Azure Blob Storage: Procedimientos recomendados para la protección de datos, la copia de seguridad y la recuperación de Azure Storage

En el artículo se proporcionan opciones de copia de seguridad y protección de datos de Azure Storage, escenarios de recuperación de autoservicio y posibilidades de recuperación.

La protección de datos de Azure Storage hace referencia a las estrategias para:

• Proteger la cuenta de almacenamiento y los datos dentro de ella de que se eliminen o modifiquen.
• Restaurar datos una vez eliminados o modificados.

En esta sección se presentan las opciones disponibles de protección de datos, copia de seguridad y recuperación. Para obtener más información, vea Opciones de protección y copia de seguridad de datos.

En las secciones siguientes se presentan escenarios de protección de datos y opciones de protección recomendadas:

• Escenario 1: Protección de la cuenta de almacenamiento
• Escenario 2: Protección del contenedor de blobs
• Escenario 3: Protección de archivos de blob

Habilite el bloqueo de Azure Resource Manager (ARM) para bloquear todas las cuentas de almacenamiento e impedir la eliminación de la cuenta de almacenamiento. Para obtener más información sobre el bloqueo de ARM, consulte Aplicación de un bloqueo de Azure Resource Manager a una cuenta de almacenamiento.

Ventajas y limitaciones:

• Protege la cuenta de almacenamiento frente a cambios de configuración o eliminación.
• No protege que los contenedores o blobs de la cuenta se eliminen o sobrescriban.
• Admite Azure Data Lake Storage (ADLS) Gen 2.

• Habilite directivas de inmutabilidad en un contenedor para proteger documentos críticos para la empresa, como cumplir los requisitos legales o de cumplimiento normativo.

  Ventajas y limitaciones:

  • Protege un contenedor y sus blobs de todas las eliminaciones y sobrescrituras.
  • Cuando está en vigor una retención legal o una directiva de retención basada en el tiempo bloqueada, la cuenta de almacenamiento también está protegida contra la eliminación. Los contenedores para los que no se ha establecido ninguna directiva de inmutabilidad no están protegidos contra la eliminación.
  • Admite ADLS Gen 2 en versión preliminar.

  Para obtener más información sobre las directivas de inmutabilidad en un contenedor, consulte Almacenamiento de datos de blobs críticos para la empresa con almacenamiento inmutable.

• Habilite la eliminación temporal del contenedor para restaurar un contenedor eliminado dentro de un intervalo especificado.

  Ventajas y limitaciones:

  • Un contenedor eliminado y su contenido se pueden restaurar dentro del período de retención. El procedimiento recomendado para un intervalo de retención mínimo es de siete días.
  • Solo se pueden restaurar las operaciones de nivel de contenedor, como "Eliminar contenedor". La eliminación temporal del contenedor no le permite restaurar un blob individual en el contenedor si se elimina ese blob.
  • Admite ADLS Gen 2.

  Para obtener más información sobre la eliminación temporal de contenedores, consulte Eliminación temporal de contenedores.

• Habilite las directivas de inmutabilidad en una versión de blob para evitar que se elimine una versión de blob durante un intervalo que controle.

  Ventajas y limitaciones:

  • Protege a una versión de blob de que se elimine y que sus metadatos no se sobrescriban. Una operación de sobrescritura crea una nueva versión.
  • Si al menos un contenedor tiene habilitada la inmutabilidad en el nivel de versión, la cuenta de almacenamiento también está protegida contra la eliminación.
  • Se produce un error en la eliminación del contenedor si existe al menos un blob en el contenedor.
  • No está disponible para ADLS Gen2.

  Para obtener más información sobre las directivas de inmutabilidad en una versión de blob, consulte Almacenamiento de datos de blobs críticos para la empresa con almacenamiento inmutable.

• Habilite la eliminación temporal de blobs para restaurar una versión de blob o blob eliminada dentro de un intervalo especificado.

  Ventajas:

  • Se puede restaurar una versión de blob o blob eliminada dentro del período de retención. El procedimiento recomendado para un intervalo de retención mínimo es de siete días.
  • Admite ADLS Gen 2.

  Para obtener más información sobre la eliminación temporal de blobs, consulte Eliminación temporal de blobs.

• Habilite la instantánea de blobs para guardar manualmente el estado de un blob en un momento dado.

  Ventajas y limitaciones:

  • Un blob se puede restaurar a partir de una instantánea si el blob se sobrescribe. Sin embargo, si se elimina el blob, también se eliminan las instantáneas.
  • Admite ADLS Gen 2 en versión preliminar.

  Para obtener más información sobre las instantáneas de blobs, consulte Instantáneas de blobs.

• Habilite el control de versiones de blobs para guardar automáticamente el estado de un blob en una versión anterior cuando se sobrescriba.

  Ventajas y limitaciones:

  • Cada operación de escritura de blobs crea una nueva versión. La versión actual de un blob se puede restaurar a partir de una versión anterior si la versión actual se elimina o se sobrescribe.
  • No está disponible para ADLS Gen2.

  Para obtener más información sobre el control de versiones de blobs, consulte Control de versiones de blobs.

• Habilite la restauración a un momento dado para restaurar un conjunto de blobs en bloques a un momento dado anterior.

  Ventajas y limitaciones:

  • Un conjunto de blobs en bloques se puede revertir a su estado en un punto específico del pasado.
  • Solo se revierten las operaciones realizadas en blobs en bloques.
  • Las operaciones realizadas en contenedores, blobs en páginas o blobs en anexos no se revierten.
  • No está disponible para ADLS Gen2.

  Para obtener más información sobre la restauración a un momento dado, consulte Restauración a un momento dado para blobs en bloques.

• Copie datos en una segunda cuenta a través de la replicación de objetos de Azure Storage o herramientas como AzCopy o Azure Data Factory.

  Ventajas y limitaciones:

  • Los datos se pueden restaurar desde la segunda cuenta de almacenamiento si la cuenta principal está en peligro de alguna manera.
  • Se admiten AzCopy y Azure Data Factory.
  • No se admite la replicación de objetos.

En las secciones siguientes se presentan escenarios de recuperación de datos y posibles opciones de recuperación:

• Escenario 1: Recuperación de la cuenta de almacenamiento
• Escenario 2: Recuperación del contenedor de blobs
• Escenario 3: Recuperación de archivos de blob

Puede recuperar datos una vez habilitadas las opciones de protección de datos y copia de seguridad .

Hace referencia a Recuperar cuentas de almacenamiento eliminadas de la Azure Portal.

• Recupere el contenedor eliminado temporalmente y su contenido.

  Requisitos para la recuperación:

  • La eliminación temporal del contenedor está habilitada.
  • El período de retención de eliminación temporal del contenedor aún no ha expirado.

  Para obtener más información, vea Habilitar y administrar la eliminación temporal para contenedores.

• Recuperación desde una segunda cuenta de almacenamiento.

  Requisitos para la recuperación: todas las operaciones de contenedor y blob se han replicado en una segunda cuenta de almacenamiento.

• Recupere blobs en versiones anteriores a través del control de versiones de blobs.

  Requisitos para la recuperación:

  • El control de versiones de blobs está habilitado.
  • El blob tiene una o varias versiones anteriores.

  Para obtener más información, consulte Habilitación y administración del control de versiones de blobs.

  Esta opción no se admite actualmente para cargas de trabajo de ADLS.

  Procedimientos de recuperación:

  1. Vaya al blob afectado desde el Azure Portal.

  2. Seleccione los puntos suspensivos (...) del blob que desea recuperar.

  3. Seleccione Ver versiones.

  4. Seleccione la versión necesaria para restaurar.

  5. Seleccione Make current version (Crear versión actual).

• Recupere blobs mediante la eliminación temporal de blobs.

  Requisitos para la recuperación:

  • La eliminación temporal de blobs está habilitada.
  • El intervalo de retención de eliminación temporal no ha expirado.

  Para obtener más información, consulte Administración y restauración de blobs eliminados temporalmente.

• Recupere un conjunto de blobs en bloques a través de un momento dado.

  Requisitos para la recuperación:

  • La restauración a un momento dado está habilitada.
  • El punto de restauración está dentro del intervalo de retención.
  • La cuenta de almacenamiento no se ha puesto en peligro ni dañado.

  Para obtener más información, consulte Realizar una restauración a un momento dado en los datos de blobs en bloques.

• Recuperar blobs a través de instantáneas.

  Requisitos para la recuperación: el blob tiene una o varias instantáneas. Para obtener más información, consulte Creación y administración de una instantánea de blob en .NET.

  Procedimientos de recuperación:

  1. Vaya al blob afectado desde el Azure Portal.

  2. Seleccione los puntos suspensivos (...) del blob que desea recuperar.

  3. Seleccione Ver instantáneas.

  4. Seleccione la instantánea desde la que se debe restaurar.

  5. Seleccione Promover.

Otro procedimiento recomendado para evitar la eliminación accidental de cuentas es limitar el número de usuarios que tienen permisos para eliminar una cuenta a través del control de acceso basado en rol (RBAC de Azure).

Estos son algunos métodos recomendados:

• Conceda solo el acceso que necesitan los usuarios.
• Limite el número de propietarios de la suscripción.
• Use Microsoft Entra Privileged Identity Management.
• Asignar roles a grupos, no a usuarios.
• Asigne roles mediante el identificador de rol único en lugar del nombre del rol.

Para más información, consulte Procedimientos recomendados para RBAC de Azure.

Microsoft no admite los siguientes escenarios de recuperación de almacenamiento:

• No se admite La recuperación en cola de Azure Storage.
• No se admite la recuperación de entradas de tabla de Azure Storage, mientras que se admite la recuperación de tablas eliminadas. Para obtener más información, consulte Recuperación de almacenamiento admitida.
• No se admite la recuperación de archivos de blob de Azure sin habilitar la protección de archivos de blob, pero se admite la recuperación de contenedor eliminada. Para obtener más información, consulte Recuperación de almacenamiento admitida.

En esta sección se describen varios escenarios de recuperación de almacenamiento admitidos cuando se cumplen algunos requisitos previos:

• Escenario 1: Recuperación de la cuenta de almacenamiento (recuperación de la cuenta de almacenamiento de ARM)
• Escenario 2: Recuperación de la cuenta de almacenamiento clásica
• Escenario 3: Recuperación de contenedores
• Escenario 4: Recuperación del sistema de archivos y datos de ADLS Gen 2
• Escenario 5: Recuperación de tablas
• Escenario 6: Recuperación de disco

Microsoft está haciendo todo lo posible para recuperar los datos, pero no puede garantizar la cantidad de datos que se pueden restaurar.

Requisitos previos:

• La cuenta de almacenamiento se eliminó en los últimos 14 días.
• La cuenta de almacenamiento se creó con el modelo de implementación de Azure Resource Manager.
• No se ha creado una nueva cuenta de almacenamiento con el mismo nombre desde que se eliminó la cuenta original.
• Al usuario que recupera la cuenta de almacenamiento se le debe asignar un rol RBAC de Azure que proporcione los permisos Microsoft.Storage/storageAccounts/write . Para obtener información sobre los roles integrados de RBAC de Azure que proporcionan este permiso, consulte Roles integrados de Azure.
• Asegúrese de que existe el grupo de recursos que eliminó la cuenta de almacenamiento. Si se eliminó el grupo de recursos, debe volver a crearlo manualmente.
• [Solo para casos específicos] Si la cuenta de almacenamiento eliminada usó claves administradas por el cliente con Azure Key Vault y el almacén de claves también se ha eliminado, debe restaurar el almacén de claves antes de restaurar la cuenta de almacenamiento. Para obtener más información, consulte Introducción a la recuperación de Azure Key Vault.

Sugerencias:

• Recupere una cuenta de almacenamiento de una cuenta de almacenamiento existente.
• Recupere una cuenta de almacenamiento a través de una incidencia de soporte técnico.

Para obtener más información, consulte Recuperación de cuentas de almacenamiento eliminadas de Azure Portal.

Requisitos previos:

• No se ha creado una nueva cuenta de almacenamiento con el mismo nombre desde que se eliminó la cuenta original.
• La cuenta de almacenamiento se eliminó en los últimos 14 días.

Sugerencias:

• Busque ayuda de los ingenieros de soporte técnico para evaluar la situación.

Requisitos previos:

• La replicación de la cuenta de almacenamiento se estableció en almacenamiento con redundancia geográfica (GRS), almacenamiento con redundancia de zona geográfica (GZRS), almacenamiento con redundancia geográfica con acceso de lectura (RAGZRS) o almacenamiento con redundancia geográfica de acceso de lectura (RA-GRS) antes de la eliminación del "contenedor". Las cuentas de almacenamiento con LRS no se admiten para recuperar un contenedor eliminado.

Sugerencias:

• Busque ayuda de los ingenieros de soporte técnico para evaluar la situación.

Requisitos previos:

• Cuenta de almacenamiento con espacio de nombres jerárquico (HNS) habilitado.
• El archivo o carpeta de ADLS Gen2 se eliminó en un plazo de tres días.

Sugerencias:

• Busque ayuda de los ingenieros de soporte técnico para evaluar la situación.

Requisitos previos:

• Toda la tabla se elimina mediante la operación "ELIMINAR tabla" sin modificar los datos de entrada de tabla.

Sugerencias:

• Busque ayuda de los ingenieros de soporte técnico para evaluar la situación.

Requisitos previos:

• Los requisitos previos de la recuperación de disco varían en función de algunos factores. Por ejemplo, ¿está habilitada la eliminación temporal? ¿O el disco de recuperación hace referencia al disco administrado o al disco no administrado?

Sugerencias:

• Busque ayuda de los ingenieros de soporte técnico para evaluar la situación.

Hay dos maneras de que los usuarios finales recuperen una cuenta de almacenamiento eliminada de la Azure Portal:

• Recupere la cuenta eliminada de una cuenta de almacenamiento existente.

• Recupere la cuenta a través de una incidencia de soporte técnico.

Para recuperar una cuenta de almacenamiento eliminada desde dentro de otra cuenta de almacenamiento, siga estos pasos:

1. Vaya a la lista de la cuenta de almacenamiento en el Azure Portal.

2. Seleccione el botón Restaurar para abrir el panel Restaurar cuenta eliminada .

   

3. Seleccione la suscripción de la cuenta que desea recuperar en la lista desplegable Suscripción .

   

4. En la lista desplegable, seleccione la cuenta que se va a recuperar. Si la cuenta de almacenamiento que desea recuperar no está en la lista desplegable, no se puede recuperar.

5. Seleccione el botón Restaurar para recuperar la cuenta. El portal muestra una notificación de que la recuperación está en curso.

Para obtener más información, consulte Recuperación de una cuenta eliminada de la Azure Portal.