Bereitstellung einer Sicherungs-/Wiederherstellungs-Appliance vorbereiten

Hinweis

Es empfiehlt sich, den Abschnitt Bereitstellung von Backup und DR planen zu lesen, bevor Sie mit diesem Abschnitt beginnen.

Auf dieser Seite werden die Anforderungen von Google Cloud beschrieben, die erfüllt sein müssen, bevor Sie Backup und DR von Google Cloud in derGoogle Cloud Console aktivieren.

Alle auf dieser Seite beschriebenen Aufgaben müssen im ProjektGoogle Cloud ausgeführt werden, in dem Sie Ihre Sicherungs-/Wiederherstellungs-Appliance bereitstellen. Wenn dieses Projekt ein Dienstprojekt mit freigegebene VPC ist, werden einige Aufgaben im VPC-Projekt und andere im Arbeitslastprojekt ausgeführt.

Trusted Image-Projekte zulassen

Wenn Sie die Richtlinie constraint/compute.trustedImageProjects in den Organisationsrichtlinien aktiviert haben, ist das von Google Cloudverwaltete Quellprojekt für die Images, die zum Bereitstellen der Sicherungs-/Wiederherstellungs-Appliance verwendet werden, nicht zulässig. Sie müssen diese Organisationsrichtlinie in den Projekten anpassen, in denen Sicherungs-/Wiederherstellungs-Appliances bereitgestellt werden, um einen Richtlinienverstoßfehler während der Bereitstellung zu vermeiden, wie in der folgenden Anleitung beschrieben:

  1. Rufen Sie die Seite Organisationsrichtlinien auf und wählen Sie das Projekt aus, in dem Sie Ihre Appliances bereitstellen.

    Zu den Organisationsrichtlinien

  2. Klicken Sie in der Richtlinienliste auf Vertrauenswürdige Image-Projekte definieren.

  3. Klicken Sie auf Bearbeiten, um die vorhandenen Einschränkungen für vertrauenswürdige Images zu bearbeiten.

  4. Wählen Sie auf der Seite Bearbeiten die Option Anpassen aus.

  5. Wählen Sie eine der folgenden drei Möglichkeiten aus:

    Vorhandene übernommene Richtlinie

    Wenn bereits eine übernommene Richtlinie vorhanden ist, gehen Sie so vor:

    1. Wählen Sie unter Richtlinienerzwingung die Option Mit übergeordneter Ressource zusammenführen aus.

    2. Klicken Sie auf Regel hinzufügen.

    3. Wählen Sie in der Drop-down-Liste Richtlinienwerte die Option Benutzerdefiniert aus, um die Einschränkung für bestimmte Image-Projekte festzulegen.

    4. Wählen Sie in der Drop-down-Liste Richtlinientyp die Option Zulassen aus, um Einschränkungen für die angegebenen Image-Projekte zu entfernen.

    5. Geben Sie im Feld Benutzerdefinierte Werte den benutzerdefinierten Wert projects/backupdr-images ein.

    6. Klicken Sie auf Fertig.

    Vorhandene Zulassungsregel

    Wenn es eine vorhandene Zulassen-Regel gibt, führen Sie die folgenden Schritte aus:

    1. Behalten Sie für Richtlinienerzwingung die Standardeinstellung bei.

    2. Wählen Sie die vorhandene Regel Zulassen aus.

    3. Klicken Sie auf Wert hinzufügen, um weitere Image-Projekte hinzuzufügen, und geben Sie den Wert als projects/backupdr-images ein.

    4. Klicken Sie auf Fertig.

    Keine Richtlinie oder Regel vorhanden

    Wenn keine Regel vorhanden ist, wählen Sie Regel hinzufügen aus und führen Sie die folgenden Schritte aus:

    1. Behalten Sie für Richtlinienerzwingung die Standardeinstellung bei.

    2. Wählen Sie in der Drop-down-Liste Richtlinienwerte die Option Benutzerdefiniert aus, um die Einschränkung für bestimmte Image-Projekte festzulegen.

    3. Wählen Sie in der Drop-down-Liste Richtlinientyp die Option Zulassen aus, um Einschränkungen für die angegebenen Image-Projekte zu entfernen.

    4. Geben Sie im Feld Benutzerdefinierte Werte den benutzerdefinierten Wert projects/backupdr-images ein.

    5. Wenn Sie Einschränkungen auf Projektebene festlegen, können diese mit den vorhandenen Einschränkungen in Ihrer Organisation oder Ihrem Ordner in Konflikt stehen.

    6. Klicken Sie auf Wert hinzufügen, um weitere Image-Projekte hinzuzufügen, und klicken Sie dann auf Fertig.

    7. Klicken Sie auf Speichern.

  6. Klicken Sie auf Speichern, um die Einschränkung anzuwenden.

    Weitere Informationen zum Erstellen von Organisationsrichtlinien finden Sie unter Organisationsrichtlinien erstellen und verwalten.

Der Bereitstellungsprozess

Zum Starten der Installation erstellt Backup und DR ein Dienstkonto, um das Installationsprogramm auszuführen. Das Dienstkonto benötigt Berechtigungen im Hostprojekt, im Dienstprojekt der Sicherungs-/Wiederherstellungs-Appliance und im Dienstprojekt der Appliance-Verwaltungskonsole. Weitere Informationen finden Sie unter Dienstkonten.

Das für die Installation verwendete Dienstkonto wird zum Dienstkonto der Sicherungs-/Wiederherstellungs-Appliance. Nach der Installation werden die Berechtigungen des Dienstkontos auf die Berechtigungen reduziert, die für die Sicherungs-/Wiederherstellungs-Appliance erforderlich sind.

Wenn Sie mehrere Sicherungs-/Wiederherstellungs-Appliances bereitstellen, muss jede Appliance mit einem eindeutigen Dienstkonto verknüpft sein. Wenn Sie dasselbe Dienstkonto für mehrere Appliances verwenden, kann es zu Zeitüberschreitungen bei der Registrierung oder zu Verwaltungsfehlern kommen.

Die Appliance-Verwaltungskonsole wird bereitgestellt, wenn Sie die erste Sicherungs-/Wiederherstellungs-Appliance installieren. Sie können Backup und DR in einer gemeinsam genutzten VPC oder in einer nicht gemeinsam genutzten VPC bereitstellen.

Backup und DR in einer nicht gemeinsam genutzten VPC

Wenn Sie die Appliance-Verwaltungskonsole und die erste Sicherungs-/Wiederherstellungs-Appliance in einem einzelnen Projekt mit einer nicht gemeinsam genutzten VPC bereitstellen, befinden sich alle drei Backup und DR-Komponenten im selben Projekt.

Wenn die VPC gemeinsam genutzt wird, lesen Sie den Abschnitt Backup und DR in einer gemeinsam genutzten VPC.

Erforderliche APIs für die Installation in einer nicht gemeinsam genutzten VPC aktivieren

Bevor Sie die erforderlichen APIs für die Installation in einer nicht gemeinsam genutzten VPC aktivieren, sollten Sie sich die unterstützten Regionen für die Bereitstellung von Backup und DR ansehen. Siehe Unterstützte Regionen.

Wenn Sie das Installationsprogramm in einer nicht gemeinsam genutzten VPC ausführen möchten, müssen die folgenden APIs aktiviert sein. Zum Aktivieren von APIs benötigen Sie die Rolle Service Usage-Administrator.

API Dienstname
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com
Workflows 1 workflows.googleapis.com
Cloud Key Management Service (KMS) cloudkms.googleapis.com
Identity and Access Management iam.googleapis.com
Cloud Logging logging.googleapis.com

1 Der Workflow-Dienst wird in den aufgeführten Regionen unterstützt. Wenn der Workflows-Dienst in einer Region, in der die Sicherungs-/Wiederherstellungs-Appliance bereitgestellt wird, nicht verfügbar ist, wird für Backup und DR standardmäßig die Region „us-central1“ verwendet. Wenn Sie eine Organisationsrichtlinie haben, die das Erstellen von Ressourcen in anderen Regionen verhindert, müssen Sie Ihre Organisationsrichtlinie vorübergehend aktualisieren, um das Erstellen von Ressourcen in der Region „us-central1“ zuzulassen. Sie können die Region „us-central1“ nach der Bereitstellung der Sicherungs-/Wiederherstellungs-Appliance einschränken.

Das Nutzerkonto benötigt diese Berechtigungen im nicht gemeinsam genutzten VPC-Projekt.

Bevorzugte Rolle Berechtigungen erforderlich
resourcemanager.projectIamAdmin (Projekt-IAM-Administrator) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (Service Usage-Administrator) serviceusage.services.list
iam.serviceAccountUser (Dienstkontonutzer) iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Service Account Admin) iam.serviceAccounts.create
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.editor (Workflow-Bearbeiter) workflows.workflows.create
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
backupdr.admin (Backup and DR Admin) backupdr.*
Betrachter (Basic) Gewährt die Berechtigungen, die zum Aufrufen der meisten Ressourcen von
Google Cloud erforderlich sind.

Backup und DR in einer freigegebene VPC

Wenn Sie die Appliance-Verwaltungskonsole und die erste Sicherungs-/Wiederherstellungs-Appliance in einem freigegebene VPC-Projekt bereitstellen, müssen Sie diese drei Projekte entweder im Hostprojekt oder in einem oder mehreren Dienstprojekten konfigurieren:

Bevor Sie die erforderlichen APIs für die Installation in einer freigegebene VPC aktivieren, sollten Sie sich die unterstützten Regionen für die Bereitstellung von Backup und DR ansehen. Siehe Unterstützte Regionen.

  • VPC-Inhaberprojekt: Dieses Projekt ist der Inhaber der ausgewählten VPC. Der VPC-Inhaber ist immer das Hostprojekt.

  • Projekt für die Appliance-Verwaltungskonsole: Hier wird die Backup und DR API aktiviert und Sie greifen auf die Appliance-Verwaltungskonsole zu, um Arbeitslasten zu verwalten.

  • Projekt für Sicherungs-/Wiederherstellungs-Appliance: Hier wird die Sicherungs-/Wiederherstellungs-Appliance installiert und hier befinden sich in der Regel die geschützten Ressourcen.

In einer freigegebene VPC können dies ein, zwei oder drei Projekte sein.

Typ VPC-Inhaber Appliance-Verwaltungskonsole Sicherungs-/Wiederherstellungs-Appliance
HHH Hostprojekt Hostprojekt Hostprojekt
HHS Hostprojekt Hostprojekt Dienstprojekt
HSH Hostprojekt Dienstprojekt Hostprojekt
HSS Hostprojekt Dienstprojekt Dienstprojekt
HS2 Hostprojekt Dienstprojekt Ein anderes Dienstprojekt

Beschreibungen der Bereitstellungsstrategien

  • HHH: freigegebene VPC. Der VPC-Inhaber, die Appliance-Verwaltungskonsole und die Sicherungs-/Wiederherstellungs-Appliance befinden sich alle im Hostprojekt.

  • HHS: freigegebene VPC. Der VPC-Inhaber und die Appliance-Verwaltungskonsole befinden sich im Hostprojekt und die Sicherungs-/Wiederherstellungs-Appliance in einem Dienstprojekt.

  • HSH: freigegebene VPC. Der VPC-Inhaber und die Sicherungs-/Wiederherstellungs-Appliance befinden sich im Hostprojekt und die Appliance-Verwaltungskonsole in einem Dienstprojekt.

  • HSS: freigegebene VPC. Der VPC-Inhaber befindet sich im Hostprojekt und die Sicherungs-/Wiederherstellungs-Appliance sowie die Appliance-Verwaltungskonsole befinden sich in einem Dienstprojekt.

  • HS2: freigegebene VPC. Der VPC-Inhaber befindet sich im Hostprojekt und die Sicherungs-/Wiederherstellungs-Appliance und die Appliance-Verwaltungskonsole befinden sich in zwei verschiedenen Dienstprojekten.

Aktivieren Sie diese erforderlichen APIs für die Installation im Hostprojekt:

Die folgenden APIs müssen aktiviert sein, um das Installationsprogramm auszuführen. Zum Aktivieren von APIs benötigen Sie die Rolle Service Usage-Administrator.

API Dienstname
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com

Aktivieren Sie diese erforderlichen APIs für die Installation im Sicherungs-/Wiederherstellungs-Appliance-Projekt:

API Dienstname
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com
Workflows 1 workflows.googleapis.com
Cloud Key Management Service (KMS) cloudkms.googleapis.com
Identity and Access Management iam.googleapis.com
Cloud Logging logging.googleapis.com

1 Der Workflow-Dienst wird in den aufgeführten Regionen unterstützt. Wenn der Workflows-Dienst in einer Region, in der die Sicherungs-/Wiederherstellungs-Appliance bereitgestellt wird, nicht verfügbar ist, wird für Backup und DR standardmäßig die Region „us-central1“ verwendet. Wenn Sie eine Organisationsrichtlinie haben, die das Erstellen von Ressourcen in anderen Regionen verhindert, müssen Sie Ihre Organisationsrichtlinie vorübergehend aktualisieren, um das Erstellen von Ressourcen in der Region „us-central1“ zuzulassen. Sie können die Region „us-central1“ nach der Bereitstellung der Sicherungs-/Wiederherstellungs-Appliance einschränken.

Das Nutzerkonto benötigt diese Berechtigungen im VPC-Inhaberprojekt.

Bevorzugte Rolle Berechtigungen erforderlich
resourcemanager.projectIamAdmin (Projekt-IAM-Administrator) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (Service Usage-Administrator) serviceusage.services.list

Das Nutzerkonto benötigt diese Berechtigungen im Projekt der Appliance-Verwaltungskonsole:

Die Appliance-Verwaltungskonsole wird bereitgestellt, wenn Sie die erste Sicherungs-/Wiederherstellungs-Appliance installieren.

Bevorzugte Rolle Berechtigungen erforderlich
resourcemanager.projectIamAdmin (Projekt-IAM-Administrator) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
backupdr.admin (Backup and DR Admin) backupdr.*
Betrachter (Basic) Gewährt die Berechtigungen, die zum Aufrufen der meisten
-Ressourcen von Google Cloud erforderlich sind.

Das Nutzerkonto benötigt diese Berechtigungen im Sicherungs-/Wiederherstellungs-Appliance-Projekt.

Bevorzugte Rolle Berechtigungen erforderlich
resourcemanager.projectIamAdmin (Projekt-IAM-Administrator) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccountUser (Dienstkontonutzer) iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Service Account Admin) iam.serviceAccounts.create
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.editor (Workflow-Bearbeiter) workflows.workflows.create
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (Service Usage-Administrator) serviceusage.services.list

Zusätzlich zu den Berechtigungen des Endnutzerkontos werden dem in Ihrem Namen erstellten Dienstkonto vorübergehend andere Berechtigungen gewährt, bis die Installation abgeschlossen ist.

Netzwerke konfigurieren

Wenn für Ihr Zielprojekt noch kein VPC-Netzwerk erstellt wurde, müssen Sie eines erstellen, bevor Sie fortfahren. Weitere Informationen finden Sie unter VPC-Netzwerke (Virtual Private Cloud) erstellen und ändern. Sie benötigen ein Subnetz in jeder Region, in der Sie eine Sicherungs-/Wiederherstellungs-Appliance bereitstellen möchten. Zum Erstellen des Subnetzes muss Ihnen die Berechtigung compute.networks.create zugewiesen sein.

Wenn Sie Backup/Recovery-Appliances in mehreren Netzwerken bereitstellen, verwenden Sie Subnetze, die nicht dieselben IP-Adressbereiche haben, damit nicht mehrere Backup/Recovery-Appliances dieselbe IP-Adresse haben.

Privaten Google-Zugriff konfigurieren

Die Sicherungs-/Wiederherstellungs-Appliance kommuniziert über den privaten Google-Zugriff mit der Appliance-Verwaltungskonsole. Es wird empfohlen, den privater Google-Zugriff für jedes Subnetz zu aktivieren, in dem Sie eine Sicherungs-/Wiederherstellungs-Appliance bereitstellen möchten.

Das Subnetz, in dem die Sicherungs-/Wiederherstellungs-Appliance bereitgestellt wird, muss mit einer eindeutigen Domain kommunizieren, die unter der Domain backupdr.googleusercontent.com gehostet wird. Es wird empfohlen, die folgende Konfiguration in Cloud DNS einzufügen:

  1. Erstellen Sie eine private Zone für den DNS-Namen backupdr.googleusercontent.com.
  2. Erstellen Sie einen A-Eintrag für die Domain backupdr.googleusercontent.com und fügen Sie die vier IP-Adressen 199.36.153.8, 199.36.153.9, 199.36.153.10, 199.36.153.11 aus dem private.googleapis.com-Subnetz 199.36.153.8/30 hinzu. Wenn Sie VPC Service Controls verwenden, verwenden Sie 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7 aus dem restricted.googleapis.com-Subnetz 199.36.153.4/30.
  3. Erstellen Sie einen CNAME-Eintrag für *.backupdr.googleusercontent.com, der auf den Domainnamen backupdr.googleusercontent.com verweist.

So wird sichergestellt, dass die DNS-Auflösung für die eindeutige Domain Ihrer Appliance-Verwaltungskonsole über den privater Google-Zugriff erfolgt.

Achten Sie darauf, dass Ihre Firewallregeln eine Regel für ausgehenden Traffic enthalten, die den Zugriff über TCP 443 auf das Subnetz 199.36.153.8/30 oder 199.36.153.4/30 zulässt. Wenn Sie eine Regel für ausgehenden Traffic haben, die den gesamten Traffic zu 0.0.0.0/0 zulässt, sollte die Verbindung zwischen den Sicherungs-/Wiederherstellungs-Appliances und der Appliance-Verwaltungskonsole erfolgreich sein.

Cloud Storage-Bucket erstellen

Sie benötigen einen Cloud Storage-Bucket, wenn Sie Datenbanken und Dateisysteme mit dem Backup und DR-Agent schützen und die Sicherungen dann zur langfristigen Aufbewahrung in Cloud Storage kopieren möchten. Dies gilt auch für VMware-VM-Sicherungen, die mit VMware vSphere Storage APIs Data Protection erstellt wurden.

Erstellen Sie einen Cloud Storage-Bucket anhand der folgenden Anleitung:

  1. Wechseln Sie in der Google Cloud Console unter „Cloud Storage“ zur Seite Buckets.

    Buckets aufrufen

  2. Klicken Sie auf Bucket erstellen.

  3. Geben Sie einen Namen für den Bucket ein.

  4. Wählen Sie eine Region zum Speichern Ihrer Daten aus und klicken Sie auf Weiter.

  5. Wählen Sie eine Standardspeicherklasse aus und klicken Sie auf Weiter. Verwenden Sie Nearline, wenn die Aufbewahrungsdauer 30 Tage oder weniger beträgt, oder Coldline, wenn die Aufbewahrungsdauer 90 Tage oder mehr beträgt. Wenn die Aufbewahrungsdauer zwischen 30 und 90 Tagen liegt, sollten Sie Coldline verwenden.

  6. Lassen Sie Einheitliche Zugriffssteuerung ausgewählt und klicken Sie auf Weiter. Verwenden Sie nicht „Fein abgestimmt“.

  7. Lassen Sie die Schutztools auf Keine gesetzt und klicken Sie auf Weiter. Wählen Sie keine anderen Optionen aus, da diese nicht mit Backup und DR funktionieren.

  8. Klicken Sie auf Erstellen.

  9. Prüfen Sie, ob Ihr Dienstkonto Zugriff auf Ihren Bucket hat:

    1. Wählen Sie den neuen Bucket aus, um die Bucket-Details aufzurufen.

    2. Gehen Sie zu Berechtigungen.

    3. Prüfen Sie, ob Ihre neuen Dienstkonten unter Hauptkonten aufgeführt sind. Wenn dies nicht der Fall ist, fügen Sie mit dem Button Hinzufügen sowohl das Dienstkonto für den Lesezugriff als auch das Dienstkonto für den Schreibzugriff als Hauptkonten hinzu.

Nächste Schritte