准备部署备份/恢复设备

准备工作

在开始本部分之前，最好先阅读规划 Backup and DR 部署。

本页面详细介绍了在启用 Google Cloud Backup and DR 之前必须满足的 Google Cloud 要求，这些要求必须在Google Cloud 控制台中完成。

本页面中列出的所有任务都必须在Google Cloud 您部署备份/恢复设备的项目中执行。如果此项目是共享 VPC 服务项目，则某些任务在 VPC 项目中执行，而某些任务在工作负载项目中执行。

允许可信映像项目

如果您在组织政策中启用了 constraint/compute.trustedImageProjects 政策，则不允许使用 Google Cloud管理的源项目来部署备份/恢复设备。您需要在部署了备份/恢复设备的项目中自定义此组织政策，以避免在部署期间出现违反政策的错误，如以下说明中所述：

  1. 前往组织政策页面，然后选择您部署设备的组织。

    转到组织政策

  2. 在政策列表中，点击定义可信映像项目。

  3. 点击修改以自定义现有的可信映像限制。

  4. 在修改页面，选择自定义。

  5. 从以下三种可能中进行选择：

    现有继承政策

    如果存在继承的政策，请完成以下操作：

    1. 在强制执行政策中，选择与父级政策合并。

    2. 点击添加规则。

    3. 从政策值下拉列表中选择自定义，以对特定映像项目设置限制条件。

    4. 从政策类型下拉列表中选择允许，以移除对指定映像项目的限制。

    5. 在自定义值字段中，输入自定义值 projects/backupdr-images。

    6. 点击完成。

    现有允许规则

    如果存在允许规则，请完成以下步骤：

    1. 将强制执行政策保留为默认选中状态。

    2. 选择现有的允许规则。

    3. 点击添加值以添加其他映像项目，然后输入值 projects/backupdr-images。

    4. 点击完成。

    没有现有政策或规则

    如果没有现有规则，请选择添加规则，然后完成以下步骤：

    1. 将强制执行政策保留为默认选中状态。

    2. 从政策值下拉列表中选择自定义，以对特定映像项目设置限制条件。

    3. 从政策类型下拉列表中选择允许，以移除对指定映像项目的限制。

    4. 在自定义值字段中，输入自定义值 projects/backupdr-images。

    5. 如果您要设置项目级限制条件，则这些限制条件可能会与在组织或文件夹中设置的现有限制条件冲突。

    6. 点击添加值以添加其他映像项目，然后点击完成。

    7. 点击保存。

  6. 点击保存以应用该限制条件。

    如需详细了解如何创建组织政策，请参阅创建和管理组织政策。

部署流程

为了启动安装，Backup and DR 会创建一个服务账号来运行安装程序。服务账号需要宿主项目、备份/恢复设备服务项目和设备管理控制台服务项目中的权限。如需了解详情，请参阅服务账号。

用于安装的服务账号会成为备份/恢复设备的服务账号。安装后，服务账号的权限会缩减为仅备份/恢复设备所需的权限。

如果您部署多个备份/恢复设备，则每个设备都必须与一个唯一服务账号相关联。对多个设备使用同一服务账号可能会导致注册超时或管理失败。

安装第一个备份/恢复设备时，系统会部署设备管理控制台。您可以在共享 VPC 或非共享 VPC 中部署 Backup and DR。

非共享 VPC 中的 Backup and DR

在单个项目中部署设备管理控制台和第一个备份/恢复设备时，如果该项目使用的是非共享 VPC，则所有三个 Backup and DR 组件都位于同一项目中。

如果 VPC 是共享的，请参阅共享 VPC 中的 Backup and DR。

启用在非共享 VPC 中安装所需的 API

在非共享 VPC 中启用安装所需的 API 之前，请查看 Backup and DR 部署支持的区域。请参阅受支持的国家/地区。

如需在非共享 VPC 中运行安装程序，必须启用以下 API。 如需启用 API，您需要拥有 Service Usage Admin 角色。

API 服务名称
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com
Workflows 1 workflows.googleapis.com
Cloud Key Management Service (KMS) cloudkms.googleapis.com
Identity and Access Management iam.googleapis.com
Cloud Logging logging.googleapis.com

1 列出的区域支持工作流服务。 如果 Workflows 服务在部署备份/恢复设备的区域中不可用，则 Backup and DR 默认使用“us-central1”区域。如果您设置了组织政策来阻止在其他区域中创建资源，则需要暂时更新组织政策，以允许在“us-central1”区域中创建资源。您可以在备份/恢复设备部署后限制“us-central1”区域。

用户账号在非共享 VPC 项目中需要具备这些权限

首选角色 所需权限
resourcemanager.projectIamAdmin (Project IAM Admin) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (Service Usage Admin) serviceusage.services.list
iam.serviceAccountUser（Service Account User） iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Service Account Admin) iam.serviceAccounts.create
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.editor (Workflows Editor) workflows.workflows.create
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
backupdr.admin (Backup and DR Admin) backupdr.*
查看者（基本） 授予查看大多数
Google Cloud 资源所需的权限。

共享 VPC 中的 Backup and DR

在共享 VPC 项目中部署设备管理控制台和第一个备份/恢复设备时，您必须在宿主项目或一个或多个服务项目中配置以下三个项目：

在启用安装所需的 API 之前，请先查看 Backup and DR 部署支持的区域。请参阅受支持的国家/地区。

  • VPC 所有者项目：此项目拥有所选 VPC。VPC 所有者始终是宿主项目。

  • 设备管理控制台项目：这是 Backup and DR API 的启用位置，也是您访问设备管理控制台以管理工作负载的位置。

  • 备份/恢复设备项目：这是安装备份/恢复设备的位置，通常也是受保护资源所在的位置。

在共享 VPC 中，这些项目可能是一个、两个或三个。

类型 VPC 所有者 设备管理控制台 备份/恢复设备
HHH 宿主项目 宿主项目 宿主项目
HHS 宿主项目 宿主项目 服务项目
HSH 宿主项目 服务项目 宿主项目
HSS 宿主项目 服务项目 服务项目
HS2 宿主项目 服务项目 其他服务项目

部署策略说明

  • HHH：共享 VPC。VPC 所有者、设备管理控制台和备份/恢复设备都位于宿主项目中。

  • HHS：共享 VPC。VPC 所有者和设备管理控制台位于宿主项目中，备份/恢复设备位于服务项目中。

  • HSH：共享 VPC。VPC 所有者和备份/恢复设备位于宿主项目中，设备管理控制台位于服务项目中。

  • HSS：共享 VPC。VPC 所有者位于宿主项目中，备份/恢复设备和设备管理控制台位于一个服务项目中。

  • HS2：共享 VPC。VPC 所有者位于宿主项目中，备份/恢复设备和设备管理控制台位于两个不同的服务项目中。

在宿主项目中启用这些安装所需的 API

如需运行安装程序，必须启用以下 API。如需启用 API，您需要拥有 Service Usage Admin 角色。

API 服务名称
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com

在备份/恢复设备项目中启用这些安装所需的 API

API 服务名称
Compute Engine compute.googleapis.com
Resource Manager cloudresourcemanager.googleapis.com
Workflows 1 workflows.googleapis.com
Cloud Key Management Service (KMS) cloudkms.googleapis.com
Identity and Access Management iam.googleapis.com
Cloud Logging logging.googleapis.com

1 列出的区域支持工作流服务。 如果 Workflows 服务在部署备份/恢复设备的区域中不可用，则 Backup and DR 默认使用“us-central1”区域。如果您设置了组织政策来阻止在其他区域中创建资源，则需要暂时更新组织政策，以允许在“us-central1”区域中创建资源。您可以在备份/恢复设备部署后限制“us-central1”区域。

用户账号在 VPC 所有者项目中需要具备这些权限

首选角色 所需权限
resourcemanager.projectIamAdmin (Project IAM Admin) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (Service Usage Admin) serviceusage.services.list

用户账号需要在设备管理控制台项目中拥有以下权限

当您安装第一个备份/恢复设备时，系统会部署设备管理控制台。

首选角色 所需权限
resourcemanager.projectIamAdmin (Project IAM Admin) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
backupdr.admin (Backup and DR Admin) backupdr.*
查看者（基本） 授予查看
大多数 Google Cloud 资源所需的权限。

用户账号需要在备份/恢复设备项目中拥有以下权限

首选角色 所需权限
resourcemanager.projectIamAdmin (Project IAM Admin) resourcemanager.projects.getIamPolicy
resourcemanager.projects.setIamPolicy
resourcemanager.projects.get
iam.serviceAccountUser（Service Account User） iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Service Account Admin) iam.serviceAccounts.create
iam.serviceAccounts.delete
iam.serviceAccounts.get
workflows.editor (Workflows Editor) workflows.workflows.create
workflows.workflows.delete
workflows.executions.create
workflows.executions.get
workflows.operations.get
serviceusage.serviceUsageAdmin (Service Usage Admin) serviceusage.services.list

除了最终用户账号权限之外，系统还会暂时向代表您创建的服务账号授予其他权限，直到安装完成。

配置网络

如果尚未为目标项目创建 VPC 网络，则需要先创建一个，然后才能继续。如需了解详情，请参阅创建和修改 Virtual Private Cloud (VPC) 网络。 您需要在计划部署备份/恢复设备的每个区域中创建一个子网，并且应为该子网分配 compute.networks.create 权限。

如果您要在多个网络中部署备份/恢复设备，请使用不共享相同 IP 地址范围的子网，以防止多个备份/恢复设备具有相同的 IP 地址。

配置专用 Google 访问通道

备份/恢复设备使用专用 Google 访问通道与设备管理控制台进行通信。建议您为要部署备份/恢复设备的每个子网启用专用 Google 访问通道。

部署备份/恢复设备的子网需要与托管在网域 backupdr.googleusercontent.com 下的唯一网域进行通信。建议您在 Cloud DNS 中添加以下配置：

  1. 为 DNS 名称 backupdr.googleusercontent.com 创建专用区域。
  2. 为网域 backupdr.googleusercontent.com 创建 A 记录，并添加 private.googleapis.com 子网 199.36.153.8/30 中的四个 IP 地址：199.36.153.8、199.36.153.9、199.36.153.10、199.36.153.11。如果您使用的是 VPC Service Controls，请使用 restricted.googleapis.com 子网 199.36.153.4/30 中的 199.36.153.4、199.36.153.5、199.36.153.6、199.36.153.7。
  3. 为 *.backupdr.googleusercontent.com 创建一个 CNAME 记录，指向域名 backupdr.googleusercontent.com。

这可确保您的唯一设备管理控制台网域的所有 DNS 解析都使用专用 Google 访问通道进行遍历。

确保您的防火墙规则具有一条出站规则，允许通过 TCP 443 访问 199.36.153.8/30 或 199.36.153.4/30 子网。此外，如果您有允许所有流量流向 0.0.0.0/0 的出站流量规则，则备份/恢复设备与设备管理控制台之间的连接应该会成功。

创建 Cloud Storage 存储桶

如果您想使用 Backup and DR 代理保护数据库和文件系统，然后将备份复制到 Cloud Storage 以进行长期保留，则需要一个 Cloud Storage 存储桶。这也适用于使用 VMware vSphere Storage API 数据保护功能创建的 VMware 虚拟机备份。

按照以下说明创建 Cloud Storage 存储桶：

  1. 在 Google Cloud 控制台中，前往 Cloud Storage 存储桶页面。

    进入“存储桶”

  2. 点击创建存储分区。

  3. 输入存储桶的名称。

  4. 选择要存储数据的区域，然后点击继续。

  5. 选择默认存储类别，然后点击继续。如果保留期限不超过 30 天，请使用 Nearline；如果保留期限不少于 90 天，请使用 Coldline。如果保留期在 30 到 90 天之间，请考虑使用 Coldline。

  6. 保留统一访问权限控制，然后点击继续。请勿使用精细。

  7. 将保护工具设置为无，然后点击继续。 请勿选择其他选项，因为它们不适用于 Backup and DR。

  8. 点击创建。

  9. 验证您的服务账号是否有权访问您的存储桶：

    1. 选择新存储桶以显示存储桶详细信息。

    2. 前往权限。

    3. 在主账号下，确保列出了您的新服务账号。如果未列出，请使用添加按钮将读取器和写入器服务账号添加为主账号。

后续步骤