CN105117406A

CN105117406A - 一种用于包括第一集群和第二集群的系统的方法以及系统

Info

Publication number: CN105117406A
Application number: CN201510440949.8A
Authority: CN
Inventors: 戴维·B·平克尼; 马修·M·麦克唐纳; 本杰明·J·伊舍伍德
Original assignee: Hitachi Data System Corp
Current assignee: Hitachi Data System Corp
Priority date: 2009-10-30
Filing date: 2010-10-29
Publication date: 2015-12-02
Anticipated expiration: 2030-10-29
Also published as: JP2013509656A; WO2011053834A3; CN102667748A; JP5433084B2; US9727627B2; US20140108346A1; CN102667748B; US8533155B2; EP2494459A2; EP2494459A4; CN105117406B; US20110106757A1; WO2011053834A2

Abstract

本发明提供了一种用于包括第一集群和第二集群的系统的方法以及系统，其中，第一集群和第二集群的每一个具有一个或更多的节点，每个节点具有处理器以及存储通过处理器所执行的程序的存储设备，所述方法包括：在第一集群中提供存储多个第一对象数据的第一名称空间；在第二集群中提供存储多个第二对象数据的第二名称空间，所述第二对象数据是第一对象数据的副本；分别设置用于在第一名称空间中保持多个第一对象数据的第一版本的第一周期以及用于在第二名称空间保持作为第一对象数据的副本的第二对象数据的第二版本的第二周期。

Description

一种用于包括第一集群和第二集群的系统的方法以及系统

本申请是2012年5月2日提出的、申请号为201080049474.5、名称为“使用复制在具有名称空间的分区的内容平台上的固定内容存储”的发明申请的分案申请。

技术领域

本发明总地涉及用于在分布式计算网络中的高可用性、高可靠性以及高持久性的数据存储技术。

背景技术

已经有了以高可用性、高可靠性和高持久性对于“固定内容”进行归档(archival)存储从而代替或补充传统磁带和光存储解决方案的需求。术语“固定内容”典型地指期望用于不被改变地保存以用于参考或其它目的的任何类型的数字信息。这样的固定内容的例子包括电子邮件、文档、诊断图像、检查图像、语音记录、电影和视频等。传统的独立节点冗余阵列(RAIN)存储方法已经突显作为选择架构以用于创建用于这样的固定内容信息资产的存储的大型在线归档。通过允许节点按照需要加入或退出集群，RAIN架构将存储集群与一个或多个节点的故障隔离。通过在多个节点上复制数据，RAIN类型的归档能够自动地补偿节点故障或移除。典型地，RAIN系统通常用于作为封闭系统中的相同部件设计的硬件设备。

发明内容

一种内容平台(或“集群”)，包括被逻辑分区的独立节点冗余阵列。使用基于网络的接口，管理员定义集群中的一个或多个“占有者(tenant)”，其中占有者具有一组属性：名称空间、管理帐户、数据访问帐户以及准许掩盖。名称空间是集群的逻辑分区，用作与至少一个定义的应用典型地关联的对象集合。每个名称空间具有相对于其它名称空间的私有文件系统。该方法使得用户能够将集群数据分离至逻辑分区。根据该揭示，包括所有相关联的名称空间的集群(“源集群”)中的占有者信息被通过复制链接复制到至少一个目标集群。优选地，对于源集群中的多个占有者，可以使用复制，并且复制算法使得特定占有者能够被加入到复制链接而不延迟对于其它占有者的复制数据的进展。

上述简要概述了本发明的多个内在特征中的一些特征。这些特征应当被理解为仅是示意性的。下面将描述通过以不同的方式应用揭示的发明或通过修改本发明而达到的许多其它有益结果。

附图说明

图1是可以实施本发明的固定内容存储归档的简化框图；

图2是根据本发明的独立节点冗余阵列的简化示意图，其中每个独立节点是对称的并且支持归档集群应用；

图3是指给定节点上执行的归档集群应用的各种组件的高层示意图；

图4说明了根据这里描述的技术如何对集群进行分区；

图5说明了占有者管理员操作台的概览页面；

图6说明了占有者管理员操作台的名称空间页面；

图7说明了占有者管理员操作台的创建名称空间容器页面；

图8说明了对于给定名称空间的名称空间概览容器页面；

图9说明了管理员能够配置给定策略的对于给定名称空间的策略容器页面；

图10说明了管理员如何使能对于名称空间的版本化；

图11说明了管理员如何使能对于名称空间的部署服务；

图12说明了管理员如何使能对于名称空间的特权删除选项；

图13说明了管理员如何使能对于名称空间的保留类；

图14说明了对于占有者的复制标签；

图15说明了复制标签中的一个名称空间，示出了用于这个名称空间的复制的图形和统计；

图16说明了内容如何被复制到一个或多个远程归档站点以进行基于归档的商业连续性和/或灾难恢复；

图17示出了管理员如何能够创建集群之间的链接以方便对象级别复制；以及

图18说明了根据本揭示的主题如何复制占有者数据。

具体实施方式

已知提供了一种可扩展的基于磁盘的归档存储管理系统，优选地为基于独立节点的冗余阵列的系统架构。节点可以包括不同的硬件并且因而可以被认为是“异构的”。节点典型地可以访问一个或多个存储磁盘，这些存储磁盘可以是如存储区域网络(SAN)中的实际物理存储磁盘或虚拟存储磁盘。在每个节点上支持的归档集群应用(并且可选地应用在其上执行的下层操作系统)可以相同或基本相同。在一个说明性实施例中，在每个节点上的软件栈(可以包括操作系统)是对称的，而硬件可以是异构的。使用该系统，如图1所示，企业能够对于许多不同类型的固定内容信息(例如文档、电子邮件、卫星图像、诊断图像、检查图像、语音记录、视频等)创建永久存储。当然，这些类型仅是示例。通过将数据复制到独立的服务器(或所谓的存储节点)上而实现高等级的可靠性。优选地，每个节点与其对端节点(peer)是对称的。因而，由于优选地任何给定节点能够执行所有功能，任何一个节点的故障对于归档的可用性几乎没有影响。

如美国专利7,155,466中所述，在每个节点上执行的分布式软件应用捕获、持有、管理并且检索数字资产。在图2示出的实施例中，各个归档的物理界限被参考作为集群。典型地，集群不是单个设备，而是设备的集合。设备可以是同构的或异构的。典型的设备是运行例如Linux的操作系统的计算机或机器。位于商品硬件上的基于Linux的系统的集群提供能够从几个存储节点服务器扩展到存储几千T字节数据的许多节点的归档。该架构确保存储容量总是能够跟上公司的增加的归档需求。优选地，在集群中复制数据，从而归档总是远离设备故障。如果磁盘或节点发生故障，则集群自动地切换到集群中保存有相同数据的副本的其它节点。

示意性集群优选地包括下述通常类别的组件：节点202，一对网络开关204，电源分配单元(PDU)206和不间断电源(UPS)208。节点202典型地包括一个或多个商品服务器并包含CPU(例如Intelx86，适当的随机访问存储器(RAM)，一个或多个硬驱(例如标准IDE/SATA，SCSI等)，以及两个或更多个网络接口(NIC)卡。典型的节点是2U机架安装单元，具有2.4GHz芯片、512MBRAM以及6个200GB硬驱。然而，这并不是限制。网络开关204典型地包括使得能够进行节点之间端到端通信的内部开关205，以及允许至每个节点的超大集群访问的外部开关207。每个开关要求足够的端口来处理集群中所有潜在的节点。以太网或GigE开关可以用于此目的。PDU206用于对所有节点和开关供电，并且UPS208用于保护所有节点和开关。尽管不是用于限制，集群典型地可以连接至网络，例如公共互联网、企业内联网或其他广域或局域网。在示意性实施例中，在企业环境中实施集群。例如，可以通过在站点公司的域名系统(DNS)名称服务器进行导航而实现。因而，例如，集群的域可以是现有域的新的子域。在代表性实施中，在公司DNS服务器中，子域被指派到集群本身中的名称服务器。终端用户使用任何传统接口或访问工具访问集群。因而，例如，可以在任何协议(REST，HTTP，FTP，NFS，AFS，SMB，网络服务等)经由API或通过任何其它已知的或后开发的访问方法、服务、程序或工具执行对内容平台的访问。

客户端应用通过一个或多个类型的外部网关(例如标准UNIX文件协议或HTTPAPI)访问集群。归档优选地通过虚拟文件系统外露，该虚拟文件系统能够可选地位于任何面向标准UNIX文件协议的设施之下。这些包括：NFS，FTP，SMB/CIFS等。

在一个实施例中，归档集群应用在联网在一起(例如经由以太网)作为集群的独立节点冗余阵列(H-RAIN)上运行。给定节点的硬件可以是异构的。然而，为了可靠性，优选地每个节点运行分布式应用的实例300(可以是相同实例或基本相同实例)，该实例300由如图3所示的几个运行时组件组成。因而，尽管硬件可以是异构的，节点上的软件栈(至少由于与本发明相关)是相同的。这些软件组件包括网关协议层302、访问层304、文件事务和管理层306和核心组件层308。“层”的指派是用于说明的目的，本领域普通技术人员应当理解功能的特征可以是其它有意义的方式。一个或多个层(或其中的组件)可以是集成的或其它方式的。一些组件可以被跨层共享。

网关协议层302中的网关协议对现有应用提供透明性。特别地，网关提供本机文件服务，例如NFS310和SMB/CIFS312，以及网络服务API来建立顾客应用。也提供HTTP支持314。访问层304提供对归档的访问。特别地，根据本发明，固定内容文件系统(FCFS)316模仿本机文件系统来提供对归档对象的完全访问。FCFS对应用给出对归档内容的直接访问，就像这些内容是普通文件一样。优选地，被归档的内容以其原始格式提供，而元数据被作为文件。FCFS316提供目录和许可以及惯常文件级别调用的传统视图，从而管理员能够以熟悉的方式提供固定内容数据。文件访问调用优选地由用户空间精灵虚拟光驱(daemon)拦截并且路由到适当的核心组件(在层308)，其动态地为所调用的应用创建适当的视图。FCFS调用优选地由归档策略限制以加强自动归档管理。因而，在一个例子中，管理员或应用不能删除其保留周期(给定策略)仍然有效的归档对象。

访问层304优选地也包括网络用户接口(UI)318以及SNMP网关320。网络用户接口318优选地实施作为管理员控制台，该管理员控制台提供与文件事务和管理层306中的管理引擎322的交互式访问。管理员控制台318优选地是提供密码保护的并且基于网络的GUI，该GUI提供对于归档的动态视图，包括归档对象和各个节点。SNMP网关320向存储管理应用提供至管理引擎322的便利访问，使得存储管理应用能够安全地监控并且控制集群活动性。管理引擎监控集群活动性，包括系统和策略事件。文件事务和管理层306还包括请求管理器处理324。请求管理器处理324安排(通过访问层304)来自外部世界的所有请求，以及来自核心组件层308的策略管理器326的所有内部请求。

除了策略管理器326之外，核心组件还包括元数据管理器328、以及一个或多个存储管理器330的实例。元数据管理器328优选地安装在每个节点上。集合地，集群中的元数据管理器作为分布式数据库，用于管理所有的归档对象。在给定节点上，元数据管理器328管理归档对象的子集，其中优选地每个对象在外部文件(“EF”，进入归档用作存储的数据)以及归档数据物理上所在的一组内部文件(每个都是“IF”)之间映射。相同的元数据管理器328也管理从其它节点复制的一组归档对象。因而，每个外部文件的当前状态总是对于几个节点上的多个元数据管理器可利用。在节点故障的情况下，其他节点上的元数据管理器继续提供对之前由故障节点管理的数据的访问。下面更加详细地描述该操作。存储管理器330提供对于分布式应用中的所有其它组件可利用的文件系统层。优选地，在节点的本地文件系统中存储数据对象。给定节点中的每个驱动优选地具有自己的存储管理器。这允许节点移除各个驱动并且优化吞吐量。存储管理器330也提供系统信息、对数据的完整性检查以及遍历本地目录结构的能力。

如图3所示，集群通过通信中间件层332和DNS管理器334管理内部和外部通信。基础设施332是高效和可靠的基于消息的中间件层，使得在归档部件之间能够进行通信。在所示实施例中，该层支持多播和点到点的通信。DNS管理器334运行分布式名称服务，该服务将所有节点连接至企业服务器。优选地，DNS管理器(单个的或者与DNS服务器联合的)担负对所有节点上的请求进行均衡以确保最大集群吞吐量和可用性。

在所示实施例中，应用实例在基础操作系统336(例如RedHatLinux10.0)上执行。通信中间件是任何方便的分布式通信机制。其它部件可以包括FUSE(USErspace中的文件系统)，其可用于固定内容文件系统(FCFS)316。NFS网关310可以由Unfsd实施，其是标准nfsdLinux内核NFS驱动器的用户空间实施。每个节点中的数据库可以由例如PostgreSQL(这里也称为Postgres)(是和对象相关的数据库管理系统(ORDBMS))实施。节点可以包括网络服务器(是JavaHTTP服务器和伺服小程序容器)，例如Jetty。当然，上述机制只是示意。

在给定节点上的存储管理器330负责管理物理存储设备。优选地，每个存储管理器实例负责单个根目录，在该根目录中根据其放置算法放置了所有的文件。多个存储管理器实例能够同时在节点上运行，并且每个实例通常表示系统中不同的物理磁盘。存储管理器提取从系统的其它部分使用的驱动和接口技术。当存储管理器实例被要求写文件时，它为自己将要负责的表示生成完全路径以及文件名。在代表性实施例中，要被存储到存储管理器上的每个对象被接收作为将要存储的原始数据，而存储管理器然后将自己的元数据加入文件，因为存储管理器存储该数据以跟踪不同类型的信息。通过示例的方式，该元数据包括：EF长度(以字节表示的外部文件的长度)，IF段大小(该片内部文件的大小)，EF保护表示(EF保护模式)，IF保护角色(该内部文件的表示)，EF创建时间戳(外部文件时间戳)，签名(在写(PUT)时的内部文件签名，包括签名类型)以及EF文件名(外部文件名)。将该额外的元数据和内部文件数据一起存储提供了额外级别的保护。特别地，清除(scavenging)能够从内部文件中存储的元数据创建在数据库中的外部文件记录。其它服务(这里有时称为“策略”)能够使内部文件的内部文件哈希有效以证明内部文件完好无缺。

如上所述，内部文件优选地是表示归档对象中一部分原始“文件”的数据“大块(chunk)”，并且优选地它们被放置在不同的节点上以实现分离(striping)和保护块。典型地，对于每个归档对象，在元数据管理器中存在一个外部文件条目，而对于每个外部文件条目可能存在许多内部文件条目。典型地，内部文件布局取决于系统。在给定实施中，磁盘上的该数据的实际物理形式以一系列可变长度记录来存储。

请求管理器324负责通过与系统中的其它部件互动而执行归档动作的执行所需的操作集。请求管理器支持不同类型的许多同步动作，能够回现(roll-back)任何出错的事务，并且支持需要长时间执行的事务。请求管理器也确保在归档中的读/写操作被正确地执行并且保证所有的请求在所有时间都处于已知状态。对于协调节点间的多个读/写操作也提供事务控制以满足给定客户端请求。此外，请求管理器对于最近使用的文件高速缓存元数据管理器条目并且对于会话和数据块提供缓存。

集群的主要责任是在磁盘上可靠地存储不限量的文件。给定节点可以被认为是“不可靠的”，因为给定节点可能不可达或其由于任何原因不可用。这样的潜在不可靠节点的集合合作创建可靠和高可用的存储。通常，有两种类型的信息需要被存储：文件本身以及关于文件的元数据。

内容平台也可以实施例如2007年11月7日申请的序列号为11/936,317中描述的复制方案，该公开通过引用包括于此。根据该公开，集群回复处理在一组分布式归档上实施，其中每个单独的归档是优选的对称节点的存储集群。集群的每个节点典型地执行提供固定内容数据和关联元数据的基于对象的存储的应用实例(如上所述)。根据存储方案，第一集群和第二集群之间的关联或“链接”被首先建立以方便复制。第一集群有时被称为“原件”而“第二”集群有时被称为“副本”。当建立链接时，第一集群的固定内容数据和元数据被从第一集群复制到第二集群，优选地以连续的方式。然而，当第一集群发生故障时，发生切换(failover)操作，并且第一集群的客户端被重指向第二集群。在对第一集群进行修理或替换时(“恢复”)，修理好的或替换好的第一集群仍然具有为第一集群的客户端提供服务的权力。

图16示出了原件集群1600和三个副本集群1602(一个位于美国Wabasha，一个位于英国Luton，并且一个位于日本Kyoto)。典型地，集群位于不同的地理位置，尽管这不是限制或要求。从原件集群(PC)1600向每个副本集群(RC)1602复制内容以使得能够保证商业连续性和容灾。因而，在运行中断的情况下，客户端应用能够切换到副本集群以最小化系统宕机时间。恢复功能(恢复处理)提供新的原件集群的快速布局数再增，该新的原件集群可以是重新建立/恢复的原始原件集群或者是全新的原件集群。

图17示出了允许在集群之间创建副本链接的管理控制台图形用户接口(GUI)1700。如上所述，链接使得源名称空间能够被复制到指定目标集群。该链接可以配置具有一个或多个选项。因而，可以选择数字签名选项以确保链接的正确性。可以选择压缩选项以使得在链接上能够进行数据压缩以最小化WAN带宽需求。如果链接需要被安全化(如果链接包括公共网络(例如互联网)可能发生这种情况)，则可以选择加密选项来使得能够进行要被使用的加密(例如SSL)。此外，调度选项使得能够选择何时应当进行复制并且复制应当进行到何种程度。这些选项优选地每个都由管理员配置。优选地，归档对象以安全的方式被从原件集群复制到一个或多个副本集群。

优选地，在对象级别跟踪复制，该对象级别包括固定内容数据、元数据以及策略信息(例如撕碎属性等)。GUI也可以展露包括例如以对象数和容量表示的复制进展的度量。任何归档可以包括一个机器，管理员通过该机器能够配置用于复制、恢复和自动恢复(fail-back)的归档。

例如上述的内容平台可以实施例如2007年2月15日申请的序列号为11/675,224中描述的数据保护级别(DPL)方案，其全部公开通过引用包括于此。

上述是对已知内容平台或“集群”的描述。下面描述了企业(或其它实体，例如服务提供商)如何分区这样的集群并且当要存储的用户数据量增加时如何更加有效地使用集群资源。

集群分区——占有者和名称空间

下面的技术应用于现在描述的主题。

数据账户(DA)：提供对一个或多个名称空间的访问的认证账户。该账户对于能访问的每个名称空间具有分离的一组CRUD(创建、读取、更新和删除)特权。

名称空间(NS)：集群的逻辑分区。名称空间主要用于对于至少一个定义的应用所特定的对象集合。如下面将要描述的，每个名称空间相对于其他名称空间具有私有文件系统。另外，对一个名称空间的访问不确保用户能够访问另一个名称空间。归档可以具有在单个集群上允许的名称空间的数目上限(例如多达100)。

认证的名称空间(ANS)：要求认证的数据访问的名称空间(优选地仅HTTP)。

缺省名称空间(dNS)：用于以除了REST(表述性状态转移)之外的方式向集群注入的数据所使用的名称空间，其中REST是通常用于在网络上交换结构化数据和类型信息的轻量级协议。进一步地，即使应用使用REST接口，如果在对集群的认证过程中名称空间不是指定的，则在缺省名称空间存储所有的数据。

占有者：一套名称空间和其它可能的子占有者。

高级占有者(TLT)：没有父占有者的占有者，例如企业。

子占有者：父占有者是另一个占有者的占有者，例如企业的财务部门。

缺省占有者：仅包含缺省名称空间的高级占有者。

集群：例如上述的物理归档实例。

当集群被新安装时，它不包含占有者。集群管理员创建顶级占有者以及与那些顶级占有者关联的管理账户，并使能缺省占有者和缺省名称空间。图4示出了该基本概念。如图所示，存在集群实例400，例如图2-3以及上文所述的系统。如下文将详细描述的，集群管理员具有账户402。对适当的管理员给予权力来创建顶级占有者404以及对于该TLT的一个或多个名称空间，例如第一认证名称空间406(对于工程部门)以及第二认证名称空间408(对于财务部门)。适当的管理员也设置管理员账户412以及用于TLT的数据账户414。此外，管理员也能够使能具有相关联的缺省名称空间418的缺省占有者416。尽管未示出，授权的管理员也可以设置子占有者。管理员也可以建立管理日志420。当然上述配置仅是示例，因为这里的主题不限于任何特定类型的用例或占有者/名称空间配置。

在宏观级别，所有的名称空间能够被认为是相同的或基本相同的实体，具有相同的质量和能力。通常，如能理解的，名称空间具有一组相关联的能力，这些能力由适当权限的管理员确定使能或禁用。单个名称空间能够具有一个或多个应用，尽管优选地名称空间只与一个定义的应用(尽管这不是限制)相关联。名称空间典型地具有名称空间管理员能够对于给定数据账户选择使能或禁用的下述一组相关联的能力中的一个或多个：读(r)—包括读文件、目录列表以及存在/HEAD操作；写(w)；删除(d)；清除(p)—允许清除所有版本的文件；优先的(P)—允许优先的删除和优先的清除；以及搜索(s)。

使用名称空间，并且如图4总体示出的，管理员能够创建用于集群的多个域，这些域根据用户/活动者的视角而不同。这些域包括例如下述：访问应用、集群管理员、TLT管理员、子占有者管理员和复制。访问应用的域是给定名称空间。授权的管理员(例如管理员402)具有集群整体的视图。如图所示，管理员402能够创建顶级占有者并对具有集群范围的动作执行所有的管理。在特定情形下，例如在企业部署情形下，占有者会给予适当的管理员管理占有者的能力，在这种情况下任何集群管理员也能够作为TLT管理员。TLT管理员创建名称空间、数据账户和子占有者。TLT能够修改一些配置设置，例如名称空间配额或使能版本化。子占有者管理员能够创建子占有者下的名称空间。复制域是由集群管理员在配置集群之间的复制时定义的一组TLT。

本领域普通技术人员应当理解占有者是管理员视角的逻辑归档。如图4所示，占有者可以代表使用一部分集群的组织或部门。占有者可以被实施为分级的，因为能够包含其它占有者。

占有者优选地具有一组属性：名称空间、管理账户、数据访问账户、准许掩盖、状态累积(roll-up)、名称和配额(quota)。占有者可以包含零个或多个名称空间。占有者将具有一组管理账户(例如账户412)使得用户能够监控和更新占有者属性。数据访问账户是访问名称空间对象的一组账户。准许掩盖(r/w/d/p/P/s)是对于占有者全局的并且掩盖(mask)名称空间的准许的准许组。状态累积是对占有者内所有的名称空间的度量。占有者名称是可以由适当的管理员设置和改变的。相同集群中的占有者名称必须不能冲突。顶级占有者优选地由管理员分配硬存储配额。适当的管理员能够降低或增加配额，并且他或她能够分配所需量的配额。TLT也能够指定软配额，该软配额是硬配额的给定百分比。占有者能够将自己的配额划分到一个或多个名称空间，但是总的分配配额不能超过占有者的配额。出于计数的目的，优选地配额将测量注入的文件的上舍入大小对于最近的块大小。软配额典型地是硬配额的预定百分比(例如85％)，但是该值是可配置的。当超过硬配额时，不允许另外的写，尽管优选地不阻挡进展中的写。在超过配额和阻挡将来的写之间具有延迟是可接受的。优选地，配额被复制但是不能被改变。当副本变得可写时，也实施配额。

占有者管理员也具有包括下述的一组角色：监控员角色、管理员角色、安全员角色和遵守员角色。监控员角色是管理员角色的只读版本。管理员角色是与占有者相关联的原件角色。如上描述和示出的，该角色允许管理员用户在当前占有者下创建名称空间，并且提供该占有者内的所有名称空间(以及相关联的统计，例如文件计数、可用空间、使用的空间等)的视图。管理员也能够查看占有者和名称空间日志，并且他或她能够查看/更新占有者和名称空间配置。安全员角色使得用户能够创建/修改/删除新的管理用户。具有安全员角色的用户能够向其它占有者级管理账户增加或从其删除角色。当首先创建占有者时，优选地存在与该占有者相关联的一个管理用户，并且该用户账户只具有安全员角色。遵守员角色使得能够进行特权删除和保留类功能(如下将描述的)。

名称空间是应用查看的逻辑归档。根据这里的主题，特定名称空间与不同名称空间区分，并且对一个名称空间的访问不保证用户对其它名称空间的访问。优选地，在自己的占有者级别执行对名称空间的管理。此外，优选地，如果与名称空间相关联的对象数是零则名称空间可仅被删除。名称空间优选地也具有下述属性：准许掩盖、初始设置、其它设置、显示名称、配额、日志和统计。如上所述，准许掩盖(r/w/d/p/P/s)是对于占有者全局的并且掩盖(mask)账户的准许的设置组。初始设置识别优选地保持持久的数据保护级别(DPL)、哈希方案等。其它设置指能够在名称空间上设置并且之后能够被改变的设置(例如保留、撕碎、版本化、索引等)。该特征将在下文更加详细描述。显示名称是用于名称空间的名称或其它标识符。配额是硬配额(以GB表示)或软配额(以百分比表示)。日志属性识别与将被登录的名称空间相关的系统事件。统计属性识别从与名称空间相关的数据(例如容量、对象数目等)生成的统计。

优选地，占有者名称和名称空间名称是在各种管理用户接口(UI)中由人员可读的标识符。优选地，这些名称也用于主机名称来指定数据访问请求的名称空间、管理员正在管理的占有者以及搜索应当被限制在的范围。名称空间的名称是有用的，因为占有者可能具有与该名称空间的名称相关联的多于一个的名称空间。优选地，通过HTTP的对象访问使用下述形式的主机名称：

<名称空间-名称>.<占有者-名称>.<集群-域-后缀>这些名称符合传统的域名系统(DNS)标准。如上所述，集群中的占有者名称不能冲突。

下面提供对于占有者管理用户界面(UI)以及该接口提供的相关联的功能的另外的细节。优选地，占有者UI被实施作为基于网络的用户接口(例如图3中的接口318)，即，作为向管理引擎提供互动访问的占有者管理控制台。管理控制台优选地是提供归档的动态视图的密码保护的、基于网络的GUI。当占有者管理员已经登录占有者管理员控制台时，提供呈现主导航菜单的概览页面。菜单提供至一个或多个高层功能(实施作为网页)的访问，该高层功能例如概览、名称空间、数据访问账户、服务、安全和监控。下面将更加详细地描述这些接口中的一些接口。

如图5中所示，概览页面500示出关于当前占有者(即管理员登录进的占有者)的信息，包括统计和主要事件日志。典型地，该页面包含下述信息并且优选地该信息是不可编辑的：占有者名称502，更新占有者账户设置的链接504，用于任何集群管理员也管理该占有者并且搜索与该占有者相关联的所有名称空间中的所有对象(假设它们具有搜索角色)的复选框506，例如配额(总配额、未分配配额和已分配配额)、名称空间(总数、注入的对象、索引的对象和版本化的对象)以及账户(数据账户数目以及管理员账户数目)的累积信息508，应用于占有者拥有的名称空间的准许菜单510，占有者描述512以及日志和告警514。如图5所示，准许菜单识别有效准许(经过检查的)以及准许掩盖的值。由于这是顶层，所有的设置被示为是继承的并且存在于占有者掩盖中。如果用户选择编辑标签，则显示子菜单516以使得被准许的管理员能够修改各个准许。优选地，管理员角色能够修改该页面上的面板(panel)，并且监控员和管理员角色能够查看页面和页面上的面板。

图6示出了名称空间页面600，该页面列出了在该占有者下直接定义的所有名称空间以及每个(对象计数、任何告警以及配额)的总的统计。该页面允许管理员获取特定名称空间的进一步的配置。该页面能够由具有管理员和监控员角色的账户查看。页面包括表格602，该表格列出当前占有者所拥有的名称空间，并且提供控制(例如链接/按钮604)以使得管理员能够创建名称空间、查看或编辑对于列出的名称空间的设置或者查看对于列出的名称空间的统计。该表包括列，在列中以摘要形式显示了对于给定名称空间的其他信息，例如对象计数606、告警608和配额610。

通过选择创建名称空间容器标题条，创建名称空间容器700如图7所示扩展以允许占有者增加用于当前占有者的新的名称空间。为了创建新的名称空间，用户提供下述信息：名称702、描述704、最大大小706(对于新的名称空间的以TB、GB、MB等表示的硬配额)、软配额708(可以缺省为85％)、DPL值710(对于外部存储可以缺省为1，对于内部存储可以缺省为2)、哈希值712(可以缺省为SHA-256)、保留模式714(企业或遵守(compliance)，缺省为企业)、对象版本化716(开/关，缺省为关)以及搜索索引718(开/关，从占有者继承缺省值)。优选地，管理员角色能够查看和修改该页面。当配置了用于名称空间的各个参数后，用户选择创建名称空间按钮720来完成处理。以此方式，在占有者配置中的各个名称空间中的每一个与占有者中其它任何名称空间相比具有高可配置性。该逐个名称空间配置性选项提供了显著的可操作和管理灵活性。

回到图6，如果用户选择所识别的名称空间中的任一个，则名称空间概览容器800如图8所示扩展，展露关于所选名称空间的统计。这些包括对于名称空间的名称的项802、对象和使用图804(例如名称空间中的对象、索引的对象、例如传送到名称空间的字节的使用、文件大小总和以及分配的总配额)、告警806、准许菜单808(示出对于该名称空间的准许掩盖)以及描述810。监控员和管理员角色能够查看该页面。也如图8所示，当选择给定名称空间用于配置时，展露多个容器页面，包括策略标签812、服务标签814、遵守标签816、协议标签818以及监控标签820。下面详细描述这些接口中的一些接口。

如果用户从名称空间概览容器800选择了策略标签812，则显示策略页面，用户能够从该策略页面配置用于特定名称空间的一个或多个策略。在图9中，用户已经打开策略页面900并且选择了保留策略标题条，其打开容器902，管理员通过该容器902设置保留策略。如果选择了偏置保留方法904，则管理员设置最大值(年、月和日)。如果选择了固定日期保留方法906，则用户使用日历来设置日期。如果选择了特别值保留方法908，则用户能够从下述选项中进行选择：允许删除、初始未指定、无限和禁止。如果选择了保留类方法910，则展露一组额外的选项，下面将详细描述。当进行配置时，通过选择更新策略按钮912来进行保存。

另一个可配置策略是版本化。图10示出了具有能够用于该目的的一组控制的容器1000。当打开该容器时，用户能够选择复选框1002来使得能够对该特定名称空间进行版本化。如果选择了该复选框，则用户能够配置(使用项1004)在原件集群上能够保持版本的时长，以及如果能够进行复制在任何副本集群上能够保持版本的时长。通过选择更新策略按钮1006来保存该策略。

返回关于管理员控制台的描述，如果用户选择对于名称空间的服务标签814，则可以配置一个或多个服务选项。一个这样的服务选项是部署(有时称为“部署服务”)，该服务使得能够对过期保留的对象自动删除。通过包括复选框1102的面板1100来使得能够进行部署服务选项，该复选框1102被选择以使能对于特定名称空间的选项。用户选择更新服务按钮1104来完成配置。因而，根据配置选项，当被配置的保留(例如在保留类中识别的)过期时，与该保留类(仅对于该名称空间)相关联的对象被自动从集群删除。该操作是有利的，因为这使得集群能够收回存储空间。然而，部署服务是以逐个名称空间为基础的，这是非常值得期望的并且提供增加的管理灵活性。

如果用户选择了对于名称空间的遵守标签816，可以配置一个或多个遵守选项。在图12中，用户已经选择了特权删除遵守选项，用户通过该选项能够识别对特定对象的删除并且提供对于该删除的理由。如图所示，特权删除面板1200包括其中识别了要被删除的对象的项1202(优选地通过其完全路径)，以及指示删除原因的描述1204项。通过选择删除该对象按钮1206，则将该对象永久地从集群删除。优选地，该特征仅对操作的企业模式使能。特权删除功能使得用户能够移除对象的所有版本，即使对象在保留中。

对于名称空间的遵守标签816中的另一个可配置选项是用于配置一个或多个保留类的选项。保留类是定义的对象分组，这些对象是要经过相同保留配置的对象。当用户导航至保留类标签时，显示一组预先定义的保留类以及它们的值，并且能够被选择用于查看。为了增加新的保留类，用户选择标题条，该标题条打开图13所示的容器1300。使用该面板，用户能够使用项1302识别新的保留类名称，通过菜单1304选择保留方法，并且在项1306中增加描述。保留方法菜单1304展露预先描述的保留选项(年、月和日)。使用增加新保留类按钮1308来配置新类。

如果对于占有者使得能够进行复制，管理员控制台将提供图形和统计显示，优选地在每个名称空间的级别。图14示出了当从主服务标签选择复制时的代表UI页面1400。页面列出了已经对于占有者配置的每个名称空间，例如名称空间1402。列1404中的数据指示副本的最新状态(指到该时该日复制的所有对象)，以及在“多少天之后”图形1406中的数据指示副本距离原件数据的时长。当用户选择被识别的名称空间中的任一个时，例如1402，名称空间概览容器1500如图15所示扩展，展露关于所选名称空间的更详细的图形和统计。图形1504示出了数据传输速率，图1506示出了摘要历史数据。

在占有者级别的数据被复制用于配置了复制的占有者。在原件集群发生灾难或其它事件的情况下，对于占有者，所有的归档配置设置能够从副本恢复。

图18示出了应用于占有者和名称空间的复制的基本概念。如图所示，存在原件集群1800和至少一个副本1802。链接1804已经在集群之间建立。原件集群1800具有两个配置的占有者T1和T2，并且占有者T1具有两个名称空间NS1和NS2，这两个名称空间已经按照上述描述和示出的方式进行配置。占有者T2具有一个名称空间NS3。集群1802包括配置的占有者T3，占有者T3具有两个名称空间NS4和NS5，如图所示。根据该公开，占有者T1和其相关联的名称空间已经通过在集群1800和集群1802之间建立的链接1804被复制。在集群1802中以虚线形式示出副本。占有者T1是集群1800上的读/写，但是在副本集群1802上仅是读。优选地，通过链接1804的复制是单向的，并且在一个时间在一个方向复制信息(即整个链接或者是从源向副本复制，或者是以相反方向恢复)。通常，复制链接从源集群向副本集群复制至少部分占有者信息。

要复制的信息包括用于占有者的账户和它们的关联名称空间。在典型实施中，可以选择下述项目用于通过特定复制链接进行复制：来自缺省名称空间的任意数目的顶级目录和任何数目的顶级占有者。如果选择了占有者，优选地将复制所有的相关联信息，即：占有者管理员账户、占有者数据账户、占有者管理员日志、占有者配置信息(包括它们的保留类定义)、所有相关联的名称空间和它们的数据以及所有相关联的名称空间日志(包括遵守日志)等。优选地，对于复制链接和其中的各个名称空间都提供(在UI中)复制度量。对于复制链接可用一个或多个这些度量：复制的总字节(曾经)、恢复的总字节(曾经)、复制的操作的数目(曾经)、恢复的操作的数目(曾经)、每秒传送速率的当前字节、每秒速率的当前操作、每秒速率的当前错误、最大复制备份日志(backlog)时间(其名称空间位于最远的后面)、平均复制备份日志时间(所有复制的名称空间取平均)以及最小复制备份日志时间。优选地，对于每个被复制的名称空间可查看一个或多个下述度量：复制的总字节(曾经)、恢复的总字节(曾经)、每秒传送速率的当前字节、每秒速率的当前操作、每秒速率的当前错误以及复制备份日志时间。

每个占有者或名称空间可以具有一个或多个复制链接。特定集群可以具有一个或多个向外链接(至一个或多个副本集群)，以及一个或多个向内链接(来自一个或多个副本集群)。如果支持多个链接，可以将一个占有者复制到不同集群，并且可以实施具有不同特征或服务质量(QoS)的复制链接。在该多链接实施中，占有者能够基于链接特征(静态的或动态的)在不同的复制链接上复制自己的名称空间。

在典型用例中，如图18所示，集群1802中的副本占有者T1是只读(尽管这不是限制)。结果，登录进入副本占有者的任何占有者管理员不能进行任何配置改变，并且对与副本占有者相关联的任何名称空间的任何数据访问账户不能进行删除或清除(purge)。类似地，尽管具有搜索优先的数据账户(用户)可以登录进入副本上的搜索UI并发布查询，然而用户不能进行任何更新动作，例如删除、保持、清除、特权删除或保存查询结果。

优选地，对于在副本上的系统事件、管理和数据账户的该只读限制存在一个或多个例外。特定于被复制的占有者和相关联的名称空间的系统事件使得对管理日志进行写。因而，例如登录进副本占有者管理员UI的动作被登录进副本作为系统事件，并且登录进副本的名称空间的特定事件(例如发现无法修复的文件)也被登录进副本系统事件。另外，如果占有者管理员不能满足在副本上的连续登录检查，则他或她的账户可以被在副本上禁止。相似地，如果数据账户不能满足在副本上的连续登录检查，则该账户被在副本上禁止。由于所有的配置(包括管理员和数据账户)优选地在副本上只读，因此在副本上对这些账户再使能的处理如下：在源集群，禁止账户；再使能账户；并且等待账户被复制。在源上的更新然后被传播到副本，并且在副本上的账户被使能。

为了允许新占有者被加入复制链接而不延迟(stall)其它占有者的进展，实施下述复制算法。介绍一下背景，复制算法能够被可视化为一系列环路(随时间和区域)，该环路终止于对于在特定区域中特定时间范围内改变的所有对象的查询。该方法被如下修改：在每个区域的环路，执行特定量的工作，直到所有对象在请求的时间间隔内被复制。没有要求每个区域(或区域内的名称空间)相对于它改变时间的任何下限而同步。然后定义“内容收集器”(例如占有者内容收集器、管理员日志内容收集器)工作实体。对于名称空间的内容收集器优选地是基于区域的，因而必须将自己的工作再分割到集群的多个区域。流程控制如下：

当存在间隔时：

1.定义当前时间间隔；

2.对于每个内容收集器：

1.对于给定的时间间隔复制合格的内容

3.如果内容收集器是基于区域的：

1.对于每个区域：

1.对于要被复制的每个名称空间：

1.在时间间隔内复制合格的对象。

最后一步(在时间间隔内复制所有合格的对象)是以“工作单元”完成的。由于在时间窗口内复制的对象的数目可能很大，如果期望的话工作量可能受限，例如通过对每个名称空间进行的“工作量”设上限(例如复制的对象数目、复制的字节量或一些其它测量)。

上述方法是有利的，因为使得占有者或名称空间被加入到现有复制链接而不需干扰链接上其它对象的进展。占有者和名称空间可以在变化的QoS级别进行复制，如上所述，并且对于各个名称空间的复制可以被暂停且不影响其他占有者。进一步地，通过适当地设计数据库的结构，复制算法也能在不同对象类型之间进行细粒度工作。该技术使得在名称空间之间的旋转以较细粒度级别进行从而在名称空间之间的对象复制表现得统一。

这里描述的复制技术能够被扩展为包括其它类型数据(在占有者和名称空间数据之上)，例如管理和账户数据、管理日志、保留类、数据库配置和对象等。

复制逻辑优选地以特定区域为基础在集群中处理改变。复制逻辑因而可以查询并且生成对于下述类型的信息的变化：占有者和名称空间特定的管理员日志、占有者管理员账户、占有者数据账户、占有者配置和名称空间配置。查询收集对于这些类型的数据中每个的匹配记录。

尽管没有详细示出，其它显示面板展露可以用于以特定名称空间为基础配置操作和功能的其它配置选项。因而，协议标签818使得管理员能够管理协议设置，例如使能HTTP、HTTPS，并且创建IP地址的白/黑列表。监控标签820使得管理员能够识别或检查特定于名称空间的系统日志消息，检查对象状态并且示出特权删除和保留类活动。

管理员也能够从控制台的页面创建和管理数据访问账户并且将这些配置设置应用到占有者当前登录到的所有名称空间。对于每个这样的数据访问账户，管理员能够将会提供给个人的期望的访问权限(例如读、写、删除、清除、搜索等)相关联。

如果认证了名称空间，则可以实现下述另外的控制。优选地，通过HTTP执行对于认证的名称空间中的归档对象的访问并进行有效性证明。客户端必须提供这些证明给集群，典型地在每个HTTP操作上使用Cookie和主机头。将客户端请求映射到名称空间中的特定数据访问账户的必须信息包括用户名、密码以及完全合格的名称空间的名称(FQNN)。FQNN识别占有者分级中的名称空间，并且基于名称空间的名称、占有者名称和占有者的父母的名称(如果有的话)。REST访问方法优选地用于对象动作(对象注入、对象检索、对象存在检测、对象删除、对象清除、目录列出以及目录创建)和元数据动作(设置保留、设置合法保持、设置撕碎删除、设置/获得/删除顾客元数据、获得所有元数据)。如已知的，REST(表述性状态转移)是通常用于在网络上交换结构化数据和类型信息的轻量级协议。传输层安全机制(例如TLS(传输层安全)上的HTTP)可以用于保证两个相邻节点之间的消息的安全。假设熟悉这些技术和标准。

通过将UI分割成集群和占有者所关注的片，不同的人能够执行集群和占有者管理。这保证了在集群管理员和占有者管理员之间的隐私，保证了占有者不能访问可能“打断”集群的硬件或其它细节，并且保护了占有者数据的隐私。

这里描述的主题提供了多种优势。使用描述的名称空间方法，实体(例如操作归档的企业)能够更加容易地分离和管理自己的数据。该方法使得管理员能够在选择的总的集群数据组的子数据组上执行集群操作，并且能够以更细的力度执行测量操作(例如容量报告)。以描述的方式分割集群的能力提供了显著的可操作、管理和处理效率，因为否则的话持续增加的(例如PB规模)数据会难以管理。

描述的主题使得不同的管理员能够执行集群和占有者管理，并且使得这两个区域之间传送的信息最少。

主题不限于任何特定类型的用例。典型使用环境是企业，尽管该技术可以由操作存储云的存储服务提供商或实体实施。

这里描述的技术(其中与占有者(例如TLT)相关联的用户具有如上创建和管理的访问特权)可以被扩展并用于除了用于固定内容的归档集群之外的用途。因而，例如，这些技术也可以被实施用于存储管理系统的标准虚拟方法的上下文中。

尽管上述描述了由本发明的特定实施例执行的特定顺序的操作，应当理解该顺序仅是示例，因为可选实施例可以用不同的顺序执行操作，组合特定操作，重叠特定操作等。对于给定实施例的说明书中的附图标记指示描述的实施例可以包括特定的特征、结构或特性，但是每个实施例不是必须包括特定的特征、结构或特性。

尽管以方法或处理为上下文已经描述了本发明，本发明也涉及用于执行这里的操作的装置。该装置可以被特别构造用于所需目的，或者可以包括由计算机中存储的计算机程序选择性激活或重配置的通用计算机。这样的计算机程序可以存储在计算机可读存储介质中，例如但不限于任何类型的磁盘，包括光盘、CD-ROM以及磁光盘，只读存储器(ROM)，随机访问存储器(RAM)，磁或光卡或适于存储电子指令的任何类型的介质，其中每个都连接到计算机系统总线。

尽管已经分离地描述了系统的给定部件，本领域普通技术人员应当理解一些功能可以在给定指令、程序序列、代码部分等组合或共享。

如这里所使用的，词语“位置”不必须限制为“地理”位置。尽管集群典型地在地理上分离，但这不是必须的。原件集群可以位于城市中的一个数据中心，而副本集群位于相同中心的另一个数据中心。两个集群也可以在单个数据中心的不同位置处。

尽管在对于“固定内容”的归档的上下文已经描述了本发明，这也不是限制。这里描述的技术可以等同地应用于允许对内容添加和替换类型修改的存储系统。

这里描述的复制技术可以被扩展。因而，例如，该技术可以用于网络附加存储(NAS)的上下文，用于从NAS虚拟服务器或应用容器向内容平台复制关键信息。这允许一个NAS系统从另一个NAS系统读信息以使得能够对NAS系统配置数据重构。该方法也可以被扩展到从NAS系统部件发送到内容平台的对象和文件。

已经描述了本发明，下面附上权利要求。

Claims

1.一种用于包括第一集群和第二集群的系统的方法，第一集群和第二集群的每一个具有一个或更多的节点，每个节点具有处理器以及存储通过处理器所执行的程序的存储设备，所述方法包括：

在第一集群中提供存储多个第一对象数据的第一名称空间；

在第二集群中提供存储多个第二对象数据的第二名称空间，所述第二对象数据是第一对象数据的副本；

分别设置用于在第一名称空间中保持多个第一对象数据的第一版本的第一周期以及用于在第二名称空间保持作为第一对象数据的副本的第二对象数据的第二版本的第二周期。

2.根据权利要求1所述的方法，还包括：

在第一集群中提供包括第一名称空间的第一占有者；

在第二集群中提供包括第二名称空间的第二占有者；以及

使得第一占有者的副本能够将第一占有者和第一占有者中的第一名称空间复制到第二集群。

3.根据权利要求1所述的方法，还包括：

将管理账户复制到第二集群，该管理账户使得用户能够管理第一占有者的配置；以及

使得用户能够通过所复制的管理账户管理第二占有者的配置。

4.根据权利要求2所述的方法，还包括：

将第一占有者中的第一名称空间的日志信息复制到第二集群。

5.根据权利要求4所述的方法，其中日志信息包括遵守员日志信息。

6.根据权利要求2所述的方法，还包括：

将在第二集群中的第二占有者作为只读占有者提供到客户端。

7.根据权利要求2所述的方法，还包括：

禁止删除第二集群中第二占有者的第二名称空间以及改变第二集群中第二占有者的配置。

8.根据权利要求2所述的方法，还包括：

在第一集群和第二集群之间配置链接以将第一占有者复制到第二占有者。

9.根据权利要求1所述的方法，其中第一集群是原件集群并且第二集群是副本集群。

10.一种系统，包括

第一集群，其包括一个或更多的第一节点，每个第一节点具有第一处理器以及存储通过第一处理器所执行的程序的第一存储设备，并且提供存储多个第一对象数据的第一名称空间；以及

第二集群，其包括一个或更多的第二节点，每个第二节点具有第二处理器以及存储通过第二处理器所执行的程序的第二存储设备，并且提供存储多个第二对象数据的第二名称空间；

其中，分别将第一集群配置为针对第一周期在第一名称空间中保持多个第一对象数据的第一版本并且将第二集群配置为针对第二周期在第二名称空间中保持作为第一对象数据的副本的第二对象数据的第二版本。

11.根据权利要求10所述的系统，

其中第一集群被配置为提供包括第一名称空间的第一占有者，并且第二集群被配置为提供包括第二名称空间的第二占有者，并且

其中第一集群被配置为使得第一占有者的副本能够将第一占有者和第一占有者中的第一名称空间复制到第二集群。

12.根据权利要求11所述的系统，

其中，第一集群被配置为将管理账户复制到第二集群，该管理账户使得用户能够管理第一占有者的配置；并且

其中，第二集群被配置为使得用户能够通过所复制的管理账户管理第二占有者的配置。

13.根据权利要求11所述的系统，

其中，第一集群被配置为将第一占有者中的第一名称空间的日志信息复制到第二集群。

14.根据权利要求13所述的系统，其中日志信息包括遵守员日志信息。

15.根据权利要求11所述的系统，其中第二集群被配置为将在第二集群中的第二占有者作为只读占有者提供到客户端。

16.根据权利要求11所述的系统，其中第二集群被配置为禁止删除第二集群中第二占有者的第二名称空间以及改变第二集群中第二占有者的配置。

17.根据权利要求11所述的系统，

其中在第一集群和第二集群之间配置链接以将第一占有者复制到第二占有者。

18.根据权利要求10所述的系统，其中第一集群是原件集群并且第二集群是副本集群。