Azure 備份的不可變保險庫能幫助你保護備份資料，阻止任何可能導致恢復點遺失的操作。 你可以鎖定不可變的保險庫設定使其不可逆，並使用 WORM（寫一次，多次讀取）儲存空間作為備份，以防止惡意行為者禁用不可變性並刪除備份。
支援矩陣
| 類別 | Support |
|---|---|
| 保存庫類型 | 復原服務保存庫、備份保存庫 |
| Regions | 不可變性（啟用與鎖定）通常可在所有 Azure 公共區域及美國政府區域提供。 |
| Workloads | Azure 備份 保護的所有工作負載都支援不可篡改性。 |
| 基於時間的不變性 | 支援用於 Recovery Services 保存庫。 |
WORM 儲存支援
Azure 備份 正在其保存庫中導入 WORM 儲存體的使用，作為強制執行鎖定式不可變性的一環。 若某區域或工作負載尚未支援 WORM 儲存，備份服務仍會強制執行鎖定不變性，且備份一旦啟用，會自動轉移至 WORM 備份的儲存，無需使用者操作或資料移動。
| 類別 | Details |
|---|---|
| 復原服務保存庫區域 | 一般可收視地區：澳洲中部2、瑞士西部、南非西部、韓國中央部、德國北部、韓國南部、西班牙中央部、以色列中央部、印度南部、印度西部、墨西哥中部、挪威西部、波蘭中部、日本東部、日本西部、巴西東南部、加拿大北部、卡達中央部、瑞士北部、西部美國3部。 |
| 備用保險庫區域 | 通常可在所有 Azure 公共區域提供。 國家雲端區域不提供此功能。 |
| 支援的工作負載 - 復原服務保存庫 | Azure 虛擬機器， Azure 虛擬機器上的 SQL Server， SAP Hana on Azure 虛擬機器， Azure 檔案儲存體， Azure 備份 （server and agent）， System Center Data Protection Manager. |
| 支援的工作負載 - 備份保存庫 | Azure Kubernetes Service， 適用於 PostgreSQL 的 Azure 資料庫， Azure Cosmos DB. |
| 其他區域與工作負載 | 鎖定的不可變更性由備份服務強制執行。 備份在該區域可用後自動轉移至 WORM 備份的儲存，無需使用者操作或資料移動。 |
開始前的考量
- 啟用不可變性會阻止你對保險庫及其受保護物品執行特定操作。
- 啟用不可變性是對保存庫進行的可還原作業。 不過，您可以選擇讓作業不可還原，以防止惡意執行者停用保存庫並執行破壞性作業。
- 不可篡改性適用於資料保管庫中的所有資料。 所有在保存庫中受保護的執行個體都會套用不變性。
- 不可變性不適用於像 blob、檔案和磁碟這類資源的操作性備份。
- 請確保資源提供者已在您的訂用帳戶中註冊
Microsoft.RecoveryServices。 否則，您將無法使用區域備援和保存庫屬性選項，例如不可變設定。 - 啟用不可變性：可依據備份原則的保留期間，或設定一段獨立於原則保留期間的特定時間。 了解更多關於 不可變性啟用選項。
不變性如何運作？
Azure 備份 將資料與生產工作負載隔離儲存。 你可以執行管理操作來協助管理備份，包括刪除復原點的操作。
在某些情況下，你可能想讓備份資料變得不可變，防止那些若被惡意行為者使用可能導致備份遺失的操作。 你可以利用保險庫的不可變性設定來阻擋這些操作，幫助保護備份資料，即使惡意行為者試圖刪除這些資料以影響資料的可恢復性。
使不變性無法復原
保存庫的不可變功能是一個可還原的設定選項。 如果你需要允許刪除備份資料，可以關閉不可變性。
不過，我們建議在你對不可變性的影響感到滿意後，鎖定保險庫，使不可變的保險庫設定不可逆，並啟用 WORM 儲存作為備份。 這些選擇有助於確保惡意行為者無法禁用不可變性。
不可變保險庫設定接受以下三種狀態：
| 不變儲存區設定狀態 | 描述 |
|---|---|
| 已停用 | 保存庫沒有啟用不可變性，也沒有被封鎖的作業。 |
| 已啟用 | 保存庫已啟用不變性，而且不允許可能導致備份遺失的作業。 這個設定可以被關閉。 |
| 已啟用並鎖定 | 保存庫已啟用 WORM 儲存體不變性，而且不允許可能導致備份遺失的作業。 不可變的保存庫設定現已鎖定，且無法停用。 不可變鎖定是不可逆的。 請確保您對使用它的決定是基於充分資訊的考量。 |
不可變性啟用選項
啟用保險庫的不可變性時，請選擇恢復點維持不可變狀態的時間：
根據備份政策啟用 （預設）：只要相關備份政策保留恢復點，恢復點就無法改變。 不可變性持續時間總是與保單保留期相符，因此任何刪除現有恢復點的保單保留時間減少都會被阻擋。
啟用特定期間：恢復點在你設定的固定天數內（例如30天）不可變，無論備份政策中定義的整體保留期限如何。 一旦設定的不可變性持續時間結束，恢復點依照備份政策保留時間繼續存在，但它們不再是不可變的，你可以透過正常保留或手動操作刪除。
例如，如果備份政策保留恢復點 180 天，且你設定 30 天的不可變性，則恢復點在建立後的前 30 天內保持不變。 之後，它們仍存在直到180天保留期限結束，但不再受不可篡改性保護。
使用此選項時，Azure 備份 會限制你將備份政策保留期縮短至設定的不可變性期間（此例為 30 天）。 你可以將保留期限縮短至不可變更期限值，但不能短於該值。
這個選項讓你能靈活平衡資料保護與儲存成本，尤其是在鎖定不可變性時，因為你不必讓每個恢復點在整個保留期間都保持不變。
Note
在特定持續時間啟用選項會將所設定的持續時間一致套用至保存庫中的所有復原點。 在鎖定不可變性之前，請確保設定的持續時間符合你的合規與恢復要求，因為鎖定會使設定不可逆。
限制的作業
不可變性防止您對保存庫執行以下可能導致資料遺失的作業：
| 作業類型 | 描述 |
|---|---|
| 刪除資料時停止保護 | 受保護的物品不能在到期日前被刪除其恢復點。 不過，您仍然可以停止保護執行個體，同時永久保留資料，或直到其到期為止。 |
| 修改備份政策以減少保留 | 任何在備份政策中減少保留期間的行為，不可變保存庫中皆不允許。 不過，您可以進行原則變更，以增加保留期。 您也可以變更備份原則的排程。 如果任何項目的備份被暫停，保留率的提升就無法適用。 若啟用不變性於 特定持續時間，保留時間只能減少至設定的不變性持續時間，且不能減少至低於該值的值。 |
| 更改備用政策以減少留任率 | 任何試圖用保留率低於現有的政策替換與備份項目相關的備份政策，都會被阻擋。 不過，您可以將原則取代為具有較高保留期的原則。 如果已針對特定期間啟用不可變性，您可以用保留期限比現有原則更短的原則取代該原則，只要新的保留期限不短於已設定的不可變性期間。 |