Retention Lockとは
Retention Lockとは、Data Domain Restorer (DDR)で使用される機能で、あらかじめ決められた期間、特定のファイル セットの変更や削除を防ぐためのものです。つまり、リテンション ロックされたファイルは、そのリテンション期間が終了するまで読み取り専用となります。
Retention Lockのバージョンにはどのようなものがありますか？
Retention Lockは、次の2種類の機能があります。
リテンション ロックでサポートされているデータ アクセス プロトコルはどれですか？
Retention Lockコンプライアンス モードは、次の規制基準を満たしています。
リテンション ロック コンプライアンス モードが満たす規制基準の一覧は以下のとおりです。
認証情報の詳細については、契約しているサポート会社にお問い合わせください。
リテンション ロック ガバナンスはどのように有効化されますか？
# mtree retention-lock enable mode governance mtree [mtree]
リテンション ロック コンプライアンスはどのように有効化されますか？
(ADMIN USER) # user add [username] role security
(SECURITY USER): # authorization policy set security-officer enabled
(ADMIN USER) # system retention-lock compliance configure
(ADMIN USER) # system retention-lock compliance enable
(ADMIN USER) # mtree retention-lock enable mode compliance mtree [mtree]
どのMTreeでRetention Lockが有効になっているかを判断する方法を教えてください。
Retention Lockが有効になっているMTreeは、 mtree listの出力に表示されます。例を以下に示します。
sysadmin@ddxxxx# mtree list Name Pre-Comp (GiB) Status Tenant-Unit --------------------------------- -------------- ------- ----------- ... /data/col1/rich-retention-lock 0.0 RW/RLGE - /data/col1/rl_test 0.0 RW/RLGD - /data/col1/rl_test_comp 0.0 RW/RLCE - /data/col1/test 3.1 RW/RLGE - ... --------------------------------- -------------- ------- ----------- ... RLGE : Retention-Lock Governance Enabled RLGD : Retention-Lock Governance Disabled RLCE : Retention-Lock Compliance Enabled
Retention Lockガバナンス モードが有効なMTreeをRetention Lockコンプライアンス モードに変換できますか？
『DDOS Administration Guide』に記載されているように、変換はできません。
Retention Lockコンプライアンス モードが有効なMTreeをRetention Lockガバナンス モードに変換できますか？
『DDOS Administration Guide』に記載されているように、変換はできません。
ファイル保存期間またはロック期間はどのように設定されますか？
MTreeに対してRetention Lockを有効にしたら、最小および最大の保存期間を設定する必要があります。これらの期間は、MTree内のファイルがロックされる最小および最大の時間を決定します。例：
# mtree retention-lock set min-retention-period [period] mtree [mtree]
# mtree retention-lock set max-retention-period [period] mtree [mtree]
期間は、次のようにさまざまな単位で指定できます。
既存のリテンション期間を表示するにはどうしたらよいですか？
これは、次の2つのコマンドを使用して実行できます。
# mtree retention-lock show min-retention-period mtree [mtree] # mtree retention-lock show max-retention-period mtree [mtree]
例：
sysadmin@dd630# mtree retention-lock show min-retention-period mtree /data/col1/rl_test
Retention-lock min-retention-period of mtree /data/col1/rl_test is: 720 minutes.
sysadmin@dd630# mtree retention-lock show max-retention-period mtree /data/col1/rl_test
Retention-lock max-retention-period of mtree /data/col1/rl_test is: 30 days.
リテンション ロックが有効なMTree内のファイルは、どのようにロックを有効化するのですか？
NFSまたはCIFSクライアントから「touch」コマンドを使用して、ファイルのatimeを変更することができます。
# touch -a -t [expiry time] [file to be locked]
たとえば、/data/col1/rl_test/testfileのatimeを6月8日の07:05に設定するには、次のようにします。
# touch -a -t 06080705 /data/col1/rl_test/testfile
現在の時間から将来のatimeまでの期間は、MTreeの最小および最大リテンション期間の範囲内である必要があります。そうでない場合は、atimeのファイルを変更する際に次のようなエラーが発生します。
# touch -a -t 08080705 /data/col1/rl_test/testfile
touch: setting times of `/data/col1/rl_test/testfile': Permission denied
対応するメッセージは、Data Domain File System (DDFS)ログ ファイルにも表示されます。
06/07 13:44:57.197 (tid 0x2b28ee5258c0): Attempt to set atime of /data/col1/rl_test/testfile to larger than maximum retention period of mtree.
CIFS (Windows)クライアントには、デフォルトではタッチ コマンドやユーティリティーは含まれていませんが、このようなユーティリティーのいくつかは、さまざまなサード パーティーのWebサイトから自由にダウンロードできます。
DDRへの書き込み後、ファイルを自動的にリテンション ロックすることをサポートするバックアップ アプリケーションはどれですか？
Data Domain Retention Lockは、業界標準のNASベースのWrite-Once-Read-Many (WORM)プロトコルと互換性があります。統合は、Symantec Enterprise Vault、SourceOne、Cloud Tiering Appliance、DiskXtenderなどのアーカイブ アプリケーションで承認されています。
Dell NetWorkerでは、ガバナンス モードとコンプライアンス モードの両方がサポートされています。
2024年6月時点で、最新のAvamarバージョンは、Avamarの「不変バックアップ」機能の一部として、Data Domain Retention Lockのコンプライアンス モードとガバナンス モードの両方をサポートしています。詳細については、Avamarのドキュメントと次のKB記事を参照してください。
「AvamarおよびData Domain：Avamar不変バックアップとData Domainコンプライアンス モード保存ロックの有効化」
Avamarの「不変バックアップ」機能を有効にする手順に厳密に従うことが重要です。これを怠ると、DD内のAvamar MTreeに書き込むことができなくなったり、運用上の問題が発生して時間のかかるリカバリーが必要になったりする可能性があります。AvamarではDD Automatic Retention Lock (ARL)を使用できません。DD上のAvamar MTreeに対してARLを有効にしないでください。
Data Domain Retention Lockをネイティブにサポートしていない他のバックアップ アプリケーションを使用しているお客様は、Data Domain Retention Lockを使用してファイルの保存期間を手動で設定するカスタム スクリプトを開発することもできます。このシナリオでは、カスタム スクリプトがファイルのatimeを設定し、バックアップ アプリケーションがファイルを削除しようとする前にロックが解除されるようにすることを確認します。これを行わないと、バックアップ アプリケーションがロックされたファイルの削除を試みる可能性があります。この試みは失敗し、ファイルはDDRに残され、ディスク領域を無期限に消費することになります。Data Domain管理ガイドを参照してください。
自動リテンション ロック
Data Domain Retention Lock機能をネイティブにサポートしていないバックアップ アプリケーションでは、この機能を活用することがお客様にとって常に問題となっていました。バックアップ管理者は、MTreeで新しく取得されたファイルにRetention Lockを設定するスクリプトを構成する必要があります。このロックは、バックアップの有効期限が切れる（および削除される）直前に期限切れになるように設定する必要があります。
ARLは、この機能が有効になった後にMTreeに書き込まれたすべてのファイルにロックを設定し、構成されたクーリング オフ期間が経過した後、指定された期間にファイルを変更または削除できないようにします。つまり、VTLプール（VTLテープ ファイルは繰り返し書き込まれる）など、一部のファイルを長期間にわたって繰り返し更新する必要があるワークロードまたはバックアップ アプリケーション、またはお客様のバックアップ ファイル自体とともにメタデータ情報を保持するバックアップ アプリケーション（NetWorkerやAvamarなど）では、ARLを有効にしないでください。これらのインスタンスでARLを有効にして重要なファイルを一定期間ロックすると、後で他のバックアップの際にそれらのファイルに書き込もうとすると、それ以降のバックアップは失敗します。
DDOS 6.2.0.20以降、バックアップ管理者がバックアップ ファイルのRetention Lockを維持する負担を軽減し、DDOSを他のベンダーと同等の機能にするために、Retention Lockが設定された各MTreeに対してCLIから有効にできる機能が追加されました。この機能により、ディスクへのファイル書き込み完了から所定の時間が経過すると、取り込んだすべてのファイルにロックを設定できます（指定期間）。この方法により、管理者は手動（またはスクリプト化）でリテンション ロックを設定することを心配する必要がなくなり、バックアップ アプリケーションの協力なしに自動的にこれを行うことができるようになりました。
DDOS 7.8より前のバージョンでは、DD Boost論理ストレージ ユニット(LSU)でAutomatic Retention Lock (ARL)を使用できず、これを有効にしようとすると、サポートされていないというエラーが返されます。
7.8以降では、ARLはDDBoost LSUでサポートされています。
（NWクローンなどの管理ファイル レプリケーション(MFR)のターゲットDDで使用されるARLは、ファイルにロックが設定される前にバックアップ セットのクローン操作が完了するように、十分な長さの「automatic-lock-delay」を設定する必要があります。Example: バックアップ セットの一部である小さなファイルはすぐにレプリケーションが終了しますが、大きなファイルの場合には時間がかかるため、大きなファイルのレプリケーションが完了するまでに最初のファイルにRetention Lockが適用され、NWがバックアップ セットのすべてのファイルを最終的なアーカイブ ディレクトリーに移動しようとするとエラーが発生します。）
Data Domain VTLでは、Automatic Retention Lock (ARL)はサポートされていません。
該当するバージョンでは、 mtree retention-lock CLIに以下のような追加オプションがあります。この機能は、［Use］オプションで［Manual］ではなく［Automatic］を選択することで、UIからも設定することが可能です。
# mtree retention-lock set
{min-retention-period | max-retention-period |
automatic-retention-period | automatic-lock-delay} <period>
mtree <mtree-path>
Automatic Retention Lock (ARL)機能は、あらかじめ設定されたクール オフ期間が経過すると、直ちにファイルをロックする機能です(automatic-lock-delay)。リテンション ロック有効のMTreeにファイルが書き込まれ、設定された時点から「automatic-retention-period」が有効で、その値がMTreeに設定された「min-retention-period」値と「max-retention-period」値の範囲内にある場合、ロックが発生します。
この機能の詳しい使い方や一般的な内容は、対応するDDOS管理ガイドを参照してください。この機能は、異なる期間のロックが設定されるバックアップ、または最初にロックが設定されるまたは設定されないバックアップのターゲットとして同じMTreeを使用する状況にはあまり適していません。
ロックされたファイルに対してできること、できないことは何ですか？
ファイルやファイル群に対するリテンション ロックを完全に削除することは可能ですか？
ガバナンス モードを使用しているMTree内のファイルに対するリテンション ロックを「元に戻す」（削除する）ことは可能です。これは、次のコマンドで実行します。
# mtree retention-lock revert [path]
ファイルに対するリテンション ロックが削除されると、通常どおりファイルを変更または削除することができます。このコマンドがディレクトリーに対して実行された場合、そのディレクトリー内のすべてのファイルとすべてのサブディレクトリーのリテンション ロックが削除されます。
コンプライアンス モードを使用しているMTree内のファイルに対するリテンション ロックを元に戻すことはできません。戻そうとするとエラーが表示されます。
# mtree retention-lock revert /data/col1/rl_test_comp/testfile
This operation is not allowed. Mtree is in retention-lock compliance mode.
Retention Lockが適用されたファイルを変更または削除しようとするとどうなりますか？
Retention Lockが適用されたファイルを変更または削除しようとすると、それに対応する permission denied エラーが発生します。
# echo " test2" >> /data/col1/rl_test/testfile
bash: testfile: Permission denied
# rm testfile
rm: remove write-protected regular file `testfile'? y
rm: cannot remove `testfile': Permission denied
DDFSログは、ファイルがリテンション ロックされているために操作が失敗したことを示しています。
06/07 07:06:59.756 (tid 0x2b5a77605d50): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
06/07 07:07:42.504 (tid 0x2b5a79111390): Atime of retention-lock file /data/col1/rl_test/testfile is not expired.
Retention Lockが適用されたすべてのファイルを一覧表示することは可能ですか？
はい。これは、 mtree retention-lock report generate retention-details コマンドを使用して実行できます。
mtree retention-lock report generate retention-details
mtrees {<mtree-list> | all}
[format {text | tsv | csv}]
[output-file <file-name>]
Report detailed information of
retention-lock files.
例えば、 /data/col1/rl_test MTree のロックされているすべてのファイルの詳細を一覧表示するには、次を実行します。
sysadmin@ddxxxx# mtree retention-lock report generate retention-details mtrees /data/col1/jftest
Report generated on: Fri Jul 1 14:19:31 2016
Report for mtree: /data/col1/jftest
File Path Mode Size(Bytes) Expiration Date
/data/col1/jftest/file1 governance 10521456 Sat Jul 2 22:35:48 2016
/data/col1/jftest/testdir/file2 governance 10521680 Sat Jul 2 22:35:42 2016
/data/col1/jftest/file3 governance 10521820 Sun Jul 10 22:36:09 2016
Total files: 3
MTreeのRetention Lockを（有効化後に）完全に無効にすることはできますか？
はい。ガバナンス モードを使用するMTreeでは、 mtree retention-lock disable コマンドを使用して実行できます。
# mtree retention-lock disable mtree [mtree] For example: sysadmin@xxxx# mtree retention-lock disable mtree /data/col1/rl_test Retention-lock feature is disabled (previously enabled) for mtree /data/col1/rl_test. Once disabled,MTree listindicates that retention lock was used against the MTree but has since been disabled, that is: sysadmin@ddxxxx#mtree listName Pre-Comp (GiB) Status Tenant-Unit --------------------------------- -------------- ------- ----------- ... /data/col1/rl_test 0.0 RW/RLGD - ...
sysadmin@ddxxxx# mtree retention-lock revert /data/col1/rl_test/testfile **** Retention-lock feature is disabled (previously enabled) for mtree which contains the path /data/col1/rl_test/testfile.
sysadmin@ddxxxx# mtree retention-lock disable mtree /data/col1/rl_test_comp **** Operation is not allowed because the system is a retention-lock compliance system
# replication break mtree://[destination system]/data/col1/[mtree]
# replication add source mtree://[source system]/data/col1/[mtree] destination mtree://[destination system/data/col1/[mtree]
# mtree retention-lock enable mode compliance mtree [mtree]
# replication resync mtree://[destination system/data/col1/[mtree]
# user reset
# filesys destroy
# filesys archive unit del [archive unit name] このようなシステムは、USBドライブを使用してシステムに物理的にアクセスしなければ、テクニカル サポートがリカバリーのためにシングル ユーザー モードで起動することはできません。
# mtree delete [mtree] # mtree retention-lock reset [min-retention-period period | max-retention-period period] mtree [mtree] # mtree retention-lock disable mtree [mtree] # mtree retention-lock revertただし、DDOS 7.3以降のリリースでは、Retention Lockコンプライアンス モードが有効なMTreeは、以下の条件を満たしている場合、お客様が削除できるようにプロビジョニングされています。
# cloud unit del <cloud unit name>
# filesys enable