eliminati i criteri o i piani di backup. Per ulteriori informazioni, vedere Eventi di monitoraggio attività per IBM Cloud VPC.