AlloyDB-Cluster in einem Backup Vault sichern

Auf dieser Seite wird beschrieben, wie Sie AlloyDB in einem Backup Vault sichern. Wenn Sie Sicherungen an einen Backup Vault senden, sind sie unveränderlich und die Aufbewahrung wird erzwungen.

In der Google Cloud Console können Sie AlloyDB for PostgreSQL-Cluster in einem Backup Vault sichern, indem Sie Sicherungspläne anwenden. Sie haben dazu zwei Möglichkeiten. Mit beiden Methoden können Sie Ihre Backups sicher in einem Backup Vault speichern. So können Sie Ihre AlloyDB-Cluster im Falle von Datenverlust oder anderen unerwarteten Ereignissen zuverlässig wiederherstellen.

  • Geplante Sicherungen: Sie können AlloyDB for PostgreSQL-Cluster in bestimmten Intervallen automatisch sichern, z. B. täglich, wöchentlich, monatlich oder jährlich.
  • On-Demand-Sicherungen Sie können bei Bedarf On-Demand-Sicherungen erstellen. On‑Demand-Sicherungen sind nützlich, um Sicherungen zu erstellen, bevor Sie wichtige Änderungen an Ihren Datenbanken vornehmen, oder für den Ad‑hoc-Datenschutz.

Hinweis

  1. Aktivieren Sie die Backup and DR API dort, wo sich die AlloyDB for PostgreSQL-Cluster befinden.

    API aktivieren

    1. Backup Vault erstellen

    2. Sicherungsplan erstellen

    3. IAM-Rollen und -Berechtigungen dem Sicherungsnutzer zuweisen

    4. Backup Vault-Zugriff im AlloyDB-Projekt gewähren

    5. Richten Sie Observability Analytics für Ihren Bucket ein, um Backup and DR-Sicherungsjobs zu überwachen.

IAM-Rollen und ‑Berechtigungen für den Sicherungsnutzer

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihr Backup Vault-Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren geplanter Back-ups oder zum Ausführen von On-Demand-Back-ups benötigen:

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Konfigurieren geplanter Back-ups oder zum Ausführen von On-Demand-Back-ups erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um geplante Backups zu konfigurieren oder On-Demand-Backups auszuführen:

  • backupdr.backupPlans.list
  • backupdr.backupPlanAssociations.createForAlloydbCluster
  • backupdr.backupPlanAssociations.fetchForAlloydbCluster
  • backupdr.backupPlanAssociations.list
  • backupdr.backupPlanAssociations.getForAlloydbCluster
  • backupdr.backupPlanAssociations.triggerBackupForAlloydbCluster
  • backupdr.backupPlanAssociations.deleteForAlloydbCluster
  • backupdr.backupPlans.useForAlloydbCluster
  • backupdr.locations.list
  • backupdr.operations.get
  • cloudasset.assets.searchAllResources

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

In der folgenden Tabelle sind die dynamischen Berechtigungen aufgeführt, die für die einzelnen API-Aufrufe erforderlich sind:

Ressource Aktion, die für die Ressource ausgeführt werden soll Für jeden API-Aufruf erforderliche Berechtigungen Projekt, dem es zugewiesen werden muss
Backup Vault Backup Vault erstellen backupdr.backupVaults.create Administratorprojekt
Backup Vault löschen backupdr.backupVaults.delete Administratorprojekt
Backup Vault aktualisieren backupdr.backupVaults.update Administratorprojekt
Backup Vaults auflisten backupdr.backupVaults.list Administratorprojekt
Backup Vault abrufen backupdr.backupVaults.get Administratorprojekt
Sicherungsplan BackupPlan erstellen backupdr.backupPlans.create Administratorprojekt
BackupPlan löschen backupdr.backupPlans.delete Administratorprojekt
BackupPlan abrufen backupdr.backupPlans.get Administratorprojekt
Sicherungspläne auflisten backupdr.backupPlans.list Administratorprojekt
Verknüpfungen von Sicherungsplänen Verknüpfung des Sicherungsplans erstellen backupdr.backupPlanAssociations.createForAlloydbCluster Arbeitslastprojekt
Verknüpfung des Sicherungsplans löschen backupdr.backupPlanAssociations.deleteForAlloydbCluster Arbeitslastprojekt
On‑Demand-Sicherung bei Verknüpfung des Sicherungsplans auslösen backupdr.backupPlanAssociations.triggerBackupForAlloydbCluster Arbeitslastprojekt
Verknüpfung des Sicherungsplans abrufen backupdr.backupPlanAssociations.getForAlloydbCluster Arbeitslastprojekt
Verknüpfungen von Sicherungsplänen auflisten backupdr.backupPlanAssociations.list Arbeitslastprojekt
Verknüpfungen des Sicherungsplans abrufen backupdr.backupPlanAssociations.fetchForAlloydbCluster Arbeitslastprojekt
Datenquelle DataSource abrufen backupdr.bvdataSources.get Administratorprojekt
DataSources auflisten backupdr.bvdataSources.list Administratorprojekt
Wiederherstellung zu einem bestimmten Zeitpunkt backupdr.bvdataSources.useReadOnlyForAlloydbCluster Administratorprojekt
Sicherungen Sicherung abrufen backupdr.bvbackups.get Administratorprojekt
Sicherungen auflisten backupdr.bvbackups.list Administratorprojekt
Sicherung löschen backupdr.bvbackups.delete Administratorprojekt
Sicherung wiederherstellen backupdr.bvbackups.useReadOnlyForAlloydbCluster Administratorprojekt
Datenquellenverweise DataSource-Referenz abrufen backupdr.dataSourceReferences.getForAlloydbCluster Arbeitslastprojekt
DataSource-Referenzen abrufen backupdr.dataSourceReferences.fetchForAlloydbCluster Arbeitslastprojekt
Vorgänge Vorgänge auflisten backupdr.operations.list Entsprechendes Projekt
Vorgänge abrufen backupdr.operations.get Entsprechendes Projekt

Zugriff auf das Sicherungsvault im AlloyDB for PostgreSQL-Projekt gewähren

Wenn Sie einen AlloyDB-Cluster in einem anderen Projekt als dem, in dem der Backup Vault erstellt wird, sichern möchten, müssen Sie dem Backup Vault-Dienst-Agenten im AlloyDB-Projekt die IAM-Rolle „Backup and DR AlloyDB Operator“ (roles/backupdr.alloydbOperator) gewähren. Wenn sich das Backup Vault-Projekt, in dem die Sicherungen gespeichert werden, vom AlloyDB-Projekt unterscheidet, weisen Sie dem Backup Vault-Dienstkonto im AlloyDB-Projekt die Rolle zu.

Wenn Sie einen AlloyDB-Cluster im selben Projekt sichern möchten, in dem der Backup Vault erstellt wird, müssen keine Rollen gewährt werden.

Informationen zum Zuweisen von Rollen zum Dienst-Agent für den Sicherungstresor in dem Projekt, das Sie sichern möchten, finden Sie unter Dienst-Agent eine Rolle zuweisen.

Geplante Sicherung konfigurieren

Verwenden Sie die folgende Anleitung, um eine geplante Sicherung für AlloyDB-Cluster zu konfigurieren.

Console

  1. Rufen Sie in der Google Cloud Console die Seite „Backup and DR“ → Vaulted backups auf.

    Zu Vault-Sicherungen

  2. Klicken Sie auf Sicherung planen.

  3. Wählen Sie in der Liste Ressourcentyp die Option AlloyDB aus.

  4. Wählen Sie in der Liste Projekt ein Projekt aus, in dem sich der AlloyDB-Cluster befindet.

  5. Wählen Sie in der Liste Region die Region aus, in der sich Ihre Cluster befinden.

  6. Klicken Sie in der Liste Ressourcen auf Durchsuchen. Wählen Sie den AlloyDB-Cluster aus, den Sie sichern möchten, und klicken Sie auf Fertig.

  7. Klicken Sie auf Weiter.

  8. Klicken Sie in der Liste Sicherungsplan auf Auswählen.

  9. Wählen Sie einen Sicherungsplan aus, mit dem Sie die AlloyDB-Cluster schützen möchten.

  10. Klicken Sie auf Fertig.

  11. Prüfen Sie die Sicherungsdetails und klicken Sie auf Zeitplan.

gcloud

  1. Konfigurieren Sie eine geplante Sicherung.

      gcloud backup-dr backup-plan-associations create BACKUP_PLAN_ASSOCIATION_NAME \
      --location=ALLOYDB_REGION \
      --project=ALLOYDB_PROJECT_ID \
      --resource=projects/ALLOYDB_PROJECT_ID/clusters/ALLOYDB_CLUSTER_ID \
      --resource-type=alloydb.googleapis.com/Cluster \
      --backup-plan=projects/PROJECT_ID/locations/LOCATION/backupPlans/BACKUP_PLAN
  ```

Replace the following:
    • BACKUP_PLAN_ASSOCIATION_NAME: der Name der Sicherungsplanverknüpfung.
    • ALLOYDB_REGION: Die Region, in der sich die AlloyDB-Cluster befinden.
    • ALLOYDB_PROJECT_ID: der Name des Projekts, in dem sich die AlloyDB-Cluster befinden.
    • ALLOYDB_CLUSTER_ID: Die AlloyDB-Cluster-ID.
    • PROJECT_ID: der Name des Projekts, in dem Sicherungspläne vorhanden sind.
    • LOCATION: Der Standort des Clusters.

Cluster auflisten, für die Sicherungen geplant sind

So listen Sie die AlloyDB-Cluster auf, für die Sicherungen geplant sind:

Console

  1. Rufen Sie in der Google Cloud Console die Seite „Backup and DR“ → Vaulted backups auf.

    Zu Vault-Sicherungen

  2. Wählen Sie oben in der Tabelle Tabelle filtern > Ressourcentyp aus. Wählen Sie AlloyDB aus. Dadurch wird die Anzeige so gefiltert, dass nur die AlloyDB-Cluster angezeigt werden, auf die Sicherungspläne angewendet wurden und deren Sicherungen in einem Backup Vault innerhalb eines Projekts gespeichert sind.

gcloud

AlloyDB-Cluster auflisten, für die Sicherungen geplant sind:

  gcloud backup-dr backup-plan-associations fetch-for-resource-type alloydb.googleapis.com/Cluster \
  --location=LOCATION \
  --project=PROJECT_ID

Ersetzen Sie Folgendes:

  • LOCATION: der Speicherort der geplanten Sicherungen.
  • PROJECT_ID: der Name des Projekts, in dem sich die AlloyDB-Cluster befinden.

On-Demand-Sicherung erstellen

Sie können eine On‑Demand-Sicherung für einen AlloyDB-Cluster mit einem Sicherungsplan initiieren, indem Sie die Sicherungsregel Ihrer Wahl so auslösen, dass sie sofort ausgeführt wird. Bei On‑Demand-Sicherungen werden in der Regel nur die Daten erfasst, die sich seit der letzten Sicherung geändert haben (inkrementell).

Wenn Sie eine On-Demand-Sicherung erstellen, können Sie eine Regel aus dem Sicherungsplan auswählen, der dem AlloyDB-Cluster zugeordnet ist. Diese Regel bestimmt, wann die On-Demand-Sicherung gelöscht wird. Sie können den Status des Back-up-Jobs auf der Seite Jobs prüfen. Weitere Informationen finden Sie unter Sicherungs- und Wiederherstellungsjobs in der Google Cloud -Konsole überwachen.

So erstellen Sie eine On-Demand-Sicherung:

Console

  1. Rufen Sie in der Google Cloud Console die Seite „Backup and DR“ → Vaulted backups auf.

    Zu Vault-Sicherungen

    Auf der Seite Vaulted backups (Gesicherte Back-ups) werden nur die Datenressourcen aufgeführt, auf die Sicherungspläne angewendet wurden und deren Back-ups in einem Backup Vault innerhalb eines Projekts gespeichert sind.

  2. Wählen Sie die Ressource aus, die gesichert werden soll. Wählen Sie entweder im Menü  oder auf der Detailseite der Ressource die Option On-Demand-Sicherung erstellen aus.

  3. Geben Sie mit einer der folgenden Optionen an, wann die Sicherung gelöscht werden soll:

    • Auf Basis der benutzerdefinierten Aufbewahrungsdauer (Vorabversion): Sie können Ihrem Sicherungsplan eine benutzerdefinierte On-Demand-Aufbewahrungsdauer hinzufügen. Standardmäßig ist diese auf die erzwungene Mindestaufbewahrungsdauer des Sicherungs-Vaults plus 30 Tage festgelegt.
    • Auf Basis einer vorhandenen Sicherungsregel: Wählen Sie die vorhandene Regel im Drop-down-Menü Sicherungen löschen nach aus.

  4. Klicken Sie auf Erstellen, um mit der Erstellung der On-Demand-Sicherung zu beginnen.

  5. Klicken Sie auf Benachrichtigungen, um den Status des On-Demand-Sicherungsjobs aufzurufen.

gcloud

Erstellen Sie eine On-Demand-Sicherung mit einer der folgenden Optionen:

  • Basierend auf einer Sicherungsregel:

    gcloud backup-dr backup-plan-associations trigger-backup BACKUP_PLAN_ASSOCIATION_NAME \
--backup-rule-id=RULE_ID \
--project=PROJECT_ID \
--location=LOCATION \
[--no-async]

  • Basierend auf der benutzerdefinierten Aufbewahrung:

    gcloud backup-dr backup-plan-associations trigger-backup BACKUP_PLAN_ASSOCIATION_NAME \
--custom-retention-days=CUSTOM_RETENTION \
--project=PROJECT_ID \
--location=LOCATION \
--labels=LABELS

    Ersetzen Sie Folgendes:

    • BACKUP_PLAN_ASSOCIATION_NAME: der Name der Zuordnung des Sicherungsplans.

    • RULE_ID: Der Name der Sicherungsregel, die Sie für die Ausführung von On-Demand-Sicherungen verknüpfen möchten.

    • PROJECT_ID: der Name des Projekts.

    • LOCATION: der Speicherort der geplanten Sicherungen.

    • CUSTOM_RETENTION: Der benutzerdefinierte Aufbewahrungszeitraum in Tagen für diese On-Demand-Sicherung. Dieser Wert muss gleich oder größer als die Aufbewahrungsdauer des Backup Vaults und kleiner oder gleich dem Wert „max-custom-on-demand-retention-days“ sein, der im Sicherungsplan konfiguriert ist (oder die Aufbewahrungsdauer des Vaults + 30 Tage, wenn „max-custom-on-demand-retention-days“ nicht konfiguriert ist).

    • LABELS: optionale Labels für das Backup als kommagetrennte Schlüssel/Wert-Paare wie webserver=backend,media=images.

Sicherungsplan für einen AlloyDB-Cluster ändern

Sie können den auf einen AlloyDB-Cluster angewendeten Sicherungsplan in einen anderen Sicherungsplan ändern. Der andere Sicherungsplan muss die folgenden Kriterien erfüllen:

  • Dasselbe Backup Vault verwenden
  • Muss sich in derselben Region wie der AlloyDB-Cluster befinden

So ändern Sie den Sicherungsplan, der einem AlloyDB-Cluster zugeordnet ist:

Console

  1. Rufen Sie in der Google Cloud Console die Seite „Backup and DR“ → Vaulted backups (Gesicherte Back-ups) auf.

    Zu Vault-Sicherungen

    Auf der Seite Vaulted backups (Gesicherte Back-ups) werden nur die Datenressourcen aufgeführt, auf die Sicherungspläne angewendet wurden und deren Back-ups in einem Backup Vault innerhalb eines Projekts gespeichert sind.

  2. Wählen Sie die Sicherung aus, für die ein anderer Tarif gelten soll. Wählen Sie entweder auf der Detailseite für das Backup oder im -Menü die Option Sicherungsplan ändern aus. Im Fenster Sicherungsplan auswählen werden nur die Sicherungspläne aufgeführt, die für diesen Cluster gültig sind.

  3. Wählen Sie einen Sicherungsplan aus und klicken Sie auf Anwenden.

gcloud

  • Den zugewiesenen Sicherungsplan ändern.

      gcloud backup-dr backup-plan-associations update BACKUP_PLAN_ASSOCIATION_NAME \
  --workload-project=ALLOYDB_PROJECT_ID \
  --location=ALLOYDB_REGION \
  --backup-plan=BACKUP_PLAN \
  --project=PROJECT_ID

    Ersetzen Sie Folgendes:

    • BACKUP_PLAN_ASSOCIATION_NAME: der Name der Ressource für die Zuordnung des Sicherungsplans.
    • ALLOYDB_PROJECT_ID: Die Projekt-ID des AlloyDB-Clusters.
    • ALLOYDB_REGION: Der Standort des AlloyDB-Clusters.
    • BACKUP_PLAN: der Name des Sicherungsplans, zu dem Sie wechseln.
    • PROJECT_ID: die Projekt-ID des ausgewählten Sicherungsplans.

Schutz eines AlloyDB-Clusters aufheben

Sie können den Schutz eines AlloyDB-Clusters aufheben, indem Sie den auf den Cluster angewendeten Sicherungsplan entfernen. Wenn Sie einen Sicherungsplan aus einem AlloyDB-Cluster entfernen, werden keine Sicherungen gelöscht, die erstellt wurden, als der Sicherungsplan verwendet wurde. Sie können weiterhin auf diese vorhandenen Sicherungen zugreifen und sie verwalten, bis sie ablaufen.

Folgen Sie dieser Anleitung, um den Schutz eines AlloyDB-Clusters aufzuheben.

Console

  1. Rufen Sie in der Google Cloud Console die Seite „Backup and DR“ → Vaulted backups auf.

    Zu Vault-Sicherungen

  2. Klicken Sie auf den Namen der Datenbank, aus der Sie einen Sicherungsplan entfernen möchten.

  3. Wählen Sie Sicherungsplan entfernen aus.

gcloud

Schutz eines AlloyDB-Clusters aufheben

  gcloud backup-dr backup-plan-associations delete BACKUP_PLAN_ASSOCIATION_NAME \
  --project=PROJECT_ID \
  --location=LOCATION

Ersetzen Sie Folgendes:

  • BACKUP_PLAN_ASSOCIATION_NAME: der Name der Zuordnung des Sicherungsplans, die Sie löschen möchten.
  • PROJECT_ID: der Name des Projekts.
  • LOCATION: der Speicherort der geplanten Sicherung.

AlloyDB-Clustersicherungen verschlüsseln

Im Gegensatz zu einigen anderen Arbeitslasten wird bei AlloyDB-Clustersicherungen der Backup Vault-Schlüssel von Backup and DR verwendet, um die Sicherung zu verschlüsseln, und nicht der Quellclusterschlüssel. Weitere Informationen zu vom Kunden verwalteten Verschlüsselungsschlüsseln finden Sie unter Vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK).

Inkrementelle Sicherungen und Schlüsselrotation

Da Sicherungen inkrementell sind, kann eine einzelne Sicherung mit mehreren Cloud Key Management Service-Schlüsselversionen des Tresorschlüssels verschlüsselt werden, wenn die Schlüsselversion im Laufe der Zeit rotiert wurde.

Schlüssel-Tracking

Auf der Seite zur Schlüsselverfolgung von Cloud Key Management Service können Sie die Cloud Key Management Service-Schlüsselversionen, die für eine bestimmte Sicherung verwendet werden, im Blick behalten.

Nächste Schritte