Almacén inmutable de Azure Backup

Un almacén inmutable para Azure Backup puede ayudarle a proteger los datos de copia de seguridad bloqueando las operaciones que podrían provocar la pérdida de puntos de recuperación. Puedes bloquear la configuración de la bóveda inmutable para que sea irreversible y usar almacenamiento WORM (escribir una vez, leer muchas) para copias de seguridad, para evitar que actores maliciosos desactiven la inmutabilidad y eliminen copias de seguridad.

Matriz de soporte

Categoría Support
Tipos de bóvedas Almacén de Recovery Services, Almacén de copias de seguridad
Regions La inmutabilidad (activada y bloqueada) está generalmente disponible en todas las regiones públicas y gubernamentales de Estados Unidos de Azure.
Workloads La inmutabilidad está soportada para todas las cargas de trabajo que protege Azure Backup.
Inmutabilidad basada en el tiempo Compatible con las bóvedas de Recovery Services.

Soporte para almacenamiento WORM

Azure Backup incorpora el uso de almacenamiento WORM en sus almacenes como parte de la aplicación del bloqueo de inmutabilidad. Cuando el almacenamiento WORM aún no está soportado para una región o carga de trabajo, la inmutabilidad bloqueada sigue siendo aplicada por el servicio de respaldo, y las copias de seguridad pasan automáticamente al almacenamiento respaldado por WORM una vez que está disponible, sin necesidad de acción del usuario ni movimiento de datos.

Categoría Details
Regiones de bóveda de los Servicios de Recuperación Disponible en general en: Australia Central 2, Suiza Oeste, Sudáfrica Oeste, Corea Central, Alemania Norte, Corea Sur, España Central, Israel Central, India Sur, India Oeste, México Central, Noruega Oeste, Polonia Central, Japón Este, Japón Oeste, Brasil Sureste, Canadá Norte, Qatar Central, Suiza Norte, Oeste US 3.
Regiones de bóveda de copias de seguridad Generalmente disponible en todas las regiones públicas de Azure. No está disponible en las regiones nacionales de nube.
Cargas de trabajo soportadas - Cámara de recuperación de servicios Azure Virtual Machines, SQL Server en Azure Virtual Machines, SAP HANA en Azure Virtual Machines, Azure Files, Azure Backup (servidor y agente), System Center Data Protection Manager.
Cargas de trabajo compatibles - Almacén de copias de seguridad Azure Kubernetes Service, Azure Database for PostgreSQL, Azure Cosmos DB.
Otras regiones y cargas de trabajo La inmutabilidad bloqueada se aplica mediante el servicio de respaldo. Las copias de seguridad pasan automáticamente a almacenamiento respaldado por WORM una vez que está disponible en esa región, sin acción del usuario ni movimiento de datos necesario.

Consideraciones antes de empezar

  • Al habilitar la inmutabilidad, se impide la realización de operaciones específicas en el almacén y sus elementos protegidos.
  • Si se habilita la inmutabilidad, la operación se puede revertir en un almacén. Sin embargo, puede optar por hacer que la operación sea irreversible para prevenir que actores malintencionados deshabiliten la bóveda y realicen operaciones destructivas.
  • La inmutabilidad se aplica a todos los datos de una bóveda. A todas las instancias protegidas del almacén se les aplica la inmutabilidad.
  • La inmutabilidad no se aplica a las copias de seguridad operativas de recursos como blobs, archivos y discos.
  • Asegúrese de que el proveedor de recursos está registrado en la suscripción para Microsoft.RecoveryServices. En cambio, no están disponibles las opciones de propiedades como la redundancia de zona y la configuración de inmutabilidad en el almacén.
  • Habilitar la inmutabilidad basada en la retención de la política de respaldo, o durante un periodo específico que sea independiente de la retención de la póliza. Infártese más sobre las opciones de habilitación de inmutabilidad.

¿Cómo funciona la inmutabilidad?

Azure Backup almacena los datos de forma aislada de las cargas de trabajo de producción. Puede realizar operaciones de administración para ayudar a administrar las copias de seguridad, incluidas las operaciones para eliminar puntos de recuperación.

En determinados escenarios, es posible que quiera hacer que los datos de copia de seguridad sean inmutables evitando las operaciones que, si las usan actores malintencionados, podrían provocar la pérdida de copias de seguridad. Puede usar la configuración de inmutabilidad en el almacén para bloquear tales operaciones y proteger los datos de copia de seguridad, aunque haya agentes malintencionados que intenten eliminarlos para afectar la recuperabilidad de los datos.

Hacer irreversible la inmutabilidad

La inmutabilidad de un almacén es una opción reversible. Puede deshabilitar la inmutabilidad si necesita permitir la eliminación de datos de copia de seguridad.

Sin embargo, le recomendamos que, después de que elija el alcance deseado de la inmutabilidad, bloquee el almacén para que la configuración inmutable sea irreversible y habilite el almacenamiento WORM para las copias de seguridad. Estas opciones ayudan a garantizar que los actores malintencionados no puedan deshabilitar la inmutabilidad.

La configuración del almacén inmutable acepta los tres estados siguientes:

Configuración del estado del almacén inmutable Descripción
Disabled (Deshabilitado) El almacén no tiene habilitada la inmutabilidad y no se bloquea ninguna operación.
Habilitado El almacén tiene habilitada la inmutabilidad y no se permiten las operaciones que podrían provocar la pérdida de copias de seguridad.

La configuración se puede deshabilitar.
Habilitado y bloqueado El almacén tiene inmutabilidad con el almacenamiento WORM habilitado y no permite operaciones que podrían provocar la pérdida de copias de seguridad.

La configuración de la bóveda inmutable ahora está bloqueada y no se puede deshabilitar.

El bloqueo de inmutabilidad es irreversible. Asegúrese de que la decisión de usarlo está bien informada.

Opciones de activación de la inmutabilidad

Cuando activas la inmutabilidad de una bóveda, elige cuánto tiempo los puntos de recuperación permanecen inmutables:

  • Habilitar según la política de respaldo (por defecto): Los puntos de recuperación son inmutables mientras la política de respaldo asociada los conserve. La duración de inmutabilidad siempre coincide con el periodo de retención de la póliza, por lo que cualquier reducción en la retención de la póliza que elimine un punto de recuperación existente queda bloqueada.

  • Habilitar para una duración específica: Los puntos de recuperación son inmutables durante un número fijo de días que configures (por ejemplo, 30 días), independientemente del periodo total de retención definido en la política de copia de seguridad. Una vez que transcurre la duración de inmutabilidad configurada, los puntos de recuperación siguen existiendo según la política de retención de respaldo, pero ya no son inmutables y puedes eliminarlos mediante retención normal o acciones manuales.

    Por ejemplo, si una política de respaldo retiene puntos de recuperación durante 180 días y configuras la inmutabilidad para una duración específica de 30 días, los puntos de recuperación permanecen inmutables durante los primeros 30 días tras la creación. Después de eso, siguen existiendo hasta que expire la retención de 180 días, pero ya no están protegidos por la inmutabilidad.

    Cuando usas esta opción, Azure Backup te restringe de reducir el periodo de retención de la política de respaldo por menos que la duración de inmutabilidad configurada (30 días en este ejemplo). Puedes reducir la retención al valor de duración de inmutabilidad, pero no a un valor menor que este.

    Esta opción te da flexibilidad para equilibrar la protección de datos con los costes de almacenamiento, especialmente cuando bloqueas la inmutabilidad, porque no estás obligado a mantener todos los puntos de recuperación inmutables durante todo el periodo de retención.

Note

La opción Habilitar para duración específica aplica la duración configurada de forma uniforme a todos los puntos de recuperación en el vault. Asegúrate de que la duración configurada cumpla con tus requisitos de cumplimiento y recuperación antes de bloquear la inmutabilidad, porque el bloqueo hace que la configuración sea irreversible.

Operaciones restringidas

La inmutabilidad impide realizar las siguientes operaciones en la bóveda que podrían provocar la pérdida de datos:

Tipo de operación Descripción
Detener la protección mediante la eliminación de datos Un elemento protegido no puede tener eliminados sus puntos de recuperación antes de sus fechas de expiración respectivas. Sin embargo, aún puede detener la protección de las instancias mientras conserva los datos para siempre o hasta su expiración.
Modificación de una directiva de copia de seguridad para reducir la retención Las acciones que reducen el período de retención de una directiva de copia de seguridad no se permiten en un almacén inmutable. Sin embargo, puede realizar cambios en la directiva que den lugar al aumento de la retención. También puede realizar cambios en la programación de una directiva de copia de seguridad.

El aumento de la retención no se puede aplicar si algún elemento tiene sus copias de seguridad suspendidas.

Si la inmutabilidad está habilitada durante una duración específica, la retención solo puede reducirse hasta la duración de inmutabilidad configurada, y no a un valor menor que éste.
Cambio de una directiva de copia de seguridad para reducir la retención Cualquier intento de reemplazar una directiva de copia de seguridad asociada a un elemento de copia de seguridad por otra directiva que tenga retención inferior a la existente está bloqueada. Sin embargo, puede reemplazar una directiva por otra que tenga una retención mayor.

Si la inmutabilidad está activada por un periodo específico, puedes reemplazar la póliza por una cuya retención sea menor que la existente, siempre que la nueva retención no sea menor que la duración configurada de inmutabilidad.

Contenido relacionado

  • Last updated on