Читать данные можно, но состояние кластера всё равно меняется: идут вставки и слияния, отрабатывают мутации и сроки хранения, пополняются системные журналы. Даже диагностический запрос попадает в журнал запросов.
Сначала проверяют полномочия и согласуют допустимые действия с владельцем системы или с назначившим экспертизу органом; если кластер принадлежит другой стороне, копию получают через суд. Согласованную копию получают штатным резервным копированием или снимками дисков каждого узла; объектное хранилище и координатор фиксируют отдельно. Копия одного узла — это не срез всего кластера, и в заключении это оговаривают.
Проверку гипотез ведут на отдельном стенде совместимой версии. Системные журналы за спорный период вывозят сразу: они хранятся ограниченное время, и через несколько недель восстанавливать будет нечего.