架构
一架控制飞机。 两个信任区。 测量回收路径。
参考设计将生产发现、文物信任和恢复执行分开,因此受损的生产身份无法直接控制恢复。
参考设计
从设计之初就支持多账户、多区域。
生产是通过只读的发现观察到的。 Terraform通过基于证据的推广,然后通过恢复进行选择。
DR-as-Code 参照架构
生产发现 → 值得信赖的文物 → Active-Warm Recovery
生产发现 → 值得信赖的文物 → Active-Warm Recovery
自动化 信任决定 恢复准备 依赖性
勒索软件抵抗力
永远不要盲目地部署最新快照。
所有来自生产环境的恢复包起初都视为不可信。批准流程验证其质量；事件发生时的选择流程确认其采集时间早于最早可信的入侵时间。
基础设施信任与推广
持续的保证,加上事件指挥责任
持续的保证,加上事件指挥责任
门口 01
诚信与来源
生产者身份、签名、消化、宣言、源帐户、区域、工具链和依赖锁。
门口 02
安全与政策
秘密曝光,公众可用性,加密,特权,日志,破坏性变化和可变参考。
门口 03
运行时间测试
孤立的计划/应用和网络、数据和应用验证。 失败的文物将被隔离。
恢复一致性
基础设施和数据返回一个值得信赖的点。
宣言记录了生产捕获时间。 数据库恢复在执行之前对实际可恢复的边界进行检查。
可信的恢复时间表
示范事件时间表
示范事件时间表
每五分钟采集一次 IaC，代表配置恢复点的目标，并不是应用整体的 RPO。 数据损失还取决于交易日志、复制延迟、一致性和事件边界。
示范时间预算
工程师在事件发生前每分钟。
这表明,经过授权的故障后,一个子时目标可能会被分解。 评估和重复测试确定了实际值。
| 达成目标 | 恢复阶段 | 所需证据 |
|---|---|---|
| 0 - 5 分钟 | 声明、隔离和选择 | 授权的事件、妥协边界和有效的文物 |
| 五到十五分钟 | 应用和验证基金会 | 计划审查;路由和控制通过 |
| 15 - 35 分钟 | 重新部署 ECS/EKS 容量 | 健康的目标、定位、扩展和发现 |
| 35 - 45 分钟 | 附加或恢复数据路径 | 符合条件的时刻印、加密和可及性 |
| 45～55分鐘 | 三级烟雾测试 | 网络、数据和应用程序测试通过 |
| 55～60分鐘 | 批准和更换交通 | 技术和商业签名 |