Cofre imutável para o Backup do Azure

Um cofre imutável para o Backup do Azure pode ajudá-lo a proteger seus dados de backup bloqueando todas as operações que possam levar à perda de pontos de recuperação. Você pode bloquear a configuração de imutabilidade do cofre para que ela se torne irreversível e usar armazenamento WORM (write once, read many) para backups, evitando que invasores desativem a imutabilidade e excluam os backups.

Matriz de suporte

Categoria Support
Tipos de cofre Cofre dos Serviços de Recuperação, cofre de Backup
Regions A imutabilidade (habilitada e bloqueada) está disponível de forma geral em todas as regiões públicas do Azure e nas regiões governamentais dos EUA.
Workloads Imutabilidade é suportada para todas as cargas de trabalho que o Backup do Azure protege.
Imutabilidade baseada no tempo Compatível para cofres de Serviços de Recuperação.

Suporte ao armazenamento WORM

O Backup do Azure está introduzindo o uso do armazenamento WORM em seus cofres como parte da aplicação da imutabilidade bloqueada. Quando o armazenamento WORM ainda não é suportado para uma região ou carga de trabalho, a imutabilidade travada continua sendo imposta pelo serviço de backup, e os backups fazem a transição automaticamente para armazenamento suportado por WORM assim que fica disponível, sem necessidade de ação do usuário ou movimentação de dados.

Categoria Details
Regiões de cofre dos Serviços de Recuperação Geralmente disponível em: Austrália Central 2, Suíça Oeste, África do Sul Oeste, Coreia Central, Alemanha Norte, Coreia Sul, Espanha Central, Israel Central, Índia Sul, Índia Oeste, México Central, Noruega Oeste, Polônia Central, Japão Leste, Japão Oeste, Brasil Sudeste, Canadá Norte, Catar Central, Suíça Norte, Oeste dos EUA 3.
Regiões de cofre de backup Geralmente disponível em todas as regiões públicas do Azure. Não disponível em regiões nacionais de nuvem.
Cargas de trabalho compatíveis - Cofre dos Serviços de Recuperação Máquinas Virtuais do Azure, SQL Server em Máquinas Virtuais do Azure, SAP HANA no Máquinas Virtuais do Azure, Arquivos do Azure, Backup do Azure (servidor e agente), System Center Data Protection Manager.
Cargas de trabalho suportadas - Backup vault Serviço de Kubernetes do Azure, Banco de Dados do Azure para PostgreSQL, Azure Cosmos DB.
Outras regiões e cargas de trabalho A imutabilidade bloqueada é imposta pelo serviço de backup. Backups fazem a transição automática para armazenamento suportado por WORM assim que ele fica disponível naquela região, sem ação do usuário e sem necessidade de movimentação de dados.

Considerações antes de começar

  • Habilitar a imutabilidade impede que você execute operações específicas no cofre e em seus itens protegidos.
  • Habilitar a imutabilidade é uma operação reversível para um cofre. No entanto, você pode optar por tornar a operação irreversível para impedir que atores mal-intencionados desabilitem o cofre e executem operações destrutivas.
  • A imutabilidade se aplica a todos os dados em um cofre. Todas as instâncias protegidas no cofre têm imutabilidade aplicada a elas.
  • A imutabilidade não se aplica a backups operacionais para recursos como blobs, arquivos e discos.
  • Verifique se o provedor de recursos está registrado em sua assinatura para Microsoft.RecoveryServices. Caso contrário, opções de redundância de zona e propriedades de cofre, como as configurações de imutabilidade, não serão acessíveis.
  • Ative a imutabilidade com base na retenção da política de backup, ou por um período específico que seja independente da retenção da política. Saiba mais sobre as opções de habilitação de imutabilidade.

Como funciona a imutabilidade?

O Backup do Azure armazena dados isoladamente das cargas de trabalho de produção. Você pode executar operações de gerenciamento para ajudar a gerenciar seus backups, incluindo operações para excluir pontos de recuperação.

Em determinados cenários, talvez você queira tornar os dados de backup imutáveis impedindo operações que, se usadas por atores mal-intencionados, podem levar à perda de backups. Você pode usar a configuração de imutabilidade em seu cofre para bloquear essas operações e ajudar a proteger os seus dados de backup, mesmo que atores mal-intencionados tentem excluí-los para afetar a capacidade de recuperação de dados.

Tornar a imutabilidade irreversível

A imutabilidade de um cofre é uma configuração reversível. Você pode desabilitar a imutabilidade se precisar permitir a exclusão de dados de backup.

No entanto, recomendamos que, depois de estar satisfeito com o impacto da imutabilidade do cofre, bloqueie o cofre para tornar as configurações imutáveis do cofre irreversíveis e habilite o armazenamento WORM para backups. Essas escolhas ajudam a garantir que maus atores não possam desabilitar a imutabilidade.

As configurações do cofre Imutável aceitam os três estados a seguir:

Estado da configuração do cofre imutável Descrição
Desabilitada O cofre não tem imutabilidade habilitada e nenhuma operação é bloqueada.
Habilitado O cofre tem a imutabilidade habilitada e não permite operações que possam resultar em perda de backups.

A configuração pode ser desabilitada.
Habilitado e bloqueado O cofre tem a imutabilidade com armazenamento WORM habilitada e não permite operações que possam resultar em perda de backups.

A configuração do cofre Imutável agora está bloqueada e não pode ser desabilitada.

O bloqueio de imutabilidade é irreversível. Verifique se sua decisão de usá-la está bem informada.

Opções de habilitação de imutabilidade

Quando você habilita a imutabilidade de um cofre, escolha por quanto tempo os pontos de recuperação permanecem imutáveis:

  • Ativar com base na política de backup (padrão): Os pontos de recuperação são imutáveis enquanto a política de backup associada os manter. A duração da imutabilidade sempre corresponde ao período de retenção da apólice, então qualquer redução na retenção da apólice que exclua um ponto de recuperação existente é bloqueada.

  • Ative por duração específica: Os pontos de recuperação são imutáveis por um número fixo de dias que você configura (por exemplo, 30 dias), independentemente do período total de retenção definido na política de backup. Quando a duração configurada da imutabilidade termina, os pontos de recuperação continuam existindo conforme a retenção da política de backup, mas eles não são mais imutáveis e você pode excluí-los por meio de retenção normal ou ações manuais.

    Por exemplo, se uma política de backup retém pontos de recuperação por 180 dias e você configura a imutabilidade por uma duração específica de 30 dias, os pontos de recuperação permanecem imutáveis pelos primeiros 30 dias após a criação. Depois disso, eles ainda existem até o término da retenção de 180 dias, mas não são mais protegidos pela imutabilidade.

    Quando você usa essa opção, o Backup do Azure restringe você de reduzir o período de retenção da política de backup para menos do que a duração de imutabilidade configurada (30 dias neste exemplo). Você pode reduzir a retenção para o valor de duração da imutabilidade, mas não para um valor menor que ele.

    Essa opção oferece flexibilidade para equilibrar proteção de dados com custos de armazenamento, especialmente quando você bloqueia a imutabilidade, pois você não é obrigado a manter todos os pontos de recuperação imutáveis durante todo o período de retenção.

Note

A opção Habilitar para duração específica aplica a duração configurada de forma uniforme a todos os pontos de recuperação no cofre. Certifique-se de que a duração configurada atenda aos seus requisitos de conformidade e recuperação antes de travar a imutabilidade, pois travar torna a configuração irreversível.

Operações restritas

A imutabilidade impede que você execute as seguintes operações no cofre que podem levar à perda de dados:

Tipo de operação Descrição
Parar a proteção com a exclusão de dados Um item protegido não pode ter seus pontos de recuperação excluídos antes de suas respectivas datas de expiração. No entanto, você ainda pode interromper a proteção das instâncias e reter os dados para sempre ou até que expirem.
Modificar uma política de backup para reduzir a retenção Todas as ações que reduzem o período de retenção em política de backup são proibidas em um cofre imutável. No entanto, você pode fazer alterações de política que resultem no aumento da retenção. Você também pode fazer alterações no agendamento de uma política de backup.

O aumento da retenção não poderá ser aplicado se algum item tiver seus backups suspensos.

Se a imutabilidade for ativada por um período específico, a retenção só pode ser reduzida até a duração de imutabilidade configurada, e não para um valor menor que ela.
Alterar uma política de backup para reduzir a retenção Qualquer tentativa de substituir uma política de backup associada a um item de backup por outra política que tenha retenção inferior à existente é bloqueada. No entanto, você pode substituir uma política por outra com maior retenção.

Se a imutabilidade estiver ativada por um período específico, você pode substituir a apólice por uma cuja retenção seja menor que a existente, desde que a nova retenção não seja menor que a duração configurada da imutabilidade.

Conteúdo relacionado

  • Última atualização em