Disaster Recovery Testing with Veeam and Ootbi by Object First
La recuperación ante desastres trata de más que solo tener copias de seguridad; se trata de garantizar que pueda restaurar sus datos cuando más importa. Pero, ¿está seguro de que su sistema funcionará cuando ocurra un desastre?
En este blog, lo guiaremos a través de los pasos críticos para probar sus copias de seguridad de Veeam con Ootbi para que pueda dormir tranquilo sabiendo que su proceso de recuperación es sólido como una roca.
¿Qué es la Prueba de Recuperación ante Desastres?
La prueba de recuperación ante desastres es el proceso de simular diferentes escenarios de falla para garantizar que los datos, las aplicaciones y la infraestructura puedan recuperarse de manera eficiente y efectiva después de una interrupción inesperada.
La prueba de DR implica validar la confiabilidad de sus sistemas de respaldo, procedimientos de recuperación y el plan general de recuperación ante desastres para minimizar el tiempo de inactividad y garantizar la continuidad del negocio.
Como dice el refrán, "A la gente no le importan las copias de seguridad de datos exitosas; les importa las recuperaciones exitosas." No hay lugar para la incertidumbre en la hora de necesidad de su organización, ya sea tarde en la noche o temprano en la mañana.
Necesita confianza en que sus cargas de trabajo pueden ser completamente restauradas desde su infraestructura de respaldo, minimizando el tiempo de inactividad y protegiendo su negocio de interrupciones costosas.
Garantizando la Resiliencia en el Almacenamiento de Copias de Seguridad de Objetos
Cuando se trata de almacenamiento de copias de seguridad de objetos, no hay excepción a la regla de "prueba y sé el mejor". Para simular un desastre completo donde también pierda su servidor VBR, necesita un servidor VBR de respaldo que esté listo y disponible para realizar restauraciones rápidas.
Perder su servidor VBR no es un obstáculo durante un desastre siempre que siga Zero Trust Data Resilience (ZTDR) y segmente su almacenamiento de respaldo de su servidor Veeam.
Sin embargo, si simplemente agrega su repositorio existente al servidor VBR de respaldo, este último intentará tomar la propiedad completa del repositorio. Esto, a su vez, podría causar problemas con el servidor de producción VBR.
Instrucciones Paso a Paso para la Prueba de DR de Veeam con Ootbi
En esta guía, recorreremos el proceso paso a paso de probar sus copias de seguridad utilizando una política de IAM de solo lectura y un servidor de recuperación ante desastres (DR) VBR en espera.
Antes de continuar, asegúrese de que su almacenamiento de objetos soporte IAM/STS. Para esta configuración, aprovecharemos Ootbi (Inmutabilidad Fuera de la Caja) de Object First, que admite completamente la integración IAM/STS.
- Servidor de Producción VBR: 192.168.0.122
- Servidor VBR DR en Espera: 192.168.0.34
- Almacenamiento de Objetos (Ootbi): 192.168.0.162
También utilizaremos PowerShell y el AWS CLI para configurar nuestro usuario de DR y una política IAM de DR restringida.
Paso Uno: Configurar AWS CLI
Usaremos la herramienta AWS CLI para configurar los ajustes necesarios. Para instalarla, ejecute el siguiente comando:
msiexec.exe /i https://awscli.amazonaws.com/AWSCLIV2.msi
Para eliminar cualquier advertencia de certificado, necesitaremos descargar el CA raíz de Ootbi y colocarlo en la carpeta botocore de AWS para la verificación del certificado.
- En la configuración de Ootbi, navegue a Seguridad, luego haga clic en Administrar bajo la pestaña Certificado SSL.
- Haga clic en Exportar Certificado CA Raíz para descargar el certificado raíz.
A continuación, copie el archivo ca.cert descargado a:
C:\Program Files\Amazon\AWSCLIV2\awscli\botocore\cacert.pem
Asegúrese de renombrar ca.cert a cacert.pem.
Configuración del Perfil de AWS
Ahora, crearemos un perfil de AWS utilizando las credenciales de administrador de Ootbi:
aws configure --profile admin
Inserte su clave de acceso, seguida de su clave secreta. Puede dejar los otros dos mensajes en blanco.
Si ha olvidado su clave de acceso o clave secreta de Ootbi, puede crear nuevas en la configuración de Ootbi.
Paso Dos: Crear un Usuario IAM en Ootbi
Comenzaremos creando un usuario IAM en Ootbi y aplicando la política restringida a este usuario. Después de aplicar la política, crearemos una clave de acceso y una clave secreta para el usuario.
Estas claves se utilizarán como credenciales al conectar el repositorio de Ootbi al servidor DR en espera.
1. Para crear el usuario, use el siguiente comando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default create-user --user-name druser
2. Puede verificar los usuarios creados con este comando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default list-users
Paso Tres: Configurar una Política IAM Restringida
Necesitamos configurar una política IAM restringida para evitar que el servidor DR VBR en espera tome posesión del repositorio de producción durante las pruebas de recuperación ante desastres.
Esta política asegura que el servidor DR tenga acceso de solo lectura y no pueda escribir en el repositorio de producción, evitando cualquier conflicto con el servidor de respaldo de producción.
Siga estos pasos:
- Abra Notepad o Notepad++.
- Copie el siguiente código y guárdelo como dr-policy.json:
{
"Version": "2012-10-17",
"Statement": [
{
"Action": [
"s3:GetBucketLocation",
"s3:GetObject",
"s3:ListAllMyBuckets",
"s3:GetObjectVersion",
"s3:GetObjectVersionAcl",
"s3:GetBucketVersioning",
"s3:GetBucketObjectLockConfiguration",
"s3:GetObjectRetention",
"s3:GetObjectLegalHold",
"s3:List*"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::*"
}
]
}
3. Asegúrate de guardar este archivo en el mismo directorio donde estás ejecutando tus comandos de AWS en PowerShell.
Paso Cuatro: Adjuntar la Política IAM Restringida al Usuario DR
Ahora que hemos configurado la política DR restringida, el siguiente paso es adjuntarla a nuestro usuario DR.
Ejecuta el siguiente comando para adjuntar la política al usuario DR:
aws iam --profile admin --endpoint https://192.168.0.162 --region default put-user-policy --user-name druser --policy-name dr-policy --policy-document file://dr-policy.json
Verifica que la política se haya adjuntado correctamente ejecutando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default list-user-policies --user-name druser
Deberías ver una salida como esta:
Paso Cinco: Generar Claves de Acceso y Secretas
El paso final es crear las credenciales para conectar Veeam a tu repositorio de respaldo de producción. Estas credenciales pertenecerán al usuario DR y estarán gobernadas por la política IAM restringida que hemos aplicado.
- Para crear las claves de acceso y secretas, ejecuta el siguiente comando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default create-access-key --user-name druser
Paso Seis: Conectar el Servidor Veeam Standby DR al Repositorio
Ahora, en tu servidor de respaldo VBR DR, adjuntarás el repositorio utilizando las credenciales de solo lectura que creamos anteriormente.
Haz clic derecho en Repositorios de Respaldo, luego selecciona Almacenamiento de Objetos.
Elige S3 Compatible.
Agrega el punto de servicio y, lo más importante, ingresa las credenciales (clave de acceso y clave secreta) que se crearon en los pasos anteriores. Haz clic en Aceptar, luego en Siguiente para continuar.
Selecciona el bucket del repositorio que necesitas para las restauraciones y especifica la carpeta.
Continúa a través de los pasos, ignorando la advertencia sobre tomar posesión del repositorio; no sucederá debido a la política restringida. Una vez que el repositorio esté agregado, realiza un rescan.
- Ahora deberías poder ver tus respaldos.
Paso Siete: Probar el Proceso de Restauración
Ahora llega el momento de la verdad, ya que los respaldos son tan buenos como tu capacidad para restaurarlos.
Intenta restaurar la VM cks01 completa de vuelta a Proxmox siguiendo las instrucciones a continuación.
Al restaurar de vuelta al servidor de producción, ve a la sección Nombrado y asegúrate de agregar ya sea un prefijo, sufijo, o ambos al nombre de la VM.
Antes de iniciar la VM restaurada, desconecta la tarjeta de red en la configuración de la VM. Esto se puede hacer en la pestaña Red durante el proceso de restauración o manualmente después de la restauración.
Asegúrate de que la opción para encender automáticamente la VM después de la restauración esté desactivada.
- Una vez que el trabajo esté completado:
- Inicia la VM y verifica que todo esté funcionando como se espera.
- Si es necesario, puedes apagar la VM de producción para evitar conflictos, o si eso no es posible, asegúrate de que la tarjeta de red permanezca desconectada.
Paso Ocho: Asegurarse de que el Servidor VBR de Producción Permanezca Sin Afectar
El resultado más importante de esta prueba es que el servidor VBR de producción permanezca sin afectar. Cuando intentes configurar un trabajo de respaldo en el servidor DR, fallará con el mensaje:
"El almacenamiento de objetos repositorio es administrado por un servidor de respaldo diferente."
Esto confirma que el servidor DR no ha tomado posesión del repositorio porque se accedió con derechos restringidos a través de la política IAM.
Fortalece tu Estrategia de Respaldo con Pruebas de Recuperación ante Desastres
Las pruebas regulares de tus sistemas de protección de datos aseguran que estés completamente preparado cuando ocurra un desastre. Lo último que deseas es enfrentar problemas inesperados durante la recuperación, por lo que debes estar familiarizado con cada paso del proceso.
Al utilizar políticas IAM restringidas, puedes probar tus respaldos de manera segura y restaurarlos sin arriesgar ningún impacto en tu servidor VBR principal.
Como un bono, este proceso también proporciona valiosa experiencia práctica con IAM, que puede ser útil en otros aspectos de Veeam Data Protection. Mantente atento a más formas de aprovechar las políticas IAM con Veeam en los próximos blogs.