Определите допустимые потери и простой
Запишите последнюю допустимую точку восстановления и целевое время восстановления полезного сервиса. Это цели приложения, а не SLA PrivacyNodes. Если потеря часа данных недопустима, ежедневной копии недостаточно для этой цели. Выберите метод резервного копирования базы данных, соответствующий вашей нагрузке и версии.
Получите одноразовую цель, артефакт приложения и уполномоченные учётные данные для восстановления через защищённое хранилище. Подтвердите, кто утверждает восстановление данных клиентов и как тестовая среда предотвращает внешний трафик. Не восстанавливайте поверх работающей продакшен-базы данных или существующего каталога.
Проведите инвентаризацию полного состояния приложения
Для API отчётности перечислите PostgreSQL, загрузки, экспорты, которые невозможно воспроизвести, конфигурацию, ссылки на ключи шифрования, DNS и внешние зависимости. Отличайте одноразовый кэш от очереди с работой клиентов, требующей сверки. Образ контейнера описывает ПО, а не всё постоянное состояние.
| Запись | Ваше значение |
|---|---|
| Версия артефакта и конфигурации | Точные идентификаторы |
| Резервная копия базы данных и точка восстановления | Выбранный архив и метка времени |
| Снимок загрузок и граница согласованности | Снимок, путь и план сопоставления |
| Одноразовая цель | Проверенная среда и пустое назначение |
| Учётные данные и утверждающий | Только защищённые ссылки |
| Начало, завершение, пропущенные шаги | Наблюдаемые результаты, а не оценки |
Поймите, что включает резервная копия
PostgreSQL описывает логические дампы, файловые резервные копии и непрерывное архивирование как разные стратегии. pg_dump Архив охватывает одну базу данных; роли и табличные пространства уровня кластера требуют отдельного рассмотрения. Его клиент не может сделать дамп сервера более новой мажорной версии. Сопоставьте версии инструментов и стратегию с целью; копирование каталога данных работающей базы не является автоматически согласованным.
Проверьте архив перед восстановлением. Выбор таблицы с помощью pg_restore не включает автоматически все её зависимости. Его --clean опция удаляет существующие объекты; восстановление в одной транзакции нельзя совмещать с параллельными заданиями. Изучите опции для конкретно определённой пустой тестовой базы данных.
Техническая справка: Резервное копирование и восстановление PostgreSQL · PostgreSQL pg_dump · PostgreSQL pg_restore.
Проверьте целостность и восстановите независимо
Проверки репозитория и функциональные восстановления отвечают на разные вопросы. Обычная команда restic check не читает каждый сохранённый пакет данных; check --read-data добавляет эти чтения и может потреблять значительную пропускную способность. Ни то, ни другое не доказывает, что снимок содержит всё, что нужно API.
Выберите конкретный снимок и новый целевой каталог. Неквалифицированный latest в общем репозитории может выбрать другую рабочую нагрузку. Восстановление может перезаписать файлы, а прерывание может оставить частичные результаты. Сначала проверьте назначение, не трогая продакшен-файлы и исходный репозиторий.
Техническая справка: проверки репозитория restic · цели восстановления restic.
Проверьте восстановленное поведение в порядке зависимостей
Воссоздайте среду, восстановите базу данных и соответствующие загрузки, затем запустите API с учётными данными staging. Держите воркеры на паузе, пока не поймёте их очередь и побочные эффекты. Отключите продакшен-почту, вызовы оплаты и вебхуки; используйте тестовое назначение экспорта и никогда не потребляйте продакшен-очередь.
Используйте известную тестовую учётную запись, чтобы прочитать запись, открыть её загрузку, проверить ограничения доступа и запустить небольшой новый экспорт. Убедитесь, что другая тестовая учётная запись не может прочитать её данные. Сравните выбранную точку восстановления с последней ожидаемой записью. Запишите фактическое время восстановления после учения; не пишите выдуманный успешный результат заранее.
Определите владельца записи до реального переключения
Во время инцидента решите, какая система может принимать записи и как позже сверяются изменения. Две доступные для записи копии могут разойтись. Учение документирует это решение без переключения реального трафика. Удалите одноразовые данные согласно вашим правилам хранения, когда упражнение закончится.
Исправляйте недостающие учётные данные, зависимости и шаги проверки после каждой репетиции. Держите runbook вне исходного хоста и убедитесь, что другой уполномоченный специалист может его найти. Выбираемая опция резервного копирования отделена от этого процесса приложения; подтвердите область и процедуры восстановления в фактами о сервисе. Используйте записи о выпуске для последующего развёртывания.
Официальные ссылки
Документация была проверена для этой статьи. Примеры — это планировочные упражнения, а не команды, протестированные на сервере PrivacyNodes. Проверьте документацию для вашей установленной версии.