Задавайце і правярайце RTO і RPO

Вызначце дзве асобныя мэты

Recovery Time Objective (RTO) задае максімальны прымальны перапынак, да заканчэння якога павінен аднавіцца карысны сэрвіс. Recovery Point Objective (RPO) задае максімальную прымальную страту даных, вымераную ў часе. Узгадняйце гэтыя мэты з адказным ад бізнесу для вызначанага сэрвісу і сцэнарыя збою.

Мэта даступнасці апісвае працу сэрвісу за перыяд. RTO і RPO апісваюць чаканні аднаўлення. Яны адказваюць на розныя пытанні.

Для выдуманага сэрвісу заказаў адказны задае RTO 60 хвілін і RPO 15 хвілін. Гэта значэнні для прыкладу, а не агульныя рэкамендацыі. Іншаму сэрвісу могуць быць патрэбныя іншыя межы, бо страчаныя заказы і затрыманыя справаздачы маюць розныя наступствы.

Вымярайце поўнае аднаўленне

Сэрвіс спыняецца ў 10:00. Каманда запісвае гэтае практыкаванне:

Агульны час аднаўлення — 55 хвілін. Практыкаванне выконвае RTO 60 хвілін. Улік толькі 25-хвіліннай аперацыі аднаўлення схаваў бы большую частку перапынку.

Найноўшы прыдатны пункт аднаўлення — 09:40. Інтэрвал да перапынку ў 10:00 складае 20 хвілін. Ён перавышае RPO 15 хвілін на 5 хвілін. Хутчэйшае аднаўленне тых самых даных не закрые гэты прабел.

Вывучыце фактычна адсутныя або неўзгодненыя запісы. Часавы інтэрвал апісвае магчымую страту; ён не падлічвае закранутыя заказы. Зверце знешнія запісы плацяжоў і выканання заказаў перад аднаўленнем звычайнай апрацоўкі. Паспрабуйце розныя дапушчэнні ў практыкаванні па аднаўленні.

Выберыце стратэгію аднаўлення

Стратэгія павінна ахопліваць неабходны сэрвіс, даныя і залежнасці. Параўнайце гэтыя падыходы з вымеранымі мэтамі:

Для гэтых падыходаў няма ўніверсальнага часу аднаўлення. Вынік вызначаюць рэалізацыя, аб’ём даных, залежнасці і ўмовы тэставання. Улічвайце ў рашэнні кошт эксплуатацыі і магчымасці каманды.

Абараняйцеся не толькі ад перапынку працы

Рэпліка можа скапіяваць непажаданае выдаленне або пашкоджаны запіс. Дзе трэба, захоўвайце версіі, якія можна аднавіць, або магчымасць аднаўлення на пэўны момант часу. Правярайце тэрміны захоўвання, дазволы аднаўлення і доступ да ключоў шыфравання. Узгадняйце ізаляцыю рэзервовых копій са сцэнарыем, уключаючы страту доступу да асноўнага ўліковага запісу.

Для рэгіянальнага аднаўлення правярайце дазволенае месцазнаходжанне даных і ўвесь ланцуг залежнасцей. Уключыце ідэнтычнасць, DNS, сертыфікаты, сакрэты, артэфакты разгортвання, квоты і сеткавы доступ. Асяроддзе аднаўлення без аднаго неабходнага ключа можа быць непрыдатным.

Вызначце, хто можа абвясціць падзею, хто выконвае аднаўленне і хто прымае адноўлены сэрвіс. Плануйце вяртанне ў асноўнае асяроддзе або далейшую працу ў асяроддзі аднаўлення. Прадухіляйце канфліктуючыя аперацыі запісу і звярайце даныя перад новым пераключэннем.

Ператварыце план у доказы

Напішыце runbook і выканайце яго ў кантраляваных умовах. Запішыце сцэнарый, памер набору даных, час пачатку і заканчэння, адноўлены пункт даных, няўдалыя крокі і адказных. Праверце рэальную бізнес-аперацыю з бяспечнымі тэставымі запісамі.

Паўтарайце практыкаванне пасля адпаведных змен і паводле ўзгодненага графіка. Змена схемы, новая знешняя залежнасць або іншы аб’ём даных могуць зрабіць ранейшыя вынікі непрымянімымі. Звязвайце доказы практыкавання з выпускам і эксплуатацыйнымі абавязкамі.