Teste de Recuperação de Desastres com Veeam e Oot
Recuperação de desastres é mais do que apenas ter backups—é garantir que você possa restaurar seus dados quando mais importa. Mas você está confiante de que seu sistema funcionará quando o desastre ocorrer?
Neste blog, vamos guiá-lo pelos passos críticos de testar seus backups Veeam com Ootbi para que você possa dormir tranquilo sabendo que seu processo de recuperação é sólido como uma rocha.
O que é Teste de Recuperação de Desastres
Teste de recuperação de desastres é o processo de simular diferentes cenários de falha para garantir que dados, aplicativos e infraestrutura possam ser recuperados de forma eficiente e eficaz após uma interrupção inesperada.
O teste de DR envolve validar a confiabilidade de seus sistemas de backup, procedimentos de recuperação e o plano geral de recuperação de desastres para minimizar o tempo de inatividade e garantir a continuidade dos negócios.
Como diz o ditado, "As pessoas não se importam com backups de dados bem-sucedidos; elas se importam com recuperações bem-sucedidas." Não há espaço para incertezas na hora de necessidade de sua organização, seja tarde da noite ou cedo pela manhã.
Você precisa ter confiança de que suas cargas de trabalho podem ser totalmente restauradas a partir de sua infraestrutura de backup, minimizando o tempo de inatividade e protegendo seu negócio de interrupções onerosas.
Garantindo Resiliência em Backup Armazenamento de Objetos
Quando se trata de armazenamento de backup de objetos, não há exceção à regra "teste e seja o melhor". Para simular um desastre completo onde você também perde seu servidor VBR, você precisa de um servidor VBR de backup que esteja pronto e disponível para realizar restaurações rápidas.
Perder seu servidor VBR não é um obstáculo durante um desastre, desde que você siga Zero Trust Data Resilience e segmente seu armazenamento de backup de seu servidor Veeam.
No entanto, se você simplesmente adicionar seu repositório existente ao servidor VBR de espera, este último tentará assumir a propriedade total do repositório. Isso, por sua vez, pode causar problemas com o servidor de produção VBR.
Instruções Passo a Passo para Teste de DR Veeam com Ootbi
Neste guia, vamos percorrer o processo passo a passo de testar seus backups usando uma política IAM de leitura apenas e um servidor de recuperação de desastres (DR) VBR de espera.
Antes de prosseguir, certifique-se de que seu armazenamento de objetos suporta IAM/STS. Para esta configuração, vamos aproveitar Ootbi (Imutabilidade Fora da Caixa) da Object First, que suporta totalmente a integração IAM/STS.
- Servidor de Produção VBR: 192.168.0.122
- Servidor VBR de Espera DR: 192.168.0.34
- Armazenamento de Objetos (Ootbi): 192.168.0.162
Vamos também utilizar PowerShell e o AWS CLI para configurar nosso usuário DR e uma política IAM DR restrita.
Passo Um: Configurar AWS CLI
Usaremos a ferramenta AWS CLI para configurar as configurações necessárias. Para instalá-la, execute o seguinte comando:
msiexec.exe /i https://awscli.amazonaws.com/AWSCLIV2.msi
Para remover quaisquer avisos de certificado, precisaremos baixar a CA raiz Ootbi e colocá-la na pasta AWS botocore para verificação de certificado.
- Nas configurações de Ootbi, navegue até Segurança, em seguida, clique em Gerenciar na aba Certificado SSL.
- Clique em Exportar Certificado CA Raiz para baixar o certificado raiz.
Em seguida, copie o arquivo ca.cert baixado para:
C:\Program Files\Amazon\AWSCLIV2\awscli\botocore\cacert.pem
Certifique-se de renomear ca.cert para cacert.pem.
Configuração do Perfil AWS
Agora, vamos criar um perfil AWS usando as credenciais de administrador Ootbi:
aws configure --profile admin
Insira sua chave de acesso, seguida de sua chave secreta. Você pode deixar os outros dois prompts em branco.
Se você esqueceu sua chave de acesso ou chave secreta Ootbi, pode criar novas nas configurações do Ootbi.
Passo Dois: Criar um Usuário IAM no Ootbi
Começaremos criando um usuário IAM no Ootbi e aplicando a política restrita a este usuário. Após a aplicação da política, criaremos uma chave de acesso e uma chave secreta para o usuário.
Essas chaves serão usadas como credenciais ao conectar o repositório Ootbi ao servidor DR de espera.
1. Para criar o usuário, use o seguinte comando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default create-user --user-name druser
2. Você pode verificar os usuários criados com este comando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default list-users
Passo Três: Configurar uma Política IAM Restrita
Precisamos configurar uma política IAM restrita para evitar que o servidor VBR DR de espera assuma a propriedade do repositório de produção durante os testes de recuperação de desastres.
Essa política garante que o servidor DR tenha acesso somente leitura e não possa gravar no repositório de produção, evitando quaisquer conflitos com o servidor de backup de produção.
Siga estes passos:
- Abra Notepad ou Notepad++.
- Copie o seguinte código e salve-o como dr-policy.json:
{
"Version": "2012-10-17",
"Statement": [
{
"Action": [
"s3:GetBucketLocation",
"s3:GetObject",
"s3:ListAllMyBuckets",
"s3:GetObjectVersion",
"s3:GetObjectVersionAcl",
"s3:GetBucketVersioning",
"s3:GetBucketObjectLockConfiguration",
"s3:GetObjectRetention",
"s3:GetObjectLegalHold",
"s3:List*"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::*"
}
]
}
3. Certifique-se de salvar este arquivo no mesmo diretório onde você está executando seus comandos AWS no PowerShell.
Passo Quatro: Anexar a Política IAM Restrita ao Usuário DR
Agora que configuramos a política DR restrita, o próximo passo é anexá-la ao nosso usuário DR.
Execute o seguinte comando para anexar a política ao usuário DR:
aws iam --profile admin --endpoint https://192.168.0.162 --region default put-user-policy --user-name druser --policy-name dr-policy --policy-document file://dr-policy.json
Verifique se a política foi anexada corretamente executando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default list-user-policies --user-name druser
Você deve ver uma saída como esta:
Passo Cinco: Gerar Chaves de Acesso e Secretas
O passo final é criar as credenciais para conectar o Veeam ao seu repositório de backup de produção. Essas credenciais pertencerão ao usuário DR e serão regidas pela política IAM restrita que aplicamos.
- Para criar as chaves de acesso e secretas, execute o seguinte comando:
aws iam --profile admin --endpoint https://192.168.0.162 --region default create-access-key --user-name druser
Passo Seis: Conectar o Servidor Veeam Standby DR ao Repositório
Agora, no seu servidor VBR DR standby, você anexará o repositório usando as credenciais somente leitura que criamos anteriormente.
Clique com o botão direito em Backup Repositórios, em seguida, selecione Armazenamento de Objetos.
Escolha S3 Compatível.
Adicione o ponto de serviço e, mais importante, insira as credenciais (chave de acesso e chave secreta) que foram criadas nas etapas anteriores. Clique em OK, em seguida, Próximo para prosseguir.
Selecione o bucket do repositório que você precisa para as restaurações e especifique a pasta.
Continue através das etapas, ignorando o aviso sobre assumir a propriedade do repositório—isso não acontecerá devido à política restrita. Uma vez que o repositório é adicionado, execute um rescan.
- Agora você deve ser capaz de ver seus backups.
Passo Sete: Testar o Processo de Restauração
Agora chega o momento da verdade, pois os backups são tão bons quanto sua capacidade de restaurá-los.
Tente restaurar a VM cks01 de volta para Proxmox seguindo as instruções abaixo.
Ao restaurar de volta para o servidor de produção, vá para a seção Nomeação e certifique-se de adicionar um prefixo, sufixo, ou ambos ao nome da VM.
Antes de iniciar a VM restaurada, desconecte o cartão de rede nas configurações da VM. Isso pode ser feito na aba Rede durante o processo de restauração ou manualmente após a restauração.
Certifique-se de que a opção para ligar automaticamente a VM após a restauração esteja desativada.
- Uma vez que o trabalho esteja concluído:
- Inicie a VM e verifique se tudo está funcionando como esperado.
- Se necessário, você pode desligar a VM de produção para evitar conflitos, ou se isso não for possível, certifique-se de que o cartão de rede permaneça desconectado.
Passo Oito: Garantir que o Servidor VBR de Produção Permaneça Intacto
O resultado mais importante deste teste é que o servidor VBR de produção permaneça intacto. Quando você tenta configurar um trabalho de backup no servidor DR, ele falhará com a mensagem:
"O repositório armazenamento de objetos é gerenciado por um servidor de backup diferente."
Isso confirma que o servidor DR não assumiu a propriedade do repositório porque foi acessado com direitos restritos através da política IAM.
Fortaleça Sua Estratégia Backup com Testes de Recuperação de Desastres
Testes regulares de seus sistemas de proteção de dados garantem que você esteja totalmente preparado quando a desgraça ocorrer. A última coisa que você quer é enfrentar problemas inesperados durante a recuperação, então você deve estar familiarizado com cada etapa do processo.
Ao usar políticas IAM restritas, você pode testar seus backups com segurança e restaurá-los sem arriscar qualquer impacto em seu servidor VBR principal.
Como um bônus, esse processo também fornece uma valiosa experiência prática com IAM, que pode ser útil em outros aspectos da Proteção de Dados Veeam. Fique atento para mais maneiras de aproveitar as políticas IAM com Veeam nos próximos blogs.