将 Compute Engine 实例备份配置从设备管理控制台迁移到备份保险柜

使用 Compute Engine 实例保护功能，将 Compute Engine 实例保护从设备管理控制台备份方案迁移到备份保险柜备份方案，而不会造成中断、卸载备份代理、网络对等互连或更改 VPC 防火墙。

优势

  • 增强型勒索软件防护：高级不可删除和不可变功能，可保护您的数据免遭勒索软件攻击以及意外或恶意删除。

  • 立即节省费用：完成迁移后，管理费用会立即降低。

  • 精简的基础设施：迁移到零基础设施模型，无需备份设备，从而降低总拥有成本 (TCO)。

  • 无缝管理：使用集成的 Google Cloud 控制台体验，全面支持 gcloud CLI、Terraform 和 Google Cloud API，轻松实现大规模自动化。

  • 更广泛的支持：获得一个统一的平台，该平台还支持 Cloud SQL、AlloyDB for PostgreSQL 和 Filestore。

  • 在所有 Google Cloud 区域中均可用。

限制

  • 如果当前的设备管理控制台备份方案或 Compute Engine 实例配置包含以下任一功能，则不支持迁移：

    • 使用归档快照配置的设备管理控制台备份方案。

    • 使用 Google Cloud Hyperdisk 的 Compute Engine 实例。

    • 从备份中排除特定磁盘的 Compute Engine 实例。

  • 您只能迁移标准 Compute Engine 实例。其他应用工作负载类型（例如 Microsoft SQL、SAP HANA、Oracle 和 VMware 虚拟机）无法使用此页面进行迁移。

  • 您无法迁移现有备份。

注意事项

  • 如需执行批量迁移，您需要使用迁移脚本来自动完成大规模环境的转换。与 Cloud Customer Care 团队联系，获取批量迁移脚本。

  • 如果您通过备份保险柜和管理控制台为 Compute Engine 实例维护保护，则可能会产生这两个环境的结算费用。

  • 如果 Compute Engine 实例使用标记动态保护自动执行备份，则除非手动移除标记，否则计划作业将在迁移后重新保护实例。

  • 我们建议您避免迁移使用 Google Cloud Hyperdisk 的虚拟机。

  • 您现有的 Backup and DR Service 角色会继续按预期运行。但是，如果您计划将多个服务项目中的 Compute Engine 实例备份到一个集中式备份保险柜（即在中央备份项目中创建的备份保险柜），则必须向托管需要备份的实例的所有服务项目中的备份保险柜服务代理授予 Backup and DR Compute Engine Operator (roles/backupdr.computeEngineOperator) 角色。如需了解详情，请参阅向服务代理授予角色。

工作原理

执行迁移时，您的历史备份会保留在设备管理控制台中，不会迁移到备份保险柜。您可以在设备管理控制台中保留访问权限，直到这些备份根据其原始保留政策过期。

迁移完成后，您可以在设备管理控制台中查看历史恢复点，并在 Google Cloud 控制台中查看新恢复点。

如需将 Compute Engine 实例从设备管理控制台迁移到备份保险柜，请执行以下步骤：

  1. 配置保护：使用 MigrateToBackupVault 命令通过备份保险柜备份方案保护 Compute Engine 实例。

  2. 执行验证：确认备份保险柜已成功创建备份。

  3. 从设备管理控制台中移除保护：使用 UnprotectVMsFromManagementConsole 命令从设备管理控制台中移除保护。

准备工作

  1. 验证您是否拥有完成本指南所需的权限。

  2. 确保您拥有以下资源：

    • 预先存在的备份保险柜。如需查看相关说明，请参阅创建备份保险柜。
    • 已配置为使用备份保险柜的现有备份方案。 在 Google Cloud 控制台中创建此备份方案。它可以等同于设备管理控制台备份方案。如需查看相关说明，请参阅创建备份方案。

所需的角色

如需获得迁移 Compute Engine 实例备份配置所需的权限，请让管理员向您授予项目的以下 IAM 角色：

  • Backup and DR Admin（用于设备管理控制台操作的旧版角色）
  • Backup and DR Admin (roles/backupdr.admin)

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

安装迁移工具

如需运行迁移命令，您必须在所选环境（Cloud Shell 或本地工作站）中安装 backupdr_gcevm_migration_tool 独立可执行文件。

Google Cloud Shell

  1. 在 Google Cloud 控制台中打开 Cloud Shell。

  2. 点击更多 ，然后点击上传。

  3. 选择 backupdr_gcevm_migration_tool 文件。

  4. 将该工具设置为可执行工具：

    chmod +x ~/backupdr_gcevm_migration_tool

  5. 使用 ~/backupdr_gcevm_migration_tool 运行该工具。

本地环境

  1. 下载 backupdr_gcevm_migration_tool 可执行文件。

  2. 安装 gcloud CLI 并对其进行身份验证。如需了解详情，请参阅安装 gcloud CLI。

  3. 将可执行文件移至某个目录（例如 ~/tools），并使其可执行：

    mkdir -p ~/tools
mv ~/Downloads/backupdr_gcevm_migration_tool ~/tools/
chmod +x ~/tools/backupdr_gcevm_migration_tool

  4. 可选：如需从任何目录运行该工具，请将其添加到 PATH。将以下行添加到 ~/.bashrc 或 ~/.zshrc 文件中：

    export PATH="$PATH:$HOME/tools"

  5. 重新加载 shell：

    source ~/.bashrc

迁移 Compute Engine 实例

如需迁移实例，请在安装了迁移工具的终端环境中运行迁移工具命令，并将示例中的占位值替换为实际资源名称、项目 ID 和网址。

使用备份保险柜备份方案保护 Compute Engine 实例

运行 MigrateToBackupVault 命令，以识别设备管理控制台备份方案中符合条件的 Compute Engine 实例，并使用指定的备份保险柜备份方案保护这些实例。

  1. 运行 MigrateToBackupVault 命令：

    ./backupdr_gcevm_migration_tool MigrateToBackupVault \
  --slt_name=SLT_NAME \
  --management_server_url=MANAGEMENT_SERVER_URL \
  --backup_plan=projects/PROJECT_ID/locations/REGION/backupPlans/BACKUP_PLAN_NAME \
  --workload_projects=PROJECT_ID_1,PROJECT_ID_2 \
  --apply \
  --trigger_backup

    替换以下内容：

    • SLT_NAME：来源设备管理控制台备份方案（以前称为服务等级模板或 SLT）的名称。
    • MANAGEMENT_SERVER_URL：设备管理控制台的网址。
    • PROJECT_ID：您的 Google Cloud 项目 ID。
    • REGION：备份方案所在的区域。
    • BACKUP_PLAN_NAME：要应用的备份方案的名称。
    • PROJECT_ID_1,PROJECT_ID_2：包含 Compute Engine 实例的项目 ID 的英文逗号分隔列表，或 all。

    其他标志：

    • --apply：执行保护。如果省略，该工具将在试运行模式下运行。
    • --trigger_backup：在应用保护后立即启动按需备份。

    该命令会创建一个名为 MigrateToBackupVault_{slt_name}_output.txt 的输出文件，其中总结了所执行的操作和虚拟机状态。

  2. 如需验证实例是否受备份方案保护，请前往 Google Cloud 控制台中的Backup and DR > 保管库备份页面。

通过设备管理控制台取消对 Compute Engine 实例的保护

UnprotectVMsFromManagementConsole 命令会从设备管理控制台中的 Compute Engine 实例中移除保护。仅当虚拟机受新备份方案保护且至少有一个成功的备份保险柜备份时，此命令才会取消对虚拟机的保护。

  1. 运行 UnprotectVMsFromManagementConsole 命令：

    ./backupdr_gcevm_migration_tool UnprotectVMsFromManagementConsole \
  --slt_name=SLT_NAME \
  --management_server_url=MANAGEMENT_SERVER_URL \
  --workload_projects=PROJECT_ID_1,PROJECT_ID_2 \
  --apply

    替换以下内容：

    • SLT_NAME：来源设备管理控制台备份方案的名称。
    • MANAGEMENT_SERVER_URL：设备管理控制台的网址。

    • PROJECT_ID_1,PROJECT_ID_2：项目 ID 或 all 的英文逗号分隔列表。

      其他标志：

    • --apply：执行取消保护操作。如果省略，该工具将在试运行模式下运行。

该命令会创建一个名为 UnprotectVMsFromManagementConsole_{slt_name}_output.txt 的输出文件，其中汇总了这些操作。

  1. 在设备管理控制台中验证符合条件的实例是否不再受保护。

迁移工具会检查您的环境，以确保安全过渡。例如，只有在验证实例存在成功的备份保险柜备份后，该工具才会从设备管理控制台中移除保护。

加密

备份保险柜完全支持 Compute Engine 实例的客户管理的加密密钥 (CMEK)，让您可以使用自己的加密密钥对备份进行加密。

监控、报告和提醒变更

迁移后，您可以使用 Cloud Monitoring 和 Cloud Logging 进行可观测性，而不是使用旧版管理控制台电子邮件报告。这样，您就可以直接在Google Cloud 控制台中创建自定义信息中心和配置提醒。如需通过监控信息中心安排邮件提醒或配置提醒政策，请参阅提醒简介。

访问历史报告数据

您仍然可以通过登录设备管理控制台来访问迁移前的现有监控和报告数据。对于迁移后的监控和报告数据，您可以直接在 Google Cloud 控制台中访问。

如果您想在 BigQuery 中同时分析迁移前和迁移后的数据，可以使用日志接收器将日志路由到 BigQuery 数据集。如需配置日志接收器和预构建报告，请参阅在 BigQuery 中设置预构建报告。

将日志导入 BigQuery 后，您可以执行以下操作：

运行混合环境

完全支持混合环境。我们建议您立即将所有符合条件的 Compute Engine 实例迁移到备份保险柜，以获得成本和安全优势。不过，如果您的环境包含备份保险柜不支持的配置，您可以使用设备管理控制台为这些实例提供保护。当 Backup and DR 添加对这些功能的支持后，您可以将剩余实例迁移到备份保险柜。如果您对支持的配置有任何疑问，请与 Cloud Customer Care 联系。

回滚迁移

如果您在迁移过程中遇到问题，可以回滚更改。 为降低风险，我们强烈建议采用重叠策略：在确认新的备份保险柜备份作业成功完成之前，请勿在设备管理控制台中取消对实例的保护。此策略可确保您的实例保持持续的备份覆盖。

在迁移割接之前创建的历史实例备份仍可在设备管理控制台中访问。您可以直接在 Google Cloud 控制台中访问在备份保险柜中创建的新备份。

后续步骤