Docs

Backups mit Veeam (Scale-Out Backup Repository)

Veeam Backup & Replication kann chili als unveränderliches Capacity Tier eines Scale-Out Backup Repository (SOBR) nutzen. Diese Anleitung richtet sich an Veeam- Administratoren und zeigt, wie Sie einen Bucket mit Object Lock vorbereiten, chili als S3 Compatible Object Storage anbinden, das Repository an ein SOBR hängen und Immutability aktivieren. Das Ergebnis ist ein WORM-geschütztes Offload-Ziel in der Schweiz, dessen Restore- und SureBackup-Tests dank null Egress nichts kosten.

Voraussetzungen

  • Veeam Backup & Replication ab Version 12 (S3 Compatible Object Storage mit Object Lock wird laut Veeam-Dokumentation ab v12 unterstützt, vorhanden in v12.x und v13)
  • chili-Zugangsschlüssel (Access Key und Secret) aus dem Portal
  • ein Bucket sowie die Berechtigung, darin Object Lock und Versionierung zu aktivieren
  • der chili-S3-Endpoint und das passende Region-Kürzel gemäss chili-Portal

1. Bucket mit Object Lock vorbereiten

Immutability für S3 Compatible Object Storage setzt laut Veeam-Dokumentation voraus, dass am Bucket sowohl Object Lock als auch Versionierung aktiviert sind, und zwar zusammen und bevor der Bucket in Veeam registriert wird. Legen Sie den Bucket deshalb vorab an. Mit der AWS CLI gegen chili sieht das so aus:

aws s3api create-bucket \
  --bucket mein-veeam-capacity \
  --object-lock-enabled-for-bucket \
  --endpoint-url https://<ENDPOINT>
 
aws s3api put-bucket-versioning \
  --bucket mein-veeam-capacity \
  --versioning-configuration Status=Enabled \
  --endpoint-url https://<ENDPOINT>

Wichtig für den Veeam-Anwendungsfall: Lassen Sie die Object-Lock-Konfiguration (Default-Retention) des Buckets auf None, setzen Sie also keine Default-Retention. Andernfalls lässt sich der Bucket nicht in Veeam registrieren. Veeam selbst versieht jedes hochgeladene Objekt automatisch mit dem Compliance-Modus (Block-Generation- Strategie). Konfigurieren Sie ausserdem keine Lifecycle-Regeln auf dem Bucket: Sie werden für Veeam-Repositories nicht unterstützt und können Backup- oder Restore- Fehler verursachen. Die Aufbewahrung steuert ausschliesslich Veeam.

2. chili als S3 Compatible Object Storage anlegen

Öffnen Sie in der Veeam-Konsole den Assistenten über folgenden Pfad:

Backup Infrastructure > Backup Repositories > Add Repository > Object Storage > S3 Compatible

Gleichwertig erreichen Sie ihn über den Knoten Object Storage Repositories > Add Object Storage > S3 Compatible. Beides startet den Assistenten New Object Storage Repository mit diesen Schritten:

1. Launch New Object Storage Repository Wizard
2. Specify Object Storage Name
3. Specify Object Storage Account
4. Specify Object Storage Settings
5. Specify Mount Server Settings
6. Review Components
7. Apply Settings
8. Finish Working with Wizard

Auf Specify Object Storage Account hinterlegen Sie die Verbindung. Tragen Sie als Service point den chili-Endpoint inklusive Port ein und fügen Sie über das Dropdown Credentials Ihren chili Access Key und Secret hinzu (Schaltfläche Add...):

Service point:  https://<ENDPOINT>:443
Region:         <region>          # gemäss chili-Portal
Credentials:    AKIA...           # Access Key, Secret über "Add..."

Den exakten Wert für Region entnehmen Sie dem chili-Portal; chili betreibt Regionen in Zürich und Genf (Georedundanz als Add-on). Prüfen Sie auf diesem Schritt die Verbindung.

3. Bucket, Folder und Immutability festlegen

Auf der Seite Specify Object Storage Settings wählen Sie über Browse den in Schritt 1 angelegten Bucket und darin über Browse einen Folder für die Backups (vorhandenen wählen oder neu anlegen). Aktivieren Sie dann die Checkbox für die Unveränderlichkeit:

Bucket:  mein-veeam-capacity         # via "Browse" auswählen
Folder:  veeam                       # via "Browse" auswählen oder anlegen
[x] Make recent backups immutable for [N] days

Das Kontrollkästchen Make recent backups immutable for [N] days verhindert laut Veeam-Dokumentation das Löschen von Datenblöcken aus dem Object Storage für die angegebene Zahl an Tagen. Veeam wendet dafür den Compliance-Modus pro Objekt an. In der grafischen Oberfläche ist als Immutability-Zeitraum maximal 90 Tage möglich; für einen längeren Zeitraum muss das PowerShell-Cmdlet Set-VBRAmazonS3CompatibleRepository verwendet werden. Ein konkreter Tageswert ist keine Veeam-Vorgabe, sondern richtet sich nach Ihrer Aufbewahrungspolitik. Schliessen Sie den Assistenten über Review Components, Apply Settings und Finish Working with Wizard ab.

4. Repository an das SOBR hängen

Binden Sie das neue Object-Storage-Repository nun als Capacity Tier eines Scale-Out Backup Repository ein. Bearbeiten oder erstellen Sie das SOBR und gehen Sie zum Schritt Capacity Tier:

Backup Infrastructure > Scale-out Repositories > (SOBR bearbeiten/hinzufügen) > Capacity Tier
[x] Extend scale-out backup repository capacity with object storage

Wählen Sie das chili-Repository als Extent. Laut Veeam-Dokumentation lassen sich Capacity-Tier-Extents jederzeit hinzufügen, und über Zeitfenster steuern Sie, wann beziehungsweise nach wie vielen Tagen Backups in den Object Storage ausgelagert oder kopiert werden. Diese Offload- und Kopierregeln konfigurieren Sie auf dem Schritt Capacity Tier.

Verwalten Sie die Daten im Bucket ausschliesslich über Veeam (Aufbewahrung und Datenpflege), wie es die Veeam-Dokumentation vorgibt. Greifen Sie nicht mit anderen Werkzeugen schreibend in denselben Bucket ein.

Verifizieren

Da chili keine Egress-Gebühren erhebt, kostet ein Lesetest nichts. Prüfen Sie nach dem ersten Offload, ob Veeam Objekte in den Bucket geschrieben hat:

aws s3 ls s3://mein-veeam-capacity/veeam/ --recursive \
  --endpoint-url https://<ENDPOINT>

Erwartete Ausgabe: eine Liste der von Veeam erzeugten Backup-Objekte unter dem gewählten Folder. Anschliessend bestätigen Sie den eigentlichen Restore in Veeam selbst, etwa über einen SureBackup-Job oder einen Instant Recovery aus dem Capacity Tier. Weil der Abruf egress-frei ist, lässt sich die Wiederherstellbarkeit so regelmässig und ohne Zusatzkosten testen.

Häufige Stolpersteine

  • Endpoint aus dem chili-Portal als vollständige URL schreiben, inklusive https://. Auf dem Veeam-Schritt gehört der Port mit in das Feld Service point (:443).
  • Object Lock und Versionierung müssen beide am Bucket aktiv sein, bevor Sie ihn in Veeam registrieren. Nachträglich lässt sich Object Lock nicht aktivieren.
  • Keine Default-Retention und keine Lifecycle-Regeln am Bucket setzen, sonst scheitert die Registrierung oder es kommt zu Backup-/Restore-Fehlern.
  • Immutability für S3 Compatible Object Storage gibt es erst ab Veeam v12. Für ältere Versionen diese Funktion in der Veeam-Dokumentation prüfen.
  • Der Wert für Region ist anbieterspezifisch; verwenden Sie den im chili-Portal angezeigten Wert und raten Sie nicht.

Das Ergebnis: ein unveränderliches Veeam-Capacity-Tier in der Schweiz, in Zürich oder Genf und auf Wunsch georedundant, dessen Restore- und SureBackup-Tests ohne Egress-Gebühren laufen.