Cofre imutável para o Backup do Azure

Um cofre imutável para o Azure Backup pode ajudá-lo a proteger os seus dados de backup bloqueando quaisquer operações que possam levar à perda de pontos de recuperação. Podes bloquear a definição do cofre imutável para a tornar irreversível e usar armazenamento WORM (escrever uma vez, ler muitas) para backups, para evitar que agentes maliciosos desativem a imutabilidade e apaguem backups.

Matriz de suporte

Categoria Support
Tipos de abóbada Cofre dos Serviços de Recuperação, Cofre de Backup
Regions A imutabilidade (ativada e bloqueada) está geralmente disponível em todas as regiões públicas e governamentais do Azure dos EUA.
Workloads A imutabilidade é suportada em todas as cargas de trabalho que o Azure Backup protege.
Imutabilidade baseada no tempo Suportado para cofres de Serviços de Recuperação.

Suporte ao armazenamento WORM

O Azure Backup passa a utilizar armazenamento WORM nos seus cofres como parte da aplicação da imutabilidade bloqueada. Quando o armazenamento WORM ainda não é suportado para uma região ou carga de trabalho, a imutabilidade bloqueada continua a ser imposta pelo serviço de backup, e os backups transitam automaticamente para armazenamento suportado por WORM assim que este fica disponível, sem necessidade de ação do utilizador ou movimento de dados.

Categoria Details
Regiões do cofre dos Serviços de Recuperação Geralmente disponível em: Austrália Central 2, Suíça Oeste, África do Sul Oeste, Coreia Central, Alemanha Norte, Coreia Sul, Espanha Central, Israel Central, Índia Sul, Índia Oeste, México Central, Noruega Oeste, Polónia Central, Japão Este, Japão Oeste, Brasil Sudeste, Canadá Norte, Qatar Central, Suíça Norte, Oeste US 3.
Regiões de cofre de backup Geralmente disponível em todas as regiões públicas do Azure. Não disponível nas regiões de cloud nacional.
Cargas de trabalho suportadas - Cofre de Serviços de Recuperação Máquinas Virtuais do Azure, SQL Server nas Máquinas Virtuais do Azure, SAP HANA no Máquinas Virtuais do Azure, Ficheiros do Azure, Azure Backup (servidor e agente), System Center Data Protection Manager.
Cargas de trabalho suportadas - Cofre de backup Azure Kubernetes Service, Base de Dados do Azure para PostgreSQL, Azure Cosmos DB.
Outras regiões e cargas de trabalho A imutabilidade bloqueada é aplicada pelo serviço de backup. As cópias de segurança transitam automaticamente para armazenamento suportado por WORM assim que este fica disponível nessa região, sem qualquer ação do utilizador e sem necessidade de movimentação de dados.

Considerações antes de começar

  • Ativar a imutabilidade impede-te de realizar operações específicas no cofre e nos seus itens protegidos.
  • Permitir a imutabilidade é uma operação reversível para um cofre. No entanto, pode optar por tornar a operação irreversível para evitar que agentes maliciosos desativem o cofre e realizem operações destrutivas.
  • A imutabilidade aplica-se a todos os dados num repositório. Todas as instâncias protegidas no cofre têm a imutabilidade aplicada.
  • A imutabilidade não se aplica a backups operacionais de recursos como blobs, ficheiros e discos.
  • Certifique-se de que o fornecedor de recursos está registado na sua subscrição para Microsoft.RecoveryServices. Caso contrário, opções redundantes de zonas e propriedades do vault, como definições de imutabilidade, não estão acessíveis.
  • Permitir a imutabilidade com base na retenção da política de backup, ou por um período específico que seja independente da retenção da política. Saiba mais sobre as opções para ativar a imutabilidade.

Como funciona a imutabilidade?

O Azure Backup armazena os dados isoladamente das cargas de trabalho de produção. Pode realizar operações de gestão para ajudar a gerir os seus backups, incluindo operações para eliminar pontos de recuperação.

Em certos cenários, pode querer tornar os dados de backup imutáveis, impedindo operações que, se usadas por agentes maliciosos, podem levar à perda de backups. Pode utilizar a definição de imutabilidade no seu cofre para bloquear essas operações e ajudar a proteger os seus dados de backup, mesmo que agentes maliciosos tentem apagá-los para comprometer a recuperação dos dados.

Tornar a imutabilidade irreversível

A imutabilidade de um cofre é um cenário reversível. Pode desativar a imutabilidade se for necessário permitir a eliminação dos dados de backup.

No entanto, recomendamos que, depois de ficares satisfeito com o impacto da imutabilidade, bloqueies o cofre para tornar as definições imutáveis do cofre irreversíveis e habilites o armazenamento WORM para backups. Estas escolhas ajudam a garantir que atores mal-intencionados não consigam desativar a imutabilidade.

As definições do cofre imutáveis aceitam os seguintes três estados:

Estado da montagem imutável da abóbada Descrição
Desativado O cofre não tem imutabilidade ativada, pois nenhuma operação está bloqueada.
Ativado O cofre tem a imutabilidade ativada e não permite operações que possam resultar na perda de backups.

A configuração pode ser desativada.
Ativado e bloqueado O cofre-forte tem imutabilidade com armazenamento WORM ativado e não permite operações que possam resultar na perda de cópias de segurança.

A configuração do cofre imutável está agora bloqueada e não pode ser desativada.

O bloqueio de imutabilidade é irreversível. Certifique-se de que a sua decisão de o usar é bem fundamentada.

Opções para ativar a imutabilidade

Ao ativar a imutabilidade num cofre, escolha durante quanto tempo os pontos de recuperação permanecem imutáveis:

  • Ativar com base na política de backup (default): Os pontos de recuperação são imutáveis enquanto a política de backup associada os manter. A duração da imutabilidade corresponde sempre ao período de retenção da apólice, pelo que qualquer redução na retenção da apólice que elimine um ponto de recuperação existente é bloqueada.

  • Ativar para uma duração específica: Os pontos de recuperação são imutáveis durante um número fixo de dias que configura (por exemplo, 30 dias), independentemente do período total de retenção definido na política de backup. Quando a duração de imutabilidade configurada expira, os pontos de recuperação continuam a existir de acordo com o período de retenção da política de cópia de segurança, mas deixam de ser imutáveis e pode eliminá-los no âmbito da retenção normal ou através de ações manuais.

    Por exemplo, se uma política de backup retém pontos de recuperação durante 180 dias e configura a imutabilidade para uma duração específica de 30 dias, os pontos de recuperação permanecem imutáveis durante os primeiros 30 dias após a criação. Depois disso, continuam a existir até expirar o prazo de retenção de 180 dias, mas já não estão protegidos pela imutabilidade.

    Quando usa esta opção, o Azure Backup impede-o de reduzir o período de retenção da política de backup para menos do que a duração de imutabilidade configurada (30 dias neste exemplo). Podes reduzir a retenção ao valor de duração da imutabilidade, mas não a um valor inferior a ele.

    Esta opção dá-lhe flexibilidade para equilibrar a proteção de dados com os custos de armazenamento, especialmente quando bloqueia a imutabilidade, porque não é obrigado a manter todos os pontos de recuperação imutáveis durante todo o período de retenção.

Note

A opção Habilitar para duração específica aplica a duração configurada de forma uniforme a todos os pontos de recuperação no cofre. Certifique-se de que a duração configurada cumpre os seus requisitos de conformidade e recuperação antes de bloquear a imutabilidade, porque o bloqueio torna a configuração irreversível.

Operações sujeitas a restrições

A imutabilidade impede-o de realizar as seguintes operações no cofre que podem levar à perda de dados:

Tipo de operação Descrição
Proibir a proteção com eliminação de dados Um item protegido não pode ter os seus pontos de recuperação eliminados antes das respetivas datas de validade. No entanto, você ainda pode interromper a proteção das instâncias enquanto retém os dados para sempre ou até que eles expirem.
Modificar uma política de backup para reduzir a retenção Quaisquer ações que reduzam o período de retenção numa apólice de backup são proibidas num cofre imutável. No entanto, você pode fazer alterações de política que resultem no aumento da retenção. Você também pode fazer alterações no agendamento de uma política de backup.

O aumento na retenção não pode ser aplicado se algum item tiver os seus backups suspensos.

Se a imutabilidade estiver ativada por uma duração específica, a retenção só pode ser reduzida até à duração de imutabilidade configurada, e não até um valor inferior a esta.
Alterar uma política de backup para reduzir a retenção Qualquer tentativa de substituir uma política de backup associada a um item de backup por outra que tenha uma retenção inferior à existente é bloqueada. No entanto, você pode substituir uma política pela que tem maior retenção.

Se a imutabilidade estiver ativada por um período específico, pode substituir a apólice por uma cuja retenção seja inferior à existente, desde que a nova retenção não seja inferior à duração de imutabilidade configurada.

Conteúdo relacionado

  • Última atualização a