Notfallwiederherstellung für Data Map (manuell)

Dieser Artikel enthält Anleitungen zur Sicherung und Wiederherstellung für Datengovernanceadministratoren, die Microsoft Purview Data Map in einer Produktionsbereitstellung verwenden. Es werden BCDR-Methoden (Manuelle Geschäftskontinuität und Notfallwiederherstellung) behandelt. Bevor Sie beginnen, überprüfen Sie die voraussetzungen, die zuerst in diesem Artikel beschrieben werden. Ausführliche BCDR-Schritte für Unified Catalog finden Sie unter Notfallwiederherstellung für Unified Catalog (manuell).

Voraussetzungen

Schritt 1. Erstellen eines Kontos im Enterprise-Tarif

Erstellen Sie ein Purview Data Governance-Konto auf der Enterprise-Ebene. Dies dient als primäres Konto mit vollständigen Governancefunktionen.

Schritt 2. Anfordern der klassischen Purview-Bereitstellung in einer sekundären Region

Erstellen Sie ein Supportticket über den Kundensupportkanal, um die Aktivierung der klassischen Purview-Kontobereitstellung in einer sekundären (gekoppelten) Region für BCDR-Zwecke anzufordern. Diese Region sollte nicht mit der primären Region identisch sein.

Schritt 3. Erstellen eines klassischen Purview-Kontos

Nachdem die klassische Bereitstellung in der sekundären Region aktiviert wurde, erstellen Sie ein klassisches Purview-Konto. Dieses Konto dient als sekundäres Konto (Sicherungskonto) mit eingeschränkten Funktionen.

Hinweis

Die ersten drei Schritte sind sowohl für Data Map als auch für Unified Catalog BCDR üblich.

Schritt 4. Notieren von MSI-Identitäten

Mitschreiben die Objekt-ID der verwalteten Identität (Identität A) des primären Kontos und die Objekt-ID der verwalteten Identität (Identität B) des sekundären Kontos.

Schritt 5. Bestätigen Key Vault Bereitschaft zur Notfallwiederherstellung

Stellen Sie sicher, dass der Schlüsseltresor der sekundären Region die gleichen Geheimnisnamen enthält oder dass der Schlüsseltresor georesilient mit der gekoppelten sekundären Region ist.

Schritt 6: Bestätigen der Bereitschaft zur Notfallwiederherstellung der Datenquelle

Stellen Sie sicher, dass jede Datenquelle, die in Microsoft Purview registriert und gescannt wird, über eine quellseitige Notfallwiederherstellung (Georeplikation/RA-GRS, SQL-Failovergruppe usw.) verfügt, die eine erreichbare Kopie in oder in der Nähe der sekundären Region bereitstellt.

Einrichten des sekundären Kontos und des Netzwerks

Richten Sie das sekundäre Konto ein, um das primäre Konto zu Spiegel, und konfigurieren Sie dann das Netzwerk:

  1. Erstellen Sie die Sammlungshierarchie im sekundären Konto neu, damit sie mit dem primären Konto (identische Namen) übereinstimmt.
  2. Weisen Sie rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) für die sekundären Kontosammlungen (Sammlung Admin, Datenquellen-Admin, Datenkurator, Datenleser) den gleichen Prinzipalen wie das primäre Konto zu.
  3. Erstellen Sie die Integration Runtimes (IRs) im sekundären Konto (Verwaltetes virtuelles Netzwerk (VNet) IR, Azure IR oder beides), die mit dem primären Konto übereinstimmen. Stellen Sie sicher, dass die Integration Runtimes vorhanden und ausgeführt sind.
  4. Wenn eine selbstgehostete Integration Runtime (SHIR) verwendet wird, installieren Sie einen neuen SHIR-Knoten, und registrieren Sie ihn mithilfe des Authentifizierungsschlüssels des sekundären Kontos beim sekundären Konto.
  5. Erstellen Sie das verwaltete virtuelle Netzwerk und die verwalteten privaten Endpunkte in der sekundären Region neu.
  6. Genehmigen Sie jeden verwalteten privaten Endpunkt auf der Zielressourcenseite.
  7. Erstellen Sie private Endpunkte (Konto/Portal/Erfassung) und private DNS-Einträge für das sekundäre Konto.

Konfigurieren von Identität und Zugriff auf Datenquellen

Gewähren Sie der Identität des sekundären Kontos denselben Zugriff auf jede Datenquelle, über die die Identität des primären Kontos verfügt:

  1. Weisen Sie Identität B für jede Datenquelle die gleiche Datenebenenrolle zu, über die Identität A verfügt (z. B. Storage-Blobdatenleser, SQL db_datareaderusw.).
  2. Öffnen Sie die Datenquellenfirewalls und Netzwerkregeln für die Integration Runtime oder das Konto des sekundären Kontos (IP-Bereiche, Dienstendpunkte, private Endpunkte, vertrauenswürdige Microsoft-Dienste zulassen). Dieser Zugriff ist erforderlich, damit das sekundäre Konto die Quelle über das Netzwerk erreichen kann.
  3. Registrieren Sie die Schlüsseltresorverbindung im sekundären Konto, und gewähren Sie identity B get/list secret für den Schlüsseltresor. Verwenden Sie einen Schlüsseltresor mit aktivierter Notfallwiederherstellung oder einem Schlüsseltresor in einer sekundären Region, der die gleichen Geheimnisnamen enthält.

Spiegelungsüberprüfungskonfiguration für das sekundäre Konto

Replizieren Sie die Überprüfungskonfiguration des primären Kontos im sekundären Konto:

  1. Registrieren Sie die gleichen Datenquellen im sekundären Konto unter den übereinstimmenden Sammlungen.
  2. Erstellen Sie die gleichen Anmeldeinformationen im sekundären Konto (verweisen sie auf die Schlüsseltresorverbindung des sekundären Kontos und die gleichen Geheimnisnamen).
  3. Erstellen Sie benutzerdefinierte Klassifizierungsregeln im sekundären Konto (gleiche Namen) neu.
  4. Erstellen Sie überprüfungsregelsätze im sekundären Konto (system und benutzerdefiniert) neu, die dem primären Konto entsprechen.
  5. Erstellen Sie die gleichen Überprüfungen im sekundären Konto mit übereinstimmenden Bereichsauswahl, Regelsatz und Integration Runtime-Bindung.
  6. Erstellen Sie dieselben Trigger und Zeitpläne im sekundären Konto.

Regelmäßige Überprüfung

Überprüfen Sie im stabilen Zustand Folgendes für Ihre primären und sekundären Konten:

  1. Stellen Sie bei manuell ausgelösten oder geplanten Überprüfungen im sekundären Konto sicher, dass jede Überprüfung den Status Erfolgreich erreicht (nicht Fehler oder Fehler abgeschlossen).
  2. Vergleichen Sie die Anzahl der ermittelten Ressourcen zwischen dem primären und dem sekundären Konto, nachdem beide eine Überprüfung derselben Quelle abgeschlossen haben. Anzahl und qualifizierte Ressourcennamen sollten innerhalb eines Scanintervalls übereinstimmen.
  3. Spot-Check-Klassifizierungen, die von Regelsätzen auf die gleichen Ressourcen in den primären und sekundären Konten angewendet werden. Die gleichen Klassifizierungen sollten auch im sekundären Konto vorhanden sein.
  4. Überprüfen Sie die Schemaparität für eine repräsentative tabellarische Ressource. Spaltennamen und -typen sollten übereinstimmen.

Failover während eines Notfallwiederherstellungsereignisses

Wenn ein Notfallwiederherstellungsereignis auftritt, erstellen Sie ein Supportticket, in dem die folgenden Aktionen angefordert werden:

  1. Stufen Sie das sekundäre Konto (klassisch) auf die Enterprise-Ebene hoch.
  2. Stufen Sie das primäre Konto (Enterprise) auf Sekundär herunter.

Geben Sie die Mandanten-ID, den Kontonamen und die Region sowohl für das primäre als auch für das sekundäre Konto im Supportticket frei.

Das Failover wird abgeschlossen, und das zuvor sekundäre Konto wird zum neuen primären Konto mit vollständigen Enterprise-Funktionen.

Beheben häufiger Fehler

Problembeschreibung Wahrscheinlichste Ursache Behebung
Fehler bei der Überprüfung des sekundären Kontos bei der Authentifizierung Identität B wird für die Datenquelle nicht gewährt Erteilen Sie Identität B die Datenebenenrolle.
Bei der Überprüfung des sekundären Kontos tritt ein Netzwerk- oder Timeoutfehler auf. Die Datenquellenfirewall wird für das sekundäre Konto nicht geöffnet, oder der verwaltete private Endpunkt ist nicht genehmigt. Öffnen Sie die Firewall, oder genehmigen Sie den verwalteten privaten Endpunkt.
Fehler bei der Verbindung mit dem Anmeldeinformationstest im sekundären Konto Key Vault-Verbindung fehlt, oder Identität B hat keinen Geheimzugriff. Registrieren Sie die Key Vault-Verbindung, und erteilen Sie die Berechtigung zum Abrufen/Auflisten des Geheimnisses.
Ressourcen, die im primären Konto vorhanden sind, aber im sekundären Konto fehlen Konfigurationsabweichung – Quelle oder Überprüfung nicht gespiegelt Spiegeln Sie die Konfiguration und führen Sie die Abstimmung aus.
Das sekundäre Konto kann nicht erstellt werden. Einzelne instance pro Mandant oder klassische Bereitstellung ist nicht aktiviert Erstellen Sie ein Supportticket.

Verwandte Inhalte

  • Last updated on