Pruebas de Recuperación ante Desastres con Veeam y Ootbi de Object First
La recuperación ante desastres trata de más que solo tener copias de seguridad; se trata de garantizar que pueda restaurar sus datos cuando más importa. Pero, ¿está seguro de que su sistema funcionará cuando ocurra un desastre?
En este blog, lo guiaremos a través de los pasos críticos para probar sus copias de seguridad de Veeam con Ootbi para que pueda dormir tranquilo sabiendo que su proceso de recuperación es sólido como una roca.
¿Qué es la Prueba de Recuperación ante Desastres?
La prueba de recuperación ante desastres es el proceso de simular diferentes escenarios de falla para garantizar que los datos, las aplicaciones y la infraestructura puedan recuperarse de manera eficiente y efectiva después de una interrupción inesperada.
La prueba de DR implica validar la confiabilidad de sus sistemas de respaldo, procedimientos de recuperación y el plan general de recuperación ante desastres para minimizar el tiempo de inactividad y garantizar la continuidad del negocio.
Como dice el refrán, "A la gente no le importan las copias de seguridad de datos exitosas; les importan las recuperaciones exitosas." No hay lugar para la incertidumbre en la hora de necesidad de su organización, ya sea tarde en la noche o temprano en la mañana.
Necesita confianza en que sus cargas de trabajo pueden ser completamente restauradas desde su infraestructura de respaldo, minimizando el tiempo de inactividad y protegiendo su negocio de interrupciones costosas.
Garantizando la Resiliencia en el Almacenamiento de Objetos Backup
Cuando se trata de almacenamiento de copias de seguridad de objetos, no hay excepción a la regla de "prueba y sé el mejor". Para simular un desastre completo donde también pierda su servidor VBR, necesita un servidor VBR de respaldo que esté listo y disponible para realizar restauraciones rápidas.
Perder su servidor VBR no es un obstáculo durante un desastre siempre que siga Zero Trust Data Resilience (ZTDR) y segmente su almacenamiento de respaldo de su servidor Veeam.
Sin embargo, si simplemente agrega su repositorio existente al servidor VBR de respaldo, este último intentará tomar la propiedad completa del repositorio. Esto, a su vez, podría causar problemas con el servidor de producción VBR.
Instrucciones Paso a Paso para la Prueba de DR de Veeam con Ootbi
En esta guía, recorreremos el proceso paso a paso de probar sus copias de seguridad utilizando una política IAM de solo lectura y un servidor de recuperación ante desastres (DR) VBR en espera.
Antes de continuar, asegúrese de que su almacenamiento de objetos soporte IAM/STS. Para esta configuración, aprovecharemos Ootbi (Inmutabilidad Fuera de la Caja) de Object First, que admite completamente la integración IAM/STS.
- Servidor de Producción VBR: 192.168.0.122
- Servidor VBR DR en Espera: 192.168.0.34
- Almacenamiento de Objetos (Ootbi): 192.168.0.162
También utilizaremos PowerShell y el AWS CLI para configurar nuestro usuario de DR y una política IAM de DR restringida.
Paso Uno: Configuración de AWS CLI
Usaremos la herramienta AWS CLI para configurar los ajustes necesarios. Para instalarla, ejecute el siguiente comando:
msiexec.exe /i https://awscli.amazonaws.com/AWSCLIV2.msi
Para eliminar cualquier advertencia de certificado, necesitaremos descargar el CA raíz de Ootbi y colocarlo en la carpeta botocore de AWS para la verificación del certificado.
- En la configuración de Ootbi, navegue a Seguridad, luego haga clic en Administrar en la pestaña Certificado SSL.
- Haga clic en Exportar Certificado CA Raíz para descargar el certificado raíz.
A continuación, copie el archivo ca.cert descargado en:
C:\Program Files\Amazon\AWSCLIV2\awscli\botocore\cacert.pem
Asegúrese de renombrar ca.cert a cacert.pem.
Configuración del Perfil de AWS
Ahora, crearemos un perfil de AWS utilizando las credenciales de administrador de Ootbi:
aws configure --profile admin
Inserte su clave de acceso, seguida de su clave secreta. Puede dejar los otros dos mensajes en blanco.
Si ha olvidado su clave de acceso o clave secreta de Ootbi, puede crear nuevas en la configuración de Ootbi.
Paso Dos: Crear un Usuario IAM en Ootbi
Comenzaremos creando un usuario IAM en Ootbi y aplicando la política restringida a este usuario. Después de aplicar la política, crearemos una clave de acceso y una clave secreta para el usuario.
Estas claves se utilizarán como credenciales al conectar el repositorio de Ootbi al servidor DR en espera.
1. Para crear el usuario, use el siguiente comando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default create-user --user-name druser
2. Puede verificar los usuarios creados con este comando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default list-users
Paso Tres: Configurar una Política IAM Restringida
Necesitamos configurar una política IAM restringida para evitar que el servidor DR VBR en espera tome posesión del repositorio de producción durante las pruebas de recuperación ante desastres.
Esta política asegura que el servidor DR tenga acceso de solo lectura y no pueda escribir en el repositorio de producción, evitando cualquier conflicto con el servidor de respaldo de producción.
Siga estos pasos:
- Abra Notepad o Notepad++.
- Copie el siguiente código y guárdelo como dr-policy.json:
{
"Version": "2012-10-17",
"Statement": [
{
"Action": [
"s3:GetBucketLocation",
"s3:GetObject",
"s3:ListAllMyBuckets",
"s3:GetObjectVersion",
"s3:GetObjectVersionAcl",
"s3:GetBucketVersioning",
"s3:GetBucketObjectLockConfiguration",
"s3:GetObjectRetention",
"s3:GetObjectLegalHold",
"s3:List*"
],
"Efecto": "Permitir",
"Recurso": "arn:aws:s3:::*"
}
]
}
3. Asegúrate de guardar este archivo en el mismo directorio donde estás ejecutando tus comandos de AWS en PowerShell.
Paso Cuatro: Adjuntar la Política IAM Restringida al Usuario DR
Ahora que hemos configurado la política de DR restringida, el siguiente paso es adjuntarla a nuestro usuario de DR.
Ejecute el siguiente comando para adjuntar la política al usuario DR:
aws iam --profile admin --endpoint https://192.168.0.162 --region default put-user-policy --user-name druser --policy-name dr-policy --policy-document file://dr-policy.json
Verifique que la política se haya adjuntado correctamente ejecutando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default list-user-policies --user-name druser
Deberías ver una salida como esta:
Paso Cinco: Generar Claves de Acceso y Secretas
El paso final es crear las credenciales para conectar Veeam a su repositorio de respaldo de producción. Estas credenciales pertenecerán al usuario DR y estarán regidas por la política IAM restringida que hemos aplicado.
- Para crear las claves de acceso y secretas, ejecute el siguiente comando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default create-access-key --user-name druser
Paso Seis: Conectar el Servidor de DR en Espera de Veeam al Repositorio
Ahora, en su servidor de espera VBR DR, adjuntará el repositorio utilizando las credenciales de solo lectura que creamos anteriormente.
Haga clic derecho en Backup Repositories, luego seleccione Object Storage.
Elija S3 Compatible.
Agregue el punto de servicio y, lo más importante, ingrese las credenciales (clave de acceso y clave secreta) que se crearon en los pasos anteriores. Haga clic en Aceptar, luego en Siguiente para continuar.
Seleccione el bucket del repositorio que necesita para las restauraciones y especifique la carpeta.
Continúe a través de los pasos, ignorando la advertencia sobre la toma de posesión del repositorio; no ocurrirá debido a la política restringida. Una vez que se agregue el repositorio, realice un rescan.
- Ahora debería poder ver sus copias de seguridad.
Paso Siete: Probar el Proceso de Restauración
Ahora llega el momento de la verdad ya que las copias de seguridad son tan buenas como tu capacidad para restaurarlas.
Intente restaurar toda la cks01 VM de vuelta a Proxmox siguiendo las instrucciones a continuación.
Al restaurar de vuelta al servidor de producción, vaya a la sección Naming y asegúrese de agregar un prefijo, sufijo, o ambos al nombre de la VM.
Antes de iniciar la VM restaurada, desconecte la tarjeta de red en la configuración de la VM. Esto se puede hacer en la pestaña Network durante el proceso de restauración o manualmente después de la restauración.
Asegúrese de que la opción de encender automáticamente la VM después de la restauración esté desactivada.
- Una vez que el trabajo esté completado:
- Inicie la VM y verifique que todo funcione como se espera.
- Si es necesario, puede apagar la VM de producción para evitar conflictos, o si eso no es posible, asegúrese de que la tarjeta de red permanezca desconectada.
Paso Ocho: Asegúrese de que el Servidor VBR de Producción Permanezca Sin Afectar
El resultado más importante de esta prueba es que el servidor VBR de producción permanezca sin afectar. Cuando intente configurar un trabajo de respaldo en el servidor DR, fallará con el mensaje:
"El almacenamiento de objetos repositorio es administrado por un servidor de respaldo diferente."
Confirma que el servidor DR no ha tomado posesión del repositorio porque se accedió con derechos restringidos a través de la política IAM.
Fortalezca Su Backup Estrategia con Pruebas de Recuperación ante Desastres
Las pruebas regulares de sus sistemas de protección de datos aseguran que esté completamente preparado cuando ocurra un desastre. Lo último que desea es enfrentar problemas inesperados durante la recuperación, por lo que debe estar familiarizado con cada paso del proceso.
Al utilizar políticas IAM restringidas, puede probar sus copias de seguridad de manera segura y restaurarlas sin arriesgar ningún impacto en su servidor VBR principal.
Como beneficio adicional, este proceso también proporciona valiosa experiencia práctica con IAM, que puede ser útil en otros aspectos de Veeam Data Protection. Esté atento a más formas de aprovechar las políticas IAM con Veeam en los próximos blogs.