準備部署備份/復原設備

事前準備

建議您先閱讀「規劃備份和災難復原部署作業」，再開始進行本節內容。

本頁面詳細說明啟用備份和災難復原功能前必須符合的 Google Cloud 需求，啟用作業必須在Google Cloud 控制台中完成。 Google Cloud

您必須在部署備份/復原設備的Google Cloud 專案中，執行本頁列出的所有工作。如果這個專案是 Shared VPC 服務專案，部分工作會在虛擬私有雲專案中執行，部分則會在工作負載專案中執行。

允許可信映像檔專案

如果您已在機構政策中啟用 constraint/compute.trustedImageProjects 政策，則不允許使用 Google Cloud管理的來源專案中的映像檔，部署備份/復原設備。您需要在部署備份/復原設備的專案中自訂這項組織政策，以免在部署期間發生政策違規錯誤，詳情請參閱下列操作說明：

  1. 前往「機構政策」頁面，然後選取要部署設備的專案。

    前往「Organization policies」(組織政策)

  2. 在政策清單中，點選 [Define trusted image projects] (定義可信映像檔專案)。

  3. 按一下「編輯」，即可自訂現有的可信映像檔限制。

  4. 在「Edit」(編輯) 頁面選取 [Customize] (自訂)。

  5. 從下列三種可能性中選取：

    現有繼承政策

    如果現有繼承政策，請完成下列步驟：

    1. 在「政策強制執行」部分，選取「與上層合併」。

    2. 按一下「Add rule」(新增規則)。

    3. 從「政策值」下拉式清單中選取「自訂」，即可針對特定圖片專案設定限制。

    4. 從「政策類型」下拉式清單中選取「允許」，即可移除指定圖片專案的限制。

    5. 在「Custom values」(自訂值) 欄位中，輸入自訂值「projects/backupdr-images」。

    6. 按一下「完成」。

    現有的「允許」規則

    如果已有「允許」規則，請完成下列步驟：

    1. 將「政策強制執行」保留為預設選取狀態。

    2. 選取現有的「允許」規則。

    3. 按一下「新增值」，新增其他圖片專案，然後輸入值 projects/backupdr-images。

    4. 按一下「完成」。

    沒有現有政策或規則

    如果沒有現有規則，請選取「新增規則」，然後完成下列步驟：

    1. 將「政策強制執行」保留為預設選取狀態。

    2. 從「政策值」下拉式清單中選取「自訂」，即可針對特定映像檔專案設定限制。

    3. 從「政策類型」下拉式清單中選取「允許」，即可移除指定圖片專案的限制。

    4. 在「Custom values」(自訂值) 欄位中，輸入自訂值「projects/backupdr-images」。

    5. 如果您要設定專案層級的限制，這些限制可能會與組織或資料夾中現有的限制衝突。

    6. 按一下「新增值」，新增其他圖片專案，然後按一下「完成」。

    7. 按一下 [儲存]。

  6. 按一下「儲存」即可套用限制條件。

    如要進一步瞭解如何建立組織政策，請參閱「建立及管理組織政策」。

部署流程

如要啟動安裝程序，備份和災難復原服務會建立服務帳戶來執行安裝程式。服務帳戶必須在主專案、備份/復原設備服務專案，以及設備管理控制台服務專案中具備權限。詳情請參閱「服務帳戶」。

安裝時使用的服務帳戶會成為備份/復原設備的服務帳戶。安裝完成後，服務帳戶的權限會縮減為備份/復原設備所需的權限。

如果您部署多個備份/復原裝置，每個裝置都必須與專屬的服務帳戶建立關聯。如果多部裝置使用同一個服務帳戶，可能會導致註冊逾時或管理失敗。

安裝第一部備份/復原設備時，系統會部署設備管理控制台。您可以在Shared VPC或非共用虛擬私有雲中部署備份和災難復原。

非共用 VPC 中的備份和災難復原

部署設備管理控制台和第一個備份/復原設備時，如果是在具有非共用虛擬私有雲的單一專案中，則所有三個備份和災難復原元件都會位於同一個專案。

如果是共用虛擬私有雲，請參閱「共用虛擬私有雲中的備份與 DR」。

在非共用 VPC 中啟用安裝作業所需的 API

在非共用 VPC 中啟用安裝所需的 API 之前，請先查看備份和災難復原服務支援的部署區域。請參閱「支援的區域」。

如要在非共用虛擬私有雲中執行安裝程式，必須啟用下列 API：如要啟用 API，您需要「服務使用情形管理員」角色。

API 服務名稱
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com
工作流程 1 workflows.googleapis.com
Cloud Key Management Service (KMS) cloudkms.googleapis.com
Identity and Access Management iam.googleapis.com
Cloud Logging logging.googleapis.com

1 工作流程服務支援所列區域。如果備份/復原設備部署的區域沒有 Workflows 服務，備份和災難復原服務會預設為「us-central1」區域。如果您已設定組織政策，禁止在其他區域建立資源，則必須暫時更新組織政策，允許在「us-central1」區域建立資源。備份/還原設備部署完成後，即可限制「us-central1」區域。

使用者帳戶必須在非共用 VPC 專案中具備這些權限

偏好的角色 所需權限
resourcemanager.projectIamAdmin (專案 IAM 管理員) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (服務使用情形管理員) serviceusage.services.list
iam.serviceAccountUser (服務帳戶使用者) iam.serviceAccounts.actAs
iam.serviceAccountAdmin (服務帳戶管理員) iam.serviceAccounts.create
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.editor (工作流程編輯者) workflows.workflows.create
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
backupdr.admin (備份和災難復原管理員) backupdr.*
檢視者 (基本) 授予檢視
大部分 Google Cloud 資源所需的權限。

共用虛擬私有雲中的備份和災難復原

在 Shared VPC 專案中部署設備管理控制台和第一個備份/復原設備時，您必須在主專案或一或多個服務專案中設定下列三個專案：

在 Shared VPC 中啟用安裝所需的 API 前，請先查看備份和災難復原部署作業支援的區域。請參閱「支援的區域」。

  • 虛擬私有雲擁有者專案：擁有選取的虛擬私有雲。虛擬私有雲擁有者一律是主專案。

  • 設備管理控制台專案：您可以在這裡啟用備份和災難復原 API，並存取設備管理控制台來管理工作負載。

  • 備份/復原設備專案：這是安裝備份/復原設備的位置，通常也是受保護資源所在的位置。

在 Shared VPC 中，這些專案可能是一個、兩個或三個。

類型 虛擬私有雲擁有者 設備管理控制台 備份/復原設備
HHH 主專案 主專案 主專案
HHS 主專案 主專案 服務專案
HSH 主專案 服務專案 主專案
HSS 主專案 服務專案 服務專案
HS2 主專案 服務專案 其他服務專案

部署策略說明

  • HHH：Shared VPC。虛擬私有雲擁有者、設備管理控制台和備份/復原設備都位於主專案中。

  • HHS：Shared VPC。虛擬私有雲擁有者和設備管理控制台位於主專案中，備份/復原設備則位於服務專案中。

  • HSH：Shared VPC。虛擬私有雲擁有者和備份/復原設備位於主專案中，設備管理控制台則位於服務專案中。

  • HSS：Shared VPC。虛擬私有雲擁有者位於主專案中，而備份/復原設備和設備管理控制台則位於一個服務專案中。

  • HS2：Shared VPC。虛擬私有雲擁有者位於主專案中，備份/復原設備和設備管理控制台則位於兩個不同的服務專案中。

在主專案中啟用這些必要 API，以便安裝

如要執行安裝程式，必須啟用下列 API。如要啟用 API，您需要「服務使用情形管理員」角色。

API 服務名稱
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com

在備份/復原設備專案中啟用這些必要 API，以便進行安裝

API 服務名稱
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com
工作流程 1 workflows.googleapis.com
Cloud Key Management Service (KMS) cloudkms.googleapis.com
Identity and Access Management iam.googleapis.com
Cloud Logging logging.googleapis.com

1 工作流程服務支援所列區域。如果部署備份/復原設備的區域沒有 Workflows 服務，備份和災難復原服務會預設使用「us-central1」區域。如果組織政策禁止在其他區域建立資源，請暫時更新組織政策，允許在「us-central1」區域建立資源。備份/還原設備部署完成後，即可限制「us-central1」區域。

使用者帳戶必須在 VPC 擁有者專案中具備這些權限

偏好的角色 所需權限
resourcemanager.projectIamAdmin (專案 IAM 管理員) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (服務使用情形管理員) serviceusage.services.list

使用者帳戶必須在設備管理控制台專案中擁有下列權限

安裝第一部備份/復原設備時，系統會部署設備管理控制台。

偏好角色 所需權限
resourcemanager.projectIamAdmin (專案 IAM 管理員) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
backupdr.admin (備份和災難復原管理員) backupdr.*
檢視者 (基本) 授予查看
大部分 Google Cloud 資源所需的權限。

使用者帳戶必須在備份/復原設備專案中具備下列權限

偏好的角色 所需權限
resourcemanager.projectIamAdmin (專案 IAM 管理員) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccountUser (服務帳戶使用者) iam.serviceAccounts.actAs
iam.serviceAccountAdmin (服務帳戶管理員) iam.serviceAccounts.create
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.editor (工作流程編輯者) workflows.workflows.create
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (服務使用情形管理員) serviceusage.services.list

除了使用者帳戶權限外，系統還會暫時將其他權限授予代您建立的服務帳戶，直到安裝完成為止。

設定網路

如果尚未為目標專案建立虛擬私有雲網路，請先建立再繼續操作。詳情請參閱「建立及修改虛擬私有雲 (VPC) 網路」。 您需要在每個要部署備份/復原設備的區域中建立子網路，且必須具備 compute.networks.create 權限才能建立子網路。

如果您要在多個網路中部署備份/還原設備，請使用 IP 位址範圍不相同的子網路，避免多個備份/還原設備使用相同的 IP 位址。

設定私人 Google 存取權

備份/復原設備會使用 Private Google Access 與設備管理控制台通訊。建議您為要部署備份/復原設備的每個子網路啟用 Private Google Access。

部署備份/復原設備的子網路必須與 backupdr.googleusercontent.com 網域代管的專屬網域通訊。建議您在 Cloud DNS 中加入下列設定：

  1. 為 DNS 名稱 backupdr.googleusercontent.com 建立私人區域。
  2. 為網域 A 建立 backupdr.googleusercontent.com 記錄，並加入子網路 private.googleapis.com 199.36.153.8/30 中的四個 IP 位址：199.36.153.8、199.36.153.9、199.36.153.10、199.36.153.11。如果您使用 VPC Service Controls，請使用 restricted.googleapis.com 子網路中的 199.36.153.4、199.36.153.5、199.36.153.6、199.36.153.7。199.36.153.4/30
  3. 為 *.backupdr.googleusercontent.com 建立 CNAME 記錄，指向網域名稱 backupdr.googleusercontent.com。

這可確保任何專屬設備管理控制台網域的 DNS 解析，都會透過 Private Google Access 傳輸。

確認防火牆規則設有輸出規則，允許透過 TCP 443 存取 199.36.153.8/30 或 199.36.153.4/30 子網路。此外，如果輸出規則允許所有流量前往 0.0.0.0/0，備份/復原設備與設備管理控制台之間的連線應該就能成功。

建立 Cloud Storage bucket

如要使用 Backup and DR 代理程式保護資料庫和檔案系統，然後將備份副本複製到 Cloud Storage 長期保留，您需要 Cloud Storage 值區。使用 VMware vSphere 儲存空間 API 資料保護功能建立的 VMware VM 備份也適用這項規定。

按照下列操作說明建立 Cloud Storage bucket：

  1. 前往 Google Cloud 控制台的「Cloud Storage bucket」頁面。

    前往「Buckets」(值區) 頁面

  2. 按一下「建立值區」。

  3. 輸入 bucket 的名稱。

  4. 選擇資料儲存地區，然後按一下「繼續」。

  5. 選擇預設的儲存空間級別，然後按一下「繼續」。如果保留期限為 30 天以下，請使用 Nearline；如果保留期限為 90 天以上，請使用 Coldline。如果保留時間介於 30 到 90 天，請考慮使用 Coldline。

  6. 保持選取「統一存取控管」，然後按一下「繼續」。請勿使用細部設定。

  7. 將「保護措施」工具設為「無」，然後點選「繼續」。 請勿選取其他選項，因為這些選項不適用於備份和災難復原。

  8. 點選「建立」。

  9. 確認服務帳戶有權存取 bucket：

    1. 選取新 bucket 即可顯示 bucket 詳細資料。

    2. 前往「權限」。

    3. 確認「主體」下方列出新的服務帳戶。如果不是，請使用「新增」按鈕，將讀取者和寫入者服務帳戶新增為主體。

後續步驟