Criar e gerenciar um backup vault

Visão geral

Esta página explica como criar e gerenciar um cofre de backup no consoleGoogle Cloud .

Antes de começar

Para ter as permissões necessárias para criar e gerenciar um cofre de backup, peça ao administrador para conceder a você o papel do IAM de Administrador do cofre de backup do Backup e DR (roles/backupdr.backupvaultAdmin) no projeto em que você quer criar um cofre de backup. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Esse papel predefinido contém as permissões necessárias para criar e gerenciar um cofre de backup. Para conferir as permissões exatas necessárias, expanda a seção Permissões necessárias:

Essas permissões também podem ser concedidas com funções personalizadas ou outros papéis predefinidos.

Criar um backup vault

Use as instruções a seguir para criar um cofre de backup.

resource "google_backup_dr_backup_vault" "default" {
  provider                                   = google-beta
  location                                   = "us-central1"
  backup_vault_id                            = "my-vault"
  description                                = "This vault is created usingTerraform."
  backup_minimum_enforced_retention_duration = "100000s"
  force_update                               = "true"
  ignore_inactive_datasources                = "true"
  allow_missing                              = "true"
}

Listar backup vaults em um projeto

Use as instruções a seguir para listar os cofres de backup em um projeto.

Conferir detalhes do backup vault

A página de detalhes do cofre de backup mostra as informações de configuração e permite atualizar os itens editáveis.

O campo Status do bloqueio na página de detalhes do cofre de backup pode ter um dos seguintes valores:

• Desbloqueado: não há bloqueio aplicado nem pendente para o backup vault.
• O bloqueio entra em vigor em datetime: um bloqueio foi definido para entrar em vigor no backup vault na data especificada.
• Bloqueado: o valor dos períodos mínimos de retenção aplicados do backup vault está bloqueado contra redução ou remoção.

Use as instruções a seguir para conferir os detalhes do backup vault.

Atualizar o período mínimo de retenção obrigatória em um backup vault

É possível atualizar o período de armazenamento mínima aplicada com base no status do bloqueio.

• Desbloqueado: é possível aumentar ou diminuir o período de armazenamento mínima aplicada.
• Bloqueado: só é possível aumentar o período de armazenamento mínima obrigatória.

O bloqueio não pode ser removido se a data de início da vigência já foi atingida. No entanto, se a data de vigência ainda não tiver sido atingida, você poderá remover o bloqueio, o que vai limpar a data de vigência especificada originalmente.

As mudanças no valor do período mínimo de retenção obrigatório só se aplicam a backups criados após a atualização. As mudanças no valor do período de armazenamento mínima obrigatória não afetam a retenção obrigatória restante para backups que já existem no backup vault.

Ao aumentar o período de armazenamento obrigatória de um backup vault, ele não pode exceder o período de armazenamento no plano de backup para nenhum backup que você armazene no backup vault. Se o valor alterado for maior que o período de retenção de backup, o serviço de backup e DR vai processar essas mudanças de maneira diferente com base no tipo de plano de backup.

• Google Cloud Planos baseados em console: as mudanças no valor do cofre de backup são impedidas.

• Planos baseados no console de gerenciamento: é possível mudar o valor do cofre de backup, mas atualize imediatamente os planos de backup relevantes para especificar uma retenção igual ou maior que o período mínimo de retenção atualizado do cofre de backup.

  Os backups gerados enquanto a retenção do plano for menor que a retenção mínima obrigatória do backup vault serão criados com o período de armazenamento obrigatória definido como a retenção mínima obrigatória do backup vault. Além disso, a expiração do backup é definida para ocorrer após o período de armazenamento obrigatório ser concluído.

Use as instruções a seguir para atualizar o período mínimo de retenção obrigatória em um backup vault.

Excluir um backup vault

Os backup vaults só podem ser excluídos se não contiverem backups. Para excluir um cofre de backup, primeiro exclua todos os backups contidos nele, se eles puderem ser excluídos.

Use as instruções a seguir para excluir um cofre de backup.

Conceder acesso ao agente de serviço do backup vault e aos dispositivos de backup/recuperação

Cada cofre de backup criado tem um agente de serviço exclusivo vinculado a ele. Para alguns tipos de recursos, o agente de serviço é usado para realizar ações em nome do serviço de Backup e DR e, portanto, precisa receber as permissões adequadas nos projetos em que o agente de serviço do backup vault precisa acessar. Um agente de serviço é uma conta serviço gerenciado pelo Google. Para mais informações, consulte Agentes de serviço.

Para alguns tipos de recursos, como o Google Cloud VMware Engine, bancos de dados Oracle e SQL Server, o dispositivo de backup/recuperação do Backup e DR precisa realizar ações no cofre de backup. Nesses casos, o dispositivo de backup/recuperação precisa das permissões adequadas no backup vault. Além disso, o cofre de backup de destino precisa ser definido com as restrições de acesso UNRESTRICTED ou WITHIN_ORG_BUT_UNRESTRICTED_FOR_BA.

Conceder um papel ao agente de serviço

Depois de encontrar o endereço de e-mail do agente de serviço, é possível conceder um papel a ele da mesma forma que faria com qualquer outro principal.

Para fazer backup de uma instância de VM do Compute Engine em um projeto diferente de onde o backup vault foi criado, conceda o papel do IAM de operador do Compute Engine do Backup e DR (roles/backupdr.computeEngineOperator) ao agente de serviço do backup vault no projeto do Compute Engine. No entanto, para fazer backup de uma instância de VM do Compute Engine no mesmo projeto em que o backup vault foi criado, não é necessário conceder papéis.

Para restaurar uma instância do Compute Engine, conceda ao agente de serviço do backup vault o papel do IAM de operador do Compute Engine do Backup e DR (roles/backupdr.computeEngineOperator) no projeto de restauração.

Siga as instruções abaixo para conceder um papel ao agente de serviço.

Conceder papéis à conta de serviço do dispositivo de backup/recuperação

Só é possível acessar um backup vault do projeto do dispositivo de backup/recuperação depois que a conta de serviço do dispositivo recebe o papel do IAM de acesso ao backup vault do Backup e DR (roles/backupdr.backupvaultAccessor) no projeto do backup vault. Sem essa função, não é possível acessar o backup vault para concluir a configuração e ativar a criação de backups.

Depois de conceder papéis à conta de serviço do appliance de backup/recuperação, é possível fazer backup e restaurar o Google Cloud VMware Engine, bancos de dados Oracle e bancos de dados do SQL Server em um cofre de backup usando o console de gerenciamento.

Use as instruções a seguir para conceder papéis à conta de serviço do appliance de backup/recuperação:

1. No console Google Cloud , acesse a página Instâncias de VM em que o dispositivo foi criado.

   Acessar a página "Instâncias de VM"

2. Clique na instância do Compute Engine para a qual você quer receber a conta de serviço.

3. Na seção Gerenciamento de APIs e identidades, copie o endereço de e-mail da conta de serviço no campo Conta de serviço.

4. No console Google Cloud , acesse os papéis do IAM no projeto do cofre de backup.

   Acessar IAM

5. Clique em Conceder acesso.

6. No campo Novos principais, insira o endereço de e-mail da conta de serviço do dispositivo.

7. Na lista Selecionar um papel, escolha Acessador do cofre de backup do Backup e DR.

8. Opcional: para restringir o acesso do dispositivo de backup/recuperação a um cofre de backup específico, clique em add Adicionar condição do IAM ao lado da função Acessador do cofre de backup do Backup e DR.

   1. No campo Título, insira um nome para a condição.

   2. Clique na guia Editor da condição.

      • No campo Editor de expressões CEL, insira a seguinte expressão:

        resource.name.extract("projects/PROJECT_ID/locations/LOCATION/backupVaults
        /{name}/") == ("BACKUPVAULT_NAME") || resource.name.extract("projects/PROJECT_ID/locations/LOCATION/backupVaults
        /{name}") == ("BACKUPVAULT_NAME") || resource.name.extract("operations/{op}") != ""
        

      Substitua:

      • BACKUPVAULT_NAME: o nome do cofre de backup.
      • PROJECT_ID: o nome do projeto em que o cofre de backup é criado.

      • LOCATION: o local do backup vault.

        Para adicionar acesso a outros cofres de backup, adicione outras instruções "resource.name.startsWith" (com o operador lógico "||" OR) conforme necessário.

        Por exemplo, a instrução a seguir autoriza um cofre de backup chamado "bv-test" e outro chamado "user-bv1", ambos localizados em um projeto chamado "testproject" e no local "us-central1".

        resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}/") == ("bv-test") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}") == ("bv-test") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}/") == ("user-bv1") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}") == ("user-bv1") || resource.name.extract("operations/{op}") != ""
        

   3. Clique em Salvar.

9. Clique em Salvar.

A seguir

• Gerenciar fontes de dados
• Gerenciar backups