Bersiap untuk men-deploy perangkat pencadangan/pemulihan

Perhatian: Dukungan untuk mencadangkan dan memulihkan workload yang dikelola menggunakan konsol pengelolaan peralatan lama tidak digunakan lagi. Untuk mengetahui informasi selengkapnya, lihat Penghentian fitur dalam dokumentasi Backup and DR.

Sebelum memulai

Sebaiknya baca Merencanakan deployment Backup and DR sebelum memulai bagian ini.

Halaman ini menjelaskan persyaratan Google Cloud yang harus dipenuhi sebelum Anda mengaktifkan Google Cloud Backup and DR yang harus dilakukan di konsolGoogle Cloud .

Semua tugas yang diuraikan di halaman ini harus dilakukan di Google Cloud project tempat Anda men-deploy peralatan pencadangan/pemulihan. Jika project ini adalah project layanan VPC Bersama, beberapa tugas akan dilakukan di project VPC dan beberapa di project workload.

Mengizinkan project image tepercaya

Izin yang diperlukan untuk langkah ini

Ini adalah kebijakan tingkat organisasi yang mungkin tidak ditetapkan atau bahkan tidak ada. Untuk mengubahnya, pengguna Anda harus memiliki izin berikut:

• orgpolicy.policies.create
• orgpolicy.policies.delete
• orgpolicy.policies.delete
• orgpolicy.policy.get
Contoh peran yang memiliki izin ini meliputi: Organization Policy Administrator

Jika Anda telah mengaktifkan kebijakan constraint/compute.trustedImageProjects di kebijakan Organisasi, project sumber yang dikelola Google Clouduntuk image yang digunakan untuk men-deploy peralatan pencadangan/pemulihan tidak diizinkan. Anda perlu menyesuaikan kebijakan organisasi ini dalam project tempat peralatan pencadangan/pemulihan di-deploy untuk menghindari error pelanggaran kebijakan selama deployment seperti yang dijelaskan dalam petunjuk berikut:

1. Buka halaman Organization policies dan pilih project tempat Anda men-deploy peralatan.

   Buka Organization policies

2. Dalam daftar kebijakan, klik Define trusted image projects.

3. Klik Edit untuk menyesuaikan batasan image tepercaya yang ada.

4. Pada halaman Edit, pilih Customize.

5. Pilih dari tiga kemungkinan berikut:

   Kebijakan turunan yang ada

   Jika ada kebijakan turunan yang sudah ada, selesaikan langkah-langkah berikut:

   1. Untuk Policy enforcement, pilih Merge with parent.

   2. Klik Tambahkan Aturan.

   3. Pilih Custom dari menu drop-down Policy values untuk menetapkan batasan pada project image tertentu.

   4. Pilih Allow dari menu drop-down Policy type untuk menghapus batasan bagi project image yang ditentukan.

   5. Di kolom Custom values, masukkan nilai kustom sebagai projects/backupdr-images.

   6. Klik Done.

   Aturan Izinkan yang ada

   Jika ada aturan Allow yang sudah ada, selesaikan langkah-langkah berikut:

   1. Biarkan Policy enforcement pada pilihan default.

   2. Pilih aturan Allow yang ada.

      Perhatian: Jika ada aturan, gunakan aturan tersebut. Jangan mencoba menambahkan aturan tambahan.

   3. Klik Add value untuk menambahkan project image tambahan dan masukkan nilai sebagai projects/backupdr-images.

   4. Klik Done.

   Tidak ada kebijakan atau aturan yang ada

   Jika belum ada aturan, pilih Add rule, lalu selesaikan langkah-langkah berikut:

   1. Biarkan Policy enforcement pada pilihan default.

   2. Pilih Custom dari menu drop-down Policy values untuk menetapkan batasan pada project image tertentu.

   3. Pilih Allow dari menu drop-down Policy type untuk menghapus batasan bagi project image yang ditentukan.

   4. Di kolom Custom values, masukkan nilai kustom sebagai projects/backupdr-images.

   5. Jika Anda menetapkan batasan level project, batasan tersebut mungkin bertentangan dengan batasan yang ada yang ditetapkan di organisasi atau folder Anda.

   6. Klik Add value untuk menambahkan project image tambahan, lalu klik Done.

   7. Klik Simpan.

6. Klik Simpan untuk menerapkan batasan.

   Untuk mengetahui informasi selengkapnya tentang cara membuat kebijakan organisasi, lihat Membuat dan mengelola kebijakan organisasi.

Proses deployment

Untuk meluncurkan penginstalan, Backup and DR membuat akun layanan untuk menjalankan penginstal. Akun layanan memerlukan hak istimewa di project host, project layanan peralatan pencadangan/pemulihan, dan project layanan konsol pengelolaan peralatan. Untuk mengetahui informasi selengkapnya, lihat akun layanan.

Akun layanan yang digunakan untuk penginstalan menjadi akun layanan dari peralatan pencadangan/pemulihan. Setelah penginstalan, izin akun layanan dikurangi menjadi hanya izin yang diperlukan oleh peralatan pencadangan/pemulihan.

Jika Anda men-deploy beberapa peralatan pencadangan/pemulihan, setiap peralatan harus dikaitkan dengan Akun Layanan yang unik. Menggunakan Akun Layanan yang sama untuk beberapa perangkat dapat menyebabkan waktu tunggu pendaftaran habis atau kegagalan pengelolaan.

Konsol pengelolaan peralatan di-deploy saat Anda menginstal peralatan pencadangan/pemulihan pertama. Anda dapat men-deploy Backup and DR di VPC Bersama atau di VPC non-bersama.

Backup and DR di VPC yang tidak dibagikan

Saat men-deploy konsol pengelolaan peralatan dan peralatan pencadangan/pemulihan pertama berada dalam satu project dengan VPC yang tidak dibagikan, ketiga komponen Backup and DR berada dalam project yang sama.

Catatan: CMEK harus dinonaktifkan pada project tempat peralatan pencadangan/pemulihan di-deploy.

Jika VPC dibagikan, lihat Backup and DR di VPC Bersama.

Mengaktifkan API yang diperlukan untuk penginstalan di VPC non-bersama

Sebelum mengaktifkan API yang diperlukan untuk penginstalan di VPC yang tidak dibagikan, tinjau region yang didukung deployment Backup and DR. Lihat Wilayah yang didukung.

Untuk menjalankan penginstal di VPC non-bersama, API berikut harus diaktifkan. Untuk mengaktifkan API, Anda memerlukan peran Service usage admin.

API	Nama layanan
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com
Workflows ^1	workflows.googleapis.com
Cloud Key Management Service (KMS)	cloudkms.googleapis.com
Identity and Access Management	iam.googleapis.com
Cloud Logging	logging.googleapis.com

¹ Layanan alur kerja didukung di region yang tercantum. Jika layanan Workflows tidak tersedia di region tempat appliance pencadangan/pemulihan di-deploy, Backup and DR akan ditetapkan secara default ke region "us-central1". Jika memiliki kebijakan organisasi yang ditetapkan untuk mencegah pembuatan resource di region lain, Anda harus memperbarui kebijakan organisasi untuk sementara agar dapat membuat resource di region "us-central1". Anda dapat membatasi region "us-central1" setelah deployment appliance pencadangan/pemulihan.

Akun pengguna memerlukan izin ini di project VPC yang tidak dibagikan

Peran yang diinginkan	Izin diperlukan
resourcemanager.projectIamAdmin (Project IAM Admin)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Service Usage Admin)	serviceusage.services.list
iam.serviceAccountUser (Service Account User)	iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Service Account Admin)	iam.serviceAccounts.create
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
workflows.editor (Workflows Editor)	workflows.workflows.create
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
backupdr.admin (Backup and DR Admin)	backupdr.*
viewer (Basic)	Memberikan izin yang diperlukan untuk melihat sebagian besar resource Google Cloud .

Backup and DR di VPC Bersama

Saat men-deploy konsol pengelolaan peralatan dan peralatan pencadangan/pemulihan pertama di project VPC Bersama, Anda harus mengonfigurasi ketiga project ini di project host atau di satu atau beberapa project layanan:

Sebelum mengaktifkan API yang diperlukan untuk penginstalan di VPC Bersama, tinjau wilayah yang didukung deployment Backup and DR. Lihat Wilayah yang didukung.

Catatan: CMEK harus dinonaktifkan pada project tempat peralatan pencadangan/pemulihan di-deploy.

• Project pemilik VPC: Project ini memiliki VPC yang dipilih. Pemilik VPC selalu merupakan project host.

• project konsol pengelolaan peralatan: Di sinilah Backup and DR API diaktifkan dan tempat Anda mengakses konsol pengelolaan peralatan untuk mengelola workload.

• Project peralatan pencadangan/pemulihan: Di sinilah peralatan pencadangan/pemulihan diinstal dan biasanya tempat resource yang dilindungi berada.

Dalam VPC Bersama, ini dapat berupa satu, dua, atau tiga project.

Jenis	Pemilik VPC	Konsol pengelolaan peralatan	Perangkat pencadangan/pemulihan
HHH	Project host	Project host	Project host
HHS	Project host	Project host	Project layanan
HSH	Project host	Project layanan	Project host
HSS	Project host	Project layanan	Project layanan
HS2	Project host	Project layanan	Project layanan yang berbeda

Deskripsi strategi deployment

• HHH: VPC Bersama. Pemilik VPC, konsol pengelolaan peralatan, dan peralatan pencadangan/pemulihan semuanya berada dalam project host.

• HHS: VPC Bersama. Pemilik VPC dan konsol pengelolaan peralatan berada di project host, dan peralatan pencadangan/pemulihan berada di project layanan.

• HSH: VPC Bersama. Pemilik VPC dan peralatan pencadangan/pemulihan berada di project host, dan konsol pengelolaan peralatan berada di project layanan.

• HSS: VPC Bersama. Pemilik VPC berada di project host, sedangkan peralatan pencadangan/pemulihan dan konsol pengelolaan peralatan berada dalam satu project layanan.

• HS2: VPC Bersama. Pemilik VPC berada di project host, sedangkan peralatan pencadangan/pemulihan dan konsol pengelolaan peralatan berada di dua project layanan yang berbeda.

Aktifkan API yang diperlukan ini untuk penginstalan di project host

Untuk menjalankan penginstal, API berikut harus diaktifkan. Untuk mengaktifkan API, Anda memerlukan peran Service usage admin.

API	Nama layanan
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com

Mengaktifkan API yang diperlukan ini untuk penginstalan di project perangkat pencadangan/pemulihan

API	Nama layanan
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com
Workflows ^1	workflows.googleapis.com
Cloud Key Management Service (KMS)	cloudkms.googleapis.com
Identity and Access Management	iam.googleapis.com
Cloud Logging	logging.googleapis.com

Catatan: Peralatan pencadangan/pemulihan memerlukan akses ke API Google Cloud . Jika setelan jaringan subnet tidak mengizinkan VM mengakses API Google Cloud , deployment peralatan pencadangan/pemulihan akan gagal. Pastikan subnet tempat Anda men-deploy peralatan pencadangan/pemulihan memiliki akses ke API dan layanan Google Cloud . Lihat Mengonfigurasi akses Google Cloud pribadi|VPC untuk mengetahui informasi tambahan tentang cara mengonfigurasinya.

¹ Layanan alur kerja didukung di region yang tercantum. Jika layanan Workflows tidak tersedia di region tempat appliance pencadangan/pemulihan di-deploy, Backup and DR akan ditetapkan secara default ke region "us-central1". Jika memiliki kebijakan organisasi yang ditetapkan untuk mencegah pembuatan resource di region lain, Anda harus memperbarui kebijakan organisasi untuk sementara agar dapat membuat resource di region "us-central1". Anda dapat membatasi region "us-central1" setelah deployment appliance pencadangan/pemulihan.

Akun pengguna memerlukan izin ini di project pemilik VPC

Catatan: Peran dapat memberikan lebih banyak izin daripada yang Anda perlukan. Untuk izin minimum yang diperlukan, tetapkan hanya izin yang tercantum di kolom Izin yang diperlukan.

Peran yang Diinginkan	Izin diperlukan
resourcemanager.projectIamAdmin (Project IAM Admin)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Service Usage Admin)	serviceusage.services.list

Akun pengguna memerlukan izin ini di project konsol pengelolaan peralatan

Catatan: Peran dapat memberikan lebih banyak izin daripada yang Anda perlukan. Untuk izin minimum yang diperlukan, tetapkan hanya izin yang tercantum di kolom Izin yang diperlukan.

Konsol pengelolaan peralatan di-deploy saat Anda menginstal peralatan pencadangan/pemulihan pertama.

Peran yang Diinginkan	Izin diperlukan
resourcemanager.projectIamAdmin (Project IAM Admin)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
backupdr.admin (Backup and DR Admin)	backupdr.*
viewer (Basic)	Memberikan izin yang diperlukan untuk melihat sebagian besar resource Google Cloud .

Akun pengguna memerlukan izin ini di project peralatan pencadangan/pemulihan

Catatan: Peran dapat memberikan lebih banyak izin daripada yang Anda perlukan. Untuk izin minimum yang diperlukan, tetapkan hanya izin yang tercantum di kolom Izin yang diperlukan.

Peran yang Diinginkan	Izin diperlukan
resourcemanager.projectIamAdmin (Project IAM Admin)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
iam.serviceAccountUser (Service Account User)	iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Service Account Admin)	iam.serviceAccounts.create
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
workflows.editor (Workflows Editor)	workflows.workflows.create
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Service Usage Admin)	serviceusage.services.list

Selain izin akun pengguna akhir, izin lainnya diberikan sementara ke akun layanan yang dibuat atas nama Anda hingga penginstalan selesai.

Mengonfigurasi jaringan

Jika jaringan VPC belum dibuat untuk project target, Anda harus membuatnya sebelum melanjutkan. Lihat Membuat dan mengubah jaringan Virtual Private Cloud (VPC) untuk mengetahui detailnya. Anda memerlukan subnet di setiap region tempat Anda berencana men-deploy peralatan pencadangan/pemulihan, dan harus diberi izin compute.networks.create untuk membuatnya.

Jika Anda men-deploy peralatan pencadangan/pemulihan di beberapa jaringan, gunakan subnet yang tidak memiliki rentang alamat IP yang sama untuk mencegah beberapa peralatan pencadangan/pemulihan memiliki alamat IP yang sama.

Mengonfigurasi Akses Google Pribadi

Peralatan pencadangan/pemulihan berkomunikasi dengan konsol pengelolaan peralatan menggunakan Akses Google Pribadi. Sebaiknya aktifkan Akses Google Pribadi untuk setiap subnet tempat Anda ingin men-deploy peralatan pencadangan/pemulihan.

Subnet tempat appliance pencadangan/pemulihan di-deploy harus berkomunikasi dengan domain unik yang dihosting di domain backupdr.googleusercontent.com. Sebaiknya sertakan konfigurasi berikut di Cloud DNS:

1. Buat zona pribadi untuk nama DNS backupdr.googleusercontent.com.
2. Buat data A untuk domain backupdr.googleusercontent.com dan sertakan masing-masing dari empat alamat IP 199.36.153.8, 199.36.153.9, 199.36.153.10, 199.36.153.11 dari subnet private.googleapis.com 199.36.153.8/30. Jika Anda menggunakan Kontrol Layanan VPC, gunakan 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7 dari subnet restricted.googleapis.com 199.36.153.4/30.
3. Buat data CNAME untuk *.backupdr.googleusercontent.com yang mengarah ke nama domain backupdr.googleusercontent.com.

Hal ini memastikan bahwa resolusi DNS apa pun untuk domain konsol pengelolaan peralatan unik Anda melintas menggunakan Akses Google Pribadi.

Pastikan aturan firewall Anda memiliki aturan egress yang mengizinkan akses pada TCP 443 ke subnet 199.36.153.8/30 atau 199.36.153.4/30. Selain itu, jika Anda memiliki aturan egress yang mengizinkan semua traffic ke 0.0.0.0/0, konektivitas antara peralatan pencadangan/pemulihan dan konsol pengelolaan peralatan akan berhasil.

Membuat bucket Cloud Storage

Anda memerlukan bucket Cloud Storage jika ingin melindungi database dan sistem file menggunakan agen Backup and DR, lalu menyalin cadangan ke Cloud Storage untuk retensi jangka panjang. Hal ini juga berlaku untuk pencadangan VM VMware yang dibuat menggunakan perlindungan data VMware vSphere Storage API.

Izin yang diperlukan untuk langkah ini

Untuk membuat bucket Cloud Storage, Anda memerlukan peran yang berisi izin berikut:

• storage.buckets.get
• storage.objects.create
• storage.objects.delete
• storage.objects.get
• storage.objects.list
• iam.serviceAccountKeys.create
Peran yang memiliki izin ini mencakup Storage Admin dan Editor.

Buat bucket Cloud Storage menggunakan petunjuk berikut:

1. Di konsol Google Cloud , buka halaman Buckets Cloud Storage.
   

   Buka Buckets

2. Klik Create bucket.

3. Masukkan nama untuk bucket.

4. Pilih region untuk menyimpan data Anda, lalu klik Continue.

5. Pilih kelas penyimpanan default, lalu klik Continue. Gunakan Nearline jika retensi adalah 30 hari atau kurang, atau Coldline jika retensi adalah 90 hari atau lebih. Jika retensi antara 30 dan 90 hari, pertimbangkan untuk menggunakan Coldline.

6. Biarkan Uniform access control dipilih, lalu klik Continue. Jangan gunakan fine-grained.

7. Biarkan alat Protection ditetapkan ke None, lalu klik Continue. Jangan pilih opsi lain karena tidak berfungsi dengan Backup and DR.

8. Klik Create.

9. Pastikan akun layanan Anda memiliki akses ke bucket:

   1. Pilih bucket baru Anda untuk menampilkan detail bucket.

   2. Buka Izin.

   3. Di bagian Principals, pastikan akun layanan baru Anda tercantum. Jika belum, gunakan tombol Add untuk menambahkan akun layanan pembaca dan penulis sebagai akun utama.

   Catatan: Akun layanan yang dilampirkan ke peralatan secara default tidak dapat mengakses bucket yang dibuat pengguna karena peran Backup and DR Cloud Storage Operator ditambahkan dengan kondisi IAM yang hanya mengizinkannya mengakses bucket jika bucket yang dibuat dimulai dengan nama yang sama dengan peralatan. Oleh karena itu, Anda harus menambahkan akun layanan secara manual sebagai akun utama terhadap setiap bucket buatan pengguna yang Anda tambahkan ke pool OnVault.

Langkah berikutnya

• Men-deploy Backup and DR