CommvaultおよびOCI Object Storageによる不変のエンタープライズ・バックアップの保護
CommvaultおよびOCI Object Storageを使用して、セキュアでスケーラブル、不変のバックアップ・リポジトリを構築します。CommvaultはOCI Object Storageをバックアップ・ターゲットとして使用し、Oracle Cloud Infrastructure (OCI)保持ルールは、書込み1回のみを提供し、多数の(WORM)保護を読み取り、構成済の保存期間中にバックアップ・データが変更または削除されないようにします。
OCI Object Storageは、耐久性が高く、スケーラブルでコスト効率の高いオブジェクト・ストレージ・サービスであり、複数のストレージ層をサポートして、様々なバックアップ保持要件のコストとパフォーマンスを最適化します。CommvaultとOCI Object Storageの不変ストレージ機能を組み合わせることで、組織はサイバー・レジリエンスを強化し、規制コンプライアンスをサポートし、ランサムウェア、悪意のあるアクション、偶発的な削除からバックアップ・データを保護できます。
アーキテクチャ
Commvault MediaAgentでは、テナンシOCID、ユーザーOCID、APIキー・フィンガープリント、秘密キーなどのOCI資格証明を使用して、HTTPS経由でバックアップ・データを認証および転送します。
ストレージを構成する前に、ターゲット・バケットが適切なOCIコンパートメントに存在している必要があります。
Commvaultは、OCIオブジェクト・ストレージの標準、頻度の低いアクセスおよびアーカイブ・ストレージ層をサポートしています。また、バケット・レベルの保持をサポートし、OCIオブジェクト・ストレージの保存ルールで書込み1回実装し、バックアップ・データの多数の(WORM)保護を読み取ることができます。
どちらの導入モデルも、OCIネットワーキング・サービスとアイデンティティ・サービスを使用して、セキュアな接続とアクセス制御を実現しています。OCIサービス・ゲートウェイでは、OCIオブジェクト・ストレージとのプライベート通信が可能になり、IAMポリシーでは、バックアップ・リソースおよび保持ルールへの最小権限アクセスが強制されます。
このアーキテクチャは、ハイブリッドおよびクラウドのみのデプロイメント・モデルをサポートしています。
ハイブリッド導入モデル
図hybrid-commvault-oci-fastconnect-arch.pngの説明
hybrid-commvault-oci-fastconnect-arch-oracle.zip#GUID-A01B37ED-5C0B-44E4-A532-BC6BE00C4EF6
ワークロードがオンプレミスでもOCIでも実行され、OCIオブジェクト・ストレージを一元化された不変バックアップ・ターゲットにする場合は、ハイブリッド・デプロイメント・モデルを使用します。オンプレミス環境は、OCI FastConnectまたはOCI Site-to-Site VPNを介してバックアップ・コピーをOCIに送信します。動的ルーティング・ゲートウェイ(DRG)およびサービス・ゲートウェイ(SG)は、プライベート・パスでデータ・トラフィックを保持します。
OCIで実行されているワークロードの場合は、MediaAgentコンポーネントを使用してCommvaultアクセス・ノードをデプロイします。アクセス・ノードはOCI仮想マシンの保護に必要なプロキシ機能を提供し、MediaAgentはバックアップ・データをOCIオブジェクト・ストレージに移動します。保護されたOCIワークロードにこれらのコンポーネントを近づけることで、オンプレミス環境とOCI間の接続間で不要なデータ移動を回避できます。
クラウド専用デプロイメント・モデル
図cloud-commvault-oci-deployment-arch.pngの説明
クラウド-commvault-oci-deployment-arch-oracle.zip#GUID-133F5569-9DA5-46D4-9D34-511A0F89AD8C
保護されたワークロードおよびCommvaultインフラストラクチャがOCIでのみ実行されている場合は、クラウドのみのデプロイメント・モデルを使用します。このモデルは、オンプレミスのバックアップ・パスを必要としないクラウドネイティブまたは移行されたワークロードに使用します。MediaAgentは、バックアップをOCIサービス・ゲートウェイを介してOCIオブジェクト・ストレージに直接送信し、Oracle Cloudネットワーク上のバックアップ・トラフィックを保持します。
アーキテクチャ・コンポーネント
このアーキテクチャには次のコンポーネントがあります。
- Commvault:
バックアップおよびリカバリ操作を管理します。MediaAgentコンポーネントを含むアクセス・ノードは、保護されたOCIワークロードからOCIオブジェクト・ストレージにバックアップ・データを移動します。
- 可用性ドメイン
可用性ドメインは、リージョン内の独立したスタンドアロン・データ・センターです。各可用性ドメイン内の物理リソースは、他の可用性ドメイン内のリソースから分離されているため、フォルト・トレランスが提供されます。可用性ドメインどうしは、電力や冷却、内部可用性ドメイン・ネットワークなどのインフラを共有しません。そのため、あるアベイラビリティ・ドメインでの障害が、リージョン内の他のアベイラビリティ・ドメインに影響を及ぼすことはありません。
- コンパートメント
コンパートメントは、OCIテナンシ内のリージョン間の論理パーティションです。コンパートメントを使用して、Oracle Cloudリソースの使用量割当てを編成、制御および設定します。特定のコンパートメントで、アクセスを制御し、リソースの権限を設定するポリシーを定義します。
- 動的ルーティング・ゲートウェイ(DRG)
The DRG is a virtual router that provides a path for private network traffic between VCNs in the same region, between a VCN and a network outside the region, such as a VCN in another OCI region, an on-premises network, or a network in another cloud provider.
- OCI FastConnect
Oracle Cloud Infrastructure FastConnectは、データ・センターとOCIの間に専用のプライベート接続を作成します。FastConnectは、ネットワークベースの接続と比較して、より高い帯域幅のオプションと、より信頼性の高いネットワーキング・エクスペリエンスを提供します。
- オンプレミス・ネットワーク
これは、組織で使用されるローカル・ネットワークです。
- OCIのリージョン
OCIリージョンとは、可用性ドメインをホストする1つ以上のデータ・センターを含む、ローカライズされた地理的領域のことです。リージョンは他のリージョンから独立しており、長距離の場合は複数の国または大陸にまたがる領域を分離できます。
- サービス・ゲートウェイ
サービス・ゲートウェイは、VCNからOracle Cloud Infrastructure Object Storageなどの他のサービスへのアクセスを提供します。VCNからOracle serviceへのトラフィックは、Oracleネットワーク・ファブリックを経由し、インターネットを経由しません。
- OCI Site-to-Site VPN
OCI Site-to-Site VPNは、オンプレミス・ネットワークとOCI上のVCNs間のIPSec VPN接続を提供します。IPSecプロトコル・スイートは、パケットがソースから宛先に転送される前にIPトラフィックを暗号化し、到着時にトラフィックを復号化します。
- OCI仮想クラウド・ネットワークおよびサブネット
仮想クラウド・ネットワーク(VCN)は、ソフトウェアで定義されたカスタマイズ可能なネットワークであり、OCIリージョン内に設定します。従来のデータ・センター・ネットワークと同様に、VCNsではネットワーク環境を制御できます。VCNには、VCNの作成後に変更できる重複しないクラスレス・ドメイン間ルーティング(CIDR)ブロックを複数含むことができます。VCNをサブネットにセグメント化して、そのスコープをリージョンまたは可用性ドメインに設定できます。各サブネットは、VCN内の他のサブネットと重複しない連続した範囲のアドレスで構成されます。サブネットのサイズは、作成後に変更できます。サブネットはパブリックにもプライベートにもできます。
- OCIブロック・ボリューム
Oracle Cloud Infrastructure Block Volumesでは、ストレージ・ボリュームを作成、アタッチ、接続および移動し、ストレージ、パフォーマンスおよびアプリケーションの要件を満たすようにボリューム・パフォーマンスを変更できます。ボリュームをインスタンスにアタッチおよび接続した後は、そのボリュームを通常のハード・ドライブのように使用できます。また、データを失わないで、ボリュームの切断して別のインスタンスにアタッチできます。
- OCIコンピューティング
Oracle Cloud Infrastructure Computeでは、クラウドでコンピュート・ホストをプロビジョニングおよび管理できます。CPU、メモリー、ネットワーク帯域幅およびストレージのリソース要件を満たすシェイプでコンピュート・インスタンスを起動できます。コンピュート・インスタンスの作成後は、セキュアにアクセスし、再起動し、ボリュームをアタッチおよびデタッチして、不要になったら終了できます。
- OCIオブジェクト・ストレージ
OCIオブジェクト・ストレージでは、データベースのバックアップ、分析データ、画像やビデオなどのリッチ・コンテンツなど、あらゆるコンテンツ・タイプの構造化データおよび非構造化データを大量にアクセスできます。アプリケーションから直接、またはクラウド・プラットフォーム内から、データを安全かつ安全に保管できます。パフォーマンスやサービスの信頼性を低下させることなく、ストレージを拡張することができます。
迅速、即時、頻繁にアクセスする必要のあるホット・ストレージに標準ストレージを使用します。アーカイブ・ストレージは、長期間保存し、ほとんどまたはめったにアクセスしないコールド・ストレージに使用します。
推奨
ネットワーク
バックアップ・スループットおよびリカバリ要件に従ってネットワーク接続を設計します。
- 大量のバックアップ・トラフィックや予測可能なネットワーク・パフォーマンスには、OCI FastConnectを使用します。
- 帯域幅およびレイテンシの要件が低い場合は、OCI Site-to-Site VPNを使用します。
- OCIベースのデプロイメントでは、OCIサービス・ゲートウェイおよび適切なルート表を使用して、OCIオブジェクト・ストレージ・トラフィックをOracle Cloudネットワークに保持します。
オブジェクト・ストレージ
OCIオブジェクト・ストレージを構成して、バックアップ保持、リカバリ目標およびストレージ・コストを調整します。
- 同じ保持期間を必要とするワークロード専用のバケットを作成します。
- リカバリ目標およびコスト要件に基づいて、標準、頻度の低いアクセスまたはアーカイブ層を選択します。
- アーカイブ層を使用する場合、リカバリ時間目標(RTO)を評価し、ワークフローをリストアし、取得コストを取得してから、重要なバックアップ・コピーに使用します。
セキュリティ
ネットワーク・エクスポージャと管理権限を制限することで、バックアップ・リポジトリを保護します。
- バックアップ・バケットへのパブリック・アクセスを無効にします。
- 最小権限の原則をIAMポリシーに適用します。
- Commvaultの専用アイデンティティを作成し、その権限を必要なコンパートメントおよびバケットに制限します。
- OCIオブジェクト・ストレージ管理とは別のバックアップ管理です。
保持ルール
OCIオブジェクト・ストレージは、バケット・レベルの保持ルールを使用して不変性を実装します。OCIオブジェクト・ストレージ・ターゲットのコマンド・センターからWORMストレージ・ロックを有効にすると、Commvaultによって、対応する保持ルールがバケットに自動的に構成されます。
- ルールをロックする前に、非本番環境で保持構成を検証してください。
- 保持ルールをロックすると、元に戻すことはできません。
- ロックが有効になる前に、必須の14日間の待機期間が適用されます。
- ルールがロックされた後は、保持期間のみ延長できます。
- ロックされた保持ルールを削除するには、すべてのオブジェクトが失効し、バケットが空になった後にバケットを削除する必要があります。
暗号化と監視
バックアップ・データを保護し、ストレージ操作を監視します。
- OCI Object Storageに格納されるデータがデフォルトで暗号化されます。
- 顧客管理の暗号化が必要な場合は、OCI Vaultを使用します。
考慮事項
パフォーマンス
- 保護されたデータ・ボリュームに応じて、ネットワーク接続、MediaAgentおよびバックアップ・ウィンドウのサイズを設定します。
- 本番デプロイメントの前に代表的なワークロードを使用して、バックアップおよびリストアのスループットを検証します。
可用性
- OCIオブジェクト・ストレージはリージョナル・サービスです。
- ディザスタ・リカバリ要件については、リージョン間レプリケーションまたは独立したバックアップ・コピーを評価してください。
- レプリケーション操作およびリカバリ操作に対する保持ルールの影響を考慮します。
原価
- ストレージ容量、APIリクエストおよびデータ取得コストを評価します。
- アーカイブ層を使用する場合は、リストア・コストとリカバリ時間を考慮してください。
- 保持ルールで保護されているオブジェクトは、構成された保持期間が失効する前に削除できません。
工程
- 不変保持を有効にする前に、ストレージ容量の増加を計画します。
- バケットの使用率、バックアップの増加および重複する保持期間を監視します。
- 保持されたオブジェクトは、構成された保持期間が経過するまで保護されたままになります。
セキュリティ
- 不変性は補完しますが、アイデンティティとアクセス制御の代わりにはなりません。
- API資格証明を保護し、該当する場合はMFAを使用します。
- 最小権限のIAMポリシーを適用します。
- OCIオブジェクト・ストレージ管理とは別のバックアップ管理です。
コン遵守
- 規制要件およびビジネス要件に従って保持期間を定義します。
- バケット保持ルールをロックする前に保持ポリシーを検証します。
- 保持ルールがロックされた後は、保持期間を増やすことのみが可能です。