Backup Vault を作成して管理する

概要

このページでは、Google Cloud コンソールでバックアップ ボルトを作成して管理する方法について説明します。

始める前に

バックアップ ボルトの作成と管理に必要な権限を取得するには、バックアップ ボルトを作成するプロジェクトに対する Backup and DR バックアップ ボルト管理者 （roles/backupdr.backupvaultAdmin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。

この事前定義ロールには、バックアップ ボルトの作成と管理に必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

Backup Vault の作成

バックアップ ボルトを作成する手順は次のとおりです。

resource "google_backup_dr_backup_vault" "default" {
  provider                                   = google-beta
  location                                   = "us-central1"
  backup_vault_id                            = "my-vault"
  description                                = "This vault is created usingTerraform."
  backup_minimum_enforced_retention_duration = "100000s"
  force_update                               = "true"
  ignore_inactive_datasources                = "true"
  allow_missing                              = "true"
}

プロジェクト内の Backup Vault を一覧表示する

プロジェクト内の Backup Vault を一覧表示するには、次の操作を行います。

Backup Vault の詳細を表示

バックアップ ボルトの詳細ページには構成情報が表示され、編集可能な項目を更新できます。

バックアップ ボルトの詳細ページの [ロック ステータス] フィールドには、次のいずれかの値を指定できます。

• ロック解除: バックアップ Vault にロックが適用されておらず、保留中のロックもありません。
• ロックは datetime に有効になります: 指定された日付に Backup Vault でロックが有効になるように設定されています。
• ロック済み: バックアップ ボルトの最小強制保持期間の値が、削減または削除に対してロックされています。

バックアップ Vault の詳細を表示する手順は次のとおりです。

既存のバックアップ Vault の適用する最短保持期間を更新する

ロックのステータスに基づいて、適用する最短保持期間を更新できます。

• ロック解除: 適用する最小保持期間を延長または短縮できます。
• ロック済み: 適用する最短保持期間の延長のみ可能です。

発効日を過ぎている場合、ロックは削除できません。ただし、発効日に達していない場合は、ロックを解除して、最初に指定した発効日をクリアできます。

最小適用保持期間の値の変更は、更新後に作成されたバックアップにのみ適用されます。最短保持期間の値を変更しても、Backup Vault にすでに存在するバックアップの残りの適用済み保持期間には影響しません。

Backup Vault の適用される保持期間を延長する場合、Backup Vault の適用される保持期間は、Backup Vault に保存するバックアップのバックアップ プランの保持期間を超えないようにする必要があります。変更後の値がバックアップ保持期間よりも長い場合、Backup and DR サービスはバックアップ プランのタイプに基づいてこれらの変更を異なる方法で処理します。

• Google Cloud コンソールベースのプラン: バックアップ ボルトの値の変更は禁止されます。

• 管理コンソール ベースのプラン: バックアップ ボルトの値を変更できますが、関連するバックアップ プランを直ちに更新して、更新されたバックアップ ボルトの最小強制保持期間以上の保持期間を指定する必要があります。

  プランの保持期間が Backup Vault の最短保持期間よりも短い場合に生成されたバックアップは、Backup Vault の最短保持期間に設定された保持期間で作成されます。また、バックアップの有効期限は、適用されている保持期間が満了した後に設定されます。

既存のバックアップ Vault の適用する最短保持期間を更新する手順は次のとおりです。

バックアップ Vault を削除する

バックアップ ボルトは、バックアップが含まれていない場合にのみ削除できます。バックアップ ボルトを削除するには、まず、削除対象のボルトに含まれるすべてのバックアップを削除します。

バックアップ ボルトを削除する手順は次のとおりです。

バックアップ Vault サービス エージェントとバックアップ/リカバリ アプライアンスへのアクセス権を付与する

作成されたバックアップ ボールトには、一意のサービス エージェントがリンクされています。一部のリソースタイプでは、サービス エージェントが Backup and DR サービスの代わりにアクションを実行するため、バックアップ Vault サービス エージェントがアクセスする必要があるプロジェクトに対して適切な権限を付与する必要があります。サービス エージェントは Google マネージド サービス アカウントです。詳細については、サービス エージェントをご覧ください。

Google Cloud VMware Engine、Oracle データベース、SQL Server データベースなど、一部のリソース タイプでは、Backup and DR バックアップ/リカバリ アプライアンスがバックアップ ボルトでアクションを実行する必要があります。このような場合、バックアップ/リカバリ アプライアンスには、バックアップ Vault に対する適切な権限が必要です。また、ターゲット バックアップ ボルトには、UNRESTRICTED または WITHIN_ORG_BUT_UNRESTRICTED_FOR_BA のアクセス制限を設定する必要があります。

サービス アカウントにロールを付与する

サービス エージェントのメールアドレスを確認したら、他のプリンシパルにロールを付与する場合と同様に、バックアップ ボルトのサービス エージェントにロールを付与できます。

バックアップ Vault が作成されたプロジェクトとは異なるプロジェクトにある Compute Engine VM インスタンスをバックアップするには、Compute Engine プロジェクト内のバックアップ Vault サービス エージェントに Backup and DR Compute Engine オペレーター（roles/backupdr.computeEngineOperator）IAM ロールを付与する必要があります。ただし、バックアップ Vault が作成されたプロジェクトと同じプロジェクト内の Compute Engine VM インスタンスをバックアップする場合は、ロールの付与は必要ありません。

Compute Engine インスタンスを復元するには、復元プロジェクトの Backup and DR Compute Engine オペレータ（roles/backupdr.computeEngineOperator）IAM ロールを Backup Vault サービス エージェントに付与する必要があります。

サービス エージェントにロールを付与する手順は次のとおりです。

バックアップ/復元アプライアンスのサービス アカウントにロールを付与する

バックアップ/リカバリ アプライアンス プロジェクトから Backup Vault にアクセスできるのは、アプライアンス サービス アカウントに Backup Vault プロジェクトの Backup and DR Backup Vault アクセサー（roles/backupdr.backupvaultAccessor）IAM ロールが付与された後のみです。このロールがないと、バックアップ Vault にアクセスして、バックアップ作成を有効にする設定を完了できません。

バックアップ/リカバリ アプライアンスのサービス アカウントにロールを付与すると、管理コンソールを使用して、Google Cloud VMware Engine、Oracle データベース、SQL Server データベースをバックアップ ボルトにバックアップして復元できます。

バックアップ/復元アプライアンスのサービス アカウントにロールを付与する手順は次のとおりです。

1. Google Cloud コンソールで、アプライアンスが作成された [VM インスタンス] ページに移動します。

   [VM インスタンス] ページに移動

2. サービス アカウントを取得する Compute Engine インスタンスをクリックします。

3. [API と ID の管理] セクションで、[サービス アカウント] フィールドからサービス アカウントのメールアドレスをコピーします。

4. Google Cloud コンソールで、バックアップ ボルト プロジェクトの IAM ロールに移動します。

   IAM に移動

5. [アクセス権を付与] をクリックします。

6. [新しいプリンシパル] フィールドに、アプライアンスのサービス アカウントのメールアドレスを入力します。

7. [ロールを選択] リストから、[Backup and DR バックアップ ボルト アクセサー] ロールを選択します。

8. 省略可: バックアップ/リカバリ アプライアンスが特定のバックアップ ボルトにのみアクセスできるように制限するには、[Backup and DR Backup Vault アクセサー] ロールの横にある add IAM の条件を追加をクリックします。

   1. [タイトル] フィールドに、条件の名前を入力します。

   2. [条件エディタ] タブをクリックします。

      • [式 CEL エディタ] フィールドに、次の式を入力します。

        resource.name.extract("projects/PROJECT_ID/locations/LOCATION/backupVaults
        /{name}/") == ("BACKUPVAULT_NAME") || resource.name.extract("projects/PROJECT_ID/locations/LOCATION/backupVaults
        /{name}") == ("BACKUPVAULT_NAME") || resource.name.extract("operations/{op}") != ""
        

      次のように置き換えます。

      • BACKUPVAULT_NAME: バックアップ ボルトの名前。
      • PROJECT_ID: バックアップ ボルトが作成されるプロジェクトの名前。

      • LOCATION: バックアップ ボルトのロケーション。

        追加のバックアップ ボルトのアクセス権を追加するには、必要に応じて追加の「resource.name.startsWith」ステートメント（「||」OR 論理演算子を使用）を追加します。

        たとえば、次のステートメントは、testproject というプロジェクトの us-central1 というロケーションにある bv-test というバックアップ ボルトと user-bv1 というバックアップ ボルトの両方を承認します。

        resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}/") == ("bv-test") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}") == ("bv-test") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}/") == ("user-bv1") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}") == ("user-bv1") || resource.name.extract("operations/{op}") != ""
        

   3. [保存] をクリックします。

9. [保存] をクリックします。

次のステップ

• データソースを管理する
• バックアップの管理