Подключить хранилище

Хранилище — bucket в S3 у любого провайдера: Hetzner, Scaleway, Wasabi, AWS, MinIO и других. Бэкапы каждого сервера лежат там в своём зашифрованном restic-репозитории. Подключите хранилище до первого сервера: без него план защиты не сохранить.

Что приготовить

У провайдера заранее создайте bucket и ключ доступа к нему.

arcula пишет только в arcula/ внутри префикса и в тестовый .arcula-check/. Всё остальное в bucket — «не наше»: arcula это не пишет, не меняет и не удаляет.

Подключить

1. ЛК → «Хранилища» → «+ Хранилище».
2. Заполните поля и выберите, чей ключ, — как выбрать, ниже.
3. Нажмите «Проверить». Панель проверит доступ в тестовом префиксе .arcula-check/: список, запись, чтение, удаление своего тестового объекта, загрузку частями. Чужие данные она не трогает.
4. Посмотрите «Что ответил S3» — ответ провайдера по каждой проверке как есть. Без list, read и write кнопка «Подключить» не включится: проверьте ключ, bucket и права.
5. Посмотрите «Что уже лежит в bucket». Чужие файлы и restic-репозитории ЛК покажет с объёмом — arcula их не тронет. Есть каталог arcula/ другой панели — возьмите другой префикс, если это не ваша прежняя панель.
6. Нажмите «Подключить».

Поменяли адрес или ключ после проверки — нажмите «Проверить снова»: проверка относится к тому, что сейчас в форме.

Secret key хранится зашифрованным и в ЛК больше не показывается. Дальше панель проверяет хранилище сама: доступ — раз в 6 часов, место — раз в 45 минут, часть данных — каждую ночь.

Один ключ или свой у каждого сервера

Поле «Чей ключ»:

• «Один на все серверы» — все серверы пишут одним ключом. Просто, но взломанный сервер сможет удалить бэкапы всех серверов в этом хранилище.
• «Свой у каждого сервера» — у каждого сервера ключ только на его папку arcula/<id сервера>/. Взломанный сервер удалит только свои бэкапы. Нужен провайдер, который выдаёт ключи на префикс.

Защиты от удаления в arcula нет: агент пишет в S3 напрямую. ЛК честно показывает это у хранилища: «Защита от удаления — нет».

При «своём ключе» ключ из формы остаётся у панели — для проверок и подсчёта места. Ключи серверов задаются после подключения:

1. Добавьте хранилище в план защиты сервера.
2. Хранилище → вкладка «Подключение» → карточка «Ключи серверов».
3. У сервера нажмите «Задать ключ», введите ключ на его папку и нажмите «Проверить и сохранить». Панель проверит ключ в папке сервера до сохранения.

Пока ключа нет, бэкапы этого сервера сюда не уходят, у сервера — замечание. Режим можно сменить и потом: «Подключение» → «Сменить режим».

Лимит

Лимит — сколько места вы готовы отдать бэкапам. От него ЛК считает, на сколько дней хватит места при среднем росте. Бэкапы при лимите не останавливаются: это прогноз, а не запрет.

По умолчанию лимит считается только по данным arcula. Если в bucket есть не наши данные, можно отметить «считать лимит по всему bucket». Задать или изменить лимит потом: хранилище → «Подключение» → «Лимит».

Почему лучше два провайдера

Одно хранилище — одна точка отказа: заблокированный аккаунт, сбой у провайдера, bucket, удалённый по ошибке. Подключите два хранилища у разных провайдеров и отметьте оба в плане защиты. Бэкап уходит в каждое своей очередью: медленное или недоступное не мешает другому.

В плане, в карточке «Где храним», ЛК пишет, сколько независимых копий. Два хранилища в одном аккаунте — одна независимая копия: заблокируют аккаунт — пропадут обе. Заполняйте поле «Аккаунт», и ЛК это заметит.

После подключения добавьте хранилище в план сервера — Выбрать, что защищать.