在设备管理控制台中自动保护 Compute Engine 实例

本页详细介绍了如何使用设备管理控制台中的标记自动备份 Compute Engine 实例。

注意： 只有从 Google Cloud 控制台部署的备份/恢复设备才允许使用基于动态标记的保护。迁移的备份/恢复设备及其配置文件无法用于以这种方式自动保护虚拟机。

为新的 Compute Engine 实例配置备份

Compute Engine 实例是托管在 Google Cloud上的虚拟机。 每个实例都将数据存储在附加到该实例的永久性磁盘上。您可以使用 Google Cloud 控制台、gcloud CLI 或 Compute Engine API 创建实例或创建代管式实例组。

如需了解详情，请参阅 Compute Engine。

自动备份的前提条件

在开始自动备份 Compute Engine 实例之前，请先阅读以下程序，为备份做好准备：

• 创建备份方案模板

设置 Backup and DR 并创建备份方案模板后，您可以使用标记将备份方案模板应用于 Compute Engine 实例，从而自动保护这些实例。

权限

如需为 Compute Engine 资源创建、更新和删除标记定义，您需要拥有 Tag Administrator 角色。如需详细了解 tagUser 角色，请参阅所需权限。

如需使用动态标记来备份 Compute Engine 实例，您必须在 Compute Engine 项目中向备份/恢复设备服务代理授予 Backup and DR Compute Engine Operator (roles/backupdr.computeEngineOperator) Identity and Access Management (IAM) 角色。

管理动态保护标记

如需创建、更新和删除动态保护标记，您需要拥有适当的权限，确保您已获分配以下角色之一：

• Backup and DR Admin

• Backup and DR Backup User

• Backup and DR User V2

• Project Editor

• Project Owner

• 包含以下权限的自定义角色：

所需权限

• backupdr.managementServers.listDynamicProtection
• backupdr.managementServers.getDynamicProtection
• backupdr.managementServers.createDynamicProtection
• backupdr.managementServers.deleteDynamicProtection
• compute.instances.listEffectiveTags

详细了解 Backup and DR 角色。

使用标签自动应用备份方案模板

本部分将帮助您使用标记自动将备份方案应用于 Compute Engine 实例。首先，在设备管理控制台中创建备份方案与标记的映射。然后，您可以通过 IAM 使用在设备管理控制台中分配的相同值来创建标记。

注意： 保护引擎每天在当地时间凌晨 4:15 和下午 4:15 运行。如果您在周一下午 5:00 设置保护标记，则 Compute Engine 实例要到周二凌晨 4:15（当地时间）才会受到保护。

创建动态保护标记值

按照以下说明创建可用于 Compute Engine 实例的动态保护标记值：

1. 在 Backup and DR 设备管理控制台中，点击备份方案下拉菜单，然后选择动态保护标记。

2. 点击创建动态保护代码。

3. 输入符合以下命名要求的唯一标记值。

4. 从应用类型列表中，选择 Compute Engine。

5. 选择要与此标记值相关联的相应模板和配置文件。

   注意： 每个标记值都需要有唯一的模板和配置文件。

6. 点击保存。系统会创建一个动态保护标记值。

创建动态保护标记

按照以下说明创建动态保护标记，以附加到 Compute Engine 实例，从而实现自动化保护：

1. 如需创建、更新和删除标记定义，您需要拥有 Tag Administrator 角色或具备特定权限的其他角色。

2. 在 Google Cloud 控制台中打开标记页面。

   打开“标记”页面

3. 在页面顶部的范围选择器中，选择要在哪个组织或项目下创建标记键。

4. 点击 创建。

5. 在标记键框中，输入 backupdr-dynamicprotect 作为标记键。这是成功实现自动化的必要步骤。请注意拼写错误，并务必添加连字符。

6. 可选：在标记键说明框中，输入标记键的说明。

7. 点击 添加值，然后输入您刚刚创建的每个标记值。

注意： 每个标记值都必须与您之前在 Google Cloud 控制台中设置的动态保护标记值完全一致。

1. 在标记值框中，输入标记值的显示名。它会成为标记的命名空间名称的一部分。

2. 在标记值说明框中，输入与此标记值关联的模板和配置文件的说明。

3. 添加完标记值后，点击创建标记键。

注意：您可以稍后添加、修改或删除标记值。

注意：如果同一 Compute Engine 实例由两个不同的备份/恢复设备在两个不同的管理服务器实例中进行管理，请确保您不会两次保护该实例。为此，请避免在不同的设备管理控制台中创建相同的动态保护标记值。

向资源添加动态保护标记

现在，您已创建动态保护标记值并将其关联到动态保护标记，下一步是将标记分配给 Compute Engine 实例。如果您的实例在逻辑组内受到保护，则基于标记的保护功能将无法正常运行。移除逻辑群组，然后尝试使用动态保护。

注意： 请勿向由 Backup and DR 创建的备份设备 Compute Engine 实例添加标记。

您可以按照以下说明将动态保护标记附加到 Compute Engine 实例：

1. 在 Google Cloud 控制台中，前往 Compute Engine > 虚拟机实例页面。

   转到虚拟机实例

2. 在名称列中，点击要为其添加标记的虚拟机的名称。

3. 在虚拟机实例详情页面中，完成以下步骤：

   1. 点击修改。
   2. 在基本部分中，点击管理标记并为实例添加所需的标记。

4. 选择 backupdr-dynamicprotect: 键和与您在 Google Cloud 控制台中设置的模板和配置文件对应的标记值。

5. 点击保存。

在创建资源期间向资源添加标记

在某些情况下，您可能需要在创建资源期间标记资源，而不是在创建资源之后。

控制台

1. 在 Google Cloud 控制台中，前往虚拟机实例页面。

   转到虚拟机实例

2. 选择您的项目并点击继续。

3. 点击创建实例。

4. 点击管理标记和标签。

5. 点击添加标记。

6. 按照侧边栏中的说明选择要添加到实例的 backupdr-dynamicprotect。

7. 点击保存。

8. 完成创建和启动虚拟机实例中的其他步骤，以完成实例的创建。

gcloud

如需使用 gcloud CLI 或 API，请按照 SDK 文档执行以下操作：

• 创建标记密钥

• 创建标记值

• 创建标记绑定

注意： 请务必将标记键设置为以 backupdr-dynamicprotect 为前缀，以便此自动化功能按预期运行。

Terraform

使用以下 Terraform 模板开始使用动态保护标记。此模板假定您尚未在 Google Cloud 控制台中创建任何动态保护标记键，并将为您设置。该模板会创建一个新的 Compute Engine 实例，并将其绑定到动态保护标记。您可以等待预定的动态保护作业在当地时间凌晨 4:15 或下午 4:15 运行以使其生效，也可以按照运行手动自动保护中的步骤按需运行动态保护作业。

variable "project_id" {
  description = "The ID of the existing Google Cloud project"
  type        = string
}

variable "region" {
  description = "The Google Cloud region where demo-instance should be created"
  type        = string
}

variable "zone" {
  description = "The Google Cloud zone where demo-instance should be created"
  type        = string
}

provider "google" {
  project = var.project_id
  region = var.region
  zone  = var.zone
}

data "google_project" "project" {
  project_id = var.project_id
}

# Reference: https://registry.terraform.io/providers/hashicorp/google/latest/docs/resources/tags_tag_key
resource "google_tags_tag_key" "key" {
  parent = "projects/${var.project_id}"
  short_name = "backupdr-dynamicprotect"
  description = "Tag key for Dynamic Protection."
}

# Reference: https://registry.terraform.io/providers/hashicorp/google/latest/docs/resources/tags_tag_value
resource "google_tags_tag_value" "value" {
  parent = "tagKeys/${google_tags_tag_key.key.name}"
  short_name = "backupdr-gold" # This value should be present in the "Management Console UI" > "Backup Plans" > "Dynamic Protection Tags"
  description = "Tag value for gold plan."
}

# Reference: https://registry.terraform.io/providers/hashicorp/google/latest/docs/resources/compute_instance
# Ensure not to define tag in "resource_manager_tags" block while creating VM instance. It'll destroy the VM
# when tag value is changed/removed later. Instead define a separate tag binding using "google_tags_tag_binding"
# or "google_tags_location_tag_binding" resource. It'll modify just tag binding and VM instance won't be affected.

resource "google_compute_instance" "vm_instance" {
  name         = "demo-instance"
  machine_type = "e2-micro"
  zone         = var.zone

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral public IP
    }
  }
}

# Reference: https://registry.terraform.io/providers/hashicorp/google/latest/docs/resources/google_tags_location_tag_binding
resource "google_tags_location_tag_binding" "binding" {
    parent    = "//compute.googleapis.com/projects/${data.google_project.project.number}/zones/${var.zone}/instances/${google_compute_instance.vm_instance.instance_id}"
    tag_value = "tagValues/${google_tags_tag_value.value.name}"
    location  = var.zone
}

# Reference for Tag bindings at project/org level: https://registry.terraform.io/providers/hashicorp/google/latest/docs/resources/tags_tag_binding

将标记与资源分离

您可以通过删除标记绑定资源，从资源分离标记。

注意 ：如果您打算移除对 Compute Engine 实例的保护，可以从 Compute Engine 实例中分离标记。动态保护引擎会自动检测到您不再需要保护此 Compute Engine 实例，并移除所有已分配的保护。

如需查看有关如何分离标记的说明，请参阅 Resource Manager 文档中的从资源分离标记。

控制台

1. 在 Google Cloud 控制台中，前往虚拟机实例页面。

   转到虚拟机实例

2. 选择您的项目并点击继续。

3. 在名称列中，点击要为其添加标记的虚拟机的名称。

4. 在虚拟机实例详情页面中，完成以下步骤：

5. 点击修改。

6. 在基本部分中，点击管理标记并为实例移除 backupdr-dynamicprotect。

7. 点击保存。

gcloud

如需使用 gcloud CLI，请按照文档 使用 gcloud CLI 从资源中分离标记。

运行手动自动保护

虽然保护引擎每天会在当地时间凌晨 4:15 和下午 4:15 运行，但您也可以使用以下命令步骤按需运行动态保护引擎：

1. 输入以“https://bmc-”开头且以“.com”结尾的值，设置设备管理控制台端点。例如：https://bmc-PROJECT_NUMBER-GENERATED_ID-dot-REGION.backupdr.googleusercontent.com

   export MC_ENDPOINT="MC_ENDPOINT_edited_value"
   

2. 生成不记名令牌：

   echo "Generating a new bearer token..."
   export BEARER_TOKEN=$(gcloud auth print-access-token)
   echo "Bearer token generated: BEARER_TOKEN=$BEARER_TOKEN"
   

3. 获取新的会话 ID：

   echo "Generating a new session id..."
   export SESSION_RESPONSE=$(curl -XPOST -H "Authorization: Bearer $BEARER_TOKEN" -H "Content-Type: application/json" -d '{}' "$MC_ENDPOINT/actifio/session" 2>&-)
   export SESSION_ID=$(echo $SESSION_RESPONSE | jq -r '.session_id')
   
   if [ -z ${SESSION_ID} ]
     then echo "Issue with generating a new session id. Response: $SESSION_RESPONSE";
     return 1;
   fi
   
   echo "Session id generated: SESSION_ID=$SESSION_ID"
   

   设置端点、生成不记名令牌并获取会话 ID 后，您可以在会话 ID 过期前触发动态保护作业，时长为一小时。

4. 触发动态保护作业

   动态保护作业会使用当前标记更新所有 Compute Engine 实例，并根据标记分配备份方案。触发的作业可能需要几分钟时间，具体取决于工作负载中待处理的更改数量。

   echo "Triggering dynamic protection job.."
   
   curl -H "Authorization: Bearer $BEARER_TOKEN" -H "backupdr-management-session: Actifio $SESSION_ID" -H "Content-Type: application/json" -XPOST -d '{}' "$MC_ENDPOINT/actifio/dynamicprotection/job/gceinstance"
   
   echo "Dynamic protection job triggered."
   

将动态保护与 Resource Manager 搭配使用

您可以将动态保护标记与 Resource Manager 搭配使用，从而在更高的组织级别自动保护 Compute Engine 实例。使用 Resource Manager 在项目级或更高级别标记资源，以确保所有资源都继承保护设置。详细了解标记继承。

将手动保护迁移到动态保护

如果您打算将已受保护的资源迁移为使用基于标记的动态保护，则必须在项目中启用迁移标志。启用迁移后，任何手动保护的实例现在都可以使用动态保护。添加标记和资源会自动根据标记进行保护，并移除现有的手动保护。

在开始之前，请按照运行手动自动保护中的步骤设置会话。

注意： 从用户启动的保护切换到基于标记的保护不会影响备份的增量性质；备份仍将是增量备份。

Bash

运行以下命令。

1. 输入以“https://bmc-”开头且以“.com”结尾的值，设置设备管理控制台端点。例如：https://bmc-PROJECT_NUMBER-GENERATED_ID-dot-REGION.backupdr.googleusercontent.com

    #!/bin/bash
   
    export MC_ENDPOINT="MC_ENDPOINT_edited_value"
   
   

2. 启用迁移。

   curl -H "Authorization: Bearer $BEARER_TOKEN" -H "backupdr-management-session: Actifio $SESSION_ID" -H "Content-Type: application/json" -XPATCH -d '{ "enableMigrationToTagBasedProtection":"true"}' "$MC_ENDPOINT/actifio/dynamicprotection/jobconfig"
   

设备管理控制台

如需将手动保护的 Compute Engine 实例迁移到基于标记的保护，请按照以下步骤操作：

1. 将启用向基于标记的保护功能的迁移切换为开启状态
2. 确认“启用迁移”对话框。手动保护的 Compute Engine 实例将使用虚拟机上定义的标记重新保护。

如需停用将手动保护的 Compute Engine 实例迁移到基于标记的保护，请按照以下步骤操作：

1. 将启用基于代码的保护功能的迁移切换为关闭状态。
2. 确认“停用迁移”对话框。这会禁止将手动保护的 Compute Engine 实例迁移到基于标记的保护。

注意： 关闭迁移不会改变已受保护的 Compute Engine 实例的保护状态。如果您想使用其他备份方案，请手动将所需方案分配给受保护的 Compute Engine 实例。

事件和通知

动态保护引擎运行后，您可以从监控事件中查看进度。设备管理控制台在执行动态保护操作后会收到摘要通知。如果需要用户采取行动，系统会发送错误通知。

最佳做法

动态保护可能会增加正在运行的备份作业数量和使用的存储空间量。为获得最佳效果，请考虑以下事项：

• 增加备份时间范围。6 到 10 小时的窗口通常足以让所有作业顺利完成。

• 恢复的虚拟机会沿用源虚拟机的相同保护标记和备份计划，但保护类型会从基于标记的保护更改为用户发起的保护。系统将继续使用沿用的备份方案来保护资源。如需将保护类型改回基于标记的保护，您可以移除沿用的保护备份方案，并按需触发动态保护作业，或等待其下次按计划执行，以便再次为应用分配基于标记的保护。

• 任何现有主机或新创建的主机上的已挂载虚拟机不会沿用源虚拟机的相同保护标记，因此在挂载操作后不会自动受到保护。如果需要保护新装载的虚拟机，您可以向新虚拟机应用与来源虚拟机类似的标记绑定。