管理 OnVault 池

OnVault 池是指向 Cloud Storage 存储桶或用于存储备份数据的备份保险库的指针。它们在资源配置文件中被引用。 资源配置文件与 OnVault 政策搭配使用，可将备份数据发送到分配的 OnVault 池。

注意： 不支持从指向备份保险库的 OnVault 池执行装载操作。

具有 Cloud Storage 存储桶的自动创建的 OnVault 池

服务账号会根据需要自动创建一个指向 Cloud Storage 存储桶的 OnVault 池，该服务账号附加到设备。此 OnVault 池用于保存虚拟机实例配置和元数据，并在运行时（当备份模板分配给 Compute Engine 实例时）自动创建。Cloud Storage 存储桶的位置取决于备份模板中配置的永久性磁盘快照存储位置或区域。

注意： 自动创建的 OnVault 池只能用于保护 Compute Engine 实例。

在管理控制台中，您可以依次前往管理 > 存储池，打开存储池页面，查看这些 OnVault 池。 存储池页面中自动创建的 OnVault 池会显示为与存储分区相同的名称，即 <backup/recovery-appliance-name>-<random-string>-<region/multi-region>。您无法修改或删除自动创建的 OnVault 池。

在以下场景中，系统会自动创建 OnVault 池：

• 分配给 Compute Engine 实例的备份模板没有池。
• 如果备份模板更新为使用其他区域或多区域，则在首次成功运行快照后，系统会自动创建池。因此，该服务可确保 Persistent Disk 数据和实例虚拟机配置位于同一位置。
• 政策替换应用于受保护的 Compute Engine 实例，使其改用其他区域或多区域；如果该位置不存在池，则在首次成功运行快照后，系统会自动创建池。

如需了解详情，请参阅自动创建的 OnVault 池。

IAM 角色和权限

在添加 OnVault 池之前，您需要将具有所需权限的 Backup and DR Cloud Storage Operator 角色分配给存储桶所在的项目或存储桶本身。在存储桶级层授予权限是一种更精细的方式。

注意： 默认情况下，附加到设备的服务账号无法访问用户创建的存储桶，因为添加 Backup and DR Cloud Storage Operator 角色时附带了 IAM 条件，该条件仅允许服务账号访问以设备名称开头的存储桶。因此，您必须手动将服务账号作为正文添加到您添加到 OnVault 池中的每个用户创建的存储桶。

此角色允许附加到设备的相应服务账号执行 OnVault 操作，并拥有在 OnVault 池中存储和管理备份所需的所有权限，包括访问备份数据、将备份数据从一个 Cloud Storage 存储桶复制到另一个存储分区以及使存储的备份过期。您可以前往 IAM 和管理 > 角色，然后选择 Backup and DR Cloud Storage Operator，验证此角色的权限。

如果您不想分配 Backup and DR Cloud Storage Operator 角色，也可以创建自定义角色并分配以下权限。

• storage.buckets.create
• storage.buckets.get
• storage.objects.create
• storage.objects.delete
• storage.objects.get
• storage.objects.list

添加或修改 OnVault 池

本部分详细介绍了如何添加新的 OnVault 池或修改现有 OnVault 池。

准备工作

OnVault 池需要访问 Cloud Storage。在添加 OnVault 池之前，请完成以下操作：

• 确定或创建一个用于保存备份数据的存储桶：

  • 支持所有存储类别和位置。请根据数据保留情况使用适当的类别。请先咨询销售或支持组织，然后再使用归档类别。

  • 必须停用 Cloud Storage 存储桶的版本控制和保留功能。

    注意： Backup and DR Service 不支持设置为以秒为单位使用保留政策时长的 Google Cloud 存储分区。如果相应存储桶的项目已启用 constraints/storage.retentionPolicySeconds，请先将其停用，然后再创建 OnVault 池。

  • 必须停用 Cloud Storage 存储桶的软删除政策。

  • 任何新存储桶的访问权限控制都应设置为统一。

  • Google-owned and Google-managed encryption keys 并支持客户管理的加密密钥 (CMEK)。

  • 将备份/恢复设备的相应服务账号以主账号身份添加到存储桶中，并为其授予所需的角色和权限。您需要为每个用户创建的存储桶执行此操作。

  • 拥有存储桶详细信息，因为在选择设备后，系统会自动填充服务账号字段，这是因为该字段使用附加到备份/恢复设备的服务账号。

  • 确保服务账号具有对相应存储桶的访问权限，并且在项目级层或存储桶级层拥有具有所需权限的角色。

    注意： 在部署设备时，系统会自动创建 OnVault 池。默认情况下，此池用于默认的云凭据。此 OnVault 池只能用于保护 Compute Engine 实例。 如需了解详情，请参阅默认云凭据。

您可以使用同一备份/恢复设备服务账号在备份/恢复设备上创建任意数量的 OnVault 池。添加 OnVault 池的步骤因备份/恢复设备的软件版本而异。如需确定当前使用的是哪个版本，请依次前往管理 > 设备，然后查看版本列。

下表重点介绍了已部署设备版本的 OnVault 池的行为。

添加 OnVault 池

请按照以下说明添加 OnVault 池。

1. 点击管理，然后从下拉菜单中选择存储池。
2. 点击页面右上角的 Add OnVault Pool。
3. 输入 OnVault 池名称。有效字符包括字母、数字、空格、连字符 (-) 和下划线 (_)。

4. 选择池类型。选择默认选项“Cloud Storage”。 Cloud Storage 池类型支持所有存储类别，除非需要与旧版 OnVault 池向后兼容，否则必须使用此类型。创建 OnVault 池后，您无法更改池类型。

   注意： 对于旧版 OnVault 池，请根据存储桶的存储类别选择 Coldline 存储空间或 Nearline 存储空间。

5. 从设备下拉菜单中，选择要向其添加 OnVault 池的设备。

   只读服务账号字段会自动填充。

6. 在 Bucket（存储桶）字段中，输入存储数据的存储桶的名称。存储桶必须已存在，并确保存储桶名称正确无误。从 Google Cloud 控制台页面获取存储桶名称，依次点击 Cloud Storage 和存储桶。在第 5 步中显示的服务账号需要有权访问存储桶（在存储桶级层或项目级层）。Coldline 和 Nearline 要求存储桶具有精细 ACL。

7. 指定 OnVault 池中的数据应以压缩格式还是未压缩格式存储。压缩数据可降低存储费用，但需要额外的计算容量，以便备份/恢复设备在传输之前压缩数据。在大多数情况下，您需要让压缩复选框保持选中状态。压缩还可以减少网络流量。

8. 在高级选项下，完成以下操作：

   1. 选择对象大小。值的范围为 64KB 到 8MB。在大多数情况下，最好使用 1MB 的默认值。更改对象大小可能会对用于 OnVault 的存储服务的性能和费用产生不利影响。

      注意： 除非有明确建议，否则请勿更改对象大小的默认值。

9. 如果使用代理，请输入代理服务器的地址和端口号。

10. 点击保存。

修改 OnVault 池

注意： 创建 OnVault 池后，Backup and DR Service 不支持更改池类型。解决方法是使用具有不同存储桶类的存储桶创建新池，但备份到此池的作业将是新的完整备份。

按照以下说明修改 OnVault 池。

1. 点击管理，然后从下拉菜单中选择存储池。
2. 选择要修改的 OnVault 池，然后点击页面右下角的修改按钮。
3. 根据需要修改 OnVault 池名称和存储分区详细信息。根据需要启用或停用压缩。您无法修改服务账号。

4. 在高级选项下，根据需要更改对象大小和代理服务器。更改对象大小可能会对 OnVault 所用存储服务的性能和费用产生不利影响。

   注意： 除非另有建议，否则请勿更改对象的默认大小。

5. 点击更新。

   注意： 如果您更改对象大小，则对该池的下一个备份作业将是新的完整备份。

将基于 OnVault 的 JSON 密钥池替换为基于服务账号的 OnVault 池

如果您有使用 JSON 密钥进行身份验证而创建的 OnVault 池，则无法将该 OnVault 池切换为使用设备服务账号身份验证。请改为创建新的 OnVault 池，并使用之前用于创建该池的相同存储桶详细信息（使用 JSON 密钥）。

按照以下说明将 OnVault 池替换为设备服务账号池。

1. 添加新的 OnVault 池，并在存储桶字段中使用与创建具有 JSON 密钥的 OnVault 池时相同的存储桶名称。
2. 在管理控制台中，依次前往备份方案 > 配置文件。
3. 选择使用通过 JSON 密钥创建的旧 OnVault 池的个人资料。
4. 点击修改。
5. 在 OnVault 池下拉菜单中，选择使用服务账号创建的新 OnVault 池。

6. 点击保存。

   所有新映像都将在新定义的 OnVault 池中创建。请注意，在之前在该池中创建的所有映像过期之前，您无法删除旧的 OnVault 池。

删除 OnVault 池

按照以下说明删除 OnVault 池。

• 确保没有指定该池的备份方案资源配置文件。

• 使池中的所有 OnVault 映像过期。除非应用不受保护或图片被明确标记为已过期，否则最后一个 OnVault 图片永远不会过期。

  注意： 如果 Cloud Storage 存储桶仍被定义为 OnVault 池，请勿将其删除。请务必先删除使用相应存储桶的 OnVault 池，然后再删除 Cloud Storage 存储桶。

按照以下说明从设备中删除 OnVault 池：

1. 点击管理，然后从下拉菜单中选择存储池。
2. 右键点击要删除的 OnVault 池，然后选择删除。
3. 点击确认。

访问 OnVault 池中的数据

获得使用 OnVault 池的资源配置文件和包含 OnVault 政策的备份模板后，您可以在备份方案标签页中将资源配置文件和备份模板应用于应用和虚拟机。OnVault 政策会根据其时间表运行，捕获的映像会写入资源配置文件中指定的 OnVault 池。

在初始完整备份之后，快照到 OnVault 政策遵循 Backup and DR 的“永久增量”模型，其中仅捕获数据更改并将其发送到存储。

首次捕获操作完成后，可以根据以下规则访问 OnVault 池的存储位置中的数据：

• 备份/恢复设备可以从 OnVault 数据创建克隆。
• 备份/恢复设备无法从 OnVault 数据创建 LiveClone。
• 备份/恢复设备可以装载 OnVault 数据。
• 备份/恢复设备可以装载 OnVault 池中的数据，但它会先将所有数据复制到快照池，然后再进行装载。
• 备份/恢复设备可以对 OnVault 池中的数据执行应用感知装载。

将备份发送到 OnVault 池

“Snapshot to OnVault”和“Direct to OnVault”政策控制着数据向存储空间的转移。它们提供了一个用于确定何时发送数据的时间表，以及一个用于定义数据保留时长的定义。资源配置文件和 OnVault 模板的组合构成了应用所应用的备份方案。如需创建 OnVault 池，请参阅添加 OnVault 池。

注意： 如需了解由 OnVault 池定义的存储空间的背景信息，请参阅复制到由 OnVault 池定义的对象存储空间。

按照以下说明将映像数据转移到 OnVault 存储池定义的存储空间。

1. 确保您已创建 OnVault 池。OnVault 存储池定义了所用的对象存储，并在资源配置文件中指定。

2. 在备份方案中，创建一个包含以下任一内容的模板：

   • 从快照到 OnVault 的政策：使用此政策可安排将虚拟机、文件系统和应用数据移至由 OnVault 池定义的存储空间。 请参阅 OnVault 政策。
   • “直接到 OnVault”政策：使用此政策可安排将 VMware Engine 虚拟机数据移至由 OnVault 池定义的存储空间。如需了解详情，请参阅 OnVault 政策。

3. 在备份方案中，创建一个资源配置文件，用于指定在本地存储数据的位置（如果适用），以及将数据发送到的 OnVault 池。请参阅创建资源配置文件。

4. 在 App Manager 中，选择要复制到 OnVault 池的数据，然后应用备份模板和资源配置文件。

5. 当访问 OnVault 池的存储空间中的数据时，备份/恢复设备可以完成以下操作：

   • 创建克隆。
   • 装载数据。
   注意： 可以直接从主机访问已挂载的数据，但不建议直接针对这些数据运行工作负载。
   • 无法在 OnVault 池中创建 LiveClone。

6. 根据您对 OnVault 池存储空间中存储的数据的访问和恢复要求，您可以在管理控制台的应用管理器的访问窗口中执行装载或克隆操作。

   • 如需了解如何执行装载操作，请参阅装载映像。
   • 如需了解如何执行克隆操作，请参阅克隆概览。

平衡 OnVault 映像的性能和消耗

从 OnVault 池装载映像时，以下四种选项可用于平衡访问数据时的性能与存储需求：

• 存储空间优化：尽可能从快照池读取块，否则直接通过网络从 OnVault 池读取块。写入操作会转到本地快照池。

  使用此选项可以最大限度地减少本地存储空间消耗，但会牺牲读取性能，因为数据会不断通过网络提取。

• 平衡：（默认选项）从 OnVault 池读取的对象会缓存在本地快照池中，以便后续对相同块的读取在本地完成。写入操作会转到本地快照池。 随着越来越多的数据被读取并保存到快照池中，读取性能会逐渐提高。本地存储空间的使用仅限于应用实际需要的数据。

  如果本地存储空间可用且不需要高 I/O 性能，请使用此选项。

• 性能优化：读取块缓存在本地快照池中，因此后续对相同块的读取会在本地完成。此外，所有块都会在后台读取到本地快照池，以创建完整的本地副本。写入操作会转到本地快照池。随着后台进程将数据从 OnVault 复制到本地快照池，读取性能会迅速提升。存储空间要求最高，因为所有数据都会复制到本地存储空间。

  如果既需要快速访问数据，又需要高 I/O 性能，请使用此选项。

• 最高性能：所有块都会读取到本地快照池，以创建完整的本地副本，然后才会装载映像。此选项的本地存储空间用量与性能优化相同，因为所有数据都会复制到本地快照池。

  如果所有应用 I/O 都需要本地存储提供最高性能，并且任何来自 OnVault 池的读取延迟都是不可接受的，那么在建立完整的本地副本之前，不应向应用授予数据访问权限，此时应使用此选项。

  注意： “最高性能”选项仅支持 OnVault 备份图片。

使用 OnVault 池

“从快照到 OnVault”政策和“直接到 OnVault”政策控制着数据向存储空间的转移。它们提供发送数据的时间表，以及数据保留时长的定义。资源配置与 OnVault 模板的组合构成了应用（应用了资源配置和 OnVault 模板）的备份方案。

按照以下说明将图片数据转移到 OnVault 存储池定义的存储空间：

1. 确保您已创建 OnVault 池。OnVault 存储池用于定义所使用的存储空间，并在资源配置文件中指定。

2. 在备份方案中，创建一个包含以下任一内容的模板：

   • “快照到 OnVault”政策：使用此政策可安排将虚拟机、文件系统和应用数据移至由 OnVault 池定义的存储空间。 请参阅 OnVault 政策。
   • 直接迁移到 OnVault 政策：使用此政策可安排将 Google Cloud VMware Engine 虚拟机数据迁移到由 OnVault 池定义的存储空间。如需了解详情，请参阅 OnVault 政策。

3. 在备份方案中，创建一个资源配置文件，用于指定在本地存储数据的位置（如果适用），以及将数据发送到的 OnVault 池。请参阅创建资源配置文件。

4. 在应用管理器中，选择要复制到 OnVault 池的数据，然后应用备份模板和资源配置文件。

5. 备份/恢复设备在访问 OnVault Pool 的存储空间中的数据时，可以完成以下操作：

   • 创建克隆
   • 装载数据
   注意： 可以直接从主机访问已挂载的数据，但不建议直接针对此数据运行工作负载。
   • 无法在 OnVault 池中创建 LiveClone。

6. 根据您对 OnVault 池存储空间中存储的数据的访问和恢复要求，您可以在管理控制台中通过应用管理器的访问窗口执行装载或克隆操作。