在设备管理控制台中管理 OnVault 池

注意：对使用旧版设备管理控制台管理的工作负载进行备份和恢复的支持已弃用。如需了解详情，请参阅 Backup and DR 文档中的功能弃用。

OnVault 池是指向用于存储备份数据的 Cloud Storage 存储桶或备份保险柜的指针。它们在资源配置文件中引用。 资源配置文件与 OnVault 政策一起使用，可将备份数据发送到分配的 OnVault 池。

注意 ：指向备份保险柜的 OnVault 池不支持装载操作。

自动创建的 OnVault 池（带有 Cloud Storage 存储桶）

指向 Cloud Storage 存储桶的 OnVault 池会根据需要由连接到设备的的服务账号自动创建。此 OnVault 池包含虚拟机实例配置和元数据，并在运行时（将备份模板分配给 Compute Engine 实例时）自动创建。Cloud Storage 存储桶的位置根据备份模板中配置的永久性磁盘快照存储位置或区域确定。

注意： 自动创建的 OnVault 池只能用于保护 Compute Engine 实例。

在设备管理控制台中，您可以依次前往管理 > 存储池，打开存储池页面，查看这些 OnVault 池。 存储池页面中自动创建的 OnVault 池会显示与存储桶相同的名称，格式为 <backup/recovery-appliance-name>-<random-string>-<region/multi-region>。您无法修改或删除自动创建的 OnVault 池。

在以下情况下，系统会自动创建 OnVault 池：

• 分配给 Compute Engine 实例的备份模板没有池。
• 备份模板已更新为使用其他区域或多区域，然后在第一个快照成功运行后自动创建池。因此，该服务可确保 Persistent Disk 数据和实例虚拟机配置位于同一位置。
• 如果对受保护的 Compute Engine 实例应用了政策替换，将其更改为使用其他区域或多区域，并且该位置不存在池，则在第一个快照成功运行后，系统会自动创建池。

如需了解详情，请参阅自动创建的 OnVault 池。

IAM 角色和权限

在添加 OnVault 池之前，您需要将具有所需权限的 Backup and DR Cloud Storage Operator 角色分配给存储桶所在的项目或存储桶本身。在存储桶级别授予权限是一种更精细的方式。

注意： 默认情况下，附加到设备的 IAM 服务账号无法访问用户创建的存储桶，因为 Backup and DR Cloud Storage Operator 角色添加了 IAM Condition，该条件仅允许在创建的存储桶以设备名称开头时访问存储桶。因此，您必须手动将服务账号作为主账号添加到您添加到 OnVault 池的每个用户创建的存储桶中。

此角色允许附加到设备的服务账号执行 OnVault 操作，并拥有在 OnVault 池中存储和管理备份所需的所有权限，包括访问备份数据、将备份数据从一个 Cloud Storage 存储桶复制到另一个存储桶，以及使存储的备份过期。您可以验证此角色的权限，方法是前往 IAM 和管理 > 角色，然后选择 Backup and DR Cloud Storage Operator。

如果您不想分配 Backup and DR Cloud Storage Operator 角色，也可以创建自定义角色并分配以下权限。

• storage.buckets.create
• storage.buckets.get
• storage.objects.create
• storage.objects.delete
• storage.objects.get
• storage.objects.list

添加或修改 OnVault 池

本部分详细介绍了如何添加新的 OnVault 池或修改现有 OnVault 池。

准备工作

OnVault 池需要访问 Cloud Storage。在添加 OnVault 池之前，请完成以下操作：

• 确定或创建用于保存备份数据的存储桶：

  • 支持所有存储类别和位置。根据数据保留情况使用适当的类别。在未先咨询销售或支持组织的情况下，请勿使用归档类别。

  • 必须停用 Cloud Storage 存储桶的版本控制和保留功能。

    注意 ：Backup and DR 不支持设置为使用保留政策时长（以秒为单位）的 Google Cloud 存储桶。如果存储桶的项目启用了 constraints/storage.retentionPolicySeconds，请在创建 OnVault 池之前将其停用。

  • 必须停用 Cloud Storage 存储桶的软删除政策。

  • 对于任何新存储桶，访问权限控制都应设置为统一。

  • Google-owned and Google-managed encryption keys 和客户管理的加密密钥 (CMEK)。

  • 将备份/恢复设备的服务账号作为主账号添加到存储桶，并为其授予所需的角色和权限。您需要为每个用户创建的存储桶执行此操作。

  • 准备好存储桶详细信息，因为选择设备后，系统会自动填充服务账号字段，因为它使用的是附加到备份/恢复设备的服务账号。

  • 确保服务账号在项目级层或存储桶级层具有所需权限的角色，可以访问存储桶。

    注意 ：OnVault 池会在设备部署时自动创建。默认情况下，此池用于默认云凭证。 此 OnVault 池只能用于保护 Compute Engine 实例。 如需了解详情，请参阅默认云凭证。

您可以使用同一备份/恢复设备服务账号在备份/恢复设备上创建任意数量的 OnVault 池。添加 OnVault 池的过程因备份/恢复设备的软件版本而异。如需确定正在使用的版本，请前往管理 > 设备，然后查看版本列。

下表重点介绍了 OnVault 存储池与已部署设备版本的行为。

添加 OnVault 池

请按照以下说明添加 OnVault 池。

1. 点击管理，然后从下拉菜单中选择存储池。
2. 点击页面右上角的添加 OnVault 池。
3. 输入 OnVault 池名称。有效字符包括字母、数字、空格、连字符 (-) 和下划线 (_)。

4. 选择池类型。选择默认的 Cloud Storage。 Cloud Storage 存储池类型支持所有存储类别，并且必须使用，除非需要与旧版 OnVault 存储池向后兼容。创建 OnVault 池后，您无法更改池类型。

   注意 ：对于旧版 OnVault 池，请根据存储桶的存储类别选择 Coldline Storage 或 Nearline Storage。

5. 从设备下拉菜单中，选择要向其添加 OnVault 池的设备。

   系统会自动填充只读服务账号字段。

6. 在存储桶字段中，输入存储数据的存储桶的名称。存储桶必须已存在，并确保存储桶名称正确无误。从 Google Cloud 控制台页面获取存储桶名称，点击 Cloud Storage，然后点击存储桶。第 5 步中显示的服务账号需要有权在存储桶级或项目级访问存储桶。Coldline 和 Nearline 要求在存储桶上设置精细 ACL。

7. 指定 OnVault 池中的数据应以压缩格式还是未压缩格式存储。压缩数据可降低存储费用，但需要额外的计算容量，以便备份/恢复设备在传输数据之前对其进行压缩。在大多数情况下，您需要保持选中压缩复选框。压缩还可以减少网络流量。

8. 在高级选项下，完成以下操作：

   1. 选择对象大小。值范围为 64KB 到 8MB。 在大多数情况下，默认值 1MB 是最佳选择。更改对象大小可能会对 OnVault 所用存储服务的性能和费用产生不利影响。

      注意 ：除非另有建议，否则请勿更改默认的对象大小。

9. 如果使用代理，请输入代理服务器的地址和端口号。

10. 点击保存。

修改 OnVault 池

注意 ：创建 OnVault 存储池后，Backup and DR 不支持更改存储池类型。解决方法是使用具有不同类的存储桶创建新池，但此池的备份作业将是新的完整备份。

请按照以下说明修改 OnVault 池。

1. 点击管理，然后从下拉菜单中选择存储池。
2. 选择要修改的 OnVault 池，然后点击页面右下角的修改按钮。
3. 根据需要修改 OnVault 池名称和存储桶详细信息。根据需要启用或停用压缩。您无法修改服务账号。

4. 在高级选项下，根据需要更改对象大小和代理服务器。更改对象大小可能会对用于 OnVault 的存储服务的性能和费用产生不利影响。

   注意： 除非另有建议，否则请勿更改默认的对象大小。

5. 点击更新。

   注意： 如果您更改对象大小，则此池的下一个备份作业是新的完整备份。

将 JSON 密钥 OnVault 池替换为基于服务账号的 OnVault 池

如果您有一个使用 JSON 密钥进行身份验证而创建的 OnVault 存储池，则无法将该 OnVault 存储池切换为使用设备服务账号身份验证。而是应创建一个新的 OnVault 池，并使用之前通过 JSON 密钥创建该池时所用的相同存储桶详细信息。

请按照以下说明将 JSON 密钥 OnVault 池替换为设备服务账号池。

1. 添加新的 OnVault 池，并在存储桶字段中使用与使用 JSON 密钥创建 OnVault 池相同的存储桶名称。
2. 在设备管理控制台中，依次前往备份方案 > 配置文件。
3. 选择使用通过 JSON 密钥创建的旧 OnVault 池的配置文件。
4. 点击修改。
5. 在 OnVault 存储池下拉菜单中，选择使用服务账号创建的新 OnVault 存储池。

6. 点击保存。

   所有新映像都会在新建的 OnVault 池中创建。请注意，在旧 OnVault 池中之前创建的所有映像过期之前，您无法删除该池。

删除 OnVault 池

请按照以下说明删除 OnVault 池。

• 确保没有指定该池的备份方案资源配置文件。

• 使池中的所有 OnVault 映像过期。最后一个 OnVault 映像永远不会过期，除非应用不受保护或映像明确过期。

  注意： 如果 Cloud Storage 存储桶仍定义为 OnVault 池，请勿将其删除。请务必先删除使用该存储桶的 OnVault 池，然后再删除 Cloud Storage 存储桶。

按照以下说明从设备中删除 OnVault 池：

1. 点击管理，然后从下拉菜单中选择存储池。
2. 右键点击要删除的 OnVault 池，然后选择删除。
3. 点击确认。

访问 OnVault 池中的数据

拥有使用 OnVault 池的资源配置文件和包含 OnVault 政策的备份模板后，您可以在备份方案标签页中将资源配置文件和备份模板应用于应用和虚拟机。OnVault 政策会根据其时间表运行，并且捕获的映像会写入资源配置文件中指定的 OnVault 池。

在初始完整备份后，快照到 OnVault 政策会遵循 Backup and DR 的永久增量模型，其中仅捕获数据更改并将其发送到存储空间。

首次捕获操作完成后，可以根据以下规则访问 OnVault 池存储位置中的数据：

• 备份/恢复设备可以根据 OnVault 数据创建克隆。
• 备份/恢复设备无法通过 OnVault 数据创建 LiveClone。
• 备份/恢复设备可以装载 OnVault 数据。
• 备份/恢复设备可以装载 OnVault 池中的数据，但它会先将所有数据复制到快照池，然后再进行装载。
• 备份/恢复设备可以执行 OnVault 池中数据的应用感知装载。

将备份发送到 OnVault 池

“快照到 OnVault”和“直接到 OnVault”政策控制数据向存储空间的传输。它们提供发送数据的时间表以及数据保留时长的定义。资源配置文件和 OnVault 模板的组合构成了应用它们的备份方案。如需创建 OnVault 池，请参阅添加 OnVault 池。

注意 ：如需了解由 OnVault 池定义的对象存储区背景信息，请参阅复制到由 OnVault 池定义的对象存储区。

按照以下说明将映像数据转移到 OnVault 存储池定义的存储空间。

1. 确保您已创建 OnVault 池。OnVault 存储池定义所使用的对象存储区，并在资源配置文件中指定。

2. 在备份方案中，创建一个包含以下任一项的模板：

   • 快照到 OnVault 政策：使用此政策可安排将虚拟机、文件系统和应用数据移动到 OnVault 池定义的存储空间。请参阅 OnVault 政策。
   • 直接到 OnVault 政策：使用此政策可安排将 VMware Engine 虚拟机数据移动到 OnVault 池定义的存储空间。如需了解详情，请参阅 OnVault 政策。

3. 在备份方案中，创建一个资源配置文件，用于指定在本地存储数据的位置（如果适用）以及数据发送到的 OnVault 池。请参阅创建资源配置文件。

4. 在应用管理器中，选择要复制到 OnVault 池的数据，然后应用备份模板和资源配置文件。

5. 访问 OnVault 池存储空间中的数据时，备份/恢复设备可以完成以下操作：

   • 创建克隆。
   • 装载数据。
   注意： 可以直接从主机访问装载的数据，但不建议直接针对这些数据运行工作负载。
   • 无法在 OnVault 池中创建 LiveClone。

6. 根据您对存储在 OnVault 池存储空间中的数据的访问和恢复要求，您可以通过设备管理控制台，在应用管理器的访问窗口中执行装载或克隆操作。

   • 如需了解如何执行装载操作，请参阅装载映像。
   • 如需了解如何执行克隆操作，请参阅克隆概览。

平衡 OnVault 映像的性能和消耗

从 OnVault 池装载映像时，以下四个选项可让您在访问数据时平衡性能与存储需求：

• 存储优化：读取块尽可能来自快照池，否则直接通过网络来自 OnVault 池。写入操作会进入本地快照池。

  使用此选项可以最大限度地减少本地存储空间消耗，但会牺牲读取性能，因为数据会不断通过网络拉取。

• 平衡：（默认选项）从 OnVault 池读取的对象会缓存在本地快照池中，因此后续对相同块的读取会在本地完成。写入操作会进入本地快照池。 随着越来越多的数据被读取并保存到快照池，读取性能会随着时间的推移而提高。本地存储空间的使用仅限于应用实际所需的数据。

  当本地存储空间可用且不需要高 I/O 性能时，请使用此选项。

• 性能优化：读取块会缓存在本地快照池中，因此对同一块的后续读取会在本地完成。此外，所有块都会在后台读取到本地快照池，以创建完整的本地副本。写入操作会进入本地快照池。随着后台进程将数据从 OnVault 复制到本地快照池，读取性能会快速提升。由于所有数据都会复制到本地存储空间，因此存储空间要求最高。

  当您需要快速访问数据以及高 I/O 性能时，请使用此选项。

• 最高性能：所有块都会读取到本地快照池，以创建完整的本地副本，然后才会装载映像。此选项的本地存储空间用量与性能优化相同，因为所有数据都会复制到本地快照池。

  如果所有应用 I/O 都需要本地存储空间的峰值性能，并且无法接受 OnVault 池的任何读取延迟，则使用此选项，这样就不需要在建立完整的本地副本之前向应用授予数据访问权限。

  注意 ：“最高性能”选项仅适用于 OnVault 备份。

使用 OnVault 池

“快照到 OnVault”和“直接到 OnVault”政策控制着数据向存储空间的传输。它们提供何时发送数据的计划，以及数据保留时长的定义。资源配置文件和 OnVault 模板的组合构成了应用备份方案。

按照以下说明将映像数据转移到 OnVault 存储池定义的存储空间：

1. 确保您已创建 OnVault 池。OnVault 存储池定义所使用的存储，并在资源配置文件中指定。

2. 在备份方案中，创建一个包含以下任一项的模板：

   • 快照到 OnVault 政策：使用此政策可安排将虚拟机、文件系统和应用数据移动到 OnVault 池定义的存储空间。请参阅 OnVault 政策。
   • 直接到 OnVault 政策：使用此政策可安排将 Google Cloud VMware Engine 虚拟机数据移动到 OnVault 池定义的存储空间。如需了解详情，请参阅 OnVault 政策。

3. 在备份方案中，创建一个资源配置文件，用于指定在本地存储数据的位置（如果适用）以及数据发送到的 OnVault 池。请参阅创建资源配置文件。

4. 在应用管理器中，选择要复制到 OnVault 池的数据，然后应用备份模板和资源配置文件。

5. 备份/恢复设备在访问 OnVault 池存储中的数据时可以完成以下操作：

   • 创建克隆
   • 装载数据
   注意： 可以直接从主机访问装载的数据，但不建议直接针对这些数据运行工作负载。
   • 无法在 OnVault 池中创建 LiveClone。

6. 根据您对存储在 OnVault 池存储空间中的数据的访问和恢复要求，您可以通过设备管理控制台，在应用管理器的访问窗口中执行装载或克隆操作。