Создание и управление партицией chattr для хранения резервных копий oVirt

Эффективное хранение резервных копий виртуальных машин (ВМ) в неизменяемых хранилищах является важным аспектом обеспечения безопасности данных в IT-инфраструктуре. Использование атрибутов chattr позволяет защитить данные от изменений, предоставляя уровень защиты на уровне файловой системы.

В этом руководстве мы рассмотрим пошаговый процесс создания партиции, настройку неизменяемости файлов с помощью chattr, интеграцию с oVirt и управление такой партицией через командную строку (CLI).

1. Подготовка NFS-сервера и создание партиции

1.1. Создание и форматирование партиции

Для начала создадим новую партицию и отформатируем её в файловую систему ext4, которая поддерживает атрибуты неизменяемости, необходимые для безопасного хранения резервных копий.

1. Создание новой партиции с помощью fdisk:

   Используем утилиту fdisk для управления разделами диска:

   bash

   Копировать код

   sudo fdisk /dev/sdX
   • Нажмите n для создания новой партиции.
   • Выберите тип партиции: основная (p) или логическая (l).
   • Укажите номер партиции, начальный и конечный сектора (по умолчанию используйте все доступное пространство).
   • Нажмите w, чтобы записать изменения на диск.

2. Форматирование партиции в ext4:

   Отформатируйте созданную партицию в файловую систему ext4, которая оптимизирована для больших объемов данных и поддерживает требуемые атрибуты файлов:

   bash

   Копировать код

   sudo mkfs.ext4 -L backup_data /dev/sdX1
   • Параметр -L backup_data задает метку тома, что облегчает идентификацию в будущем.

3. Создание точки монтирования и монтирование партиции:

   Создайте точку монтирования и смонтируйте партицию:

   bash

   Копировать код

   sudo mkdir -p /mnt/backup sudo mount /dev/sdX1 /mnt/backup

4. Добавление в /etc/fstab для автоматического монтирования:

   Чтобы партиция монтировалась автоматически при загрузке системы, добавьте следующую строку в файл /etc/fstab:

   plaintext

   Копировать код

   /dev/sdX1 /mnt/backup ext4 defaults,noatime,nodiratime 0 2
   • Опции noatime и nodiratime отключают обновление времени доступа для файлов и директорий, что уменьшает количество операций записи и повышает производительность.

2. Применение атрибутов chattr для обеспечения неизменяемости

2.1. Настройка атрибута неизменяемости

chattr (change attribute) — утилита для изменения атрибутов файлов и директорий в файловых системах Linux, таких как ext4. Основное преимущество — возможность установки атрибута +i (immutable), который защищает файлы и каталоги от изменений, удаления и переименования.

1. Установка атрибута +i (immutable):

   Сделаем каталог неизменяемым с помощью chattr:

   bash

   Копировать код

   sudo chattr +i /mnt/backup
   • Атрибут +i делает файлы и каталоги неизменяемыми, запрещая любые изменения, удаления и перемещения, включая привилегированных пользователей.

2. Проверка установленного атрибута с помощью lsattr:

   Для проверки установленных атрибутов используйте lsattr:

   bash

   Копировать код

   lsattr /mnt/backup

   Вывод команды покажет атрибут i для каждого файла и каталога в указанной директории.

2.2. Дополнительные меры безопасности

Кроме +i, можно использовать другие атрибуты:

• +a (append-only): разрешает только добавление данных в файл, что полезно для логов.
• +u (undeletable): удаленные файлы можно восстановить, что добавляет еще один уровень защиты.

Пример:

Этот атрибут защищает файлы от удаления и позволяет их восстановить, что полезно для данных, критически важных для восстановления системы.

3. Интеграция партиции с oVirt для хранения резервных копий

3.1. Добавление NFS-хранилища в oVirt

Для интеграции неизменяемого хранилища с oVirt нужно добавить NFS-домен в менеджер виртуализации.

1. Добавление NFS-хранилища через oVirt GUI:

   • Перейдите в раздел "Storage".
   • Нажмите "Add Storage Domain".
   • Выберите тип хранилища "NFS".
   • Укажите параметры подключения: IP-адрес сервера и путь к монтированной директории, например, 192.168.1.100:/mnt/backup.

2. Добавление хранилища через oVirt CLI:

   Используйте CLI для автоматизации и интеграции с существующими скриптами:

   bash

   Копировать код

   ovirt-shell -c -s <<EOF add storagedomain --name BackupStorage --type data --storage-type nfs --host-id [HOST_ID] --address [NFS_SERVER_IP] --path /mnt/backup --vfs-type nfs4 EOF
   • Замените [HOST_ID] на идентификатор хоста и [NFS_SERVER_IP] на IP-адрес сервера NFS.
   • Параметр --vfs-type nfs4 гарантирует использование NFS версии 4, которая поддерживает расширенные функции безопасности и производительности.

3.2. Настройка резервного копирования в oVirt

Настройте резервное копирование для ВМ через oVirt GUI, выбрав добавленное NFS-хранилище как целевое место для резервных копий.

4. Управление и обновление партиции с chattr

4.1. Управление неизменяемым хранилищем

При необходимости обновления данных в хранилище необходимо временно снять атрибут неизменяемости:

1. Удаление атрибута +i:

   bash

   Копировать код

   sudo chattr -i /mnt/backup
   • Это действие позволяет выполнять изменения: добавление новых файлов, обновление существующих данных, удаление устаревших резервных копий.

2. Внесение изменений в хранилище:

   Внесите необходимые изменения, добавьте или удалите файлы по мере необходимости.

3. Повторное применение атрибута +i:

   После внесения изменений снова установите атрибут неизменяемости для защиты данных:

   bash

   Копировать код

   sudo chattr +i /mnt/backup

4.2. Мониторинг и аудит

Настройте мониторинг доступа к файловой системе и атрибутам с помощью auditd или других инструментов мониторинга. Добавьте правила аудита для отслеживания изменений атрибутов файлов и попыток несанкционированного доступа:

Это правило будет отслеживать попытки изменения, записи и удаления в каталоге /mnt/backup, а также регистрировать все события с ключом backup_monitor.

5. Лучшие практики

5.1. Регулярное обновление прав доступа

Регулярно проверяйте права доступа к хранилищу. Убедитесь, что только необходимые пользователи и процессы имеют доступ к резервным копиям. Настройте ACL (Access Control List) для более гибкого управления правами:

5.2. Использование шифрования

Рассмотрите возможность использования шифрования на уровне файловой системы с помощью eCryptfs или LUKS для дополнительной защиты данных:

5.3. Автоматизация управления

Автоматизируйте управление хранилищем и резервным копированием с помощью скриптов и планировщика задач cron. Вот пример скрипта, который можно использовать через cron для регулярного обновления атрибутов и выполнения резервного копирования:

Добавьте этот скрипт в cron для регулярного выполнения:

Заключение

Использование атрибута chattr для создания неизменяемого хранилища добавляет дополнительный уровень защиты данных, хранимых в oVirt.

Следуя описанным в статье шагам и лучшим практикам, вы сможете создать надежное и защищенное хранилище для резервных копий, минимизируя риски потери данных и несанкционированного доступа.