建立及管理備份保險庫

總覽

本頁面說明如何在Google Cloud 控制台中建立及管理備份保存庫。

事前準備

如要取得建立及管理 backup vault 所需的權限，請要求管理員在您要建立 backup vault 的專案中，授予您「備份和災難復原 backup vault 管理員」 (roles/backupdr.backupvaultAdmin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

這個預先定義的角色具備建立及管理備份儲存空間所需的權限。如要查看確切的必要權限，請展開「必要權限」部分：

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

建立 backup vault

請按照下列操作說明建立備份保存庫。

resource "google_backup_dr_backup_vault" "default" {
  provider                                   = google-beta
  location                                   = "us-central1"
  backup_vault_id                            = "my-vault"
  description                                = "This vault is created usingTerraform."
  backup_minimum_enforced_retention_duration = "100000s"
  force_update                               = "true"
  ignore_inactive_datasources                = "true"
  allow_missing                              = "true"
}

列出專案中的備份儲存空間

請按照下列操作說明，列出專案中的備份儲存空間。

查看 backup vault 詳細資料

備份保存庫詳細資料頁面會顯示設定資訊，並允許您更新可編輯的項目。

備份保存庫詳細資料頁面的「鎖定狀態」欄位可能顯示下列其中一個值：

• 已解鎖：備份保管箱未套用鎖定，也沒有待處理的鎖定作業。
• 鎖定將於 datetime 生效：已設定鎖定，將於指定日期對備份保存庫生效。
• 已鎖定：備份保存庫的最短強制保留期限值已鎖定，無法減少或移除。

請按照下列操作說明查看備份保存庫詳細資料。

更新現有 backup vault 的最短強制保留期限

您可以根據鎖定狀態更新最短強制保留期限。

• 已解鎖：您可以延長或縮短最短強制保留期限。
• 已鎖定：最短強制保留期限只能延長。

生效日當天，這項鎖定設定就會永久生效，無法移除。不過，如果尚未到期，您可以移除鎖定，這樣系統就會清除原先指定的生效日期。

變更強制執行的最短保留期限值後，只會套用至更新後建立的備份。變更最短強制保留期限的值，不會影響 backup vault 中現有備份的剩餘強制保留期限。

提高 backup vault 的強制保留期限時，backup vault 的強制保留期限不得超過您將儲存在 backup vault 的任何備份方案保留期限。如果變更後的值長於備份保留期限，備份和災難復原服務會根據備份方案類型，以不同方式處理這些變更。

• Google Cloud 主機方案：無法變更備份保存庫值。

• 管理控制台方案：允許變更備份保存庫值，但您應立即更新相關備份方案，指定的保留期限必須等於或長於更新後的備份保存庫最短強制保留期限。

  如果方案保留期限短於 backup vault 的最短強制保留期限，系統會以 backup vault 的最短強制保留期限建立備份。此外，備份的到期時間會設在強制保留期限屆滿之後。

請按照下列操作說明，更新現有 backup vault 的最短強制保留期限。

刪除備份保存庫

只有在 backup vault 不含備份時，才能刪除。如要刪除備份保存庫，請先刪除保存庫中所有符合刪除資格的備份。

請按照下列操作說明刪除備份保管庫。

授予備份儲存空間服務代理和備份/復原設備的存取權

每個備份保存庫都會連結至專屬的服務代理程式。 對於某些資源類型，系統會利用服務代理代表備份和災難復原服務執行動作，因此必須在備份保存庫服務代理需要存取的專案中，授予適當的權限。服務代理是 Google 代管的服務帳戶，詳情請參閱「服務代理」一文。

對於某些資源類型 (例如 Google Cloud VMware Engine、Oracle 資料庫和 SQL Server 資料庫)，Backup and DR 備份/復原設備必須對備份儲存空間執行動作。在這種情況下，備份/復原設備必須具備備份保存庫的適當權限。此外，目標備份保存庫必須設為 UNRESTRICTED 或 WITHIN_ORG_BUT_UNRESTRICTED_FOR_BA 存取限制。

將角色授予服務代理

找到服務代理的電子郵件地址後，您可以像授予任何其他主體角色一樣，將角色授予備份保管箱服務代理。

如要備份備份儲存空間所在專案以外的 Compute Engine VM 執行個體，您必須在 Compute Engine 專案中，將 Backup and DR Compute Engine 運算子 (roles/backupdr.computeEngineOperator) 身分與存取權管理角色授予備份儲存空間服務代理程式。不過，如要在與備份保存庫相同的專案中備份 Compute Engine VM 執行個體，則無須授予任何角色。

如要還原 Compute Engine 執行個體，您必須在還原專案中，將備份和災難復原 Compute Engine 操作者 (roles/backupdr.computeEngineOperator) IAM 角色授予 backup vault 服務代理。

按照下列操作說明，將角色授予服務代理程式。

將角色授予備份/復原設備服務帳戶

只有在備份 vault 專案中，將備份和災難復原備份 vault 存取者 (roles/backupdr.backupvaultAccessor) 身分與存取權管理角色授予設備服務帳戶後，您才能從備份/復原設備專案存取備份 vault。如果沒有這個角色，您就無法存取 backup vault，因此無法完成設定來啟用備份建立作業。

將角色授予備份/復原設備服務帳戶後，您可以使用管理控制台，將 Google Cloud VMware Engine、Oracle 資料庫和 SQL Server 資料庫備份及還原至備份保存庫。

請按照下列操作說明，將角色授予備份/復原設備服務帳戶：

1. 前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面，找到建立裝置的執行個體。

   前往 VM 執行個體頁面

2. 按一下要取得服務帳戶的 Compute Engine 執行個體。

3. 在「API and identity management」(API 和身分管理) 區段中，從「Service account」(服務帳戶) 欄位複製服務帳戶的電子郵件地址。

4. 在 Google Cloud 控制台中，前往備份保存庫專案的「IAM」IAM角色。

   前往身分與存取權管理頁面

5. 按一下「授予存取權」。

6. 在「新增主體」欄位中，輸入設備的服務帳戶電子郵件地址。

7. 在「Select a role」(選取角色) 清單中，選取「Backup and DR Backup Vault Accessor」(Backup and DR 備份儲存空間存取者) 角色。

8. 選用：如要限制備份/復原裝置只能存取特定備份儲存空間，請按一下「備份和災難復原 backup vault 存取者」角色旁邊的「新增 IAM 條件」add。

   1. 在「Title」(名稱) 欄位中，輸入條件名稱。

   2. 按一下「條件編輯器」分頁標籤。

      • 在「運算式 CEL 編輯器」欄位中，輸入下列運算式。

        resource.name.extract("projects/PROJECT_ID/locations/LOCATION/backupVaults
        /{name}/") == ("BACKUPVAULT_NAME") || resource.name.extract("projects/PROJECT_ID/locations/LOCATION/backupVaults
        /{name}") == ("BACKUPVAULT_NAME") || resource.name.extract("operations/{op}") != ""
        

      更改下列內容：

      • BACKUPVAULT_NAME：備份保存庫的名稱。
      • PROJECT_ID：建立備份保存庫的專案名稱。

      • LOCATION：備份保存庫的位置。

        如要為其他備份保存庫新增存取權，請視需要附加其他「resource.name.startsWith」陳述式 (使用「||」OR 邏輯運算子)。

        舉例來說，下列陳述式會授權名為「bv-test」和「user-bv1」的備份儲存空間，這兩個儲存空間都位於名為「testproject」的專案，以及「us-central1」位置。

        resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}/") == ("bv-test") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}") == ("bv-test") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}/") == ("user-bv1") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
        /{name}") == ("user-bv1") || resource.name.extract("operations/{op}") != ""
        

   3. 按一下 [儲存]。

9. 按一下 [儲存]。

後續步驟

• 管理資料來源
• 管理備份