Määritä ja testaa RTO ja RPO

Määritä kaksi eri tavoitetta

Recovery Time Objective (RTO) määrittää pisimmän hyväksyttävän katkon ennen käyttökelpoisen palvelun palautumista. Recovery Point Objective (RPO) määrittää suurimman hyväksyttävän datan menetyksen aikana mitattuna. Sovi tavoitteet liiketoimintaomistajan kanssa tietylle palvelulle ja häiriötilanteelle.

Saatavuustavoite kuvaa toimintaa tarkastelujaksolla. RTO ja RPO kuvaavat palautumisen vaatimuksia. Ne vastaavat eri kysymyksiin.

Kuvitteellisen tilauspalvelun RTO on 60 minuuttia ja RPO 15 minuuttia. Luvut ovat esimerkkejä, eivät yleisiä suosituksia. Puuttuvien tilausten ja viivästyneiden raporttien seuraukset voivat vaatia eri rajat.

Mittaa koko palautuminen

Palvelu pysähtyy kello 10.00. Harjoituksessa kirjataan seuraavat ajat:

Palautuminen vie yhteensä 55 minuuttia ja täyttää 60 minuutin RTO:n. Pelkän 25 minuutin palautusoperaation mittaaminen piilottaisi suurimman osan katkosta.

Viimeisin käyttökelpoinen palautuspiste on kello 9.40. Ero kello 10.00 alkaneeseen häiriöön on 20 minuuttia. Se ylittää 15 minuutin RPO:n viidellä minuutilla. Saman datan nopeampi palautus ei korjaa tätä eroa.

Selvitä puuttuvat ja ristiriitaiset tietueet. Aikaväli kuvaa mahdollista menetystä, ei puuttuvien tilausten määrää. Täsmäytä ulkoisen maksupalvelun ja toimitusten tiedot ennen normaalia käsittelyä. Muuta oletuksia palautumisharjoituksessa.

Valitse palautusmalli

Mallin pitää kattaa tarvittava palvelu, data ja riippuvuudet. Vertaa vaihtoehtoja mitattuihin tavoitteisiin:

Malleilla ei ole yleispäteviä palautumisaikoja. Tulos riippuu toteutuksesta, datamäärästä, riippuvuuksista ja testiolosuhteista. Arvioi myös käyttökustannukset ja tiimin kyky ylläpitää ratkaisua.

Varaudu muuhunkin kuin katkokseen

Replika voi kopioida virheellisen poiston tai korruptoituneen tietueen. Säilytä tarvittaessa palautettavia versioita tai käytä point-in-time recoverya. Tarkista säilytysaika, palautusoikeudet ja salausavainten saatavuus. Mitoita backupien eristys häiriötilanteeseen, myös ensisijaisen pilvitilin käyttöoikeuden menetykseen.

Regionista palautuessa tarkista sallittu datasijainti ja kaikki riippuvuudet. Käy läpi identiteetti, DNS, varmenteet, salaisuudet, julkaisuartefaktit, kiintiöt ja verkkoyhteydet. Yhden tarvittavan avaimen puuttuminen voi estää koko palautuksen.

Määritä, kuka julistaa tilanteen, kuka palauttaa ja kuka hyväksyy palvelun. Suunnittele failback tai toiminnan jatkaminen palautusympäristössä. Estä ristiriitaiset kirjoitukset ja täsmäytä data ennen seuraavaa siirtoa.

Muuta suunnitelma näytöksi

Kirjoita runbook ja harjoittele sitä hallituissa olosuhteissa. Kirjaa tilanne, datamäärä, alku- ja loppuaika, palautuspiste, epäonnistuneet vaiheet ja omistajat. Varmista oikea liiketoimintatoimenpide turvallisilla testitiedoilla.

Toista harjoitus olennaisten muutosten jälkeen ja sovitulla aikataululla. Schemamuutos, uusi riippuvuus tai kasvanut datamäärä voi vanhentaa aiemman tuloksen. Liitä harjoituksen näyttö julkaisuun ja ylläpitovastuisiin.