Настройка бэкапов ispmanager в холодное хранилище Selectel S3

Резервное копирование — это единственный способ гарантировать выживание проекта при критических сбоях. Однако хранение бэкапов на том же сервере, где находятся сайты, нарушает главную заповедь системного администратора: «Данные и их копии должны быть разделены».

Использование объектного хранилища Selectel S3 совместно с панелью ispmanager позволяет создать автоматизированную систему, которая защищена от сбоев оборудования, ошибок персонала и даже взлома сервера. В этом гайде мы пошагово разберем, как настроить хранение в «холодном» классе для максимальной экономии бюджета.

Шаг 1: Подготовка инфраструктуры в Selectel

Первым делом необходимо подготовить «площадку» в облаке.

1. Создание проекта: В панели управления Selectel создайте отдельный проект (например, Backups-Project). Изоляция ресурсов в отдельном проекте — это хороший тон: вы сможете видеть отдельный счет за хранение бэкапов и более гибко управлять правами доступа.
2. Создание бакета: Перейдите в раздел «Объектное хранилище» -> «Контейнеры». Нажмите кнопку создания и заполните параметры:
   • Тип: Приватный. Это гарантирует, что ваши данные будут доступны только по авторизованным запросам. Публичный доступ к бэкапам недопустим.
   • Класс хранения: Выберите Холодный. Бэкапы — это данные, к которым мы обращаемся редко. В холодном классе стоимость хранения за 1 ГБ значительно ниже, что критично при больших объемах архивов.
   • Тип адресации: Выберите vHosted. При таком типе имя вашего бакета становится частью URL (например, my-backup.s3.kz-1.srvstorage.kz). Это современный стандарт, который рекомендует Selectel и который лучше всего понимает ispmanager.

Шаг 2: Безопасный доступ и S3-ключи

Мы не будем использовать ключи основного аккаунта. Вместо этого создадим «сервисного пользователя» с минимально необходимыми правами.

1. Создание пользователя: Перейдите в «Аккаунт» -> «Сервисные пользователи». Создайте нового пользователя (например, ispmanager-s3-user). Назначьте ему роль object_storage_user.
   • Важно: При создании система попросит задать пароль. Сгенерируйте его, но для S3 нам понадобятся другие данные — ключи доступа.
2. Генерация ключей: В карточке пользователя перейдите во вкладку «Доступ» -> «S3-ключи». Нажмите «Добавить ключ».
   • Система выдаст вам Access Key и Secret Key.
   • Внимание: Secret Key показывается один раз в жизни. Скопируйте его в надежное хранилище (например, в менеджер паролей).
3. Настройка политики доступа (Bucket Policy): Теперь нужно разрешить этому пользователю заходить в созданный нами бакет. Вернитесь в настройки бакета во вкладку «Политика доступа»:
   • Добавьте правило для созданного сервисного пользователя.
   • В списке действий выберите «Все».
   • Тонкая настройка: Найдите в списке и снимите галочку с действия DeleteBucket. Это критически важная мера безопасности. Даже если злоумышленник получит доступ к панели вашего сервера, он сможет удалить файлы внутри бэкапа, но не сможет удалить само хранилище (корзину).
   • Второе правило: Добавьте еще одно правило, выбрав в качестве субъекта «Владелец аккаунта» со всеми правами. Это ваш «мастер-ключ» на случай экстренных ситуаций.

Шаг 3: Связка с панелью ispmanager

Теперь, когда облако готово принимать данные, настроим саму панель управления.

1. Зайдите в ispmanager под пользователем root. Перейдите в раздел «Настройки» -> «Резервное копирование».
2. Нажмите «Настройки хранилищ» и выберите «Создать».
3. Тип хранилища: Выберите S3-совместимое.
4. Конфигурация подключения:
   • URL хранилища: Впишите адрес Endpoint вашего региона (например, https://s3.kz-1.srvstorage.kz). Этот адрес можно найти в панели Selectel в блоке настроек бакета.
   • Метод адресации корзин: Выберите Поддомен (соответствует выбранному ранее vHosted).
   • Идентификатор ключа (Access Key): Вставьте ваш ключ.
   • Секретный ключ (Secret Key): Вставьте ваш секретный ключ.
5. Выбор корзины: Если ключи верны, при нажатии на поле «Корзина (Bucket)» панель автоматически подтянет список доступных бакетов из Selectel. Просто выберите нужный из списка. Это лучший способ убедиться, что авторизация прошла успешно.

Шаг 4: Контрольная проверка

Настройка считается завершенной только после того, как вы успешно создадите первую копию вручную.

1. В разделе «Резервные копии» нажмите кнопку «Создать копию».
2. Следите за логом выполнения. После завершения зайдите в панель Selectel, откройте менеджер файлов в вашем бакете.
3. Вы должны увидеть структуру папок и зашифрованные архивы.

Рекомендации по эксплуатации:

• Ротация: В настройках плана резервного копирования установите разумное количество хранимых копий (например, 7 ежедневных и 4 еженедельных). Это позволит избежать бесконечного роста затрат на хранилище.
• Шифрование: Включайте шифрование бэкапов на стороне ispmanager. Это защитит ваши данные, даже если доступ к самому облаку будет скомпрометирован.
• Исключение мусорных файлов: Логи сервера и сайтов занимают значительный объем, постоянно изменяются, но практически бесполезны при восстановлении работоспособности проекта. Чтобы не платить за хранение «воздуха», зайдите в настройки плана резервного копирования, вкладка «Исключения», и добавьте правило:

data/logs/*.gz