Filestore-Instanzen in einem Backup Vault sichern

Auf dieser Seite finden Sie eine Anleitung zum Sichern von Filestore-Instanzen in einem Backup Vault von Backup and DR. Dazu gehört auch, wie Sie den Zugriff auf den Backup Vault in Ihrem Filestore-Projekt gewähren, geplante Sicherungen konfigurieren, On-Demand-Sicherungen erstellen und Ihre Vault-Sicherungen verwalten.

Übersicht

Wenn Sie Sicherungen an einen Backup Vault senden, sind sie unveränderlich und die Aufbewahrungsrichtlinien werden erzwungen. Mit einem Backup Vault können Sie Sicherungen in einer einzelnen Region oder in mehreren Regionen speichern. Weitere Informationen zu Backup Vaults

IAM-Rollen und ‑Berechtigungen für den Sicherungsnutzer

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihr Backup Vault-Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren geplanter Back-ups oder zum Ausführen von On-Demand-Back-ups benötigen:

• Nutzer von Backup und DR (roles/backupdr.backupUser)
• Betrachter (roles/viewer)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Konfigurieren geplanter Back-ups oder zum Ausführen von On-Demand-Back-ups erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um geplante Backups zu konfigurieren oder On-Demand-Backups auszuführen:

• backupdr.backupPlans.list
• backupdr.backupPlanAssociations.createForFilestoreInstance
• backupdr.backupPlanAssociations.list
• backupdr.backupPlanAssociations.get
• backupdr.backupPlanAssociations.triggerBackupForFilestoreInstance
• backupdr.backupPlanAssociations.deleteForFilestoreInstance
• backupdr.backupPlans.useForFilestoreInstance
• backupdr.locations.list
• backupdr.operations.get
• cloudasset.assets.searchAllResources

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Achtung :Wenn Sie einen kundenverwalteten Verschlüsselungsschlüssel (CMEK) deaktivieren, löschen oder die Berechtigungen dafür ändern, der für aktive Filestore-Sicherungsketten verwendet wird, können die zugehörigen Sicherungen nicht mehr wiederhergestellt werden. Damit Sicherungen erfolgreich wiederhergestellt werden können, dürfen Sie keine KMS-Schlüssel deaktivieren, löschen oder deren Berechtigungen ändern, die mit laufenden Sicherungsketten verknüpft sind.

In der folgenden Tabelle sind die dynamischen Berechtigungen aufgeführt, die für die einzelnen API-Aufrufe erforderlich sind:

Ressource	Aktion, die für die Ressource ausgeführt werden soll	Für jeden API-Aufruf erforderliche Berechtigungen	Projekt, dem es zugewiesen werden muss
Backup Vault	Backup Vault erstellen	backupdr.backupVaults.create	Administratorprojekt
	Backup Vault löschen	backupdr.backupVaults.delete	Administratorprojekt
	Backup Vault aktualisieren	backupdr.backupVaults.update	Administratorprojekt
	Backup Vaults auflisten	backupdr.backupVaults.list	Administratorprojekt
	Backup Vault	backupdr.backupVaults.get	Administratorprojekt
Sicherungsplan	BackupPlan erstellen	backupdr.backupPlans.create	Administratorprojekt
	BackupPlan löschen	backupdr.backupPlans.delete	Administratorprojekt
	BackupPlan abrufen	backupdr.backupPlans.get	Administratorprojekt
	Sicherungspläne auflisten	backupdr.backupPlans.list	Administratorprojekt
Verknüpfungen von Sicherungsplänen	Verknüpfung des Sicherungsplans erstellen	file.instances.updateBackupDrConfig	Arbeitslastprojekt
		backupdr.backupPlanAssociations.createForFilestoreInstance	Arbeitslastprojekt
		backupdr.backupPlans.useForFilestoreInstance	Administratorprojekt
	Verknüpfung des Sicherungsplans löschen	backupdr.backupPlanAssociations.deleteForFilestoreInstance	Arbeitslastprojekt
		file.instances.updateBackupDrConfig	Arbeitslastprojekt
	On‑Demand-Sicherung bei Verknüpfung des Sicherungsplans auslösen	backupdr.backupPlanAssociations.triggerBackupForFilestoreInstance	Arbeitslastprojekt
	Verknüpfung des Sicherungsplans abrufen	backupdr.backupPlanAssociations.getForFilestoreInstance	Arbeitslastprojekt
	Sicherungsplanverknüpfungen auflisten	backupdr.backupPlanAssociations.list	Arbeitslastprojekt
	Sicherungsplanverknüpfungen abrufen	backupdr.backupPlanAssociations.fetchForFilestoreInstance	Arbeitslastprojekt
Datenquelle	Datenquelle abrufen	backupdr.bvdataSources.get	Administratorprojekt
	List DataSources	backupdr.backupPlanAssociations.list	Administratorprojekt
Sicherungen	Sicherung erstellen	backupdr.bvbackups.get	Administratorprojekt
	Sicherungen auflisten	backupdr.bvbackups.list	Administratorprojekt
	Sicherung löschen	backupdr.bvbackups.delete	Administratorprojekt
	Sicherung wiederherstellen	backupdr.bvbackups.useReadOnlyForFilestoreInstance	Administratorprojekt
Verweise auf Datenquellen	DataSource-Referenz abrufen	backupdr.dataSourceReferences.getForFilestoreInstance	Arbeitslastprojekt
	Datenquellenverweise abrufen	backupdr.dataSourceReferences.fetchForFilestoreInstance	Arbeitslastprojekt
Vorgänge	Vorgänge auflisten	backupdr.operations.list	Entsprechendes Projekt
	Vorgänge abrufen	backupdr.operations.get	Entsprechendes Projekt

Backup Vault-Zugriff im Filestore-Projekt gewähren

Wenn Sie eine Filestore-Instanz in einem anderen Projekt als dem, in dem der Backup Vault erstellt wird, sichern möchten, müssen Sie dem Backup Vault-Dienst-Agenten des Vaults im Zielprojekt, in dem die Filestore-Sicherung durchgeführt werden soll, die IAM-Rolle „Backup and DR Filestore Operator (Beta)“ (roles/backupdr.filestoreOperator) gewähren.

Wenn Sie eine Filestore-Instanz im selben Projekt sichern möchten, in dem der Backup Vault erstellt wird, müssen keine Rollen gewährt werden.

Informationen zum Zuweisen von Rollen an den Backup Vault-Dienst-Agenten im Projekt, das Sie sichern möchten, finden Sie unter Dienst-Agenten eine Rolle zuweisen.

CMEK-Berechtigungen für CMEK-fähige Backup Vaults erteilen

Wenn Sie Sicherungen in einem CMEK-aktivierten Sicherungstresor speichern, müssen Sie dem Backup and DR-Dienst-Agenten des Projekts des Tresors die IAM-Rolle „Cloud KMS CryptoKey Encrypter/Decrypter“ (roles/cloudkms.cryptoKeyEncrypterDecrypter) für den CMEK-Schlüssel des Sicherungstresors zuweisen.

Hinweis :Backup und DR blockiert proaktiv die Erstellung von Backup-Plan-Zuordnungen (Backup Plan Association, BPA), wenn der Dienst-Agent für Backup und DR (Principal for Service Account, P4SA) des Vault-Projekts keine Berechtigungen für den CMEK-Schlüssel des Backup Vaults hat.

Führen Sie den folgenden Befehl aus, um die erforderliche Rolle für den CMEK-Schlüssel zuzuweisen:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --keyring=KEY_RING_NAME \
    --location=LOCATION \
    --member="serviceAccount:[e-mail]" \
    --role="roles/cloudkms.cryptoKeyEncrypterDecrypter"

Ersetzen Sie Folgendes:

• KEY_NAME: der Name des Cloud Key Management Service-Schlüssels, der für den Backup Vault konfiguriert ist.
• KEY_RING_NAME: der Name des Schlüsselbunds, in dem der Schlüssel gespeichert ist.
• LOCATION: der Speicherort des Schlüsselbunds
• VAULT_PROJECT_NUMBER: die Projektnummer des Projekts, in dem sich der Backup Vault befindet.

Hinweis

1. Aktivieren Sie die Backup and DR API dort, wo sich die Filestore-Instanzen befinden.

   API aktivieren

2. Backup Vault erstellen

3. Sicherungsplan erstellen

4. IAM-Rollen und -Berechtigungen dem Sicherungsnutzer zuweisen

5. Zugriff auf Backup Vault im Filestore-Projekt gewähren

6. Richten Sie Observability Analytics für Ihren Bucket ein, um Backup and DR-Sicherungsjobs zu überwachen.

7. Für CMEK-fähige Instanzen: Wenn Sie Sicherungen in einem CMEK-fähigen Backup Vault speichern, müssen Sie dem Backup and DR-Dienstkonto die erforderlichen CMEK-Berechtigungen für den CMEK-Schlüssel des Backup Vault gewähren.

Filestore-Instanz sichern

Sie sichern Filestore-Instanzen in einem Backup Vault, indem Sie Sicherungspläne anwenden. Sie können Ihre Daten mit einer der folgenden Methoden sichern:

• Geplante Sicherung konfigurieren: Filestore-Instanzen werden automatisch in bestimmten Intervallen gesichert, z. B. täglich, wöchentlich, monatlich oder jährlich.

• On-Demand-Sicherung erstellen: Sie können bei Bedarf On-Demand-Sicherungen erstellen, z. B. bevor Sie wichtige Änderungen an Ihren Instanzen vornehmen oder für den Ad-hoc-Datenschutz.

Geplante Sicherung konfigurieren

So konfigurieren Sie eine geplante Sicherung für Filestore-Instanzen:

Console

1. Rufen Sie in der Google Cloud Console die Seite Vaulted Backups auf.

   Zu Vault-Sicherungen

2. Klicken Sie auf Sicherung planen.

3. Wählen Sie in der Liste Ressourcentyp die Option Filestore-Instanz aus.

4. Wählen Sie in der Liste Projekt ein Projekt aus, in dem sich die Filestore-Instanz befindet.

5. Wählen Sie in der Liste Region die Region aus, in der sich Ihre Instanz befindet.

6. Klicken Sie in der Liste Ressourcen auf Durchsuchen. Wählen Sie die Filestore-Instanz aus, die Sie sichern möchten, und klicken Sie auf Fertig.

7. Klicken Sie auf Weiter.

8. Klicken Sie in der Liste Sicherungsplan auf Auswählen.

9. Wählen Sie einen Sicherungsplan aus, mit dem Sie die Filestore-Instanz schützen möchten.

10. Klicken Sie auf Fertig.

11. Prüfen Sie die Sicherungsdetails und klicken Sie auf Zeitplan.

gcloud

1. Geplante Sicherung konfigurieren

     gcloud backup-dr backup-plan-associations create BACKUP_PLAN_ASSOCIATION_NAME 
   
     --location=LOCATION 
   
     --backup-plan=BACKUP_PLAN 
   
     --resource=projects/PROJECT_ID/locations/RESOURCE_LOCATION/instances/INSTANCE_NAME 
   
     --resource-type='file.googleapis.com/Instance'
     

   Ersetzen Sie Folgendes:

   • BACKUP_PLAN_ASSOCIATION_NAME: Der Name der Sicherungsplanverknüpfung.
   • LOCATION: Der Speicherort der Sicherungsplanverknüpfung.
   • BACKUP_PLAN: Der Name des Sicherungsplans.
   • PROJECT_ID: Die Projekt-ID der Filestore-Instanz.

   • RESOURCE_LOCATION: Der Standort der Ressource.

     Die Ressource kann zwei Typen haben:

     • Regional: projects/my-gcp-project/locations/us-central1/instances/my-regional-fs (regionale Instanz)
     • Zonal: projects/my-awesome-project/locations/us-central1-a/instances/my-filestore-instance (zonale Instanz)

   • INSTANCE_NAME: Der Name der Filestore-Instanz.

     Hinweis :Bei einer zonalen Ressource muss sich --resource in derselben Region wie --location befinden. Ein zonaler Standort wie Region us-central1, Zone a kann durch us-central1-a angegeben werden.

Sicherungsplan für eine Filestore-Instanz ändern

Sie können den auf eine Filestore-Instanz angewendeten Sicherungsplan in einen anderen Sicherungsplan ändern. Der andere Sicherungsplan muss die folgenden Kriterien erfüllen:

• Dasselbe Backup Vault verwenden
• Muss sich in derselben Region wie die Filestore-Instanz befinden

So ändern Sie den Sicherungsplan, der einer Filestore-Instanz zugeordnet ist:

Console

1. Rufen Sie in der Google Cloud Console die Seite Vaulted Backups auf.

   Zu Vault-Sicherungen

   Auf der Seite Vaulted backups (Gesicherte Back-ups) werden nur die Instanzen aufgeführt, auf die Sicherungspläne angewendet wurden und deren Back-ups in einem Backup Vault innerhalb eines Projekts gespeichert sind.

2. Wählen Sie die Sicherung aus, für die ein anderer Tarif gelten soll. Wählen Sie entweder auf der Detailseite für das Backup oder im -Menü die Option Sicherungsplan ändern aus. Im Fenster Sicherungsplan auswählen werden nur die Sicherungspläne aufgeführt, die für diese Instanz gültig sind.

3. Wählen Sie einen Sicherungsplan aus und klicken Sie auf Anwenden.

gcloud

• Verknüpfung des Sicherungsplans erstellen:

  gcloud backup-dr backup-plan-associations create BACKUP_PLAN_ASSOCIATION_NAME \
  --location=LOCATION \
  --backup-plan=BACKUP_PLAN \
  --resource=projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME \
  --resource-type='file.googleapis.com/Instance'
  

  Ersetzen Sie Folgendes:

  • BACKUP_PLAN_ASSOCIATION_NAME: der Name der Sicherungsplanverknüpfung.
  • LOCATION: der Speicherort der Sicherungsplanverknüpfung.
  • BACKUP_PLAN: der Name des Sicherungsplans.
  • PROJECT_ID: Die Projekt-ID der Filestore-Instanz.
  • ZONE: Die Zone der Filestore-Instanz.
  • INSTANCE_NAME: der Name der Filestore-Instanz.

• So löschen Sie eine Sicherungsplanverknüpfung:

  gcloud backup-dr backup-plan-associations delete BACKUP_PLAN_ASSOCIATION_NAME \
  --location=LOCATION
  

  Ersetzen Sie Folgendes:

  • BACKUP_PLAN_ASSOCIATION_NAME: der Name der Sicherungsplanverknüpfung.
  • LOCATION: der Speicherort der Sicherungsplanverknüpfung.

• Beschreiben Sie eine Verknüpfung des Sicherungsplans:

  gcloud backup-dr backup-plan-associations describe BACKUP_PLAN_ASSOCIATION_NAME \
  --location=LOCATION
  

  Ersetzen Sie Folgendes:

  • BACKUP_PLAN_ASSOCIATION_NAME: der Name der Sicherungsplanverknüpfung.
  • LOCATION: der Speicherort der Sicherungsplanverknüpfung.

• Sicherungsplanverknüpfungen auflisten:

  gcloud backup-dr backup-plan-associations list --location=LOCATION
  

  Ersetzen Sie Folgendes:

  • LOCATION: der Standort, für den Sicherungsplanzuordnungen aufgeführt werden sollen.

• So lösen Sie eine Sicherung für eine Verknüpfung des Sicherungsplans aus:

  gcloud backup-dr backup-plan-associations trigger-backup BACKUP_PLAN_ASSOCIATION_NAME \
  --location=LOCATION \
  --backup-rule-id=RULE_ID
  

  Ersetzen Sie Folgendes:

  • BACKUP_PLAN_ASSOCIATION_NAME: der Name der Sicherungsplanverknüpfung.
  • LOCATION: der Speicherort der Sicherungsplanverknüpfung.
  • RULE_ID: die ID der zu verwendenden Sicherungsregel.

Geplante Sicherungen auflisten

So listen Sie die gesicherten Filestore-Instanzen auf:

Console

1. Rufen Sie in der Google Cloud Console die Seite Vaulted Backups auf.

   Zu Vault-Sicherungen

   Auf der Seite Vaulted backups (Gesicherte Back-ups) werden nur die Instanzen aufgeführt, auf die Sicherungspläne angewendet wurden und deren Back-ups in einem Backup Vault innerhalb eines Projekts gespeichert sind.

gcloud

1. Geplante Sicherungen auflisten.

   gcloud backup-dr backup-plan-associations list \
     --location=LOCATION \
     --project=PROJECT_ID
   

   Ersetzen Sie Folgendes:

   • PROJECT_ID: der Name des Projekts.
   • LOCATION: der Speicherort der geplanten Sicherungen.

On-Demand-Sicherung erstellen

Sie können eine On-Demand-Sicherung für eine Filestore-Instanz mit einem Sicherungsplan starten, indem Sie die gewünschte Sicherungsregel sofort ausführen. Bei On‑Demand-Sicherungen werden in der Regel nur die Daten erfasst, die sich seit der letzten Sicherung geändert haben (inkrementell).

Wenn Sie eine On-Demand-Sicherung erstellen, können Sie eine Regel aus dem Sicherungsplan auswählen, der der Filestore-Instanz zugeordnet ist. Diese Regel bestimmt, wann die On‑Demand-Sicherung gelöscht wird. Sie können den Status des Sicherungsjobs auf der Seite Jobs prüfen. Weitere Informationen finden Sie unter Sicherungs- und Wiederherstellungsjobs in der Google Cloud Console überwachen.

Hinweis :Es kann immer nur ein Sicherungsjob gleichzeitig ausgeführt werden. Wenn ein On-Demand- oder geplanter Sicherungsjob bereits ausgeführt wird und Sie versuchen, einen weiteren On-Demand-Sicherungsjob zu starten, schlägt der neue Job mit dem Fehler Unable to queue the operation fehl.

So erstellen Sie eine On-Demand-Sicherung:

Console

1. Rufen Sie in der Google Cloud Console die Seite Vaulted Backups auf.

   Zu Vault-Sicherungen

   Auf der Seite Vaulted backups (Gesicherte Back-ups) werden nur die Instanzen aufgeführt, auf die Sicherungspläne angewendet wurden und deren Back-ups in einem Backup Vault innerhalb eines Projekts gespeichert sind.

2. Wählen Sie die Filestore-Instanz aus, die Sie sichern möchten. Wählen Sie entweder rechts neben der Instanz im Menü  oder auf der Detailseite der Instanz die Option On-Demand-Sicherung erstellen aus.

3. Wählen Sie im Bereich On-Demand-Sicherung erstellen aus, wann diese Sicherung gelöscht werden soll:

   • Auf Basis der benutzerdefinierten Aufbewahrungsdauer: Standardmäßig wird das Limit als erzwungene Mindestaufbewahrungsdauer des Backup Vaults plus 30 Tage festgelegt. Wenn Sie ein anderes Limit festlegen möchten, wählen Sie die Anzahl der Tage aus oder geben Sie sie ein.
   • Auf Basis einer vorhandenen Sicherungsregel: Wählen Sie in der Drop-down-Liste eine Regel aus Ihrem Sicherungsplan aus.

4. Klicken Sie auf Erstellen, um den On-Demand-Sicherungsjob zu starten.

5. Wenn Sie den Status des On-Demand-Sicherungsjobs aufrufen möchten, klicken Sie auf Benachrichtigungen.

Hinweis :Die On‑Demand-Sicherung wird im Backup Vault gespeichert, der im zugehörigen Sicherungsplan konfiguriert ist.

gcloud

• Erstellen Sie eine On‑Demand-Sicherung, die eine Sicherungsregel verwendet.

  gcloud backup-dr backup-plan-associations trigger-backup BACKUP_PLAN_ASSOCIATION_NAME \
  --project=PROJECT_ID \
  --location=REGION \
  --backup-rule-id=RULE_ID \
  --labels=LABELS
  

Ersetzen Sie Folgendes:

• BACKUP_PLAN_ASSOCIATION_NAME: der Name der Sicherungsplanverknüpfung. Führen Sie gcloud backup-dr backup-plan-associations list --location=LOCATION --project=PROJECT_ID aus, um die Liste der Sicherungspläne abzurufen, die mit dem Filestore-Laufwerk verknüpft sind.

• PROJECT_ID: der Name des Projekts.

• REGION: der Speicherort der geplanten Sicherungen.

• RULE_ID: Der Name der Sicherungsregel, die Sie für die Ausführung von On-Demand-Sicherungen verknüpfen möchten.

• LABELS: Optionale Labels für das Backup als kommagetrennte Schlüssel/Wert-Paare wie webserver=backend,media=images.

• Erstellen Sie eine On‑Demand-Sicherung mit benutzerdefinierter Aufbewahrung.

  gcloud backup-dr backup-plan-associations trigger-backup BACKUP_PLAN_ASSOCIATION_NAME \
    --project=PROJECT_ID \
    --location=REGION \
    --custom-retention-days=CUSTOM_RETENTION \
    --labels=LABELS
  

  Ersetzen Sie Folgendes:

  • BACKUP_PLAN_ASSOCIATION_NAME: der Name der Sicherungsplanverknüpfung. Führen Sie den Befehl gcloud backup-dr backup-plan-associations list --location=LOCATION --project=PROJECT_ID aus, um die Liste der Sicherungspläne abzurufen, die dem Filestore-Laufwerk zugeordnet sind.

  • PROJECT_ID: der Name des Projekts.

  • REGION: der Speicherort der geplanten Sicherungen.

  • CUSTOM_RETENTION: Der benutzerdefinierte Aufbewahrungszeitraum in Tagen für diese On-Demand-Sicherung. Dieser Wert muss größer oder gleich der Aufbewahrungsdauer des Backup Vaults und kleiner oder gleich dem Wert „max-custom-on-demand-retention-days“ sein, der im Sicherungsplan konfiguriert ist (oder der Aufbewahrungsdauer des Vaults + 30 Tage, wenn „max-custom-on-demand-retention-days“ nicht konfiguriert ist).

  • LABELS: Optionale Labels für das Backup als kommagetrennte Schlüssel/Wert-Paare wie webserver=backend,media=images.

Schutz einer Filestore-Instanz aufheben

Sie können den Schutz einer Filestore-Instanz aufheben, indem Sie den auf die Instanz angewendeten Sicherungsplan entfernen. Wenn Sie einen Sicherungsplan aus einer Filestore-Instanz entfernen, wird der Sicherungsplan oder Sicherungen, die während der Verwendung der Instanz erstellt wurden, nicht gelöscht. Sie können weiterhin auf diese vorhandenen Sicherungen zugreifen und sie verwalten.

So heben Sie den Schutz einer Filestore-Instanz auf:

Console

1. Rufen Sie in der Google Cloud Console die Seite Vaulted Backups auf.

   Zu Vault-Sicherungen

2. Klicken Sie auf den Namen der Instanz, für die Sie einen Sicherungsplan entfernen möchten.

3. Wählen Sie Sicherungsplan entfernen aus.

gcloud

1. Schutz einer Filestore-Instanz aufheben

   gcloud backup-dr backup-plan-associations delete BACKUP_PLAN_ASSOCIATION_NAME \
     --project=PROJECT_ID \
     --location=LOCATION
   

   Ersetzen Sie Folgendes:

   • BACKUP_PLAN_ASSOCIATION_NAME: Der Name der Sicherung, die Sie löschen möchten.
   • PROJECT_ID: der Name des Projekts.
   • LOCATION: der Speicherort der geplanten Sicherung.

Nächste Schritte

• Filestore-Instanz aus einem Backup Vault wiederherstellen
• Datenquellen in der Google Cloud Konsole verwalten
• Sicherungen in der Google Cloud Console verwalten