Dane, które klient trzymał wyłącznie w regionie AWS w Bahrajnie, są dla niego stracone. Amazon napisał 15 września w swoim serwisie statusu usług, że nie jest w stanie przywrócić do nich dostępu. Minęło wtedy pół roku od uszkodzenia jego centrów danych nad Zatoką Perską w czasie działań zbrojnych. Zdarzenie nie oznacza awarii europejskich regionów AWS. Dla każdego, kto trzyma dane w chmurze, zmienia się natomiast co innego. Dostawca uznał odtworzenie części zawartości swojego regionu za niemożliwe.
Co dokładnie ogłosił AWS
Komunikat trafił do AWS Health Dashboard, czyli serwisu, w którym firma opisuje stan swoich usług. Jak podają The National i CNBC, brzmi w nim zdanie, którego dostawcy chmury zwykle nie piszą. “We have determined that we are unable to restore access to the resources and data hosted exclusively”, czyli ustaliliśmy, że nie jesteśmy w stanie przywrócić dostępu do zasobów i danych przechowywanych wyłącznie. Zdanie urywa się tam, gdzie kończy się cytat w relacjach, ale słowo o wyłączności jest w nim najważniejsze. To ono przesądza, kogo sprawa dotyczy.
Chodzi o dwie różne rzeczy w dwóch różnych miejscach. W Bahrajnie o cały region, w oznaczeniach AWS me-south-1, który działał od 2019 roku. W Zjednoczonych Emiratach Arabskich o jedną z trzech stref dostępności, oznaczoną mec1-az2. Pozostałe dwie strefy emirackiego regionu tym komunikatem nie są objęte.
Terminu powrotu Bahrajnu Amazon nie podaje. Zapowiada kolejną aktualizację w tej sprawie na początek 2027 roku. Dla strefy mec1-az2 nie podał terminu przywrócenia.
AWS opisał też, czego próbował, zanim ogłosił rezygnację. Według relacji Insurance Journal, powołującej się na Reutersa, firma sprawdziła całą dotkniętą infrastrukturę i wyczerpała wszystkie możliwości odtworzenia danych, których nie zdążono przenieść, zanim region przestał być dostępny. Uzasadnienie podano jednym zdaniem: “The damage to our infrastructure spanned multiple Availability Zones and exceeded what our regional and multi-AZ services are designed to withstand”. Uszkodzenia objęły wiele stref dostępności i przekroczyły zakres, na jaki projektowane są usługi regionalne i wielostrefowe.
Większość dotkniętych klientów zdążyła odtworzyć działanie w innych regionach, odtwarzając kopie zapasowe albo kopiując dane, które pozostały dostępne. Reszta zostaje z pomocą firmy w przeniesieniu się gdzie indziej i z tym, czego nie da się przenieść. Sprawcy Amazon nie wskazuje, tak samo jak nie wskazywał go w marcu.
Dlaczego to jest nowa informacja, a nie powtórka z marca
Sam atak wydarzył się na początku marca, a pod koniec lipca opisaliśmy uszkodzenia dwóch centrów danych w Bahrajnie widoczne na zdjęciach satelitarnych. Region figurował wtedy na tablicy stanu usług jako niedostępny, a kwietniowa aktualizacja mówiła o kilku miesiącach przywracania.
W lipcowym tekście napisaliśmy wprost, że utraty danych klientów nikt nie potwierdził. Zdania w rodzaju “dane mogły przepaść na zawsze” nazwaliśmy wtedy hipotezą publicystyczną. Ta ostrożność właśnie się skończyła, bo hipotezę rozstrzygnął sam dostawca. Zrobił to w dokumencie, który firma pisze o stanie własnych usług.
Rozróżnienie jest ważne, bo w nagłówkach łatwo zlepić dwa zdarzenia w jedno. Marzec przyniósł uszkodzenie infrastruktury. We wrześniu AWS poinformował, że nie przywróci dostępu do zasobów przechowywanych wyłącznie w dotkniętych lokalizacjach. Pierwsze było wiadomością o wojnie, drugie jest wiadomością o granicach usługi chmurowej.
Warto się też zatrzymać nad tym, co zmienia się dla klienta. Przez pół roku sprawa wyglądała jak trwająca awaria, czyli coś, co zespół po drugiej stronie wciąż próbuje naprawić. Taka sytuacja daje powód, żeby czekać, zamiast odbudowywać środowisko od zera. Wrześniowy komunikat kończy oczekiwanie na odtworzenie tych konkretnych zasobów przez AWS. Firma deklaruje przy tym dalszą pomoc w przeniesieniu się gdzie indziej. Dla klienta bez kopii poza regionem oznacza to koniec czekania i początek liczenia strat.
Gdzie leżą dane w chmurze i przed czym chroni strefa dostępności
Dostawcy chmury dzielą świat na regiony, a każdy region na kilka stref dostępności. Strefa to odrębna lokalizacja infrastruktury wewnątrz regionu. Standardowa rada projektowa brzmi: rozłóż aplikację na kilka stref, a pożar, zalanie albo awaria zasilania w jednej z nich nie położą całości.
Ta rada działa dokładnie tak, jak obiecuje, i w Bahrajnie okazała się za krótka. AWS sam to nazwał, pisząc o przekroczeniu zakresu, na jaki projektowane są usługi regionalne i wielostrefowe. Redundancja między strefami zakłada, że awaria dotknie jedną lokalizację, a nie wszystkie naraz. Kiedy cały region staje się niedostępny, razem z nim mogą przestać być dostępne kopie przechowywane wyłącznie w tym regionie.
Stąd bierze się podział odpowiedzialności, o którym mówi się dużo na konferencjach i mało przy podpisywaniu umowy. Dostawca odpowiada za infrastrukturę: budynki, zasilanie, sprzęt, warstwę wirtualizacji. Klient odpowiada za to, gdzie jego dane leżą i gdzie leży ich kopia. Umowa o poziomie usług opisuje dostępność w procentach i zasady rekompensat za jej brak. Nie zawiera obietnicy, że budynek będzie stał.
Dlaczego firmy trzymają wszystko w jednym regionie
Warto zapytać, dlaczego część klientów trzymała zasoby wyłącznie w jednym regionie, skoro rada o rozproszeniu jest stara jak sama chmura. Powody bywają co najmniej trzy i nie muszą wynikać z niedbalstwa. Drugi region kosztuje realne pieniądze co miesiąc, a zwraca się w dniu, który może nigdy nie nadejść. Opóźnienia mogą rosnąć, gdy dane trzeba przerzucać między odległymi lokalizacjami. Do tego dochodzą wymogi prawne i umowne, które każą trzymać dane w określonym kraju albo regionie, więc rozproszenie bywa po prostu niedozwolone.
Trzeci powód jest w tej historii najbardziej gorzki, bo zasada, która miała chronić dane, przy zniszczeniu infrastruktury działa przeciwko nim. Decyzja o jednym regionie bywa więc świadoma i uzasadniona. Warunek jest jeden: żeby ktoś ją podjął i znał jej cenę, zamiast odkrywać ją w dniu, w którym region przestaje odpowiadać.
Co z tego wynika dla twoich kopii zapasowych
Praktyczny wniosek mieści się w trzech pytaniach i lepiej zadać je dzisiaj, niż usłyszeć je od kogoś w dniu awarii. Czy kopia twoich danych leży w innym regionie niż środowisko produkcyjne, a nie w innej strefie tego samego regionu. Kto ma uprawnienia, żeby ją odtworzyć w chwili, gdy podstawowe środowisko nie odpowiada. Czy ktokolwiek to kiedykolwiek przećwiczył, choćby na jednej usłudze. Trzecie pytanie bywa najbardziej niewygodne, bo kopia, której nikt nigdy nie odtworzył, jest założeniem, a nie zabezpieczeniem. Ten sam mechanizm widać zresztą w zupełnie innej skali, przy kluczu odzyskiwania kopii zapasowej w Signalu: kopia bez sprawdzonej ścieżki odtworzenia niczego nie ratuje.
Pierwsza Misja AI · Kodożercy
AI bez technikaliów – kurs i certyfikat
Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.
Zacznij Pierwszą Misję →
Najczęstsze pytania
Czy dane polskich firm w chmurze są przez to zagrożone?
Amazon nie ma regionu w Polsce, a wiele polskich firm korzysta z lokalizacji europejskich, między innymi we Frankfurcie, Sztokholmie i Irlandii. Profil zagrożeń jest tam inny niż nad Zatoką Perską i nie ma powodu tego zacierać. Wniosek o kopiach jest natomiast niezależny od geografii, bo region może zniknąć również z powodu pożaru albo długiej awarii zasilania.
Czy umowa z dostawcą chmury rekompensuje utratę danych?
Umowa o poziomie usług opisuje przede wszystkim dostępność i zasady zwrotu części opłat, gdy dostawca jej nie dotrzyma. Zakres odpowiedzialności za same dane wynika z konkretnego kontraktu i bywa węższy, niż zakłada klient. Warto sprawdzić to w swojej umowie przed zdarzeniem, a nie po nim.
{ dla firm }Co możemy zrobić dla Twojej firmy?
Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.
Podsumowanie
15 września AWS napisał w swoim serwisie statusu usług, że nie przywróci dostępu do zasobów i danych trzymanych wyłącznie w regionie Bliski Wschód (Bahrajn). Region ten nosi oznaczenie me-south-1. To samo dotyczy strefy dostępności mec1-az2 w Zjednoczonych Emiratach Arabskich. Pozostałe dwie strefy tego regionu nie są objęte tym komunikatem. Powodem są uszkodzenia infrastruktury z początku marca. Według firmy objęły one wiele stref dostępności naraz i przekroczyły zakres, na jaki projektowane są usługi regionalne i wielostrefowe. Większość klientów odtworzyła działanie w innych regionach z kopii zapasowych albo przez skopiowanie danych, które pozostały dostępne. Sprawcy Amazon nie wskazuje. Dla firmy, która nie działa nad Zatoką Perską, zostaje z tego jedno pytanie do zadania u siebie. Gdzie fizycznie leży kopia danych i czy ktoś kiedykolwiek sprawdził, że da się z niej odtworzyć usługę.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
