Überblick

Dieser Artikel beschreibt ausführlich die Szenarien für Datensicherung und -wiederherstellung mit Afi bei Amazon EC2-Instances, PostgreSQL-Datenbanken in Amazon RDS und Amazon Aurora sowie DB-Instances von Amazon RDS für SQL Server.

Dieser Leitfaden setzt voraus, dass Sie Ihren AWS-Mandanten bereits in Afi aufgenommen und seine Ressourcen geschützt haben. Andernfalls gehen Sie wie in diesem Artikel beschrieben vor, um Ihren AWS-Mandanten in Afi einzurichten.

Funktionsweise von AWS-Sicherung und -Wiederherstellung

Afi verwendet die öffentlich verfügbaren AWS-APIs, um Ressourcen zu erkennen, Daten zu synchronisieren und wiederherzustellen. Um ein AWS-Konto in Afi aufzunehmen, erstellen Sie eine benutzerdefinierte IAM-Rolle. Afi übernimmt diese Rolle, um auf das Konto zuzugreifen. Fügen Sie der Rolle die von Afi benötigten IAM-Berechtigungen hinzu und geben Sie ihren ARN im Onboarding-Assistenten an. Afi stellt beim Konto-Onboarding JSON-Dateien mit der Rollen- und Berechtigungskonfiguration bereit.

Afi verwendet eindeutige AWS-ARN-Kennungen, um AWS-Konten und -Ressourcen zu erkennen und darauf zuzugreifen. Afi erkennt Ressourcen daher auch nach einer Umbenennung, ohne dass die Abläufe des Diensts beeinträchtigt werden.

Einmal alle 24 Stunden führt Afi eine Ressourcenermittlung aus. Dabei werden die Ressourcen im AWS-Konto aufgelistet, die Ressourcenliste in Afi aktualisiert und Ressourcen automatisch geschützt, wenn Regeln für automatischen Schutz konfiguriert sind. Sie können eine außerplanmäßige Ressourcenermittlung für ein AWS-Konto auslösen, indem Sie oben rechts auf dem Bildschirm Service → Protection auf das Aktualisierungssymbol klicken.

Sicherung von EC2-Instances

Die Afi-Sicherung für EC2-Instances basiert auf Wiederherstellungspunkten in AWS. Sie gewährleistet Absturzkonsistenz für Konfigurationen mit mehreren Datenträgern und Anwendungskonsistenz für bestimmte Windows-Anwendungen mit VSS-Unterstützung. Während der Sicherung einer EC2-Instance erstellt Afi einen Wiederherstellungspunkt für die Instance und synchronisiert anschließend die zugehörigen Snapshot-Daten mit der Afi-Cloud. Wiederherstellungspunkte werden 7 Tage lang auf der AWS-Seite aufbewahrt, um eine schnelle Wiederherstellung aus aktuellen Sicherungs-Snapshots zu ermöglichen.

Die anwendungskonsistente Sicherung von Windows-Anwendungen setzt einen in den EC2-Instances installierten AWS Systems Manager Agent (SSM Agent) voraus. Während der Instance-Sicherung installiert Afi die AWS-VSS-Komponente auf der Windows-Instance und erstellt ein Instance-Profil, damit die Instance Befehle von AWS Systems Manager empfangen und ausführen kann.

Datenbanksicherung

Afi schützt Single-AZ- und Multi-AZ-DB-Instances von Amazon RDS für PostgreSQL und SQL Server sowie Multi-AZ-DB-Cluster von Amazon RDS für PostgreSQL und Amazon Aurora PostgreSQL-Cluster.

Afi verwendet für PostgreSQL und SQL Server denselben snapshotbasierten Sicherungsprozess. Afi erstellt einen AWS-Snapshot der Quell-DB-Instance in RDS bzw. des RDS- oder Aurora-Quellclusters und stellt ihn in einer temporären RDS-DB-Instance bzw. einem temporären Aurora-Cluster in Ihrem AWS-Konto wieder her. Afi liest das Datenbankschema und die Tabellendaten aus dieser temporären Kopie und synchronisiert sie zusammen mit der AWS-Konfiguration der Quellressource mit der Afi-Cloud. Sicherungen gewährleisten starke Konsistenz auf Datenbankebene.

Die temporäre DB-Instance bzw. der temporäre Cluster wird in einer separaten VPC ausgeführt; der Netzwerkzugriff ist auf den Afi-Sicherungsdienst beschränkt. Nach Abschluss der Sicherung entfernt Afi die temporäre DB-Instance bzw. den temporären Aurora-Cluster sowie die für diese Sicherung erstellte Sicherheitsgruppe.

Datenbankwiederherstellung

Bei beiden Datenbank-Engines stellt Afi Daten aus dem ausgewählten Sicherungs-Snapshot in der Afi-Cloud in einer vorhandenen Ziel-DB-Instance oder, bei PostgreSQL, in einem vorhandenen Ziel-Cluster wieder her. Wählen Sie ein Ziel mit einer kompatiblen Datenbankversion aus und geben Sie seine Anmeldedaten im Wiederherstellungsdialog über ein Secret an.

Für das Wiederherstellungsziel muss „Öffentlich zugänglich“ (Publicly accessible) aktiviert sein; die Quelldatenbank kann während der Sicherung privat bleiben. So konfigurieren Sie dies in der AWS-Managementkonsole (AWS Management Console):

1. Öffnen Sie Amazon RDS → Datenbanken (Amazon RDS → Databases) und wählen Sie die Ziel-DB-Instance aus. Wählen Sie bei Aurora PostgreSQL die Writer-Instance des Clusters aus, bei einem Multi-AZ-DB-Cluster von RDS den Cluster selbst.
2. Wählen Sie Ändern (Modify). Erweitern Sie im Abschnitt Konnektivität (Connectivity) bei Bedarf die zusätzlichen Konfigurationsoptionen und setzen Sie Öffentlicher Zugriff (Public access) auf „Öffentlich zugänglich“ (Publicly accessible).
3. Wählen Sie Weiter (Continue), überprüfen Sie die Änderungen und bestätigen Sie je nach Ziel mit DB-Instance ändern (Modify DB instance) oder DB-Cluster ändern (Modify DB cluster).

Mit dieser Einstellung kann Afi während der Wiederherstellung eine Verbindung mit der Zieldatenbank herstellen. Wer eine Verbindung herstellen darf, wird über Sicherheitsgruppen gesteuert: Afi fügt eine temporäre Sicherheitsgruppe hinzu, die Verbindungen von der IP-Adresse des Afi-Wiederherstellungsdienstes zum Datenbankport zulässt, und entfernt diese Gruppe nach Abschluss der Wiederherstellung. Wenn Sie den öffentlichen Zugriff eigens für die Wiederherstellung aktiviert haben, können Sie ihn anschließend wieder deaktivieren.

Bei der vollständigen Datenbankwiederherstellung wird eine neue Datenbank mit dem gesicherten Schema und den gesicherten Daten erstellt. Bei der Wiederherstellung ausgewählter Tabellen werden Tabellendaten und grundlegende Tabellendefinitionen in der gewählten Datenbank und dem gewählten Schema wiederhergestellt. Dabei hängt Afi das im Wiederherstellungsdialog angegebene Suffix an den Namen jeder wiederhergestellten Tabelle an. Vorhandene Datenbanken und Tabellen werden nicht überschrieben.

Sicherungsdaten anzeigen und zwischen Sicherungs-Snapshots navigieren

Um die Sicherungsdaten einer Ressource (EC2-Instance/Datenbank) anzuzeigen, öffnen Sie die Registerkarte Service → Protection, suchen Sie anhand des Namens oder der ID nach der Sicherung und klicken Sie auf Recover, um die Sicherungsansicht zu öffnen. Das Klicken auf Recover auf der Registerkarte Protection löst keine tatsächliche Datenwiederherstellung aus.

Beim Öffnen einer Sicherung werden Registerkarten zur Navigation und ein Kalender zum Wechseln zwischen Sicherungs-Snapshots angezeigt. Standardmäßig wird der neueste Sicherungs-Snapshot zur Navigation geöffnet.

Sicherungs-Snapshots

Um zu einem anderen Sicherungs-Snapshot zu wechseln, klicken Sie auf das Dropdownmenü Backup version und wählen Sie durch Klicken auf den entsprechenden Tag ein Sicherungsdatum aus. Wenn an diesem Tag mehrere Sicherungen ausgeführt wurden, zeigt der Dienst deren Startzeiten an. Klicken Sie auf die gewünschte Sicherungszeit, um den Snapshot zu öffnen.

Nach dem Öffnen eines Sicherungs-Snapshots können Sie den Zustand der Instance zum Zeitpunkt dieses Snapshots anzeigen und einen Datenexport oder eine Wiederherstellung daraus starten. In den Dialogen für Download- oder Wiederherstellungseinstellungen hebt der Dienst die Sicherungsversion hervor, aus der ein Export oder eine Wiederherstellung ausgeführt wird.

Standardmäßig bewahrt Afi alle Sicherungs-Snapshots unbegrenzt auf. Wenn Sie die Aufbewahrungsdauer der Sicherungs-Snapshots begrenzen möchten, können Sie für Ihre Sicherungs-SLA-Richtlinien wie hier beschrieben Aufbewahrungsregeln für Sicherungsversionen oder Regeln nach dem Großvater-Vater-Sohn-Prinzip (GFS) konfigurieren.

Sicherheit des Datenzugriffs

Das Afi-Zugriffsmodell gewährt Zugriff ausschließlich durch explizite Berechtigungszuweisungen und ist feingranular. Sie können benutzerdefinierte Zugriffsgruppen konfigurieren, die Benutzern eingeschränkten Zugriff auf bestimmte Ressourcengruppen oder einzelne Ressourcen in einem AWS-Mandanten gewähren. Eine ausführliche Beschreibung des Afi-Berechtigungsmodells finden Sie in diesem Artikel.

Afi protokolliert alle Benutzeraktivitäten im Zusammenhang mit Datenzugriffen, einschließlich Ereignissen beim Navigieren in Sicherungsdaten, Suchen, Exportieren und Wiederherstellen. Afi-Administratoren können diese Auditereignisse im Afi-Portal auf der Registerkarte Activity → Audit prüfen.