「Data Domain：Retention Lockに関するよくある質問/FAQ

Retention Lockとは
Retention Lockとは、Data Domain Restorer (DDR)で使用される機能で、あらかじめ決められた期間、特定のファイル セットの変更や削除を防ぐためのものです。つまり、リテンション ロックされたファイルは、そのリテンション期間が終了するまで読み取り専用となります。

Retention Lockのバージョンにはどのようなものがありますか？
Retention Lockは、次の2種類の機能があります。

• Governance：2つのリテンション ロック機能のうち、より厳密でない方（つまり、ファイルに対するロックは必要に応じて元に戻すことができる）。
• ［Compliance］：いくつかの共通の規制基準に準拠している2つの機能のうち、より厳格なもの。つまり、ファイルに対するロックを元に戻すことはできません。DDRには、特定のコマンドを認証する必要がある「セキュリティ オフィサー」ユーザーを設定する必要があります。その他の機能では、ロックされたデータの削除やロックの早期復帰を防ぐため、さまざまな制限を設けています。

リテンション ロックでサポートされているデータ アクセス プロトコルはどれですか？

• NFS、CIFS、DD Boostの各プロトコルは、Retention Lockのガバナンス モードまたはコンプライアンス モードを使用するMTreeに対して完全にサポートされています。
• 仮想テープ ライブラリー(VTL)プロトコルは、リテンション ロックのガバナンス モードを使用するMTreeに対してのみサポートされます。Data Domain VTLでは、自動リテンション ロックはサポートされていません。Retention Lockが適用されたテープをロック解除して書き込み可能にする方法については、『Data Domain Administration Guide』を参照してください。

Retention Lockコンプライアンス モードは、次の規制基準を満たしています。
リテンション ロック コンプライアンス モードが満たす規制基準の一覧は以下のとおりです。     

• SEC 17a-4(f)
• CFTC Rule 1.31b
• FDA 21 CFR Part 11
• Sarbanes-Oxley Act
• IRS 98025および97-22
• ISO標準15489-1
• MoREQ2010

認証情報の詳細については、契約しているサポート会社にお問い合わせください。

リテンション ロック ガバナンスはどのように有効化されますか？

• リテンション ロック ガバナンス ライセンスがDDRに追加されます。
• 以下の必要なMTreeに対してリテンション ロック ガバナンス モードが有効になります。     

# mtree retention-lock enable mode governance mtree [mtree]

リテンション ロック コンプライアンスはどのように有効化されますか？

• iDRACを搭載した一部の新しいData Domainモデルには固有の手順があります。
• リテンション ロック コンプライアンス ライセンスがDDRに追加されます。
• 「セキュリティ」の役割を持つユーザーを作成する必要があります（このようなユーザーが存在しないと仮定）。     

(ADMIN USER) # user add [username] role security

•  「セキュリティ」の役割を持つユーザーは、DDRにログインし、セキュリティ ユーザー権限を有効にする必要があります。     

(SECURITY USER): # authorization policy set security-officer enabled

• システムは、リテンション ロック コンプライアンス モードに設定する必要があります。以下のコマンドを実行して完了すると、システムは自動的に再起動します。     

(ADMIN USER) # system retention-lock compliance configure

• システムが再起動したら、システム上でリテンション ロック コンプライアンス モードを有効にする必要があります。     

(ADMIN USER) # system retention-lock compliance enable

• 必要なMTreeに対してリテンション ロック コンプライアンス モードが有効になります。

(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]

どのMTreeでRetention Lockが有効になっているかを判断する方法を教えてください。
Retention Lockが有効になっているMTreeは、 mtree listの出力に表示されます。例を以下に示します。

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rich-retention-lock                 0.0   RW/RLGE   -
/data/col1/rl_test                             0.0   RW/RLGD   -
/data/col1/rl_test_comp                        0.0   RW/RLCE   -
/data/col1/test                                3.1   RW/RLGE   -
...
---------------------------------   --------------   -------   -----------
...
 RLGE : Retention-Lock Governance Enabled
 RLGD : Retention-Lock Governance Disabled
 RLCE : Retention-Lock Compliance Enabled

Retention Lockガバナンス モードが有効なMTreeをRetention Lockコンプライアンス モードに変換できますか？
『DDOS Administration Guide』に記載されているように、変換はできません。

Retention Lockコンプライアンス モードが有効なMTreeをRetention Lockガバナンス モードに変換できますか？
『DDOS Administration Guide』に記載されているように、変換はできません。

ファイル保存期間またはロック期間はどのように設定されますか？
MTreeに対してRetention Lockを有効にしたら、最小および最大の保存期間を設定する必要があります。これらの期間は、MTree内のファイルがロックされる最小および最大の時間を決定します。例：     

# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]

期間は、次のようにさまざまな単位で指定できます。     

• 1分
• 1時間
• 1日
• 1か月
• 1 年間

既存のリテンション期間を表示するにはどうしたらよいですか？
これは、次の2つのコマンドを使用して実行できます。     

# mtree retention-lock show min-retention-period mtree [mtree]
# mtree retention-lock show max-retention-period mtree [mtree]

例：     

sysadmin@dd630# mtree retention-lock show min-retention-period mtree /data/col1/rl_test
Retention-lock min-retention-period of mtree /data/col1/rl_test is: 720 minutes.
sysadmin@dd630# mtree retention-lock show max-retention-period mtree /data/col1/rl_test
Retention-lock max-retention-period of mtree /data/col1/rl_test is: 30 days.

リテンション ロックが有効なMTree内のファイルは、どのようにロックを有効化するのですか？

• MTreeに対してリテンション ロックを有効にした場合、MTree内の既存のファイルは自動的にロックされません（つまり、既存のファイルはすべて読み取りまたは書き込みのままです）。
• リテンション ロックが有効になっているMTreeに新しいファイルが書き込まれた場合、そのファイルには自動的にリテンション ロックはかかりません。つまり、新しいファイルは、読み取りまたは書き込みとして残ります。

• 特定のファイルをリテンション ロックするには、ファイルのatimeを、ファイルをリテンション ロックする日付と時刻に一致するように変更する必要があります。これは、ファイルがその日時まで読み取り専用のままでいる日付と時刻です。この方法で日時が変更されるまで、このファイルにRetention Lockを適用することはできません（変更または削除は可能です）。

NFSまたはCIFSクライアントから「touch」コマンドを使用して、ファイルのatimeを変更することができます。

# touch -a -t [expiry time] [file to be locked]

たとえば、atimeを /data/col1/rl_test/testfile 6月8日07:05まで: 

# touch -a -t 06080705 /data/col1/rl_test/testfile

現在の時間から将来のatimeまでの期間は、MTreeの最小および最大リテンション期間の範囲内である必要があります。そうでない場合は、atimeのファイルを変更する際に次のようなエラーが発生します。

# touch -a -t 08080705 /data/col1/rl_test/testfile
touch: setting times of `/data/col1/rl_test/testfile': Permission denied

対応するメッセージは、Data Domain File System (DDFS)ログ ファイルにも表示されます。

06/07 13:44:57.197 (tid 0x2b28ee5258c0): Attempt to set atime of /data/col1/rl_test/testfile to larger than maximum retention period of mtree.

CIFS (Windows)クライアントには、デフォルトではタッチ コマンドやユーティリティーは含まれていませんが、このようなユーティリティーのいくつかは、さまざまなサード パーティーのWebサイトから自由にダウンロードできます。

DDRへの書き込み後、ファイルを自動的にリテンション ロックすることをサポートするバックアップ アプリケーションはどれですか？
Data Domain Retention Lockは、業界標準のNASベースのWrite-Once-Read-Many (WORM)プロトコルと互換性があります。統合は、Symantec Enterprise Vault、SourceOne、Cloud Tiering Appliance、DiskXtenderなどのアーカイブ アプリケーションで承認されています。

Dell NetWorkerでは、ガバナンス モードとコンプライアンス モードの両方がサポートされています。

2024年6月時点で、最新のAvamarバージョンは、Avamarの「不変バックアップ」機能の一部として、Data Domain Retention Lockのコンプライアンス モードとガバナンス モードの両方をサポートしています。詳細については、Avamarのドキュメントと次のKB記事を参照してください。
「AvamarおよびData Domain：Avamar不変バックアップとData Domainコンプライアンス モード保存ロックの有効化」

Avamarの「不変バックアップ」機能を有効にする手順に厳密に従うことが重要です。これを怠ると、DD内のAvamar MTreeに書き込むことができなくなったり、運用上の問題が発生して時間のかかるリカバリーが必要になったりする可能性があります。AvamarではDD Automatic Retention Lock (ARL)を使用できません。DD上のAvamar MTreeに対してARLを有効にしないでください。

Data Domain Retention Lockをネイティブにサポートしていない他のバックアップ アプリケーションを使用しているお客様は、Data Domain Retention Lockを使用してファイルの保存期間を手動で設定するカスタム スクリプトを開発することもできます。このシナリオでは、カスタム スクリプトがファイルのatimeを設定し、バックアップ アプリケーションがファイルを削除しようとする前にロックが解除されるようにすることを確認します。これを行わないと、バックアップ アプリケーションがロックされたファイルの削除を試みる可能性があります。この試みは失敗し、ファイルはDDRに残され、ディスク領域を無期限に消費することになります。Data Domain管理ガイドを参照してください。

自動リテンション ロック
Data Domain Retention Lock機能をネイティブにサポートしていないバックアップ アプリケーションでは、この機能を活用することがお客様にとって常に問題となっていました。バックアップ管理者は、MTreeで新しく取得されたファイルにRetention Lockを設定するスクリプトを構成する必要があります。ロックは、バックアップ管理者がバックアップを期限切れ(および削除)にする直前に期限切れになるように設定する必要があります

通常のRLとは異なり、Automatic Retention Lockは、この機能が有効化されると、MTreeに書き込まれるすべてのファイルにロックを設定します。これにより、構成されたクーリングオフ期間が経過した後、一定期間、新規または変更されたファイルの変更または削除が防止されます。MTreeに後で変更する必要があるファイル(バックアップ ファイル、またはNetWorkerの「volhdr」や「_nsr_serial」などのバックアップ アプリケーション関連ファイル)がある場合、ARLはこれらのファイルの変更を阻止し、あらゆる種類の潜在的な問題を引き起こします。

したがって、 ARLはVTLではサポートされていません。

また、同じ理由で、 ARLはNetWorkerでサポートされていません (NetWorkerでARLを使用すると、意図しないデータ欠損やデータ ロスが発生する可能性があります)。

DDOS 7.8より前では、DD Boost論理ストレージ ユニット(LSU)で自動保存ロックを使用できず、これを有効にしようとすると、サポートされていないことを示すエラーが返されます。7.8以降では、DD Boost LSUでARLがサポートされています。

管理ファイル レプリケーション(MFR)のターゲットDDで使用されるARLには、ファイルにロックが設定される前にバックアップ セットのクローン操作が完了するように、十分な長さの「automatic-lock-delay」が必要です。Example: バックアップ セットの一部である小容量ファイルのレプリケーションは迅速に完了しますが、大きなファイルには時間がかかります。その後、大きなファイルのレプリケーションが完了するまでに最初のファイルが保存ロックされ、NWがバックアップ セットのすべてのファイルを最終的なアーカイブ ディレクトリに移動しようとするとエラーが発生します。

fastcopy/filecopyに関するDDOSの最近の変更により、同じDDR上の場所間でコピーするときにソース ファイルの「mtime」が保持されます。ARL遅延は、ファイルの「mtime」を確認することによって決定されるため(コピーまたはクローンには元のファイルの「mtime」が含まれる)、ワークフローとタイミングに応じて、コピーまたはクローンの作成に元のファイルのクーリング オフ期間よりも長い時間がかかる場合は、作成時にコピー/クローンが自動的にロックされる可能性があります。

該当するバージョンでは、 mtree retention-lock CLIに以下のような追加オプションがあります。この機能は、［Use］オプションで［Manual］ではなく［Automatic］を選択することで、UIからも設定することが可能です。     

# mtree retention-lock set
{min-retention-period | max-retention-period |
automatic-retention-period | automatic-lock-delay} <period>
mtree <mtree-path>

Automatic Retention Lock (ARL)機能は、あらかじめ設定されたクール オフ期間が経過すると、直ちにファイルをロックする機能です(automatic-lock-delay)。リテンション ロック有効のMTreeにファイルが書き込まれ、設定された時点から「automatic-retention-period」が有効で、その値がMTreeに設定された「min-retention-period」値と「max-retention-period」値の範囲内にある場合、ロックが発生します。

この機能の詳しい使い方や一般的な内容は、対応するDDOS管理ガイドを参照してください。この機能は、異なる期間のロックが設定されるバックアップ、または最初にロックが設定されるまたは設定されないバックアップのターゲットとして同じMTreeを使用する状況にはあまり適していません。

ロックされたファイルに対してできること、できないことは何ですか？

• Retention Lockが適用されたファイルは読み取り専用であり、変更や削除はできません。
• ファイルのリテンション期間が終了すると、「アンロック」されます。アンロックされた状態では、ファイルはまだ変更できませんが、削除することはできます。DDRは、ファイルのリテンション期間が終了しても、ファイルを自動的に削除しません（その後の削除は、クライアント システムまたはバックアップ アプリケーションから行う必要があります）。
• 一度設定された特定のファイルのリテンション期間を短縮することはできません（つまり、ファイルのatimeを繰り上げることはできません）。
• ただし、リテンション期間は延長可能です（atimeはそのMTreeの最大リテンション期間まで延期可能です）。
• ファイルの所有権やアクセス権の設定は、ファイルがロックされている間も変更可能です。
• リテンション ロックMTree(RLGE/RLGDまたはRLCE)内のディレクトリーの名前変更または削除は、そのディレクトリーにファイルが含まれていない場合にのみ可能です。ディレクトリーにファイルが含まれている場合（これらのファイルがRetention Lockされていない場合でも）、ディレクトリーの名前変更または削除は失敗します。
• ファイルの内容自体が変更されない場合でも、ロックが設定されているファイルの名前を変更（名前変更）することはできませんが、ファイルのロックの期限が切れると名前変更もできなくなります。ロックの期限が切れたファイルに対しては、削除のみが許可されます。これはDDOS 7.7.4で変更され、ロックの期限が切れたファイルに対して、ファイルの名前変更が許可されるようになりました。

ファイルやファイル群に対するリテンション ロックを完全に削除することは可能ですか？
ガバナンス モードを使用しているMTree内のファイルに対するリテンション ロックを「元に戻す」（削除する）ことは可能です。これは、次のコマンドで実行します。     

# mtree retention-lock revert [path]

ファイルに対するリテンション ロックが削除されると、通常どおりファイルを変更または削除することができます。このコマンドがディレクトリーに対して実行された場合、そのディレクトリー内のすべてのファイルとすべてのサブディレクトリーのリテンション ロックが削除されます。

コンプライアンス モードを使用しているMTree内のファイルに対するリテンション ロックを元に戻すことはできません。戻そうとするとエラーが表示されます。     

# mtree retention-lock revert /data/col1/rl_test_comp/testfile
This operation is not allowed. Mtree is in retention-lock compliance mode.

Retention Lockが適用されたファイルを変更または削除しようとするとどうなりますか？
Retention Lockが適用されたファイルを変更または削除しようとすると、それに対応する permission denied エラーが発生します。

# echo " test2" >> /data/col1/rl_test/testfile
bash: testfile: Permission denied
# rm testfile
rm: remove write-protected regular file `testfile'? y
rm: cannot remove `testfile': Permission denied

DDFSログは、ファイルがリテンション ロックされているために操作が失敗したことを示しています。     

06/07 07:06:59.756 (tid 0x2b5a77605d50): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
06/07 07:07:42.504 (tid 0x2b5a79111390): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.

Retention Lockが適用されたすべてのファイルを一覧表示することは可能ですか？
はい。これは、 mtree retention-lock report generate retention-details コマンドを使用して実行できます。

mtree retention-lock report generate retention-details
mtrees {<mtree-list> | all}
[format {text | tsv | csv}]
[output-file <file-name>]
               Report detailed information of
               retention-lock files.

例えば、 /data/col1/rl_test MTree のロックされているすべてのファイルの詳細を一覧表示するには、次を実行します。

sysadmin@ddxxxx# mtree retention-lock report generate retention-details mtrees /data/col1/jftest
Report generated on: Fri Jul  1 14:19:31 2016

Report for mtree: /data/col1/jftest
File Path        Mode        Size(Bytes)        Expiration Date
/data/col1/jftest/file1 governance 10521456 Sat Jul  2 22:35:48 2016
/data/col1/jftest/testdir/file2 governance 10521680 Sat Jul  2 22:35:42 2016
/data/col1/jftest/file3 governance 10521820 Sun Jul 10 22:36:09 2016
Total files: 3

MTreeのRetention Lockを（有効化後に）完全に無効にすることはできますか？
はい。ガバナンス モードを使用するMTreeでは、 mtree retention-lock disable コマンドを使用して実行できます。

# mtree retention-lock disable mtree [mtree]

For example:
sysadmin@xxxx# mtree retention-lock disable mtree /data/col1/rl_test
Retention-lock feature is disabled (previously enabled) for mtree /data/col1/rl_test.

Once disabled, MTree list indicates that retention lock was used against the MTree but has since been disabled, that is: 

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rl_test                             0.0   RW/RLGD   -
...

sysadmin@ddxxxx# mtree retention-lock revert /data/col1/rl_test/testfile
**** Retention-lock feature is disabled (previously enabled) for mtree which contains the path /data/col1/rl_test/testfile.

• コンプライアンス モードを使用しているMTreeでは、リテンション ロックを無効にすることはできません。     

sysadmin@ddxxxx# mtree retention-lock disable mtree /data/col1/rl_test_comp
**** Operation is not allowed because the system is a retention-lock compliance system

# mtree retention-lock revert /data/col1/myTree
The 'mtree retention-lock revert' command removes retention-lock on this path thereby making it unprotected.
	Are you sure:  (yes | no)  [no]:  yes
Ok, proceeding
Please enter sysadmin password to confirm 'mtree retention-lock revert':
**** The filesystem is not responding.

• ディレクトリー レプリケーション：ガバナンス モードを使用するファイルに対してのみサポートされており、最小および最大のリテンション期間をターゲット システムにレプリケートしません。
• MTreeレプリケーション：ガバナンス モードまたはコンプライアンス モードのデータに使用でき、最小および最大のリテンション期間をターゲット システムにレプリケートします。
• コレクション レプリケーション：ガバナンス モードまたはコンプライアンス モードのデータに使用でき、最小および最大のリテンション期間をターゲット システムにレプリケートします。

# replication break mtree://[destination system]/data/col1/[mtree]

# mtree retention-lock enable mode compliance mtree [mtree]

# replication add source mtree://[source system]/data/col1/[mtree] destination mtree://[destination system/data/col1/[mtree]

# replication resync mtree://[destination system/data/col1/[mtree]

# user reset
# filesys destroy
# filesys archive unit del [archive unit name]

# mtree delete [mtree]
# mtree retention-lock reset [min-retention-period period | max-retention-period period] mtree [mtree]
# mtree retention-lock disable mtree [mtree]
# mtree retention-lock revert

# cloud unit del <cloud unit name>