Varnostno kopiranje in okrevanje po katastrofi (disaster recovery) za podatkovno bazo desetin TB

Question

IT Interview Practice · Accepted Answer

**Kombinirajte periodične posnetke (snapshots) z neprekinjenim WAL arhiviranjem za point-in-time recovery, replicirajte izven lokacije/med regijami in to dokažite z rednimi vajami obnovitve (restore drills) proti eksplicitnim ciljem RPO/RTO.** Varnostna kopija, ki je nikoli niste obnovili, je upanje, ne načrt.

## Arhitektura

```text
Primary DB ──snapshot (daily)──▶ Object store (S3) ──cross-region replicate──▶ DR region
     │                               ▲
     └── WAL/binlog stream ──────────┘   (continuous, PITR to any second)
                                          │
                          restore drill ──┴──▶ verified restore ─▶ measure RTO, checksum RPO
```

## Kako deluje

- **Posnetki (snapshots)** so popolna kopija nosilca/clustra (npr. dnevni EBS snapshot ali `pg_basebackup`). So osnova, iz katere obnavljate *iz* — a obnovitev le do sinoči izgubi dan zapisov.
- **WAL / binlog arhiviranje** neprekinjeno pretaka vsako spremembo od zadnjega posnetka v objektno shrambo. Obnovitev = snapshot + replay WAL do katere koli izbrane sekunde. To je **PITR (point-in-time recovery)** — obnovitev do 10:32:04, trenutka pred slabim `DELETE`.
- **Izven lokacije / med regijami.** Varnostna kopija v isti regiji kot DB umre skupaj z regijo. Replicirajte v drugo regijo (S3 cross-region replication), tako da regionalni izpad ali ransomware ne vzame obeh.
- **Vaje obnovitve (restore drills).** Periodično obnovite v testno (scratch) okolje, izmerite, kako dolgo je trajalo (**RTO**) in koliko podatkov bi izgubili (**RPO**), in primerjajte checksum s produkcijo.

## RPO proti RTO

- **RPO (Recovery Point Objective)** = koliko podatkov si lahko privoščite izgubiti. WAL arhiviranje vsakih 5 min → RPO ≈ 5 min. Sinhrona replika → RPO ≈ 0.
- **RTO (Recovery Time Objective)** = kako hitro morate biti nazaj. Obnovitev 20 TB iz S3 lahko traja ure; topla rezervna (warm standby) replika zniža RTO na minute.

## Pogled s stališča razgovora

Izpraševalec preverja, ali veste, da **posnetki sami niso dovolj** (izguba podatkov med njimi), ali znate **definirati RPO/RTO v številkah** in ali **testirate obnovitve**. Odlični odgovori poudarijo, da netestirane varnostne kopije odpovejo prav takrat, ko so potrebne, in izberejo strategijo iz *poslovnega* RPO/RTO, ne iz udobja. Past: domneva, da je read replika varnostna kopija — replikacija zvesto skopira tudi `DROP TABLE`.

## Kompromisi in odpovedi

- **Strošek proti RTO.** Topla medregijska rezerva da minute RTO, a podvoji infrastrukturo; hladna S3 obnovitev je poceni, a počasna. Kupite nivo, ki ga posel dejansko potrebuje.
- **Obremenitev varnostnega kopiranja.** Snapshotanje vroče 20 TB DB doda I/O; jemljite posnetke iz replike.
- **Tiha korupcija (silent corruption).** WAL lahko arhivira pokvarjeno stran; periodični popolni restore + checksum to ujameta.
- **Hramba in skladnost (compliance).** Ohranite dovolj zgodovine (npr. 35 dni PITR + mesečni arhivi) za pravne potrebe; Glacier za poceni dolgoročno.
- **Kdaj ne:** drobna DB je v redu z nočnim `pg_dump` v S3 — poln WAL + medregijska rezerva sta pretiravanje, dokler izgube podatkov ne merite v pravem denarju.

Arhitektura

Kako deluje

RPO proti RTO

Pogled s stališča razgovora

Kompromisi in odpovedi

Povezana vprašanja