Fazer backup das cargas de trabalho da nuvem e do local para a nuvem

Artigo
03/12/2024

O Backup do Azure protege os ativos de dados de maneira abrangente no Azure por meio de uma solução simples, segura e econômica, que não requer infraestrutura. É uma solução de proteção de dados interna do Azure para uma ampla gama de cargas de trabalho. Ajuda a proteger as cargas de trabalho de missão crítica em execução na nuvem e garante que os backups estejam sempre disponíveis e gerenciados em escala em todo o patrimônio do backup.

Público-alvo

O público-alvo principal deste artigo inclui os administradores de TI e de aplicativos e os implementadores de organizações de grande e médio porte, que desejam aprender sobre os recursos da tecnologia de proteção de dados interna do Azure, o Backup do Azure, e implementar soluções para a proteção eficiente das implantações. O artigo pressupõe que você esteja familiarizado com as principais tecnologias do Azure e os conceitos de proteção de dados, além de ter experiência de trabalho com uma solução de backup. As diretrizes abordadas neste artigo podem facilitar o design da solução de backup no Azure, usando padrões estabelecidos e evitando armadilhas conhecidas.

Como este guia está organizado

Embora seja fácil começar a proteger a infraestrutura e os aplicativos no Azure, ao garantir que os recursos subjacentes do Azure sejam configurados corretamente e usados de forma ideal, você pode acelerar o tempo de valorização. Este artigo aborda uma breve visão geral das considerações e diretrizes de design para configurar de maneira ideal a implantação de Backup do Azure. Ele examina os componentes principais (por exemplo, cofre dos Serviços de Recuperação, política de backup) e conceitos (por exemplo, governança) e como refletir sobre eles e os recursos com links para a documentação detalhada do produto.

Introdução

Estratégia de design de assinatura

Além de ter um roteiro claro para navegar pela Jornada de Adoção na Nuvem, você deve planejar o design de assinatura e a estrutura de conta da sua implantação na nuvem para corresponder aos recursos de propriedade, cobrança e gerenciamento da sua organização. À medida que o cofre é limitado a uma assinatura, seu design de assinatura influenciará muito o design do seu cofre. Saiba mais sobre diferentes estratégias de design de assinatura e orientações sobre quando usá-las.

Documentar seus requisitos de backup

Para começar a fazer backup do Azure, planeje suas necessidades de backup. A seguir estão algumas das perguntas que você deve fazer a si mesmo ao formular uma estratégia perfeita de backup.

Que tipo de carga de trabalho deseja proteger?

Para projetar seus cofres, verifique se você precisa de um modo de operação centralizado/descentralizado.

Qual granularidade de backup é necessária?

Determine se ele deve ser consistente com o aplicativo, falha ou backup de log.

Você tem requisitos de conformidade?

Verifique se você precisa impor padrões de segurança e limites de acesso separados.

Qual o RPO, RTO necessário?

Determine a frequência de backup e a velocidade da restauração.

Você tem restrições de residência de dados?

Determine a redundância de armazenamento para a durabilidade de dados necessária.

Por quanto tempo deseja manter os dados de backup?

Decida sobre a duração em que os dados de backup serão mantidos no armazenamento.

Arquitetura

Diagrama mostrando a arquitetura do Backup do Azure.

Cargas de trabalho

O Backup do Azure permite a proteção de dados para várias cargas de trabalho (no local e na nuvem). É um mecanismo de proteção de dados interno seguro e confiável no Azure. Ele pode dimensionar de maneira simples a proteção em várias cargas de trabalho, sem sobrecarga de gerenciamento para você. Também existem vários canais de automação para habilitar esse mecanismo (por meio do PowerShell, da CLI, dos modelos do ARM e das APIs REST).

Armazenamento escalonável, durável e seguro: o Backup do Azure usa um armazenamento de blobs confiável com recursos de segurança e alta disponibilidade criados. Você pode escolher armazenamentos LRS, GRS ou RA-GRS para os dados de backup.
Integração de carga de trabalho nativa: o Backup do Azure fornece integração nativa com as cargas de trabalho do Azure (VMs, SAP HANA, SQL nas VMs do Azure e até mesmo Arquivos do Azure), sem exigir que você gerencie a automação ou a infraestrutura para implantar agentes, gravar novos scripts ou provisionar o armazenamento.

Saiba mais sobre as cargas de trabalho com suporte.

Plano de dados

Gerenciamento de armazenamento automatizado: o Backup do Azure automatiza o provisionamento e o gerenciamento das contas de armazenamento para os dados de backup, para garantir que seja dimensionado conforme o crescimento dos dados de backup.
Proteção contra exclusão mal-intencionada: proteja-se contra qualquer tentativa acidental e mal-intencionada de excluir os backups por meio da exclusão temporária de backups. Os dados de backup excluídos são armazenados por 14 dias gratuitamente e podem ser recuperados a partir desse patrimônio.
Backups criptografados seguros: o Backup do Azure garante que os dados de backup sejam armazenados de maneira segura, aproveitando os recursos de segurança internos da plataforma Azure, como o RBAC do Azure (controle de acesso baseado em função) e a criptografia do Azure.
Gerenciamento do ciclo de vida dos dados de backup: o Backup do Azure limpa automaticamente os dados de backup mais antigos para atender às políticas de retenção. Você também pode transferir os dados do armazenamento operacional para o armazenamento de cofre.
Operações críticas protegidas: a MUA (autorização multiusuário) para o Backup do Azure permite que você adicione uma camada extra de proteção a operações críticas em seus cofres dos Serviços de Recuperação.

Plano de gerenciamento

Controle de acesso: os cofres (serviços de recuperação e cofres de backup) fornecem os recursos de gerenciamento e podem ser acessados por meio de portal do Azure, do centro de backup, dos painéis de cofre, do SDK, da CLI e até mesmo das APIs REST. Ele também é um limite de controle de acesso baseado em função (Azure RBAC), oferecendo a você com a opção de restringir o acesso aos backups apenas para administradores de backup autorizados.
Gerenciamento de políticas: as políticas de Backup do Azure em cada cofre definem quando os backups devem ser disparados e por quanto tempo eles precisam ser mantidos. Você também pode gerenciar essas políticas e aplicá-las a vários itens.
Monitoramento e relatório: o Backup do Azure é integrado ao Log Analytics e também fornece a capacidade de ver relatórios por meio de pastas de trabalho.
Gerenciamento de instantâneo: o Backup do Azure gera instantâneos para algumas cargas de trabalho nativas do Azure (VMS e Arquivos do Azure), gerencia esses instantâneos e permite restaurações rápidas a partir deles. Essa opção reduz muito o tempo de recuperação dos dados para o armazenamento original.

Considerações sobre o cofre

O Backup do Azure usa cofres (cofres dos Serviços de Recuperação e de Backup) para orquestrar, gerenciar backups e armazenar dados de backup. O design de cofre efetivo ajuda as organizações a estabelecer uma estrutura para organizar e gerenciar os ativos de backup no Azure, a fim de dar suporte às prioridades de negócios. Considere as diretrizes a seguir ao criar um cofre.

Cofre único ou vários cofres

Para usar um único cofre ou vários cofres para organizar e gerenciar o backup, veja as seguintes diretrizes:

Proteja os recursos em várias regiões globalmente: se sua organização tiver operações globais na América do Norte, Europa e Ásia, e seus recursos serão implantados no Leste dos EUA, no Oeste do Reino Unido e no Leste da Ásia. Um dos requisitos do Backup do Azure é que os cofres devem estar presentes na mesma região que o recurso do qual fazer backup. Portanto, você deve criar três cofres separados para cada região a fim de proteger seus recursos.
Proteger recursos em várias Unidades de Negócios e Departamentos: Considere que suas operações comerciais estejam divididas em três Unidades de Negócios (BU) separadas e que cada unidade de negócios tenha seu próprio conjunto de departamentos (cinco departamentos - Finanças, Vendas, RH, P&D e Marketing). Suas necessidades de negócios podem exigir que cada departamento gerencie e acesse seus próprios backups e restaurações; além disso, habilita-os a acompanhar o uso individual e as despesas de custo. Para esses cenários, recomendamos que você crie um cofre para cada departamento em uma BU. Assim, você terá 15 cofres em toda a organização.
Proteger cargas de trabalho diferentes: se você planeja proteger diferentes tipos de cargas de trabalho (como 150 VMs, 40 bancos de dados SQL e 70 bancos de dados PostgreSQL), recomendamos criar cofres separados para cada tipo de carga de trabalho (para este exemplo, você precisa criar três cofres para cada carga de trabalho - VMs, bancos de dados SQL e bancos de dados PostgreSQL). Isso ajuda você a separar os limites de acesso para os usuários, permitindo que conceda acesso (usando o RBAC do Azure – o controle de acesso baseado em função) aos stakeholders relevantes.
Proteger recursos em execução em vários ambientes: se suas operações exigirem que você trabalhe em vários ambientes, como produção, não produção e desenvolvedor, recomendamos que você crie cofres separados para cada um.
Proteja um número grande de VMs do Azure (mais de 1000): considere que você tem 1500 VMs das quais fazer backup. O Backup do Azure permite o backup de apenas 1000 VMs do Azure em um único cofre. Para esse cenário, você pode criar dois cofres diferentes e distribuir os recursos como 1000 e 500 VMs para os cofres respectivos ou em qualquer combinação considerando o limite superior.
Proteger um grande número (mais de 2000) de cargas de trabalho diversas: ao gerenciar seus backups em escala, você protegerá as VMs do Azure, juntamente com outras cargas de trabalho, como o banco de dados SQL e SAP HANA em execução nessas VMs do Azure. Por exemplo, você tem 1300 VMs do Azure e 2500 bancos de dados SQL para proteger. Os limites do cofre permitem fazer o backup de 2000 cargas de trabalho (com uma restrição de 1000 VMs) em cada cofre. Portanto, matematicamente, você pode fazer o backup de 2000 cargas de trabalho em um cofre (1000 VMs + 1000 bancos de dados SQL) e 1800 cargas de trabalho inativas em um cofre separado (300 VMs + 1500 bancos de dados SQL).

No entanto, esse tipo de segregação não é recomendado, pois você não poderá definir limites de acesso e as cargas de trabalho não serão isoladas umas das outras. Portanto, para distribuir as cargas de trabalho corretamente, crie quatro cofres. Dois cofres para fazer o backup das VMs (1000 VMs + 300 VMs) e os outros dois cofres para fazer o backup dos bancos de dados SQL (2000 bancos de dados + 500 bancos de dados).
Você pode gerenciá-los com:
- O centro de backup permite que você tenha um único painel para gerenciar todas as tarefas do Backup do Azure. Saiba mais aqui.
- Se você precisar de uma política coerente entre cofres, pode usar o Azure Policy para propagar a política de backup em vários cofres. Você pode gravar uma definição personalizada do Azure Policy que usa o efeito 'deployifnotexists' para propagar uma política de backup em vários cofres. Você também pode atribuir essa definição do Azure Policy a um escopo específico (assinatura ou RG), para que implante um recurso de 'política de backup' em todos os cofres dos Serviços de Recuperação no escopo da atribuição do Azure Policy. As configurações da política de backup (como frequência de backup, retenção e assim por diante) devem ser especificadas pelo usuário como parâmetros na atribuição do Azure Policy.

À medida que o volume organizacional cresce, convém migrar as cargas de trabalho entre as assinaturas pelos seguintes motivos: alinhar-se por política de backup, consolidar cofres, compensação de redundância menor para economizar no custo (migrar do GRS para o LRS). O Backup do Azure dá suporte à movimentação de um cofre de Serviços de Recuperação entre assinaturas do Azure ou para outro grupo de recursos na mesma assinatura. Saiba mais aqui.

Examinar as configurações padrão

Examine as configurações padrão de tipo de Replicação de Armazenamento e configurações de segurança para atender aos requisitos, antes de configurar os backups no cofre.

Por padrão, o tipo de Replicação de Armazenamento é definido como GRS (armazenamento com redundância geográfica). Depois de você configurar o backup, a opção de modificar é desabilitada. Siga estas etapas para examinar e modificar as configurações.
- Cargas de trabalho não críticas, como não prod e dev são adequadas para replicação de armazenamento LRS.
- O armazenamento redundante de zona (ZRS) é uma boa opção de armazenamento para uma alta durabilidade de dados juntamente com Data Residency.
- O GRS (armazenamento com redundância geográfica) é recomendado para cargas de trabalho críticas, como aquelas em execução no ambiente de produção, para evitar perda permanente de dados e protegê-la em caso de uma paralisação regional completa ou um desastre no qual a região primária não é recuperável.
Por padrão, a exclusão reversível é Habilitada nos cofres recém-criados para proteger os dados de backup contra exclusões acidentais ou mal-intencionadas. Siga estas etapas para examinar e modificar as configurações.
A Restauração Entre Regiões permite restaurar as VMs do Azure em uma região secundária, que é uma região emparelhada do Azure. Essa opção permite que você realize análises para atender aos requisitos de auditoria ou de conformidade e para restaurar a VM ou o disco, se houver um desastre na região primária. CRR é um recurso opcional para qualquer cofre de GRS. Saiba mais aqui.
Antes de finalizar o design de cofre, examine as matrizes de suporte do cofre para entender os fatores que podem influenciar ou limitar as opções de design.

Considerações sobre a política de backup

A política de Backup do Azure tem dois componentes: agendamento (quando o backup deve ser feito) e retenção (por quanto tempo o backup deve ser mantido). Você pode definir a política com base no tipo de dados de backup, requisitos de RTO/RPO, necessidades de conformidade operacional ou regulatória e tipo de carga de trabalho (por exemplo, VM, banco de dados, arquivos). Saiba mais

Considere as diretrizes a seguir ao criar a política de backup:

Considerações sobre o agendamento

Ao agendar sua política de backup, considere os seguintes pontos:

Para recursos críticos, tente agendar os backups automatizados mais frequentemente disponíveis por dia para ter um RPO menor. Saiba mais

Se você precisar fazer vários backups por dia para a VM do Azure por meio da extensão, consulte as soluções alternativas na próxima seção.
Para um recurso que exija as mesmas configurações de tempo de início, frequência e retenção de agendamento, você precisa a agrupá-los em uma única política de backup.
Recomendamos que você mantenha o horário de início agendado do backup fora do horário de pico do aplicativo de produção. Por exemplo, é melhor agendar o backup automatizado diário durante a noite, por volta das 2-3 da manhã, em vez de agendar no horário do dia quando o uso dos recursos é alto.
Para distribuir o tráfego de backup, recomendamos fazer backup de VMs diferentes em diferentes horários do dia. Por exemplo, para fazer o backup de 500 VMs com as mesmas configurações de retenção, recomendamos que você crie 5 políticas diferentes associando-as a 100 VMs cada e agendando-as com poucas horas de intervalo.

Considerações sobre a retenção

A retenção de curto prazo pode ser "diária". A retenção para pontos de backup "semanais", "mensais" e "anuais" é chamada de retenção de longo prazo.
Retenção de longo prazo:
- Planejada (requisitos de conformidade) – se você souber antecipadamente que os dados são necessários por anos a partir da hora atual, use a retenção de longo prazo. O Backup do Azure dá suporte a backup de pontos de retenção de longo prazo na camada de arquivos, juntamente com instantâneos e camada standard. Saiba mais sobre cargas de trabalho com suporte para configuração de retenção e camada de arquivos.
- Não planejada (requisito sob demanda) – se você não souber antecipadamente, pode usar sob demanda com as configurações de retenção personalizadas específicas (essas configurações de retenção personalizadas não são afetadas pelas configurações de política).
Backup sob demanda com retenção personalizada – se você precisar fazer um backup não agendado por meio da política de backup, pode usar um backup sob demanda. Isso pode ser útil para fazer backups que não se ajustam ao backup agendado ou para fazer backup granular (por exemplo, vários backups de VM IaaS por dia já que o backup agendado permite apenas um backup por dia). É importante observar que a política de retenção definida na política agendada não se aplica a backups sob demanda.

Otimizar a política de backup

À medida que os requisitos de negócios mudam, talvez seja necessário estender ou reduzir a duração da retenção. Ao fazer isso, você pode esperar o seguinte:
- Se a retenção for estendida, os pontos de recuperação existentes serão marcados e mantidos de acordo com a nova política.
- Se a retenção for reduzida, eles serão marcados para remoção no próximo trabalho de limpeza e subsequentemente excluídos.
- As regras de retenção mais recentes se aplicam a todos os pontos de retenção (exceto os pontos de retenção sob demanda). Portanto, se o período de retenção for estendido (por exemplo, 100 dias), quando o backup for feito e for seguido pela redução da retenção (por exemplo, de 100 dias para sete dias), todos os dados de backup serão retidos de acordo com o último período de retenção especificado (ou seja, sete dias).
O Backup do Azure fornece a você com a flexibilidade para interromper a proteção e o gerenciamento de seus backups:
- Interrupção da proteção e retenção dos dados de backup. Se você estiver desativando ou descontinuando a fonte de dados (VM, aplicativo), mas precisar reter dados para fins de auditoria ou de conformidade, pode usar essa opção para impedir que todos os trabalhos de backup futuros protejam a fonte de dados e mantenham os pontos de recuperação que foram armazenados em backup. Em seguida, você pode restaurar ou retomar a proteção da VM.
- Interrupção da proteção e exclusão dos dados de backup. Esta opção impedirá que todos os trabalhos de backup futuros protejam a VM e excluirá todos os pontos de recuperação. Você não poderá restaurar a VM nem usar a opção Retomar backup.
- Se você retomar a proteção (de uma fonte de dados que foi interrompida com a retenção dos dados), as regras de retenção serão aplicadas. Os pontos de recuperação expirados serão removidos (no horário agendado).
Antes de concluir o design da política, é importante lembrar que os seguintes fatores podem influenciar as opções de design.
- Uma política de backup tem como escopo um cofre.
- Há um limite no número de itens por política (por exemplo, 100 VMs). Para dimensionar, você pode criar políticas duplicadas com os mesmos agendamentos ou com agendamentos diferentes.
- Não é possível excluir seletivamente pontos de recuperação específicos.
- Não é possível desabilitar completamente o backup agendado e manter a fonte de dados em um estado protegido. O backup menos frequente que você pode configurar com a política é um backup semanal agendado. Uma alternativa seria interromper a proteção com retenção dos dados e habilitar a proteção sempre que você quiser fazer um backup, fazer um backup sob demanda e desativar a proteção, mas manter os dados de backup. Saiba mais aqui.

Considerações de segurança

Para ajudar a proteger os dados de backup e atender às necessidades de segurança dos negócios, o Backup do Azure fornece garantia de confidencialidade, de integridade e de disponibilidade contra ataques deliberados e abuso dos dados e sistemas importantes. Considere as seguintes diretrizes de segurança para a solução de Backup do Azure:

Autenticação e autorização usando o RBAC (controle de acesso baseado em função) do Azure

O RBAC (controle de acesso baseado em função) do Azure permite o gerenciamento de acesso refinado, a separação de tarefas dentro da equipe e a concessão apenas do acesso necessário para que os usuários executem os trabalhos. Saiba mais aqui.
Se você tem várias cargas de trabalho das quais fazer backup (como VMs do Azure, bancos de dados SQL e bancos de dados PostgreSQL) e tem vários stakeholders para gerenciar esses backups, é importante segregar suas responsabilidades para que o usuário tenha acesso apenas aos recursos pelos qual é responsável. O RBAC (controle de acesso baseado em função) do Azure permite o gerenciamento de acesso refinado, a separação de tarefas dentro da equipe e a concessão apenas dos tipos de acesso necessários para que os usuários executem seus trabalhos. Saiba mais
Você também pode segregar as funções fornecendo acesso mínimo necessário para executar uma tarefa específica. Por exemplo, uma pessoa responsável pelo monitoramento das cargas de trabalho não deve ter acesso para modificar a política de backup ou excluir os itens de backup. O Backup do Azure fornece três funções internas para controlar as operações de gerenciamento de backup: colaboradores, operadores e leitores de backup. Saiba mais aqui. Para obter informações sobre a função mínima do Azure necessária para cada operação de backup para VMs do Azure, bancos de dados SQL/SAP HANA e compartilhamento de arquivo do Azure, consulte este guia.
O RBAC (controle de acesso baseado em função) do Azure também oferece flexibilidade para criar funções personalizadas com base em seus requisitos individuais. Se você não tiver certeza sobre os tipos de funções recomendadas para uma operação específica, poderá utilizar as funções internas fornecidas pelo RBAC (controle de acesso baseado em função) do Azure e começar.

O diagrama a seguir explica como diferentes funções internas do Azure funcionam:
- No diagrama acima, o Usuário2 e o Usuário3 são leitores de backup. Portanto, eles têm permissão para monitorar apenas os backups e exibir os serviços de backup.
- Em termos do escopo do acesso,
  - O Usuário2 só pode acessar os recursos da Assinatura1, e Usuário3 só pode acessar os recursos da Assinatura2.
  - O Usuário4 é um operador de backup. Ele tem permissão para habilitar o backup, disparar o backup sob demanda e disparar restaurações, além das funcionalidades de um Leitor de Backup. No entanto, nesse cenário, seu escopo é limitado apenas à Assinatura2.
  - O Usuário1 é um colaborador de backup. Ele tem permissão para criar cofres, criar/modificar/excluir políticas de backup e interromper backups, juntamente com os recursos de um operador de backup. No entanto, nesse cenário, seu escopo é limitado apenas à Assinatura1.
As contas de armazenamento usadas pelos cofres dos Serviços de Recuperação são isoladas e não podem ser acessadas por usuários para fins mal-intencionados. O acesso é permitido somente por meio de operações de gerenciamento do Backup do Azure, como a restauração.

Criptografia de dados em trânsito e em repouso

A criptografia protege seus dados e ajuda a atender aos compromissos de conformidade e segurança de sua organização.

Dentro do Azure, os dados em trânsito entre o armazenamento do Azure e o cofre são protegidos por HTTPS. Esses dados permanecem na rede do Azure.
Os dados de backup são criptografados automaticamente usando chaves gerenciadas pela Microsoft. Como alternativa, você pode usar suas próprias chaves, também conhecidas como chaves gerenciadas pelo cliente. Além disso, usar a criptografia por CMK para backup não gera custos adicionais. No entanto, o uso do Azure Key Vault, onde sua chave está armazenada, incorre em custos, que são uma despesa razoável em troca de maior segurança de dados.
O Backup do Azure dá suporte ao backup e restauração de VMs do Azure que têm os respectivos discos de sistema operacional/dados criptografados com o ADE (Azure Disk Encryption). Saiba mais

Proteção de dados de backup contra exclusões temporárias não intencionais

Você pode encontrar cenários em que tem dados críticos de backup em um cofre e eles são excluídos acidentalmente ou erroneamente. Além disso, um ator mal-intencionado pode excluir seus itens de backup de produção. Muitas vezes, é caro e demorado recriar esses recursos e isso pode até causar perda de dados cruciais. O Backup do Azure oferece proteção contra exclusão acidental e mal-intencionada com o recurso Exclusão Temporária, permitindo que você recupere esses recursos depois que eles são excluídos.

Com a exclusão temporária, se um usuário excluir o backup (de uma VM, banco de dados do SQL Server, compartilhamento de arquivo do Azure, banco de dados SAP HANA), os dados de backup serão mantidos por mais 14 dias, permitindo a recuperação desse item de backup sem perda de dados. A retenção de mais 14 dias dos dados de backup no estado de "exclusão temporária" não incorre em custos. Saiba mais

MUA (autorização multiusuário)

Como você protegeria seus dados se o administrador for desonesto e comprometer seu sistema?

Qualquer administrador que tenha acesso privilegiado aos seus dados de backup pode causar danos irreparáveis ao sistema. Um administrador desonesto pode excluir todos os seus dados críticos para os negócios ou até mesmo desativar todas as medidas de segurança que podem deixar seu sistema vulnerável a ataques cibernéticos.

O Backup do Azure fornece o recurso MUA (autorização multiusuário) para proteger você contra esses ataques de administradores invasores. A autorização multiusuário ajuda a proteger contra um administrador desonesto que executa operações destrutivas (ou seja, desabilitação da exclusão temporária), garantindo que todas as operações privilegiadas/destrutivas só sejam realizadas após a aprovação de um administrador de segurança.

Proteção contra ransomware

O acesso direto aos dados de Backup do Azure para criptografar por ator mal-intencionado é descartado, pois todas as operações em dados de backup só podem ser realizadas por meio de um cofre do Recovery-Services ou do Backup Vault, que podem ser protegidos pelo RBAC do Azure (controle de acesso baseado em função ) e a MUA.
Habilitar a exclusão temporária em dados de backup (que é habilitado por padrão) manterá os dados excluídos por 14 dias (sem custo). A desabilitação da exclusão temporária pode ser protegida usando a MUA.
Use a retenção mais longa (semanas, meses, anos) para garantir que backups limpos (não criptografados por ransomware) não expirem prematuramente e que haja estratégias em uso para detecção e mitigação antecipadas desses ataques aos dados de origem.

Monitoramento e alertas de atividade suspeita

Você pode encontrar cenários em que alguém tente violar seu sistema e desativar maliciosamente os mecanismos de segurança, como desabilitar a exclusão temporária ou tentar executar operações destrutivas, como excluir os recursos de backup.

O Backup do Azure fornece segurança contra esses incidentes enviando alertas críticos sobre seu canal de notificação preferencial (email, ITSM, webhook, runbook e sp pn) criando uma Regra de Ação em cima do alerta. Saiba mais

Recursos de segurança para ajudar a proteger backups híbridos

O serviço de Backup do Azure usa o agente de MARS (Serviços de Recuperação do Microsoft Azure) para fazer backup e restaurar arquivos, pastas e o estado do volume ou do sistema de um computador local para o Azure. Agora o MARS fornece recursos de segurança: uma frase secreta para criptografar antes do upload e descriptografar após o download do Backup do Azure. Os dados de backup excluídos são mantidos por mais 14 dias a partir da data de exclusão e a operação crítica (por exemplo, a alteração de uma frase secreta) pode ser executada somente por usuários que têm credenciais válidas do Azure. Saiba mais aqui.

Considerações de rede

o Backup do Azure requer a movimentação de dados da carga de trabalho para o cofre dos Serviços de Recuperação. O Backup do Azure fornece vários recursos para proteger os dados de backup contra a exposição inadvertida (como um ataque man-in-the-middle na rede). Considere as seguintes diretrizes:

Conectividade com a Internet

Backup de VM do Azure: toda a comunicação necessária e a transferência de dados entre o armazenamento e o serviço de Backup do Azure ocorrem na rede do Azure, sem a necessidade de acessar a rede virtual. Portanto, o backup de VMs do Azure colocado dentro de redes seguras não exige que você permita o acesso a nenhum IP nem FQDN.
Bancos de dados SAP HANA na VM do Azure, bancos de dados do SQL Server na VM do Azure: requer conectividade com o serviço de Backup do Azure, Armazenamento do Azure e ID do Microsoft Entra. Isso pode ser feito usando pontos de extremidade privados ou concedendo acesso aos endereços IP públicos ou FQDNs necessários. Não permitir a conectividade adequada com os serviços do Azure necessários pode levar a uma falha em operações como descoberta de banco de dados, configuração de backup, realização de backups e restauração de dados. Para obter as diretrizes completas de rede ao usar as marcas de NSG, o firewall do Azure e o proxy HTTP, veja estes artigos sobre SQL e SAP HANA.
Híbrido: o agente de MARS (Serviços de Recuperação do Microsoft Azure) requer acesso à rede para todas as operações críticas – instalação, configuração, backup e restauração. O agente de MARS pode se conectar ao serviço de Backup do Azure por meio do Azure ExpressRoute usando o emparelhamento público (disponível para circuitos antigos) e o emparelhamento da Microsoft, usando pontos de extremidade privados ou por meio de proxy/firewall com controles de acesso apropriados.

Pontos de extremidade privados para acesso seguro

Ao proteger seus dados críticos com o Backup do Azure, não é recomendável que seus recursos estejam acessíveis da Internet pública. Especialmente se você for um banco ou uma instituição financeira, terá requisitos rigorosos de conformidade e segurança para proteger seus dados HBI (alto impacto nos negócios). Mesmo no setor de saúde, há regras de conformidade estritas.

Para atender a essas necessidades, use o ponto de extremidade privado do Azure, que é um adaptador de rede que conecta você de maneira privada e segura a um serviço com tecnologia do Link Privado do Azure. Recomendamos que você use pontos de extremidades privados para um backup e restauração seguros sem a necessidade de adicionar a uma lista de permissões quaisquer IPs/FQDNs para o Backup do Azure ou o Armazenamento do Microsoft Azure a partir das redes virtuais.

Saiba mais sobre como criar e usar pontos de extremidade privados para o Backup do Azure dentro de suas redes virtuais.

Quando você habilita os pontos de extremidade privados para o cofre, eles são usados apenas para backup e restauração de cargas de trabalho do SQL e do SAP HANA em uma VM do Azure, agente de MARS, backups de DPM/MABS. Você também pode usar o cofre para o backup de outras cargas de trabalho (mas elas não precisarão de pontos de extremidade privados). Além do backup das cargas de trabalho do SQL e do SAP HANA, do backup usando o agente MARS e o Servidor DPM/MABS, os pontos de extremidade privados também são usados para executar a recuperação de arquivos no caso do backup da VM do Azure. Saiba mais aqui.
Atualmente, a ID do Microsoft Entra não dá suporte aos pontos de extremidade privados. Portanto, os IPs e FQDNs necessários para a ID do Microsoft Entra precisarão ter permissão de acesso de saída da rede protegida ao executarem o backup do bancos de dados nas VMs do Azure e backup usando o agente MARS. Você também pode usar marcas NSG e marcas de Firewall do Azure para permitir o acesso à ID do Microsoft Entra, conforme aplicável. Saiba mais sobre os pré-requisitos aqui.

Considerações de governança

A governança no Azure é implementada principalmente com o Azure Policy e o Gerenciamento de Custos do Azure. O Azure Policy permite criar, atribuir e gerenciar definições de política para impor regras aos recursos. Esse recurso mantém os recursos em conformidade com os padrões corporativos. O Gerenciamento de custos do Azure permite acompanhar o uso da nuvem e as despesas dos recursos do Azure e de outros provedores de nuvem. Além disso, as ferramentas a seguir, como a Calculadora de Preços do Azure e o Assistente do Azure, desempenham um papel importante no processo de gerenciamento de custos.

Configurar automaticamente a infraestrutura de backup recentemente provisionada com o Azure Policy em escala

Sempre que uma nova infraestrutura é provisionada e novas VMs são criadas, como um administrador de backup, você precisa garantir sua proteção. Você pode configurar facilmente backups para uma ou duas VMs. Mas se torna complexo quando você precisa configurar centenas ou até milhares de VMs em escala. Para simplificar o processo de configuração de backups, o Backup do Azure oferece a você com um conjunto de Políticas do Azure integradas para controlar seus lugares de backup.
Habilitar automaticamente o backup em VMs usando o Policy (Modelo de equipe de backup central): se sua organização tiver uma equipe de backup central que gerencia backups em equipes de aplicativos, você poderá usar essa política para configurar o backup em um Cofre dos Serviços de Recuperação central existentes na mesma assinatura e no mesmo local das VMs. Você pode optar por incluir/excluir VMs que contenham uma determinada marca do escopo da política. Saiba mais.
Habilitar automaticamente o backup em VMs usando o Policy (em que o backup pertence às equipes de aplicativo): se você organizar aplicativos em grupos de recursos dedicados e quiser fazer backup deles usando o mesmo cofre, use essa política para gerenciar automaticamente essa ação. Você pode optar por incluir/excluir VMs que contenham uma determinada marca do escopo da política. Saiba mais.
Política de monitoramento: para gerar os Relatórios de Backup para seus recursos, habilite as configurações de diagnóstico ao criar um novo cofre. Muitas vezes, adicionar uma configuração de diagnóstico manualmente por cofre pode ser uma tarefa complicada. Assim, você pode utilizar uma política interna do Azure que configure as definições de diagnóstico em escala para todos os cofres em cada assinatura ou grupo de recursos, com o Log Analytics como destino.
Política somente para auditoria: O Backup do Azure também fornece a você com uma política somente de auditoria que identifica as VMs sem configuração de backup.

Considerações sobre o custo de Backup do Azure

O serviço de Backup do Azure oferece a flexibilidade para gerenciar os custos com eficiência e também atendem aos requisitos de negócios do BCDR (continuidade dos negócios e recuperação de desastres). Considere as seguintes diretrizes:

Use a calculadora de preços para avaliar e otimizar os custos ajustando várias alavancas. Saiba mais
Otimize a política de backup,
- Otimizar as configurações de agendamento e retenção com base nos arquétipos de carga de trabalho (como missão crítica, não crítica).
- Otimize as configurações de retenção para Restauração Instantânea.
- Escolha o tipo de backup certo para atender aos requisitos e, ao mesmo tempo, leve em consideração os tipos de backup com suporte (completo, incremental, log, diferencial) da carga de trabalho no Backup do Azure.
Reduzir o custo de armazenamento de backup com discos de backup seletivamente: Excluir recurso de disco fornece uma opção eficiente e econômica para fazer backup seletivo de dados críticos. Por exemplo, você pode fazer o backup de apenas um disco quando não quiser fazer backup de todos os discos anexados a uma VM. Isso também é útil quando você tem várias soluções de backup. Por exemplo, para fazer backup dos bancos de dados ou dos dados com uma solução de backup de carga de trabalho (banco de dados do SQL Server no backup da VM do Azure), use o backup em nível de VM do Azure para os discos selecionados.

Acelere suas restaurações e minimize o RTO usando o recurso Restauração Instantânea: o Backup do Azure tira instantâneos das VMs do Azure e os armazena junto com os discos para aumentar a criação de ponto de recuperação e acelerar as operações de restauração. Isso é chamado de Restauração Instantânea. Esse recurso possibilita a operação de restauração a partir desses instantâneos para diminuir os tempos de restauração. Ele reduz o tempo necessário para transformar e copiar dados novamente do cofre. Portanto, ele irá incorrer em custos de armazenamento para os instantâneos tirados durante esse período. Saiba mais sobre o recurso de Recuperação Instantânea de Backup do Azure.
Escolha o tipo de replicação correto: o tipo de Replicação de Armazenamento do cofre de Backup do Azure é definido como GRS (armazenamento com redundância geográfica). Essa opção não pode ser alterada depois que você começar a proteger os itens. O GRS (armazenamento com redundância geográfica) fornece um nível mais alto de durabilidade de dados do que o LRS (armazenamento com redundância local), permite a opção de usar a Restauração Entre Regiões e custa mais. Analise as compensações entre custos menores e maior durabilidade de dados e escolha a melhor opção para o seu cenário. Saiba mais
Usar a camada de arquivos para LTR (retenção de longo prazo) e economizar custos: considere o cenário em que você tem dados de backup mais antigos que você raramente acessa, mas é necessário ser armazenado por um longo período (por exemplo, 99 anos) por motivos de conformidade. Armazenar dados tão grandes em uma camada standard é caro e não é econômico. Para ajudá-lo a otimizar os custos de armazenamento, o Backup do Azure fornece a camada de arquivos, que é uma camada de acesso especialmente projetada para a LTR (retenção de longo prazo) dos dados de backup.
Se você estiver protegendo a carga de trabalho em execução dentro de uma VM e a própria VM, verifique se essa proteção dupla é necessária.

Considerações sobre monitoramento e alertas

Como usuário ou administrador de backup, você deve monitorar todas as soluções de backup e ser notificado em cenários importantes. Esta seção detalha os recursos de monitoramento e notificação fornecidos pelo serviço de Backup do Azure.

Monitoramento

O Backup do Azure fornece monitoramento de trabalho interno para operações como configuração de backup, backup, restauração, exclusão de backup e assim por diante. Isso tem como escopo o cofre e é ideal para monitorar um único cofre. Saiba mais aqui.
Se você precisar monitorar atividades operacionais em escala, o Backup Explorer fornecerá uma exibição agregada de todo o patrimônio do backup, permitindo uma análise detalhada e a solução de problemas. É uma pasta de trabalho interna do Azure Monitor que fornece um único local central para ajudar a monitorar as atividades operacionais em todo o patrimônio do backup no Azure, abrangendo locatários, locais, assinaturas, grupos de recursos e cofres. Saiba mais aqui.
- Use-a para identificar os recursos que não estão configurados para backup e garanta que você não perca a proteção de dados críticos no patrimônio em desenvolvimento.
- O painel fornece atividades operacionais para os últimos sete dias (máximo). Se precisar manter esses dados, você pode exportar como arquivo do Excel e mantê-los.
- Se você for um usuário do Azure Lighthouse, pode exibir as informações em vários locatários, habilitando o monitoramento sem limites.
Se você precisar manter e exibir as atividades operacionais de longo prazo, use Relatórios. Um requisito comum para administradores de backup é obter insights sobre backups com base em dados que abrangem um período estendido. Os casos de uso para essa solução incluem:
- Alocação e previsão do armazenamento em nuvem consumido.
- Auditoria de backups e restaurações.
- Identificação das principais tendências em diferentes níveis de granularidade.
Além disso,
- Você pode enviar dados (por exemplo, trabalhos, políticas e assim por diante) para o workspace do Log Analytics. Isso permitirá que os recursos dos logs do Azure Monitor habilitem a correlação de dados com outros dados de monitoramento coletados pelo Azure Monitor, consolidem as entradas de log de várias assinaturas e locatários do Azure em um local para análise, usem as consultas de log para executar análises complexas e obtenham insights detalhados sobre as entradas de log. Saiba mais aqui.
- Você pode enviar dados para o hub de eventos do Azure para enviar entradas fora do Azure, por exemplo, para um SIEM de terceiros (gerenciamento de eventos e informações de segurança) ou outra solução do Log Analytics. Saiba mais aqui.
- Você pode enviar dados para uma conta de Armazenamento do Microsoft Azure, se quiser reter os dados de log por mais de 90 dias para auditoria, análise estática ou backup. Se você só precisar manter seus eventos por 90 dias ou menos, não precisará configurar o arquivamento em uma conta de armazenamento, já que os eventos do log de atividades são mantidos na plataforma do Azure por 90 dias. Saiba mais.

Alertas

Em um cenário em que seu trabalho de backup/restauração falhou devido a algum problema desconhecido. Para atribuir um engenheiro para depurá-lo, é recomendável que você seja notificado sobre a falha assim que possível. Também pode haver um cenário em que alguém execute maliciosamente uma operação destrutiva, como excluir itens de backup ou desativar a exclusão temporária, e você exija uma mensagem de alerta para esse incidente.

Você pode configurar esses alertas críticos e encaminhá-los para qualquer canal de notificação preferencial (email, ITSM, webhook, runbook e assim por diante). O Backup do Azure se integra a vários serviços do Azure para atender a diferentes requisitos de alerta e notificação:

Logs do Azure Monitor (Log Analytics): você pode configurar seus cofres para enviar dados para um workspace do Log Analytics, gravar consultas personalizadas no workspace e configurar alertas a serem gerados com base na saída da consulta. Você pode exibir os resultados da consulta em tabelas e gráficos; também pode exportá-los para o Power BI ou o Grafana. (O Log Analytics também é um componente-chave do recurso de relatórios/auditoria descrito nas seções posteriores).
Alertas do Azure Monitor: para determinados cenários padrão, como falha de backup, falha de restauração, exclusão de dados de backup e assim por diante, o Backup do Azure envia alertas por padrão que são apresentados usando o Azure Monitor, sem a necessidade de um usuário configurar um workspace do Log Analytics.
O Backup do Azure fornece um mecanismo de notificação de alerta interno por email para falhas, avisos e operações críticas. Você pode especificar endereços de email individuais ou listas de distribuição a serem notificadas quando um alerta for gerado. Você também pode optar por ser notificado para cada alerta ou agrupá-los em um resumo da mensagem por hora e, em seguida, ser notificado.
- Esses alertas são definidos pelo serviço e dão suporte para cenários limitados – falhas de backup/restauração, interrupção da proteção com retenção dos dados/interrupção da proteção com exclusão dos dados e assim por diante. Saiba mais aqui.
- Se for realizada uma operação destrutiva, como a interrupção da proteção com exclusão dos dados, um alerta será gerado e um email será enviado para os proprietários, administradores e coadministradores da assinatura, mesmo que as notificações não estejam configuradas para o cofre dos Serviços de Recuperação.
- Determinadas cargas de trabalho podem gerar alta frequência de falhas (por exemplo, SQL Server a cada 15 minutos). Para evitar a sobrecarga com alertas gerados para cada ocorrência de falha, os alertas são consolidados. Saiba mais aqui.
- Os alertas internos não podem ser personalizados e são restritos a emails definidos no portal do Azure.
Se você precisar criar alertas personalizados (por exemplo, alertas de trabalhos realizados com sucesso), use o Log Analytics. No Azure Monitor, você pode criar seus alertas em um workspace do Log Analytics. As cargas de trabalho híbridas (DPM/MABS) também podem enviar dados para LA e usar LA para fornecer alertas comuns entre cargas de trabalho com suporte do Backup do Azure.
Você também pode obter notificações por meio de logs de atividade do cofre interno dos Serviços de Recuperação. No entanto, ele dá suporte a cenários limitados e não é adequado para operações como backup agendado, o que se alinha melhor com os logs de recurso do que com os logs de atividade. Para saber mais sobre essas limitações e como você pode usar o workspace do Log Analytics para monitoramento e alertas em escala para todas as cargas protegidas pelo Backup do Azure, veja este artigo.

Repetir automaticamente trabalhos de backup com falha

Muitos dos erros de falha ou dos cenários de falha são de natureza transitória, e você pode corrigi-los configurando as permissões do RBAC (controle de acesso baseado em função) do Azure ou dispare novamente o trabalho de backup/restauração. Como a solução para essas falhas é simples, você não precisa investir tempo aguardando que um engenheiro dispare manualmente o trabalho ou atribua a permissão relevante. Portanto, a maneira mais inteligente de lidar com esse cenário é automatizar a nova tentativa dos trabalhos com falha. Isso minimizará muito o tempo de recuperação das falhas. Você pode fazer isso recuperando dados de backup relevantes por meio do ARG (Azure Resource Graph) e combinando-os com o procedimento PowerShell/CLI.

Assista ao vídeo a seguir para saber como disparar novamente o backup para todos os trabalhos com falha (entre cofres, assinaturas, locatários) usando o ARG e o PowerShell.

Rotear alertas para seu canal de notificação preferencial

Embora erros transitórios possam ser corrigidos, alguns erros persistentes podem exigir uma análise aprofundada, e disparar novamente os trabalhos pode não ser a solução viável. Você pode ter seus próprios mecanismos de monitoramento/tíquete para garantir que essas falhas sejam corretamente controladas e corrigidas. Para lidar com esses cenários, você pode optar por encaminhar os alertas para seu canal de notificação preferencial (email, ITSM, webhook, runbook e assim por diante) criando uma Regra de Ação no alerta.

Assista ao vídeo a seguir para saber como aproveitar o Azure Monitor para configurar vários mecanismos de notificação para alertas críticos.

Próximas etapas

Leia os seguintes artigos como pontos de partida para usar o Backup do Azure: