Avamar: Habilitando o backup imutável do Avamar e o Data Domain Compliance Mode Retention Lock

Requisitos de backup imutável do Avamar

O recurso imutável está disponível no Avamar 19.8.x.
Para versões mais antigas, esse recurso está disponível com a instalação de um hotfix do MCS.

Requisitos de versão do Avamar (verifique "Informações adicionais" para obter os números do Hotfix Suite):

• 19.4.0-124 + hotfix do MCS
• 19.7.0-82 + hotfix do MCS

A versão Integrated Data Protection Appliance do Avamar não é compatível com backup imutável.

Recursos
de backup imutáveisDepois que o backup imutável é configurado, as seguintes operações não podem ser executadas na MCGUI ou na AUI:

• Alterar a data de expiração dos backups locais e remotos ao desativar clients.
• Excluir clients.
• Alterar a data de expiração de um backup.
• Altere o tipo de retenção de um backup.
• Excluir um backup.

Para habilitar o backup imutável no Avamar: Instale os conjuntos de hotfix do MCS necessários.
Para habilitar esse recurso, execute os comandos a seguir. Avalie cuidadosamente sua decisão, pois ela é irreversível.

Como usuário administrador no Avamar Utility ou único nó:

admin@avamar:~/>:avmaint config immutablebackups=true --ava --confirmthisisnotreversible

Para verificar se a configuração está ativada:

admin@avamar:~/>:avmaint nodelist | grep immutablebackups
  immutablebackups="true"

Requisitos do Data Domain Retention Lock

O bloqueio de retenção é um recurso usado em DDRs (Data Domain Restorers) para impedir a modificação ou a exclusão de determinados conjuntos de arquivos por um período predeterminado. Os arquivos bloqueados para retenção são somente leitura até que o período de retenção expire.

O bloqueio de retenção está disponível para duas funções diferentes:

• Governança: Quanto à menos rigorosa das duas funções de bloqueio de retenção, os bloqueios em relação aos arquivos podem ser revertidos, se necessário.
• Conformidade: Essa é a função mais rigorosa e cumpre diversas normas regulamentares comuns. Os bloqueios de arquivos não podem ser revertidos. O DDR precisa ser configurado com um usuário "diretor de segurança", que deve autenticar determinados comandos. Há restrições em outras funcionalidades para impedir que os dados bloqueados sejam removidos ou que os bloqueios sejam revertidos antecipadamente.

O modo Conformidade do Retention Lock atende às normas regulamentares:
A lista de normas regulamentares que o modo Conformidade do Retention Lock cumpre inclui:

• SEC 17a-4(f)
• Regra 1.31b da CFTC
• CFR 21 Parte 11 da FDA
• Lei Sarbanes-Oxley
• IRS 98025 e 97-22
• Norma ISO 15489-1
• MoREQ2010

Para obter todos os detalhes das informações de certificação, entre em contato com o provedor de suporte contratado.

Habilitando o bloqueio de retenção do modo de conformidade no Data Domain: avalie cuidadosamente sua decisão,
pois ela é irreversível.

Como sysadmin do usuário na CLI do Data Domain:
Uma licença de conformidade do Retention Lock é adicionada ao DDR.
Um usuário com a função de "segurança" deve ser criado (supondo-se que tal usuário não exista):

(ADMIN USER) # user add [username] role security

O usuário com função de "segurança" deve fazer login no DDR e habilitar a autorização do usuário de segurança:

(SECURITY USER): # authorization policy set security-officer enabled

O sistema deve ser configurado para o modo Conformidade do Retention Lock. Depois que o seguinte comando for executado até a conclusão, o sistema será reinicializado automaticamente:

(ADMIN USER) # system retention-lock compliance configure

Depois que o sistema for reinicializado, o modo Conformidade do Retention Lock deverá ser habilitado no sistema:

(ADMIN USER) # system retention-lock compliance enable

O modo Conformidade do Retention Lock é habilitado em qualquer MTree necessário:

(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]

MTrees podem ser listados na saída de mtree list, que também pode exibir quais MTrees têm o bloqueio de retenção ativado, por exemplo:

sysadmin@ddxxxx# mtree list
Name                                Pre-Comp (GiB)   Status    Tenant-Unit
---------------------------------   --------------   -------   -----------
...
/data/col1/rich-retention-lock                 0.0   RW/RLGE   -
/data/col1/rl_test                             0.0   RW/RLGD   -
/data/col1/rl_test_comp                        0.0   RW/RLCE   -
/data/col1/test                                3.1   RW/RLGE   -
...
---------------------------------   --------------   -------   -----------
...
 RLGE : Retention-Lock Governance Enabled
 RLGD : Retention-Lock Governance Disabled
 RLCE : Retention-Lock Compliance Enabled

Depois que o bloqueio de retenção for habilitado em um MTree, um período mínimo e máximo de retenção deverão ser definidos. Esses períodos determinam o tempo mínimo e máximo pelo qual um arquivo dentro do MTree pode ficar bloqueado. Por exemplo:

# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]

Os períodos podem ser especificados em várias unidades, da seguinte forma:

*  1min
*  1hr
*  1day
*  1mo
*  1year

Depois que o Retention Lock no Data Domain for ativado:
Faça log-in no Avamar Server e faça um checkpoint:

admin@avamar:~/>:mccli checkpoint create --override_maintenance_scheduler=true

Consulte o artigo 79803 para perguntas sobre o Retention Lock, Data Domain: Perguntas frequentes sobre o Retention Lock.

Consulte o artigo 212375 para obter instruções sobre como fazer download de hotfixes, Avamar: Como encontrar e fazer download de um pacote de hotfix, patch, instalação ou upgrade de um produto no site de suporte da Dell.

Avamar Server v19.4.0-124:

• Hotfix do client — 335595
• Hotfix do servidor – 335584

Avamar Server v19.7.0-82

• Hotfix do client — 335914
• Hotfix do servidor – 335915