阿里云優(yōu)惠券 先領券再下單

5 月 23 日，Verizon Business 《2022 數(shù)據(jù)泄露調查報告(DBIR)》顯示，2022 年的勒索事件不僅沒有減少，反而增幅超過過去五年總和。2022 年上半年，就已發(fā)生多起影響或損失重大的勒索事件。

近 5 年勒索事件增幅超 20%

1 月 5 日，美國新墨西哥州伯納利洛縣遭勒索軟件攻擊。

3 月 1 日，豐田汽車供應商遭勒索攻擊，14 家本土工廠暫時關閉。

3 月 21 日，征信巨頭 TransUnion 數(shù)據(jù)泄露，對 90% 南非人造成影響。

4 月 22 日，里約財政系統(tǒng)遭勒索攻擊，420GB 數(shù)據(jù)被盜。

5 月 13 日，勒索攻擊致使美國老牌高校林肯學院倒閉。

6 月 25 日，美國出版業(yè)巨頭 Macmillan 遭勒索軟件攻擊后關閉系統(tǒng)。

面對惡意攻擊，除了需要不斷提升的安全策略，數(shù)據(jù)的容災備份也是不可缺少的。

一、行業(yè)現(xiàn)狀

現(xiàn)狀1：行業(yè)面臨的問題

災備是一個非常古老的話題，那么目前行業(yè)面臨著哪些問題呢?

1、建設力度 較 低

目前國內在災備的建設力度，出現(xiàn)了“兩低一高”的局面。

數(shù)據(jù)災備投入較低，我國信息基礎設施投資中災備占比 2%，美國和歐洲分別為 6% 和 5%。

災備覆蓋率較低，我國大中型企業(yè)綜合災備覆蓋率僅為 3%，美國和歐洲分別為 87% 和 83%。

業(yè)務停機損失較高，我國大中型企業(yè)因為停機造成的損失平均達到 78 萬美元，美國為 42 萬美元。

2、政府法規(guī)要求相繼完善

政府相繼出臺了一些政策法規(guī)，在用戶數(shù)據(jù)和平臺基礎設施層面對企業(yè)進行保護。比如：2019 年發(fā)布的條例《等級保護 2.0》、2021 年逐漸加碼的關于《關鍵信息基礎設施的保護條例》以及《數(shù)據(jù)安全法》等，都對企業(yè)提出了更高的要求。

3、社會影響驅使

在社會影響上，無論是面向個人業(yè)務還是企業(yè)服務，服務中斷造成的社會影響力也在日益加深。

基于以上三點，使得企業(yè)更加重視關鍵信息的保護。另外，每一次針對于數(shù)據(jù)側的解決方案更新，都伴隨著計算平臺的更新而出現(xiàn)。

現(xiàn)狀2：信息化、數(shù)字化底座的新變革

Kubernetes 大行其道

2 月 10 日，CNCF 發(fā)布《2021 云原生調查報告》。這項已經(jīng)進行了 6 年的調查顯示：Kubernetes 的使用率持續(xù)增長，達到了有史以來的最高水平，90% 的組織在使用或評估這項技術。

90% 的組織在使用或評估 Kubernetes

圖片來源：https://www.cncf.io/reports/cncf-annual-survey-2021/

Kubernetes 等帶來新的安全挑戰(zhàn)

Kubernetes 大行其道趨勢之下，如何保護 Kubernetes 的應用數(shù)據(jù) ， 逐漸成為用戶使用 Kubernetes 和上云的挑戰(zhàn)之一 。

特別是以容器、微服務、Kubernetes、DevOps 為代表的云原生技術引領著企業(yè) IT 技術、架構的下一場革命，為系統(tǒng)的安全帶來新的挑戰(zhàn)。

根據(jù)調查顯示：安全和存儲兩個領域，在使用、部署容器的挑戰(zhàn)中分別列第三和第四。

圖片來源：《2020 年 CNCF 云原生調研報告》

現(xiàn)狀 3：常見的解決方案及不足

目前行業(yè)內有兩種常見的數(shù)據(jù)保護方案：基于虛擬機、基于 ETCD 。

方案 1：基于虛擬機

該類方案主要是通過虛擬機軟件(例：VMware / KVM 等)提供的快照和備份接口，直接備份虛擬機，從而備份虛擬機內的應用和數(shù)據(jù)庫。

虛擬機備份流程

該類方案更像是保護整個機器，因此不適用于 Kubernetes 環(huán)境下動態(tài)部署、靈活擴展的容器應用。

方案 2：基于 Kubernetes ETCD

ETCD 是 Kubernetes 存儲集群狀態(tài)和配置的數(shù)據(jù)庫，可以稱為集群的“大腦”。該方案可在集群發(fā)生安全事故后，通過恢復已備份的 ETCD 數(shù)據(jù)庫來恢復整個集群。

圖片來源：https://s3.cn-north-1.amazonaws.com.cn/

該方案仍存在的一些不足：

1.僅對集群的資源進行整體備份或恢復，無法針對單個應用或配置。

2.僅在本集群中恢復，無法跨云或跨集群環(huán)境。

3.無法備份恢復掛載持久卷(PVC)的有狀態(tài)應用(例：數(shù)據(jù)庫)。

鑒于以上兩種方案，可以總結為以下痛點：

1.缺少針對 Kubernetes 的數(shù)據(jù)保護方案。

2.云廠商的鎖定。

3.開源技術門檻高。

4.部署維護復雜。

二、云原生數(shù)據(jù)保護的技術特征及適用場景

從以上三個行業(yè)現(xiàn)狀看得出，針對 Kubernetes 架構的數(shù)據(jù)備份方案(云原生數(shù)據(jù)保護)需要具備以下三個特征：

特征 1：以應用為中心

區(qū)別于傳統(tǒng)備份技術(直接備份整個機器)，云原生數(shù)據(jù)保護更加聚焦以應用為中心的備份。所以說數(shù)據(jù)保護的對象應該是一個應用，而不是機器!保護方式應該更細粒度且端到端，更便捷的管理，能屏蔽底層基礎設施的異構性與復雜性。

特征 2：全新的開發(fā)者生態(tài)

因為有了 Kubernetes 這層抽象之后，需要結合 Kubernetes 的一些特性，屏蔽底層技術架構的異構性和復雜性，實現(xiàn)應用數(shù)據(jù)的遷移或備份上的一致。現(xiàn)在面對全新的開發(fā)者生態(tài)，需要向 DevOps 或微服務最佳實踐去深度結合，快速交付應用，完成自助式的備份。

特征 3：面向多云的環(huán)境

現(xiàn)在用戶的基礎設施，并不完全都在用戶本地，很多都是在公有云，如在青云 QKE 容器引擎之上。而云廠商計算資源的價格變化是比較大的，我們可以根據(jù)前者不斷的變化，來相應地選擇所需要的底層技術資源，去實現(xiàn)應用的遷移，實現(xiàn)降本增效。

云原生數(shù)據(jù)保護可以應用在哪里呢?主要有三個場景。

場景 1：數(shù)據(jù)的日常備份恢復

通過定時備份、恢復，時刻保障應用的生產安全。場景基礎且核心，有效避免因為遭受惡意攻擊或故障而導致的停機。通過增加備份細粒度，及時挽回業(yè)務數(shù)據(jù)。目前有兩種實現(xiàn)方式：

方式 1：基于存儲的本地快照

支持 CSI 快照接口，把需要備份的 PVC 數(shù)據(jù)保存在當前的卷下，然后與 API 相關的原數(shù)據(jù)將傳輸?shù)?S3 對象存儲。這種基于 CSI 的快照，能夠更好地保護應用的數(shù)據(jù)一致性?；趯С龅目煺湛煽焖龠w移恢復到另一個目標集群，恢復應用響應。

基于本地快照的備份

方式 2：基于 Restic 的文件復制

這種方式是以文件復制的形式來進行的。如果集群存儲不能夠支持相關的存儲接口，那么將對應的 API 資源和 PVC 數(shù)據(jù)備份到相應的 S3 對象存儲中，將 S3 對象存儲復制到目標集群，然后將應用恢復起來。這種方式在自身數(shù)據(jù)一致性、同步時間、性能等方面會稍微差一些。

基于 Restic 文件復制的備份

場景 2：基礎設施變動

無論是伴隨著公共云之上的資源遷移，還是實現(xiàn)多集群、多存儲協(xié)同保護，其實都在實現(xiàn)降本增效。

通過云原生備份服務快速實現(xiàn)基礎設施更換

云遷移方案，針對于跨 Kubernetes 集群的方案，在更換云基礎設施場景常見。比如，此時有更適合的云廠商資源，需要將資源遷移過去。先在目標云資源中啟用一套 Kubernetes 集群，然后逐步把源端的 Kubernetes 應用遷移到目標端應用上，逐步驗證新集群應用是否有效。由于目前 Kubernetes 升級迭代速度較快，遷移過程可能會出現(xiàn)一些問題，比如：不同版本 Kubernetes 的 API 兼容程度，應用適配等。

場景 3：保障業(yè)務連續(xù)性

云容災相對傳統(tǒng)容災方式，能更好保障服務高可用和業(yè)務連續(xù)性。

就像對一個 Kubernetes 的生產集群災備，需要在遠端準備一個跟當前集群基礎設施存儲一模一樣的集群用于災備。然后通過日常的增量復制，將增量數(shù)據(jù)時刻恢復到災備站點中。如果生產集群掛掉了，我們可以及時的啟用災備集群。這種方式的 RPO 和 RTO 非常好，但是代價也非常高，需要一整套相同的災備集群基礎設施，而且災備站點日常不能跑其他的工作負載，恢復概率很高。

傳統(tǒng)容災方式

這種方式下的 Kubernetes API 資源也是增量備份在 S3 對象存儲。如果生產環(huán)境掛掉，可以直接從 S3 存儲中獲取快照和元數(shù)據(jù)，將它們快速恢復到一個集群環(huán)境。這種方式對基礎設施沒有太多要求，是支持異構的，但 RPO 和 RTO 就存在一定局限性，對恢復效率帶來一定的影響。

云容災方式

三、更健壯、易用、高效的企業(yè)級云原生備份容災

KubeSphere Cloud 提供的 云原生備份容災是一款 SaaS 服務，通過云端托管部署的方式，來管理云原生數(shù)據(jù)保護組件 。針對不同客戶場景，提供私有化集群部署的解決方案，以確保對數(shù)據(jù)的掌控能力。云原生備份容災服務有如下顯著產品特性：

特征1：應用級數(shù)據(jù)庫保護 ：以應用為最小顆粒度，基于應用構建端到端備份容災。應用的各種配置信息、PVC 數(shù)據(jù)等在任務執(zhí)行中都能得以有效保護。

特征2：核心業(yè)務保障： 支持基于 CSI 的存儲快照備份與快照導出，有效保護 MySQL、MongoDB、Redis 等有狀態(tài)應用的數(shù)據(jù)一致性，保障關鍵應用的異地恢復和跨站點高可用。

特征3：跨云容災備份： 屏蔽了技術堆棧帶來的差異性，支持對跨云、跨可用區(qū)、跨 Kubernetes 版本的集群進行容災備份，為企業(yè)不同的容器應用提供了安全、統(tǒng)一的保護方案，無廠商鎖定。

特征4:直觀易用的管理界面： 用戶無需掌握 Kubernetes 備份的專業(yè)知識、工具，幾步操作即可輕松執(zhí)行數(shù)據(jù)保護任務。相較 Velero 等開源應用，極大程度降低了使用難度。

云原生備份容災服務架構圖

下面我們根據(jù)幾個具體的實踐案例來展示服務特性。

實踐 1：保障有狀態(tài)應用的數(shù)據(jù)一致性

CNCF 調查報告顯示：有狀態(tài)應用容器部署的比例非常高，達到 55%。典型的有狀態(tài)應用主要包括：消息系統(tǒng)、數(shù)據(jù)庫等，屬于需要應用數(shù)據(jù)保護的范疇。

如今一個顯著的事實是，數(shù)據(jù)庫應用逐漸走向 Kubernetes，優(yōu)勢：

數(shù)據(jù)庫的安裝、配置和維護更簡單

跨云的部署兼容性更好

數(shù)據(jù)庫和應用在一個平臺上運維，無需分開部署運維

快速部署數(shù)據(jù)庫實例

容災備份服務可以更好的發(fā)揮本地快照的性能優(yōu)勢，滿足 CSI 一致性要求，秒級創(chuàng)建快照，減少對數(shù)據(jù)一致性對應用業(yè)務的影響。

還可以在執(zhí)行備份容災操作前后，根據(jù)客戶有狀態(tài)應用的 I/O 情況、企業(yè)服務時間、運維周期等維度等條件，通過配置 Hook 策略執(zhí)行操作，避免因為備份恢復對企業(yè)業(yè)務造成影響。配合本地快照更快更好的保護有狀態(tài)應用的數(shù)據(jù)一致性。

各類備份方式的對比

實踐 2：滿足跨云跨集群的應用遷移

在 Hook 程序和本地快照方式的加持下，可以很快打包創(chuàng)建 CSI 快照，然后通過手動將快照導出，導入到目標的 S3 存儲上并恢復到目標 Kubernetes 集群。

當兩端 Kubernetes 集群的 StorageClass 不一致，可以通過在服務中配置兩端存儲卷映射關系，使得導出后的快照能夠順利導入到目標集群，實現(xiàn)應用遷移。該功能支持的非常完善。

配置存儲卷映射關系

實踐 3：滿足復雜的備份容災選擇粒度需求

往往在應用備份粒度上有不同需求，比如 DevOps 用戶備份時可能同時依賴幾個 NameSpace 或 Cluster 資源，很大的工作負載和常見應用備份怎么實現(xiàn)呢?

1、多 NameSpace 的選擇

可以通過 NameSpace 的 Name 或者 Label 兩個維度，進行可視化的 NameSpace 篩選，并可一次性選中并備份多個 NameSpace。

2、應用負載資源的過濾篩選

直接定位到 NameSpace 可能會產生一些冗余備份，如果直接定位到工作負載這個級別，一個 Filter 中，可通過 Group / Resource / Version / Name 等維度選擇或排除備份的資源。還可以創(chuàng)建多個 Filter，實現(xiàn)應用的靈活管理。

3、Cluster-Level 資源的選擇

在新集群啟用時，需要依賴一些 Cluster-Level 資源，可以對這些資源進行單獨的備份，從而實現(xiàn)更加細粒度資源的選擇。

Cluster-Level 資源備份

商業(yè)版本與開源方案對比

和開源的備份恢復工具 Velero 相比，KubeSphere Cloud 提供的云原生容器備份容災服務有諸多關鍵的附加價值。

充分測試驗證，安心、可靠

企業(yè)級測試驗證

安全事故極大先于社區(qū)處理

7*24 全天候省心支持

補充更多企業(yè)級功能

多集群納管

跨云遷移與云容災

有狀態(tài)應用一致性保證

快照導出與存儲映射

強大的備份資源模板

更加直觀易用

中文向導式界面

完整清晰的產品文檔

高效的安裝部署過程

良好支持國產化環(huán)境

國內主流公有云廠商支持

國內主流 Kubernetes 平臺支持

國內主流存儲廠商支持

備份容災用戶權益

目前該服務已經(jīng)上線到 KubeSphere Cloud 網(wǎng)站（ https://kubesphere.cloud ），會長期提供一個免費的版本，即1 00GB 免費托管存儲容量 。我們將保持中立開放的態(tài)度，不限制用戶基礎資源類型、倉庫類型等，提供相應的應用保護數(shù)和托管存儲容量，方便個人用戶測試體驗，去支持數(shù)據(jù)備份遷移的場景。

同時，我們開放付費能力的“新手禮包”體驗活動，讓用戶便捷地體驗付費服務的軟件能力 ，并提供標準售后支持，幫助用戶解決問題，保障應用數(shù)據(jù)安全，實現(xiàn)業(yè)務價值。

申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機遇！