5.2. Storage über S3 exportieren¶

5.2.1. S3-Storage-Infrastruktur – Überblick¶

Die Infrastruktur eines Objekt-Storage besteht aus folgenden sogenannten Entitäten: Objekt-Server (OS), Namensserver (NS), S3-Gateways (GW) und dem Backend auf Blockebene.

Diese Entitäten laufen als Service auf den Acronis Cyber Infrastructure-Knoten. Jeder Service sollte auf mehreren Acronis Cyber Infrastructure-Knoten bereitgestellt werden, um Hochverfügbarkeit zu erreichen.

• Der Objekt-Server speichert die tatsächlichen Objekt-Daten, die vom S3-Gateway erhalten werden. Die Daten werden in spezielle Container verpackt, um eine hohe Performance zu erzielen. Die Container sind redundant. Sie können den Redundanzmodus bei der Konfiguration des Objekt-Storage spezifizieren. Der Objekt-Server speichert auch seine eigenen Daten im Block-Storage mit integrierter Hochverfügbarkeit.
• Der Namensserver speichert die Objekt-Metadaten, die vom S3-Gateway erhalten werden. Zu den Metadaten gehören der Objektname, die Größe, die Zugriffssteuerungsliste (ACL), der Speicherort, Besitzer und ähnliches. Der Namensserver (NS) speichert auch seine eigenen Daten im Block-Storage mit integrierter Hochverfügbarkeit.
• Ein S3-Gateway ist ein Daten-Proxy, der zwischen den Objekt-Storage-Services und den Endbenutzern sitzt. Das Gateway empfängt und verarbeitet Amazon S3-Protokollanforderungen sowie S3-Benutzerauthentifizierungs- und ACL-Überprüfungen. Das S3-Gateway nutzt den NGINX-Webserver für externe Verbindungen und hat keine eigenen Daten (d.h. es ist zustandslos).
• Das Backend auf Blockebene ist ein Block-Storage mit Hochverfügbarkeitsfähigkeit für Services und Daten. Weil alle Objekt-Storage-Services auf Hosts ausgeführt werden, sind für den Objekt-Storage keine virtuellen Umgebungen (und damit Lizenzen) erforderlich.

5.2.2. Den S3-Cluster planen¶

Bevor Sie einen S3-Cluster erstellen, müssen Sie Folgendes tun:

1. Definieren Sie, welche Knoten des Storage-Clusters die S3-Storage-Zugriffspunkt-Services ausführen sollen. Es wird empfohlen, alle Knoten in Acronis Cyber Infrastructure verfügbar zu haben, die diese Services ausführen.

2. Konfigurieren Sie das Netzwerk so, dass Folgendes erreicht wird:

   • Alle Komponenten des S3-Clusters kommunizieren miteinander über das private S3-Netzwerk. Alle Knoten eines S3-Clusters müssen mit dem privaten S3-Netzwerk verbunden sein. Das interne Netzwerk von Acronis Cyber Infrastructure kann für diesen Zweck verwendet werden.
   • Die Knoten, auf denen S3-Gateways laufen, müssen Zugriff auf das öffentliche Netzwerk haben.
   • Das öffentliche Netzwerk für die S3-Gateways muss von einem externen DNS-Lastverteiler balanciert werden.

   Weitere Informationen zur Netzwerkkonfiguration finden Sie in der Installationsanleitung.

3. Alle Komponenten des S3-Clusters sollten zur Erreichung von Hochverfügbarkeit auf mehreren Knoten laufen. Die Namensserver- und Objekt-Server-Komponenten in dem S3-Cluster werden automatisch ausbalanciert und zwischen den S3-Knoten migriert. Die S3-Gateways werden nicht automatisch migriert; ihre Hochverfügbarkeit basiert vielmehr auf DNS-Einträgen. Sie müssen die DNS-Einträge manuell verwalten, wenn Sie S3-Gateways hinzufügen oder entfernen.

5.2.3. Ein beispielhafter S3-Storage¶

Dieser Abschnitt zeigt eine exemplarische Objekt-Storage, der auf einem Storage-Cluster mit fünf Knoten bereitgestellt wird, die wiederum verschiedene Services ausführen. Die finale Konfiguration ist in der folgenden Abbildung dargestellt.

5.2.4. Den S3-Cluster erstellen¶

Gehen Sie folgendermaßen vor, um Objekt-Storage-Services auf einem Cluster-Knoten einzurichten:

1. Überprüfen Sie in der Anzeige INFRASTRUKTUR –> Netzwerke, dass die Traffic-Typen OSTOR privat und S3 öffentlich Ihren Netzwerken hinzugefügt wurden.

2. Klicken Sie im linken Menü auf STORAGE-SERVICES –> S3.

3. Wählen Sie einen oder mehrere Knoten aus und klicken Sie im rechten Menü auf S3-Cluster erstellen. Wählen Sie mindestens drei Knoten aus, wenn Sie einen hochverfügbaren S3-Cluster erstellen wollen. Es wird zudem empfohlen, zuerst die Hochverfügbarkeit (HV) für den Management-Knoten zu aktivieren, bevor der S3-Cluster erstellt wird. Weitere Informationen finden Sie im Abschnitt ‚Hochverfügbarkeit aktivieren‘.

4. Stellen Sie sicher, dass die richtige Netzwerkschnittstelle im Listenfeld ausgewählt ist.

   Klicken Sie bei Bedarf auf das Zahnradsymbol und konfigurieren Sie dann in der Anzeige Netzwerkkonfiguration die Netzwerkschnittstellen des Knotens.

   

   Klicken Sie auf Fortsetzen.

5. Wählen Sie auf der Registerkarte Volume-Parameter die gewünschte Storage-Ebene, Fehlerdomäne und den Datenredundanzmodus aus. Weitere Informationen finden Sie in den Abschnitten ‚Understanding Storage Tiers‘, ‚Understanding Failure Domains‘ und ‚Understanding Data Redundancy‘.

   

   Für die Replikation können Sie den Redundanzmodus auch später noch im Fensterbereich S3 –> ÜBERBLICK –> Einstellungen ändern. Für die Lösch-Codierung ist eine Änderung des Redundanzschemas deaktiviert, weil dies die Cluster-Performance herabsetzen könnte. Der Grund dafür ist, dass die Neucodierung eine erhebliche Menge an Cluster-Ressourcen über einen langen Zeitraum erfordern würde. Wenn Sie das Redundanzschema dennoch ändern wollen, können Sie sich an den technischen Support wenden.

   Klicken Sie auf Fortsetzen.

6. Spezifizieren Sie den externen (öffentlich auflösbaren) DNS-Namen für den S3-Endpunkt, der von den Endanwendern verwendet wird, um auf den Objekt-Storage zuzugreifen. Beispielsweise: s3.beispiel.com Klicken Sie auf Fortsetzen.

   Wichtig

   Konfigurieren Sie Ihren DNS-Server nach dem im Admin-Panel vorgeschlagenen Beispiel.

7. Wählen Sie aus dem Listenfeld ein S3-Endpunkt-Protokoll aus: HTTP, HTTPS oder beide.

   

   Wir empfehlen, für Produktionsbereitstellungen nur HTTPS zu verwenden.

   Wenn Sie HTTPS ausgewählt haben, gehen Sie anschließend nach einer der folgenden Möglichkeiten vor:

   • Aktivieren Sie Selbstsigniertes Zertifikat generieren, um ein selbstsigniertes Zertifikat für HTTPS-Testzwecke zu erhalten.

     Beachten Sie bitte Folgendes:

     • Für S3-Georeplikation ist ein Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle erforderlich. Mit selbstsignierten Zertifikaten funktioniert diese Option nicht.
     • Um auf die Daten im S3-Cluster über einen Webbrowser zugreifen zu können, muss das selbstsignierte Zertifikat in die Ausnahmen des Webbrowsers aufgenommen werden.

   • Erwerben Sie einen Schlüssel und ein vertrauenswürdiges Wildcard-SSL-Zertifikat für die unteren Ebenen der Domain (Bottom-Level Domain) des Endpunkts. Beispiel: der Endpunkt s3.storage.example.com würde ein Wildcard-Zertifikat für *.s3.storage.example.com mit dem SAN (Subject Alternative Name) s3.storage.example.com benötigen.

     Wenn Sie ein SSL-Zertifikat von einer Zwischenzertifizierungsstelle (Certificate Authority, CA) erworben haben, sollten Sie über ein Endbenutzerzertifikat zusammen mit einem CA-Bundle verfügen, welches die Stamm- und Zwischenzertifikate enthält. Um diese Zertifikate verwenden zu können, müssen Sie diese zunächst zu einer Kette zusammenführen. Eine Zertifikatskette umfasst das Endbenutzerzertifikat, die Zertifikate der Zwischenzertifizierungsstellen und das Zertifikat einer vertrauenswürdigen Stammzertifizierungsstelle (Root-CA). In diesem Fall kann einem SSL-Zertifikat nur dann vertrauenswürdig sein, wenn jedes Zertifikat in der Kette ordnungsgemäß ausgestellt und gültig ist.

     Wenn Sie beispielsweise ein Endbenutzerzertifikat, zwei Zertifikate von Zwischenzertifizierungsstellen und ein Zertifikat einer Stammzertifizierungsstelle haben, müssen Sie eine neue Zertifikatsdatei erstellen und dieser alle Zertifikate in folgender Reihenfolge hinzufügen:

     # End-user certificate issued by the intermediate CA 1
     -----BEGIN CERTIFICATE-----
     MIICiDCCAg2gAwIBAgIQNfwmXNmET8k9Jj1X<...>
     -----END CERTIFICATE-----
     # Intermediate CA 1 certificate issued by the intermediate CA 2
     -----BEGIN CERTIFICATE-----
     MIIEIDCCAwigAwIBAgIQNE7VVyDV7exJ9ON9<...>
     -----END CERTIFICATE-----
     # Intermediate CA 2 certificate issued by the root CA
     -----BEGIN CERTIFICATE-----
     MIIC8jCCAdqgAwIBAgICZngwDQYJKoZIhvcN<...>
     -----END CERTIFICATE-----
     # Root CA certificate
     -----BEGIN CERTIFICATE-----
     MIIDODCCAiCgAwIBAgIGIAYFFnACMA0GCSqG<...>
     -----END CERTIFICATE-----
     

     Laden Sie das vorbereitete Zertifikat hoch und führen Sie je nach dessen Typ einen der folgenden Schritte aus:

     • spezifizieren Sie die Passphrase (PKCS#12-Dateien);
     • laden Sie den SSL-Schlüssel hoch.

     Sie können den Redundanzmodus auch später noch im Fensterbereich S3 –> ÜBERBLICK –> Protokolleinstellungen ändern. Klicken Sie auf Fortsetzen.

8. Klicken Sie bei Bedarf auf Acronis Notary konfigurieren und spezifizieren Sie den Notary-DNS-Namen und den Notary-Benutzerschlüssel.

9. Klicken Sie auf Fertig, damit ein S3-Cluster erstellt wird.

Nachdem der S3-Cluster erstellt wurde, können Sie die Anzeige S3-Überblick öffnen, um folgende Informationen einzusehen: Cluster-Status, Host-Name, verwendeter Speicherplatz, Anzahl der Nutzer, I/O-Aktivität und den Zustand der S3-Services.

Um zu überprüfen, ob der S3-Cluster erfolgreich bereitgestellt wurde und für die Benutzer verfügar ist, rufen Sie in Ihrem Webbrowser die Adresse https://<S3_DNS_Name> oder http://<S3_DNS_Name> auf. Sie sollten dann folgende XML-Rückmeldung erhalten:

<Error>
<Code>AccessDenied</Code>
<Message/>
</Error>

Um mit der Nutzung des S3-Storage loslegen zu können, müssen Sie außerdem mindestens einen S3-Benutzer erstellen.

5.2.5. S3-Benutzer verwalten¶

Das Konzept eines S3-Benutzers ist – neben dem Konzept eines Objektes und Buckets (Container zur Speicherung von Objekten) – eines der Grundkonzepte für einen Objekt-Storage. Das Amazon S3-Protokoll verwendet ein Berechtigungsmodell, das auf Zugriffssteuerungslisten (kurz ACLs für Access Control Lists) basiert, wobei jedem Bucket und jedem Objekt eine ACL zugeordnet ist, die alle Benutzer mit Zugriff auf die angegebene Ressource und die Zugriffsart (Lesen, Schreiben, ACL lesen, ACL schreiben) auflistet. Die Liste der Benutzer enthält den Entitätsbesitzer, der jedem Objekt und Bucket bei dessen Erstellung zugewiesen wurde. Im Vergleich zu anderen Benutzern verfügt der Besitzer einer Entität über besondere Rechte. Beispielsweise ist der Besitzer eines Buckets der einzige Benutzer, das diesen Bucket löschen kann.

Das in Acronis Cyber Infrastructure implementierte Benutzermodell und die dazugehörigen Zugriffsrichtlinien entsprechen dem Amazon S3-Benutzermodell und dazugehörigen Zugriffsrichtlinien.

Die Benutzerverwaltungsszenarien in Acronis Cyber Infrastructure basieren weitesgehend auf der Benutzerverwaltung der Amazon Web Services und beinhalten folgende Operationen: Benutzer erstellen, abfragen und löschen sowie Benutzer-Zugriffsschlüsselpaare generieren und widerrufen.

5.2.6. S3-Buckets verwalten¶

Alle Objekte im Amazon S3-artigen Storage werden in Containern gespeichert, die „Buckets“ genannt werden. Buckets werden über ihre Namen adressiert, die im betreffendem Objekt-Storage eindeutig/einmalig sein müssen, sodass ein S3-Benutzer dieses Objekt-Storages keinen anderen Bucket erstellen kann, der den gleichen Namen wie ein anderer Bucket im selben Objekt-Storage hat. Buckets werden verwendet, um:

• Objekte zu gruppieren und von Objekten in anderen Buckets zu isolieren,
• ACL-Verwaltungsmechanismen für Objekte in Buckets bereitzustellen,
• Bucket-spezifische Zugriffsrichtlinien festzulegen, z.B. Versionierung im Bucket

In der aktuellen Version von Acronis Cyber Infrastructure können Sie Acronis Notary für Objekt-Storage-Buckets (de)aktivieren und den von diesen belegten Speicherplatz in der Anzeige STORAGE-SERVICES –> S3 –> Buckets überwachen. Objekt-Storage-Buckets können nicht über das Acronis Cyber Infrastructure-Admin-Panel erstellt oder verwaltet werden. Dies ist jedoch über den Benutzer-Fensterbereich von Acronis Cyber Infrastructure oder über eine Dritthersteller-Applikation möglich. Beispielsweise können Sie mit den nachfolgend aufgeführten Applikationen folgende Aktionen durchführen:

• CyberDuck: Buckets und deren Inhalte erstellen und verwalten.
• MountainDuck: den Objekt-Storage als Laufwerk mounten sowie Buckets und deren Inhalte verwalten.
• Backup Exec: Backups im Objekt-Storage speichern.

5.2.7. Empfehlungen für die optimale Nutzung von S3 in Acronis Cyber Infrastructure¶

Dieser Abschnitt enthält Empfehlungen, wie Sie die S3-Funktionalität von Acronis Cyber Infrastructure am besten verwenden können.

5.2.8. S3-Daten zwischen Datacentern replizieren¶

Acronis Cyber Infrastructure kann Replikate von S3-Cluster-Daten speichern und in mehreren geografisch verteilten Datacentern mit S3-Clustern aktuell halten, die auf Acronis Cyber Infrastructure basieren. Diese Georeplikation genannte Fähigkeit verkürzt die Reaktionszeit für lokale S3-Benutzer, die auf Daten in einem entfernten S3-Cluster zugreifen – oder für entfernte S3-Benutzer, die auf Daten in einem lokalen S3-Cluster zugreifen, weil sie keine Internetverbindung benötigen.

Die Georeplikation plant die entsprechende Aktualisierung der Replikate, sobald Daten geändert wurden. Die Performance der Georeplikation hängt von der Geschwindigkeit der Internetverbindung, dem verwendeten Redundanzmodus und der Cluster-Performance ab.

Wenn Sie mehrere Datacenter mit ausreichend freiem Speicherplatz haben, wird empfohlen, eine Georeplikation zwischen S3-Clustern einzurichten, die sich in diesen Datacentern befinden.

Um die Georeplikation zwischen S3-Clustern einzurichten, müssen Sie folgendermaßen Token zwischen den Datacentern austauschen:

1. Öffnen Sie im Admin-Panel eines Remote-Datacenters die Anzeige STORAGE-SERVICES –> S3 –> GEOREPLIKATION.

   

2. Klicken Sie im Bereich des Home-S3-Clusters auf TOKEN und kopieren Sie dann im Fensterbereich Token abrufen das entsprechende Token.

3. Öffnen Sie im Admin-Panel des lokalen Datacenters die Anzeige STORAGE-SERVICES –> S3 –> GEOREPLIKATION und klicken Sie dann auf DATACENTER HINZUFÜGEN.

   

4. Geben Sie das kopierte Token ein und klicken Sie auf Fertig.

5. Konfigurieren Sie den S3-Remote-Cluster auf die gleiche Weise.

5.2.9. S3-Zugriffspunkte überwachen¶

Mit der S3-Überwachungsanzeige können Sie die Verfügbarkeit aller S3-Komponenten sowie die Performance der NS- und OS-Services (die hochverfügbar sind) überprüfen.

Wenn Sie sehen, dass einige der NS- oder OS-Services offline sind, bedeutet dies, dass der S3-Zugriffspunkt nicht korrekt arbeitet. In diesem Fall können Sie sich an den technischen Support wenden oder sich weiter in der Befehlszeilenanleitung für Administratoren informieren. S3-Gateways sind nicht hochverfügbar, aber die DNS-Lastverteilung sollte ausreichen, um Ausfallzeiten zu vermeiden, wenn ein Gateway ausfällt.

Die Performance-Diagramme informieren über die Anzahl der Operationen, die die OS-/NS-Services durchführen.

5.2.10. Knoten aus S3-Clustern freigeben¶

Stellen Sie vor der Freigabe eines Knotens sicher, dass der Cluster genügend Knoten hat, auf denen Namens- und Objekt-Server ausgeführt werden, und über genügend Gateways verfügt.

Gehen Sie folgendermaßen vor, um einen Knoten aus einem S3-Cluster freizugeben:

1. Aktivieren Sie auf der Anzeige STORAGE-SERVICES –> S3 –> Knoten das Kontrollkästchen des Knotens, den Sie freigeben wollen.
2. Klicken Sie auf Freigeben.

5.2.11. Unterstützte Amazon S3-Funktionen¶

Neben grundlegenden Amazon S3-Operationen wie GET, PUT, COPY und DELETE unterstützt die Acronis Cyber Infrastructure-Implementierung des Amazon S3-Protokolls folgende Funktionen:

• Multipart-Upload
• Zugriffssteuerungslisten (ACLs)
• Versionsverwaltung
• signierte URLs
• Objektsperrung
• Georeplikation
• Blockchain-Beglaubigung über Acronis Notary

Alle unterstützten Amazon S3-Operationen, -Header und -Authentifizierungsschemata werden nachfolgend aufgelistet.