Vorläufiges Löschen für Azure Backup

In diesem Artikel wird beschrieben, wie Sie das Feature zum vorläufigen Löschen aktivieren und deaktivieren und wie Sie vorläufig gelöschte Daten endgültig löschen.

Die Sorgen bezüglich Sicherheitsproblemen wie Schadsoftware, Ransomware und Eindringlingen werden immer größer. Diese Sicherheitsprobleme können erhebliche Daten- und finanzielle Verluste mit sich bringen. Zum Schutz gegen solche Angriffe verfügt Azure Backup jetzt über Sicherheitsfeatures für den Schutz von Sicherungsdaten auch nach dem Löschen.

Eines dieser Features ist das vorläufige Löschen. Beim vorläufigen Löschen werden die Sicherungsdaten 14 Tage länger aufbewahrt, damit das jeweilige Sicherungselement auch dann ohne Datenverluste wiederhergestellt werden kann, wenn ein böswilliger Akteur eine Sicherung löscht oder die Sicherungsdaten versehentlich gelöscht werden. Für die zusätzlichen 14 Tage der Aufbewahrung von Sicherungsdaten mit dem Status „Vorläufiges Löschen“ fallen für Sie keine Kosten an.

Der Schutz durch das vorläufige Löschen ist für folgende Dienste verfügbar:

• Vorläufiges Löschen für virtuelle Azure-Computer
• Vorläufiges Löschen für SQL-Server auf virtuellen Azure-Computern und SAP HANA in Azure-VM-Workloads

Lebenszyklus eines vorläufig gelöschten Sicherungselements

Im folgenden Flussdiagramm sind die unterschiedlichen Schritte und Zustände eines Sicherungselements bei aktiviertem vorläufigem Löschen dargestellt:

Aktivieren und Deaktivieren des vorläufigen Löschens

Vorläufiges Löschen ist für neu erstellte Tresore standardmäßig aktiviert, um Sicherungsdaten vor versehentlichen oder vorsätzlichen Löschvorgängen zu schützen. Es wird davon abgeraten, dieses Feature zu deaktivieren. Sie sollten das vorläufige Löschen nur dann deaktivieren, wenn Sie Ihre geschützten Elemente in einen neuen Tresor verschieben möchten und nicht 14 Tage warten können, die für das Löschen und erneute Schützen erforderlich sind (z. B. in einer Testumgebung).

Um das vorläufige Löschen für einen Tresor deaktivieren zu können, müssen Sie für diesen Tresor über die Rolle „Sicherungsmitwirkender“ verfügen. (Sie benötigen Berechtigungen zum Ausführen von „Microsoft.RecoveryServices/Vaults/backupconfig/write“ für den Tresor.) Wenn Sie dieses Feature deaktivieren, führen alle künftigen Löschvorgänge geschützter Elemente zu einer sofortigen Entfernung, ohne dass eine Wiederherstellung möglich ist. Sicherungsdaten, die vor der Deaktivierung dieses Features mit dem Status „Vorläufig gelöscht“ vorhanden waren, behalten 14 Tage diesen Status. Wenn Sie diese Elemente umgehend endgültig löschen möchten, müssen Sie sie wiederherstellen und anschließend erneut löschen, damit sie endgültig gelöscht werden.

Beachten Sie, dass die Deaktivierung des Features vorläufiges Löschen für alle Arten von Workloads gilt. So ist es beispielsweise nicht mehr möglich, vorläufiges Löschen nur für SQL Server- oder SAP HANA-Datenbanken zu deaktivieren, es gleichzeitig aber für virtuelle Computer in demselben Tresor aktiviert zu lassen. Für eine präzisere Steuerung können Sie separate Tresore erstellen.

Tipp

Wenn Sie Warnungen/Benachrichtigungen erhalten möchten, wenn ein Benutzer in der Organisation das vorläufige Löschen für einen Tresor deaktiviert, verwenden Sie Azure Monitor-Warnungen für Azure Backup. Da die Deaktivierung des vorläufigen Löschens ein potenziell schädlicher Vorgang ist, empfehlen wir die Verwendung eines Warnsystems für dieses Szenario, um alle derartigen Vorgänge zu überwachen und bei unbeabsichtigten Vorgängen Maßnahmen zu ergreifen.

Hinweis

• Sie können auch die Mehrbenutzerautorisierung (Multi-User Authorization, MUA) verwenden, um eine zusätzliche Schutzebene vor der Deaktivierung des vorläufigen Löschens hinzuzufügen. Weitere Informationen
• Die MUA für vorläufiges Löschen wird derzeit nur für Recovery Services-Tresore unterstützt.

Vorläufiges Always-On-Löschen mit verlängerter Aufbewahrung

Das vorläufige Löschen ist für alle neu erstellten Tresore standardmäßig aktiviert. Der Zustand des vorläufigen Always-On-Löschens ist eine zustimmungspflichtige Funktion (Opt-In). Nachdem sie aktiviert wurde, kann sie nicht mehr deaktiviert werden (die Entscheidung ist unumkehrbar).

Zusätzlich können Sie die Aufbewahrungsdauer für gelöschte Sicherungsdaten auf Werte von 14 bis 180 Tage verlängern. Standardmäßig ist die Aufbewahrungsdauer für den Tresor auf 14 Tage (wie beim einfachen vorläufigen Löschen) festgelegt, aber Sie können die Dauer nach Bedarf verlängern. Das vorläufige Löschen ist für die ersten 14 Tage kostenlos, bei einer Aufbewahrungsdauer von mehr als 14 Tagen werden Ihnen jedoch Gebühren in Rechnung gestellt. Erfahren Sie mehr zu den Preisen.

Deaktivieren des vorläufigen Löschens

Sie können das Feature zum vorläufigen Löschen mithilfe der folgenden unterstützten Clients deaktivieren.

Auswählen eines Clients:

Azure portal

Führen Sie folgende Schritte aus:

1. Wechseln Sie im Azure-Portal zu Ihrem Tresor und dann zu Einstellungen>Eigenschaften.
2. Wählen Sie im EigenschaftenbereichSicherheitseinstellungenAktualisieren aus.
3. Deaktivieren Sie im Bereich Einstellungen für Sicherheit und vorläufiges Löschen die entsprechenden Kontrollkästchen, um das vorläufige Löschen zu deaktivieren.

PowerShell

Verwenden Sie das Cmdlet Set-AzRecoveryServicesVaultBackupProperty.

Set-AzRecoveryServicesVaultProperty -VaultId $myVaultID -SoftDeleteFeatureState Disable


StorageModelType       :
StorageType            :
StorageTypeState       :
EnhancedSecurityState  : Enabled
SoftDeleteFeatureState : Disabled

Wichtig

Die erforderliche Mindestversion von Az.RecoveryServices für die Verwendung des vorläufigen Löschens mit Azure PowerShell ist 2.2.0. Verwenden Sie Install-Module -Name Az.RecoveryServices -Force, um die aktuelle Version herunterzuladen.

REST-API

Informationen zum Deaktivieren der Funktionalität für vorläufiges Löschen mithilfe der REST-API finden Sie in diesem Leitfaden.

Endgültiges Löschen vorläufig gelöschter Sicherungselemente

Sicherungsdaten, die vor der Deaktivierung dieses Features vorläufig gelöscht wurden, verbleiben im vorläufigen Löschzustand. Um diese sofort endgültig zu löschen, heben Sie die vorläufige Löschung auf und löschen sie erneut. Verwenden Sie einen der folgenden Clients, um vorläufig gelöschte Daten endgültig zu löschen.

Auswählen eines Clients:

Azure portal

Führen Sie folgende Schritte aus:

1. Deaktivieren Sie das vorläufige Löschen.

2. Navigieren Sie im Azure-Portal zu Ihrem Tresor>Sicherungselemente, und wählen Sie das vorläufig gelöschte Element aus.

   

3. Wählen Sie Wiederherstellen aus.

   

4. Ein Fenster wird angezeigt. Wählen Sie Wiederherstellen aus.

   

5. Wählen Sie Sicherungsdaten löschen aus, um die Sicherungsdaten endgültig zu löschen.

   

6. Geben Sie den Namen des Sicherungselements ein, um das Löschen der Wiederherstellungspunkte zu bestätigen.

   

7. Wählen Sie Löschen aus, um die Sicherungsdaten des Elements zu löschen. Sie erhalten einer Benachrichtigung, dass die Sicherungsdaten gelöscht wurden.

PowerShell

Führen Sie folgende Schritte aus:

1. Identifizieren Sie die Elemente, die sich im vorläufig gelöschten Zustand befinden.

   $vault = Get-AzRecoveryServicesVault -ResourceGroupName "yourResourceGroupName" -Name "yourVaultName"
   Get-AzRecoveryServicesBackupItem -BackupManagementType AzureVM -WorkloadType AzureVM -VaultID $vault.ID | Where-Object {$_.DeleteState -eq "ToBeDeleted"}
   
   Name                                     ContainerType        ContainerUniqueName                      WorkloadType         ProtectionStatus     HealthStatus         DeleteState
   ----                                     -------------        -------------------                      ------------         ----------------     ------------         -----------
   VM;iaasvmcontainerv2;selfhostrg;AppVM1    AzureVM             iaasvmcontainerv2;selfhostrg;AppVM1       AzureVM              Healthy              Passed               ToBeDeleted
   
   $myBkpItem = Get-AzRecoveryServicesBackupItem -BackupManagementType AzureVM -WorkloadType AzureVM -VaultId $myVaultID -Name AppVM1
   

2. Kehren Sie den Löschvorgang um, der bei aktiviertem vorläufigem Löschen ausgeführt wurde.

   Undo-AzRecoveryServicesBackupItemDeletion -Item $myBKpItem -VaultId $myVaultID -Force
   
   WorkloadName     Operation            Status               StartTime                 EndTime                   JobID
   ------------     ---------            ------               ---------                 -------                   -----
   AppVM1           Undelete             Completed            12/5/2019 12:47:28 PM     12/5/2019 12:47:40 PM     65311982-3755-46b5-8e53-c82ea4f0d2a2
   

3. Wenn das vorläufige Löschen deaktiviert ist, entfernt der Löschvorgang die Sicherungsdaten sofort.

   Disable-AzRecoveryServicesBackupProtection -Item $myBkpItem -RemoveRecoveryPoints -VaultId $myVaultID -Force
   
   WorkloadName     Operation            Status               StartTime                 EndTime                   JobID
   ------------     ---------            ------               ---------                 -------                   -----
   AppVM1           DeleteBackupData     Completed            12/5/2019 12:44:15 PM     12/5/2019 12:44:50 PM     0488c3c2-accc-4a91-a1e0-fba09a67d2fb
   

REST-API

Führen Sie folgende Schritte aus:

1. Rückgängigmachen der Löschvorgänge
2. Deaktivieren der Funktion für vorläufiges Löschen mithilfe der REST-API
3. Löschen von Sicherungen mithilfe der REST-API

Nächste Schritte

• Übersicht über Sicherheitsfeatures in Azure Backup
• Häufig gestellte Fragen zu Event Hubs