Melhores práticas do Serviço de Cópia de Segurança de Infraestrutura – Ruggedized

  • Artigo

Aplica-se a: Modular Data Center, Azure Stack Hub ruggedized

Reveja estas melhores práticas regularmente para verificar se a instalação ainda está em conformidade quando forem efetuadas alterações ao fluxo de operação. Se encontrar problemas ao implementar estas melhores práticas, contacte Suporte da Microsoft para obter ajuda.

Melhores práticas de configuração

A cópia de segurança da infraestrutura é ativada por predefinição durante a implementação de um novo sistema e armazenada internamente. Com o portal do Azure Stack ou o PowerShell, pode fornecer uma localização de armazenamento externo para exportar as cópias de segurança para uma localização secundária.

Rede

A cadeia UNC (Universal Naming Convention) para o caminho tem de utilizar um nome de domínio completamente qualificado (FQDN). Um endereço IP pode ser utilizado se a resolução de nomes não for possível. Uma cadeia UNC especifica a localização dos recursos, como ficheiros ou dispositivos partilhados.

Encriptação

O certificado de encriptação é utilizado para encriptar dados de cópia de segurança que são exportados para o armazenamento externo. O certificado pode ser um certificado autoassinado, uma vez que o certificado só é utilizado para transportar chaves. Para obter mais informações sobre como criar um certificado, veja a documentação de New-SelfSignedCertificate.

O certificado tem de ser armazenado numa localização segura. O formato CER do certificado é utilizado para encriptar apenas dados e não é utilizado para estabelecer comunicação.

Melhores práticas operacionais

Cópias de segurança

  • As tarefas de cópia de segurança são executadas enquanto o sistema está em execução, pelo que não há tempo de inatividade para as experiências de gestão ou aplicações de utilizador. As tarefas de cópia de segurança demoram entre 20 e 40 minutos para uma solução que esteja sob carga razoável.

  • Instruções adicionais fornecidas para fazer uma cópia de segurança manual dos comutadores de rede e do anfitrião do ciclo de vida do hardware (HLH).

Nomes de pastas

  • A infraestrutura cria automaticamente uma pasta MASBACKUP. Esta é uma partilha gerida pela Microsoft. Pode criar partilhas ao mesmo nível que MASBACKUP. Não é recomendado criar pastas ou dados de armazenamento dentro do MASBACKUP que o Azure Stack não cria.

  • O FQDN do utilizador e a região no nome da pasta diferenciam os dados de cópia de segurança de clouds diferentes. O FQDN da implementação e dos pontos finais do Azure Stack é a combinação do parâmetro Região e do parâmetro Nome de Domínio Externo . Para obter mais informações, veja Integração do datacenter do Azure Stack – DNS.

Por exemplo, a partilha de cópia de segurança é AzSBackups alojada no fileserver01.contoso.com. Nessa partilha de ficheiros, pode existir uma pasta por implementação do Azure Stack com o nome de domínio externo e uma subpasta que utiliza o nome da região.

  • FQDN: contoso.com
  • Região: nyc
\\fileserver01.contoso.com\AzSBackups
\\fileserver01.contoso.com\AzSBackups\contoso.com
\\fileserver01.contoso.com\AzSBackups\contoso.com\nyc
\\fileserver01.contoso.com\AzSBackups\contoso.com\nyc\MASBackup

A MASBackup pasta é onde o Azure Stack armazena os respetivos dados de cópia de segurança. Não utilize esta pasta para armazenar os seus próprios dados. Os OEMs também não devem utilizar esta pasta para armazenar quaisquer dados de cópia de segurança.

Os OEMs são incentivados a armazenar dados de cópia de segurança dos respetivos componentes na pasta região. Pode armazenar cada comutador de rede, anfitrião de ciclo de vida de hardware (HLH), etc., na sua própria subpasta. Por exemplo:

\\fileserver01.contoso.com\AzSBackups\contoso.com\nyc\HLH
\\fileserver01.contoso.com\AzSBackups\contoso.com\nyc\Switches
\\fileserver01.contoso.com\AzSBackups\contoso.com\nyc\DeploymentData
\\fileserver01.contoso.com\AzSBackups\contoso.com\nyc\Registration

Monitorização

Os seguintes alertas são suportados pelo sistema:

Alerta Description Remediação
A cópia de segurança falhou porque a partilha de ficheiros está sem capacidade. A partilha de ficheiros está sem capacidade e o controlador de cópia de segurança não consegue exportar ficheiros de cópia de segurança para a localização. Adicione mais capacidade de armazenamento e tente fazer uma cópia de segurança novamente. Elimine as cópias de segurança existentes (começando do mais antigo primeiro) para libertar espaço.
A cópia de segurança falhou devido a problemas de conectividade. A rede entre o Azure Stack e a partilha de ficheiros está a ter problemas. Resolva o problema de rede e tente fazer a cópia de segurança novamente.
A cópia de segurança falhou devido a uma falha no caminho. Não é possível resolver o caminho da partilha de ficheiros. Mapeie a partilha a partir de um computador diferente para garantir que a partilha está acessível. Poderá ter de atualizar o caminho se este já não for válido.
A cópia de segurança falhou devido a um problema de autenticação. Pode haver um problema com as credenciais ou um problema de rede que afeta a autenticação. Mapeie a partilha a partir de um computador diferente para garantir que a partilha está acessível. Poderá ter de atualizar as credenciais se já não forem válidas.
A cópia de segurança falhou devido a uma falha geral. O pedido com falha pode dever-se a um problema intermitente. Tente fazer uma cópia de segurança novamente. Contacte o suporte.

Componentes do Serviço de Cópia de Segurança de Infraestrutura

O Serviço de Cópia de Segurança da Infraestrutura inclui os seguintes componentes:

  • Controlador de Cópia de Segurança de Infraestrutura: o Controlador de Cópia de Segurança de Infraestrutura é instanciado e reside em todas as cloud do Azure Stack.

  • Fornecedor de Recursos de Cópia de Segurança: o Fornecedor de Recursos de Cópia de Segurança (RP de Cópia de Segurança) é composto pela interface de utilizador e pelas APIs que expõem a funcionalidade de cópia de segurança básica para a infraestrutura do Azure Stack.

Controlador de Cópia de Segurança de Infraestrutura

O Controlador de Cópia de Segurança de Infraestrutura é um serviço do Service Fabric que é instanciado para uma Cloud do Azure Stack. Os recursos de cópia de segurança são criados a nível regional e capturam dados de serviço específicos da região do AD, CA, Resource Manager do Azure, CRP, SRP, NRP, Key Vault e RBAC.

Fornecedor de Recursos de Cópia de Segurança

O Fornecedor de Recursos de Cópia de Segurança apresenta uma interface de utilizador no portal do Azure Stack para configuração básica e listagem de recursos de cópia de segurança. Os operadores podem realizar as seguintes ações na interface de utilizador:

  • Ative a cópia de segurança pela primeira vez ao fornecer localização de armazenamento externo, credenciais e chave de encriptação.
  • Veja os recursos de cópia de segurança criados concluídos e os recursos de estado na criação.
  • Modifique a localização de armazenamento onde o Controlador de Cópia de Segurança coloca os dados de cópia de segurança.
  • Modifique as credenciais que o Controlador de Cópia de Segurança utiliza para aceder à localização de armazenamento externo.
  • Modifique o certificado de encriptação que o Controlador de Cópia de Segurança utiliza para encriptar cópias de segurança.

Requisitos do Controlador de Cópia de Segurança

Esta secção descreve requisitos importantes para o Serviço de Cópia de Segurança da Infraestrutura. Recomendamos que reveja cuidadosamente as informações antes de ativar a cópia de segurança para a instância do Azure Stack e, em seguida, consulte-a conforme necessário durante a implementação e operação subsequente.

Os requisitos incluem:

  • Requisitos de software: descreve as localizações de armazenamento suportadas e a documentação de orientação de dimensionamento.
  • Requisitos de rede: descreve os requisitos de rede para diferentes localizações de armazenamento.

Requisitos de software

Localizações de armazenamento suportadas

Localização do armazenamento Detalhes
Partilha de ficheiros SMB alojada num dispositivo de armazenamento no ambiente de rede fidedigno. A partilha SMB no mesmo datacenter onde o Azure Stack é implementado ou num datacenter diferente. Várias instâncias do Azure Stack podem utilizar a mesma partilha de ficheiros.
Partilha de ficheiros SMB no Azure. Não suportado atualmente.
Armazenamento de blobs no Azure. Não suportado atualmente.

Versões SMB suportadas

SMB Versão
SMB 3.x

Encriptação SMB

O Serviço de Cópia de Segurança da Infraestrutura suporta a transferência de dados de cópia de segurança para uma localização de armazenamento externo com a encriptação SMB ativada no lado do servidor. Se o servidor não suportar a Encriptação SMB ou não tiver a funcionalidade ativada, o Serviço de Cópia de Segurança da Infraestrutura reverterá para a transferência de dados não encriptadas. Os dados de cópia de segurança colocados na localização de armazenamento externo são sempre encriptados inativos e não dependem da encriptação SMB.

Dimensionamento da localização de armazenamento

Recomendamos que faça uma cópia de segurança pelo menos duas vezes por dia e mantenha, no máximo, sete dias de cópias de segurança. Este é o comportamento predefinido quando ativa cópias de segurança de infraestrutura no Azure Stack.

Dimensionamento do Ambiente Tamanho previsto da cópia de segurança Quantidade total de espaço necessário
4 a 16 nós 20 GB 280 GB

Requisitos da rede

Localização do armazenamento Detalhes
Partilha de ficheiros SMB alojada num dispositivo de armazenamento no ambiente de rede fidedigno. A porta 445 é necessária se a instância do Azure Stack residir num ambiente com firewall. O Controlador de Cópia de Segurança de Infraestrutura iniciará uma ligação ao servidor de ficheiros SMB através da porta 445.
Para utilizar o FQDN do servidor de ficheiros, o nome tem de ser resolvível a partir do PEP.

Nota

Não é necessário abrir portas de entrada.

Requisitos de encriptação

O Serviço de Cópia de Segurança da Infraestrutura utiliza um certificado com uma chave pública (. CER) para encriptar dados de cópia de segurança. O certificado é utilizado para o transporte de chaves e não é utilizado para estabelecer uma comunicação autenticada segura. Por este motivo, o certificado pode ser um certificado autoassinado. O Azure Stack não precisa de verificar a raiz ou a confiança deste certificado, pelo que não é necessário acesso à Internet externo.

O certificado autoassinado vem em duas partes, uma com a chave pública e outra com a chave privada:

  • Encriptar dados de cópia de segurança: certificado com a chave pública (exportada para . O ficheiro CER) é utilizado para encriptar dados de cópia de segurança.
  • Desencriptar dados de cópia de segurança: certificado com a chave privada (exportado para . O ficheiro PFX) é utilizado para desencriptar dados de cópia de segurança.

O certificado com a chave pública (. CER) não é gerido pela rotação de segredos internos. Para rodar o certificado, tem de criar um novo certificado autoassinado e atualizar as definições de cópia de segurança com o novo ficheiro (. CER).

Todas as cópias de segurança existentes permanecem encriptadas com a chave pública anterior. As novas cópias de segurança utilizam a nova chave pública.

Por motivos de segurança, o certificado utilizado durante a recuperação da cloud com a chave privada (. O PFX não é persistido pelo Azure Stack.

Limites da Cópia de Segurança da Infraestrutura

Considere estes limites à medida que planeia, implementa e opera as instâncias do Microsoft Azure Stack. A tabela seguinte descreve estes limites.

Identificador de limite Limite Comentários
Tipo de cópia de segurança Apenas completo O Controlador de Cópia de Segurança de Infraestrutura só suporta cópias de segurança completas. As cópias de segurança incrementais não são suportadas.
Cópias de segurança agendadas Agendado e manual O controlador de cópia de segurança suporta cópias de segurança agendadas e a pedido.
Máximo de tarefas de cópia de segurança simultâneas 1 Só é suportada uma tarefa de cópia de segurança ativa por instância do Controlador de Cópia de Segurança.
Configuração do comutador de rede Não está no âmbito Administração tem de fazer uma cópia de segurança da configuração do comutador de rede com as ferramentas OEM. Veja a documentação do Azure Stack fornecida por cada fornecedor OEM.
Anfitrião do Ciclo de Vida do Hardware Não está no âmbito Administração tem de fazer uma cópia de segurança do Anfitrião do Ciclo de Vida do Hardware com ferramentas OEM. Veja a documentação do Azure Stack fornecida por cada fornecedor OEM.
Número máximo de partilhas de ficheiros 1 Apenas uma partilha de ficheiros pode ser utilizada para armazenar dados de cópia de segurança.
Criar cópias de segurança de fornecedores de recursos de valor acrescentado No âmbito A cópia de segurança da infraestrutura inclui a cópia de segurança para o RP dos Hubs de Eventos, o RP do Data Box Edge.

Passos seguintes