バックアップ/リカバリ アプライアンスのデプロイを準備する

始める前に

このセクションを始める前に、Backup and DR のデプロイを計画するをご覧ください。

このページでは、Google Cloud コンソールで Google Cloud Backup and DR を有効にする前に満たす必要がある Google Cloud の要件について説明します。

このページで説明するすべてのタスクは、バックアップ / リカバリ アプライアンスをデプロイするGoogle Cloud プロジェクトで実行する必要があります。このプロジェクトが共有 VPC サービス プロジェクトの場合、一部のタスクは VPC プロジェクトで実行され、一部はワークロード プロジェクトで実行されます。

信頼できるイメージ プロジェクトを許可する

組織のポリシーで constraint/compute.trustedImageProjects ポリシーを有効にしている場合、バックアップ / リカバリ アプライアンスのデプロイに使用されるイメージの Google Cloud管理のソース プロジェクトは許可されません。バックアップ / リカバリ アプライアンスがデプロイされているプロジェクトでこの組織のポリシーをカスタマイズして、デプロイ中にポリシー違反エラーが発生しないようにする必要があります。詳細な手順は次のとおりです。

  1. [組織のポリシー] ページに移動し、アプライアンスをデプロイするプロジェクトを選択します。

    [組織のポリシー] に移動

  2. ポリシーリストで、[信頼できるイメージ プロジェクトを定義する] をクリックします。

  3. 既存の信頼できるイメージの制約をカスタマイズするには、[編集] をクリックします。

  4. [編集] ページで、[カスタマイズ] を選択します。

  5. 次の 3 つの選択肢から選択します。

    既存の継承されたポリシー

    既存の継承されたポリシーがある場合は、次の操作を行います。

    1. [ポリシーの適用] で、[親と結合する] を選択します。

    2. [ルールを追加] をクリックします。

    3. [ポリシーの値] プルダウン リストから [カスタム] を選択し、特定のイメージ プロジェクトに制約を設定します。

    4. [ポリシータイプ] プルダウン リストから [許可] を選択して、指定したイメージ プロジェクトの制限を削除します。

    5. [カスタム値] フィールドに、カスタム値として「projects/backupdr-images」と入力します。

    6. [完了] をクリックします。

    既存の許可ルール

    既存の許可ルールがある場合は、次の手順を完了します。

    1. [ポリシーの適用] はデフォルトで選択されたままにします。

    2. 既存の許可ルールを選択します。

    3. [値を追加] をクリックしてイメージ プロジェクトを追加し、値として「projects/backupdr-images」を入力します。

    4. [完了] をクリックします。

    既存のポリシーまたはルールがない

    既存のルールがない場合は、[ルールを追加] を選択して、次の手順を完了します。

    1. [ポリシーの適用] はデフォルトの選択のままにします。

    2. [ポリシーの値] プルダウン リストから [カスタム] を選択し、特定のイメージ プロジェクトに制約を設定します。

    3. [ポリシータイプ] プルダウン リストから [許可] を選択して、指定したイメージ プロジェクトの制限を削除します。

    4. [カスタム値] フィールドに、カスタム値として「projects/backupdr-images」と入力します。

    5. プロジェクト レベルの制約を設定すると、組織またはフォルダに設定されている既存の制約と競合する可能性があります。

    6. [値を追加] をクリックしてイメージ プロジェクトを追加し、[完了] をクリックします。

    7. [保存] をクリックします。

  6. [保存] をクリックして、制約を適用します。

    組織のポリシーの作成の詳細については、組織のポリシーの作成と管理をご覧ください。

デプロイ プロセス

インストールを起動するために、Backup and DR はインストーラを実行するサービス アカウントを作成します。サービス アカウントには、ホスト プロジェクト、バックアップ / リカバリ アプライアンス サービス プロジェクト、アプライアンス管理コンソール サービス プロジェクトに対する権限が必要です。詳細については、サービス アカウントをご覧ください。

インストールに使用されるサービス アカウントは、バックアップ / リカバリ アプライアンスのサービス アカウントになります。インストール後、サービス アカウントの権限は、バックアップ / リカバリ アプライアンスに必要な権限のみに縮小されます。

複数のバックアップ / リカバリ アプライアンスをデプロイする場合は、各アプライアンスを一意のサービス アカウントに関連付ける必要があります。複数のアプライアンスで同じサービス アカウントを使用すると、登録タイムアウトや管理エラーが発生する可能性があります。

アプライアンス管理コンソールは、最初のバックアップ / リカバリ アプライアンスをインストールするときにデプロイされます。Backup and DR は、共有 VPC または非共有 VPC にデプロイできます。

非共有 VPC での Backup and DR

アプライアンス管理コンソールと最初のバックアップ / リカバリ アプライアンスを、共有 VPC ではない単一のプロジェクトにデプロイする場合、3 つの Backup and DR コンポーネントはすべて同じプロジェクトにあります。

VPC が共有されている場合は、共有 VPC での Backup and DR をご覧ください。

非共有 VPC へのインストールに必要な API を有効にする

非共有 VPC でインストールに必要な API を有効にする前に、Backup and DR のデプロイでサポートされているリージョンを確認してください。サポート対象の地域をご覧ください。

非共有 VPC でインストーラを実行するには、次の API を有効にする必要があります。API を有効にするには、Service Usage 管理者のロールが必要です。

API サービス名
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com
ワークフロー 1 workflows.googleapis.com
Cloud Key Management Service（KMS） cloudkms.googleapis.com
Identity and Access Management iam.googleapis.com
Cloud Logging logging.googleapis.com

1 ワークフロー サービスは、記載されているリージョンでサポートされています。バックアップ / リカバリ アプライアンスがデプロイされているリージョンで Workflows サービスを使用できない場合、Backup and DR はデフォルトで「us-central1」リージョンになります。他のリージョンでのリソースの作成を禁止するように設定された組織のポリシーがある場合は、組織のポリシーを一時的に更新して、「us-central1」リージョンでのリソースの作成を許可する必要があります。バックアップ / リカバリ アプライアンスのデプロイ後に「us-central1」リージョンを制限できます。

ユーザー アカウントには、非共有 VPC プロジェクトでこれらの権限が必要です。

希望する役割 必要な権限
resourcemanager.projectIamAdmin（プロジェクト IAM 管理者） resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin（Service Usage 管理者） serviceusage.services.list
iam.serviceAccountUser（サービス アカウント ユーザー） iam.serviceAccounts.actAs
iam.serviceAccountAdmin（サービス アカウント管理者） iam.serviceAccounts.create
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.editor（ワークフロー編集者） workflows.workflows.create
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
backupdr.admin（Backup and DR の管理者） backupdr.*
閲覧者（基本） ほとんどの Google Cloud リソースを表示するために必要な権限を付与します。

共有 VPC での Backup and DR

共有 VPC プロジェクトにアプライアンス管理コンソールと最初のバックアップ / リカバリ アプライアンスをデプロイする場合は、ホスト プロジェクトまたは 1 つ以上のサービス プロジェクトで、次の 3 つのプロジェクトを構成する必要があります。

共有 VPC でインストールに必要な API を有効にする前に、Backup and DR のデプロイでサポートされているリージョンを確認してください。サポート対象の地域をご覧ください。

  • VPC オーナー プロジェクト: 選択した VPC を所有します。VPC のオーナーは常にホスト プロジェクトです。

  • アプライアンス管理コンソール プロジェクト: Backup and DR API が有効になり、アプライアンス管理コンソールにアクセスしてワークロードを管理する場所です。

  • バックアップ / リカバリ アプライアンス プロジェクト: バックアップ / リカバリ アプライアンスがインストールされる場所。通常は、保護対象のリソースが存在する場所です。

共有 VPC では、これらは 1 つ、2 つ、または 3 つのプロジェクトになります。

種類 VPC オーナー アプライアンス管理コンソール バックアップ / リカバリ アプライアンス
HHH ホスト プロジェクト ホスト プロジェクト ホスト プロジェクト
HHS ホスト プロジェクト ホスト プロジェクト サービス プロジェクト
HSH ホスト プロジェクト サービス プロジェクト ホスト プロジェクト
HSS ホスト プロジェクト サービス プロジェクト サービス プロジェクト
HS2 ホスト プロジェクト サービス プロジェクト 別のサービス プロジェクト

デプロイ戦略の説明

  • HHH: 共有 VPC。VPC のオーナー、アプライアンス管理コンソール、バックアップ / リカバリ アプライアンスはすべてホスト プロジェクトにあります。

  • HHS: 共有 VPC。VPC オーナーとアプライアンス管理コンソールはホスト プロジェクトにあり、バックアップ / リカバリ アプライアンスはサービス プロジェクトにあります。

  • HSH: 共有 VPC。VPC のオーナーとバックアップ / リカバリ アプライアンスがホスト プロジェクトにあり、アプライアンス管理コンソールがサービス プロジェクトにある。

  • HSS: 共有 VPC。VPC オーナーはホスト プロジェクトにあり、バックアップ / リカバリ アプライアンスとアプライアンス管理コンソールは 1 つのサービス プロジェクトにあります。

  • HS2: 共有 VPC。VPC オーナーはホスト プロジェクトにあり、バックアップ / リカバリ アプライアンスとアプライアンス管理コンソールは 2 つの異なるサービス プロジェクトにあります。

ホスト プロジェクトにインストールするために必要な API を有効にする

インストーラを実行するには、次の API を有効にする必要があります。API を有効にするには、Service Usage 管理者のロールが必要です。

API サービス名
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com

バックアップ / リカバリ アプライアンス プロジェクトにインストールするために必要な API を有効にする

API サービス名
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com
ワークフロー 1 workflows.googleapis.com
Cloud Key Management Service（KMS） cloudkms.googleapis.com
Identity and Access Management iam.googleapis.com
Cloud Logging logging.googleapis.com

1 ワークフロー サービスは、記載されているリージョンでサポートされています。バックアップ / リカバリ アプライアンスがデプロイされているリージョンで Workflows サービスを使用できない場合、Backup and DR はデフォルトで「us-central1」リージョンになります。他のリージョンでのリソースの作成を禁止するように設定された組織のポリシーがある場合は、組織のポリシーを一時的に更新して、「us-central1」リージョンでのリソースの作成を許可する必要があります。バックアップ / リカバリ アプライアンスのデプロイ後に「us-central1」リージョンを制限できます。

ユーザー アカウントには、VPC オーナー プロジェクトでこれらの権限が必要です。

希望する職種 必要な権限
resourcemanager.projectIamAdmin（プロジェクト IAM 管理者） resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin（Service Usage 管理者） serviceusage.services.list

ユーザー アカウントには、アプライアンス管理コンソール プロジェクトで次の権限が必要です。

アプライアンス管理コンソールは、最初のバックアップ / リカバリ アプライアンスをインストールするときにデプロイされます。

希望する職種 必要な権限
resourcemanager.projectIamAdmin（プロジェクト IAM 管理者） resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
backupdr.admin（Backup and DR の管理者） backupdr.*
閲覧者（基本） ほとんどの Google Cloud リソースを表示するために必要な権限を付与します。

ユーザー アカウントには、バックアップ / リカバリ アプライアンス プロジェクトで次の権限が必要です。

希望する職種 必要な権限
resourcemanager.projectIamAdmin（プロジェクト IAM 管理者） resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccountUser（サービス アカウント ユーザー） iam.serviceAccounts.actAs
iam.serviceAccountAdmin（サービス アカウント管理者） iam.serviceAccounts.create
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.editor（ワークフロー編集者） workflows.workflows.create
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin（Service Usage 管理者） serviceusage.services.list

エンドユーザー アカウントの権限に加えて、インストールが完了するまで、作成されたサービス アカウントに他の権限が一時的に付与されます。

ネットワークの構成

ターゲット プロジェクトの VPC ネットワークがまだ作成されていない場合は、次に進む前に作成する必要があります。詳細については、Virtual Private Cloud（VPC）ネットワークの作成と変更をご覧ください。バックアップ / リカバリ アプライアンスをデプロイする予定の各リージョンにサブネットが必要です。また、サブネットを作成するには compute.networks.create 権限が割り当てられている必要があります。

複数のネットワークにバックアップ / リカバリ アプライアンスをデプロイする場合は、同じ IP アドレス範囲を共有しないサブネットを使用して、複数のバックアップ / リカバリ アプライアンスが同じ IP アドレスを持たないようにします。

プライベート Google アクセスを構成する

バックアップ / リカバリ アプライアンスは、プライベート Google アクセスを使用してアプライアンス管理コンソールと通信します。バックアップ / リカバリ アプライアンスをデプロイするサブネットごとに、プライベート Google アクセスを有効にすることをおすすめします。

バックアップ / リカバリ アプライアンスがデプロイされているサブネットは、ドメイン backupdr.googleusercontent.com でホストされている一意のドメインと通信する必要があります。Cloud DNS に次の構成を含めることをおすすめします。

  1. DNS 名 backupdr.googleusercontent.com の限定公開ゾーンを作成します。
  2. ドメイン backupdr.googleusercontent.com の A レコードを作成し、private.googleapis.com サブネット 199.36.153.8/30 の 4 つの IP アドレス 199.36.153.8、199.36.153.9、199.36.153.10、199.36.153.11 をそれぞれ含めます。VPC Service Controls を使用している場合は、restricted.googleapis.com サブネット 199.36.153.4/30 の 199.36.153.4、199.36.153.5、199.36.153.6、199.36.153.7 を使用します。
  3. ドメイン名 backupdr.googleusercontent.com を指す *.backupdr.googleusercontent.com の CNAME レコードを作成します。

これにより、独自のアプライアンス管理コンソール ドメインの DNS 解決が、限定公開の Google アクセスを使用して行われます。

ファイアウォール ルールに、TCP 443 で 199.36.153.8/30 または 199.36.153.4/30 サブネットへのアクセスを許可する下り（外向き）ルールがあることを確認します。また、0.0.0.0/0 へのすべてのトラフィックを許可する下り（外向き）ルールがある場合、バックアップ / リカバリ アプライアンスとアプライアンス管理コンソール間の接続は成功するはずです。

Cloud Storage バケットを作成する

Backup and DR エージェントを使用してデータベースとファイル システムを保護し、バックアップを Cloud Storage にコピーして長期保存する場合は、Cloud Storage バケットが必要です。これは、VMware vSphere Storage API のデータ保護を使用して作成された VMware VM バックアップにも適用されます。

次の手順で Cloud Storage バケットを作成します。

  1. Google Cloud コンソールで Cloud Storage の [バケット] ページに移動します。

    [バケット] に移動

  2. [バケットを作成] をクリックします。

  3. バケットの名前を入力します。

  4. データを保存するリージョンを選択し、[続行] をクリックします。

  5. デフォルトのストレージ クラスを選択し、[続行] をクリックします。保持期間が 30 日以下の場合は Nearline を使用し、保持期間が 90 日以上の場合は Coldline を使用します。保持期間が 30 ～ 90 日の場合は、Coldline の使用を検討します。

  6. [均一なアクセス制御] を選択したままにして、[続行] をクリックします。きめ細かいものは使用しないでください。

  7. [保護] ツールを [なし] に設定したまま、[続行] をクリックします。他の選択肢は Backup and DR で機能しないため、選択しないでください。

  8. [作成] をクリックします。

  9. サービス アカウントにバケットへのアクセス権があることを確認します。

    1. 新しいバケットを選択して、バケットの詳細を表示します。

    2. [権限] に移動します。

    3. [プリンシパル] に、新しいサービス アカウントが表示されていることを確認します。そうでない場合は、[追加] ボタンを使用して、リーダーとライターの両方のサービス アカウントをプリンシパルとして追加します。

次のステップ