Вторая копия, сверенная байт в байт
Резервные копии есть у всех. Неудобный вопрос — чего они будут стоить в тот день, когда понадобятся: между «мы делаем копии» и «мы можем вернуть вам ваш бизнес» лежит целая дисциплина. О проверенных восстановлениях мы уже писали; этот пост — о второй половине этой дисциплины: где живут копии и кто их проверяет.
Две копии на одной полке — это одна копия
Большинство историй о бэкапах спотыкается о географию. Копия лежит на том же диске, под той же учётной записью, с теми же учётными данными, что и то, что она защищает, — и всё, что уничтожает оригинал (умерший диск, взломанная учётная запись, команда, набранная не в том окне), тем же движением уничтожает и копию. Избыточность, разделяющая домен отказа, — это арифметика, а не защита:
Копия рядом с оригиналом — не вторая копия.
Ночной ритм
Каждую ночь каждый инстанс упаковывает свои базы данных, файлы и конфигурацию и отправляет их, в зашифрованном виде, в собственное внешнее хранилище — с ретенцией в семь ежедневных, четыре еженедельных и двенадцать ежемесячных копий. Затем вторая, независимая машина — отдельное железо, другое место, собственные учётные данные — ведёт версионируемое зеркало всего дерева: не только последнюю копию, но и вчерашнюю версию каждого файла, и версию месячной давности. Одного не хватает — намеренно: секретов. Учётные данные никогда не попадают в бэкап; при восстановлении они генерируются заново, так что копия не может выдать ключ.
Сверено, байт в байт
Бэкап, который никто не читает, — это слух. Пятнадцатого числа каждого месяца мы восстанавливаем по-настоящему и сверяем зеркало байт в байт с первичными копиями; двадцатого — репетируем полное аварийное восстановление: производственный инстанс, отстроенный с нуля от начала до конца. А тишина считается отказом: у каждой задачи бэкапа есть «кнопка мертвеца», и копия, которая тихо не создалась, поднимает тревогу, а не преподносит сюрприз. Скучная машинерия, обслуживаемая ежемесячно, — ровно то, что вы хотите видеть под своим бизнесом в его худший день.
