Storage avanzato: replica, deduplica, iSCSI e BitLocker

Il dominio «Manage storage and file services» di AZ-802 non chiede di elencare le funzionalità di storage: chiede di scegliere fra due opzioni quando i vincoli le rendono diverse. Il file system si sceglie in base a che cosa pretende l’array; il protettore BitLocker si sceglie in base a chi deve sbloccare il volume; la policy QoS si sceglie in base a quante VM devono condividere lo stesso budget di IOPS. Questa unità percorre i cinque punti nell’ordine in cui l’esame li mette in scena.

Storage QoS: un pavimento e un tetto agli IOPS

Storage QoS serve a impedire che una VM rumorosa affami le altre. Funziona in due soli scenari, ed entrambi richiedono un failover cluster:

• Hyper-V su Scale-Out File Server: il cluster di storage deve essere un SOFS; i nodi di calcolo con il ruolo Hyper-V non devono necessariamente essere in cluster.
• Hyper-V su Cluster Shared Volumes: qui il cluster è quello di calcolo, che usa i CSV come storage.

Nel secondo caso non si configura nulla per attivarlo: creato un CSV, la risorsa Storage QoS Resource compare da sola fra le cluster core resources.

Tutto si misura in normalized IOPS: ogni I/O da 8 KB o meno vale 1, uno più grande vale più di uno (una richiesta da 256 KB vale 32 IOPS normalizzati). La dimensione di normalizzazione è 8 KB di default e si cambia per tutto il cluster con Set-StorageQosPolicyStore -IOPSNormalizationSize 32KB.

Le policy si creano sul cluster di storage e hanno due tipi, che non si possono cambiare dopo la creazione:

Il flusso di lavoro è sempre lo stesso: New-StorageQosPolicy -Name Desktop -PolicyType Dedicated -MinimumIops 100 -MaximumIops 200, si prende il PolicyId e lo si applica al disco virtuale con Get-VM ... | Get-VMHardDiskDrive | Set-VMHardDiskDrive -QoSPolicyID <id>; si verifica con Get-StorageQosFlow e Get-StorageQosVolume. Get-StorageQosPolicy mostra lo stato: Ok significa che tutti i flussi ricevono il MinimumIops richiesto. Esiste anche MaximumIOBandwidth (in byte al secondo): se sono impostati sia quello sia MaximumIops, vince il primo dei due che viene raggiunto. Nome, minimi, massimi e banda si modificano a policy creata con Set-StorageQosPolicy; il tipo no. Limite: 10.000 policy per cluster di storage. I contatori restituiti sono medie su una finestra scorrevole di 5 minuti, quindi l’effetto di una modifica si vede nei numeri con qualche minuto di ritardo anche se è già attivo.

NTFS o ReFS: decide lo storage, non il gusto

ReFS è il file system resiliente (integrity streams, riparazione online con Storage Spaces, scrubber proattivo) e scala molto oltre NTFS. Ma non è un superset: ha buchi che l’esame usa come discriminanti.

Due conseguenze pratiche. Primo: un volume su SAN Fibre Channel o iSCSI che deve usare thin provisioning, TRIM/UNMAP o ODX va formattato NTFS — la documentazione lo dice esplicitamente per i target di backup. Secondo: un CSV formattato ReFS non usa Direct I/O con Storage Spaces, S2D o SAN; per lo storage SAN i CSV vanno in NTFS.

La deduplica è post-processing: i risparmi compaiono dopo la prima esecuzione del job, non alla scrittura. Su volumi di Storage Spaces Direct e Azure Local si attiva dal pannello Volumes di Windows Admin Center, nello stesso punto in cui si attiva la cifratura.

iSCSI: pubblicare blocchi e avviare macchine senza disco

iSCSI Target Server (Install-WindowsFeature FS-iSCSITarget-Server, sotto File and iSCSI Services) trasforma un Windows Server in un dispositivo a blocchi raggiungibile in rete, utile quando il client non parla SMB, quando un’applicazione pretende block storage, per initiator non Microsoft e per i laboratori. Lato server si creano i dischi virtuali e i target con New-IscsiVirtualDisk, New-IscsiServerTarget e Add-IscsiVirtualDiskTargetMapping; lato client l’initiator è già nel sistema (servizio MSiSCSI, da portare a avvio automatico) e ci si connette con New-IscsiTargetPortal e Connect-IscsiTarget.

Lo scenario che l’esame ama è il boot diskless. Con i differencing VHD un’unica immagine master preparata con Sysprep avvia fino a 256 computer: nell’esempio ufficiale, 40 GB per l’immagine base più 2 GB per istanza, contro i ~10 TB che servirebbero con immagini separate — oltre il 90% di risparmio. Non serve una scheda di rete speciale: va bene un software boot loader come iPXE. Il test interno Microsoft ha distribuito 256 macchine in 34 minuti, con una stima di ~60 server di boot per scheda da 1 Gb e 10 Gb come banda ottimale. Nano Server da iSCSI non è supportato.

BitLocker su Windows Server: installare, cifrare, imporre

Su qualsiasi edizione di Windows Server BitLocker non è installato: si aggiunge con Install-WindowsFeature BitLocker -IncludeAllSubFeature -IncludeManagementTools -Restart e il riavvio è obbligatorio. Attenzione: il comando PowerShell non installa la feature Enhanced Storage, che serve per gli Encrypted Hard Drive e che la procedura da Server Manager propone invece insieme a BitLocker.

Le due imposizioni che si fanno per policy sui dischi dati fissi stanno in Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Fixed Data Drives:

• Deny write access to fixed drives not protected by BitLocker monta in sola lettura ogni volume dati non cifrato: gli utenti vedono «Access denied» finché il disco non viene protetto.
• Choose how BitLocker-protected fixed drives can be recovered contiene la sotto-opzione Do not enable BitLocker until recovery information is stored in AD DS for fixed data drives: finché il backup in AD DS non riesce, l’amministratore non può attivare BitLocker (e la recovery password viene generata automaticamente). Nella stessa policy si sceglie fra Backup recovery password and key package e Backup recovery password only: il key package è ciò che permette di recuperare dati da un disco fisicamente danneggiato.

Se si abilita il deny-write, l’uso delle recovery key va disabilitato nella policy di recupero. Il metodo di cifratura di default, se non si configura nulla, è XTS-AES 128 bit.

Volumi di cluster: il protettore è il CNO

Su un disco di cluster il protettore giusto è ADAccountOrGroup legato al Cluster Name Object: senza di esso il volume non si condivide come CSV e non fa failover. Serve un domain controller Windows Server 2012 o successivo.

L’ordine cambia tutto:

• Disco non ancora nel cluster: si cifra e poi si aggiunge. Nessuna sospensione necessaria. Enable-BitLocker E: -ADAccountOrGroupProtector -ADAccountOrGroup CLUSTER$, oppure manage-bde.exe -on -used E: -RP -sid dominio\CNO$ -sync. Se il disco è già nel cluster, manage-bde -on incontra un blocco netto.
• Disco già di proprietà del cluster: va messo in maintenance mode. Get-ClusterResource "Cluster Disk 1" | Suspend-ClusterResource, poi Enable-BitLocker con il protettore CNO, poi Resume-ClusterResource.

In cluster, manage-bde con -on, -off, -lock, -wipe e pause/resume è bloccato su ogni nodo e permesso solo in maintenance mode; aggiungere o togliere protettori è invece permesso sul nodo proprietario e sul Metadata Server di un CSV, ma bloccato sul Data Server. Lo sblocco lo fa il cluster service impersonando il CNO: se fallisce, il volume non va online e l’evento finisce nel log.

Il Pannello di controllo non è la strada: i CSV sono mount point senza lettera e non compaiono, e il protettore AD-based lì non esiste. Lo stato si legge con manage-bde.exe -status "C:\ClusterStorage\volume1". Su storage thin provisioned (per esempio un VHD dinamico) BitLocker lavora obbligatoriamente in Used Disk Space Only e -WipeFreeSpace è bloccato, per non gonfiare il backing store. Da Windows Server 2022 esiste in più una chiave BitLocker locale per i CSV, che non dipende da Active Directory e si configura solo da PowerShell.

Recuperare un volume cifrato

Lo sblocco ordinario è Unlock-BitLocker -MountPoint E: -RecoveryPassword ... o manage-bde -unlock. Le credenziali di recupero sono la recovery password di 48 cifre, la recovery key da 256 bit e il data recovery agent basato su certificato, che però va prima aggiunto dalle Public Key Policies della GPO. Le password salvate in AD DS si leggono con il BitLocker Recovery Password Viewer nelle proprietà dell’oggetto computer. I protettori si gestiscono con Add-BitLockerKeyProtector e si mandano in AD DS con Backup-BitLockerKeyProtector o manage-bde -protectors -adbackup -id. Quando il volume è corrotto e non si monta più, lo strumento è repair-bde, che ricostruisce i dati su un volume di destinazione separato usando recovery password, recovery key o key package.

Trappole tipiche d’esame

• «Più moderno» non vuol dire «giusto». Se il testo nomina thin provisioning, TRIM/UNMAP o ODX su una LUN SAN, oppure quote di disco, boot o shrink del volume, la risposta è NTFS: ReFS non fa ODX né quote, e thin provisioning e TRIM li fa solo con Storage Spaces.
• Il protettore del cluster è il CNO, non l’account del nodo né un TPM. E se il disco è già online e posseduto dal cluster, prima Suspend-ClusterResource: manage-bde -on fuori dalla maintenance mode è bloccato, e su un disco già nel cluster incontra un blocco esplicito.
• Due policy che si somigliano ma rispondono a domande diverse. «Deny write access to fixed drives not protected by BitLocker» obbliga a cifrare per poter scrivere; solo «Do not enable BitLocker until recovery information is stored in AD DS» impedisce di attivare BitLocker finché il backup in AD DS non è riuscito. Un requisito che parla di backup delle chiavi non si soddisfa con il deny-write.
• Aggregated o Dedicated cambia il risultato numerico. Stessa policy 300-500 IOPS: Aggregated divide quel budget fra tutti i VHD, Dedicated lo dà a ciascuno. E il PolicyType non si modifica dopo: per cambiarlo si crea una policy nuova.
• Boot diskless = iSCSI Target Server più differencing VHD. Il tetto è 256 macchine per immagine master, non serve una NIC con boot ROM se c’è iPXE, e il risparmio dichiarato di oltre il 90% viene dai dischi differenziali, non dalla deduplica.
• Recovery password e key package non sono la stessa cosa. Per recuperare dati da un disco fisicamente danneggiato serve il key package salvato in AD DS insieme alla password, ed è repair-bde — su un volume di destinazione diverso — a usarlo.