Disponibilità, Live DR, backup e archivio
I tre livelli di disponibilità, i modelli di continuità con i relativi RPO e RTO, le modalità di verifica e collaudo Live DR, la politica di backup per ambiente, la conservazione a lungo termine e il vault isolato dalla rete.
Livelli di disponibilità (produzione, predefinito proposto)
| Livello | Disponibilità | Che cos'è |
|---|---|---|
| Standard | 99,7% | Multizona, database HA, backup isolati dalla rete. |
| Live DR | 99,9% | Una seconda regione è operativa. |
| Live DR Premium | 99,95% | Gestione del traffico in entrambe le regioni, intervento prioritario 24 ore su 24, 7 giorni su 7. |
Non in produzione: 95%. Misurato mensilmente all'ingresso di TRANXACT, escludendo la finestra di manutenzione concordata. Gli SLA del fornitore di servizi cloud sono subordinati all'impegno di TRANXACT.
Definisci il livello prima di dimensionarlo. Il ripristino di emergenza in tempo reale (Live DR) utilizza una seconda regione a grandezza naturale, il che raddoppia approssimativamente i costi dell'infrastruttura in fase di esecuzione. Mostralo come una voce separata rispetto al costo di inattività che elimina e mantieni i sistemi di terze parti integrati allo stesso livello.
Eventi pianificati e non pianificati
| Evento | Che succede | Conta ai sensi dell'SLA? |
|---|---|---|
| Pianificato: aggiornamenti, ridimensionamenti, esercitazioni | Gli aggiornamenti progressivi su tre nodi garantiscono la continuità operativa degli utenti. I tempi di inattività si limitano alla finestra mensile (4 ore previste). | No, entro i tempi concordati. |
| Guasto imprevisto, all'interno della regione: a un nodo, un pod o una zona. | Pod riprogrammati; il database effettua il failover sul suo standby sincrono. RPO ≈ 0, ripristino in pochi minuti. | Solo se non si raggiunge l'obiettivo di livello. |
| Non pianificato, a livello regionale | Con Live DR, la replica viene promossa e il gestore del traffico sposta le operazioni di scrittura. RPO secondi, RTO ≤ 15 minuti (proposto). | In base al livello. |
Modelli di continuità
| Modello | RPO / RTO | Nodo | DB | Zona | Regione | Ransomware |
|---|---|---|---|---|---|---|
| HA standard (99,7%) | Zona: RPO ≈ 0. Regione: ripristino dal vault. | SÌ | SÌ | SÌ | NO | SÌ |
| Live DR (99,9%) | RPO secondi, RTO ≤ 15 min | SÌ | SÌ | SÌ | SÌ | SÌ |
| Live DR Premium (99,95%) | RPO secondi, RTO ≤ 5 min | SÌ | SÌ | SÌ | SÌ | SÌ |
| Disaster Recovery passivo (tipico SaaS) - non offerto | RPO minuti-ore, RTO ore | SÌ | SÌ | SÌ | Incerto | NO |
Live DR non è uno standby passivo. La seconda regione esegue un cluster a grandezza naturale e un database replicato in modo continuo, gestendo letture in tempo reale, report, query ASK e post sintetici. Il suo stato di salute viene verificato ogni minuto e il failover è un vantaggio: nulla viene scalato o ripristinato.
Le integrazioni devono tollerare la promozione automatica della scrittura e riprodurre qualsiasi elemento pubblicato negli ultimi secondi prima di un failover. Gli endpoint dei partner devono seguire il gestore del traffico (TO_4.10.09, Escluso).
Dimostrazione Live DR
| Test | Che succede | Impatto sul business | Frequenza | Categoria | R&R |
|---|---|---|---|---|---|
| Verifica continua | Registrazioni sintetiche, avvisi di ritardo di replica, checksum del registro interregionale | Nessuno | Ogni minuto | Standard | TO_4.10.01 |
| Esercitazione di passaggio programmato | Annuncia → metti in pausa le scritture (secondi) → promuovi DR → sposta il traffico → verifica il registro → esegui da DR. Scambio di ruoli. | Scrittura interrotta per alcuni secondi | Trimestrale | Standard | TO_4.10.03 |
| Esercitazione di commutazione aggiuntiva | Come sopra, al di fuori del piano trimestrale | Scrittura interrotta per alcuni secondi | Su richiesta, con preavviso di 2 settimane. | Ulteriori | TO_4.10.04 |
| Trapano isolato (recintato) | Una copia clonata dalla replica di ripristino di emergenza con integrazioni in uscita disabilitate; test distruttivi consentiti. | Nessuna informazione sulla produzione | Su richiesta, con preavviso di 2 settimane. | Ulteriori | TO_4.10.05 |
| Test di ripristino della camera bianca | Ripristinare dal vault in un ambiente isolato, scansionare, riconciliare | Nessuna informazione sulla produzione | Annuale | Standard | TO_4.9.07 |
| Validazione aziendale di un'esercitazione | Il cliente conferma i processi e le integrazioni dopo il passaggio | impegno del cliente | Ogni trapano | Escluso | TO_4.10.06 |
Dopo una prova non c'è ricostruzione: il vecchio primario diventa il Live DR. Le letture non si fermano mai.
Eseguire la prima simulazione di commutazione e il ripristino in camera bianca prima del passaggio in produzione. Entrambe sono fasi cruciali per il passaggio in produzione e ogni simulazione successiva costituisce una prova per gli auditor e per la revisione dell'accordo sul livello di servizio (SLA).
Criteri di backup (impostazione predefinita proposta)
| Database di produzione | Documenti di produzione | database non di produzione | Documenti non di produzione | |
|---|---|---|---|---|
| Frequenza | Istantanea giornaliera + registri continui | Versionamento continuo | Riepilogo giornaliero | Versionamento continuo |
| Ripristino a un punto specifico nel tempo | Qualsiasi momento all'interno della finestra di conservazione | Ripristino della versione | Ultima istantanea | Ripristino della versione |
| Mantenimento operativo | 30 giorni | 30 giorni (versioni) | 14 giorni | 14 giorni |
| Copia di archivio | Quotidiano, immutabile | Quotidiano, immutabile | Settimanale, immutabile | Opzionale |
| Conservazione della volta | 90 giorni (prorogabili) | 90 giorni (prorogabili) | 30 giorni | 30 giorni |
| Crittografia | A riposo e in transito; le chiavi della cassaforte sono custodite separatamente. | A riposo e in transito | A riposo e in transito | A riposo e in transito |
I manifest e la configurazione di Kubernetes risiedono nell'infrastruttura come codice e vengono copiati anche nel vault; pertanto, l'ambiente di runtime viene ricostruito, non ripristinato.
Ripristina
| Ripristinare | Categoria | Tempi di consegna | R&R |
|---|---|---|---|
| Backup su richiesta prima di una modifica importante | Richiesta di servizio standard | Ore | TO_4.9.04 |
| Ripristino a un punto specifico nel tempo | Richiesta di servizio standard | Ore; P1 immediatamente | TO_4.9.05 |
| Ripristino in camera bianca dal caveau | Costo aggiuntivo per consegna | Ore | TO_4.9.06 |
| Approvazione aziendale dei dati ripristinati | Escluso: il responsabile finanziario | — | TO_4.9.11 |
La volta con intercapedine d'aria
- Un account cloud o tenant separato, con identità, autenticazione a più fattori (MFA) e chiavi distinte.
- Nessun percorso di rete in entrata dalla produzione. La produzione invia i dati in una sola direzione attraverso un ruolo di sola scrittura, senza diritti di lettura o cancellazione.
- Un blocco di conservazione WORM (write-once): le copie non possono essere modificate o eliminate, nemmeno dagli amministratori.
- La cancellazione richiede una doppia approvazione; l'integrità dei dati viene verificata all'arrivo.
- I ripristini vengono eseguiti in un ambiente isolato tramite un processo in camera bianca: scansione, riconciliazione e successiva promozione, mai direttamente sull'ambiente di produzione.
- Una copia offline opzionale su un secondo cloud o storage a freddo, disconnessa periodicamente (TO_4.9.09, Opzionale).
Perché esiste: la replica e la corruzione della copia di Live DR avvengono istantaneamente. Anche i ransomware o i dati corrotti vengono replicati. Il vault mantiene una cronologia del registro pulita e immodificabile al di fuori di entrambe le regioni.
Definire chi detiene le credenziali di accesso con funzione di rottura del vetro della cassaforte. TRANXACT utilizza la procedura di doppia approvazione (TO_4.9.12); il cliente designa i propri responsabili dell'approvazione (TO_4.9.13, Escluso).
Conservazione a lungo termine (facoltativa)
| Opzione | Frequenza | Ritenzione | metrico | Bloccare | Categoria |
|---|---|---|---|---|---|
| Copia d'archivio mensile | Mensile | 1 anno | Gigabyte | 256 GB | Opzionale |
| Copia d'archivio trimestrale | Trimestrale | 1 anno | Gigabyte | 256 GB | Opzionale |
| Copia d'archivio di fine anno | Annualmente, dopo la chiusura | 2, 3 o 4 anni | Gigabyte | 256 GB | Opzionale |
| Copia offline | Periodico | Secondo la politica del cliente | Gigabyte | 256 GB | Opzionale |
| Blocco legale di una copia | Su richiesta | Fino al rilascio | Su richiesta | — | Ulteriori |
Una volta impostato, il periodo di conservazione dei dati non può essere ridotto. Se le regole di audit o di blocco legale richiedono un periodo di conservazione più lungo, è necessario estenderlo fin da subito e dimensionarlo in base alla crescita del registro e al volume dei documenti, non in base alle dimensioni attuali del database.
I valori contrassegnati come predefiniti proposti sono i punti di partenza consigliati dalla guida all'implementazione. Confermare ciascun valore per ogni cliente; il contratto, il modulo d'ordine, l'accordo sui livelli di servizio (SLA) e l'accordo sulla protezione dei dati (DPA) prevalgono su questa pagina.