Prepárate para implementar un dispositivo de copia de seguridad o recuperación

Precaución: Se dio de baja la compatibilidad con la copia de seguridad y el restablecimiento de las cargas de trabajo administradas con la consola de administración de dispositivos heredada. Para obtener más información, consulta Bajas de funciones en la documentación de Backup and DR.

Antes de comenzar

Te recomendamos que leas Planifica una implementación de Backup and DR antes de comenzar esta sección.

En esta página, se detallan los requisitos de Google Cloud que se deben cumplir antes de habilitar Backup and DR de Google Cloud , lo que se debe hacer en la consola deGoogle Cloud .

Todas las tareas que se describen en esta página se deben realizar en el proyecto deGoogle Cloud en el que implementas tu dispositivo de copia de seguridad y recuperación. Si este proyecto es un proyecto de servicio de VPC compartida, algunas tareas se realizan en el proyecto de VPC y otras en el proyecto de carga de trabajo.

Permitir proyectos de imágenes confiables

Permisos necesarios para esta tarea

Esta es una política a nivel de la organización que podría no estar configurada o ni siquiera existir. Para cambiar esto, tu usuario debe tener los siguientes permisos:

• orgpolicy.policies.create
• orgpolicy.policies.delete
• orgpolicy.policies.delete
• orgpolicy.policy.get
Entre los roles de ejemplo que tienen este permiso, se incluyen los siguientes: Administrador de políticas de la organización

Si habilitaste la política constraint/compute.trustedImageProjects en las políticas de la organización, no se permite el proyecto de origen administrado por Google Cloudpara las imágenes que se usan para implementar el dispositivo de copia de seguridad y recuperación. Debes personalizar esta política de la organización en los proyectos en los que se implementan los dispositivos de copia de seguridad y recuperación para evitar que se produzca un error de incumplimiento de política durante la implementación, como se detalla en las siguientes instrucciones:

1. Ve a la página Políticas de la organización y selecciona el proyecto en el que implementas tus dispositivos.

   Ir a Políticas de la organización

2. En la lista de políticas, haz clic en Definir proyectos de imágenes confiables.

3. Haz clic en Editar para personalizar tus restricciones de imágenes confiables.

4. En la página Editar, selecciona Personalizar.

5. Selecciona una de las siguientes tres posibilidades:

   Política heredada existente

   Si hay una política heredada existente, completa lo siguiente:

   1. En Aplicación de la política, selecciona Combinar con elemento superior.

   2. Haz clic en Agregar regla.

   3. Selecciona Personalizado en la lista desplegable Valores de la política para establecer la restricción en proyectos de imágenes específicos.

   4. Selecciona Permitir en la lista desplegable Tipo de política para quitar las restricciones de los proyectos de imagen especificados.

   5. En el campo Valores personalizados, ingresa el valor personalizado como projects/backupdr-images.

   6. Haz clic en Listo.

   Regla Permitir existente

   Si hay una regla de Permitir existente, completa los siguientes pasos:

   1. Deja la Aplicación de la política en la opción predeterminada seleccionada.

   2. Selecciona la regla Permitir existente.

      Precaución: Si existe una regla, úsala. No intentes agregar una regla adicional.

   3. Haz clic en Agregar valor para agregar proyectos de imagen adicionales y, luego, ingresa el valor como projects/backupdr-images.

   4. Haz clic en Listo.

   No hay ninguna política ni regla existente

   Si no hay una regla existente, selecciona Agregar regla y, luego, completa los siguientes pasos:

   1. Deja la Aplicación de la política en la opción predeterminada seleccionada.

   2. Selecciona Personalizado en la lista desplegable Valores de la política para establecer la restricción en proyectos de imagen específicos.

   3. Selecciona Permitir en la lista desplegable Tipo de política para quitar las restricciones de los proyectos de imagen especificados.

   4. En el campo Valores personalizados, ingresa el valor personalizado como projects/backupdr-images.

   5. Si configuras restricciones a nivel del proyecto, estas podrían entrar en conflicto con las restricciones existentes establecidas en la organización o carpeta.

   6. Haz clic en Agregar valor para agregar proyectos de imagen adicionales y, luego, en Listo.

   7. Haz clic en Guardar.

6. Haz clic en Guardar para aplicar la restricción.

   Para obtener más información sobre cómo crear políticas de la organización, consulta Crea y administra políticas de la organización.

El proceso de implementación

Para iniciar la instalación, Backup and DR crea una cuenta de servicio para ejecutar el instalador. La cuenta de servicio requiere privilegios en el proyecto host, el proyecto de servicio del dispositivo de copia de seguridad y recuperación, y el proyecto de servicio de la consola de administración del dispositivo. Para obtener más información, consulta Cuentas de servicio.

La cuenta de servicio que se usa para la instalación se convierte en la cuenta de servicio del dispositivo de copia de seguridad y recuperación. Después de la instalación, los permisos de la cuenta de servicio se reducen solo a los que requiere el dispositivo de copia de seguridad y recuperación.

Si implementas varios dispositivos de copia de seguridad y recuperación, cada uno debe estar asociado con una cuenta de servicio única. Usar la misma cuenta de servicio para varios dispositivos puede provocar tiempos de espera de registro o fallas de administración.

La consola de administración del dispositivo se implementa cuando instalas el primer dispositivo de copia de seguridad o recuperación. Puedes implementar Backup and DR en una VPC compartida o en una VPC no compartida.

Backup and DR en una VPC no compartida

Cuando se implementa la consola de administración del dispositivo y el primer dispositivo de copia de seguridad o recuperación se encuentra en un solo proyecto con una VPC no compartida, los tres componentes de Backup and DR se encuentran en el mismo proyecto.

Nota: Las CMEK deben estar inhabilitadas en el proyecto en el que se implementa el dispositivo de copia de seguridad y recuperación.

Si la VPC es compartida, consulta Backup and DR en una VPC compartida.

Habilita las APIs necesarias para la instalación en una VPC no compartida

Antes de habilitar las APIs necesarias para la instalación en una VPC no compartida, revisa las regiones admitidas para la implementación de Backup and DR. Consulta las regiones admitidas.

Para ejecutar el instalador en una VPC no compartida, se deben habilitar las siguientes APIs. Para habilitar las APIs, necesitas el rol de administrador de Service Usage.

API	Nombre del servicio
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com
Workflows ^1	workflows.googleapis.com
Cloud Key Management Service (KMS)	cloudkms.googleapis.com
Identity and Access Management	iam.googleapis.com
Cloud Logging	logging.googleapis.com

¹ El servicio de Workflows es compatible con las regiones indicadas. Si el servicio de Workflows no está disponible en una región en la que se implementa el dispositivo de copia de seguridad o recuperación, Backup and DR se establece de forma predeterminada en la región "us-central1". Si tienes una política de la organización configurada para evitar la creación de recursos en otras regiones, debes actualizarla de forma temporal para permitir la creación de recursos en la región "us-central1". Puedes restringir la región "us-central1" después de la implementación del dispositivo de copia de seguridad y recuperación.

La cuenta de usuario requiere estos permisos en el proyecto de VPC no compartida

Rol preferido	Se necesitan permisos
resourcemanager.projectIamAdmin (Administrador de IAM de proyecto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Administrador de Service Usage)	serviceusage.services.list
iam.serviceAccountUser (Usuario de cuenta de servicio)	iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Administrador de cuentas de servicio)	iam.serviceAccounts.create
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
workflows.editor (Editor de flujos de trabajo)	workflows.workflows.create
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
backupdr.admin (Administrador de Backup and DR)	backupdr.*
Visualizador (básico)	Otorga los permisos necesarios para ver la mayoría de los recursos de Google Cloud .

Backup and DR en una VPC compartida

Cuando implementas la consola de administración del dispositivo y el primer dispositivo de copia de seguridad y recuperación en un proyecto de VPC compartida, debes configurar estos tres proyectos en el proyecto host o en uno o más proyectos de servicio:

Antes de habilitar las APIs necesarias para la instalación en una VPC compartida, revisa las regiones admitidas para la implementación de Backup and DR. Consulta Regiones admitidas.

Nota: Se debe inhabilitar la CMEK en el proyecto en el que se implementa cualquier dispositivo de copia de seguridad y recuperación.

• Proyecto propietario de la VPC: Es el propietario de la VPC seleccionada. El propietario de la VPC siempre es el proyecto host.

• proyecto de la consola de administración del dispositivo: Aquí es donde se activa la API de Backup and DR y donde accedes a la consola de administración del dispositivo para administrar las cargas de trabajo.

• Proyecto de dispositivo de copia de seguridad o recuperación: Aquí es donde se instala el dispositivo de copia de seguridad o recuperación y, por lo general, donde residen los recursos protegidos.

En una VPC compartida, estos pueden ser uno, dos o tres proyectos.

Tipo	Propietario de la VPC	Consola de administración del dispositivo	Dispositivo de copia de seguridad y recuperación
HHH	Proyecto host	Proyecto host	Proyecto host
HHS	Proyecto host	Proyecto host	Proyecto de servicio
HSH	Proyecto host	Proyecto de servicio	Proyecto host
HSS	Proyecto host	Proyecto de servicio	Proyecto de servicio
HS2	Proyecto host	Proyecto de servicio	Un proyecto de servicio diferente

Descripciones de las estrategias de implementación

• HHH: VPC compartida. El propietario de la VPC, la consola de administración del dispositivo y el dispositivo de copia de seguridad o recuperación se encuentran en el proyecto host.

• HHS: VPC compartida. El propietario de la VPC y la consola de administración del dispositivo se encuentran en el proyecto host, y el dispositivo de copia de seguridad y recuperación se encuentra en un proyecto de servicio.

• HSH: VPC compartida. El propietario de la VPC y el dispositivo de copia de seguridad o recuperación se encuentran en el proyecto host, y la consola de administración del dispositivo se encuentra en un proyecto de servicio.

• HSS: VPC compartida. El propietario de la VPC se encuentra en el proyecto host, y el dispositivo de copia de seguridad y recuperación, y la consola de administración del dispositivo se encuentran en un proyecto de servicio.

• HS2: VPC compartida. El propietario de la VPC se encuentra en el proyecto host, y el dispositivo de copia de seguridad y recuperación, y la consola de administración del dispositivo se encuentran en dos proyectos de servicio diferentes.

Habilita estas APIs necesarias para la instalación en el proyecto host

Para ejecutar el instalador, se deben habilitar las siguientes APIs. Para habilitar las APIs, necesitas el rol Administrador de Service Usage.

API	Nombre del servicio
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com

Habilita estas APIs necesarias para la instalación en el proyecto del dispositivo de copia de seguridad y recuperación

API	Nombre del servicio
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com
Workflows ^1	workflows.googleapis.com
Cloud Key Management Service (KMS)	cloudkms.googleapis.com
Identity and Access Management	iam.googleapis.com
Cloud Logging	logging.googleapis.com

Nota: El dispositivo de copia de seguridad y recuperación requiere acceso a las APIs de Google Cloud . Si la configuración de red de la subred no permite que las VMs accedan a las APIs de Google Cloud , la implementación del dispositivo de copia de seguridad y recuperación fallará. Asegúrate de que la subred en la que implementaste el dispositivo de copia de seguridad y recuperación tenga acceso a las APIs y los servicios de Google Cloud . Consulta Configura el acceso privado a Google Cloud |VPC para obtener más información sobre cómo configurarlo.

¹ El servicio de Workflows es compatible con las regiones indicadas. Si el servicio de Workflows no está disponible en una región en la que se implementa el dispositivo de copia de seguridad o recuperación, Backup and DR se establece de forma predeterminada en la región "us-central1". Si tienes una política de la organización configurada para evitar la creación de recursos en otras regiones, debes actualizarla temporalmente para permitir la creación de recursos en la región "us-central1". Puedes restringir la región "us-central1" después de la implementación del dispositivo de copia de seguridad y recuperación.

La cuenta de usuario requiere estos permisos en el proyecto propietario de la VPC

Nota: Es posible que los roles otorguen más permisos de los que necesitas. Para obtener los permisos mínimos requeridos, asigna solo los que se indican en la columna Permisos necesarios.

Rol preferido	Se necesitan permisos
resourcemanager.projectIamAdmin (Administrador de IAM de proyecto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Administrador de Service Usage)	serviceusage.services.list

La cuenta de usuario requiere estos permisos en el proyecto de la consola de administración del dispositivo

Nota: Es posible que los roles otorguen más permisos de los que necesitas. Para obtener los permisos mínimos requeridos, asigna solo los que se indican en la columna Permisos necesarios.

La consola de administración del dispositivo se implementa cuando instalas el primer dispositivo de copia de seguridad o recuperación.

Rol preferido	Se necesitan permisos
resourcemanager.projectIamAdmin (Administrador de IAM de proyecto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
backupdr.admin (Administrador de Backup and DR)	backupdr.*
Visualizador (básico)	Otorga los permisos necesarios para ver la mayoría de los recursos de . Google Cloud

La cuenta de usuario requiere estos permisos en el proyecto del dispositivo de copia de seguridad y recuperación

Nota: Es posible que los roles otorguen más permisos de los que necesitas. Para obtener los permisos mínimos requeridos, asigna solo los que se indican en la columna Permisos necesarios.

Rol preferido	Se necesitan permisos
resourcemanager.projectIamAdmin (Administrador de IAM de proyecto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
iam.serviceAccountUser (Usuario de cuenta de servicio)	iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Administrador de cuentas de servicio)	iam.serviceAccounts.create
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
workflows.editor (Editor de flujos de trabajo)	workflows.workflows.create
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Administrador de Service Usage)	serviceusage.services.list

Además de los permisos de la cuenta de usuario final, se otorgan temporalmente otros permisos a la cuenta de servicio creada en tu nombre hasta que se complete la instalación.

Configura las redes

Si aún no se creó una red de VPC para tu proyecto de destino, debes crear una antes de continuar. Consulta Crea y modifica redes de nube privada virtual (VPC) para obtener más detalles. Necesitas una subred en cada región en la que planees implementar un dispositivo de copia de seguridad y recuperación, y se debe asignar el permiso compute.networks.create para crearla.

Si implementas dispositivos de copia de seguridad y recuperación en varias redes, usa subredes que no compartan los mismos rangos de direcciones IP para evitar que varios dispositivos de copia de seguridad y recuperación tengan la misma dirección IP.

Configura el Acceso privado a Google

El dispositivo de copia de seguridad o recuperación se comunica con la consola de administración del dispositivo a través del Acceso privado a Google. Se recomienda que habilites el Acceso privado a Google para cada subred en la que quieras implementar un dispositivo de copia de seguridad y recuperación.

La subred en la que se implementa el dispositivo de copia de seguridad y recuperación debe comunicarse con un dominio único alojado en el dominio backupdr.googleusercontent.com. Se recomienda que incluyas la siguiente configuración en Cloud DNS:

1. Crea una zona privada para el nombre de DNS backupdr.googleusercontent.com.
2. Crea un registro A para el dominio backupdr.googleusercontent.com y, luego, incluye cada una de las cuatro direcciones IP 199.36.153.8, 199.36.153.9, 199.36.153.10 y 199.36.153.11 de la subred private.googleapis.com 199.36.153.8/30. Si usas los Controles del servicio de VPC, usa 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7 de la subred restricted.googleapis.com 199.36.153.4/30.
3. Crea un registro CNAME para *.backupdr.googleusercontent.com que apunte al nombre de dominio backupdr.googleusercontent.com.

Esto garantiza que cualquier resolución de DNS para el dominio único de la consola de administración del dispositivo se realice con el Acceso privado a Google.

Asegúrate de que tus reglas de firewall tengan una regla de salida que permita el acceso en TCP 443 a la subred 199.36.153.8/30 o 199.36.153.4/30. Además, si tienes una regla de salida que permite todo el tráfico a 0.0.0.0/0, la conectividad entre los dispositivos de copia de seguridad/recuperación y la consola de administración de dispositivos debería realizarse correctamente.

Cree un bucket de Cloud Storage

Necesitas un bucket de Cloud Storage si quieres proteger las bases de datos y los sistemas de archivos con el agente de Backup and DR y, luego, copiar las copias de seguridad en Cloud Storage para la retención a largo plazo. Esto también se aplica a las copias de seguridad de VMs de VMware creadas con la protección de datos de las API de Storage de VMware vSphere.

Permisos necesarios para esta tarea

Para crear un bucket de Cloud Storage, necesitas un rol que contenga los siguientes permisos:

• storage.buckets.get
• storage.objects.create
• storage.objects.delete
• storage.objects.get
• storage.objects.list
• iam.serviceAccountKeys.create
Los roles que tienen estos permisos incluyen Storage Admin y Editor.

Crea un bucket de Cloud Storage con las siguientes instrucciones:

1. En la Google Cloud consola, ve a la página Buckets de Cloud Storage.
   

   Ir a Buckets

2. Haz clic en Crear bucket.

3. Ingresa un nombre para el bucket.

4. Elige una región para almacenar tus datos y haz clic en Continuar.

5. Elige una clase de almacenamiento predeterminada y haz clic en Continuar. Usa Nearline cuando la retención sea de 30 días o menos, o Coldline cuando la retención sea de 90 días o más. Si la retención es de entre 30 y 90 días, considera usar Coldline.

6. Deja seleccionada la opción Control de acceso uniforme y haz clic en Continuar. No uses permisos detallados.

7. Deja las herramientas de Protección configuradas en Ninguna y haz clic en Continuar. No selecciones otras opciones, ya que no funcionan con Backup and DR.

8. Haz clic en Crear.

9. Valida que tu cuenta de servicio tenga acceso a tu bucket:

   1. Selecciona tu bucket nuevo para mostrar sus detalles.

   2. Ve a Permisos.

   3. En Principales, asegúrate de que aparezcan tus cuentas de servicio nuevas. Si no es así, usa el botón Agregar para agregar las cuentas de servicio de lector y escritor como principales.

   Nota: De forma predeterminada, la cuenta de servicio conectada al dispositivo no puede acceder a los buckets creados por el usuario, ya que el rol Backup and DR Cloud Storage Operator se agrega con una condición de IAM que solo le permite acceder a los buckets si el bucket que se crea comienza con el mismo nombre del dispositivo. Por lo tanto, debes agregar manualmente la cuenta de servicio como principal en cada bucket creado por el usuario que agregues a un grupo de OnVault.

¿Qué sigue?

• Implementa Backup and DR