Доступность, Live DR, резервное копирование и хранилище.
Три уровня доступности, схемы обеспечения непрерывности работы с указанием RPO и RTO, методы проверки и отработки Live DR реальном времени, политика резервного копирования для каждой среды, долгосрочное хранение и изолированное хранилище.
Уровни доступности (производственный, предлагаемый по умолчанию)
| Уровень | Доступность | Что это такое |
|---|---|---|
| Стандарт | 99,7% | Многозонная база данных с высокой доступностью, резервное копирование в изолированной сети. |
| Live DR | 99,9% | Второй регион уже работает в режиме онлайн. |
| Live DR Premium | 99,95% | Транспортная ситуация в обоих регионах, круглосуточное приоритетное реагирование. |
Непроизводственный сегмент: 95%. Измеряется ежемесячно на входе TRANXACT, за исключением согласованного периода технического обслуживания. Соглашения об уровне обслуживания (SLA) облачного провайдера подпадают под действие единого обязательства TRANXACT.
Сначала определите уровень инфраструктуры, а затем производите расчет необходимого размера. Live DR используется второй регион полного размера, что примерно вдвое увеличивает стоимость инфраструктуры во время работы. Покажите это отдельной строкой в сравнении со стоимостью простоя, который это позволяет сократить, и используйте тот же уровень инфраструктуры для интегрированных сторонних систем.
Запланированные и незапланированные события
| Событие | Что происходит | Это считается нарушением соглашения об уровне обслуживания? |
|---|---|---|
| Запланировано — обновления, изменение размеров, тренировки. | Поэтапные обновления на трех узлах обеспечивают бесперебойную работу пользователей. Время простоя изменяется только в течение месяца (предложенные 4 часа). | Нет, в оговоренные сроки. |
| Незапланированный сбой в пределах региона — сбой узла, модуля или зоны. | Запуск модулей перенесен; база данных переключается на синхронный резервный сервер. RPO ≈ 0, восстановление через несколько минут. | Только если целевой уровень не достигнут. |
| Внеплановый, региональный | При использовании Live DR реплика повышается в статусе, и менеджер трафика перемещает операции записи. RPO секунд, RTO ≤ 15 минут (предложенный вариант). | В зависимости от уровня. |
Закономерности непрерывности
| Шаблон | РПО / РТО | Узел | ДБ | Зона | Область | Программы-вымогатели |
|---|---|---|---|---|---|---|
| Стандартная гиалуроновая кислота (99,7%) | Зона: RPO ≈ 0. Регион: восстановить из хранилища. | Да | Да | Да | Нет | Да |
| Live DR (99,9%) | RPO секунд, RTO ≤ 15 мин | Да | Да | Да | Да | Да |
| Live DR Premium (99,95%) | RPO секунд, RTO ≤ 5 мин | Да | Да | Да | Да | Да |
| Пассивное аварийное восстановление (типичное решение для SaaS) — не предлагается. | RPO минут-часов, RTO часов | Да | Да | Да | Неопределенный | Нет |
Live DR — это не пассивный резерв. Во втором регионе работает полноразмерный кластер и постоянно реплицируемая база данных, обеспечивающая чтение в реальном времени, формирование отчетов, запросы ASK и синтетические сообщения. Его работоспособность проверяется каждую минуту, а переключение на резервный сервер — это лишь дополнительная опция: ничего не масштабируется и не восстанавливается.
Интеграции должны допускать автоматическое повышение приоритета записи и воспроизводить все данные, отправленные за последние секунды до переключения на резервный сервер. Конечные точки партнеров должны следовать указаниям менеджера трафика (TO_4.10.09, исключено).
Проверка работы системы Live DR
| Тест | Что происходит | Влияние на бизнес | Частота | Категория | Р&Р |
|---|---|---|---|---|---|
| Непрерывная верификация | Синтетические проводки, оповещения о задержке репликации, контрольная сумма межрегионального реестра. | Никто | Каждую минуту | Стандарт | TO_4.10.01 |
| Запланированная тренировка по переключению | Объявление → приостановка записи (секунды) → перевод в резервный сервер → перенаправление трафика → проверка реестра → запуск из резервного сервера. Смена ролей. | Запись приостановлена на несколько секунд. | Ежеквартальный | Стандарт | TO_4.10.03 |
| Дополнительная тренировка по переключению | Как указано выше, вне рамок квартального плана. | Запись приостановлена на несколько секунд. | По запросу, за 2 недели. | Дополнительный | TO_4.10.04 |
| Изолированная (огороженная) буровая установка | Копия, клонированная с резервной копии, с отключенной интеграцией исходящих соединений; разрешены деструктивные тесты. | В производстве ничего нет | По запросу, за 2 недели. | Дополнительный | TO_4.10.05 |
| Тест восстановления чистого помещения | Восстановить данные из хранилища в изолированную среду, выполнить сканирование, согласовать данные. | В производстве ничего нет | Ежегодно | Стандарт | TO_4.9.07 |
| Проверка целесообразности бурения с точки зрения бизнеса | После перехода на новую систему клиент подтверждает процессы и интеграции. | Усилия клиента | Каждое упражнение | Исключено | TO_4.10.06 |
После бурения восстановление не требуется: старый основной блок становится Live DR. Считывание данных никогда не прекращается.
Перед запуском системы проведите первую тренировку по переключению и восстановление в чистой комнате. Обе тренировки являются контрольными точками перед запуском, и каждая последующая тренировка служит доказательством для аудиторов и для проверки соглашения об уровне обслуживания (SLA).
Политика резервного копирования (предлагаемая политика по умолчанию)
| База данных производства | Производственная документация | База данных, не относящаяся к производственной среде | Непроизводственные документы | |
|---|---|---|---|---|
| Частота | Ежедневный снимок + непрерывные журналы | Непрерывное версионирование | Ежедневный обзор | Непрерывное версионирование |
| Восстановление на определенный момент времени | Любой момент в течение периода сохранения | Восстановление версии | Последний снимок | Восстановление версии |
| Оперативное удержание | 30 дней | 30 дней (версии) | 14 дней | 14 дней |
| Копия хранилища | Ежедневный, неизменный | Ежедневный, неизменный | Еженедельный, неизменный | Необязательный |
| Сохранение хранилища | 90 дней (с возможностью продления) | 90 дней (с возможностью продления) | 30 дней | 30 дней |
| Шифрование | В состоянии покоя и во время транспортировки; ключи от хранилища хранятся отдельно. | В состоянии покоя и в пути | В состоянии покоя и в пути | В состоянии покоя и в пути |
Манифесты и конфигурация Kubernetes хранятся в инфраструктуре как коде и также копируются в хранилище — таким образом, среда выполнения перестраивается, а не восстанавливается.
Восстанавливает
| Восстановить | Категория | Время выполнения | Р&Р |
|---|---|---|---|
| Резервное копирование по запросу перед внесением существенных изменений. | Стандартный запрос на обслуживание. | Часы | TO_4.9.04 |
| Восстановление на определенный момент времени | Стандартный запрос на обслуживание. | Часы; P1 немедленно | TO_4.9.05 |
| Восстановление из хранилища в чистой комнате. | Дополнительная плата за доставку. | Часы | TO_4.9.06 |
| Подтверждение восстановления данных со стороны предприятия. | Исключение — финансовый контролер | — | TO_4.9.11 |
Хранилище, огороженное воздухом
- Отдельный облачный аккаунт или арендатор с отдельными учетными записями, многофакторной аутентификацией и ключами.
- Отсутствует входящий сетевой канал из производственной среды. Производственная среда передает данные только в одном направлении через роль, предоставляющую права на запись, без прав на чтение или удаление.
- Блокировка с однократной записью (WORM): копии не могут быть изменены или удалены, даже администраторами.
- Для удаления требуется двойное подтверждение; проверка целостности выполняется по прибытии.
- Восстановление данных происходит в изолированной среде в рамках процесса чистого помещения — сканирование, сверка, а затем продвижение — никогда не осуществляется напрямую через производственный процесс.
- Дополнительная возможность копирования в автономном режиме во второе облачное или холодное хранилище, периодически отключающееся (TO_4.9.09, Optional).
Зачем это нужно: мгновенное восстановление и Live DR. Также происходит репликация данных, поврежденных программами-вымогателями или некорректной информацией. Хранилище поддерживает чистую, неизменяемую историю реестра вне обоих регионов.
Согласовать, кто имеет права доступа к устройству для разбивания стекла в хранилище. TRANXACT использует процедуру двойного утверждения (TO_4.9.12); заказчик назначает своих утверждающих лиц (TO_4.9.13, Исключено).
Долгосрочное хранение данных (необязательно)
| Вариант | Частота | Удержание | Метрика | Блокировать | Категория |
|---|---|---|---|---|---|
| Ежемесячный архивный экземпляр | Ежемесячно | 1 год | Гигабайт | 256 ГБ | Необязательный |
| Ежеквартальный архивный экземпляр | Ежеквартальный | 1 год | Гигабайт | 256 ГБ | Необязательный |
| Архивный экземпляр за конец года | Ежегодно, после закрытия | 2, 3 или 4 года | Гигабайт | 256 ГБ | Необязательный |
| Офлайн-копия | Периодический | В соответствии с политикой клиента | Гигабайт | 256 ГБ | Необязательный |
| Законное ограничение на копию | По запросу | До выпуска | По запросу | — | Дополнительный |
Установленный срок хранения нельзя сократить. Если правила аудита или юридического контроля требуют более длительного срока хранения, продлите его заранее — и определите его размер исходя из роста объема бухгалтерских книг и документов, а не из текущего размера базы данных.
Значения, отмеченные как «предлагаемые значения по умолчанию», являются рекомендуемыми отправными точками, указанными в руководстве по развертыванию. Подтверждайте каждое значение для каждого клиента; договор, форма заказа, соглашение об уровне обслуживания (SLA) и соглашение о защите данных (DPA) имеют приоритет над данной страницей.