Opslag: Cubixion of uw eigen bucket

Standaard: Cubixion in Antwerpen

Elke organisatie krijgt bij het aanmaken een eigen bestemming in de Zekura-opslag: een eigen prefix in de objectopslag van Cubixion, met eigen IAM-gebruikers en eigen sleutels. Cubixion is een Belgische aanbieder van S3-objectopslag, gebouwd en beheerd in België en Duitsland, met object lock, versiebeheer en zonder kosten voor in- en uitgaand verkeer. Dat laatste is belangrijk: daardoor kan Zekura elke nacht echt terugzetten zonder dat uw factuur meebeweegt.

De lijst toont per bestemming de sleutel (managed of sovereign), de bewaartermijn onder object lock, het resultaat van de geschiktheidstest, het aantal opdrachten dat erheen schrijft en de laatste onderhoudsbeurt.

Wat object lock in compliance-modus betekent

Elke versie van elk object is gedurende de locktermijn (standaard dertig dagen) onwisbaar. Niet voor de agent, niet voor de worker, niet voor Zekura en niet voor Cubixion. Een verwijdering tijdens die termijn is alleen een delete marker; de gelockte versie blijft staan tot de termijn om is en de lifecycle-regel van de bucket haar fysiek opruimt. Dat is de kern van de ransomware-bescherming: wie uw server overneemt en de agent-sleutel steelt, kan niets vernietigen.

Twee locaties

Wie strikt DORA of NIS2 moet volgen, kiest twee locaties: elke run gaat naar twee onafhankelijke EU-bestemmingen. Een brand of een storing in de ene raakt de andere niet. Het tarief staat op de prijslijst.

Uw eigen S3-bucket

U mag ook een eigen bucket gebruiken, bij eender welke S3-compatibele partij: Cubixion, AWS, Hetzner, Scaleway, een eigen MinIO. Dan hebben wij zelfs de opslag niet in handen; wij zien alleen versleutelde blokken die u zelf bewaart.

Instellingen → Opslag → Eigen S3-opslag toevoegen. Vul endpoint, bucket, prefix en twee sleutelparen in, en Zekura test de bucket meteen:

Controle	Waarom
Versioning aan	zonder versioning kan een verwijdering niet ongedaan gemaakt worden
Object lock in compliance-modus	zodat ook de beheerder van de bucket binnen de bewaartermijn niets kan wissen
Lifecycle-regel	anders groeit de bucket eindeloos; opruimen gebeurt door de bucket zelf, nooit door de agent
Agent-sleutel kan niet wissen	een aanvaller met root op uw server heeft die sleutel; hij mag alleen toevoegen
Schrijven en lezen lukt	vanzelfsprekend, maar getest

Een bestemming die de test niet doorstaat, is wel te gebruiken (bijvoorbeeld tijdens het inrichten), maar staat rood en weegt als zwak in de Restore Assurance Score. Gebruik Test nadat u de bucket hebt aangepast.

Twee sleutels, twee rollen

De agent-sleutel staat op uw servers en mag alleen toevoegen en lezen. De worker-sleutel mag verwijderen en wordt alleen gebruikt door onderhoud en verificatie op onze aparte infrastructuur, nooit op uw server. Geeft u alleen een agent-sleutel, dan werkt alles behalve het opruimen van verlopen snapshots.

Onderhoud

Een aparte worker doet het onderhoud van de repository: dagelijks een lichte beurt, wekelijks een volledige. Elke beurt is een ketenrecord met het aantal verwijderde blobs. Dagelijks telt Zekura ook de delete markers onder elke bestemming en vergelijkt dat met wat de keten verklaart. Onverklaarde markers geven een kritieke melding.