Fastlæg og test RTO og RPO

Definér to særskilte mål

Recovery Time Objective (RTO) fastsætter den længste acceptable afbrydelse, før en brugbar tjeneste skal være tilbage. Recovery Point Objective (RPO) fastsætter det højeste acceptable datatab målt i tid. Aftal målene med den forretningsansvarlige for en defineret tjeneste og et defineret fejlscenarie.

Et tilgængelighedsmål beskriver tjenestens præstation over en periode. RTO og RPO beskriver forventninger til gendannelse. De besvarer forskellige spørgsmål.

For en fiktiv ordretjeneste sætter ejeren RTO til 60 minutter og RPO til 15 minutter. Det er eksempelværdier, ikke generelle anbefalinger. En anden tjeneste kan kræve andre grænser, fordi mistede ordrer og forsinkede rapporter har forskellige konsekvenser.

Mål hele gendannelsen

Tjenesten stopper kl. 10:00. Teamet registrerer denne øvelse:

Den samlede gendannelsestid er 55 minutter. Øvelsen opfylder RTO på 60 minutter. Hvis man kun talte selve gendannelsens 25 minutter, ville det skjule det meste af afbrydelsen.

Det nyeste brugbare gendannelsespunkt er 09:40. Afstanden til afbrydelsen kl. 10:00 er 20 minutter. Det overskrider RPO på 15 minutter med 5 minutter. Hurtigere gendannelse af de samme data ville ikke lukke dette gab.

Undersøg faktiske manglende eller inkonsistente poster. Et tidsrum beskriver eksponering; det tæller ikke de berørte ordrer. Afstem eksterne betalings- og leveringsregistreringer, før normal behandling genoptages. Prøv forskellige antagelser i gendannelsesøvelsen.

Vælg en gendannelsesstrategi

En strategi skal dække den krævede tjeneste, data og afhængigheder. Vurdér disse mønstre ud fra målingerne og de aftalte mål:

Der findes ingen universelle gendannelsestider for mønstrene. Implementering, datamængde, afhængigheder og testbetingelser afgør resultatet. Medtag driftsomkostninger og teamets evner i beslutningen.

Beskyt mod mere end et udfald

En replika kan kopiere en uønsket sletning eller en korrupt post. Bevar gendannelige versioner eller point-in-time recovery, hvor det kræves. Kontrollér opbevaring, gendannelsesrettigheder og adgang til krypteringsnøgler. Tilpas backupisolationen til scenariet, inklusive tab af adgang til den primære konto.

Ved regional gendannelse skal du kontrollere tilladt dataplacering og hele afhængighedskæden. Medtag identitet, DNS, certifikater, secrets, udrulningsartefakter, kvoter og netværksadgang. Et gendannelsesmiljø, som mangler én nødvendig nøgle, kan være ubrugeligt.

Definér, hvem der må erklære hændelsen, hvem der udfører gendannelsen, og hvem der accepterer den gendannede tjeneste. Planlæg tilbageflytning eller fortsat drift i gendannelsesmiljøet. Forebyg modstridende skrivninger, og afstem data, før der skiftes igen.

Gør planen til dokumentation

Skriv en runbook, og afprøv den under kontrollerede forhold. Registrér scenarie, datasættets størrelse, start- og sluttidspunkt, gendannet datapunkt, fejlslagne trin og ansvarlige. Verificér en rigtig forretningshandling med sikre testposter.

Gentag øvelsen efter relevante ændringer og efter den aftalte tidsplan. En skemaændring, en ny ekstern afhængighed eller en anden datamængde kan gøre tidligere resultater ugyldige. Knyt øvelsens dokumentation til releasen og driftsansvaret.