Backup de servidor en Backblaze B2 con Object Lock

1Crea la cuenta y elige la región

1. Crea la cuenta. En el registro eliges la región de los datos: EE. UU. Este, EE. UU. Oeste, UE Central o Canadá Este.
2. La región vale para toda la cuenta y no cambia después. Elige la más cercana a tus servidores o la que exija tu regla de datos.

• fuente: backblaze.com/docs/cloud-storage-data-regions

2Crea el bucket privado, con Object Lock

1. En la consola, en B2 Cloud Storage → Buckets, haz clic en Create a Bucket y ponle un nombre.
2. En la privacidad, elige Private.
3. Activa el Object Lock ya en la creación. Backblaze permite activarlo en un bucket existente, pero la misma documentación dice que la retención predeterminada del bucket requiere el Object Lock activado en la creación. Una vez activado, no se desactiva.
4. Crea el bucket y anota el Endpoint que aparece en él, con el formato s3.us-west-004.backblazeb2.com.

• fuente: backblaze.com/docs/cloud-storage-create-and-manage-buckets
• fuente: backblaze.com/docs/cloud-storage-object-lock
• fuente: backblaze.com/apidocs/introduction-to-the-s3-compatible-api

3Versionado: ya viene activado

1. B2 guarda todas las versiones de cada archivo por defecto: en Lifecycle Settings, la opción predeterminada es Keep all versions of the file. Con esas versiones Arkame vuelve en el tiempo.
2. No cambies a Keep only the last version of the file: eso borra las versiones antiguas.

En un bucket con Object Lock, Arkame no borra ninguna versión: el bloqueo es tu decisión de que nada salga antes del plazo. Para que las versiones antiguas no se acumulen para siempre, usa después Keep prior versions for this number of days. Ese número de días es hasta dónde podrás volver en el tiempo, y Backblaze no borra una versión que todavía está bajo Object Lock.

• fuente: backblaze.com/docs/cloud-storage-lifecycle-rules

4Activa la retención predeterminada

1. En el bucket, haz clic en Object Lock, indica la retención predeterminada en días (de 1 a 3.000) y guarda.
2. 30 días es un buen comienzo. Elige un plazo mayor que el tiempo que tardarías en notar un ataque.
3. Verifica que la retención aparezca en Compliance Mode. Es el modo en que nadie borra ni sobrescribe una versión antes del plazo, ni siquiera con la clave en la mano.

Object Lock activado sin retención predeterminada no protege nada: cada archivo nuevo tiene que nacer con plazo.

• fuente: backblaze.com/docs/cloud-storage-enable-object-lock-or-a-legal-hold-on-an-existing-bucket
• fuente: backblaze.com/docs/cloud-storage-object-lock

5Crea una clave solo para Arkame

1. En Application Keys, haz clic en Add a New Application Key.
2. En Allow Access to Bucket(s), elige solo tu bucket. En Type of Access, Read and Write.
3. Marca Allow List All Bucket Names. Backblaze dice que una clave limitada a un bucket necesita ese permiso para funcionar con herramientas compatibles con S3. Lista los nombres de los buckets de la cuenta, no su contenido.
4. Haz clic en Create New Key. El keyID es la clave de acceso y el applicationKey es la contraseña. La contraseña aparece una sola vez: guárdala en el momento.

Nunca uses la clave maestra de la cuenta (master application key); la API S3 de Backblaze ni siquiera la acepta. En B2 los permisos vienen del tipo de acceso de la clave, no de una política IAM como en AWS y Wasabi. El instalador del agente prueba la clave en el bucket antes de continuar.

• fuente: backblaze.com/docs/cloud-storage-create-and-manage-app-keys
• fuente: backblaze.com/docs/cloud-storage-s3-compatible-app-keys

6Registra el bucket en Arkame

1. En el panel, abre Almacenamientos → Agregar almacenamiento y elige Backblaze B2.
2. Completa el nombre del bucket y el endpoint, como en el cuadro de abajo. La región puede quedar en blanco: Arkame la saca del endpoint.
3. La clave no se escribe aquí. El instalador del agente pide el keyID y el applicationKey en el propio servidor, y quedan solo allí.

7Instala el agente y haz el primer backup

1. En Servidores → Nuevo servidor, ponle un nombre, elige el bucket y copia el comando que el panel muestra para el sistema del servidor (instalación).
2. Ejecuta el comando en el servidor. El instalador pide el keyID y el applicationKey, prueba la clave en el bucket antes de continuar y, si el bucket la rechaza, te dice el motivo y vuelve a preguntar.
3. De vuelta en el panel, verifica la huella de la clave del servidor y apruébala. Después, usa Probar conexión.
4. En Planes → Nuevo plan, elige las carpetas, el bucket de destino y un horario (planes). Para no esperar el horario, usa Ejecutar ahora en la página del plan y síguelo en el Historial.
5. Cuando termine el backup, restaura un archivo en una carpeta nueva en Restaurar (restauración). Un backup que nunca se restauró sigue siendo una hipótesis.