準備部署備份/復原設備

事前準備

建議您先閱讀「規劃備份和災難復原部署作業」，再開始本節。

本頁面詳細說明啟用 Google Cloud 備份和災難復原前必須符合的 Google Cloud 規定，這項操作必須在Google Cloud 控制台完成。

本頁列出的所有工作，都必須在您部署備份/復原設備的Google Cloud 專案中執行。如果這項專案是 Shared VPC 服務專案，則部分工作會在虛擬私有雲專案中執行，部分工作則在工作負載專案中執行。

允許信任的映像檔專案

如果您在組織政策中啟用了 constraint/compute.trustedImageProjects 政策，則系統不允許使用 Google Cloud代管的來源專案，來部署備份/復原設備的映像檔。您必須在部署備份/復原設備的專案中自訂這項組織政策，以免在部署期間發生違反政策的錯誤，詳情請參閱下列操作說明：

  1. 前往「Organization policies」(組織政策) 頁面，選取部署設備的專案。

    前往「Organization policies」(組織政策)

  2. 在政策清單中，點選 [Define trusted image projects] (定義可信映像檔專案)。

  3. 按一下「編輯」，自訂現有的可信任映像檔限制。

  4. 在「Edit」(編輯) 頁面選取 [Customize] (自訂)。

  5. 請從下列三個選項中選擇：

    現有繼承政策

    如果已有繼承的政策，請完成下列步驟：

    1. 在「Policy enforcement」(政策強制執行) 部分，選取「Merge with parent」(與上層合併)。

    2. 按一下「Add rule」(新增規則)。

    3. 從「Policy values」(政策值) 下拉式選單中選取「Custom」(自訂)，設定特定映像檔專案的限制。

    4. 在「Policy type」(政策類型) 下拉式選單中選取「Allow」(允許)，即可移除指定圖像專案的限制。

    5. 在「Custom values」(自訂值) 欄位中，輸入自訂值 projects/backupdr-images。

    6. 按一下「完成」。

    現有的「允許」規則

    如果已有「允許」規則，請完成下列步驟：

    1. 「政策強制執行」保留預設選項。

    2. 選取現有的「允許」規則。

    3. 按一下「Add value」(新增值)，新增其他映像檔專案，並輸入 projects/backupdr-images 做為值。

    4. 按一下「完成」。

    沒有現有政策或規則

    如果沒有現有規則，請選取「Add rule」(新增規則)，然後完成下列步驟：

    1. 「政策強制執行」保留預設選項。

    2. 從「Policy values」(政策值) 下拉式選單中選取「Custom」(自訂)，設定特定映像檔專案的限制。

    3. 在「Policy type」(政策類型) 下拉式選單中選取「Allow」(允許)，即可移除指定圖像專案的限制。

    4. 在「Custom values」(自訂值) 欄位中，輸入自訂值 projects/backupdr-images。

    5. 如果您設定專案層級限制，可能會與組織或資料夾上設定的現有限制衝突。

    6. 按一下「Add value」(新增值)，新增其他映像檔專案，然後按一下「Done」(完成)。

    7. 按一下「儲存」。

  6. 按一下「儲存」即可套用限制。

    如要進一步瞭解如何建立組織政策，請參閱「建立及管理組織政策」。

部署流程

為啟動安裝程序，備份和災難復原服務會建立服務帳戶來執行安裝程式。服務帳戶必須具備主專案、備份/復原設備服務專案，以及設備管理控制台服務專案的權限。詳情請參閱「服務帳戶」。

用於安裝的服務帳戶會成為備份/復原設備的服務帳戶。安裝完成後，服務帳戶的權限會縮減為僅限備份/復原設備所需的權限。

如果您部署多個備份/復原設備，每個設備都必須與專屬服務帳戶建立關聯。如果多個設備使用同一個服務帳戶，可能會導致註冊逾時或管理失敗。

安裝第一個備份/復原設備時，系統會部署設備管理控制台。您可以在Shared VPC或非共用虛擬私有雲中部署備份和災難復原。

在非 Shared VPC 中備份和災難復原

如果部署設備管理控制台和第一個備份/復原設備時，是在單一專案中使用非共用虛擬私有雲，則三個備份和災難復原元件都會位於同一個專案中。

如果虛擬私有雲為 Shared VPC，請參閱「Shared VPC 中的備份和災難復原」。

啟用必要的 API，以便在非 Shared VPC 中安裝

在非共用虛擬私有雲中啟用安裝所需的 API 之前，請先查看備份和災難復原部署作業支援的區域。請參閱「支援的地區」。

如要在非 Shared VPC 中執行安裝程式，必須啟用下列 API。如要啟用 API，您必須具備服務使用情形管理員角色。

API 服務名稱
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com
Workflows 1 workflows.googleapis.com
Cloud Key Management Service (KMS) cloudkms.googleapis.com
Identity and Access Management iam.googleapis.com
Cloud Logging logging.googleapis.com

1 Workflow 服務支援列出的區域。如果部署備份/復原設備的區域不提供 Workflows 服務，備份和災難復原服務會預設為「us-central1」區域。如果組織政策設為禁止在其他區域建立資源，則須暫時更新組織政策，允許在「us-central1」區域建立資源。備份/復原設備部署完成後，您可以限制「us-central1」區域。

使用者帳戶在非 Shared VPC 專案中，必須具備下列權限

偏好的角色 所需權限
resourcemanager.projectIamAdmin (專案 IAM 管理員) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (服務使用情形管理員) serviceusage.services.list
iam.serviceAccountUser (服務帳戶使用者) iam.serviceAccounts.actAs
iam.serviceAccountAdmin (服務帳戶管理員) iam.serviceAccounts.create
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.editor (Workflows 編輯者) workflows.workflows.create
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
backupdr.admin (備份和災難復原管理員) backupdr.*
檢視者 (基本) 授予查看
大部分 Google Cloud 資源所需的權限。

Shared VPC 中的備份和災難復原

在 Shared VPC 專案中部署設備管理控制台和第一個備份/復原設備時，您必須在主專案或一或多個服務專案中設定下列三項專案：

在 Shared VPC 中啟用安裝所需的 API 之前，請先查看備份和災難復原部署作業支援的地區。請參閱「支援的地區」。

  • 虛擬私有雲擁有者專案：擁有選取的虛擬私有雲。虛擬私有雲擁有者一律為主專案。

  • 設備管理控制台專案：啟用備份和災難復原 API 的位置，您可以在這裡存取設備管理控制台，管理工作負載。

  • 備份/復原設備專案：這是安裝備份/復原設備的位置，通常也是受保護資源所在的位置。

在 Shared VPC 中，這些專案可能是一、二或三個。

類型 虛擬私有雲擁有者 設備管理控制台 備份/復原設備
HHH 主專案 主專案 主專案
HHS 主專案 主專案 服務專案
HSH 主專案 服務專案 主專案
HSS 主專案 服務專案 服務專案
HS2 主專案 服務專案 其他服務專案

部署策略說明

  • HHH：Shared VPC。虛擬私有雲擁有者、設備管理控制台和備份/復原設備都位於主專案中。

  • HHS：Shared VPC。虛擬私有雲擁有者和設備管理控制台位於主專案，備份/復原設備則位於服務專案。

  • HSH：Shared VPC。虛擬私有雲擁有者和備份/復原設備位於主專案中，而設備管理控制台則位於服務專案中。

  • HSS：Shared VPC。虛擬私有雲擁有者位於主專案，備份/復原設備和設備管理控制台則位於一個服務專案。

  • HS2：Shared VPC。虛擬私有雲擁有者位於主專案，而備份/復原設備和設備管理控制台則位於兩個不同的服務專案。

在主專案中啟用下列安裝作業所需的 API

如要執行安裝程式，必須啟用下列 API。如要啟用 API，您必須具備服務使用情形管理員角色。

API 服務名稱
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com

在備份/復原設備專案中啟用下列必要 API，以便進行安裝

API 服務名稱
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com
Workflows 1 workflows.googleapis.com
Cloud Key Management Service (KMS) cloudkms.googleapis.com
Identity and Access Management iam.googleapis.com
Cloud Logging logging.googleapis.com

1 Workflow 服務支援列出的區域。如果部署備份/復原設備的區域不提供 Workflows 服務，備份和災難復原服務會預設為「us-central1」區域。如果組織政策設為禁止在其他區域建立資源，則須暫時更新組織政策，允許在「us-central1」區域建立資源。備份/復原設備部署完成後，您可以限制「us-central1」區域。

使用者帳戶必須在虛擬私有雲擁有者專案中具備這些權限

偏好角色 所需權限
resourcemanager.projectIamAdmin (專案 IAM 管理員) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (服務使用情形管理員) serviceusage.services.list

使用者帳戶必須在設備管理控制台專案中具備下列權限

安裝第一個備份/復原設備時，系統會部署設備管理控制台。

偏好角色 所需權限
resourcemanager.projectIamAdmin (專案 IAM 管理員) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
backupdr.admin (備份和災難復原管理員) backupdr.*
檢視者 (基本) 授予查看
大部分 Google Cloud 資源所需的權限。

使用者帳戶必須在備份/復原設備專案中具備這些權限

偏好角色 所需權限
resourcemanager.projectIamAdmin (專案 IAM 管理員) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccountUser (服務帳戶使用者) iam.serviceAccounts.actAs
iam.serviceAccountAdmin (服務帳戶管理員) iam.serviceAccounts.create
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.editor (Workflows 編輯者) workflows.workflows.create
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (服務使用情形管理員) serviceusage.services.list

除了使用者帳戶權限外，系統也會暫時將其他權限授予代您建立的服務帳戶，直到安裝完成為止。

設定網路

如果尚未為目標專案建立虛擬私有雲網路，請先建立再繼續操作。詳情請參閱「建立及修改虛擬私有雲 (VPC) 網路」。您必須在要部署備份/復原設備的每個區域中建立子網路，並指派 compute.networks.create 權限。

如果您在多個網路中部署備份/復原設備，請使用不共用相同 IP 位址範圍的子網路，以免多個備份/復原設備具有相同的 IP 位址。

設定私人 Google 存取權

備份/復原設備會使用 Private Google Access 與設備管理控制台通訊。建議您為要部署備份/復原設備的每個子網路啟用 Private Google Access。

部署備份/復原設備的子網路必須與 backupdr.googleusercontent.com 網域下託管的專屬網域通訊。建議您在 Cloud DNS 中加入下列設定：

  1. 為 DNS 名稱 backupdr.googleusercontent.com 建立私人區域。
  2. 為網域 backupdr.googleusercontent.com 建立 A 記錄，並加入 private.googleapis.com 子網路 199.36.153.8/30 的四個 IP 位址：199.36.153.8、199.36.153.9、199.36.153.10、199.36.153.11。如果您使用 VPC Service Controls，請使用 restricted.googleapis.com 子網路 199.36.153.4/30 的 199.36.153.4、199.36.153.5、199.36.153.6、199.36.153.7。
  3. 為 *.backupdr.googleusercontent.com 建立 CNAME 記錄，並指向網域名稱 backupdr.googleusercontent.com。

這可確保您專屬設備管理控制台網域的任何 DNS 解析，都會使用 Private Google Access 進行周遊。

確認防火牆規則設有輸出規則，允許透過 TCP 443 存取 199.36.153.8/30 或 199.36.153.4/30 子網路。此外，如果您有輸出規則允許所有流量傳送至 0.0.0.0/0，則備份/復原設備與設備管理控制台之間的連線應會成功。

建立 Cloud Storage bucket

如要使用備份和災難復原代理程式保護資料庫和檔案系統，並將備份複製到 Cloud Storage 長期保留，則需要 Cloud Storage bucket。這也適用於使用 VMware vSphere Storage API 資料保護功能建立的 VMware VM 備份。

請按照下列操作說明建立 Cloud Storage bucket：

  1. 前往 Google Cloud 控制台的「Cloud Storage bucket」頁面。

    前往「Buckets」(值區) 頁面

  2. 按一下「建立值區」。

  3. 輸入 bucket 名稱。

  4. 選擇資料儲存區域，然後點選「繼續」。

  5. 選擇預設儲存空間級別，然後按一下「Continue」(繼續)。保留期限為 30 天以下時，請使用 Nearline；保留期限為 90 天以上時，請使用 Coldline。如果保留期限介於 30 到 90 天，建議使用 Coldline。

  6. 保留「統一存取控管」選項，然後按一下「繼續」。請勿使用精細模式。

  7. 將「保護工具」設為「無」，然後點選「繼續」。請勿選取其他選項，因為這些選項不適用於備份和災難復原。

  8. 點選「建立」。

  9. 驗證服務帳戶是否能存取 bucket：

    1. 選取新的 bucket，顯示 bucket 詳細資料。

    2. 前往「權限」。

    3. 在「主體」下方，確認已列出新的服務帳戶。如果沒有，請使用「Add」(新增) 按鈕，將讀取器和寫入器服務帳戶新增為主體。

後續步驟