Kopie zapasowe baz Oracle w Veeam: RMAN, odporność na ransomware i testy odtwarzania

Co musi umieć kopia bazy Oracle

Zanim wybierzemy narzędzie, ustalamy z właścicielem systemu dwie liczby. RPO mówi, ile danych możemy stracić (na przykład 15 minut). RTO mówi, jak długo system może nie działać (na przykład 4 godziny). Z tych liczb wynika reszta:

Baza w trybie NOARCHIVELOG nie pozwala na kopię bez przestoju: Veeam przed kopią obrazu zamyka taką bazę. Dla systemów produkcyjnych tryb ARCHIVELOG to podstawa.

Sposób 1: kopia maszyny z obsługą aplikacji

Veeam wykonuje kopię całej maszyny wirtualnej albo serwera fizycznego (przez Veeam Agent), a mechanizm obsługi aplikacji przygotowuje bazę tak, żeby kopia była spójna. Do tego osobne zadanie co kilka minut kopiuje dzienniki archiwalne i może je usuwać z serwera po udanej kopii. Domyślnie dzienniki są kopiowane co 15 minut, maksymalnie co 480 minut. Konto użyte przez Veeam musi mieć uprawnienia SYSDBA.

Zalety: jedną kopią chronimy cały serwer razem z systemem operacyjnym, a odtworzenie bazy nie wymaga udziału administratora baz danych. Ograniczenia według dokumentacji Veeam:

• Brak obsługi Oracle RAC. Dla klastrów potrzebna jest wtyczka RMAN.
• ASM jest obsługiwane tylko z ASMLib. W Veeam Agent dla Linuksa wersja 13.1 nie kopiuje baz na woluminach ASM.
• Oracle Express i Oracle Database Free tylko na Windows. Na jednym serwerze Windows nie może działać kilka wersji Oracle.
• Przy Data Guard w zadaniu muszą być wszystkie serwery.
• W wersji 13.1 kopie dzienników nie trafiają do repozytorium w chmurze ani na taśmę.

Obsługiwane systemy to Windows Server od 2016 do 2025, Red Hat Enterprise Linux 8 i 9, Oracle Linux od 7 do 9 oraz SUSE Linux Enterprise. Obsługiwane wersje bazy to od 11gR2 do 26ai, z wyjątkiem 23ai.

Sposób 2: wtyczka Veeam dla Oracle RMAN

Wtyczka rejestruje się w RMAN jako urządzenie typu SBT_TAPE. Kopie wykonuje sam RMAN, według skryptów i harmonogramu zespołu DBA, a Veeam dostarcza repozytoria, retencję, niezmienność i kopie poza lokalizację. Wszystko, co RMAN potrafi z urządzeniem SBT_TAPE, działa także z wtyczką: ASM, bazy kontenerowe (CDB), kopie przyrostowe.

Wtyczka obsługuje RAC, Exadata i Oracle Database Appliance, a poza Windows i Linuksem także AIX i Solaris. Konfiguruje ją narzędzie z kreatorem, które zapisuje ustawienia i kopię dotychczasowej konfiguracji RMAN:

# Linux: konfiguracja wtyczki (połączenie z serwerem Veeam, repozytoria, kanały)
OracleRMANConfigTool --wizard

Kreator ustawia RMAN tak, żeby domyślnym urządzeniem był kanał wtyczki. Tak wygląda to w dokumentacji Veeam (identyfikator na początku nazwy pliku to identyfikator repozytorium):

CONFIGURE CHANNEL DEVICE TYPE SBT_TAPE PARMS 'SBT_LIBRARY=/opt/veeam/VeeamPluginforOracleRMAN/libOracleRMANPlugin.so' FORMAT '3ff6897d-5107-408e-a176-68bf8c8ff3a4/RMAN_%I_%d_%T_%U.vab';
CONFIGURE CONTROLFILE AUTOBACKUP FORMAT FOR DEVICE TYPE SBT_TAPE TO '%F_RMAN_AUTOBACKUP.vab';

RUN {
BACKUP DATABASE PLUS ARCHIVELOG;
}
EXIT;

Wtyczka może pisać równolegle do maksymalnie 4 repozytoriów, z liczbą kanałów od 1 do 254 na repozytorium (w Oracle Standard Edition jeden kanał). W trybie zarządzanym zasady kopii tworzy się z konsoli Veeam; ten tryb działa na Windows i Linuksie x86_64 i nie obsługuje Data Guard. Wersja 13.1 dodała retencję GFS dla zasad RMAN, kopie wtyczki na taśmy i obsługę Oracle 26ai.

Który sposób wybrać

W praktyce: pojedyncze bazy na maszynach wirtualnych z Linuksem albo Windows chronimy kopią obrazu, bo to najprostsze i obejmuje cały serwer. RAC, Exadata, systemy uniksowe i środowiska, w których DBA ma własne procedury RMAN, chronimy wtyczką. Oba sposoby można łączyć na jednym serwerze, a serwer zużywa wtedy jedną licencję.

Odtwarzanie: Veeam Explorer for Oracle i RMAN

Veeam Explorer for Oracle odtwarza bazy z kopii obrazu i kopii wtyczki. Możliwości:

• odtworzenie najnowszego stanu albo stanu z wybranego momentu (suwak czasu na podstawie dzienników),
• odtworzenie do konkretnej transakcji (wymaga pomocniczego serwera Oracle),
• odtworzenie na inny serwer, na przykład testowy,
• natychmiastowe uruchomienie bazy z kopii i przeniesienie jej w tle na docelowy serwer,
• eksport bazy jako kopii RMAN albo plików bazy.

Ograniczenia: Explorer nie odtwarza pojedynczej bazy PDB (do tego służy wtyczka RMAN) ani pojedynczej tabeli. Tabelę odzyskuje się, odtwarzając bazę na serwer testowy i eksportując dane albo poleceniem RMAN RECOVER TABLE. Odtworzenie do wybranego momentu nie działa z kopii zapasowych kopii (backup copy) ani z repozytoriów w chmurze. Z kopii wtyczki Explorer tylko odtwarza i eksportuje skrypt odtworzenia.

Po stronie RMAN odtworzenie na oryginalny serwer wygląda standardowo:

RUN {
SHUTDOWN IMMEDIATE;
STARTUP MOUNT;
RESTORE DATABASE;
RECOVER DATABASE;
}
EXIT;

Kopie odporne na ransomware

Atak ransomware zaczyna się zwykle od usunięcia albo zaszyfrowania kopii zapasowych. Veeam opisuje zasadę 3-2-1-1-0: trzy kopie danych, na dwóch rodzajach nośników, jedna poza lokalizacją, jedna niezmienialna albo odłączona od sieci, i zero błędów przy odtwarzaniu, potwierdzone testami.

• Utwardzone repozytorium Linux (Hardened Repository): pliki kopii są blokowane na okres od 7 do 9999 dni i nie da się ich usunąć ani zmienić, nawet z konta administratora Veeam. Uwaga przy Oracle: kopie dzienników nie dostają automatycznego przedłużenia niezmienności, więc okres trzeba ustawić tak, żeby obejmował cały aktywny łańcuch.
• Magazyn obiektowy z Object Lock (S3, zgodne z S3, Azure Blob i inne): wymaga włączonego wersjonowania i Object Lock; wtyczka RMAN korzysta z trybu compliance.
• Wersja 13.1 dodała m.in. zatwierdzanie przez drugą osobę przy skracaniu niezmienności, niezmienialne kopie konfiguracji Veeam i podłączenie niezmienialnego repozytorium obiektowego w trybie tylko do odczytu z drugiego serwera Veeam, na przykład do testów odtwarzania.

Do tego zalecamy osobne konta do Veeam z uwierzytelnianiem wieloskładnikowym, serwer kopii poza domeną Active Directory i sieć kopii w osobnej strefie, do której nie ma dostępu z komputerów użytkowników. Jak dzielimy sieć na strefy, opisujemy w poradniku o segmentacji sieci.

Testy odtwarzania

Kopia, z której nikt nigdy nie odtwarzał, jest tylko założeniem. SureBackup w Veeam uruchamia maszyny z kopii w odizolowanym laboratorium wirtualnym razem z maszynami, od których zależą (kontroler domeny, DNS), i sprawdza je testami. Gotowe testy obejmują jednak tylko m.in. DNS, kontroler domeny i Microsoft SQL Server, a nie Oracle. Dla Oracle przygotowujemy własny skrypt weryfikacyjny, który po uruchomieniu maszyny w laboratorium łączy się z bazą i sprawdza, czy działa i czy zawiera aktualne dane.

Kopie wykonane wtyczką RMAN sprawdzamy narzędziami Oracle. Polecenia VALIDATE robią wszystko to, co prawdziwe odtworzenie, poza zapisem plików:

RESTORE DATABASE VALIDATE;
RESTORE ARCHIVELOG ALL VALIDATE;
BACKUP VALIDATE CHECK LOGICAL DATABASE ARCHIVELOG ALL;

Raz na kwartał robimy pełne odtworzenie najważniejszej bazy na serwer testowy i mierzymy czas. Dopiero ten pomiar mówi, czy obiecane RTO jest realne.

Wdrożenie krok po kroku

1. InwentaryzacjaBazy, wersje, tryb ARCHIVELOG, RAC, ASM, Data Guard, rozmiary i przyrost dzienników. Do tego RPO i RTO uzgodnione z właścicielami systemów.
2. Wybór metodyKopia obrazu albo wtyczka RMAN dla każdej bazy, harmonogram kopii pełnych i dzienników, retencja.
3. RepozytoriaGłówne repozytorium, utwardzone repozytorium Linux albo magazyn obiektowy z niezmiennością i kopia poza lokalizacją.
4. Uprawnienia i siećKonta z minimalnymi uprawnieniami (SYSDBA albo SYSBACKUP), uwierzytelnianie wieloskładnikowe do konsoli Veeam, sieć kopii w osobnej strefie.
5. Pierwsze odtworzenieJeszcze przed odbiorem: odtworzenie bazy na serwer testowy do wybranego momentu i pomiar czasu.
6. Testy cykliczneSureBackup z własnym skryptem dla Oracle, polecenia VALIDATE i kwartalne pełne odtworzenie z raportem.

• Bazy produkcyjne w trybie ARCHIVELOG.
• Kopie dzienników co 15 minut albo częściej, zgodnie z RPO.
• Przynajmniej jedna kopia niezmienialna i jedna poza główną lokalizacją.
• Okres niezmienności obejmujący cały łańcuch kopii, łącznie z dziennikami.
• Każdy węzeł RAC objęty licencją, wtyczka zainstalowana na każdym węźle.
• Udokumentowana procedura odtworzenia i wynik ostatniego testu z czasem trwania.
• Plan aktualizacji baz 21c, których wsparcie kończy się w lipcu 2027 r.

Najczęstsze pytania

Źródła

• Veeam: Veeam Plug-in for Oracle RMAN
• Veeam: obsługiwane aplikacje i wersje Oracle
• Veeam: ustawienia Oracle w zadaniu kopii
• Veeam: planowanie środowiska dla wtyczki RMAN
• Veeam Explorer for Oracle
• Veeam: niezmienność w utwardzonym repozytorium
• Veeam: licencjonowanie wtyczki RMAN
• Veeam KB2680: wersje Veeam Backup & Replication
• Oracle: weryfikacja plików bazy i kopii (VALIDATE)
• Oracle Lifetime Support Policy: technologie

Stan na 6 listopada 2026 r. Szczegóły obsługi i licencji zależą od wersji Veeam; przed wdrożeniem sprawdź matrycę zgodności dla swojej wersji.