Amazon właśnie przyznał, że po irańskich atakach na centra danych w Bahrajnie i Zjednoczonych Emiratach Arabskich spora część danych klientów bezpowrotnie przepadła.Sześć miesięcy wojny i trzy atakiCentra danych AWS oberwały atakiem kinetycznym kilka razy:1 marca irańskie drony uderzają w serwerownie AWS na Bahrajnie i w ZEA; AWS wzywa klientów do migracji do innych regionów i przyznaje im ok. 150 mln USD w kredytach.1 kwietnia ma miejsce kolejny atak na serwerownie na Bahrajnie.24 lipca irańska rakieta niszczy ostatni czynny budynek Amazona w Bahrajnie.W regionie ZEA (me-central-1) dane bezpowrotnie przepadły w jednej z trzech stref dostępności (mec1-az2). W Bahrajnie (me-south-1) jest gorzej: AWS nie może przywrócić danych żadnej z trzech stref. Szkody objęły wiele stref dostępności i przekroczyły to, co nasze usługi regionalne i multi-AZ są zaprojektowane wytrzymaćFirma zawiesiła billing usługi w obu regionach i wypłacić miała aż 150 mln dolarów w kredytach dla klientów. W przeszłości zdarzały się wyłączenia stref AWS, np. us-east-1 (por. Piorun ubił chmurę Amazonu). Nigdy jednak do tej pory nie doszło do utraty danych z powodu zbombardowania serwerowni. Dlaczego redundancja nie pomogła?Strefa dostępności (Availability Zone, AZ) to w AWS jeden lub więcej fizycznie oddalonych centrów danych z niezależnym zasilaniem i siecią. Usługi typu multi-AZ (np. S3 Standard) mają przeżyć pożar, powódź czy awarię jednego budynku. Ale nie były projektowane na wypadek wojny, czyli sytuacji w której wszystkie trzy AZ danego regionu zostają trafione w ciągu kilku miesięcy. Teoretycznie nic by się nie stało, gdyby po pierwszym ataku, klienci zmigrowali poza swój region. Ale AWS nie replikuje danych klienta poza region bez wyraźnej zgody klienta. A o te zgody czasem ciężko z powodu …lokalnego prawa, tj. przepisów o lokalizacji danych (data residency). Przykładowo: w ZEA dane sektora zdrowia muszą pozostać w kraju, a wywóz grozi karą rzędu 100-200 tys. USD. Znana jest nam też historia jednej z firm, która po utracie pierwszej strefy chiała proaktywnie przenieść dane swoich klientów do innych regionów, ale dział prawny to zablokował, bo nawet szyfrowane kopie bez kluczy były prawnie niedozwolone. Czyli jak zwykle, znowu wina prawników ;)Klasyczna zasada 3-2-1 (trzy kopie danych, dwa różne nośniki, jedna kopia poza siedzibą) w chmurze oznacza dziś backup w innym regionie, a najlepiej u innego dostawcy lub offline. Replikacja w obrębie jednego regionu, nawet w trzech strefach, to — jak widać w przypadku AWS — nadal ryzyko.Internet heheszkujeInternety szydzą sobie teraz z Amazona, bo kilka lat temu przedstawiciel AWS w wywiadzie telewizyjnym powiedział, że usługi AWS są tak odporne na awarie, że nawet gdyby ktoś wysadził w powietrze jedną serwerownię, to klienci niczego by nie odczuli. Żarty kręcą się też wokół obietnicy 11 dziewiątek trwałości S3 (99,999999999% szans, że obiekt przetrwa rok) — internauci dopowiadają “ale nie dotyczy to sytuacji wojen wywołanych przez USA”. Chmurę da się zestrzelićNie brakuje też opinii, że mityczna chmura to jednak wcale nie fruwa nad ziemią, a jest fizycznym punktem na mapie. Punktem do którego mogą dolecieć pociski manewrujące. I dopiero wtedy chmura “wędruje do nieba”.To dobry moment, aby przejrzeć własne plany DR: gdzie fizycznie leżą wasze backupy?