Restablece una instancia de Compute Engine desde una bóveda de copias de seguridad

En esta página, se explica cómo restablecer una instancia de Compute Engine desde una backup vault en la consola de Google Cloud , que puede tener como destino una instancia nueva de Compute Engine o un Persistent Disk nuevo. Para restablecer de forma selectiva un disco individual a un nuevo Persistent Disk, consulta Cómo realizar un restablecimiento selectivo de un disco a partir de una copia de seguridad de una instancia de Compute Engine.

Roles obligatorios

Para obtener los permisos que necesitas para restablecer una instancia de Compute Engine desde una bóveda de copias de seguridad, pídele a tu administrador que te otorgue los siguientes roles de IAM en el proyecto, el proyecto de destino, el agente de servicio de Backup and DR y el proyecto host de VPC:

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Estos roles predefinidos contienen los permisos necesarios para restablecer una instancia de Compute Engine desde una backup vault. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para restablecer una instancia de Compute Engine desde una bóveda de copias de seguridad:

  • Restablece una instancia de Compute Engine:
    • backupdr.bvbackups.restore
    • backupdr.compute.restoreFromBackupVault
    • backupdr.backupVaults.get
    • backupdr.backupVaults.list
    • backupdr.bvbackups.list
    • backupdr.bvdataSources.get
    • backupdr.bvdataSources.list
    • backupdr.bvbackups.get
  • Restablece una instancia de Compute Engine con la consola de Google Cloud (permisos adicionales):
    • compute.acceleratorTypes.list
    • compute.disks.list
    • compute.machineTypes.list
    • compute.projects.get
    • compute.regions.list
    • compute.zones.list

También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos.

Restablece una instancia de Compute Engine

Sigue estas instrucciones para restablecer una instancia de Compute Engine.

Console

  1. En la consola de Google Cloud , ve a la página Copias de seguridad almacenadas en vault.

    Ir a Copias de seguridad almacenadas en vault

    Aquí se enumeran todas las instancias de Compute Engine con copias de seguridad almacenadas en vault.

  2. Haz clic en el ícono de acción para seleccionar la acción Restablecer. En la página de restauración, se muestran las siguientes opciones de restauración que puedes seleccionar:

  3. Haz clic en Continuar.

    Aparecerá la página Crea una instancia nueva de Compute Engine a partir de una copia de seguridad, en la que las propiedades de la instancia de Compute Engine se completarán previamente según las propiedades de la instancia de Compute Engine de origen. Puedes modificar las propiedades para crear una instancia nueva de Compute Engine. Por ejemplo, puedes cambiar la selección de Región o Tipo de máquina.

  4. Haz clic en Crear para crear una VM nueva a partir de la copia de seguridad seleccionada.

gcloud

  1. Obtén la cuenta de servicio de la bóveda de copias de seguridad con el comando gcloud backup-dr backup-vaults describe:

    gcloud backup-dr backup-vaults describe BACKUP_VAULT_NAME /
--location=REGION_NAME

    Reemplaza lo siguiente:

    • BACKUP_VAULT_NAME: Es el nombre de la backup vault desde la que deseas restablecer los datos.

    • REGION_NAME: Es la región de la backup vault.

  2. Antes de restablecer una instancia de Compute Engine, usa los siguientes comandos para obtener el ID de la fuente de datos y el ID de la copia de seguridad requerida:

    1. Encuentra el ID de la fuente de datos con el comando gcloud backup-dr data-sources list:

      gcloud backup-dr data-sources list \
--project=PROJECT_NAME \
--location=REGION_NAME \
--backup-vault=BACKUP_VAULT_NAME \
"--filter=dataSourceGcpResource.computeInstanceDatasourceProperties.name:(DATA_SOURCE)" \
"--format=get(name)"

    2. Enumera las copias de seguridad existentes de la fuente de datos para encontrar el BACKUP_ID correcto con el comando gcloud backup-dr backups list:

      gcloud backup-dr backups list \
--location=REGION_NAME \
--backup-vault=BACKUP_VAULT_NAME \
--data-source=DATA_SOURCE \
"--format=yaml(backupType,computeInstanceBackupProperties.sourceInstance,consistencyTime,enforcedRetentionEndTime,expireTime,name)"

  3. Para restablecer una instancia de Compute Engine, usa los siguientes comandos:

    • Restablece una instancia de Compute Engine en el mismo proyecto que el proyecto de carga de trabajo con el ID de copia de seguridad usando el comando gcloud backup-dr backups restore compute:

      gcloud backup-dr backups restore compute test-backup-id \
--project=PROJECT_NAME --location=REGION_NAME \
--backup-vault=BACKUP_VAULT_NAME --data-source=DATA_SOURCE\
--name=NAME --target-zone=TARGET_ZONE \
--target-project=TARGET_PROJECT

    • Restablece una instancia de Compute Engine en el mismo proyecto que el proyecto de carga de trabajo con la URL completa del recurso de la copia de seguridad usando el comando gcloud backup-dr backups restore compute projects:

      gcloud backup-dr backups restore compute projects/test-project-id/locations/us-central1/backupVaults/test-vault/dataSources/test-ds/backups/test-backup-id \
--name=NAME --target-zone=TARGET_ZONE \
--target-project=TARGET_PROJECT

    • Restablece una instancia de Compute Engine con una cuenta de servicio y una configuración de red personalizadas con el comando gcloud backup-dr backups restore compute:

      gcloud backup-dr backups restore compute test-backup-id \
--project=PROJECT --location=REGION \
--backup-vault=BACKUPVAULT_NAME --data-source=DATA_SOURCE\
--name=NAME --target-zone=TARGET_ZONE \
--target-project=TARGET_PROJECT \
--network-interface=network=NETWORK,subnet=SUBNET \
--service-account=SERVICE_ACCOUNT \
--scopes=SCOPE

      Reemplaza lo siguiente:

      • PROJECT: Es el nombre del proyecto de la backup vault.

      • REGION: Es la ubicación de la backup vault.

      • BACKUPVAULT_NAME: Es el nombre de la backup vault desde la que deseas restablecer los datos.

      • DATA_SOURCE: Es el nombre de la fuente de datos desde la que deseas restablecer los datos.

      • NAME: Es el nombre de la instancia de Compute Engine restaurada.

      • TARGET_ZONE: Es la región en la que se restablece la instancia de Compute Engine.

      • TARGET_PROJECT: Es el proyecto en el que se restablece la instancia de Compute Engine.

      • NETWORK: Es el URI de la red de la instancia de Compute Engine.

      • SUBNET: Es el URI de la subred de la instancia de Compute Engine.

      • SERVICE_ACCOUNT: Es la cuenta de servicio de la instancia de Compute Engine restaurada.

      • SCOPE: Es el alcance de autorización de la cuenta de servicio.

    • Restablece un disco de Compute Engine con el comando gcloud backup-dr backups restore disk. Para obtener instrucciones detalladas sobre cómo restablecer un disco individual desde una copia de seguridad de una instancia de Compute Engine, consulta Cómo realizar un restablecimiento selectivo de un disco desde una copia de seguridad de una instancia de Compute Engine.

      gcloud backup-dr backups restore disk BACKUP_NAME  \
--name=DISK_NAME \
--target-project=TARGET_PROJECT_NAME \
[--source-instance-boot-disk | --source-instance-disk-device-name=DEVICE_NAME] \
[--target-zone=TARGET_ZONE_NAME | --target-region=TARGET_REGION_NAME --replica-zones=ZONE_NAME] \
[DISK_OVERRIDE_FLAGS...] \
[--async]

Para anular otras propiedades de la instancia de Compute Engine, consulta los comandos de Descripción general de Backup and DR de gcloud CLI.

Limitaciones de restablecimiento para copias de seguridad selectivas de discos

Cuando restableces una instancia de Compute Engine a partir de una copia de seguridad creada con la copia de seguridad selectiva de discos, solo se restablecen los discos que estaban protegidos en el momento de la copia de seguridad y se adjuntan a la nueva instancia de máquina virtual (VM). En la consola de Google Cloud , la sección de resumen destaca los discos protegidos incluidos en la copia de seguridad (por ejemplo, Protected disks: 2 out of 3).

Para evitar errores de arranque cuando restaures VMs con discos excluidos, configura el arranque de la VM de origen para que ignore los discos faltantes (por ejemplo, agrega la opción de activación nofail en /etc/fstab). Para obtener más información sobre esta limitación de Compute Engine, consulta Limitaciones y advertencias de la restauración de discos persistentes.

Restablece una copia de seguridad desde una backup vault habilitada para CMEK

El manejo de la encriptación para los restablecimientos desde una bóveda de copias de seguridad habilitada para CMEK depende de si restableces toda la instancia de Compute Engine o un disco individual.

Control de CMEK para el restablecimiento completo de instancias de Compute Engine

Cuando restableces una instancia completa de Compute Engine a partir de una copia de seguridad almacenada en una backup vault habilitada para CMEK, la copia de seguridad en sí está protegida por la CMEK de la vault. De forma predeterminada, los discos de la instancia de Compute Engine restaurada conservan su configuración de encriptación original, ya sea administrada por Google o sus CMEK originales. Los permisos necesarios para acceder a la CMEK de la bóveda se otorgan al agente de servicio de Backup and DR, como se describe en Conceptos de CMEK.

Manejo de CMEK para restablecimientos de discos individuales

Cuando eliges el alcance de restablecimiento Disco individual para restablecer un solo disco desde una copia de seguridad de una instancia de Compute Engine, se produce el siguiente comportamiento:

  • Comportamiento predeterminado: El disco nuevo creado a partir de la copia de seguridad intenta usar la misma clave de encriptación que el disco de origen de la instancia original de Compute Engine.

    • Si el disco de origen usó la encriptación administrada por Google, el disco restablecido también usará la encriptación administrada por Google.

    • Si el disco de origen usó una CMEK específica, el disco restablecido intentará usar la misma CMEK.

  • No disponibilidad de la clave: Si no se puede acceder a la CMEK original que usa el disco de origen en el proyecto o la región de destino, por ejemplo, debido a la eliminación de la clave, cambios en los permisos o una restauración entre regiones, la operación de restauración fallará, a menos que anules la configuración de encriptación.

  • Anular la configuración de encriptación: Puedes cambiar la configuración de encriptación del disco restablecido durante el proceso de restablecimiento siguiendo estas instrucciones:

    Console

    • En la sección Target Disk Properties del asistente para restablecer, puedes modificar la configuración de Encryption con una de las siguientes opciones:

      • Selecciona otra clave de encriptación administrada por el cliente (CMEK).

      • Cambia a la encriptación administrada por Google.

    gcloud

    • Cuando uses el comando gcloud backup-dr backups restore disk con las marcas --source-instance-boot-disk o --source-instance-disk-device-name, haz lo siguiente:

      • Para especificar una CMEK diferente para el disco restablecido, usa la marca --kms-key:
      --kms-key=projects/MY-KEY-PROJECT/locations/us-central1/keyRings/MY-RING/cryptoKeys/MY-NEW-KEY
      • Para forzar que el disco restablecido use la encriptación administrada por Google, usa la marca --clear-encryption-key.

  • Permisos para anulaciones de CMEK:

    • Si anulas la encriptación para usar una CMEK nueva o diferente, debes asegurarte de que el agente de servicio de Compute Engine del proyecto de destino tenga el rol Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) en la clave de KMS especificada. El formato de la cuenta del agente de servicio es service-TARGET_PROJECT_NUMBER@compute-system.iam.gserviceaccount.com.

    • Compute Engine necesita este permiso para crear el disco nuevo encriptado con la clave elegida.

Consulta Restablece un Persistent Disk desde una bóveda de copias de seguridad para obtener más detalles sobre las operaciones de restablecimiento de discos y el uso de marcas.

Restablece una copia de seguridad desde una backup vault habilitada para CMEK

Cuando restableces una copia de seguridad desde una backup vault habilitada para CMEK, la encriptación del recurso restablecido depende de la encriptación de la fuente:

  • Si el recurso de origen estaba protegido por CMEK: El recurso restablecido usa de forma predeterminada la misma clave de CMEK que el origen. Por ejemplo:
    • Un disco persistente de Compute Engine encriptado con la clave K1 se restablece en un disco encriptado con K1.
    • Si una VM tiene varios discos, cada disco de la VM restablecida hereda la encriptación de su disco de origen correspondiente (los discos encriptados con CMEK permanecen encriptados con sus claves originales, y los discos encriptados administrados por Google permanecen administrados por Google).
  • Si el recurso de origen usó la encriptación administrada por Google: El recurso restaurado usa de forma predeterminada la encriptación administrada por Google.

Puedes anular este comportamiento predeterminado cuando restablezcas discos persistentes de Compute Engine o instancias de Compute Engine con la API o la gcloud CLI. Por ejemplo, puedes restablecer una copia de seguridad de un recurso protegido por CMEK en un recurso nuevo que use la encriptación administrada por Google o en un recurso nuevo protegido por una clave de CMEK diferente. Para restablecer un recurso protegido por una clave de CMEK nueva, asegúrate de que el agente de servicio pertinente (p.ej., el agente de servicio de Compute Engine) del proyecto de destino tenga permiso de roles/cloudkms.cryptoKeyEncrypterDecrypter en la nueva clave de destino.

Realiza un restablecimiento entre regiones con CMEK

Dado que las claves de Cloud Key Management Service son regionales, cuando realizas un restablecimiento entre regiones (por ejemplo, restablecer una instancia de asia-south1 a asia-south2), la operación de restablecimiento falla si usas el comportamiento predeterminado. Los discos de la VM restaurada no se pueden encriptar con la clave de KMS de la región de origen.

Esta es una limitación actual en la consola de Google Cloud . Para realizar una restauración entre regiones de una VM protegida con CMEK, debes usar la CLI de gcloud, la API o Terraform para anular la configuración de encriptación y especificar una nueva clave de KMS en la región de destino.

Para restablecer un recurso protegido por una clave CMEK nueva, sigue estos pasos:

  1. Asegúrate de tener una clave en la región de destino: Asegúrate de tener una clave de Cloud Key Management Service en la región en la que restablecerás la VM (en el proyecto de destino o en un proyecto de KMS compartido) y crea una si no tienes una.

  2. Otorga permisos de KMS: Otorga el rol de encriptador/desencriptador de CryptoKey de Cloud KMS (roles/cloudkms.cryptoKeyEncrypterDecrypter) en esta clave de destino al agente de servicio de Compute Engine del proyecto de destino en el que se restablece la VM.

  3. Realiza el restablecimiento: Ejecuta el restablecimiento con uno de los siguientes métodos y anula la clave de KMS para cada disco:

gcloud

  1. Obtén detalles de la copia de seguridad: Recupera el nombre de la copia de seguridad y los nombres de los dispositivos de los discos de la copia de seguridad con el comando gcloud backup-dr backups list:

    gcloud backup-dr backups list \
  --project=PROJECT_ID \
  --location=SOURCE_REGION \
  --backup-vault=BACKUP_VAULT_NAME \
  --filter="computeInstanceBackupProperties.sourceInstance~SOURCE_INSTANCE_NAME"

    Reemplaza lo siguiente:

    • PROJECT_ID: Es el nombre del proyecto en el que reside la backup vault.
    • SOURCE_REGION: Es la ubicación de la backup vault.
    • BACKUP_VAULT_NAME: Es el nombre de la backup vault desde la que deseas restablecer los datos.
    • SOURCE_INSTANCE_NAME: Es el nombre de la instancia de Compute Engine de origen.

  2. Ejecuta el comando de restauración: Ejecuta el comando de restauración y anula la clave de KMS para cada disco con el parámetro --create-disk.

    1. Restaurar una VM con un solo disco:

      gcloud backup-dr backups restore compute BACKUP_ID \
  --project=PROJECT_ID \
  --location=SOURCE_REGION \
  --backup-vault=BACKUP_VAULT_NAME \
  --data-source=DATA_SOURCE \
  --name=RESTORED_VM_NAME \
  --target-zone=TARGET_ZONE \
  --target-project=TARGET_PROJECT_ID \
  --create-disk=device-name=DEVICE_NAME,kms-key=projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME

      Reemplaza lo siguiente:

      • BACKUP_ID: Es el ID de la copia de seguridad que deseas restablecer.
      • PROJECT_ID: Es el nombre del proyecto en el que reside la backup vault.
      • SOURCE_REGION: Es la ubicación de la backup vault.
      • BACKUP_VAULT_NAME: Es el nombre de la backup vault desde la que deseas restablecer los datos.
      • DATA_SOURCE: Es el ID de la fuente de datos desde la que deseas restablecer los datos.
      • RESTORED_VM_NAME: Es el nombre de la VM restablecida.
      • TARGET_ZONE: Es la zona en la que se restablece la VM.
      • TARGET_PROJECT_ID: Es el proyecto en el que se restablece la VM.
      • DEVICE_NAME: Es el nombre del dispositivo del disco.
      • KMS_PROJECT_ID: Es el ID del proyecto en el que reside la clave de Cloud Key Management Service.
      • TARGET_REGION: Es la región en la que reside la clave de Cloud Key Management Service.
      • KEYRING: Es el nombre del llavero de claves de Cloud Key Management Service.
      • KEY_NAME: Es el nombre de la clave de Cloud Key Management Service para el disco 1.

    2. Restablece una VM con varios discos: Proporciona una marca --create-disk independiente para cada disco:

      gcloud backup-dr backups restore compute BACKUP_ID \
  --project=PROJECT_ID \
  --location=SOURCE_REGION \
  --backup-vault=BACKUP_VAULT_NAME \
  --data-source=DATA_SOURCE \
  --name=RESTORED_VM_NAME \
  --target-zone=TARGET_ZONE \
  --target-project=TARGET_PROJECT_ID \
  --create-disk=device-name=DEVICE_NAME_1,kms-key=projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_1 \
  --create-disk=device-name=DEVICE_NAME_2,kms-key=projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_2

      Reemplaza lo siguiente:

      • BACKUP_ID: Es el ID de la copia de seguridad que deseas restablecer.
      • PROJECT_ID: Es el nombre del proyecto en el que reside la backup vault.
      • SOURCE_REGION: Es la ubicación de la backup vault.
      • BACKUP_VAULT_NAME: Es el nombre de la backup vault desde la que deseas restablecer los datos.
      • DATA_SOURCE: Es el ID de la fuente de datos desde la que deseas restablecer los datos.
      • RESTORED_VM_NAME: Es el nombre de la VM restablecida.
      • TARGET_ZONE: Es la zona en la que se restablece la VM.
      • TARGET_PROJECT_ID: Es el proyecto en el que se restablece la VM.
      • DEVICE_NAME_1: Es el nombre del dispositivo del disco 1.
      • KMS_PROJECT_ID: Es el ID del proyecto en el que reside la clave de Cloud Key Management Service.
      • TARGET_REGION: Es la región en la que reside la clave de Cloud Key Management Service.
      • KEYRING: Es el nombre del llavero de claves de Cloud Key Management Service.
      • KEY_NAME_1: Es el nombre de la clave de Cloud Key Management Service para el disco 1.
      • DEVICE_NAME_2: Es el nombre del dispositivo del disco 2.
      • KEY_NAME_2: Es el nombre de la clave de Cloud Key Management Service para el disco 2.

API

  1. Obtén detalles de la copia de seguridad: Envía una solicitud GET para enumerar las copias de seguridad y recuperar el nombre de la copia de seguridad y los nombres de los dispositivos de los discos:

    GET https://backupdr.googleapis.com/v1/projects/PROJECT_ID/locations/SOURCE_REGION/backupVaults/BACKUP_VAULT_NAME/dataSources/DATA_SOURCE/backups

  2. Ejecuta la API de restauración: Envía una solicitud POST al URI restore de la copia de seguridad.

    1. Restaurar una VM con un solo disco:

      POST https://backupdr.googleapis.com/v1/projects/PROJECT_ID/locations/SOURCE_REGION/backupVaults/BACKUP_VAULT_NAME/dataSources/DATA_SOURCE/backups/BACKUP_ID:restore

      Carga útil:

      {
  "computeInstanceTargetEnvironment": {
    "project": "TARGET_PROJECT_ID",
    "zone": "TARGET_ZONE"
  },
  "computeInstanceRestoreProperties": {
    "name": "RESTORED_VM_NAME",
    "machineType": "projects/TARGET_PROJECT_ID/zones/TARGET_ZONE/machineTypes/e2-medium",
    "disks": [
      {
        "deviceName": "DEVICE_NAME",
        "diskEncryptionKey": {
        "kmsKeyName": "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME"
        }
      }
    ]
  }
}

    2. Restaurar una VM con varios discos:

      POST https://backupdr.googleapis.com/v1/projects/PROJECT_ID/locations/SOURCE_REGION/backupVaults/BACKUP_VAULT_NAME/dataSources/DATA_SOURCE/backups/BACKUP_ID:restore

      Carga útil:

      {
  "computeInstanceTargetEnvironment": {
    "project": "TARGET_PROJECT_ID",
    "zone": "TARGET_ZONE"
  },
  "computeInstanceRestoreProperties": {
    "name": "RESTORED_VM_NAME",
    "machineType": "projects/TARGET_PROJECT_ID/zones/TARGET_ZONE/machineTypes/e2-medium",
    "disks": [
      {
        "deviceName": "DEVICE_NAME_1",
        "diskEncryptionKey": {
          "kmsKeyName": "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_1"
        }
      },
      {
        "deviceName": "DEVICE_NAME_2",
        "diskEncryptionKey": {
          "kmsKeyName": "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_2"
        }
      }
    ]
  }
}

Terraform

Usa el recurso google_backup_dr_restore_workload

  1. Restaurar una VM con un solo disco:

    resource "google_backup_dr_restore_workload" "restore_single" {
  location         = "SOURCE_REGION"
  backup_vault_id  = "BACKUP_VAULT_NAME"
  data_source_id   = "DATA_SOURCE"
  backup_id        = "BACKUP_ID"

  compute_instance_target_environment {
    project = "TARGET_PROJECT_ID"
    zone = "TARGET_ZONE"
  }

  compute_instance_restore_properties {
    name = "RESTORED_VM_NAME"
    machine_type = "zones/TARGET_ZONE/machineTypes/e2-medium"
    disks {
      device_name = "DEVICE_NAME"
      disk_encryption_key {
        kms_key_name = "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME"
      }
    }
  }
}

  2. Restaurar una VM con varios discos:

    resource "google_backup_dr_restore_workload" "restore_multi" {
  location         = "SOURCE_REGION"
  backup_vault_id  = "BACKUP_VAULT_NAME"
  data_source_id   = "DATA_SOURCE"
  backup_id        = "BACKUP_ID"

  compute_instance_target_environment {
    project = "TARGET_PROJECT_ID"
    zone = "TARGET_ZONE"
  }

  compute_instance_restore_properties {
    name = "RESTORED_VM_NAME"
    machine_type = "zones/TARGET_ZONE/machineTypes/TARGET_MACHINETYPE"
    disks {
      device_name = "DEVICE_NAME_1"
      disk_encryption_key {
        kms_key_name = "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_1"
      }
    }

    disks {
      device_name = "DEVICE_NAME_2"
      disk_encryption_key {
        kms_key_name = "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_2"
      }
    }
  }
}

Si la clave de Cloud Key Management Service que protege la carga de trabajo de origen no está disponible durante una operación de restablecimiento, el restablecimiento falla de forma predeterminada. En este caso, debes usar la API o la CLI de gcloud para anular el parámetro de configuración de encriptación. Para ello, especifica una nueva clave de CMEK o cambia el tipo de encriptación a la encriptación administrada por Google para el recurso restablecido.

Si la versión de la clave de Cloud Key Management Service que se usó para encriptar los datos en la bóveda de copias de seguridad está inhabilitada o destruida, no podrás realizar la restauración desde esa copia de seguridad.

La guía de Compute Engine de Backup and DR

¿Qué sigue?