Backup auf S3 - Einstellungen des Buckets

[basstscho]

Hallo zusammen,

ich betreibe zwei PBS, die sich untereinander synchronisieren und auf Tape Backups machen. Gerne würde ich jetzt noch ein Backup über einen S3 hinzufügen.
Meine Erfahrung mit S3 ist sehr gering und daher würde ich gerne eure Erfahrungen zu den Einstellungen des Buckets zugreifen. Ziel ist natürlich, dass bei einem möglichen Angriff die Daten auf dem S3 nicht einfach gelöscht/überschrieben werden können.
Um erste Erfahrungen zu sammeln habe ich mich bei idrivee2.com registriert und ein erstes Bucket erstellen. Grundsätzlich hab ich es mir recht einfach vorgestellt:
- Versionierung aktiv -> um ggf. auf einen älteren Stand des Backups zurückgreifen zu können (wohlwissend, dass innerhalb des Backups ja auch schon Versionen der VMs sind)
- Objektsperre -> es kann nur über die Zeit und nicht über einen "Lösch-Befehl" gelöscht werden. Sprich der PBS kann machen was er will, die Daten bleiben
- Objektaufbewahrung: 30 Tage
- Objektlebenszyklus 31 Tage + abgelaufene Löschmarker entfernen

Nun stellt sich mir im Endeffekt aber die Frage, wie ich im Zweifelsfall an den Backupstand von vor z.B. 10 Tagen komme. Ich habe keine Funktion gefunden, bei der ich einfach das Bucket in ein neues Bucket mit Version -10 Tage kopieren kann (quasi wie wenn ich ein altes Tape einlege), oder in der ich das Bucket gesamthaft zu einem älteren Zeitpunkt "öffnen" könnte. Die Versionierung scheint auf Dateiebene zu sein - das wird im Fall der Fälle bei den tausenden von Chunks eine große Aufgabe.

Hab ich einen Denkfehler? Wie handhabt ihr das?

Danke und Grüße,
Johannes

 

[Falk R.]

Du hast in deinem Bucket genauso wie im PBS Datastore verschiedene Stände deiner Backups und die kannst du ganz normal restoren.
Die Versionierung und eventuelle Snapshots deines Buckets sind quasi genauso wie Snapshots auf einem Storage.
Setzt du deinen Bucket auf einen alten Stand zurück, muss der neu eingelesen werden.

 

[Bu66as]

Vorsicht mit der Lifecycle-Regel in Kombi mit PBS, das ist genau die Falle. PBS dedupliziert auf Chunk-Ebene, ein Chunk der vor 40 Tagen geschrieben wurde kann von einem ganz aktuellen Backup immer noch referenziert sein. Wenn deine Lifecycle-Regel den nach 31 Tagen einfach wegräumt, zerschießt du dir damit lebende Backups. Age-based Lifecycle versteht die Dedup nicht, das solltest du besser der PBS-Prune/GC überlassen statt dem Bucket.

Object Lock ist gegen Ransomware der richtige Ansatz, aber dann kann die GC solange der Lock läuft nichts freigeben. Prune markiert die Chunks zwar, liegen bleiben sie trotzdem bis die Retention abläuft, der Bucket wächst also erstmal weiter. Retention-Dauer und Speicherplatz musst du zusammen durchdenken.

Welche PBS-Version fährst du eigentlich? Der S3-Support ist ja noch ziemlich frisch, da würd ich vorm Scharfschalten mal mit ein paar Test-Backups Restore und GC durchspielen, bevor du dich drauf verlässt.