Data Domain: domande frequenti su Retention Lock

Che cos'è Retention Lock?
Retention Lock è una funzione utilizzata sui DDR (Data Domain Restorer) per impedire la modifica o l'eliminazione di determinati set di file per un periodo predeterminato. Ovvero, i file con Retention Lock sono read-only fino alla scadenza del periodo di retention.

Quali sono le varie versioni di Retention Lock?
Retention Lock è disponibile per due diverse funzioni:

• Governance: la funzione Retention Lock meno rigida delle due (i blocchi sui file possono essere annullati, se necessario).
• Compliance: la funzione più rigida, che segue diversi standard normativi comuni (i blocchi sui file non possono essere annullati). Il DDR deve essere configurato con un utente "Security Officer" che deve autenticare alcuni comandi. Esistono varie restrizioni su altre funzionalità per evitare che i dati bloccati vengano rimossi o che i blocchi vengano annullati in anticipo.

Quali protocolli di accesso ai dati sono supportati con Retention Lock?

• I protocolli NFS, CIFS e DD Boost sono completamente supportati su MTree utilizzando la modalità Governance o Compliance di Retention Lock.
• Il protocollo VTL (Virtual Tape Library) è supportato solo su MTree che utilizzano la modalità Governance di Retention Lock. La funzione Automatic Retention Lock non è supportata su Data Domain VTL. Consultare il documento Data Domain Administration Guide per determinare come sbloccare i nastri con Retention Lock in modo che sia possibile scrivere su di essi.

La modalità Retention Lock Compliance soddisfa gli standard normativi?
L'elenco degli standard normativi soddisfatti dalla modalità Compliance di Retention Lock include quanto segue:     

• SEC 17a-4(f)
• CFTC Rule 1.31b
• FDA 21 CFR Part 11
• Sarbanes-Oxley Act
• IRS 98025 e 97-22
• ISO Standard 15489-1
• MoREQ2010

Per informazioni complete sulle certificazioni, contattare il fornitore del supporto.

In che modo è abilitata la modalità Governance di Retention Lock?

• Una licenza Governance di Retention Lock viene aggiunta al DDR.
• La modalità Governance di Retention Lock è abilitata per qualsiasi MTree richiesto:     

# mtree retention-lock enable mode governance mtree [mtree]

Come si abilita la modalità Compliance di Retention Lock?

• Sono disponibili istruzioni specifiche per alcuni modelli Data Domain più recenti con iDRAC.
• Una licenza Compliance di Retention Lock viene aggiunta al DDR.
• È necessario creare un utente con il ruolo "Security" (supponendo che tale utente non esista):     

(ADMIN USER) # user add [username] role security

•  L'utente con il ruolo "Security" deve accedere al DDR e abilitare le autorizzazioni utente di sicurezza:     

(SECURITY USER): # authorization policy set security-officer enabled

• Il sistema deve essere configurato per la modalità Compliance di Retention Lock. Una volta eseguito il seguente comando fino al completamento, il sistema si riavvia automaticamente:     

(ADMIN USER) # system retention-lock compliance configure

• Una volta riavviato il sistema, dovrebbe essere abilitata la modalità Compliance di Retention Lock:     

(ADMIN USER) # system retention-lock compliance enable

• La modalità Compliance di Retention Lock è abilitata per qualsiasi MTree richiesto:

(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]

Come è possibile determinare gli MTree in cui è abilitata la funzione Retention Lock?
Gli MTree con la funzione Retention Lock abilitata sono indicati nell'output di mtree list, ad esempio:

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rich-retention-lock                 0.0   RW/RLGE   -
/data/col1/rl_test                             0.0   RW/RLGD   -
/data/col1/rl_test_comp                        0.0   RW/RLCE   -
/data/col1/test                                3.1   RW/RLGE   -
...
---------------------------------   --------------   -------   -----------
...
 RLGE : Retention-Lock Governance Enabled
 RLGD : Retention-Lock Governance Disabled
 RLCE : Retention-Lock Compliance Enabled

Un MTree con modalità Governance di Retention Lock abilitata può essere convertito nella modalità Compliance di Retention Lock?
Come indicato nella Guida all'amministrazione di DD OS, non è possibile.

È possibile convertire un MTree con modalità Compliance di Retention Lock abilitata nella modalità Governance di Retention Lock?
Come indicato nella Guida all'amministrazione di DD OS, non è possibile.

Come vengono impostati i periodi di retention o blocco dei file?
Una volta abilitata la funzione Retention Lock per un MTree, è necessario impostare un periodo di retention minimo e massimo. Questi periodi determinano il tempo minimo e massimo per cui un file all'interno dell'MTree può essere bloccato. Ad esempio:     

# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]

I periodi possono essere specificati in varie unità come segue:     

• 1 minuto
• 1 ora
• 1 giorno
• 1 mese
• 1 anno

Come vengono visualizzati i periodi di retention esistenti?
Questa operazione può essere eseguita utilizzando i due comandi seguenti:     

# mtree retention-lock show min-retention-period mtree [mtree]
# mtree retention-lock show max-retention-period mtree [mtree]

Ad esempio:     

sysadmin@dd630# mtree retention-lock show min-retention-period mtree /data/col1/rl_test
Retention-lock min-retention-period of mtree /data/col1/rl_test is: 720 minutes.
sysadmin@dd630# mtree retention-lock show max-retention-period mtree /data/col1/rl_test
Retention-lock max-retention-period of mtree /data/col1/rl_test is: 30 days.

Come vengono bloccati i file all'interno di un MTree con funzione Retention Lock abilitata?

• Quando la funzione Retention Lock è abilitata su un MTree, i file esistenti all'interno dell'MTree non vengono bloccati automaticamente (ovvero, tutti i file preesistenti rimangono in lettura o scrittura).
• Quando un nuovo file viene scritto in un MTree con la funzione Retention Lock abilitata, il file non viene bloccato automaticamente con Retention Lock. In altre parole, il nuovo file rimane in lettura o scrittura.

• Per applicare la funzione Retention Lock di un file specifico, il valore atime del file deve essere modificato in modo che corrisponda alla data e all'ora in cui il file deve essere bloccato. Queste sono la data e l'ora entro le quali il file deve rimanere read-only. Finché non viene modificata un'ora in questo modo, il file non può essere bloccato con Retention Lock (e può essere modificato o rimosso).

È possibile modificare il valore atime di un file da un client NFS o CIFS utilizzando il comando "touch":

# touch -a -t [expiry time] [file to be locked]

Ad esempio, per impostare un'ora di /data/col1/rl_test/testfile alle 07:05 dell'8 giugno: 

# touch -a -t 06080705 /data/col1/rl_test/testfile

Il periodo dal valore atime corrente a quello futuro deve rientrare nei periodi di retention minimi e massimi per l'MTree. In caso contrario, viene generato un errore quando si modifica il valore atime dei file:

# touch -a -t 08080705 /data/col1/rl_test/testfile
touch: setting times of `/data/col1/rl_test/testfile': Permission denied

Un messaggio corrispondente viene visualizzato anche nei file di registro di Data Domain File System (DDFS):

06/07 13:44:57.197 (tid 0x2b28ee5258c0): Attempt to set atime of /data/col1/rl_test/testfile to larger than maximum retention period of mtree.

Per impostazione predefinita, i client CIFS (Windows) non includono un comando o un'utilità touch, tuttavia molte di queste utilità sono disponibili gratuitamente per il download da vari siti web di terze parti.

Quali applicazioni di backup supportano la funzione Automatic Retention Lock dopo la scrittura in un DDR?
Data Domain Retention Lock è compatibile con i protocolli WORM (Write-Once Read-Many) basati su NAS standard di settore. L'integrazione è idonea con applicazioni di archiviazione, come Symantec Enterprise Vault, SourceOne, Cloud Tiering Appliance o DiskXtender.

Per Dell NetWorker sono supportate entrambe le modalità Governance e Compliance.

Al mese di giugno 2024, le versioni recenti di Avamar supportano sia Compliance che Governance di Data Domain Retention Lock nell'ambito della funzione "Immutable Backups" di Avamar. Per maggiori dettagli, consultare l'articolo riportato di seguito e la documentazione di Avamar:
Avamar e Data Domain: Abilitazione di Immutable Backups di Avamar e di Data Domain Retention Lock in modalità Compliance

È fondamentale seguire alla lettera i passaggi per abilitare la funzione "Immutable Backups" di Avamar. In caso contrario, potrebbe non essere più possibile scrivere in un MTree Avamar nel DD o potrebbero verificarsi problemi operativi che costringono a lunghi tempi di ripristino. Avamar non è compatibile con DD Automatic Retention Lock (ARL) e la funzione ARL non deve essere abilitata per alcun MTree Avamar su un DD.

I clienti che utilizzano altre applicazioni di backup che non supportano Data Domain Retention Lock in modalità nativa possono inoltre sviluppare script personalizzati per utilizzare Data Domain Retention Lock al fine di impostare manualmente i periodi di retention dei file. In questo scenario, assicurarsi che gli script personalizzati impostino il valore atime del file in modo che vengano sbloccati prima che l'applicazione di backup tenti di eliminare il file. In caso contrario, l'applicazione di backup tenta di eliminare i file bloccati (con esito negativo). Il file viene mantenuto sul DDR, consumando spazio su disco a tempo indefinito. Consultare il documento Data Domain Administration Guide.

Automatic Retention Lock
Per le applicazioni di backup che non supportano in modo nativo la funzione Data Domain Retention Lock, è sempre stato un problema per i clienti sfruttare questa funzione. Il Backup Administrator deve configurare gli script per impostare Retention Lock sui file appena acquisiti per un MTree. Il blocco deve essere impostato in modo che scada poco prima della scadenza (e dell'eliminazione) del backup da parte dell'amministratore del backup.

Contrariamente alla normale RL, Automatic Retention Lock imposta un blocco su ogni singolo file scritto nell MTree una volta abilitata la funzione. Ciò impedisce la modifica o la rimozione di file nuovi o modificati per un determinato periodo di tempo dopo la scadenza del periodo di ripensamento configurato. Se l MTree contiene file che devono essere modificati in un secondo momento (file di backup o file correlati all'applicazione di backup, ad esempio "volhdr" o "_nsr_serial" di NetWorker), ARL ne impedirà la modifica, causando tutti i tipi di problemi possibili.

Di conseguenza, ARL non è supportato per VTL.

Inoltre, per lo stesso motivo, ARL non è supportato per NetWorker (l'utilizzo di ARL con NetWorker potrebbe causare una non disponibilità involontaria dei dati o addirittura una perdita di dati).

Prima di DDOS 7.8, Automatic Retention Lock non poteva essere utilizzato sulle unità di storage logico (LSU) di DD Boost e il tentativo di abilitarlo restituisce un errore indicante che non è supportato. Dalla versione 7.8 in poi, ARL è supportato per le LSU di DD Boost.

L'ARL utilizzato sui DD di destinazione per MFR (Managed File Replication) deve avere un "automatic-lock-delay" sufficientemente lungo da garantire che le operazioni di clonazione siano completate per il backup set prima che venga impostato il blocco sui file. Esempio: Un file di piccole dimensioni che fa parte di un backup set termina rapidamente la replica, mentre un file più grande richiede più tempo, quindi il primo file viene bloccato con Retention Lock nel momento in cui il file più grande termina la replica e rileva un errore quando NW tenta di spostare tutti i file del backup set nella directory di archiviazione finale.

Le recenti modifiche apportate a DDOS per fastcopy/filecopy comportano la conservazione dell "mtime" del file di origine durante la copia tra posizioni sullo stesso DDR. Poiché il ritardo ARL viene determinato esaminando l'"mtime" di un file (e la copia o il clone ha l'"mtime" per il file originale), a seconda del flusso di lavoro e della tempistica, la copia o il clone può essere bloccato automaticamente alla creazione, se la creazione della copia o del clone richiede più tempo del periodo di raffreddamento del file originale.

Sulle versioni applicabili, sono disponibili opzioni aggiuntive nella finestra mtree retention-lock , come mostrato di seguito. Questa funzione può essere configurata anche tramite l'interfaccia utente scegliendo "Automatic" anziché "Manual" nell'opzione "Use":     

# mtree retention-lock set
{min-retention-period | max-retention-period |
automatic-retention-period | automatic-lock-delay} <period>
mtree <mtree-path>

La funzione Automatic Retention Lock blocca un file immediatamente dopo la scadenza di un periodo di raffreddamento preconfigurato (automatic-lock-delay). Dopo che il file viene scritto in un MTree abilitato per Retention Lock e il blocco è valido per "automatic-retention-period" dal momento in cui è stato impostato, se il valore rientra nei valori "min-retention-period" e "max-retention-period" impostati per l'MTree, si verifica il blocco.

Per ulteriori informazioni sull'utilizzo e dettagli generali sulla funzione, consultare il documento DD OS Administration Guide corrispondente. Questa funzione non è particolarmente indicata per i casi in cui lo stesso MTree viene utilizzato come destinazione per i backup che devono avere set di blocchi per periodi diversi o per i backup che devono o non devono avere un set impostato.

Cosa è consentito fare o non fare per un file bloccato?

• I file bloccati con Retention Lock sono read-only e non possono essere modificati o eliminati.
• Una volta scaduto il periodo di retention di un file, viene sbloccato: quando è in uno stato sbloccato, il file non può essere comunque modificato, ma può essere eliminato. Il DDR non elimina automaticamente un file alla scadenza del periodo di retention (l'eliminazione successiva deve essere eseguita da un sistema client o da un'applicazione di backup).
• Una volta impostato, il periodo di retention per un file specifico non può essere ridotto (ovvero il valore atime dei file non può essere posticipato).
• I periodi di retention possono tuttavia essere aumentati (il valore atime può essere aumentato fino al periodo di retention massimo per l'MTree).
• Le impostazioni relative alla proprietà e alle autorizzazioni per un file possono essere modificate mentre il file è bloccato;
• È possibile rinominare o eliminare una directory in un MTree con Retention Lock (RLGE/RLGD o RLCE) solo se tale directory non contiene file. Se la directory contiene file (anche se non bloccati con Retention Lock), la ridenominazione o l'eliminazione della directory non riesce.
• Anche se non cambia il contenuto del file stesso, non è consentito modificare la denominazione (ridenominazione) dei file con un blocco impostato, ma la ridenominazione non è consentita una volta scaduto il blocco del file. Per i file non più bloccati è consentita solo l'operazione di eliminazione. Questa condizione è cambiata in DD OS 7.7.4 dove, per i file non più bloccati, è consentita la ridenominazione del file.

È possibile rimuovere completamente la funzione di Retention Lock da un file o da un set di file?
È possibile annullare (rimuovere) la funzione di Retention Lock per i file in MTree utilizzando la modalità Governance. Questa operazione viene eseguita con il seguente comando:     

# mtree retention-lock revert [path]

Una volta rimossa la funzione di Retention Lock per un file, è possibile modificarlo o eliminarlo normalmente. Se questo comando viene eseguito su una directory, la funzione Retention Lock viene rimossa da tutti i file all'interno di tale directory e in tutte le sottodirectory.

Non è possibile annullare la funzione di Retention Lock per i file negli MTree utilizzando la modalità Compliance. Questa operazione mostra un errore corrispondente:     

# mtree retention-lock revert /data/col1/rl_test_comp/testfile
This operation is not allowed. Mtree is in retention-lock compliance mode.

Che cosa accade se si tenta di modificare o rimuovere un file con Retention Lock?
Qualsiasi tentativo di modificare o eliminare un file con Retention Lock genera un errore permission denied corrispondente:

# echo " test2" >> /data/col1/rl_test/testfile
bash: testfile: Permission denied
# rm testfile
rm: remove write-protected regular file `testfile'? y
rm: cannot remove `testfile': Permission denied

I registri DDFS indicano che l'operazione non è riuscita a causa della funzione Retention Lock nel file:     

06/07 07:06:59.756 (tid 0x2b5a77605d50): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
06/07 07:07:42.504 (tid 0x2b5a79111390): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.

È possibile elencare tutti i file bloccati con Retention Lock?
Sì, questa operazione può essere eseguita utilizzando il comando mtree retention-lock report generate retention-details :

mtree retention-lock report generate retention-details
mtrees {<mtree-list> | all}
[format {text | tsv | csv}]
[output-file <file-name>]
               Report detailed information of
               retention-lock files.

Ad esempio, per elencare i dettagli di tutti i file bloccati in /data/col1/rl_test MTree , eseguire le seguenti operazioni:

sysadmin@ddxxxx# mtree retention-lock report generate retention-details mtrees /data/col1/jftest
Report generated on: Fri Jul  1 14:19:31 2016

Report for mtree: /data/col1/jftest
File Path        Mode        Size(Bytes)        Expiration Date
/data/col1/jftest/file1 governance 10521456 Sat Jul  2 22:35:48 2016
/data/col1/jftest/testdir/file2 governance 10521680 Sat Jul  2 22:35:42 2016
/data/col1/jftest/file3 governance 10521820 Sun Jul 10 22:36:09 2016
Total files: 3

È possibile disabilitare completamente la funzione Retention Lock per un MTree (dopo che è stata abilitata)?
Sì, per gli MTree che utilizzano la modalità Governance, questa operazione viene eseguita utilizzando il comando mtree retention-lock disable :

# mtree retention-lock disable mtree [mtree]

For example:
sysadmin@xxxx# mtree retention-lock disable mtree /data/col1/rl_test
Retention-lock feature is disabled (previously enabled) for mtree /data/col1/rl_test.

Once disabled, MTree list indicates that retention lock was used against the MTree but has since been disabled, that is: 

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rl_test                             0.0   RW/RLGD   -
...

sysadmin@ddxxxx# mtree retention-lock revert /data/col1/rl_test/testfile
**** Retention-lock feature is disabled (previously enabled) for mtree which contains the path /data/col1/rl_test/testfile.

• Non è possibile disabilitare Retention Lock per un MTree utilizzando la modalità Compliance:     

sysadmin@ddxxxx# mtree retention-lock disable mtree /data/col1/rl_test_comp
**** Operation is not allowed because the system is a retention-lock compliance system

# mtree retention-lock revert /data/col1/myTree
The 'mtree retention-lock revert' command removes retention-lock on this path thereby making it unprotected.
	Are you sure:  (yes | no)  [no]:  yes
Ok, proceeding
Please enter sysadmin password to confirm 'mtree retention-lock revert':
**** The filesystem is not responding.

• Replica di directory, supportata solo per i file che utilizzano la modalità Governance. Non effettua la replica dei periodi di retention minimi e massimi nel sistema di destinazione.
• Replica di MTree: può essere utilizzata per i dati in modalità Governance o Compliance ed effettua la replica dei periodi di retention minimi e massimi nel sistema di destinazione.
• Replica di raccolte: può essere utilizzata per i dati in modalità Governance o Compliance ed effettua la replica dei periodi di retention minimi e massimi nel sistema di destinazione.

# replication break mtree://[destination system]/data/col1/[mtree]

# mtree retention-lock enable mode compliance mtree [mtree]

# replication add source mtree://[source system]/data/col1/[mtree] destination mtree://[destination system/data/col1/[mtree]

# replication resync mtree://[destination system/data/col1/[mtree]

# user reset
# filesys destroy
# filesys archive unit del [archive unit name]

# mtree delete [mtree]
# mtree retention-lock reset [min-retention-period period | max-retention-period period] mtree [mtree]
# mtree retention-lock disable mtree [mtree]
# mtree retention-lock revert

# cloud unit del <cloud unit name>