Eliminação recuperável do Azure Backup

Este artigo descreve como habilitar e desabilitar o recurso de exclusão suave e excluir permanentemente um dado que está no estado de exclusão suave.

As preocupações em relação a problemas de segurança, como software maligno, ransomware e intrusão, estão a aumentar. Estes problemas de segurança podem ser dispendiosos, tanto em termos de dinheiro como de dados. Para se proteger contra esses ataques, o Backup do Azure agora fornece recursos de segurança para ajudar a proteger os dados de backup mesmo após a exclusão.

Um desses recursos é a exclusão suave. Com a exclusão suave, mesmo que um ator mal-intencionado exclua um backup (ou os dados de backup sejam excluídos acidentalmente), os dados de backup são retidos por 14 dias adicionais, permitindo a recuperação desse item de backup sem perda de dados. Os 14 dias adicionais de retenção para dados de backup no estado de "exclusão suave" não incorrem em nenhum custo para você.

A proteção contra exclusão suave está disponível para estes serviços:

• Exclusão suave para máquinas virtuais do Azure
• Exclusão suave para SQL Server na VM do Azure e exclusão suave para SAP HANA em cargas de trabalho da VM do Azure

Ciclo de vida de um item de backup excluído por software

Este fluxograma mostra as diferentes etapas e estados de um item de backup quando o Soft Delete está habilitado:

Ativar e desativar a exclusão suave

A exclusão suave é ativada por padrão em cofres recém-criados para proteger os dados de backup contra exclusões acidentais ou maliciosas. Não é recomendável desativar esse recurso. A única circunstância em que você deve considerar desativar a exclusão suave é se estiver planejando mover seus itens protegidos para um novo cofre e não puder esperar os 14 dias necessários antes de excluir e reproteger (como em um ambiente de teste).

Para desativar a exclusão suave em um cofre, você deve ter a função de Colaborador de Backup para esse cofre (você deve ter permissões para executar Microsoft.RecoveryServices/Vaults/backupconfig/write no cofre). Se você desativar esse recurso, todas as exclusões futuras de itens protegidos resultarão em remoção imediata, sem a capacidade de restauração. Os dados de backup que existem no estado de exclusão suave antes de desativar esse recurso, permanecerão no estado de exclusão suave pelo período de 14 dias. Se você deseja excluí-los permanentemente imediatamente, então você precisa cancelar a exclusão e excluí-los novamente para ser excluído permanentemente.

É importante lembrar que, uma vez que a exclusão suave é desabilitada, o recurso é desativado para todos os tipos de cargas de trabalho. Por exemplo, não é possível desativar a exclusão suave apenas para SQL Server ou SAP HANA DBs, mantendo-a habilitada para máquinas virtuais no mesmo cofre. Você pode criar cofres separados para controle granular.

Gorjeta

Para receber alertas/notificações quando um usuário na organização desabilita a exclusão suave para um cofre, use os alertas do Azure Monitor para o Backup do Azure. Como a desativação do soft-delete é uma operação potencialmente destrutiva, recomendamos que você use o sistema de alerta para este cenário para monitorar todas essas operações e tomar ações em quaisquer operações não intencionais.

Nota

• Você também pode usar a autorização multiusuário (MUA) para adicionar uma camada adicional de proteção contra a desativação da exclusão suave. Mais informações.
• Atualmente, o MUA para exclusão suave é suportado apenas para cofres dos Serviços de Recuperação.

Exclusão suave sempre ativa com retenção estendida

A exclusão suave é ativada em todos os cofres recém-criados por padrão. O estado de exclusão suave sempre ativo é um recurso de aceitação. Uma vez ativado, não pode ser desativado (irreversível).

Além disso, você pode estender a duração da retenção para dados de backup excluídos, variando de 14 a 180 dias. Por padrão, a duração da retenção é definida como 14 dias (de acordo com a exclusão suave básica) para o cofre, e você pode estendê-la conforme necessário. A exclusão suave não custa os primeiros 14 dias de retenção; no entanto, você será cobrado pelo período além de 14 dias. Saiba mais sobre os preços.

Desativar exclusão suave

Você pode desativar o recurso de exclusão suave usando os seguintes clientes suportados.

Escolha um cliente:

Portal do Azure

Siga estes passos:

1. No portal do Azure, aceda ao seu cofre e, em seguida, aceda a Propriedades de Definições>.
2. No painel Propriedades, selecione Atualização das configurações de segurança.
3. No painel Configurações de segurança e exclusão suave, desmarque as caixas de seleção necessárias para desabilitar a exclusão suave.

PowerShell

Use o cmdlet Set-AzRecoveryServicesVaultBackupProperty .

Set-AzRecoveryServicesVaultProperty -VaultId $myVaultID -SoftDeleteFeatureState Disable


StorageModelType       :
StorageType            :
StorageTypeState       :
EnhancedSecurityState  : Enabled
SoftDeleteFeatureState : Disabled

Importante

A versão Az.RecoveryServices necessária para usar soft-delete usando o Azure PowerShell é no mínimo 2.2.0. Use Install-Module -Name Az.RecoveryServices -Force para obter a versão mais recente.

API REST

Para desativar a funcionalidade de exclusão suave usando a API REST, consulte estas etapas.

Excluir itens de backup excluídos permanentemente

Os dados de backup no estado de exclusão suave antes de desabilitar esse recurso permanecem no estado de exclusão suave. Para excluí-los permanentemente imediatamente, cancele-os e exclua-os novamente. Use um dos seguintes clientes para excluir permanentemente os dados excluídos por software.

Escolha um cliente:

Portal do Azure

Siga estes passos:

1. Desativar a eliminação recuperável.

2. No portal do Azure, vá para os Itens de Backup do cofre>e escolha o item excluído suavemente.

   

3. Selecione Cancelar exclusão.

   

4. É apresentada uma janela. Selecione Cancelar exclusão.

   

5. Escolha Excluir dados de backup para excluir permanentemente os dados de backup.

   

6. Digite o nome do item de backup para confirmar a exclusão dos pontos de recuperação.

   

7. Para excluir os dados de backup do item, selecione Excluir. Uma mensagem de notificação informa que os dados de backup foram excluídos.

PowerShell

Siga estes passos:

1. Identifique os itens que estão no estado de exclusão suave.

   $vault = Get-AzRecoveryServicesVault -ResourceGroupName "yourResourceGroupName" -Name "yourVaultName"
   Get-AzRecoveryServicesBackupItem -BackupManagementType AzureVM -WorkloadType AzureVM -VaultID $vault.ID | Where-Object {$_.DeleteState -eq "ToBeDeleted"}
   
   Name                                     ContainerType        ContainerUniqueName                      WorkloadType         ProtectionStatus     HealthStatus         DeleteState
   ----                                     -------------        -------------------                      ------------         ----------------     ------------         -----------
   VM;iaasvmcontainerv2;selfhostrg;AppVM1    AzureVM             iaasvmcontainerv2;selfhostrg;AppVM1       AzureVM              Healthy              Passed               ToBeDeleted
   
   $myBkpItem = Get-AzRecoveryServicesBackupItem -BackupManagementType AzureVM -WorkloadType AzureVM -VaultId $myVaultID -Name AppVM1
   

2. Reverta a operação de exclusão que foi executada quando a exclusão suave foi habilitada.

   Undo-AzRecoveryServicesBackupItemDeletion -Item $myBKpItem -VaultId $myVaultID -Force
   
   WorkloadName     Operation            Status               StartTime                 EndTime                   JobID
   ------------     ---------            ------               ---------                 -------                   -----
   AppVM1           Undelete             Completed            12/5/2019 12:47:28 PM     12/5/2019 12:47:40 PM     65311982-3755-46b5-8e53-c82ea4f0d2a2
   

3. Como o soft-delete está desativado, a operação de exclusão remove imediatamente os dados de backup.

   Disable-AzRecoveryServicesBackupProtection -Item $myBkpItem -RemoveRecoveryPoints -VaultId $myVaultID -Force
   
   WorkloadName     Operation            Status               StartTime                 EndTime                   JobID
   ------------     ---------            ------               ---------                 -------                   -----
   AppVM1           DeleteBackupData     Completed            12/5/2019 12:44:15 PM     12/5/2019 12:44:50 PM     0488c3c2-accc-4a91-a1e0-fba09a67d2fb
   

API REST

Siga estes passos:

1. Desfaça as operações de exclusão.
2. Desative a funcionalidade de exclusão suave usando a API REST.
3. Exclua os backups usando a API REST.

Próximos passos

• Visão geral dos recursos de segurança no Backup do Azure
• Perguntas mais frequentes.