Disponibilité, Live DR, sauvegarde et coffre-fort
Les trois niveaux de disponibilité, les modèles de continuité avec leurs RPO et RTO, la manière dont le Live DR est éprouvé et mis en pratique, la politique de sauvegarde par environnement, la conservation à long terme et le coffre-fort isolé.
Niveaux de disponibilité (production, par défaut proposé)
| Étage | Disponibilité | Qu'est-ce que c'est |
|---|---|---|
| Standard | 99,7% | Base de données multizone à haute disponibilité, sauvegardes isolées du réseau. |
| Live DR | 99,9% | Une deuxième région est en service. |
| Live DR Premium | 99,95% | Trafic dans les deux régions, intervention prioritaire 24h/24 et 7j/7. |
Hors production : 95 %. Mesuré mensuellement à l’entrée TRANXACT, hors période de maintenance convenue. Les SLA des fournisseurs de cloud sont subordonnés à l’engagement TRANXACT.
Définissez le niveau de service avant le dimensionnement. La reprise après Live DR exécute une seconde région complète, ce qui double approximativement le coût de l'infrastructure d'exécution. Présentez-la sur une ligne distincte en regard du coût d'indisponibilité qu'elle élimine et intégrez les systèmes tiers au même niveau de service.
Événements planifiés et imprévus
| Événement | Ce qui se produit | Des éléments à charge contre le SLA ? |
|---|---|---|
| Planifié — mises à jour, redimensionnements, exercices | Les mises à jour progressives sur trois nœuds permettent aux utilisateurs de rester opérationnels. Les interruptions de service ne sont impactées que durant la période mensuelle (4 heures proposées). | Non, dans la plage horaire convenue. |
| Défaillance non planifiée au sein de la région — nœud, pod ou zone | Les pods ont été reprogrammés ; la base de données bascule sur son système de secours synchrone. RPO ≈ 0, récupération en quelques minutes. | Uniquement si l'objectif de niveau n'est pas atteint. |
| Non planifié, à l'échelle régionale | Avec Live DR, la réplique est promue et le gestionnaire de trafic déplace les écritures. RPO secondes, RTO ≤ 15 minutes (proposé). | Selon le niveau. |
Modèles de continuité
| Modèle | RPO / RTO | Nœud | DB | Zone | Région | Ransomware |
|---|---|---|---|---|---|---|
| HA standard (99,7%) | Zone : RPO ≈ 0. Région : restauration à partir du coffre-fort. | Oui | Oui | Oui | Non | Oui |
| Live DR (99,9 %) | RPO secondes, RTO ≤ 15 min | Oui | Oui | Oui | Oui | Oui |
| Live DR Premium (99,95%) | RPO secondes, RTO ≤ 5 min | Oui | Oui | Oui | Oui | Oui |
| Reprise après sinistre passive (SaaS classique) — non proposée | minutes-heures RPO, heures RTO | Oui | Oui | Oui | Incertain | Non |
Live DR n'est pas une solution de secours passive. La seconde région exécute un cluster complet et une base de données répliquée en continu, assurant les lectures en temps réel, la génération de rapports, les requêtes ASK et les envois synthétiques. Son état est vérifié chaque minute et le basculement est automatique : aucune mise à l'échelle ni restauration n'est effectuée.
Les intégrations doivent tolérer la promotion automatique en écriture et rejouer tout ce qui a été publié dans les dernières secondes avant un basculement. Les points de terminaison des partenaires doivent suivre le gestionnaire de trafic (TO_4.10.09, Exclu).
Preuve Live DR
| Test | Ce qui se produit | Impact sur l'entreprise | Fréquence | Catégorie | R&R |
|---|---|---|---|---|---|
| vérification continue | Inscriptions synthétiques, alerte de délai de réplication, somme de contrôle du registre interrégional | Aucun | Chaque minute | Standard | TO_4.10.01 |
| Exercice de basculement prévu | Annonce → pause des écritures (secondes) → promotion du DR → basculement du trafic → vérification du registre → exécution à partir du DR. Échange de rôles. | L'écriture est interrompue pendant quelques secondes. | Trimestriel | Standard | TO_4.10.03 |
| Exercice de basculement supplémentaire | Comme indiqué ci-dessus, en dehors du plan trimestriel | L'écriture est interrompue pendant quelques secondes. | Sur demande, 2 semaines à l'avance | Supplémentaire | TO_4.10.04 |
| foreuse isolée (clôturée) | Copie clonée à partir du serveur de reprise après sinistre, avec les intégrations sortantes désactivées ; tests destructifs autorisés | Aucun en production | Sur demande, 2 semaines à l'avance | Supplémentaire | TO_4.10.05 |
| test de restauration en salle blanche | Restaurez les données depuis le coffre-fort vers un environnement isolé, analysez-les et réconciliez-les. | Aucun en production | Annuel | Standard | TO_4.9.07 |
| Validation commerciale d'un exercice | Le client confirme les processus et les intégrations après la transition. | Effort du client | Chaque exercice | Exclu | TO_4.10.06 |
Après un exercice, il n'y a pas de reconstruction : l'ancien serveur principal devient le Live DR. Les lectures ne s'arrêtent jamais.
Effectuez un premier exercice de basculement et une restauration en salle blanche avant la mise en production. Ces deux opérations constituent des étapes clés avant la mise en production, et chaque exercice ultérieur sert de preuve pour les auditeurs et l'examen du SLA.
Politique de sauvegarde (par défaut proposée)
| Base de données de production | Documents de production | Base de données hors production | Documents non productifs | |
|---|---|---|---|---|
| Fréquence | Instantané quotidien + journaux continus | versionnement continu | Aperçu quotidien | versionnement continu |
| Récupération à un point précis dans le temps | N'importe quel point de la fenêtre de rétention | Restauration de la version | Dernière capture d'écran | Restauration de la version |
| rétention opérationnelle | 30 jours | 30 jours (versions) | 14 jours | 14 jours |
| Copie du coffre-fort | Quotidien, immuable | Quotidien, immuable | Hebdomadaire, immuable | Facultatif |
| rétention du coffre-fort | 90 jours (prolongeable) | 90 jours (prolongeable) | 30 jours | 30 jours |
| Cryptage | Au repos et en transit ; clés du coffre conservées séparément | Au repos et en transit | Au repos et en transit | Au repos et en transit |
Les manifestes et la configuration Kubernetes résident dans l'infrastructure en tant que code, également copiée dans le coffre-fort — l'environnement d'exécution est donc reconstruit et non restauré.
Restaure
| Restaurer | Catégorie | Délai de mise en œuvre | R&R |
|---|---|---|---|
| Sauvegarde à la demande avant un changement majeur | Demande de service standard | Heures | TO_4.9.04 |
| Restauration à un point précis dans le temps | Demande de service standard | Heures; P1 immédiatement | TO_4.9.05 |
| Restauration de salle blanche à partir des archives | Frais supplémentaires par livraison | Heures | TO_4.9.06 |
| Validation par l'entreprise des données restaurées | Exclus — le contrôleur financier | — | TO_4.9.11 |
La chambre forte à lame d'air
- Un compte cloud ou un locataire distinct, avec des identités, une authentification multifacteur et des clés séparées.
- Aucun chemin réseau entrant depuis la production. La production envoie des données dans un seul sens via un rôle en écriture seule, sans droits de lecture ni de suppression.
- Verrouillage de rétention à écriture unique (WORM) : les copies ne peuvent être ni modifiées ni supprimées, même par les administrateurs.
- La suppression nécessite une double approbation ; l’intégrité est vérifiée à réception.
- Les produits restaurés sont placés dans un environnement isolé via le processus de salle blanche — scan, rapprochement, puis promotion — jamais directement au-dessus de la production.
- Une copie hors ligne optionnelle vers un deuxième cloud ou stockage froid, déconnectée périodiquement (TO_4.9.09, Optionnel).
Pourquoi ce système existe-t-il ? La réplication et la copie Live DR permettent de corriger instantanément toute corruption. Les ransomwares et les données corrompues sont également répliqués. Le coffre-fort conserve un historique complet et immuable en dehors des deux régions.
Convenir des personnes détenant les autorisations d’accès au coffre-fort. TRANXACT applique la procédure de double approbation (TO_4.9.12) ; le client désigne ses approbateurs (TO_4.9.13, Exclu).
Rétention à long terme (optionnel)
| Option | Fréquence | Rétention | Métrique | Bloc | Catégorie |
|---|---|---|---|---|---|
| Copie d'archive mensuelle | Mensuel | 1 an | Gigabyte | 256 Go | Facultatif |
| Exemplaire d'archive trimestriel | Trimestriel | 1 an | Gigabyte | 256 Go | Facultatif |
| Copie d'archive de fin d'année | Chaque année, après fermeture | 2, 3 ou 4 ans | Gigabyte | 256 Go | Facultatif |
| Copie hors ligne | Périodique | Conformément à la politique client | Gigabyte | 256 Go | Facultatif |
| Mise sous séquestre d'une copie | Sur demande | Jusqu'à sa libération | Sur demande | — | Supplémentaire |
Une durée de conservation ne peut être réduite une fois définie. Si les règles d'audit ou de conservation légale exigent une durée de conservation plus longue, il convient de l'allonger dès le départ et de la dimensionner en fonction de la croissance des volumes de données et de documents, et non de la taille actuelle de la base de données.
Les valeurs indiquées comme valeurs par défaut proposées sont les points de départ recommandés par le guide de déploiement. Veuillez les confirmer pour chaque client ; le contrat, le bon de commande, le SLA et le DPA prévalent sur les informations présentées sur cette page.
Suivez le cours à ce sujet, avec des schémas et une vérification.