Eseguire il backup dei cluster AlloyDB in un vault di backup

Questa pagina descrive come eseguire il backup di AlloyDB in un vault di backup. L'invio dei backup a un vault di backup fornisce immutabilità e conservazione forzata.

Nota :attiva la prova introduttiva di 30 giorni per Backup e DR per esplorare una soluzione di backup unificata e centralizzata con vault di backup immutabili.

Nella console Google Cloud , puoi eseguire il backup dei cluster AlloyDB per PostgreSQL in un vault di backup applicando i piani di backup. Puoi eseguire il backup in uno di questi due modi. Entrambi i metodi consentono di archiviare i backup in modo sicuro in un vault di backup, fornendo un modo affidabile per recuperare i cluster AlloyDB in caso di perdita di dati o altri eventi imprevisti.

• Backup pianificati. Puoi eseguire automaticamente il backup dei cluster AlloyDB per PostgreSQL a intervalli specifici, ad esempio giornalieri, settimanali, mensili o annuali.
• Backup on demand. Puoi creare backup on demand ogni volta che ne hai bisogno. I backup on demand sono utili per creare backup prima di apportare modifiche significative ai database o per la protezione dei dati ad hoc.

Prima di iniziare

1. Abilita l'API Backup e DR dove si trovano i cluster AlloyDB per PostgreSQL.

   Abilitare l'API

   1. Crea un vault di backup

   2. Crea un piano di backup

      Nota: se crei un piano di backup utilizzando gcloud CLI, specifica il flag --log-retention-days=13 (o un'altra durata valida superiore alla conservazione minima forzata del vault di backup) durante la creazione del piano per attivare il recupero point-in-time (PITR). A differenza della console Google Cloud , che per impostazione predefinita utilizza un periodo di conservazione dei log consigliato di 13 giorni, la creazione programmatica di piani tramite gcloud CLI lascia la conservazione dei log disattivata se non specificata.

   3. Assegna ruoli e autorizzazioni IAM all'utente di backup

   4. Concedi l'accesso al vault di backup nel progetto AlloyDB

   5. Configura Observability Analytics nel bucket per monitorare i job di backup di Backup e RE.

Ruoli e autorizzazioni IAM per l'utente di backup

Per ottenere le autorizzazioni necessarie per configurare i backup pianificati o eseguire backup on demand, chiedi all'amministratore di concederti i seguenti ruoli IAM sul progetto del vault di backup:

• Backup and DR Backup User (roles/backupdr.backupUser)
• Visualizzatore (roles/viewer)

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per configurare i backup pianificati o eseguire backup on demand. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per configurare i backup pianificati o eseguire i backup on demand sono necessarie le seguenti autorizzazioni:

• backupdr.backupPlans.list
• backupdr.backupPlanAssociations.createForAlloydbCluster
• backupdr.backupPlanAssociations.fetchForAlloydbCluster
• backupdr.backupPlanAssociations.list
• backupdr.backupPlanAssociations.getForAlloydbCluster
• backupdr.backupPlanAssociations.triggerBackupForAlloydbCluster
• backupdr.backupPlanAssociations.deleteForAlloydbCluster
• backupdr.backupPlans.useForAlloydbCluster
• backupdr.locations.list
• backupdr.operations.get
• cloudasset.assets.searchAllResources

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

La tabella seguente elenca le autorizzazioni dinamiche richieste per ogni chiamata API:

Risorsa	Azione da eseguire sulla risorsa	Autorizzazioni richieste per ogni chiamata API	Progetto in cui deve essere assegnato
Vault di backup	Crea BackupVault	backupdr.backupVaults.create	Progetto amministratore
	Elimina BackupVault	backupdr.backupVaults.delete	Progetto amministratore
	Aggiorna BackupVault	backupdr.backupVaults.update	Progetto amministratore
	Elenca i Vault di backup	backupdr.backupVaults.list	Progetto amministratore
	Recuperare BackupVault	backupdr.backupVaults.get	Progetto amministratore
Piano di backup	Crea BackupPlan	backupdr.backupPlans.create	Progetto amministratore
	Elimina BackupPlan	backupdr.backupPlans.delete	Progetto amministratore
	Recupera BackupPlan	backupdr.backupPlans.get	Progetto amministratore
	Elenco dei piani di backup	backupdr.backupPlans.list	Progetto amministratore
Associazioni del piano di backup	Crea associazione piano di backup	backupdr.backupPlanAssociations.createForAlloydbCluster	Progetto di workload
	Elimina l'associazione del piano di backup	backupdr.backupPlanAssociations.deleteForAlloydbCluster	Progetto di workload
	Attivare un backup on demand in Associazione piano di backup	backupdr.backupPlanAssociations.triggerBackupForAlloydbCluster	Progetto di workload
	Ottieni l'associazione del piano di backup	backupdr.backupPlanAssociations.getForAlloydbCluster	Progetto di workload
	List Backup Plan Associations	backupdr.backupPlanAssociations.list	Progetto di workload
	Recupera associazioni del piano di backup	backupdr.backupPlanAssociations.fetchForAlloydbCluster	Progetto di workload
Origine dati	Recupero origine dati	backupdr.bvdataSources.get	Progetto amministratore
	List DataSources	backupdr.bvdataSources.list	Progetto amministratore
	Ripristino PiTR	backupdr.bvdataSources.useReadOnlyForAlloydbCluster	Progetto amministratore
Backup	Recupera backup	backupdr.bvbackups.get	Progetto amministratore
	Elenco backup	backupdr.bvbackups.list	Progetto amministratore
	Elimina backup	backupdr.bvbackups.delete	Progetto amministratore
	Ripristina backup	backupdr.bvbackups.useReadOnlyForAlloydbCluster	Progetto amministratore
Riferimenti all'origine dati	Get DataSource Reference	backupdr.dataSourceReferences.getForAlloydbCluster	Progetto di workload
	Recupera riferimenti sorgente dati	backupdr.dataSourceReferences.fetchForAlloydbCluster	Progetto di workload
Operazioni	Elenco operazioni	backupdr.operations.list	Progetto in questione
	Operazioni "Get"	backupdr.operations.get	Progetto in questione

Concedi l'accesso al vault di backup nel progetto AlloyDB per PostgreSQL

Per eseguire il backup di un cluster AlloyDB in un progetto diverso da quello in cui viene creato il vault di backup, devi concedere il ruolo IAM operatore AlloyDB di Backup e DR (roles/backupdr.alloydbOperator) al service agent del vault di backup all'interno del progetto AlloyDB. Se il progetto del vault di backup in cui verranno archiviati i backup è diverso dal progetto AlloyDB, assegna il ruolo all'agente di servizio del vault di backup all'interno del progetto AlloyDB.

Per eseguire il backup di un cluster AlloyDB nello stesso progetto in cui viene creato il vault di backup, non è necessario concedere ruoli.

Per informazioni sulla concessione di ruoli al service agent del vault di backup all'interno del progetto di cui vuoi eseguire il backup, consulta Concedi un ruolo al service agent.

Configura un backup pianificato

Per configurare un backup pianificato per i cluster AlloyDB, segui queste istruzioni.

Console

1. Nella console Google Cloud , vai alla pagina Backup e RE Backup protetti.

   Vai ai backup archiviati nel vault

2. Fai clic su Pianifica backup.

3. Dall'elenco Tipo di risorsa, seleziona AlloyDB.

4. Dall'elenco Progetto, seleziona un progetto in cui si trova il cluster AlloyDB.

5. Nell'elenco Regione, seleziona la regione in cui si trovano i tuoi cluster.

6. Nell'elenco Risorse, fai clic su Sfoglia. Scegli il cluster AlloyDB di cui vuoi eseguire il backup e fai clic su Fine.

7. Fai clic su Continua.

8. Nell'elenco Piano di backup, fai clic su Seleziona.

9. Scegli un piano di backup con cui vuoi proteggere i cluster AlloyDB.

10. Fai clic su Fine.

11. Controlla i dettagli del backup e fai clic su Pianifica.

gcloud

1. Configura un backup pianificato.

     gcloud backup-dr backup-plan-associations create BACKUP_PLAN_ASSOCIATION_NAME \
         --location=ALLOYDB_REGION \
         --project=ALLOYDB_PROJECT_ID \
         --resource=projects/ALLOYDB_PROJECT_ID/clusters/ALLOYDB_CLUSTER_ID \
         --resource-type=alloydb.googleapis.com/Cluster \
         --backup-plan=projects/PROJECT_ID/locations/LOCATION/backupPlans/BACKUP_PLAN
     ```
   
   Replace the following:
   

   • BACKUP_PLAN_ASSOCIATION_NAME: il nome dell'associazione del piano di backup.
   • ALLOYDB_REGION: la regione in cui si trovano i cluster AlloyDB.
   • ALLOYDB_PROJECT_ID: il nome del progetto in cui si trovano i cluster AlloyDB.
   • ALLOYDB_CLUSTER_ID: l'ID cluster AlloyDB.
   • PROJECT_ID: il nome del progetto in cui esistono i piani di backup.
   • LOCATION: la posizione del cluster.

Elenca i cluster per i quali sono pianificati i backup

Per elencare i cluster AlloyDB per i quali sono pianificati i backup, segui queste istruzioni.

Console

1. Nella console Google Cloud , vai alla pagina Backup e RE Backup protetti.

   Vai ai backup archiviati nel vault

2. Nella parte superiore della tabella, seleziona Filtra tabella > Tipo di risorsa. Seleziona AlloyDB. In questo modo, il display viene filtrato per mostrare solo i cluster AlloyDB a cui sono applicati piani di backup e i cui backup sono archiviati in un vault di backup all'interno di un progetto.

gcloud

Elenca i cluster AlloyDB per i quali sono pianificati i backup:

  gcloud backup-dr backup-plan-associations fetch-for-resource-type alloydb.googleapis.com/Cluster \
  --location=LOCATION \
  --project=PROJECT_ID

Sostituisci quanto segue:

• LOCATION: la posizione dei backup pianificati.
• PROJECT_ID: il nome del progetto in cui si trovano i cluster AlloyDB.

Crea un backup on demand

Puoi avviare un backup on demand per un cluster AlloyDB con un piano di backup attivando la regola di backup che preferisci per l'esecuzione immediata. I backup on demand in genere acquisiscono solo i dati modificati dall'ultimo backup (incrementale).

Quando crei un backup on demand, puoi scegliere una regola dal piano di backup associato al cluster AlloyDB. Questa regola determina quando viene eliminato il backup on demand. Puoi controllare lo stato del job di backup dalla pagina Job. Per saperne di più, consulta Monitorare i job di backup e ripristino nella console Google Cloud .

Nota: puoi eseguire un solo job di backup alla volta. Se è già in corso un job di backup on demand o pianificato, il tentativo di avviare un altro job di backup on demand non va a buon fine e viene visualizzato l'errore Unable to queue the operation.

Utilizza le seguenti istruzioni per creare un backup on demand.

Console

1. Nella console Google Cloud , vai alla pagina Backup e RE Backup protetti.

   Vai ai backup archiviati nel vault

   La pagina Backup protetti elenca solo le risorse di dati a cui sono applicati piani di backup e i cui backup sono archiviati in un vault di backup all'interno di un progetto.

2. Seleziona la risorsa di cui eseguire il backup. Dal menu o dalla pagina dei dettagli della risorsa, seleziona Crea backup on demand.

3. Specifica quando eliminare il backup utilizzando una delle seguenti opzioni:

   • In base al periodo di conservazione personalizzato (anteprima): aggiungi un periodo di conservazione on demand personalizzato al piano di backup, che per impostazione predefinita è impostato sul periodo di conservazione minimo applicato del vault di backup, più 30 giorni aggiuntivi.
   • In base a una regola di backup esistente: seleziona la regola esistente dal menu a discesa Elimina backup dopo.

4. Fai clic su Crea per avviare la creazione del backup on demand.

5. Per visualizzare lo stato del job di backup on demand, fai clic su Notifiche.

Nota: il backup on demand viene archiviato nel vault di backup configurato con il piano di backup associato.

gcloud

Crea un backup on demand utilizzando una delle seguenti opzioni:

• In base a una regola di backup:

  gcloud backup-dr backup-plan-associations trigger-backup BACKUP_PLAN_ASSOCIATION_NAME \
  --backup-rule-id=RULE_ID \
  --project=PROJECT_ID \
  --location=LOCATION \
  [--no-async]
  

• In base alla conservazione personalizzata:

  gcloud backup-dr backup-plan-associations trigger-backup BACKUP_PLAN_ASSOCIATION_NAME \
  --custom-retention-days=CUSTOM_RETENTION \
  --project=PROJECT_ID \
  --location=LOCATION \
  --labels=LABELS
  

  Sostituisci quanto segue:

  • BACKUP_PLAN_ASSOCIATION_NAME: il nome dell'associazione del piano di backup.

    Nota: per ottenere un elenco dei piani di backup associati al cluster AlloyDB, esegui il comando gcloud backup-dr backup-plan-associations fetch-for-resource-type alloydb.googleapis.com/Cluster --location=LOCATION --project=PROJECT_ID

  • RULE_ID: il nome della regola di backup che vuoi associare per eseguire i backup on demand.

  • PROJECT_ID: il nome del progetto.

  • LOCATION: la posizione dei backup pianificati.

  • CUSTOM_RETENTION: Il periodo di conservazione personalizzato in giorni per questo backup on demand. Questo valore deve essere uguale o superiore al periodo di conservazione del vault di backup e inferiore o uguale al valore max-custom-on-demand-retention-days configurato nel piano di backup (o al periodo di conservazione del vault + 30 giorni se max-custom-on-demand-retention-days non è configurato).

  • LABELS: etichette facoltative per il backup come coppie chiave-valore separate da virgole, ad esempio webserver=backend,media=images.

Modificare il piano di backup applicato a un cluster AlloyDB

Puoi modificare il piano di backup applicato a un cluster AlloyDB con un altro piano di backup. L'altro piano di backup deve soddisfare i seguenti criteri:

• Utilizzare lo stesso vault di backup
• Trovarsi nella stessa regione del cluster AlloyDB

Segui le istruzioni riportate di seguito per modificare il piano di backup associato a un cluster AlloyDB.

Console

1. Nella console Google Cloud , vai alla pagina Backup protetti di Backup e RE.

   Vai ai backup archiviati nel vault

   La pagina Backup protetti elenca solo le risorse di dati a cui sono applicati piani di backup e i cui backup sono archiviati in un vault di backup all'interno di un progetto.

2. Seleziona il backup a cui verrà assegnato un piano diverso. Dalla pagina dei dettagli del backup o dal menu , seleziona Modifica piano di backup. La finestra Seleziona un piano di backup elenca solo i piani di backup validi per questo cluster.

3. Seleziona un piano di backup e fai clic su Applica.

gcloud

• Modifica il piano di backup assegnato.

    gcloud backup-dr backup-plan-associations update BACKUP_PLAN_ASSOCIATION_NAME \
    --workload-project=ALLOYDB_PROJECT_ID \
    --location=ALLOYDB_REGION \
    --backup-plan=BACKUP_PLAN \
    --project=PROJECT_ID
  

  Sostituisci quanto segue:

  • BACKUP_PLAN_ASSOCIATION_NAME: il nome della risorsa di associazione del piano di backup.
  • ALLOYDB_PROJECT_ID: l'ID progetto del cluster AlloyDB.
  • ALLOYDB_REGION: la posizione del cluster AlloyDB.
  • BACKUP_PLAN: il nome del piano di backup a cui stai passando.
  • PROJECT_ID: l'ID progetto del piano di backup selezionato.

Rimuovere la protezione di un cluster AlloyDB

Puoi rimuovere la protezione di un cluster AlloyDB rimuovendo il piano di backup applicato al cluster. La rimozione di un piano di backup da un cluster AlloyDB non elimina i backup creati durante l'utilizzo del piano di backup. Puoi comunque accedere a questi backup esistenti e gestirli fino alla loro scadenza.

Per rimuovere la protezione di un cluster AlloyDB, segui queste istruzioni.

Console

1. Nella console Google Cloud , vai alla pagina Backup e RE Backup protetti.

   Vai ai backup archiviati nel vault

2. Fai clic sul nome del database da cui vuoi rimuovere un piano di backup.

3. Seleziona Rimuovi piano di backup.

gcloud

Rimuovi la protezione da un cluster AlloyDB.

  gcloud backup-dr backup-plan-associations delete BACKUP_PLAN_ASSOCIATION_NAME \
  --project=PROJECT_ID \
  --location=LOCATION

Sostituisci quanto segue:

• BACKUP_PLAN_ASSOCIATION_NAME: il nome dell'associazione del piano di backup che vuoi eliminare.
• PROJECT_ID: il nome del progetto.
• LOCATION: la posizione del backup pianificato.

Cripta i backup del cluster AlloyDB

A differenza di altri workload, i backup dei cluster AlloyDB utilizzano la chiave del vault di backup di Backup eRER per criptare il backup, anziché la chiave del cluster di origine. Per saperne di più sulle chiavi di crittografia gestite dal cliente, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Importante: l'agente di servizio di Backup e RE richiede l'accesso a Cloud Key Management Service CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) alla chiave del vault per eseguire correttamente le operazioni di backup e ripristino.

Backup incrementali e rotazione della chiave

Poiché i backup sono incrementali, un singolo backup può essere criptato da più versioni della chiave Cloud Key Management Service della chiave del vault se la versione della chiave è stata ruotata nel tempo.

Monitoraggio delle chiavi

Puoi fare riferimento alla pagina di monitoraggio delle chiavi di Cloud Key Management Service per monitorare e tenere traccia delle versioni delle chiavi di Cloud Key Management Service utilizzate per un determinato backup.

Passaggi successivi

• Ripristina un cluster AlloyDB da un vault di backup
• Gestire le origini dati nella console Google Cloud
• Gestire i backup nella console Google Cloud