Restablece una instancia de Compute Engine desde una bóveda de copias de seguridad

En esta página, se explica cómo restablecer una instancia de Compute Engine desde una backup vault en la consola de Google Cloud , que puede orientarse a una instancia de Compute Engine nueva o a un Persistent Disk nuevo. Para restablecer de forma selectiva un disco individual a un Persistent Disk nuevo, consulta Realiza un restablecimiento selectivo de discos desde una copia de seguridad de una instancia de Compute Engine.

Roles obligatorios

Para obtener los permisos que necesitas para restablecer una instancia de Compute Engine desde una backup vault, pídele a tu administrador que te otorgue los siguientes roles de IAM en el proyecto, el proyecto de destino, el agente de servicio de Backup and DR y el proyecto host de VPC:

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Estos roles predefinidos contienen los permisos necesarios para restablecer una instancia de Compute Engine desde un backup vault. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para restablecer una instancia de Compute Engine desde una bóveda de copia de seguridad:

  • Restablece una instancia de Compute Engine:
    • backupdr.bvbackups.restore
    • backupdr.compute.restoreFromBackupVault
    • backupdr.backupVaults.get
    • backupdr.backupVaults.list
    • backupdr.bvbackups.list
    • backupdr.bvdataSources.get
    • backupdr.bvdataSources.list
    • backupdr.bvbackups.get
  • Restablece una instancia de Compute Engine con la consola de Google Cloud (permisos adicionales):
    • compute.acceleratorTypes.list
    • compute.disks.list
    • compute.machineTypes.list
    • compute.projects.get
    • compute.regions.list
    • compute.zones.list

También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos.

Restablece una instancia de Compute Engine

Sigue estas instrucciones para restablecer una instancia de Compute Engine.

Console

  1. En la consola de Google Cloud , ve a la página Copias de seguridad almacenadas en vault.

    Ir a Copias de seguridad almacenadas en vault

    Aquí se enumeran todas las instancias de Compute Engine con copias de seguridad almacenadas en vault.

  2. Haz clic en el ícono de acción para seleccionar la acción Restablecer. Se muestra la página Restaurar, en la que puedes seleccionar las siguientes opciones de restablecimiento:

  3. Haz clic en Continuar.

    Aparecerá la página Crea una instancia de Compute Engine nueva a partir de una copia de seguridad, en la que las propiedades de la instancia de Compute Engine se completarán previamente según las propiedades de la instancia de Compute Engine de origen. Puedes modificar las propiedades para crear una instancia de Compute Engine nueva, por ejemplo, cambiar la selección de Región o Tipo de máquina.

  4. Haz clic en Crear para crear una VM nueva a partir de la copia de seguridad seleccionada.

gcloud

  1. Obtén la cuenta de servicio de la backup vault con el comando gcloud backup-dr backup-vaults describe:

    gcloud backup-dr backup-vaults describe BACKUP_VAULT_NAME /
--location=REGION_NAME

    Reemplaza lo siguiente:

    • BACKUP_VAULT_NAME: Es el nombre de la backup vault desde la que deseas restablecer los datos.

    • REGION_NAME: Es la región de la backup vault.

  2. Antes de restablecer una instancia de Compute Engine, usa los siguientes comandos para obtener el ID de la fuente de datos y el ID de la copia de seguridad necesaria:

    1. Busca el ID de la fuente de datos con el comando gcloud backup-dr data-sources list:

      gcloud backup-dr data-sources list \
--project=PROJECT_NAME \
--location=REGION_NAME \
--backup-vault=BACKUP_VAULT_NAME \
"--filter=dataSourceGcpResource.computeInstanceDatasourceProperties.name:(DATA_SOURCE)" \
"--format=get(name)"

    2. Enumera las copias de seguridad existentes de la fuente de datos para encontrar el BACKUP_ID correcto con el comando gcloud backup-dr backups list:

      gcloud backup-dr backups list \
--location=REGION_NAME \
--backup-vault=BACKUP_VAULT_NAME \
--data-source=DATA_SOURCE \
"--format=yaml(backupType,computeInstanceBackupProperties.sourceInstance,consistencyTime,enforcedRetentionEndTime,expireTime,name)"

  3. Para restablecer una instancia de Compute Engine, usa los siguientes comandos:

    • Restablece una instancia de Compute Engine en el mismo proyecto que el proyecto de carga de trabajo con el ID de la copia de seguridad con el comando gcloud backup-dr backups restore compute:

      gcloud backup-dr backups restore compute test-backup-id \
--project=PROJECT_NAME --location=REGION_NAME \
--backup-vault=BACKUP_VAULT_NAME --data-source=DATA_SOURCE\
--name=NAME --target-zone=TARGET_ZONE \
--target-project=TARGET_PROJECT

    • Restablece una instancia de Compute Engine en el mismo proyecto que el proyecto de carga de trabajo con la URL completa del recurso de la copia de seguridad con el comando gcloud backup-dr backups restore compute projects:

      gcloud backup-dr backups restore compute projects/test-project-id/locations/us-central1/backupVaults/test-vault/dataSources/test-ds/backups/test-backup-id \
--name=NAME --target-zone=TARGET_ZONE \
--target-project=TARGET_PROJECT

    • Restablece una instancia de Compute Engine con una cuenta de servicio personalizada y una configuración de red con el comando gcloud backup-dr backups restore compute:

      gcloud backup-dr backups restore compute test-backup-id \
--project=PROJECT --location=REGION \
--backup-vault=BACKUPVAULT_NAME --data-source=DATA_SOURCE\
--name=NAME --target-zone=TARGET_ZONE \
--target-project=TARGET_PROJECT \
--network-interface=network=NETWORK,subnet=SUBNET \
--service-account=SERVICE_ACCOUNT \
--scopes=SCOPE

      Reemplaza lo siguiente:

      • PROJECT: Es el nombre del proyecto de la backup vault.

      • REGION: Es la ubicación de la backup vault.

      • BACKUPVAULT_NAME: Es el nombre de la backup vault desde la que deseas restablecer los datos.

      • DATA_SOURCE: Es el nombre de la fuente de datos desde la que deseas restablecer los datos.

      • NAME: Es el nombre de la instancia de Compute Engine restablecida.

      • TARGET_ZONE: Es la región en la que se restablece la instancia de Compute Engine.

      • TARGET_PROJECT: Es el proyecto en el que se restablece la instancia de Compute Engine.

      • NETWORK: Es el URI de red de la instancia de Compute Engine.

      • SUBNET: Es el URI de la subred de la instancia de Compute Engine.

      • SERVICE_ACCOUNT: Es la cuenta de servicio de la instancia de Compute Engine restablecida.

      • SCOPE: Es el permiso de autorización de la cuenta de servicio.

    • Restablece un disco de Compute Engine con el comando gcloud backup-dr backups restore disk. Para obtener instrucciones detalladas sobre cómo restablecer un disco individual desde una copia de seguridad de una instancia de Compute Engine, consulta Realiza un restablecimiento selectivo de discos desde una copia de seguridad de una instancia de Compute Engine.

      gcloud backup-dr backups restore disk BACKUP_NAME  \
--name=DISK_NAME \
--target-project=TARGET_PROJECT_NAME \
[--source-instance-boot-disk | --source-instance-disk-device-name=DEVICE_NAME] \
[--target-zone=TARGET_ZONE_NAME | --target-region=TARGET_REGION_NAME --replica-zones=ZONE_NAME] \
[DISK_OVERRIDE_FLAGS...] \
[--async]

Para anular otras propiedades de la instancia de Compute Engine, consulta Descripción general de los comandos de la gcloud CLI de la copia de seguridad y la DR.

Limitaciones de restablecimiento para las copias de seguridad de discos selectivas

Cuando restableces una instancia de Compute Engine desde una copia de seguridad creada con la copia de seguridad selectiva de discos, solo se restablecen y se conectan a la nueva instancia de máquina virtual (VM) los discos que estaban protegidos en el momento de la copia de seguridad. En la consola de Google Cloud , la sección de resumen destaca los discos protegidos incluidos en la copia de seguridad (por ejemplo, Protected disks: 2 out of 3).

Para evitar fallas de inicio cuando restablezcas VMs con discos excluidos, configura la configuración de inicio de la VM de origen para que ignore los discos faltantes (por ejemplo, agregando la opción de activación nofail en /etc/fstab). Para obtener más información sobre esta limitación de Compute Engine, consulta Limitaciones y advertencias de restablecimiento de discos persistentes.

Restablece una copia de seguridad desde una backup vault habilitada para CMEK

El manejo de la encriptación para los restablecimientos desde un backup vault habilitado para CMEK depende de si restableces toda la instancia de Compute Engine o un disco individual.

Control de CMEK para restablecimientos de instancias completas de Compute Engine

Cuando restableces una instancia completa de Compute Engine desde una copia de seguridad almacenada en una backup vault habilitada para CMEK, la copia de seguridad en sí está protegida por la CMEK de la vault. Los discos dentro de la instancia de Compute Engine restablecida conservan su configuración de encriptación original de forma predeterminada, ya sea administrada por Google o sus CMEK originales. Los permisos necesarios para acceder a la CMEK de la bóveda se otorgan al agente de servicio de Backup and DR, como se describe en Conceptos de CMEK.

Control de CMEK para restablecimientos de discos individuales

Cuando eliges el permiso de restablecimiento Disco individual para restablecer un solo disco desde una copia de seguridad de una instancia de Compute Engine, se produce el siguiente comportamiento:

  • Comportamiento predeterminado: El disco nuevo creado a partir de la copia de seguridad intenta usar la misma clave de encriptación que el disco de origen de la instancia de Compute Engine original.

    • Si el disco de origen usó la encriptación administrada por Google, el disco restablecido también usará la encriptación administrada por Google.

    • Si el disco de origen usó una CMEK específica, el disco restablecido intentará usar esa misma CMEK.

  • No disponibilidad de la clave: Si no se puede acceder a la CMEK original que usa el disco de origen en el proyecto o la región de destino, por ejemplo, debido a la eliminación de la clave, los cambios de permisos o el restablecimiento en otra región, la operación de restablecimiento falla, a menos que anules la configuración de encriptación.

  • Anula la configuración de encriptación: Puedes cambiar la configuración de encriptación del disco restablecido durante el proceso de restablecimiento con las siguientes instrucciones:

    Console

    • En la sección Propiedades del disco de destino del asistente de restablecimiento, puedes modificar la configuración de Encriptación con una de las siguientes opciones:

      • Selecciona una clave de encriptación administrada por el cliente (CMEK) diferente.

      • Cambiar a la encriptación administrada por Google

    gcloud

    • Cuando uses el comando gcloud backup-dr backups restore disk con las marcas --source-instance-boot-disk o --source-instance-disk-device-name, ten en cuenta lo siguiente:

      • Para especificar una CMEK diferente para el disco restablecido, usa la marca --kms-key:
      --kms-key=projects/MY-KEY-PROJECT/locations/us-central1/keyRings/MY-RING/cryptoKeys/MY-NEW-KEY
      • Para forzar que el disco restablecido use la encriptación administrada por Google, usa la marca --clear-encryption-key.

  • Permisos para las anulaciones de CMEK:

    • Si anulas la encriptación para usar una CMEK nueva o diferente, debes asegurarte de que el agente de servicio de Compute Engine del proyecto de destino tenga el rol Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) en la clave de KMS especificada. El formato de la cuenta del agente de servicio es el siguiente: service-TARGET_PROJECT_NUMBER@compute-system.iam.gserviceaccount.com.

    • Este permiso es necesario para que Compute Engine cree el disco nuevo encriptado con la clave elegida.

Consulta Restablece un Persistent Disk desde una bóveda de copia de seguridad para obtener más detalles sobre las operaciones de restablecimiento de discos y el uso de marcas.

Restablece una copia de seguridad desde una backup vault habilitada para CMEK

Cuando restableces una copia de seguridad desde una backup vault habilitada para CMEK, la encriptación del recurso restablecido depende de la encriptación de la fuente:

  • Si el recurso de origen estaba protegido por CMEK: El recurso restablecido usa de forma predeterminada la misma clave CMEK que el origen. Por ejemplo:
    • Un disco persistente de Compute Engine encriptado con la clave K1 se restablece a un disco encriptado con K1.
    • Si una VM tiene varios discos, cada disco de la VM restablecida hereda la encriptación de su disco de origen correspondiente (los discos encriptados con CMEK permanecen encriptados con sus claves originales, y los discos encriptados administrados por Google siguen siendo administrados por Google).
  • Si el recurso de origen usó la encriptación administrada por Google, el recurso restablecido usa la encriptación administrada por Google de forma predeterminada.

Puedes anular este comportamiento predeterminado cuando restableces discos persistentes o instancias de Compute Engine con la API o la gcloud CLI. Por ejemplo, puedes restablecer una copia de seguridad de un recurso protegido por CMEK en un recurso nuevo que use la encriptación administrada por Google o en un recurso nuevo protegido por una clave de CMEK diferente. Para restablecer un recurso protegido por una clave de CMEK nueva, asegúrate de que el agente de servicio pertinente (p.ej., el agente de servicio de Compute Engine) para el proyecto de destino tenga el permiso roles/cloudkms.cryptoKeyEncrypterDecrypter en la nueva clave de destino.

Realiza un restablecimiento en otra región con CMEK

Como las claves de Cloud Key Management Service son regionales, cuando realizas un restablecimiento en otra región (por ejemplo, restablecer una instancia de asia-south1 a asia-south2), la operación de restablecimiento falla si usas el comportamiento predeterminado. Los discos de la VM restablecida no se pueden encriptar con la clave de KMS de la región de origen.

Esta es una limitación actual en la consola de Google Cloud . Para realizar un restablecimiento en otra región de una VM protegida con CMEK, debes usar la gcloud CLI, la API o Terraform para anular la configuración de encriptación y especificar una nueva clave de KMS en la región de destino.

Para restablecer un recurso protegido por una clave de CMEK nueva, sigue estos pasos:

  1. Asegúrate de tener una clave en la región de destino: Asegúrate de tener una clave de Cloud Key Management Service en la región en la que restablecerás la VM (en el proyecto de destino o en un proyecto de KMS compartido) y crea una si no la tienes.

  2. Otorga permisos de KMS: Otorga el rol de encriptador/desencriptador de CryptoKey de Cloud KMS (roles/cloudkms.cryptoKeyEncrypterDecrypter) en esta clave de destino al agente de servicio de Compute Engine del proyecto de destino en el que se restablece la VM.

  3. Realiza el restablecimiento: Ejecuta el restablecimiento con uno de los siguientes métodos y anula la clave de KMS para cada disco:

gcloud

  1. Obtén detalles de la copia de seguridad: Recupera el nombre de la copia de seguridad y los nombres de los dispositivos de los discos de la copia de seguridad con el comando gcloud backup-dr backups list:

    gcloud backup-dr backups list \
  --project=PROJECT_ID \
  --location=SOURCE_REGION \
  --backup-vault=BACKUP_VAULT_NAME \
  --filter="computeInstanceBackupProperties.sourceInstance~SOURCE_INSTANCE_NAME"

    Reemplaza lo siguiente:

    • PROJECT_ID: Es el nombre del proyecto en el que reside la backup vault.
    • SOURCE_REGION: Es la ubicación de la backup vault.
    • BACKUP_VAULT_NAME: Es el nombre de la backup vault desde la que deseas restablecer los datos.
    • SOURCE_INSTANCE_NAME: el nombre de la instancia de Compute Engine de origen.

  2. Ejecuta el comando de restablecimiento: Ejecuta el comando de restablecimiento y anula la clave de KMS para cada disco con el parámetro --create-disk.

    1. Restablece una VM con un solo disco:

      gcloud backup-dr backups restore compute BACKUP_ID \
  --project=PROJECT_ID \
  --location=SOURCE_REGION \
  --backup-vault=BACKUP_VAULT_NAME \
  --data-source=DATA_SOURCE \
  --name=RESTORED_VM_NAME \
  --target-zone=TARGET_ZONE \
  --target-project=TARGET_PROJECT_ID \
  --create-disk=device-name=DEVICE_NAME,kms-key=projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME

      Reemplaza lo siguiente:

      • BACKUP_ID: Es el ID de la copia de seguridad que deseas restablecer.
      • PROJECT_ID: Es el nombre del proyecto en el que reside la backup vault.
      • SOURCE_REGION: Es la ubicación de la backup vault.
      • BACKUP_VAULT_NAME: Es el nombre de la backup vault desde la que deseas restablecer los datos.
      • DATA_SOURCE: Es el ID de la fuente de datos desde la que deseas restablecer los datos.
      • RESTORED_VM_NAME: Es el nombre de la VM restablecida.
      • TARGET_ZONE: Es la zona en la que se restablece la VM.
      • TARGET_PROJECT_ID: Es el proyecto en el que se restablece la VM.
      • DEVICE_NAME: Es el nombre del dispositivo del disco.
      • KMS_PROJECT_ID: Es el ID del proyecto en el que reside la clave de Cloud Key Management Service.
      • TARGET_REGION: Es la región en la que reside la clave de Cloud Key Management Service.
      • KEYRING: Es el nombre del llavero de claves de Cloud Key Management Service.
      • KEY_NAME: Es el nombre de la clave de Cloud Key Management Service para el disco 1.

    2. Restablece una VM con varios discos: Proporciona una marca --create-disk independiente para cada disco:

      gcloud backup-dr backups restore compute BACKUP_ID \
  --project=PROJECT_ID \
  --location=SOURCE_REGION \
  --backup-vault=BACKUP_VAULT_NAME \
  --data-source=DATA_SOURCE \
  --name=RESTORED_VM_NAME \
  --target-zone=TARGET_ZONE \
  --target-project=TARGET_PROJECT_ID \
  --create-disk=device-name=DEVICE_NAME_1,kms-key=projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_1 \
  --create-disk=device-name=DEVICE_NAME_2,kms-key=projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_2

      Reemplaza lo siguiente:

      • BACKUP_ID: Es el ID de la copia de seguridad que deseas restablecer.
      • PROJECT_ID: Es el nombre del proyecto en el que reside la backup vault.
      • SOURCE_REGION: Es la ubicación de la backup vault.
      • BACKUP_VAULT_NAME: Es el nombre de la backup vault desde la que deseas restablecer los datos.
      • DATA_SOURCE: Es el ID de la fuente de datos desde la que deseas restablecer los datos.
      • RESTORED_VM_NAME: Es el nombre de la VM restablecida.
      • TARGET_ZONE: Es la zona en la que se restablece la VM.
      • TARGET_PROJECT_ID: Es el proyecto en el que se restablece la VM.
      • DEVICE_NAME_1: Es el nombre del dispositivo del disco 1.
      • KMS_PROJECT_ID: Es el ID del proyecto en el que reside la clave de Cloud Key Management Service.
      • TARGET_REGION: Es la región en la que reside la clave de Cloud Key Management Service.
      • KEYRING: Es el nombre del llavero de claves de Cloud Key Management Service.
      • KEY_NAME_1: Es el nombre de la clave de Cloud Key Management Service para el disco 1.
      • DEVICE_NAME_2: Es el nombre del dispositivo del disco 2.
      • KEY_NAME_2: Es el nombre de la clave de Cloud Key Management Service para el disco 2.

API

  1. Obtén detalles de la copia de seguridad: Recupera el nombre de la copia de seguridad y los nombres de los dispositivos de los discos enviando una solicitud GET para enumerar las copias de seguridad:

    GET https://backupdr.googleapis.com/v1/projects/PROJECT_ID/locations/SOURCE_REGION/backupVaults/BACKUP_VAULT_NAME/dataSources/DATA_SOURCE/backups

  2. Ejecuta la API de restablecimiento: Envía una solicitud POST al URI restore de la copia de seguridad.

    1. Restablece una VM con un solo disco:

      POST https://backupdr.googleapis.com/v1/projects/PROJECT_ID/locations/SOURCE_REGION/backupVaults/BACKUP_VAULT_NAME/dataSources/DATA_SOURCE/backups/BACKUP_ID:restore

      Carga útil:

      {
  "computeInstanceTargetEnvironment": {
    "project": "TARGET_PROJECT_ID",
    "zone": "TARGET_ZONE"
  },
  "computeInstanceRestoreProperties": {
    "name": "RESTORED_VM_NAME",
    "machineType": "projects/TARGET_PROJECT_ID/zones/TARGET_ZONE/machineTypes/e2-medium",
    "disks": [
      {
        "deviceName": "DEVICE_NAME",
        "diskEncryptionKey": {
        "kmsKeyName": "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME"
        }
      }
    ]
  }
}

    2. Restablece una VM con varios discos:

      POST https://backupdr.googleapis.com/v1/projects/PROJECT_ID/locations/SOURCE_REGION/backupVaults/BACKUP_VAULT_NAME/dataSources/DATA_SOURCE/backups/BACKUP_ID:restore

      Carga útil:

      {
  "computeInstanceTargetEnvironment": {
    "project": "TARGET_PROJECT_ID",
    "zone": "TARGET_ZONE"
  },
  "computeInstanceRestoreProperties": {
    "name": "RESTORED_VM_NAME",
    "machineType": "projects/TARGET_PROJECT_ID/zones/TARGET_ZONE/machineTypes/e2-medium",
    "disks": [
      {
        "deviceName": "DEVICE_NAME_1",
        "diskEncryptionKey": {
          "kmsKeyName": "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_1"
        }
      },
      {
        "deviceName": "DEVICE_NAME_2",
        "diskEncryptionKey": {
          "kmsKeyName": "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_2"
        }
      }
    ]
  }
}

Terraform

Usa el recurso google_backup_dr_restore_workload

  1. Restablece una VM con un solo disco:

    resource "google_backup_dr_restore_workload" "restore_single" {
  location         = "SOURCE_REGION"
  backup_vault_id  = "BACKUP_VAULT_NAME"
  data_source_id   = "DATA_SOURCE"
  backup_id        = "BACKUP_ID"

  compute_instance_target_environment {
    project = "TARGET_PROJECT_ID"
    zone = "TARGET_ZONE"
  }

  compute_instance_restore_properties {
    name = "RESTORED_VM_NAME"
    machine_type = "zones/TARGET_ZONE/machineTypes/e2-medium"
    disks {
      device_name = "DEVICE_NAME"
      disk_encryption_key {
        kms_key_name = "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME"
      }
    }
  }
}

  2. Restablece una VM con varios discos:

    resource "google_backup_dr_restore_workload" "restore_multi" {
  location         = "SOURCE_REGION"
  backup_vault_id  = "BACKUP_VAULT_NAME"
  data_source_id   = "DATA_SOURCE"
  backup_id        = "BACKUP_ID"

  compute_instance_target_environment {
    project = "TARGET_PROJECT_ID"
    zone = "TARGET_ZONE"
  }

  compute_instance_restore_properties {
    name = "RESTORED_VM_NAME"
    machine_type = "zones/TARGET_ZONE/machineTypes/TARGET_MACHINETYPE"
    disks {
      device_name = "DEVICE_NAME_1"
      disk_encryption_key {
        kms_key_name = "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_1"
      }
    }

    disks {
      device_name = "DEVICE_NAME_2"
      disk_encryption_key {
        kms_key_name = "projects/KMS_PROJECT_ID/locations/TARGET_REGION/keyRings/KEYRING/cryptoKeys/KEY_NAME_2"
      }
    }
  }
}

Si la clave de Cloud Key Management Service que protege la carga de trabajo de origen no está disponible durante una operación de restablecimiento, este fallará de forma predeterminada. En este caso, debes usar la API o la gcloud CLI para anular la configuración de encriptación especificando una nueva clave de CMEK o cambiando el tipo de encriptación a encriptación administrada por Google para el recurso restablecido.

Si la versión de la clave de Cloud Key Management Service que se usó para encriptar los datos en el backup vault está inhabilitada o destruida, no podrás restablecer los datos desde esa copia de seguridad.

La guía de Compute Engine para Backup and DR

¿Qué sigue?