In diesem Dokument wird beschrieben, wie Sie einen AlloyDB Cluster aus einem Backup Vault mit der Google Cloud console oder der gcloud CLI wiederherstellen. Es wird beschrieben, wie Sie eine Wiederherstellung aus einer Vault-Sicherung durchführen oder eine Wiederherstellung zu einem bestimmten Zeitpunkt (Point-In-Time Recovery, PITR) ausführen.
Weitere Informationen zu den konzeptionellen Funktionen von Backup und DR finden Sie unter Übersicht über Backup und DR. Wenn Sie Ihre Datenbanken zuerst sichern möchten, lesen Sie AlloyDB-Cluster in einem Backup Vault sichern.
Optionen zur Notfallwiederherstellung für Ihre AlloyDB-Cluster
In einem Backup Vault gespeicherte Sicherungen sind unabhängig vom Lebenszyklus und Projekt des Quellclusters.
Sie können Sicherungen auch dann wiederherstellen, wenn das ursprüngliche Arbeitslastprojekt mit dem AlloyDB-Quellcluster gelöscht wurde. Das liegt daran, dass die erforderlichen Entschlüsselungsberechtigungen für CMEK-verschlüsselte Sicherungen an den Dienst-Agent für Backup und DR im Projekt des Backup Vault und nicht an das Arbeitslastprojekt gebunden sind. So bleiben Ihre Sicherungen zugänglich und wiederherstellbar, solange der Backup Vault und der Vault-Schlüssel von Cloud Key Management Service intakt sind und der Dienst-Agent Berechtigungen hat.
Hinweis
Bevor Sie einen AlloyDB-Cluster aus einer Vault-Sicherung wiederherstellen, müssen Sie die erforderlichen Rollen und Berechtigungen haben.
Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Wiederherstellen eines AlloyDB-Clusters aus einer Vault-Sicherung benötigen:
-
Zum Erstellen des Wiederherstellungsziels:
AlloyDB-Administrator (
roles/alloydb.admin) für das Projekt, in dem sich der Zielcluster befindet -
Zum Lesen der Sicherung aus dem Vault:
Backup and DR Restore User (
roles/backupdr.restoreUser) für das Projekt, in dem sich die Quellsicherung befindet
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Wiederherstellen eines AlloyDB-Clusters aus einer Vault-Sicherung erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen , um die notwendigen Berechtigungen anzuzeigen, die erforderlich sind:
Erforderliche Berechtigungen
Die folgenden Berechtigungen sind erforderlich, um einen AlloyDB-Cluster aus einer Vault-Sicherung wiederherzustellen:
-
Zum Erstellen des Wiederherstellungsziels:
alloydb.clusters.restore -
Zum Lesen der Sicherung aus dem Vault:
-
backupdr.bvbackups.useReadOnlyForAlloydbCluster -
backupdr.bvdataSources.useReadOnlyForAlloydbCluster
-
Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.
Rollen für Dienst-Agents und Anforderungen an die Schlüsselversion
Da Sicherungen inkrementell sind, kann eine einzelne Sicherung mit mehreren Cloud Key Management Service-Schlüsselversionen des Vault-Schlüssels verschlüsselt werden, wenn der Schlüssel im Laufe der Zeit rotiert wurde. Damit der Wiederherstellungsvorgang erfolgreich ist, müssen die folgenden Voraussetzungen erfüllt sein:
Alle Cloud Key Management Service-Schlüsselversionen des Vault-Schlüssels, die für eine inkrementelle Sicherung verwendet wurden, müssen vorhanden sein.
Der Dienst-Agent für Backup und DR im Projekt des Backup Vault muss die Rolle Cloud KMS CryptoKey Encrypter/Decrypter (
roles/cloudkms.cryptoKeyEncrypterDecrypter) für den Vault-Schlüssel haben, der für die Sicherung verwendet wurde.
KMS-Schlüsselverhalten des wiederhergestellten Clusters
Wenn während des Wiederherstellungsvorgangs kein bestimmter CMEK angegeben wird, wird der wiederhergestellte Cluster standardmäßig mit einem verschlüsselt Google-managed encryption key. Er wird nicht automatisch mit dem Vault-Schlüssel oder dem ursprünglichen Quellclusterschlüssel verschlüsselt.
Wenn während der Wiederherstellungskonfiguration ein CMEK angegeben wird, wird der wiederhergestellte Cluster mit dem neu angegebenen Schlüssel verschlüsselt.
AlloyDB-Cluster aus einer Vault-Sicherung wiederherstellen
Führen Sie die Aufgaben in den folgenden Abschnitten aus, um einen AlloyDB for PostgreSQL-Cluster aus einer Vault-Sicherung wiederherzustellen.
Sicherung in einem neuen Cluster wiederherstellen
Console
Rufen Sie in der Google Cloud console die Seite Vault-Sicherungen auf.
Wählen Sie die Sicherung aus, die Sie wiederherstellen möchten. Wählen Sie auf der Seite Sicherungsdetails für die Sicherung oder im Menü die Option Wiederherstellen aus.
Die Seite Sicherung wiederherstellen wird angezeigt. Das Feld Ressourcentyp ist mit
AlloyDBvorab ausgefüllt.Wählen Sie unter Ressourcenname den AlloyDB -Cluster aus, der wiederhergestellt werden soll.
Klicken Sie auf Sicherung. Ein Bereich mit allen verfügbaren Sicherungen wird angezeigt.
Wählen Sie die Sicherung aus, die wiederhergestellt werden soll.
Wählen Sie unter Ziel für die Wiederherstellung auswählen das Projekt aus, in dem Sie den AlloyDB-Cluster wiederherstellen möchten.
Klicken Sie auf Weiter.
Auf der nächsten Seite werden die bisherigen Wiederherstellungsdetails angezeigt und Sie werden aufgefordert, einen neuen Cluster zu konfigurieren. Dadurch wird ein neuer AlloyDB-Cluster basierend auf der in der Sicherung gespeicherten Konfiguration erstellt. Sie können den Cluster nach Abschluss der Wiederherstellung anpassen.
Geben Sie eine neue Cluster-ID mit Kleinbuchstaben, Ziffern und Bindestrichen ein, die mit einem Buchstaben beginnt.
Wählen Sie eine private Verbindungsmethode aus. Dienste in Google Cloud oder von Drittanbietern gehosteten VPC-Netzwerken können auf zwei Arten ohne Zuweisung externer IP-Adressen verbunden werden:
Zugriff auf private Dienste: Weist den Cluster über eine Peering-Verbindung einem einzelnen VPC-Netzwerk zu. Verwenden Sie diese Option, wenn Sie eine Verbindung zu bestimmten Google Cloud und Drittanbieterdiensten im selben VPC Netzwerk wie der AlloyDB-Cluster herstellen. Dazu sind zusätzliche APIs erforderlich.
Private Service Connect: Ermöglicht den Clusterzugriff aus einem oder mehreren VPC-Netzwerken über Zulassungslisten und Private Service Connect-Endpunkte.
gcloud
gcloud beta alloydb clusters restore RESTORED_CLUSTER_ID \
--project=WORKLOAD_PROJECT_ID \
--region=REGION \
--backupdr-backup=BACKUP_NAME
Ersetzen Sie Folgendes:
RESTORED_CLUSTER_ID: Die ID des neuen AlloyDB-Clusters, den Sie wiederherstellen.WORKLOAD_PROJECT_ID: Die ID des Projekts, in dem Sie den AlloyDB-Cluster wiederherstellen möchten.REGION: die Google Cloud Region, in der Sie den AlloyDB-Cluster wiederherstellen möchten.BACKUP_NAME: Der Name der Sicherung, die Sie wiederherstellen möchten.
Primäre Instanz erstellen
Nachdem Backup und DR den Cluster erstellt hat, erstellen Sie eine primäre Instanz dafür.
Beim Erstellen der neuen primären Instanz müssen Sie ihre Konfiguration angeben, einschließlich Größe und Flags. Backup und DR speichert die Instanzkonfiguration nicht als Teil der Sicherung. Die Konfiguration muss nicht genau mit der der ursprünglichen primären Instanz übereinstimmen.
Wenn Backup und DR die Instanz erstellt hat, können Sie damit auf Ihre wiederhergestellten Daten zugreifen.
Lesepoolinstanzen einrichten
Konfigurieren Sie den neuen Cluster fertig, indem Sie bei Bedarf Lesepoolinstanzen einrichten.
AlloyDB-Cluster zu einem bestimmten Zeitpunkt wiederherstellen
Führen Sie die Aufgaben in den folgenden Abschnitten aus, um einen AlloyDB for PostgreSQL-Cluster zu einem bestimmten Zeitpunkt wiederherzustellen.
Voraussetzungen
Für eine erfolgreiche Wiederherstellung zu einem bestimmten Zeitpunkt (Point-In-Time Recovery, PITR) eines CMEK-verschlüsselten Quellclusters müssen sowohl der Quellclusterschlüssel als auch der Vault-Schlüssel vorhanden und zugänglich sein.
Der AlloyDB for PostgreSQL-Dienst-Agent im Arbeitslastprojekt muss die Rolle Cloud KMS CryptoKeyEncrypter/Decrypter (
roles/cloudkms.cryptoKeyEncrypterDecrypter) für den Quellclusterschlüssel haben und der Dienst-Agent für Backup und DR im Projekt des Backup Vault muss die Rolle Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) für den Vault-Schlüssel haben.
Sicherung in einem neuen Cluster wiederherstellen
Console
Rufen Sie in der Google Cloud console die Seite Vault-Sicherungen auf.
Auf der Seite Vault-Sicherungen werden nur die Datenressourcen aufgeführt, auf die Sicherungspläne angewendet wurden und deren Sicherungen in einem Backup Vault innerhalb dieses Projekts gespeichert sind.
Wählen Sie oben in der Liste der Sicherungen Wiederherstellung zu einem bestimmten Zeitpunkt aus.
Der Bereich Wiederherstellung zu einem bestimmten Zeitpunkt in einem neuen Cluster wird angezeigt. Hier wählen Sie den Zeitpunkt aus, zu dem die Wiederherstellung erfolgen soll, und die Details des neuen Clusters, den Sie erstellen.
Geben Sie für die Wiederherstellung der Clusterdaten eine Zielzeit innerhalb des Wiederherstellungsfensters dieses Clusters ein.
Konfigurieren Sie einen neuen Cluster. Dadurch wird ein neuer AlloyDB-Cluster basierend auf der in der Sicherung gespeicherten Konfiguration erstellt. Sie können den Cluster nach Abschluss der Wiederherstellung anpassen.
Geben Sie eine neue Cluster-ID mit Kleinbuchstaben, Ziffern und Bindestrichen ein, die mit einem Buchstaben beginnt.
Wählen Sie eine private Verbindungsmethode aus. Dienste in Google Cloud oder von Drittanbietern gehosteten VPC-Netzwerken können auf zwei Arten ohne Zuweisung externer IP-Adressen verbunden werden:
Zugriff auf private Dienste: Weist den Cluster über eine Peering-Verbindung einem einzelnen VPC-Netzwerk zu. Verwenden Sie diese Option, wenn Sie eine Verbindung zu bestimmten Google Cloud und Drittanbieterdiensten im selben VPC Netzwerk wie der AlloyDB-Cluster herstellen. Dazu sind zusätzliche APIs erforderlich.
Private Service Connect: Ermöglicht den Clusterzugriff aus einem oder mehreren VPC-Netzwerken über Zulassungslisten und Private Service Connect Endpunkte.
gcloud
Suchen Sie die Datenquellen-ID mit dem folgenden Befehl:
gcloud backup-dr data-source-references fetch-for-resource-type alloydb.googleapis.com/Cluster \ --location=REGION \ --project=WORKLOAD_PROJECT_ID \ --filter='dataSourceGcpResourceInfo.gcp_resourcename="projects/WORKLOAD_PROJECT_NUMBER/locations/REGION/clusters/CLUSTER_NAME'Stellen Sie den Cluster mit der Datenquellen-ID wieder her, die Sie im vorherigen Schritt gefunden haben:
gcloud beta alloydb clusters restore RESTORED_CLUSTER_ID \ --project=WORKLOAD_PROJECT_ID \ --region=REGION \ --backupdr-data-source=projects/VAULT_PROJECT_ID/locations/REGION/backupVaults/BV_ID/dataSources/DS_ID \ --point-in-time=POINT_IN_TIMEErsetzen Sie Folgendes:
WORKLOAD_PROJECT_ID: Die ID des Projekts, in dem Sie den AlloyDB-Cluster wiederherstellen möchten.REGION: die Google Cloud Region, in der Sie den AlloyDB-Cluster wiederherstellen möchten.RESTORED_CLUSTER_ID: Die ID des neuen AlloyDB-Clusters, den Sie wiederherstellen.VAULT_PROJECT_ID: Die ID des Projekts, das den Backup Vault enthält.BV_ID: Die ID des Backup Vault.DS_ID: Die ID der Datenquelle.POINT_IN_TIME: Der bestimmte Zeitpunkt, zu dem Sie den Cluster wiederherstellen möchten. Ein Beispielwert ist2025-10-10T10:16:10Z.
Primäre Instanz erstellen
Nachdem Backup und DR den Cluster erstellt hat, erstellen Sie eine primäre Instanz dafür.
Beim Erstellen der neuen primären Instanz müssen Sie ihre Konfiguration angeben, einschließlich Größe und Flags. Backup und DR speichert die Instanzkonfiguration nicht als Teil der Sicherung. Die Konfiguration muss nicht genau mit der der ursprünglichen primären Instanz übereinstimmen.
Wenn Backup und DR die Instanz erstellt hat, können Sie damit auf Ihre wiederhergestellten Daten zugreifen.
Lesepoolinstanzen einrichten
Konfigurieren Sie den neuen Cluster fertig, indem Sie bei Bedarf Lesepoolinstanzen einrichten.
Sicherungen im Backup Vault auflisten
Listen Sie die Sicherungen auf und wählen Sie die Sicherung aus, die mit der gcloud CLI wiederhergestellt werden soll:
Suchen Sie die Datenquellen-ID mit dem folgenden Befehl:
gcloud backup-dr data-source-references fetch-for-resource-type alloydb.googleapis.com/Cluster \ --location=REGION \ --project=WORKLOAD_PROJECT_ID \ --filter='dataSourceGcpResourceInfo.gcp_resourcename="projects/WORKLOAD_PROJECT_NUMBER/locations/REGION/clusters/CLUSTER_NAME "' ```Listen Sie die Sicherungen mit dem folgenden Befehl auf:
gcloud backup-dr backups list \ --project=VAULT_PROJECT_ID \ --location=REGION \ --backup-vault=BV_ID \ --data-source='projects/VAULT_PROJECT_ID/locations/REGION/backupVaults/BV_ID/dataSources/DS_ID'
Ersetzen Sie Folgendes:
REGION: die Google Cloud Region.WORKLOAD_PROJECT_ID: Die ID des Projekts, in dem sich Ihr AlloyDB-Cluster befindet.WORKLOAD_PROJECT_NUMBER: Die Nummer des Projekts, in dem sich Ihr AlloyDB-Cluster befindet.CLUSTER_NAME: Der Name Ihres AlloyDB-Clusters.VAULT_PROJECT_ID: Die ID des Projekts, das den Backup Vault enthält.BV_ID: Die ID des Backup Vault.DS_ID: Die ID der Datenquelle.
Nächste Schritte
- AlloyDB-Cluster in einem Backup Vault sichern
- Datenquellen in der Google Cloud console verwalten
- Sicherungen in der Google Cloud console verwalten