Ustal i przetestuj RTO oraz RPO

Określ dwa osobne cele

Recovery Time Objective (RTO) określa maksymalną dopuszczalną przerwę przed powrotem użytecznej usługi. Recovery Point Objective (RPO) określa maksymalną dopuszczalną utratę danych mierzoną czasem. Uzgodnij je z właścicielem biznesowym dla konkretnej usługi i scenariusza awarii.

Cel dostępności opisuje działanie usługi w danym okresie. RTO i RPO opisują oczekiwania odtwarzania. Odpowiadają na różne pytania.

Dla fikcyjnej usługi zamówień właściciel ustala RTO 60 minut i RPO 15 minut. To wartości przykładowe, nie ogólne zalecenia. Inna usługa może potrzebować innych granic, ponieważ utracone zamówienia i opóźnione raporty mają różne konsekwencje.

Zmierz całe odtwarzanie

Usługa zatrzymuje się o 10:00. Zespół zapisuje przebieg ćwiczenia:

Całkowity czas odtwarzania wynosi 55 minut. Ćwiczenie spełnia RTO 60 minut. Liczenie tylko 25-minutowej operacji odtworzenia ukryłoby większość przerwy.

Najnowszy użyteczny punkt odtworzenia to 09:40. Do przerwy o 10:00 brakuje 20 minut danych. To przekracza RPO 15 minut o 5 minut. Szybsze przywrócenie tych samych danych nie zmniejszy luki.

Sprawdź rzeczywiście brakujące lub niespójne rekordy. Luka czasowa opisuje narażenie, a nie liczbę dotkniętych zamówień. Przed wznowieniem normalnego przetwarzania uzgodnij zewnętrzne zapisy płatności i realizacji. Wypróbuj różne założenia w ćwiczeniu odtwarzania.

Wybierz strategię odtwarzania

Strategia musi obejmować wymaganą usługę, dane i zależności. Porównaj te wzorce ze zmierzonymi celami:

Te wzorce nie mają uniwersalnych czasów odtwarzania. Wynik zależy od implementacji, objętości danych, zależności i warunków testu. Uwzględnij w decyzji koszt eksploatacji i możliwości zespołu.

Chroń przed czymś więcej niż przestój

Replika może skopiować niechciane usunięcie lub uszkodzony rekord. Tam, gdzie to potrzebne, zachowuj odzyskiwalne wersje lub możliwość odtwarzania do punktu w czasie. Sprawdź przechowywanie, uprawnienia odtwarzania i dostęp do kluczy szyfrowania. Dopasuj izolację kopii do scenariusza, także utraty dostępu do głównego konta.

Przy odtwarzaniu regionalnym sprawdź dozwoloną lokalizację danych i cały łańcuch zależności. Uwzględnij tożsamość, DNS, certyfikaty, sekrety, artefakty wdrożenia, limity i dostęp sieciowy. Środowisko odtwarzania bez jednego wymaganego klucza może być bezużyteczne.

Określ, kto może ogłosić zdarzenie, kto odtwarza system i kto akceptuje przywróconą usługę. Zaplanuj powrót do środowiska głównego albo dalszą pracę w środowisku zapasowym. Zapobiegaj konfliktom zapisów i uzgodnij dane przed ponownym przełączeniem.

Zamień plan w dowody

Napisz runbook i przećwicz go w kontrolowanych warunkach. Zapisz scenariusz, rozmiar danych, czas początku i końca, odzyskany punkt danych, nieudane kroki i osoby odpowiedzialne. Sprawdź rzeczywistą operację biznesową na bezpiecznych rekordach testowych.

Powtarzaj ćwiczenie po istotnych zmianach i według uzgodnionego harmonogramu. Zmiana schematu, nowa zależność zewnętrzna lub inna objętość danych mogą unieważnić wcześniejsze wyniki. Powiąż dowody ćwiczenia z wydaniem i odpowiedzialnością operacyjną.