יצירה וניהול של כספת גיבוי במסוף Google Cloud

סקירה כללית

במאמר הזה מוסבר איך ליצור ולנהל כספת גיבוי במסוףGoogle Cloud . מידע נוסף על כספות גיבוי זמין במאמר סקירה כללית של כספות גיבוי.

לפני שמתחילים

כדי לקבל את ההרשאות שדרושות ליצירה ולניהול של מאגר גיבויים, צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Backup and DR Backup Vault Admin (roles/backupdr.backupvaultAdmin) בפרויקט שבו רוצים ליצור מאגר גיבויים. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

זהו תפקיד שמוגדר מראש וכולל את ההרשאות שנדרשות ליצירה ולניהול של כספת גיבוי. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי ליצור ולנהל כספת גיבוי, צריך את ההרשאות הבאות:

• backupdr.backupVaults.create
• backupdr.backupVaults.list
• backupdr.backupVaults.get
• backupdr.backupVaults.update
• backupdr.backupVaults.delete
• backupdr.bvbackups.restore

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

הטלת עיכבון

כדי להגן על כספת הגיבוי מפני מחיקה בטעות, מומלץ מאוד להחיל מנעול למניעת מחיקה על הפרויקט Google Cloud שבו תאוחסן הכספת. מנעול למניעת מחיקה של פרויקט מונע את המחיקה הלא צפויה של הפרויקט ושל הגיבויים שלכם. מידע נוסף זמין במאמר בנושא הגנה על פרויקטים באמצעות שעבודים.

כדי להגן על מנעולי הפרויקט מפני הסרה לא מורשית, צריך להשתמש ב-Privileged Access Manager ‏ (PAM) כדי לאכוף קבלת אישור ממספר משתמשים. מידע נוסף זמין במאמר הגנה על מנעולים למניעת מחיקה של פרויקטים באמצעות Privileged Access Manager.

חשוב: החל מ-1 בנובמבר 2026, Backup and DR יחיל אוטומטית מנעול למניעת מחיקה ברמת הפרויקט על כל פרויקט שמכיל כספת גיבוי עם גיבויים שמוגנים על ידי שמירת נתונים.

יצירת כספת גיבוי

הערה: כשיוצרים כספת גיבוי, אפשר להגדיר שמירת גיבויים למשך תקופה מסוימת, כך שלא ניתן יהיה למחוק אותם לפני סיום התקופה. אם אתם משתתפים בתקופת הניסיון בחינם למשך 30 ימים,

תחויבו על כל הגיבויים שיישארו אחרי סיום תקופת הניסיון.

כדי ליצור כספת גיבוי:

המסוף

1. נכנסים לדף Backup vaults במסוף Google Cloud .

   מעבר לכספות גיבוי

2. לוחצים על Create backup vault (יצירת כספת גיבוי).

3. בדף Create a backup vault מזינים את פרטי כספת הגיבוי.

   1. בשדה Name your backup vault (שם כספת הגיבוי) מזינים שם שעומד בדרישות לשמות של כספות גיבוי.
   2. מהרשימה Choose where to store your data, בוחרים מיקום נתמך שבו נתוני הגיבוי יישמרו באופן קבוע.

   3. בשדה Prevent backup deletion (מניעת מחיקת גיבויים), מזינים את תקופת השמירה המינימלית שקובעת כמה זמן הגיבויים מוגנים מפני מחיקה. משך הזמן המינימלי הוא יום אחד והמקסימלי הוא 99 שנים.

      אם רוצים לנעול את הערך של תקופת השמירה המינימלית, בוחרים באפשרות נעילת תקופת השמירה, לוחצים על הסמל ובוחרים את התאריך ביומן.

      • מניעת מחיקה למשך הזמן שצוין בכלל הגיבוי: אתם יכולים להגדיר את הכספת כך שתקבל בירושה את הערך של מחיקת הגיבויים אחרי שהוגדר בתוכנית הגיבוי. אי אפשר למחוק גיבויים באופן ידני, הם יימחקו בהתאם לערך בתוכנית הגיבוי המשויכת.

      • נעילת תקופת השמירה שנאכפת: אם רוצים לנעול את הערך של תקופת השמירה המינימלית שנאכפת, מסמנים את התיבה הזו, לוחצים על הסמל ובוחרים את התאריך ביומן.

      הערה: למידע נוסף על ההבדלים בין שמירת נתונים בכפייה לבין תקופת התפוגה שמוגדרת בתוכנית הגיבוי, אפשר לעיין במאמר סקירה כללית על שמירת נתונים ב-Backup and DR.

   4. אם רוצים להשתמש במפתח הצפנה משלכם, בקטע הצפנה בוחרים באפשרות מפתח הצפנה בניהול הלקוח (CMEK) ואז בוחרים את המפתח מהתפריט הנפתח. מוצגים רק מפתחות מאותו המיקום כמו הכספת לגיבוי. אפשר להגדיר את CMEK רק כשיוצרים כספת גיבוי. פרטים נוספים על שימוש ב-CMEK זמינים במאמר בנושא הצפנה.

      למידע על ההרשאות הנדרשות, אפשר לעיין במאמר בנושא הרשאות CMEK.

   הערה: הפתרון Backup and DR תומך בהגנה באמצעות CMEK רק בגיבויים של מכונות ב-Compute Engine ושל דיסקים מתמידים (persistent disk) שמאוחסנים בכספות גיבוי.
   1. בקטע Define access to your backup vault, בוחרים באפשרות להגדרת הגבלות גישה לכספת הגיבוי. אם לא בוחרים באפשרות כלשהי, כספת הגיבוי נוצרת עם ההגבלה הגבלת הגישה לארגון הנוכחי.

4. לוחצים על יצירה.

gcloud

1. מגדירים את ה-CLI של gcloud באחת מסביבות הפיתוח הבאות:
2. ‫Cloud Shell: כדי להשתמש בטרמינל אונליין שבו כבר מוגדר ה-CLI של gcloud, צריך להפעיל את Cloud Shell. בחלק התחתון של הדף הזה מתחיל סשן של Cloud Shell ומופיעה הודעה של שורת הפקודה. הסשן יופעל תוך כמה שניות.

3. מעטפת מקומית: כדי להשתמש בסביבת פיתוח מקומית, צריך להתקין ולהפעיל את ה-CLI של gcloud.

4. יוצרים כספת גיבוי.

     gcloud backup-dr backup-vaults create BACKUPVAULT_NAME \
     --project=PROJECT_ID \
     --location=LOCATION \
     --backup-retention-inheritance=RETENTION_PERIOD_INHERITANCE \
     --backup-min-enforced-retention=RETENTION_PERIOD_IN_DAYS \
     --kms-key=KMS_KEY \
     --access-restriction=ACCESS_RESTRICTION
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫BACKUPVAULT_NAME: השם של כספת הגיבוי.
   • PROJECT_ID: השם של הפרויקט שבו רוצים ליצור את כספת הגיבוי.
   • ‫LOCATION: המיקום שבו רוצים ליצור כספת גיבוי.

   • ‫RETENTION_PERIOD_INHERITANCE: מצב ההורשה של שעת הסיום של תקופת השמירה שנאכפת בגיבוי בכספת הגיבוי הזו. אחרי שמגדירים את מצב ההורשה, אי אפשר לשנות אותו. ברירת המחדל היא inherit-vault-retention.

     • אם המדיניות מוגדרת כ-inherit-vault-retention, תקופת השמירה של הגיבוי תהיה זהה לזו של כספת הגיבוי.
     • אם המדיניות מוגדרת לערך match-backup-expire-time, תקופת שמירת הגיבוי תהיה זהה לזמן התפוגה של הגיבוי.

   • ‫RETENTION_PERIOD_IN_DAYS: התקופה שבה אי אפשר למחוק כל גיבוי בכספת הגיבויים. משך הזמן המינימלי הוא יום אחד והמקסימלי הוא 99 שנים. לדוגמה, 2w1d הוא שבועיים ויום אחד. מידע נוסף זמין במאמר בנושא תקופת השמירה המינימלית שנאכפת בכספת גיבוי.

   • ‫KMS_KEY: מפתח ההצפנה בניהול הלקוח (CMEK) שבו רוצים להשתמש להצפנה, בפורמט projects/KMS_PROJECT_ID/locations/KMS_LOCATION/keyRings/KEY_RING_NAME/cryptoKeys/KEY_NAME. אם מספקים מפתח, CMEK מופעל בכספת הגיבוי. אפשר להגדיר CMEK רק כשיוצרים כספת גיבוי. פרטים נוספים על שימוש ב-CMEK זמינים במאמר בנושא הצפנה. למידע על ההרשאות הנדרשות, אפשר לעיין במאמר בנושא הרשאות CMEK.

   • ‫ACCESS_RESTRICTION: ציון הגבלות גישה לכספת הגיבוי. הערכים המותרים הם within-project,‏ within-org,‏ unrestricted ו-within-org-but-unrestricted-for-ba. אם לא מציינים ערך, כספת הגיבוי נוצרת עם ההגבלה within-org.

   Backup and DR תומך בהגנה באמצעות CMEK רק בגיבויים של מופעי Compute Engine ודיסקים מתמידים (persistent disk) שמאוחסנים בכספות גיבוי.

5. בודקים את סטטוס הפעולה.

     gcloud backup-dr operations describe FULL_OPERATION_ID
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫FULL_OPERATION_ID מזהה הפעולה שמוצג בכספת הגיבוי. הפורמט הוא כזה: projects/test-project/locations/us-central1/operations/operationID

   הפלט מוצג כך:

   
       Create in progress for backup vault [projects/test-project/locations/us-central1/operations/operation-1721893921568-41e0dab8938a1-f1dc6ad2-3051b3ce]. Run the [gcloud backup-dr operations describe] command to check the status of this operation.
   

Terraform

אפשר להשתמש במשאב של Terraform כדי ליצור כספת גיבוי.

resource "google_backup_dr_backup_vault" "default" {
  provider                                   = google-beta
  location                                   = "us-central1"
  backup_vault_id                            = "my-vault"
  description                                = "This vault is created usingTerraform."
  backup_minimum_enforced_retention_duration = "100000s"
  force_update                               = "true"
  ignore_inactive_datasources                = "true"
  allow_missing                              = "true"
}

הצגת רשימה של כספות גיבוי בפרויקט

כדי לראות את רשימת הכספות לגיבוי בפרויקט, פועלים לפי ההוראות הבאות.

המסוף

1. נכנסים לדף Backup vaults במסוף Google Cloud .

   מעבר לכספות גיבוי

   מאגרי הגיבוי ששייכים לפרויקט שנבחר יופיעו ברשימה.

gcloud

1. הצגת רשימה של כספות הגיבוי.

     gcloud backup-dr backup-vaults list \
     --project=PROJECT_ID \
     --location=LOCATION
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROJECT_ID: השם של הפרויקט שבו נוצרו כספות הגיבוי.
   • ‫LOCATION: המיקום שבו נוצרים כספות הגיבוי.

הצגת פרטים של כספת גיבוי

בדף הפרטים של כספת הגיבוי מוצג מידע על ההגדרות, ואפשר לעדכן את הפריטים שניתנים לעריכה.

• נוצר: התאריך שבו נוצרה כספת הגיבוי.
• העדכון האחרון: התאריך האחרון שבו בוצע שינוי בכספת הגיבוי.
• תיאור: תיאור אופציונלי של כספת הגיבוי.
• סטטוס: פעיל
• סוג המיקום: אזור או מספר אזורים
• מיקום: האזור או מספר האזורים שנבחרו, למשל us-central1 (Iowa) או us.
• בייט מאוחסן: כמות הנתונים שמאוחסנים במאגר הגיבוי.
• שימור נתונים באכיפה
  • מינימום לגיבויים: בוחרים ערך מינימלי לכספת הגיבוי הזו
  • הערך מועבר בירושה מכלל הגיבוי: משתמשים בערך שכבר הוגדר בכלל גיבוי לגיבויים שיאוחסנו בכספת הגיבוי הזו.
• סטטוס נעילת השמירה
  • לא נעול: לא הוחלה נעילה על כספת הגיבוי ולא ממתינה בקשה להחלת נעילה.
  • הנעילה תיכנס לתוקף בתאריך ובשעה: הוגדרה נעילה שתתחיל לפעול בכספת הגיבוי בתאריך שצוין.
  • נעול: הערך של תקופות השמירה המינימליות שנאכפות בכספת הגיבוי נעול ואי אפשר להקטין או להסיר אותו.
• סוג ההצפנה: Google-managed encryption key
  • מפתח הצפנה: מפתח ההצפנה בניהול הלקוח שנמצא בשימוש.
• הגבלת גישה: ללא הגבלות או הגבלת הגישה לארגון הנוכחי

כדי לראות את הפרטים של כספת הגיבוי, פועלים לפי ההוראות הבאות.

המסוף

1. נכנסים לדף Backup vaults במסוף Google Cloud .

   מעבר לכספות גיבוי

   מאגרי הגיבוי שהם חלק מהפרויקט שנבחר מופיעים בדף הזה.

2. לוחצים על כספת הגיבוי שרוצים לראות.

   בדף הפרטים של כספת הגיבוי מוצג מידע על ההגדרה, כולל הערך של תקופת השמירה המינימלית שנאכפת וסטטוס הנעילה שלה.

gcloud

1. צופים בפרטים של כספת הגיבוי.

     gcloud backup-dr backup-vaults describe BACKUPVAULT_NAME \
     --location=LOCATION \
     --project=PROJECT_ID
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫BACKUPVAULT_NAME: השם של כספת הגיבוי.
   • ‫LOCATION: המיקום של כספת הגיבוי.
   • ‫PROJECT_ID: השם של הפרויקט שבו נוצרת כספת הגיבוי.

עדכון תקופת השמירה המינימלית הנאכפת בכספת גיבוי קיימת

אפשר לעדכן את תקופת השמירה המינימלית בהתאם לסטטוס של הנעילה.

• לא נעול: אפשר להאריך או לקצר את תקופת השמירה המינימלית.
• נעולה: אפשר רק להאריך את תקופת השמירה המינימלית.

אי אפשר להסיר את הנעילה אם הגיע מועד הכניסה לתוקף. עם זאת, אם עדיין לא הגיע מועד הכניסה לתוקף, אפשר להסיר את הנעילה, וכך לבטל את מועד הכניסה לתוקף שצוין במקור.

שינויים בערך של תקופת השמירה המינימלית חלים רק על גיבויים שנוצרו אחרי העדכון. שינויים בערך של תקופת השמירה המינימלית שנאכפת לא משפיעים על תקופת השמירה שנאכפת שנותרה לגיבויים שכבר קיימים בכספת הגיבוי.

כשמאריכים את תקופת השמירה שמוגדרת כחובה במאגר גיבוי, תקופת השמירה שמוגדרת כחובה במאגר הגיבוי לא יכולה להיות ארוכה יותר מתקופת השמירה בתוכנית הגיבוי של הגיבויים שמאוחסנים במאגר הגיבוי. אם הערך שהשתנה ארוך יותר מתקופת השמירה של הגיבוי, Backup and DR מטפל בשינויים האלה באופן שונה בהתאם לסוג תוכנית הגיבוי.

• Google Cloud תוכניות שמבוססות על מסוף: אי אפשר לשנות את הערך של כספת הגיבוי.

• תוכניות שמבוססות על מסוף הניהול: אפשר לשנות את הערך של מאגר הגיבוי, אבל צריך לעדכן מיד את תוכניות הגיבוי הרלוונטיות כדי לציין תקופת שמירה ששווה לתקופת השמירה המינימלית המעודכנת שנאכפת במאגר הגיבוי או ארוכה ממנה.

  גיבויים שנוצרו בזמן שתקופת השמירה בתוכנית קצרה יותר מתקופת השמירה המינימלית שנאכפת בכספת הגיבוי, נוצרים עם תקופת השמירה שנאכפת שמוגדרת כתקופת השמירה המינימלית שנאכפת בכספת הגיבוי. בנוסף, תוקף הגיבוי יפוג אחרי שתקופת השמירה שנאכפת תסתיים.

הערה: כשיוצרים כספת גיבוי, אפשר להגדיר שמירת גיבויים למשך תקופה מסוימת, כך שלא ניתן למחוק אותם לפני סיום התקופה. אם אתם משתתפים בתקופת הניסיון בחינם למשך 30 ימים,

תחויבו על כל הגיבויים שיישארו אחרי סיום תקופת הניסיון.

כדי לעדכן את תקופת השמירה המינימלית שנאכפת בכספת גיבוי קיימת, פועלים לפי ההוראות הבאות.

המסוף

1. נכנסים לדף Backup vaults במסוף Google Cloud .

   מעבר לכספות גיבוי

2. ברשימת כספות הגיבוי, לוחצים על השם של כספת הגיבוי שרוצים לעדכן.

3. לוחצים על הסמל .

4. בתיבת הדו-שיח עריכת תקופת השמירה המינימלית, מזינים את הערך של תקופת השמירה המינימלית החדשה. זהו פרק הזמן שבו אי אפשר למחוק כל גיבוי בכספת הגיבויים. המינימום הוא יום אחד והמקסימום הוא 99 שנים.

5. כדי לנעול את תקופת השמירה המינימלית, מסמנים את התיבה נעילת תקופת השמירה ובוחרים את תאריך הנעילה ביומן.

6. לוחצים על Save.

gcloud

1. עדכון של תקופת השמירה המינימלית הקיימת במאגר גיבויים.

     gcloud backup-dr backup-vaults update BACKUPVAULT_NAME\
     --project=PROJECT_ID \
     --location=LOCATION \
     --backup-min-enforced-retention=RETENTION_PERIOD_IN_DAYS
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫BACKUPVAULT_NAME: השם של כספת הגיבוי.
   • ‫PROJECT_ID: השם של הפרויקט שבו נוצר מאגר הגיבוי.
   • ‫LOCATION: המיקום של כספת הגיבוי.
   • ‫RETENTION_PERIOD_IN_DAYS: התקופה שבה אי אפשר למחוק כל גיבוי בכספת הגיבויים. משך הזמן המינימלי הוא יום אחד והמקסימלי הוא 99 שנים.

הגבלות על משאבים לאכיפת שמירה

כשמגבים סוגים מסוימים של משאבים לכספת גיבוי, יש הגבלות לגבי התאימות להגדרות המינימום של שמירת הנתונים בכספת הגיבוי.

סוג המשאב	זמן השמירה המינימלי (גיבויים)	תקופת השמירה המינימלית (יומנים)	מניעת מחיקה ידנית
‫AlloyDB ל-PostgreSQL	‫1-365 ימים	‫1-35 ימים	חובה
Cloud SQL	יום אחד עד 10 שנים	לא רלוונטי	אופציונלי
מכונה של Compute Engine	יום אחד עד 99 שנים	לא רלוונטי	אופציונלי
דיסק של Compute Engine	יום אחד עד 99 שנים	לא רלוונטי	אופציונלי
Filestore	יום אחד עד 99 שנים	לא רלוונטי	אופציונלי

הערה: היומנים של AlloyDB ל-PostgreSQL ושל Cloud SQL מאוחסנים מחוץ לכספת הגיבוי.

מחיקת כספת גיבוי

אי אפשר למחוק כספת גיבויים עד שכל הגיבויים שכלולים בה יעמדו בדרישות השמירה שנאכפות ויפוג תוקפם או יימחקו באופן ידני.

כדי למחוק כספת גיבויים אחרי שכל הגיבויים שנכללים בה פג תוקפם או נמחקו, פועלים לפי ההוראות הבאות.

המסוף

1. נכנסים לדף Backup vaults במסוף Google Cloud .

   מעבר לכספות גיבוי

2. לוחצים על כספת הגיבוי שרוצים למחוק.

3. לוחצים על Delete.

4. בחלון שכבת-העל שמופיע, מאשרים שרוצים למחוק את כספת הגיבוי ואת התוכן שלה.

5. לוחצים על Delete.

gcloud

1. מחיקת כספת גיבוי

     gcloud backup-dr backup-vaults delete BACKUPVAULT_NAME \
     --project=PROJECT_ID \
     --location=LOCATION
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫BACKUPVAULT_NAME: השם של כספת הגיבוי.
   • ‫PROJECT_ID: השם של הפרויקט שבו נוצרת כספת הגיבוי.
   • ‫LOCATION: המיקום של כספת הגיבוי.

הענקת גישה לסוכן השירות של כספת הגיבוי ולמכשירים לגיבוי או לשחזור

לכל כספת גיבוי שנוצרה משויך סוכן שירות ייחודי. בסוגים מסוימים של משאבים, סוכן השירות משמש לביצוע פעולות בשם Backup and DR, ולכן צריך להעניק לו הרשאות מתאימות בפרויקטים שסוכן השירות של כספת הגיבוי צריך לגשת אליהם. סוכן שירות הוא חשבון שירות שמנוהל על ידי Google. מידע נוסף זמין במאמר סוכני שירות.

עבור סוגים מסוימים של משאבים, כמו Google Cloud VMware Engine, מסדי נתונים של Oracle ומסדי נתונים של SQL Server, מכשיר הגיבוי והשחזור של Backup and DR צריך לבצע פעולות בכספת הגיבוי. במקרים כאלה, למכשיר הגיבוי או השחזור צריכות להיות הרשאות מתאימות בכספת הגיבוי. בנוסף, צריך להגדיר את הגבלות הגישה בכספת הגיבוי של היעד ל-UNRESTRICTED או ל-WITHIN_ORG_BUT_UNRESTRICTED_FOR_BA.

איך נותנים תפקיד לסוכן השירות

אחרי שתמצאו את כתובת האימייל של סוכן השירות, תוכלו לתת לסוכן השירות של מאגר הגיבוי תפקיד בדיוק כמו שנותנים תפקידים לכל חשבון משתמש אחר.

כדי לגבות מכונה וירטואלית ב-Compute Engine בפרויקט שונה מהפרויקט שבו נוצרה כספת הגיבוי, צריך להעניק לסוכן השירות של כספת הגיבוי את תפקיד ה-IAM ‏(roles/backupdr.computeEngineOperator) Backup and DR Compute Engine Operator בפרויקט Compute Engine. עם זאת, כדי לגבות מכונה וירטואלית ב-Compute Engine באותו פרויקט שבו נוצרה כספת הגיבוי, לא צריך להקצות תפקידים.

כדי לשחזר מכונה של Compute Engine, צריך להעניק לסוכן השירות של כספת הגיבוי את תפקיד ה-IAM של מפעיל Compute Engine של Backup and DR‏ (roles/backupdr.computeEngineOperator) בפרויקט השחזור.

כדי לתת תפקיד לסוכן השירות, פועלים לפי ההוראות הבאות.

המסוף

1. נכנסים לדף Backup vaults במסוף Google Cloud .

   מעבר לכספות גיבוי

2. לוחצים על השם של מאגר הגיבוי ומעתיקים את כתובת האימייל של סוכן השירות.

3. נכנסים לדף IAM במסוף Google Cloud .

   כניסה לדף IAM

4. בשדה New principles, מזינים את כתובת האימייל של סוכן השירות.

5. ברשימה Select a role, בוחרים את התפקיד המתאים לפי סוג המשאב. לדוגמה, כדי לגבות מכונת Compute Engine בפרויקט שונה מזה שבו נוצרה כספת הגיבוי, בוחרים בתפקיד IAM‏ Backup and DR Compute Engine Operator (roles/backupdr.computeEngineOperator).

6. לוחצים על Save.

gcloud

1. נותנים תפקידים לסוכן השירות.

     gcloud projects add-iam-policy-binding PROJECT_ID \
     --member='serviceAccount:SERVICE_ACCOUNT \
     --role=ROLE
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROJECT_ID: שם הפרויקט.
   • ‫SERVICE_ACCOUNT: כתובת האימייל של סוכן השירות של מאגר הגיבוי. לדוגמה, [e-mail].
   • ‫ROLE: התפקיד שנדרש כדי להעניק הרשאה בפרויקט של המשאב. לדוגמה, כדי לגבות מכונה של Compute Engine בפרויקט שונה מזה שבו נוצר כספת הגיבוי, בוחרים בתפקיד IAM‏ Backup and DR Compute Engine Operator ‏ (roles/backupdr.computeEngineOperator).

הענקת תפקידים לחשבון השירות של מכשיר הגיבוי או השחזור

אפשר לגשת לכספת גיבוי מפרויקט מכשיר הגיבוי והשחזור רק אחרי שחשבון השירות של המכשיר מקבל את תפקיד ה-IAM‏ (roles/backupdr.backupvaultAccessor) Backup and DR Backup Vault Accessor בפרויקט כספת הגיבוי. בלי התפקיד הזה, לא תהיה לכם גישה לכספת הגיבוי כדי להשלים את ההגדרה של יצירת גיבוי.

אחרי שמקצים תפקידים לחשבון השירות של מכשיר הגיבוי והשחזור, אפשר לגבות ולשחזר את Google Cloud VMware Engine, מסדי נתונים של Oracle ומסדי נתונים של SQL Server בכספת גיבוי באמצעות מסוף הניהול של המכשיר.

הערה: מכשיר הגיבוי או השחזור וכספת הגיבוי לא צריכים להיות באותו פרויקט.

כדי להקצות תפקידים לחשבון השירות של מכשיר הגיבוי או השחזור, פועלים לפי ההוראות הבאות:

1. נכנסים לדף VM instances במסוף Google Cloud , שבו נוצרת מכונת ה-VM.

   לדף VM instances

2. לוחצים על המכונה של Compute Engine שעבורה רוצים לקבל את חשבון השירות.

3. בקטע API and identity management, מעתיקים את כתובת האימייל של חשבון השירות מהשדה Service account.

4. במסוף Google Cloud , עוברים לתפקידים ב-IAM בפרויקט של כספת הגיבוי.

   הערה: הפרויקט של כספת הגיבוי יכול להיות שונה מהפרויקט של מכשיר הגיבוי או השחזור.

   כניסה לדף IAM

5. לוחצים על הענקת גישה.

6. בשדה New principles, מזינים את כתובת האימייל של חשבון השירות של המכשיר.

7. ברשימה Select a role בוחרים בתפקיד Backup and DR Backup Vault Accessor.

8. אופציונלי: כדי להגביל את הגישה של מכשיר הגיבוי והשחזור לכספת גיבוי ספציפית בלבד, לוחצים על Add IAM condition (הוספת תנאי IAM) לצד התפקיד Backup and DR Backup Vault Accessor (גישה לכספת גיבוי של Backup and DR).

   1. בשדה Title, מזינים שם לתנאי.

   2. לוחצים על הכרטיסייה Condition editor.

      • בשדה Expression CEL editor, מזינים את הביטוי הבא.

        resource.name.extract("projects/PROJECT_ID/locations/LOCATION/backupVaults
        /{name}/") == ("BACKUPVAULT_NAME") || resource.name.extract("projects/PROJECT_ID/locations/LOCATION/backupVaults
        /{name}") == ("BACKUPVAULT_NAME") || resource.name.extract("operations/{op}") != ""
        

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫BACKUPVAULT_NAME: השם של כספת הגיבוי.
      • ‫PROJECT_ID: השם של הפרויקט שבו נוצרת כספת הגיבוי.

      • ‫LOCATION: המיקום של כספת הגיבוי.

        כדי להוסיף גישה לכספות גיבוי נוספות, מוסיפים הצהרות נוספות של resource.name.startsWith (עם האופרטור הלוגי OR ‏||) לפי הצורך.

        לדוגמה, ההצהרה הבאה מאשרת כספת גיבוי בשם bv-test וכספת גיבוי בשם user-bv1, ששתיהן נמצאות בפרויקט בשם testproject ובמיקום us-central1.

        resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}/") == ("bv-test") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}") == ("bv-test") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}/") == ("user-bv1") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}") == ("user-bv1") || resource.name.extract("operations/{op}") != ""
        

   3. לוחצים על Save.

9. לוחצים על Save.

המאמרים הבאים

• ניהול מקורות נתונים
• ניהול הגיבויים