Data Domain: Perguntas frequentes sobre o Retention Lock

O que é o Retention Lock?
O Retention Lock é um recurso usado nos Data Domain Restorers (DDRs) para impedir a modificação ou a exclusão de certos conjuntos de arquivos por um período predeterminado. Ou seja, os arquivos bloqueados com o Retention Lock são somente leitura até que o período de retenção expire.

Quais são as diferentes versões do Retention Lock?
O Retention Lock está disponível para duas funções diferentes:

• Governança: Essa é a função menos rigorosa (ou seja, os bloqueios de arquivos podem ser revertidos, se necessário).
• Conformidade: Essa é a função mais rigorosa e cumpre diversas normas regulamentares comuns. Ou seja, os bloqueios de arquivos não podem ser revertidos. O DDR precisa ser configurado com um usuário "diretor de segurança", que deve autenticar determinados comandos. Há várias restrições em outras funcionalidades para impedir que os dados bloqueados sejam removidos ou que os bloqueios sejam revertidos antecipadamente.

Quais protocolos de acesso aos dados são compatíveis com o Retention Lock?

• Os protocolos NFS, CIFS e DD Boost são totalmente compatíveis com MTrees que usam o modo Governança ou Conformidade do Retention Lock.
• O protocolo Virtual Tape Library (VTL) só é compatível com MTrees que usam o modo Governança do Retention Lock. O Automatic Retention Lock não é compatível com o protocolo VTL do Data Domain. Consulte o Guia de administração do Data Domain para determinar como desbloquear fitas bloqueadas com o Retention Lock para que elas possam receber gravações.

O modo Conformidade do Retention Lock atende às normas regulamentares:
A lista de normas regulamentares que o modo Conformidade do Retention Lock cumpre inclui:     

• SEC 17a-4(f)
• Regra 1.31b da CFTC
• CFR 21 Parte 11 da FDA
• Lei Sarbanes-Oxley
• IRS 98025 e 97-22
• Norma ISO 15489-1
• MoREQ2010

Para obter detalhes completos das informações de certificação, entre em contato com seu provedor de suporte contratado.

Como habilitar o modo Governança do Retention Lock?

• Uma licença de governança do Retention Lock é adicionada ao DDR.
• O modo Governança do Retention Lock é habilitado em qualquer MTree necessário:     

# mtree retention-lock enable mode governance mtree [mtree]

Como habilitar o modo Conformidade do Retention Lock?

• Observe que há instruções específicas para alguns modelos mais recentes do Data Domain com iDRAC.
• Uma licença de conformidade do Retention Lock é adicionada ao DDR.
• Um usuário com função de "segurança" deve ser criado (caso esse usuário não exista):     

(ADMIN USER) # user add [username] role security

•  O usuário com função de "segurança" deve fazer login no DDR e habilitar a autorização do usuário de segurança:     

(SECURITY USER): # authorization policy set security-officer enabled

• O sistema deve ser configurado para o modo Conformidade do Retention Lock. Depois que o seguinte comando for executado até a conclusão, o sistema será reinicializado automaticamente:     

(ADMIN USER) # system retention-lock compliance configure

• Depois que o sistema for reinicializado, o modo Conformidade do Retention Lock deverá ser habilitado no sistema:     

(ADMIN USER) # system retention-lock compliance enable

• O modo Conformidade do Retention Lock é habilitado em qualquer MTree necessário:

(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]

Como é possível determinar quais MTrees têm o bloqueio por retenção ativado?
Os MTrees com o Retention Lock ativado aparecem no resultado de mtree list, por exemplo:

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rich-retention-lock                 0.0   RW/RLGE   -
/data/col1/rl_test                             0.0   RW/RLGD   -
/data/col1/rl_test_comp                        0.0   RW/RLCE   -
/data/col1/test                                3.1   RW/RLGE   -
...
---------------------------------   --------------   -------   -----------
...
 RLGE : Retention-Lock Governance Enabled
 RLGD : Retention-Lock Governance Disabled
 RLCE : Retention-Lock Compliance Enabled

Um MTree com o modo Governança do Retention Lock habilitado pode ser convertido para a modo Conformidade do Retention Lock?
Conforme declarado no Guia de administração do DDOS, ele não pode ser convertido.

Um MTree com o modo Conformidade do Retention Lock habilitado pode ser convertido para a modo Governança do Retention Lock?
Conforme declarado no Guia de administração do DDOS, ele não pode ser convertido.

Como os períodos de bloqueio ou retenção de arquivos são definidos?
Assim que o Retention Lock estiver habilitado em um MTree, um período de retenção mínimo e um período de retenção máximo devem ser definidos. Esses períodos determinam o tempo mínimo e o tempo máximo em que um arquivo dentro do MTree pode ficar bloqueado. Por exemplo:     

# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]

Os períodos podem ser especificados em várias unidades, da seguinte forma:     

• 1 minuto
• 1 hora
• 1 dia
• 1 mês
• 1 ano

Como os períodos de retenção existentes podem ser exibidos?
É possível exibi-los usando os dois comandos a seguir:     

# mtree retention-lock show min-retention-period mtree [mtree]
# mtree retention-lock show max-retention-period mtree [mtree]

Por exemplo:     

sysadmin@dd630# mtree retention-lock show min-retention-period mtree /data/col1/rl_test
Retention-lock min-retention-period of mtree /data/col1/rl_test is: 720 minutes.
sysadmin@dd630# mtree retention-lock show max-retention-period mtree /data/col1/rl_test
Retention-lock max-retention-period of mtree /data/col1/rl_test is: 30 days.

Como os arquivos em um MTree com o Retention Lock habilitado são bloqueados?

• Quando o Retention Lock é habilitado em um MTree, os arquivos existentes no MTree não são bloqueados automaticamente (ou seja, todos os arquivos preexistentes permanecem com o status de leitura ou gravação).
• Quando um novo arquivo é gravado em um MTree que está com o Retention Lock habilitado, ele não é bloqueado automaticamente. Ou seja, o novo arquivo permanece com o status de leitura ou gravação.

• Para habilitar o bloqueio do Retention Lock em um arquivo específico, o atime do arquivo deve ser modificado para corresponder à data e à hora em que o arquivo deve ser bloqueado. Até essa data e essa hora, o arquivo deverá permanecer somente leitura. Até que o tempo seja modificado dessa forma, o bloqueio do Retention Lock não poderá ser habilitado no arquivo (e o arquivo poderá ser modificado ou removido).

O atime de um arquivo pode ser alterado a partir de um client NFS ou CIFS usando o comando "touch":

# touch -a -t [expiry time] [file to be locked]

Por exemplo, para definir um horário de /data/col1/rl_test/testfile às 07h05 do dia 8 de junho: 

# touch -a -t 06080705 /data/col1/rl_test/testfile

O período do tempo atual para o atime futuro deve estar dentro dos períodos mínimo e máximo de retenção do MTree. Caso contrário, um erro será gerado ao modificar o atime dos arquivos:

# touch -a -t 08080705 /data/col1/rl_test/testfile
touch: setting times of `/data/col1/rl_test/testfile': Permission denied

Uma mensagem correspondente também é mostrada nos arquivos de log do Data Domain File System (DDFS):

06/07 13:44:57.197 (tid 0x2b28ee5258c0): Attempt to set atime of /data/col1/rl_test/testfile to larger than maximum retention period of mtree.

Os clients CIFS (Windows) não incluem, por padrão, um comando ou utilitário de toque. No entanto, vários desses utilitários estão disponíveis gratuitamente para download em diversos sites de terceiros.

Quais aplicativos de backup permitem habilitar automaticamente o bloqueio do Retention Lock em arquivos após gravá-los em um DDR?
O Data Domain Retention Lock é compatível com os protocolos Write-Once-Read-Many (WORM) padrão do setor, que são baseados em NAS. A integração é qualificada com aplicativos de arquivamento, como Symantec Enterprise Vault, SourceOne, Cloud Tiering Appliance ou DiskXtender.

O Dell NetWorker é compatível com os modos Governança e Conformidade.

Desde junho de 2024, as versões recentes do Avamar são compatíveis com os modos Conformidade e Governança do Data Domain Retention Lock, como parte do recurso "Backups imutáveis" do Avamar. Consulte o artigo abaixo e a documentação do Avamar para obter detalhes:
Avamar e Data Domain: Habilitando o modo Conformidade do Data Domain Retention Lock e o recurso Backups imutáveis no Avamar

É fundamental que as etapas para ativar o recurso "Backups imutáveis" do Avamar sejam seguidas rigorosamente. Caso contrário, um MTree do Avamar no DD não poderá receber mais gravações ou ele poderá apresentar problemas operacionais, exigindo uma longa recuperação forçada. O Avamar não funciona com o DD Automatic Retention Lock (ARL), Dessa forma, o ARL não pode ser ativado em qualquer MTree do Avamar que esteja em um DD.

Os clientes que usam outros aplicativos de backup que não apresentam compatibilidade nativa com o Data Domain Retention Lock também podem desenvolver scripts personalizados para definir manualmente períodos de retenção de arquivos com o Data Domain Retention Lock. Nesse cenário, certifique-se de que os scripts personalizados definam o atime do arquivo, de modo que ele seja desbloqueado antes de o aplicativo de backup tentar excluí-lo. Se isso não for feito, o aplicativo de backup poderá tentar excluir arquivos bloqueados (e não conseguirá); o arquivo será deixado no DDR por tempo indeterminado, consumindo o espaço em disco. Consulte o Guia de administração do Data Domain.

Automatic Retention Lock
Os clientes que têm aplicativos de backup sem compatibilidade nativa com o Data Domain Retention Lock sempre tiveram dificuldades para usar o recurso. O administrador de backup precisa configurar os scripts para definir o Retention Lock em arquivos inseridos recentemente em um MTree. O bloqueio deve ser configurado para que expire pouco antes do término do backup (e para a exclusão) pelo administrador de backup.

Ao contrário do RL normal, o Bloqueio de Retenção Automático define um bloqueio em cada arquivo gravado no MTree depois que o recurso é ativado. Esse fato impede que arquivos novos ou modificados sejam alterados ou removidos por um determinado período após o período de resfriamento configurado. Se o MTree tiver arquivos que precisam ser alterados posteriormente (arquivos de backup ou arquivos relacionados ao aplicativo de backup, como "volhdr" ou "_nsr_serial" do NetWorker), o ARL impedirá que eles sejam modificados, causando todos os tipos de possíveis problemas.

Portanto, o ARL não é compatível com VTL.

Além disso, pelo mesmo motivo, o ARL não é compatível com o NetWorker (o uso do ARL com o NetWorker pode resultar em indisponibilidade de dados não intencional ou até mesmo perda de dados).

Antes do DD OS 7.8, o Bloqueio de retenção automático não pode ser usado em unidades de armazenamento lógico (LSU) do DD Boost, e a tentativa de ativar isso retorna um erro informando que ele não é compatível. A partir da versão 7.8, o ARL é compatível com LSUs do DD Boost.

O ARL usado nos DDs de destino para replicação gerenciada de arquivos (MFR) deve ter um "automatic-lock-delay" longo o suficiente para garantir que as operações de clonagem sejam concluídas para o conjunto de backup antes que o bloqueio seja definido nos arquivos. Exemplo: Um arquivo pequeno que faz parte de um conjunto de backup conclui a replicação rapidamente, enquanto um arquivo maior leva mais tempo, então o primeiro arquivo é bloqueado para retenção no momento em que o arquivo maior termina de replicar e encontra um erro quando o NW tenta mover todos os arquivos do conjunto de backup para o diretório de arquivamento final.)

Alterações recentes no DDOS para fastcopy/filecopy resultam no "mtime" do arquivo de origem a ser retido ao copiar entre locais no mesmo DDR. Como o atraso do ARL é determinado pela análise do "mtime" de um arquivo, o (e a cópia ou clone tem o "mtime" para o arquivo original), dependendo do fluxo de trabalho e do tempo, pode ser o caso de a cópia/clone ser automaticamente bloqueada na criação, se a criação da cópia ou do clone demorar mais do que o período de resfriamento do arquivo original.

Nas versões aplicáveis, há opções adicionais no mtree retention-lock , conforme exibido abaixo. Esse recurso também pode ser configurado por meio da IU. Basta selecionar "Automatic", em vez de "Manual", na opção "Use":     

# mtree retention-lock set
{min-retention-period | max-retention-period |
automatic-retention-period | automatic-lock-delay} <period>
mtree <mtree-path>

O recurso Automatic Retention Lock bloqueia um arquivo imediatamente após a expiração de um período de tolerância pré-configurado (automatic-lock-delay). Depois que o arquivo for gravado em um MTree com o Retention Lock habilitado e o bloqueio for válido para "automatic-retention-period" a partir do momento em que ele foi definido, se o valor estiver dentro dos valores "min-retention-period" e "max-retention-period" definidos para o MTree, ocorrerá o bloqueio.

Para obter mais detalhes gerais e informações de uso do recurso, consulte o Guia de administração do DDOS correspondente. Esse recurso não é adequado para situações em que o mesmo MTree é usado como destino de backups que devem ter bloqueios definidos para períodos diferentes ou de backups que não devem ter um bloqueio definido para começar.

O que pode ou não ser feito em um arquivo bloqueado?

• Os arquivos bloqueados com o Retention Lock são somente leitura e não podem ser modificados ou excluídos.
• Depois que o período de retenção expirar, o arquivo será "desbloqueado". Quando o arquivo estiver no estado desbloqueado, ele ainda não poderá ser modificado. No entanto, ele poderá ser excluído. O DDR não excluirá automaticamente um arquivo quando o período de retenção dele expirar (a exclusão subsequente deve ser realizada a partir de um sistema client ou aplicativo de backup).
• Depois de definido, o período de retenção de um arquivo específico não poderá ser reduzido (ou seja, o atime dos arquivos não poderá ser adiantado).
• No entanto, os períodos de retenção poderão ser ampliados (é possível aumentar o atime até o período máximo de retenção do MTree).
• Será possível continuar modificando as configurações de propriedade e permissão de um arquivo enquanto o arquivo estiver bloqueado
• Só será possível renomear ou excluir um diretório em um MTree com bloqueio de retenção (RLGE/RLGD ou RLCE) se esse diretório não contiver arquivos. Se o diretório contiver arquivos (mesmo que eles não estejam bloqueados com o Retention Lock), haverá falha na renomeação ou exclusão do diretório
• Mesmo que o conteúdo do arquivo em si não seja modificado, não será permitido alterar o nome (renomear) dos arquivos que tenham um bloqueio definido. Mesmo depois que o bloqueio do arquivo expirar, a renomeação continuará não sendo permitida. No caso dos arquivos que não estão mais bloqueados, a única operação permitida é a exclusão. Isso mudou no DDOS 7.7.4, no qual é permitido renomear os arquivos que não estão mais bloqueados.

É possível remover completamente o bloqueio do Retention Lock em um arquivo ou conjunto de arquivos?
É possível "reverter" (remover) o bloqueio do Retention Lock em arquivos de MTrees que usam o modo Governança. Esse processo é feito com o seguinte comando:     

# mtree retention-lock revert [path]

Depois que o bloqueio do Retention Lock for removido de um arquivo, o arquivo poderá ser modificado ou excluído normalmente. Se esse comando for executado em um diretório, todos os arquivos dentro desse diretório e todos os subdiretórios terão o bloqueio do Retention Lock removido.

Não é possível reverter um bloqueio do Retention Lock em arquivos de MTrees que usam o modo Conformidade. Em caso de tentativa, um erro correspondente será exibido:     

# mtree retention-lock revert /data/col1/rl_test_comp/testfile
This operation is not allowed. Mtree is in retention-lock compliance mode.

O que acontecerá se houver uma tentativa de modificar ou remover um arquivo bloqueado com o Retention Lock?
Qualquer tentativa de modificar ou excluir um arquivo bloqueado com o Retention Lock gerará um erro permission denied correspondente:

# echo " test2" >> /data/col1/rl_test/testfile
bash: testfile: Permission denied
# rm testfile
rm: remove write-protected regular file `testfile'? y
rm: cannot remove `testfile': Permission denied

Os logs do DDFS indicam que a operação falhou porque o arquivo está bloqueado com o Retention Lock:     

06/07 07:06:59.756 (tid 0x2b5a77605d50): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
06/07 07:07:42.504 (tid 0x2b5a79111390): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.

É possível listar todos os arquivos que estão bloqueados com o Retention Lock?
Sim, é possível fazer isso usando o mtree retention-lock report generate retention-details comando:

mtree retention-lock report generate retention-details
mtrees {<mtree-list> | all}
[format {text | tsv | csv}]
[output-file <file-name>]
               Report detailed information of
               retention-lock files.

Por exemplo, para listar detalhes de todos os arquivos bloqueados em /data/col1/rl_test MTree seria necessário realizar este procedimento:

sysadmin@ddxxxx# mtree retention-lock report generate retention-details mtrees /data/col1/jftest
Report generated on: Fri Jul  1 14:19:31 2016

Report for mtree: /data/col1/jftest
File Path        Mode        Size(Bytes)        Expiration Date
/data/col1/jftest/file1 governance 10521456 Sat Jul  2 22:35:48 2016
/data/col1/jftest/testdir/file2 governance 10521680 Sat Jul  2 22:35:42 2016
/data/col1/jftest/file3 governance 10521820 Sun Jul 10 22:36:09 2016
Total files: 3

É possível desativar completamente o Retention Lock de um MTree (depois de ele ser ativado)?
Sim, em MTrees que usam o modo de governança, é possível fazer isso por meio do mtree retention-lock disable comando:

# mtree retention-lock disable mtree [mtree]

For example:
sysadmin@xxxx# mtree retention-lock disable mtree /data/col1/rl_test
Retention-lock feature is disabled (previously enabled) for mtree /data/col1/rl_test.

Once disabled, MTree list indicates that retention lock was used against the MTree but has since been disabled, that is: 

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rl_test                             0.0   RW/RLGD   -
...

sysadmin@ddxxxx# mtree retention-lock revert /data/col1/rl_test/testfile
**** Retention-lock feature is disabled (previously enabled) for mtree which contains the path /data/col1/rl_test/testfile.

• O Retention Lock não pode ser desabilitado em um MTree que usa o modo Conformidade:     

sysadmin@ddxxxx# mtree retention-lock disable mtree /data/col1/rl_test_comp
**** Operation is not allowed because the system is a retention-lock compliance system

# mtree retention-lock revert /data/col1/myTree
The 'mtree retention-lock revert' command removes retention-lock on this path thereby making it unprotected.
	Are you sure:  (yes | no)  [no]:  yes
Ok, proceeding
Please enter sysadmin password to confirm 'mtree retention-lock revert':
**** The filesystem is not responding.

• Replicação de diretório – Compatível apenas com arquivos que usam o modo Governança e não replica períodos mínimos e máximos de retenção para o sistema de destino.
• Replicação de MTree – Pode ser usada para dados do modo Governança ou Conformidade e replica períodos mínimos e máximos de retenção para o sistema de destino.
• Replicação de conjunto – Pode ser usada para dados do modo Governança ou Conformidade e replica períodos mínimos e máximos de retenção para o sistema de destino.

# replication break mtree://[destination system]/data/col1/[mtree]

# mtree retention-lock enable mode compliance mtree [mtree]

# replication add source mtree://[source system]/data/col1/[mtree] destination mtree://[destination system/data/col1/[mtree]

# replication resync mtree://[destination system/data/col1/[mtree]

# user reset
# filesys destroy
# filesys archive unit del [archive unit name]

# mtree delete [mtree]
# mtree retention-lock reset [min-retention-period period | max-retention-period period] mtree [mtree]
# mtree retention-lock disable mtree [mtree]
# mtree retention-lock revert

# cloud unit del <cloud unit name>