Backup e restore

Tirar um backup

O peart backup escreve um único artefato cifrado com um retrato consistente do banco, das evidências e das renditions. O retrato do banco é tirado com VACUUM INTO, e o artefato carrega um manifesto com a versão do schema, a versão do PEART e um hash de cada arquivo. Ele é cifrado para a identidade mestra da instalação e recusa rodar sem a chave, porque um backup não cifrado desses dados é exatamente o que a cifragem existe para evitar. Ele também recusa pôr a chave mestra no artefato.

peart backup -config /etc/peart/config.yaml -out /caminho/do/artefato

Verificar que os backups são recuperáveis

O peart backup-roundtrip roda um ciclo completo de backup e restore, para você confirmar que seus backups restauram em vez de supor. Rode periodicamente; um backup que você nunca restaurou é uma esperança, não um controle.

Restaurar

O restore é separado para o banco e para os arquivos, e usa a mesma identidade mestra para decifrar, passada como parâmetro em vez de carregada por conta própria. Restaurar numa instalação em execução é uma operação deliberada: pare os serviços, restaure, e suba de novo, no mesmo formato de uma atualização.

A chave mestra é a única coisa que você não consegue restaurar

Perder a identidade mestra significa perder toda evidência cifrada e todo backup cifrado, sem recuperação. Exporte uma cópia legível logo após o primeiro boot (peart export-key -key /etc/peart/master.key -confirm) e guarde em local separado do backup dos dados. O ponto inteiro de a chave morar fora dos dados é que o backup dos dados nunca a carrega, então a segurança dela é uma tarefa à parte que você possui.

Mudar a instalação para outro host é o caso em que isso morde mais forte, porque a ordem dos passos decide se o restore funciona; Mudar de host é esse procedimento.

Retenção e destruição criptográfica

Cada engajamento tem sua própria chave. Destruir a chave de um engajamento torna o material dele ilegível inclusive em backups antigos que você já não controla, o que nenhuma exclusão de linha alcança. Essa é a base do expurgo por retenção, e é a resposta honesta a um pedido de direito à eliminação: apagamento por destruição de chave alcança cópias que um comando de exclusão nunca alcançaria, e o próprio expurgo é registrado na trilha de auditoria.