Copia de seguridad y restauración

La copia de seguridad y restauración es la estrategia de recuperación ante desastres más sencilla y rentable. Debe crear copias de seguridad periódicas de sus datos e infraestructura, almacenarlas en una ubicación duradera (normalmente S3 en otra región) y restaurarlas cuando se produzca un desastre. Aunque su mantenimiento es económico, esta estrategia produce el RTO más largo (horas) y un RPO potencialmente significativo (el tiempo transcurrido desde la última copia de seguridad). Es adecuada para cargas de trabajo no críticas en las que se aceptan varias horas de inactividad.

AWS Backup es un servicio totalmente administrado que centraliza y automatiza la protección de datos en los servicios de AWS. Es compatible con volúmenes de EBS, bases de datos de RDS, tablas de DynamoDB, sistemas de archivos de EFS, FSx, instancias de EC2, clústeres de Aurora y S3. Puede definir planes de copia de seguridad con programaciones, periodos de retención y destinos de almacén. AWS Backup aplica políticas de copia de seguridad en varias cuentas mediante AWS Organizations, por lo que es el servicio de referencia para la gestión empresarial de copias de seguridad.

Amazon RDS crea automáticamente instantáneas diarias y captura registros de transacciones para permitir la recuperación a un momento dado (PITR). Puede restaurar la base de datos a cualquier segundo dentro del periodo de retención de copias de seguridad (de 1 a 35 días). Las copias de seguridad automatizadas se almacenan en S3 (AWS las administra y no son visibles en la consola de S3). Para la recuperación ante desastres entre regiones, utilice la consola o la CLI para copiar las instantáneas de la base de datos a otra región; la copia puede utilizarse para lanzar una nueva instancia de RDS durante un desastre.

S3 Cross-Region Replication (CRR) replica automáticamente los objetos nuevos de un bucket de origen a un bucket de destino en otra región. Para realizar copias de seguridad, configure sus trabajos para que escriban en un bucket de S3 con CRR habilitado; las copias de seguridad se copiarán automáticamente a la región de recuperación ante desastres en cuestión de minutos. Habilite el versionado en ambos buckets (es obligatorio para CRR) para conservar las versiones anteriores de las copias de seguridad. Combine esta función con S3 Object Lock para que las copias de seguridad sean inmutables y protegerlas frente al ransomware.

Para habilitar la recuperación de EC2 en una región de recuperación ante desastres, cree previamente Amazon Machine Images (AMIs) a partir de sus instancias de EC2 de producción y cópielas en la región de recuperación. Las AMI capturan el volumen raíz, la configuración de la instancia y, opcionalmente, los volúmenes de datos. Durante un desastre, lance nuevas instancias de EC2 a partir de la AMI de la región de recuperación y adjunte los volúmenes de EBS restaurados. Automatice la creación de AMI con AWS Backup EC2 resource type o EC2 Image Builder para crear canalizaciones de imágenes base.

DynamoDB ofrece dos mecanismos de copia de seguridad. Las copias de seguridad bajo demanda crean inmediatamente una copia completa sin afectar al rendimiento; pueden conservarse indefinidamente y restaurarse en cuestión de minutos. La recuperación a un momento dado (PITR), cuando está habilitada, realiza copias de seguridad continuas de la tabla durante los últimos 35 días, lo que permite restaurarla a cualquier segundo de ese periodo. Ambos tipos de copias de seguridad pueden exportarse a S3 para realizar copias entre regiones o integrarse con AWS Backup. Se recomienda encarecidamente habilitar PITR en las tablas de producción.

Amazon EFS se integra con AWS Backup para realizar copias de seguridad diarias automatizadas. Las copias de seguridad de EFS son incrementales: después de la copia inicial, solo se copian los datos modificados, lo que permite ahorrar espacio de almacenamiento. Puede restaurar un sistema de archivos completo o archivos individuales a partir de una copia de seguridad. Para la recuperación ante desastres entre regiones, utilice AWS Backup Cross-Region Copy para copiar automáticamente las copias de seguridad de EFS a un almacén de la región de recuperación. Tenga en cuenta que EFS ya es Multi-AZ dentro de una región; la copia entre regiones cubre los escenarios de fallo regional.

No es necesario conservar todas las copias de seguridad para siempre. Diseñe una estrategia de retención basada en sus requisitos de RPO y cumplimiento normativo. Un patrón habitual es: copias diarias durante 7 días, copias semanales durante 4 semanas, copias mensuales durante 12 meses y copias anuales durante 7 años (el esquema Abuelo-Padre-Hijo). Las reglas de ciclo de vida de AWS Backup automatizan este proceso. Para las copias de seguridad almacenadas en S3, utilice políticas de ciclo de vida de S3 para trasladar las copias más antiguas a S3 Glacier o Deep Archive y reducir considerablemente los costes de almacenamiento.

AWS Backup Vault Lock implementa una política WORM (Write Once, Read Many) que impide que cualquier persona, incluidos los usuarios raíz, elimine copias de seguridad o modifique el bloqueo antes de que caduque. Esto protege las copias de seguridad frente a ataques de ransomware y amenazas internas. Una vez aplicado, Vault Lock no se puede deshabilitar. Esta función es fundamental para cumplir normativas que exigen copias de seguridad inmutables (SOC 2, PCI DSS, HIPAA). Establezca un periodo de retención mínimo y máximo para garantizar que las copias de seguridad no se eliminen antes de tiempo.

Crear copias de seguridad es solo la mitad del trabajo: debe probar periódicamente que las restauraciones funcionan correctamente y dentro de su RTO. AWS Backup admite planes de pruebas de restauración que restauran automáticamente las copias de seguridad en un entorno de prueba según una programación y validan que la restauración se haya completado correctamente. Sin pruebas periódicas de restauración, podría descubrir durante un desastre real que sus copias de seguridad están dañadas o incompletas, o que tardan mucho más de lo previsto en restaurarse. Documente el tiempo de restauración como dato de su RTO real.

Los fallos de las copias de seguridad deben detectarse inmediatamente: un trabajo de copia de seguridad fallido significa que su próximo desastre no tendrá un punto de recuperación reciente. Configure notificaciones de AWS Backup mediante SNS para recibir alertas sobre los fallos de los trabajos de copia de seguridad. Utilice métricas de CloudWatch como NumberOfBackupJobsFailed para crear alarmas. Utilice reglas de AWS Config como BACKUP_PLAN_MIN_FREQUENCY_AND_MIN_RETENTION_CHECK para verificar continuamente que los recursos tengan asignados planes de copia de seguridad adecuados. Considere una copia de seguridad omitida como una posible infracción de cumplimiento.

Compruebe su comprensión de los conceptos de AWS Solutions Architect (SAA-C03) de esta lección.

En esta lección ha aprendido que: AWS Backup centraliza la gestión de copias de seguridad en RDS, DynamoDB, EFS, EC2 y otros servicios, S3 Cross-Region Replication copia automáticamente las copias de seguridad en la región de recuperación ante desastres y Backup Vault Lock proporciona copias de seguridad inmutables para el cumplimiento normativo y la protección frente al ransomware. Pruebe siempre las restauraciones para validar su RTO real. A continuación, analizaremos las estrategias Pilot Light y Warm Standby.