Czy repozytorium Borg powinno używać trybu tylko do dołączania czy normalnego dostępu?

Eva Wong

IceWhale author

Eva Wong jest Technicznym pisarzem i stałym majsterkowiczem w ZimaSpace. Całe życie geek z pasją do homelabów i oprogramowania open-source, specjalizuje się w tłumaczeniu skomplikowanych koncepcji technicznych na przystępne, praktyczne przewodniki. Eva wierzy, że samodzielne hostowanie powinno być zabawą, a nie czymś onieśmielającym. Poprzez swoje samouczki umożliwia społeczności rozwiewanie tajemnic konfiguracji sprzętu, od budowy pierwszego NAS po opanowanie kontenerów Docker.

Should a Borg Repository Use Append-Only Mode or Normal Access? - Zima Store Online

Tryb tylko do dopisywania sprawdza się, gdy klient kopii zapasowych jest mniej zaufany niż repozytorium i istnieje oddzielna, zaufana ścieżka konserwacji. W przeciwnym razie zwykły dostęp jest prostszy i bardziej przejrzysty.

W przypadku serwera domowego, który wysyła kopie zapasowe na inną maszynę, prawdziwe pytanie nie brzmi, czy tryb tylko do dopisywania wydaje się bezpieczniejszy. Chodzi o to, czy przejęty klient musi zostać pozbawiony możliwości usuwania starych danych repozytorium, kto może wykonywać konserwację związaną z retencją oraz jak będzie wyglądać odzyskiwanie danych, jeśli archiwa zostaną ukryte lub oznaczone do usunięcia. Najpierw określ dane uwierzytelniające i zakres odpowiedzialności za konserwację, a następnie przetestuj tworzenie kopii zapasowych i przywracanie danych, zanim przypiszesz repozytorium jeden z tych trybów.

Określ, której maszynie i którym danym uwierzytelniającym nie ufasz

Wypisz maszyny źródłowe, host repozytorium, klucze SSH, konta usług oraz tożsamości administratorów. Zaznacz, która tożsamość wykonuje zwykłe kopie zapasowe, która przeprowadza konserwację retencji, a która może logować się do hosta repozytorium. Tryb tylko do dopisywania pomaga wyłącznie wtedy, gdy mniej zaufany klient jest rzeczywiście ograniczony na granicy repozytorium.

Zdalny serwer kopii zapasowych tylko do dopisywania jest najbezpieczniejszy, gdy klucz klienta wymusza ograniczoną komendę Borg i nie pozwala uzyskać ogólnej powłoki ani danych uwierzytelniających do konserwacji.

Jeśli ten sam klient przechowuje klucz administracyjny, planuje kompakcję i może edytować konfigurację repozytorium, deklarowana granica ma głównie charakter proceduralny. Jeśli sam host repozytorium może zostać przejęty, tryb tylko do dopisywania na tym hoście nie stanowi niezależnej kopii. Wybierz tryb dopiero wtedy, gdy mapa zagrożeń jasno pokazuje, kto jest od kogo odseparowany.

Sprawdź, co tryb tylko do dopisywania zmienia w Twoim procesie Borg

Utwórz małe, tymczasowe repozytorium i uruchom dokładnie te polecenia, których użyje automatyzacja. Dodaj dwa archiwa, wyświetl ich listę, zastosuj planowane polecenie retencji, spróbuj wykonać kompakcję z tożsamością klienta, a następnie przełącz się na zaufaną tożsamość odpowiedzialną za konserwację. Zapisz, które dane nadal można odzyskać oraz które operacje są jedynie odzwierciedlane w bieżącym widoku klienta.

W repozytorium tylko do dopisywania archiwa mogą przestać być widoczne dla klienta po usunięciu lub zamiarze wykonania przycinania, mimo że przestrzeń nie zostanie zwolniona, dopóki zaufana konserwacja na to nie pozwoli. Tę różnicę trzeba zrozumieć przed wystąpieniem incydentu.

Test jest zaliczony tylko wtedy, gdy ograniczony klient może tworzyć kopie zapasowe, nie może trwale usunąć chronionej historii, a zaufany administrator może sprawdzić stan transakcji i przywrócić potrzebne archiwum. Jeśli operator nie potrafi wyjaśnić, jak odzyskać ukryte archiwum, tryb tylko do dopisywania nie jest gotowy do użycia produkcyjnego, niezależnie od tego, czy tworzenie kopii zapasowych działa.

Wybierz tryb odpowiedni do zakresu odpowiedzialności za konserwację

Wybierz tryb tylko do dopisywania, gdy zdalni lub narażeni klienci muszą wysyłać kopie zapasowe, oddzielna chroniona tożsamość może wykonywać konserwację, przestrzeń dyskowa może pomieścić opóźnienie przed kompakcją, a procedura odzyskiwania danych została przećwiczona. Nie przechowuj tych danych uwierzytelniających na zwykłych klientach kopii zapasowych i uruchamiaj je wyłącznie z użyciem utwardzonej ścieżki administracyjnej.

Wybierz zwykły dostęp, gdy repozytorium i klient znajdują się w jednej zaufanej granicy administracyjnej, rutynowa retencja i odzyskiwanie przestrzeni muszą być wykonywane bezpośrednio, a prostota operacyjna jest ważniejsza niż ograniczenie przejętego klucza klienta. Ważne jest ostrzeżenie dotyczące automatycznej kompakcji repozytoriów tylko do dopisywania: zaufany automatyczny kompaktor może zrealizować destrukcyjne polecenie utworzone przez przejętego klienta, jeśli działa bez weryfikacji.

Użyj oddzielnych repozytoriów, gdy jedna grupa klientów jest zaufana, a druga narażona, lub gdy ich harmonogramy konserwacji są ze sobą sprzeczne. Nie osłabiaj zabezpieczeń wszystkich klientów do najmniej bezpiecznego wspólnego modelu tylko dla wygody deduplikacji. Właściwy wybór zależy od sytuacji: tryb tylko do dopisywania chroni konkretną granicę danych uwierzytelniających, natomiast zwykły dostęp umożliwia bezpośrednią konserwację.

Featured

ZimaCube 2 Osobisty domowy NAS w chmurze

ZimaCube2

Zweryfikuj tworzenie kopii, przywracanie i konserwację jako jeden cykl

Wykonaj pełny cykl operacyjny, zanim zaczniesz polegać na repozytorium. Utwórz dwie kopie zapasowe z klienta, zastosuj zamierzoną politykę retencji, sprawdź wynikowy stan przy użyciu zaufanej tożsamości, przywróć przykładowy katalog do oddzielnej lokalizacji i wykonaj planowany etap konserwacji. Zmierz zajętość przestrzeni przed i po, aby było widoczne opóźnione zwalnianie miejsca.

Tryb dostępu do repozytorium nie eliminuje potrzeby sprawdzania tożsamości ani ścieżki montowania. Jeśli Borg nie może znaleźć przeniesionego repozytorium, przeprowadź osobno diagnozę ścieżki repozytorium, niezależnie od działania trybu tylko do dopisywania.

Tryb jest sprawdzony, gdy zaplanowane kopie zapasowe działają, można przywrócić wcześniejsze archiwum, tożsamość odpowiedzialna za konserwację może przejrzeć stan i celowo zwolnić miejsce, a te same wyniki utrzymują się po ponownym uruchomieniu klienta. Wróć do repozytorium testowego, jeśli widoczność archiwów jest niejasna, ilość danych rośnie bez bezpiecznego okna konserwacyjnego lub dane uwierzytelniające administratora nie są rzeczywiście oddzielone.