Đặt và thử nghiệm RTO, RPO

Xác định hai mục tiêu riêng

Recovery Time Objective (RTO) xác định thời gian gián đoạn tối đa có thể chấp nhận trước khi dịch vụ phải hoạt động hữu ích trở lại. Recovery Point Objective (RPO) xác định mức mất dữ liệu tối đa có thể chấp nhận, đo bằng thời gian. Thống nhất các mục tiêu với người phụ trách kinh doanh cho dịch vụ và tình huống lỗi xác định.

Mục tiêu tính sẵn sàng mô tả hiệu suất dịch vụ trong một khoảng thời gian. RTO và RPO mô tả kỳ vọng khôi phục. Chúng trả lời các câu hỏi khác nhau.

Với dịch vụ đặt hàng giả định, người phụ trách đặt RTO là 60 phút và RPO là 15 phút. Đây là giá trị ví dụ, không phải khuyến nghị chung. Dịch vụ khác có thể cần giới hạn khác vì mất đơn hàng và báo cáo trễ có hậu quả khác nhau.

Đo toàn bộ quá trình khôi phục

Dịch vụ dừng lúc 10:00. Nhóm ghi lại bài thử sau:

Tổng thời gian khôi phục là 55 phút. Bài thử đạt RTO 60 phút. Chỉ tính thao tác khôi phục 25 phút sẽ che phần lớn thời gian gián đoạn.

Điểm khôi phục dùng được mới nhất là 09:40. Khoảng cách tới thời điểm gián đoạn 10:00 là 20 phút. Như vậy vượt RPO 15 phút thêm 5 phút. Khôi phục cùng dữ liệu nhanh hơn không thu hẹp khoảng đó.

Kiểm tra bản ghi thực tế bị thiếu hoặc không nhất quán. Khoảng thời gian mô tả mức phơi nhiễm, không đếm số đơn hàng bị ảnh hưởng. Đối soát bản ghi thanh toán và hoàn tất đơn hàng bên ngoài trước khi xử lý bình thường trở lại. Thử giả định khác trong bài tập khôi phục.

Chọn chiến lược khôi phục

Chiến lược phải bao phủ dịch vụ, dữ liệu và phụ thuộc cần thiết. So sánh các mẫu sau với mục tiêu có đo lường:

Không có thời gian khôi phục chung cho các mẫu này. Cách triển khai, lượng dữ liệu, phụ thuộc và điều kiện thử quyết định kết quả. Tính chi phí vận hành và năng lực nhóm vào quyết định.

Bảo vệ trước nhiều tình huống hơn gián đoạn dịch vụ

Replica có thể sao chép thao tác xóa ngoài ý muốn hoặc bản ghi hỏng. Giữ phiên bản có thể khôi phục hoặc khả năng khôi phục theo thời điểm khi cần. Kiểm chứng thời gian lưu giữ, quyền khôi phục và quyền truy cập khóa mã hóa. Chọn cách cô lập backup phù hợp tình huống, kể cả mất quyền truy cập tài khoản chính.

Đối với khôi phục khu vực, kiểm tra nơi được phép lưu dữ liệu và toàn bộ chuỗi phụ thuộc. Bao gồm danh tính, DNS, chứng chỉ, secret, artifact triển khai, quota và truy cập mạng. Môi trường khôi phục thiếu một khóa bắt buộc có thể không dùng được.

Xác định ai có thể tuyên bố sự kiện, ai thực hiện khôi phục và ai chấp nhận dịch vụ đã khôi phục. Lập kế hoạch failback hoặc tiếp tục vận hành trong môi trường khôi phục. Ngăn các thành phần ghi dữ liệu xung đột và đối soát dữ liệu trước khi chuyển lại.

Biến kế hoạch thành bằng chứng

Viết runbook và thử trong điều kiện có kiểm soát. Ghi tình huống, kích thước bộ dữ liệu, giờ bắt đầu và kết thúc, điểm dữ liệu được khôi phục, bước lỗi và người phụ trách. Kiểm chứng thao tác nghiệp vụ thực tế bằng bản ghi thử nghiệm an toàn.

Lặp lại bài thử sau thay đổi liên quan và theo lịch đã thống nhất. Thay đổi schema, phụ thuộc bên ngoài mới hoặc lượng dữ liệu khác có thể làm kết quả trước đó mất hiệu lực. Liên kết bằng chứng bài thử với bản phát hành và trách nhiệm vận hành.