Die wichtigsten Erkenntnisse
- Die Verwaltung von Backups und Wiederherstellungen als „Infrastructure as Code“ (IaC) trägt dazu bei, Konfigurationsabweichungen zu reduzieren und den Datenschutz an moderne Cloud-Umgebungen anzupassen.
- Der Clumio Terraform-Provider ermöglicht es, AWS-Konten, Richtlinien und Schutzregeln deklarativ und versionsverwaltet zu definieren.
- Der tagbasierte Schutz ist darauf ausgelegt, bestehende und zukünftige Ressourcen automatisch zu schützen, wodurch manuelle Eingriffe reduziert werden und eine effiziente Skalierung über verschiedene Umgebungen hinweg ermöglicht wird.
- Die Definition von Backup-Richtlinien in Terraform trägt dazu bei, die Transparenz, Reproduzierbarkeit und Governance durch standardisierte Pull-Request-Workflows zu verbessern.
- Dieser Ansatz kann insbesondere für AWS-Umgebungen mit mehreren Konten und für Unternehmen von großem Nutzen sein, die bereits auf Terraform standardisiert sind.
Die Cloud wird zunehmend als Code definiert. EC2-Instanzen, IAM-Rollen (Identity and Access Management), virtuelle private Clouds und Datenbanken befinden sich mittlerweile in versionsverwalteten Repositorys und werden vorhersehbar über IaC bereitgestellt. Backup and Recovery-Richtlinien werden jedoch häufig noch manuell in Webkonsolen konfiguriert. Diese Lücke birgt Risiken. Wenn die Infrastruktur deklarativ ist, der Datenschutz jedoch nicht, riskieren Teams:
- Konfigurationsabweichungen.
- Uneinheitliche Schutzmaßnahmen bei den verschiedenen Konten.
- Manuelle Fehler.
- Eingeschränkte Transparenz darüber, was tatsächlich geschützt ist.
Für Unternehmen, die Terraform bereits einsetzen, sollten Datensicherung und -wiederherstellung genauso verwaltet werden wie der Rest des Stacks – nämlich per Code. Der Terraform-Provider von Clumio ermöglicht es, den AWS-Datenschutz deklarativ zusammen mit der Infrastruktur zu definieren. Hier können Sie den Provider und die dazugehörige Dokumentation erkunden: https://registry.terraform.io/providers/clumio-code/clumio/latest/docs/guides/getting_started. In diesem Beitrag zeigen wir Ihnen, wie Sie den Schutz von AWS-Workloads mithilfe von Terraform und Clumio by Commvault automatisieren können – und warum sich dieser Ansatz für moderne Cloud-Umgebungen besser skalieren lässt.
Das Problem bei der Konfiguration von Backups über die Konsole
In einer herkömmlichen Konfiguration sind für den Schutz von AWS-Ressourcen folgende Maßnahmen erforderlich:
- AWS-Konten verbinden.
- Separate Konfiguration der Sicherung über mehrere AWS-Dienste hinweg.
- Erstellen von Sicherungsrichtlinien.
- Schutzregeln definieren.
- Ressourcen manuell zuweisen.
- Diesen Vorgang für jedes Konto bzw. jede Umgebung wiederholen.
Selbst in gut geführten Umgebungen führt dies zu:
- Sich wiederholende manuelle Konfiguration.
- Uneinheitliche Anwendung der Richtlinien.
- Verzögerter Schutz für neu erstellte Ressourcen.
- Eingeschränkte Versionskontrolle.
Terraform trägt bereits dazu bei, dieses Problem im Bereich der Infrastruktur zu lösen. Der Clumio Terraform-Provider erweitert dieses Modell auf den Bereich der Datensicherung.
Von Null auf sicher – mit vier Dateien
Der Schutz mehrerer AWS-Dienste lässt sich mithilfe einer kleinen Anzahl von Terraform-Dateien definieren, anstatt eine Abfolge manueller Schritte über die Benutzeroberfläche ausführen zu müssen.
Die Konfiguration folgt einer übersichtlichen Struktur.
- Anbieter definieren (AWS + Clumio)
Der erste Schritt besteht darin, die Provider zu deklarieren. Terraform benötigt folgende Informationen:
- Sie nutzen AWS.
- Sie nutzen den Clumio-Anbieter.
Dadurch wird Terraform mit beiden Plattformen verbunden. In der offiziellen Anbieterdokumentation wird diese Einrichtung im Leitfaden „Erste Schritte“ ausführlich beschrieben.
- AWS-Konten mit Clumio verbinden
Anschließend stellt das Clumio-Modul die Verbindung zwischen AWS und Clumio her. Dadurch entfällt die für den Datenschutz erforderliche Konfiguration der IAM-Rollen. Anstatt Rollen und Berechtigungen manuell zu konfigurieren, übernimmt das Modul die Integration auf standardisierte Weise. Der Quellcode des Anbieters ist auf GitHub öffentlich zugänglich. Das bedeutet, dass Ihre Integration im Code definiert, versionsverwaltet und in allen Umgebungen reproduzierbar ist.
- Backup-Richtlinien als Code definieren
Bei der Definition von Backup-Richtlinien spielt IaC seine Stärken voll aus. In einer Terraform-basierten Konfiguration:
- Für verschiedene Ressourcentypen können unterschiedliche Wiederherstellungsziele festgelegt werden.
- Innerhalb derselben Richtlinie können mehrere Aufbewahrungsstufen definiert werden (beispielsweise kurzfristige und langfristige Aufbewahrung).
- Die gleiche Richtlinie kann auf der Grundlage festgelegter Bedingungen automatisch angewendet werden.
Anstatt mehrere Konsolen nutzen zu müssen, werden Häufigkeit, Aufbewahrungsdauer und Ressourcenumfang in einer einzigen Terraform-Konfiguration definiert. Diese Richtlinie ist wie jede andere Infrastrukturkonfiguration wiederverwendbar und kann überprüft werden.
- Tag-basierter automatischer Schutz
Eines der skalierbarsten Elemente dieses Ansatzes ist der tagbasierte Schutz. Eine Schutzregel kann so konfiguriert werden, dass sie automatisch jede Ressource schützt, die mit einem bestimmten Schlüssel-Wert-Paar gekennzeichnet ist. Zum Beispiel: created_by = demo_script Das bedeutet:
- Bereits vorhandene Ressourcen, die diesem Tag entsprechen, sind geschützt.
- Zukünftige Ressourcen mit diesem Tag werden automatisch einbezogen.
- Ein manuelles Eingreifen ist nicht erforderlich.
Insbesondere bei S3 nutzen Schutzgruppen zudem Tags, um Hunderte von Buckets als eine einzige logische Einheit zu verwalten, was zentralisierte Richtlinienänderungen in großem Maßstab ermöglicht. Dies trägt dazu bei, Konfigurationsabweichungen zu reduzieren.
Anwenden der Konfiguration
Nach der Definition initialisiert Terraform das Arbeitsverzeichnis, zeigt eine Vorschau der geplanten Änderungen an und wendet die Konfiguration an. Terraform ist so konzipiert, dass es die Abhängigkeiten zwischen den Ressourcen berücksichtigt und diese in der richtigen Reihenfolge erstellt. Die Konfiguration ermöglicht es, AWS-Konten zu verknüpfen, Richtlinien zu aktivieren, Schutzregeln durchzusetzen und mit Tags versehene Ressourcen zu schützen. Und was entscheidend ist: Die gesamte Schutzstrategie ist in versionsverwaltetem Code hinterlegt.
Warum dies für die Cloud von Bedeutung ist
Für Teams, die nach den IaC-Prinzipien arbeiten, sollte die Konfiguration der Datensicherung denselben Grundsätzen folgen wie die Bereitstellung der Infrastruktur. Die Definition von „Backup“ in Terraform bietet mehrere praktische Vorteile:
- Versionskontrolle: Backup-Richtlinien werden im Code definiert und können über standardmäßige Pull-Request-Workflows geprüft, versioniert und genehmigt werden.
- Reproduzierbarkeit: Die gleiche Konfiguration kann einheitlich in Entwicklungs-, Staging- und Produktionsumgebungen bereitgestellt werden.
- Geringere Abweichungen: Terraform-Konfigurationen können erneut angewendet werden, um den deklarierten Zustand durchzusetzen. So lassen sich manuelle oder außerhalb des regulären Prozesses vorgenommene Änderungen wieder mit der beabsichtigten Konfiguration in Einklang bringen.
- Klare Transparenz: Die Schutzlogik ist im Code sichtbar und nicht in der UI-Konfiguration verborgen.
- Trennung von Konfiguration und Schnittstelle: Der Backup-Status wird deklarativ definiert und ist unabhängig vom Konsolenstatus.
Wann dieser Ansatz sinnvoll ist
Die Automatisierung von Backups mit Terraform ist besonders nützlich für:
- AWS-Umgebungen mit mehreren Konten.
- Regulierte Branchen, die eine überprüfbare Konfiguration erfordern.
- Plattformen, die gemeinsam genutzte Infrastruktur verwalten.
- Unternehmen, die bereits auf Terraform umgestellt haben.
Wenn Ihre Infrastruktur als Code definiert ist, sollte dies auch für Ihre Datensicherungsstrategie gelten.
Erste Schritte
Um diesen Ansatz näher zu untersuchen:
- Lesen Sie die Dokumentation zum Clumio-Terraform-Provider durch.
- Sehen Sie sich den Quellcode des Providers auf GitHub an.
- Sehen Sie sich das obenstehende Demo-Video zur Schnellstartanleitung an.
Sie können Clumio auch über den AWS Marketplace testen.
FAQs
F: Warum sollten Backup-Richtlinien als Code verwaltet werden?
A: Wenn die Infrastruktur als Code definiert wird, die Backup-Richtlinien jedoch manuell konfiguriert werden, kann es zu Lücken und Inkonsistenzen kommen. Die Verwaltung von Backups als Code trägt dazu bei, den Datenschutz an die Bereitstellungsabläufe anzupassen, manuelle Fehler zu reduzieren und eine versionsverwaltete Transparenz Ihrer Datensicherungsstrategie zu gewährleisten.
F: Was ermöglicht der Clumio Terraform-Provider?
A: Mit dem Clumio Terraform-Provider lassen sich AWS-Datensicherungsressourcen – wie beispielsweise Kontoverbindungen, Backup-Richtlinien und Schutzregeln – deklarativ definieren. Dies ermöglicht es Teams, Backup-Konfigurationen zusammen mit der Infrastruktur im selben Terraform-Workflow zu verwalten.
F: Inwiefern verbessert der tagbasierte Schutz die Skalierbarkeit?
A: Der tagbasierte Schutz ist so konzipiert, dass Richtlinien automatisch auf alle Ressourcen angewendet werden, die einem bestimmten Schlüssel-Wert-Paar entsprechen. Dies trägt zum Schutz bestehender und zukünftiger Ressourcen bei, ohne dass eine manuelle Zuordnung erforderlich ist, und erleichtert die Verwaltung des Schutzes in großem Maßstab über Konten und Dienste hinweg.
F: Wie trägt Terraform dazu bei, Konfigurationsabweichungen in Backup-Umgebungen zu reduzieren?
A: Terraform verwaltet einen deklarierten Zustand für Infrastruktur- und Sicherheitsrichtlinien. Durch das erneute Anwenden von Konfigurationen lassen sich manuelle oder außerhalb des regulären Prozesses vorgenommene Änderungen wieder mit dem beabsichtigten Zustand in Einklang bringen, was zur Verbesserung der Konsistenz über alle Umgebungen hinweg beiträgt.
F: In welchen Fällen ist die Automatisierung von Backups mit Terraform am sinnvollsten?
A: Dieser Ansatz ist besonders vorteilhaft in AWS-Umgebungen mit mehreren Konten, in regulierten Branchen, die nachprüfbare Konfigurationen erfordern, bei Plattformen, die gemeinsam genutzte Dienste verwalten, sowie in Unternehmen, die Terraform bereits als Standard für IaC einsetzen.
F: Wie können Teams mit der Terraform-basierten AWS-Datensicherung beginnen?
A: Teams können zunächst die Dokumentation zum Clumio-Terraform-Provider durchlesen, den GitHub-Quellcode des Providers erkunden und sich die Schnellstart-Demo ansehen. Ein weiterer praktischer nächster Schritt ist die Evaluierung von Clumio über den AWS Marketplace.
Lawrence Chang ist Chief Engineering Officer bei Clumio und Vir Choksi ist Principal Product Marketing Manager bei Commvault.
