Snapshots, criptografia e RAID do EBS

Snapshots do EBS são backups de volumes EBS em um determinado momento, armazenados de forma durável no Amazon S3 (embora sejam gerenciados pelo EBS, e não acessíveis diretamente pelo console do S3). O primeiro snapshot é uma cópia completa; os snapshots seguintes são incrementais — apenas os blocos alterados desde o último snapshot são armazenados. Apesar do armazenamento incremental, você pode restaurar qualquer snapshot individual para um volume completo. Os snapshots são o principal mecanismo de backup, migração e recuperação de desastres de volumes EBS.

Você é cobrado pelo armazenamento real consumido pelos blocos incrementais dos snapshots em todos os snapshots de um volume — não pelo tamanho do volume. Se você excluir snapshots intermediários, o S3 consolida os dados para que os snapshots restantes ainda representem pontos de restauração completos. Para gerenciar custos em grande escala, use o Amazon Data Lifecycle Manager (DLM) para criar programações de snapshots e políticas de retenção — por exemplo, faça snapshots diários, mantenha os últimos 7 diários + 4 semanais + 12 mensais e exclua os mais antigos automaticamente.

Os snapshots podem ser copiados entre regiões para recuperação de desastres e distribuição geográfica. Você também pode compartilhar snapshots com contas AWS específicas (ou torná-los públicos) para transferir dados do EBS entre contas sem usar a rede. Ao copiar um snapshot, você pode alterar a chave de criptografia — é assim que os dados são movidos de um volume não criptografado para um criptografado, ou de uma chave em uma conta para uma chave em outra.

Criar um volume a partir de um snapshot é simples, mas há uma consideração de desempenho: os volumes restaurados a partir de snapshots começam com todos os blocos armazenados no S3 e são carregados sob demanda no primeiro acesso. Isso pode causar maior latência para blocos que ainda não foram carregados no volume. Para bancos de dados de produção, use o Fast Snapshot Restore (FSR) — um recurso pago que pré-aquece o snapshot para que os volumes tenham imediatamente o desempenho máximo. Como alternativa, faça o pré-aquecimento lendo todos os blocos com dd ou fio após a restauração.

A criptografia do EBS usa AES-256 para criptografar dados em repouso (no volume), em trânsito entre o volume e a instância EC2 e nos snapshots. A criptografia é tratada de forma transparente pelo hipervisor do EC2 — sua aplicação não percebe nenhuma diferença. A criptografia usa chaves do AWS KMS: você pode usar a chave gerenciada pela AWS (aws/ebs) ou uma chave gerenciada pelo cliente (CMK). Depois que um volume é criptografado, todos os dados gravados nele e todos os snapshots criados a partir dele também são criptografados.

Você não pode criptografar diretamente um volume EBS existente não criptografado. A solução alternativa é um processo de várias etapas: (1) crie um snapshot do volume não criptografado; (2) copie o snapshot com --encrypted para criar um snapshot criptografado; (3) crie um novo volume criptografado a partir do snapshot criptografado; (4) interrompa a instância, desanexe o volume antigo, anexe o novo volume criptografado e reinicie. Esse processo pode ser automatizado por script e é cobrado na prova SAA-C03 como um cenário de migração.

RAID 0 (distribuição) distribui os dados entre vários volumes EBS para agregar seus IOPS e throughput. Dois volumes gp3 de 16.000 IOPS em RAID 0 fornecem aproximadamente 32.000 IOPS. A desvantagem é que, se qualquer um dos volumes falhar, você perderá todos os dados — não há redundância. O RAID 0 é adequado para dados temporários ou fáceis de recriar, quando a prioridade é o throughput máximo: camadas de cache, filas de processamento ou espaço temporário. Snapshots de toda a matriz RAID exigem coordenação de consistência.

RAID 1 (espelhamento) grava dados idênticos simultaneamente em dois volumes EBS. Se um volume falhar, o outro conterá uma cópia completa. O RAID 1 oferece a redundância de dois volumes, mas apenas a capacidade de um. No entanto, para volumes EBS, isso geralmente é redundante em relação à replicação integrada do EBS no nível da AZ. A AWS recomenda usar arquiteturas EBS Multi-AZ (por meio de RDS Multi-AZ ou ASG entre AZs) em vez de RAID 1 no EBS, pois o EBS já replica os dados dentro de uma AZ. O RAID 1 no EBS é raro nas arquiteturas modernas.

Uma Amazon Machine Image (AMI) é um modelo para iniciar instâncias EC2 e é respaldada por um ou mais snapshots do EBS — um snapshot por volume incluído na AMI (normalmente um para o volume raiz). Quando você cria uma AMI personalizada a partir de uma instância em execução, a AWS interrompe a instância (ou usa VSS no Windows), cria snapshots de todos os volumes EBS anexados e registra o mapeamento na AMI. Desregistrar uma AMI não exclui automaticamente seus snapshots de suporte — você precisa excluir os snapshots separadamente para deixar de pagar por eles.

Práticas recomendadas para snapshots em cargas de trabalho de produção: congele ou coloque o sistema de arquivos em estado consistente antes de criar snapshots de bancos de dados para garantir a consistência (a maioria dos bancos de dados gerenciados, como o RDS, faz isso automaticamente). Adicione tags aos snapshots com o ambiente, o ID do volume e a data para facilitar o gerenciamento do ciclo de vida e a alocação de custos. Teste regularmente os procedimentos de restauração — um snapshot que nunca foi restaurado não é um backup. Armazene cópias entre regiões para recuperação de desastres. Use o AWS Backup para o gerenciamento centralizado de políticas em EBS, RDS, DynamoDB e outros serviços.

O EBS Snapshot Recycle Bin protege contra a exclusão acidental de snapshots e AMIs. Quando ativado com uma regra de retenção, os snapshots excluídos são movidos para a Lixeira em vez de serem destruídos permanentemente. Você pode recuperá-los durante o período de retenção (de 1 dia a 1 ano). Isso é especialmente importante em cenários de conformidade nos quais é necessário conseguir recuperar dados após a exclusão acidental por um administrador ou por um script de automação descontrolado, sem restaurar a partir de uma camada de backup mais antiga.

Teste sua compreensão dos conceitos do AWS Solutions Architect (SAA-C03) apresentados nesta lição.

Nesta lição, você aprendeu que: os snapshots do EBS são incrementais e armazenados no S3, com o DLM para gerenciamento automatizado do ciclo de vida; a criptografia exige um fluxo de cópia do snapshot para converter volumes não criptografados; e o RAID 0 distribui os volumes para agregar desempenho, enquanto o RAID 1 os espelha para oferecer redundância (embora o EBS já replique os dados dentro de uma AZ). A seguir, exploraremos o EFS para armazenamento compartilhado de arquivos Linux.