Preparati a eseguire il deployment di un'appliance di backup/ripristino

Attenzione: Il supporto per il backup e il ripristino dei carichi di lavoro gestiti tramite la console di gestione dell'appliance legacy è obsoleto. Per saperne di più, consulta Ritiro delle funzionalità nella documentazione di Backup e RE.

Prima di iniziare

Ti consigliamo di leggere Pianifica un RE di Backup e DR prima di iniziare questa sezione.

Questa pagina descrive i requisiti Google Cloud che devono essere soddisfatti prima di attivare Google Cloud Backup e RE, che deve essere eseguito nella consoleGoogle Cloud .

Tutte le attività descritte in questa pagina devono essere eseguite nel progettoGoogle Cloud in cui esegui il deployment dell'appliance di backup/recovery. Se questo progetto è un progetto di servizio del VPC condiviso, alcune attività vengono eseguite nel progetto VPC e altre nel progetto del workload.

Consenti progetti con immagini attendibili

Autorizzazioni richieste per questa attività

Si tratta di una policy a livello di organizzazione che potrebbe non essere impostata o addirittura non esistere. Per modificare questa impostazione, l'utente deve disporre delle seguenti autorizzazioni:

• orgpolicy.policies.create
• orgpolicy.policies.delete
• orgpolicy.policies.delete
• orgpolicy.policy.get
Esempi di ruoli che dispongono di questa autorizzazione includono: Amministratore delle politiche dell'organizzazione

Se hai attivato la policy constraint/compute.trustedImageProjects nelle policy dell'organizzazione, il progetto di origine gestito da Google Cloudper le immagini utilizzate per eseguire il deployment dell'appliance di backup/ripristino non è consentito. Devi personalizzare questa policy dell'organizzazione nei progetti in cui viene eseguito il deployment delle appliance di backup/recovery per evitare di ricevere un errore di violazione della policy durante il deployment, come descritto nelle istruzioni riportate di seguito:

1. Vai alla pagina Policy dell'organizzazione e seleziona il progetto in cui esegui il deployment delle appliance.

   Vai a Policy dell'organizzazione

2. Nell'elenco delle policy, fai clic su Definisci progetti con immagini attendibili.

3. Fai clic su Modifica per personalizzare i vincoli esistenti per le immagini attendibili.

4. Nella pagina Modifica, seleziona Personalizza.

5. Seleziona una delle seguenti tre possibilità:

   Policy ereditata esistente

   Se esiste già una policy ereditata, completa i seguenti passaggi:

   1. In Applicazione policy, seleziona Unisci con l'unità organizzativa principale.

   2. Fai clic su Aggiungi regola.

   3. Seleziona Personalizzato dall'elenco a discesa Valori policy per impostare il vincolo su progetti di immagini specifici.

   4. Seleziona Consenti dall'elenco a discesa Tipo di policy per rimuovere le limitazioni per i progetti di immagini specificati.

   5. Nel campo Valori personalizzati, inserisci il valore personalizzato come projects/backupdr-images.

   6. Fai clic su Fine.

   Regola Consenti esistente

   Se esiste già una regola Consenti, completa i seguenti passaggi:

   1. Lascia l'opzione Applicazione policy impostata sul valore predefinito selezionato.

   2. Seleziona la regola Consenti esistente.

      Attenzione: se esiste una regola, utilizzala. Non provare ad aggiungere una regola aggiuntiva.

   3. Fai clic su Aggiungi valore per aggiungere altri progetti di immagini e inserisci il valore projects/backupdr-images.

   4. Fai clic su Fine.

   Nessuna norma o regola esistente

   Se non esiste una regola, seleziona Aggiungi regola e completa i seguenti passaggi:

   1. Lascia l'opzione Applicazione policy impostata sul valore predefinito selezionato.

   2. Seleziona Personalizzato dall'elenco a discesa Valori policy per impostare il vincolo su progetti di immagini specifici.

   3. Seleziona Consenti dall'elenco a discesa Tipo di policy per rimuovere le limitazioni per i progetti di immagini specificati.

   4. Nel campo Valori personalizzati, inserisci il valore personalizzato come projects/backupdr-images.

   5. Se imposti vincoli a livello di progetto, questi potrebbero entrare in conflitto con i vincoli esistenti impostati sulla tua organizzazione o cartella.

   6. Fai clic su Aggiungi valore per aggiungere altri progetti di immagini e fai clic su Fine.

   7. Fai clic su Salva.

6. Fai clic su Salva per applicare il vincolo.

   Per saperne di più sulla creazione di policy dell'organizzazione, consulta Crea e gestisci le policy dell'organizzazione.

La procedura di deployment

Per avviare l'installazione, Backup e RE crea un account di servizio per eseguire il programma di installazione. Il account di servizio richiede privilegi nel progetto host, nel progetto di servizio dell'appliance di backup/ripristino e nel progetto di servizio della console di gestione delle appliance. Per saperne di più, consulta Service account.

Il account di servizio utilizzato per l'installazione diventa il account di servizio dell'appliance di backup/ripristino. Dopo l'installazione, le autorizzazioni del service account vengono ridotte solo a quelle richieste dall'appliance di backup/ripristino.

Se esegui il deployment di più appliance di backup/recovery, ogni appliance deve essere associata a un service account univoco. L'utilizzo dello stesso service account per più appliance può causare timeout di registrazione o errori di gestione.

Il deployment della console di gestione delle appliance viene eseguito quando installi la prima appliance di backup/ripristino. Puoi eseguire il deployment di Backup e RE in un VPC condiviso o in un VPC non condiviso.

Backup e RE in un VPC non condiviso

Quando esegui il deployment della console di gestione delle appliance e della prima appliance di backup/ripristino in un singolo progetto con un VPC non condiviso, tutti e tre i componenti di Backup e RE si trovano nello stesso progetto.

Nota: CMEK deve essere disabilitato nel progetto in cui è stato eseguito il deployment dell'appliance di backup/recovery.

Se il VPC è condiviso, consulta Backup e RE in un VPC condiviso.

Abilita le API richieste per l'installazione in un VPC non condiviso

Prima di abilitare le API richieste per l'installazione in un VPC non condiviso, esamina le regioni supportate per il deployment di Backup e RE. Consulta Regioni supportate.

Per eseguire il programma di installazione in un VPC non condiviso, devono essere abilitate le seguenti API. Per abilitare le API, devi disporre del ruolo Amministratore utilizzo servizi.

API	Nome servizio
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com
Workflows ^1	workflows.googleapis.com
Cloud Key Management Service (KMS)	cloudkms.googleapis.com
Identity and Access Management	iam.googleapis.com
Cloud Logging	logging.googleapis.com

¹ Il servizio Workflows è supportato nelle regioni elencate. Se il servizio Workflows non è disponibile in una regione in cui viene eseguito il deployment dell'appliance di backup/ripristino, Backup e RE utilizza per impostazione predefinita la regione "us-central1". Se hai una policy dell'organizzazione impostata per impedire la creazione di risorse in altre regioni, devi aggiornarla temporaneamente per consentire la creazione di risorse nella regione "us-central1". Puoi limitare la regione "us-central1" dopo il deployment dell'appliance di backup/recovery.

L'account utente richiede queste autorizzazioni nel progetto VPC non condiviso

Ruolo preferito	Autorizzazioni richieste
resourcemanager.projectIamAdmin (Amministratore IAM progetto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Amministratore Service Usage)	serviceusage.services.list
iam.serviceAccountUser (Service Account User)	iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Amministratore account di servizio)	iam.serviceAccounts.create
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
workflows.editor (Workflows Editor)	workflows.workflows.create
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
backupdr.admin (Backup and DR Admin)	backupdr.*
viewer (Basic)	Concede le autorizzazioni necessarie per visualizzare la maggior parte delle Google Cloud risorse.

Backup e RE in un VPC condiviso

Quando esegui il deployment della console di gestione delle appliance e della prima appliance di backup/ripristino in un progetto VPC condiviso, devi configurare questi tre progetti nel progetto host o in uno o più progetti di servizio:

Prima di abilitare le API richieste per l'installazione in un VPC condiviso, esamina le regioni supportate per il deployment di Backup e RE. Consulta Regioni supportate.

Nota: le CMEK devono essere disabilitate nel progetto in cui è stato eseguito il deployment di qualsiasi appliance di backup/ripristino.

• Progetto proprietario del VPC: è il proprietario del VPC selezionato. Il proprietario del VPC è sempre il progetto host.

• Progetto della console di gestione delle appliance: qui viene attivata l'API Backup e DR e accedi alla console di gestione delle appliance per gestire i workload.

• Progetto dell'appliance di backup/ripristino: è qui che viene installata l'appliance di backup/ripristino e, in genere, dove risiedono le risorse protette.

In un VPC condiviso, questi possono essere uno, due o tre progetti.

Tipo	Proprietario VPC	Console di gestione dell'appliance	Appliance di backup/ripristino
HHH	Progetto host	Progetto host	Progetto host
HHS	Progetto host	Progetto host	Progetto di servizio
HSH	Progetto host	Progetto di servizio	Progetto host
HSS	Progetto host	Progetto di servizio	Progetto di servizio
HS2	Progetto host	Progetto di servizio	Un progetto di servizio diverso

Descrizioni delle strategie di deployment

• HHH: VPC condiviso. Il proprietario del VPC, la console di gestione dell'appliance e l'appliance di backup/ripristino si trovano tutti nel progetto host.

• HHS: VPC condiviso. Il proprietario del VPC e la console di gestione delle appliance si trovano nel progetto host, mentre l'appliance di backup/ripristino si trova in un progetto di servizio.

• HSH: VPC condiviso. Il proprietario del VPC e l'appliance di backup/ripristino si trovano nel progetto host, mentre la console di gestione dell'appliance si trova in un progetto di servizio.

• HSS: VPC condiviso. Il proprietario del VPC si trova nel progetto host, mentre l'appliance di backup/recovery e la console di gestione delle appliance si trovano in un progetto di servizio.

• HS2: VPC condiviso. Il proprietario del VPC si trova nel progetto host, mentre l'appliance di backup/recovery e la console di gestione delle appliance si trovano in due progetti di servizio diversi.

Abilita queste API richieste per l'installazione nel progetto host

Per eseguire il programma di installazione, devono essere abilitate le seguenti API. Per abilitare le API, devi avere il ruolo Amministratore utilizzo servizi.

API	Nome servizio
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com

Abilita queste API richieste per l'installazione nel progetto dell'appliance di backup/ripristino

API	Nome servizio
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com
Workflows ^1	workflows.googleapis.com
Cloud Key Management Service (KMS)	cloudkms.googleapis.com
Identity and Access Management	iam.googleapis.com
Cloud Logging	logging.googleapis.com

Nota: L'appliance di backup/ripristino richiede l'accesso alle Google Cloud API. Se le impostazioni di rete della subnet non consentono alle VM di accedere alle API Google Cloud , il deployment dell'appliance di backup/ripristino non va a buon fine. Assicurati che la subnet in cui hai eseguito il deployment dell'appliance di backup/ripristino abbia accesso alle API e ai servizi Google Cloud . Per ulteriori informazioni su come configurarlo, consulta Configura l'accesso privato Google Cloud |VPC.

¹ Il servizio Workflows è supportato nelle regioni elencate. Se il servizio Workflows non è disponibile in una regione in cui viene eseguito il deployment dell'appliance di backup/ripristino, Backup e RE utilizza per impostazione predefinita la regione "us-central1". Se hai una policy dell'organizzazione impostata per impedire la creazione di risorse in altre regioni, devi aggiornarla temporaneamente per consentire la creazione di risorse nella regione "us-central1". Puoi limitare la regione "us-central1" dopo il deployment dell'appliance di backup/recovery.

L'account utente richiede queste autorizzazioni nel progetto proprietario del VPC

Nota: i ruoli potrebbero concedere più autorizzazioni di quelle necessarie. Per le autorizzazioni minime richieste, assegna solo quelle elencate nella colonna Autorizzazioni necessarie.

Ruolo preferito	Autorizzazioni richieste
resourcemanager.projectIamAdmin (Amministratore IAM progetto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Amministratore Service Usage)	serviceusage.services.list

L'account utente richiede queste autorizzazioni nel progetto della console di gestione dell'appliance

Nota: i ruoli potrebbero concedere più autorizzazioni di quelle necessarie. Per le autorizzazioni minime richieste, assegna solo quelle elencate nella colonna Autorizzazioni necessarie.

Il deployment della console di gestione delle appliance viene eseguito quando installi la prima appliance di backup/ripristino.

Ruolo preferito	Autorizzazioni richieste
resourcemanager.projectIamAdmin (Amministratore IAM progetto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
backupdr.admin (Backup and DR Admin)	backupdr.*
viewer (Basic)	Concede le autorizzazioni necessarie per visualizzare la maggior parte delle risorse Google Cloud .

L'account utente richiede queste autorizzazioni nel progetto dell'appliance di backup/ripristino

Nota: i ruoli potrebbero concedere più autorizzazioni di quelle necessarie. Per le autorizzazioni minime richieste, assegna solo quelle elencate nella colonna Autorizzazioni necessarie.

Ruolo preferito	Autorizzazioni richieste
resourcemanager.projectIamAdmin (Amministratore IAM progetto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
iam.serviceAccountUser (Service Account User)	iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Amministratore account di servizio)	iam.serviceAccounts.create
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
workflows.editor (Workflows Editor)	workflows.workflows.create
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Amministratore Service Usage)	serviceusage.services.list

Oltre alle autorizzazioni dell'account utente finale, all'account di servizio creato per tuo conto vengono concesse temporaneamente altre autorizzazioni fino al completamento dell'installazione.

Configura reti

Se non è già stata creata una rete VPC per il progetto di destinazione, devi crearne una prima di procedere. Per maggiori dettagli, consulta Crea e modifica le reti Virtual Private Cloud (VPC). Devi avere una subnet in ogni regione in cui prevedi di eseguire il deployment di un'appliance di backup/ripristino e devi disporre dell'autorizzazione compute.networks.create per crearla.

Se esegui il deployment di appliance di backup/recovery in più reti, utilizza subnet che non condividono gli stessi intervalli di indirizzi IP per evitare che più appliance di backup/recovery abbiano lo stesso indirizzo IP.

Configurazione dell'accesso privato Google

L'appliance di backup/ripristino comunica con la console di gestione delle appliance utilizzando l'accesso privato Google. Ti consigliamo di abilitare l'accesso privato Google per ogni subnet in cui vuoi eseguire il deployment di un'appliance di backup/recovery.

La subnet in cui viene eseguito il deployment dell'appliance di backup/ripristino deve comunicare con un dominio univoco ospitato nel dominio backupdr.googleusercontent.com. Ti consigliamo di includere la seguente configurazione in Cloud DNS:

1. Crea una zona privata per il nome DNS backupdr.googleusercontent.com.
2. Crea un record A per il dominio backupdr.googleusercontent.com e includi ciascuno dei quattro indirizzi IP 199.36.153.8, 199.36.153.9, 199.36.153.10, 199.36.153.11 della subnet private.googleapis.com 199.36.153.8/30. Se utilizzi i Controlli di servizio VPC, utilizza 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7 dalla subnet restricted.googleapis.com 199.36.153.4/30.
3. Crea un record CNAME per *.backupdr.googleusercontent.com che punti al nome di dominio backupdr.googleusercontent.com.

In questo modo, la risoluzione DNS per il dominio univoco della console di gestione dell'appliance viene eseguita utilizzando l'accesso privato Google.

Assicurati che le regole firewall abbiano una regola in uscita che consenta l'accesso su TCP 443 alla subnet 199.36.153.8/30 o 199.36.153.4/30. Inoltre, se hai una regola in uscita che consente tutto il traffico verso 0.0.0.0/0, la connettività tra le appliance di backup/ripristino e la console di gestione delle appliance dovrebbe riuscire.

Crea un bucket Cloud Storage

Se vuoi proteggere i database e i file system utilizzando l'agente Backup e RE, devi avere un bucket Cloud Storage, quindi copiare i backup in Cloud Storage per la conservazione a lungo termine. Questo vale anche per i backup delle VM VMware creati utilizzando la protezione dei dati delle API Storage di VMware vSphere.

Autorizzazioni richieste per questa attività

Per creare un bucket Cloud Storage, devi disporre di un ruolo che contenga le seguenti autorizzazioni:

• storage.buckets.get
• storage.objects.create
• storage.objects.delete
• storage.objects.get
• storage.objects.list
• iam.serviceAccountKeys.create
I ruoli che dispongono di queste autorizzazioni includono Storage Admin e Editor.

Crea un bucket Cloud Storage seguendo queste istruzioni:

1. Nella console Google Cloud , vai alla pagina Bucket in Cloud Storage.
   

   Vai a Bucket

2. Fai clic su Crea bucket.

3. Inserisci un nome per il bucket.

4. Scegli una regione in cui archiviare i dati e fai clic su Continua.

5. Scegli una classe di archiviazione predefinita e fai clic su Continua. Utilizza Nearline quando la conservazione è di 30 giorni o meno o Coldline quando la conservazione è di 90 giorni o più. Se la conservazione è compresa tra 30 e 90 giorni, valuta l'utilizzo di Coldline.

6. Lascia selezionata l'opzione Controllo dell'accesso uniforme e fai clic su Continua. Non utilizzare un controllo granulare.

7. Lascia gli strumenti di protezione impostati su Nessuno e fai clic su Continua. Non selezionare altre opzioni, perché non funzionano con Backup e RE.

8. Fai clic su Crea.

9. Verifica che il tuo account di servizio abbia accesso al bucket:

   1. Seleziona il nuovo bucket per visualizzarne i dettagli.

   2. Vai ad Autorizzazioni.

   3. In Entità, assicurati che i nuovi service account siano elencati. In caso contrario, utilizza il pulsante Aggiungi per aggiungere i service account di lettura e scrittura come entità.

   Nota: per impostazione predefinita, il account di servizio collegato all'appliance non può accedere ai bucket creati dall'utente, poiché il ruolo Backup and DR Cloud Storage Operator viene aggiunto con una condizione IAM che consente di accedere ai bucket solo se il bucket creato inizia con lo stesso nome dell'appliance. Per questo motivo, devi aggiungere manualmente il account di servizio come entità a ogni bucket creato dall'utente che aggiungi a un pool OnVault.

Passaggi successivi

• Esegui il deployment di Backup e DR