このページは Cloud Translation API によって翻訳されました。

Backup Vault を作成して管理する

このページでは、Google Cloud コンソールでバックアップボールトを作成して管理する方法について説明します。

始める前に

バックアップボールトの作成と管理に必要な権限を取得するには、バックアップボールトを作成するプロジェクトに対するバックアップと DR バックアップボールト管理者（roles/backupdr.backupvaultAdmin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織へのアクセスを管理するをご覧ください。

この事前定義ロールには、バックアップボールトの作成と管理に必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

必要な権限

バックアップボールトの作成と管理には、次の権限が必要です。

backupdr.backupVaults.create
backupdr.backupVaults.list
backupdr.backupVaults.get
backupdr.backupVaults.update
backupdr.backupVaults.delete

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

Backup Vault の作成

バックアップボールトを作成する手順は次のとおりです。

コンソール

Google Cloud コンソールで、[バックアップボールト] ページに移動します。

[バックアップボールト] に移動
[Create backup vault] をクリックします。
[Create a backup vault] ページで、Backup Vault の情報を入力します。
1. [バックアップボールトに名前を付ける] フィールドに、バックアップボールト名の要件を満たす名前を入力します。
2. [続行] をクリックします。
3. [データの保存場所の選択] リストから、バックアップデータが永続的に保存されるロケーションを選択します。
4. [続行] をクリックします。
5. [バックアップの削除を防止する] フィールドに、バックアップが削除から保護される期間を定義する最短の強制保持期間を入力します。最小は 1 日、最大は 99 年です。
6. 適用される最小保持期間の値をロックする場合は、[適用される保持をロック] チェックボックスをオンにして、アイコンをクリックし、カレンダーから日付を選択します。
7. [Backup Vault へのアクセスを定義する] セクションで、オプションを選択して Backup Vault のアクセス制限を定義します。オプションを選択しない場合、バックアップボールトは [現在の組織へのアクセスを制限する] 制限付きで作成されます。
[作成] をクリックします。

gcloud

次のいずれかの開発環境で、gcloud CLI を設定します。
Cloud Shell: gcloud CLI がすでに設定されているオンラインターミナルを使用するには、Cloud Shell をアクティブにします。このページの下部で Cloud Shell セッションが開始し、コマンドラインプロンプトが表示されます。セッションが初期化されるまで数秒かかることがあります。
ローカルシェル: ローカル開発環境を使用するには、gcloud CLI をインストールして初期化します。
Backup Vault を作成します。
```
  gcloud backup-dr backup-vaults create BACKUPVAULT_NAME \
  --project=PROJECT_ID \
  --location=LOCATION \
  --backup-min-enforced-retention=RETENTION_PERIOD_IN_DAYS
  --access-restriction=ACCESS_RESTRICTION
```
次のように置き換えます。
- BACKUPVAULT_NAME: バックアップボールトの名前。
- PROJECT_ID: バックアップボールトを作成するプロジェクトの名前。
- LOCATION: バックアップボールトを作成するロケーション。
- RETENTION_PERIOD_IN_DAYS: Backup Vault 内の各バックアップを削除できない期間。最小は 1 日、最大は 99 年です。たとえば、2w1d は 2 週間と 1 日です。詳細については、Backup Vault の最短保持期間をご覧ください。
- ACCESS_RESTRICTION: Backup Vault のアクセス制限を指定します。指定できる値は within-project、within-org、unrestricted、within-org-but-unrestricted-for-ba です。値を指定しない場合、バックアップボールトは within-org 制限付きで作成されます。
オペレーションのステータスを確認します。
```
  gcloud backup-dr operations describe FULL_OPERATION_ID
```
次のように置き換えます。
- FULL_OPERATION_ID バックアップボールトに表示されるオペレーション ID。形式は次のとおりです。 projects/test-project/locations/us-central1/operations/operationID
出力は次のように表示されます。
```
    Create in progress for backup vault [projects/test-project/locations/us-central1/operations/operation-1721893921568-41e0dab8938a1-f1dc6ad2-3051b3ce]. Run the [gcloud backup-dr operations describe] command to check the status of this operation.
```

Terraform

Terraform リソースを使用してバックアップボールトを作成できます。


resource "google_backup_dr_backup_vault" "default" {
  provider                                   = google-beta
  location                                   = "us-central1"
  backup_vault_id                            = "my-vault"
  description                                = "This vault is created usingTerraform."
  backup_minimum_enforced_retention_duration = "100000s"
  force_update                               = "true"
  force_delete                               = "true"
  allow_missing                              = "true"
}

プロジェクト内の Backup Vault を一覧表示する

プロジェクト内の Backup Vault を一覧表示する手順は次のとおりです。

コンソール

Google Cloud コンソールで、[バックアップボールト] ページに移動します。

[バックアップボールト] に移動

選択したプロジェクトの一部であるバックアップボールトがリストに表示されます。

gcloud

Backup Vault を一覧表示します。
```
  gcloud backup-dr backup-vaults list \
  --project=PROJECT_ID \
  --location=LOCATION
```
次のように置き換えます。
- PROJECT_ID: バックアップボールトが作成されるプロジェクトの名前。
- LOCATION: バックアップボールトが作成されるロケーション。

Backup Vault の詳細を表示

バックアップボールトの詳細ページには構成情報が表示され、編集可能なアイテムを更新できます。

バックアップボールトの詳細ページの [ロックのステータス] フィールドには、次のいずれかの値を指定できます。

ロック解除済み: バックアップボールトに対してロックが適用されておらず、保留中でもない。
ロックは datetime に有効になります: 指定した日付に Backup Vault でロックが有効になるように設定されています。
ロック済み: バックアップボールトの適用される最小保持期間の値は、削減または削除に対してロックされています。

Backup Vault の詳細を表示する手順は次のとおりです。

コンソール

Google Cloud コンソールで、[バックアップボールト] ページに移動します。

[バックアップボールト] に移動

このページには、選択したプロジェクトに属する Backup Vault が一覧表示されます。
表示するバックアップボールトをクリックします。

バックアップボールトの詳細ページには、適用する最小保持期間の値やロックステータスなどの構成情報が表示されます。

gcloud

Backup Vault の詳細を表示します。
```
  gcloud backup-dr backup-vaults describe BACKUPVAULT_NAME \
  --location=LOCATION \
  --project=PROJECT_ID
```
次のように置き換えます。
- BACKUPVAULT_NAME: バックアップボールトの名前。
- LOCATION: バックアップボールトのロケーション。
- PROJECT_ID: バックアップボールトが作成されるプロジェクトの名前。

既存の Backup Vault の適用する最短保持期間を更新する

適用する最短保持期間は、ロックのステータスに基づいて更新できます。

ロック解除: 適用される最短保持期間を増減できます。
ロック済み: 適用する最短保持期間のみを延長できます。

発効日に達しているロックは削除できません。ただし、発効日がまだ到来していない場合は、ロックを解除できます。これにより、元に指定した発効日が消去されます。

適用する最小保持期間の値の変更は、更新後に作成されたバックアップにのみ適用されます。適用される最短保持期間の値を変更しても、Backup Vault にすでに存在するバックアップの残りの適用される保持期間には影響しません。バックアップの作成が失敗しないようにするには、適用する最短保持期間が、関連するバックアッププランによって定義される削除のタイムラインの中に収まっていることを確認してください。

Backup Vault の適用される保持期間を増やす場合は、Backup Vault に保存するバックアップのバックアッププランの保持期間を超えないようにしてください。変更された値がバックアップの保持期間より長い場合、バックアップと DR サービスは、バックアッププランのタイプに応じてこれらの変更を処理します。

Google Cloud コンソールベースのプラン: バックアップボールトの値の変更はブロックされます。
管理コンソールベースのプラン: バックアップボールトの値を変更できますが、バックアップが失敗しないように、更新されたバックアップボールトの適用される最小保持期間以上となる保持期間を指定するように、関連するバックアッププランを直ちに更新する必要があります。

プランの保持期間が Backup Vault の適用する最短保持期間よりも短い間に生成されたバックアップは、適用する保持期間が Backup Vault の適用する最短保持期間に設定されて作成されます。また、バックアップの有効期限は、適用される保持期間が満了した後に設定されます。

既存のバックアップボールトで適用される最小保持期間を更新するには、次の操作を行います。

コンソール

Google Cloud コンソールで、[バックアップボールト] ページに移動します。

[バックアップボールト] に移動
バックアップボールトのリストで、更新するバックアップボールトの名前をクリックします。
アイコンをクリックします。
[適用する最短保持期間の編集] ダイアログで、[新たに適用する最短保持期間] の値を入力します。これは、バックアップボールト内の各バックアップを削除できない期間です。最小は 1 日、最大は 99 年です。
適用する最短保持期間をロックする場合は、[適用する保持期間をロックする] チェックボックスをオンにして、カレンダーからロックの有効日付を選択します。
[保存] をクリックします。

gcloud

既存の Backup Vault の適用する最短保持期間を更新する。
```
  gcloud backup-dr backup-vaults update BACKUPVAULT_NAME\
  --project=PROJECT_ID \
  --location=LOCATION \
  --backup-min-enforced-retention=RETENTION_PERIOD_IN_DAYS
```
次のように置き換えます。
- BACKUPVAULT_NAME: バックアップボールトの名前。
- PROJECT_ID: バックアップボールトが作成されるプロジェクトの名前。
- LOCATION: バックアップボールトのロケーション。
- RETENTION_PERIOD_IN_DAYS: Backup Vault 内の各バックアップを削除できない期間。最小は 1 日、最大は 99 年です。

Backup Vault を削除する

バックアップボールトは、バックアップが含まれていない場合にのみ削除できます。バックアップボールトを削除するには、まず、そのボールト内のすべてのバックアップを削除します（削除の対象である場合）。

バックアップボールトを削除する手順は次のとおりです。

コンソール

Google Cloud コンソールで、[バックアップボールト] ページに移動します。

[バックアップボールト] に移動
削除するバックアップボールトをクリックします。
[削除] をクリックします。
上に重なったウィンドウで、バックアップボールトとそのコンテンツを削除することを確認します。
[削除] をクリックします。

gcloud

Backup Vault を削除します。
```
  gcloud backup-dr backup-vaults delete BACKUPVAULT_NAME \
  --project=PROJECT_ID \
  --location=LOCATION
```
次のように置き換えます。
- BACKUPVAULT_NAME: バックアップボールトの名前。
- PROJECT_ID: バックアップボールトが作成されるプロジェクトの名前。
- LOCATION: バックアップボールトのロケーション。

Backup Vault サービスエージェントとバックアップ/リカバリアプライアンスへのアクセス権を付与する

作成されたバックアップボールトには、一意のサービスエージェントがリンクされています。一部のリソースタイプでは、サービスエージェントがバックアップと DR サービスの代理でアクションを実行するため、Backup Vault サービスエージェントがアクセスする必要があるプロジェクトに適切な権限を付与する必要があります。サービスエージェントは Google マネージドサービスアカウントです。詳細については、サービスエージェントをご覧ください。

Google Cloud VMware Engine、Oracle データベース、SQL Server データベースなどの一部のリソースタイプでは、バックアップと DR のバックアップ/リカバリアプライアンスがバックアップボールトに対してアクションを実行する必要があります。その場合、バックアップ/リカバリアプライアンスには、バックアップボールトに対する適切な権限が必要です。

サービスアカウントにロールを付与する

サービスエージェントのメールアドレスを確認したら、他のプリンシパルにロールを付与する場合と同様に、バックアップボールトサービスエージェントにロールを付与できます。

Backup Vault が作成されているプロジェクトとは異なるプロジェクトの Compute Engine VM インスタンスをバックアップするには、Compute Engine プロジェクト内の Backup Vault サービスエージェントに Backup and DR Compute Engine Operator（roles/backupdr.computeEngineOperator）IAM ロールを付与する必要があります。ただし、バックアップボールトが作成されたプロジェクトと同じプロジェクト内の Compute Engine VM インスタンスをバックアップする場合、ロールを付与する必要はありません。

Compute Engine インスタンスを復元するには、復元プロジェクトの Backup and DR Compute Engine オペレーター（roles/backupdr.computeEngineOperator）IAM ロールをバックアップボールトサービスエージェントに付与する必要があります。

サービスエージェントにロールを付与する手順は次のとおりです。

コンソール

Google Cloud コンソールで、[バックアップボールト] ページに移動します。

[バックアップボールト] に移動
Backup Vault の名前をクリックして、サービスエージェントのメールアドレスをコピーします。
Google Cloud コンソールの [IAM] ページに移動します。

IAM に移動
[新しいプリンシパル] フィールドに、サービスエージェントのメールアドレスを入力します。
[ロールを選択] リストから、リソースタイプに基づいて適切なロールを選択します。たとえば、バックアップボールトが作成されているプロジェクトとは異なるプロジェクトの Compute Engine インスタンスをバックアップするには、バックアップと DR の Compute Engine オペレーター（roles/backupdr.computeEngineOperator）IAM ロールを選択します。
[保存] をクリックします。

gcloud

サービスエージェントにロールを付与します。
```
  gcloud projects add-iam-policy-binding PROJECT_ID \
  --member='serviceAccount:SERVICE_ACCOUNT \
  --role=ROLE
```
次のように置き換えます。
- PROJECT_ID: プロジェクトの名前。
- SERVICE_ACCOUNT: バックアップボールトサービスエージェントのメールアドレス。例: my-service-account@my-project.iam.gserviceaccount.com
- ROLE: リソースプロジェクトに付与するために必要なロール。たとえば、バックアップボールトが作成されているプロジェクトとは異なるプロジェクトの Compute Engine インスタンスをバックアップするには、バックアップと DR の Compute Engine オペレーター（roles/backupdr.computeEngineOperator）IAM ロールを選択します。

バックアップ/リカバリアプライアンスのサービスアカウントにロールを付与する

バックアップ/リカバリアプライアンスプロジェクトから Backup Vault にアクセスできるのは、アプライアンスのサービスアカウントに Backup and DR Backup Vault Accessor（roles/backupdr.backupvaultAccessor）と Backup and DR Backup Vault Lister（roles/backupdr.backupvaultLister）の IAM ロールが Backup Vault プロジェクトで付与されている場合のみです。これらのロールがないと、バックアップボールトにアクセスして設定を完了し、バックアップの作成を有効にできません。

バックアップ/リカバリアプライアンスのサービスアカウントにロールを付与すると、管理コンソールを使用して Google Cloud VMware Engine、Oracle データベース、SQL Server データベースをバックアップボールトにバックアップして復元できます。

バックアップ/リカバリアプライアンスのサービスアカウントにロールを付与する手順は次のとおりです。

Google Cloud コンソールで、アプライアンスが作成された [VM インスタンス] ページに移動します。

[VM インスタンス] ページに移動
サービスアカウントを取得する Compute Engine インスタンスをクリックします。
[API と ID の管理] セクションで、[サービスアカウント] フィールドからサービスアカウントのメールアドレスをコピーします。
Google Cloud コンソールで、バックアップボールトプロジェクトの IAM ロールに移動します。

注: バックアップボールトプロジェクトは、バックアップ/リカバリアプライアンスプロジェクトとは異なる場合があります。
IAM に移動
[アクセス権を付与] をクリックします。
[新しいプリンシパル] フィールドに、アプライアンスのサービスアカウントのメールアドレスを入力します。
[ロールを選択] リストから、[バックアップと DR バックアップボールトアクセサー] ロールを選択します。
省略可: バックアップ/リカバリアプライアンスが特定の Backup Vault にのみアクセスできるようにするには、[Backup and DR Backup Vault Accessor] ロールの横にある [ Add IAM condition] をクリックします。
1. [タイトル] フィールドに、条件の名前を入力します。
2. [条件エディタ] タブをクリックします。
  - [式 CEL エディタ] フィールドに次の式を入力します。
```
resource.name.extract("projects/PROJECT_ID/locations/LOCATION/backupVaults
/{name}/") == ("BACKUPVAULT_NAME") || resource.name.extract("projects/PROJECT_ID/locations/LOCATION/backupVaults
/{name}") == ("BACKUPVAULT_NAME") || resource.name.extract("operations/{op}") != ""```
```
  次のように置き換えます。
  - BACKUPVAULT_NAME: バックアップボールトの名前。
  - PROJECT_ID: バックアップボールトが作成されるプロジェクトの名前。
  - LOCATION: バックアップボールトのロケーション。
    
    追加のバックアップボールトへのアクセス権を追加するには、必要に応じて「resource.name.startsWith」ステートメントを追加します（「||」論理演算子を使用）。
    
    たとえば、次のステートメントは、「bv-test」という名前のバックアップボールトと「user-bv1」という名前のバックアップボールトを承認します。どちらも「testproject」という名前のプロジェクトにあり、リージョンは「us-central1」です。
```
resource.name.extract("projects/testproject/locations/us-central1/backupVaults
/{name}/") == ("bv-test") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
/{name}") == ("bv-test") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
/{name}/") == ("user-bv1") || resource.name.extract("projects/testproject/locations/us-central1/backupVaults
/{name}") == ("user-bv1") || resource.name.extract("operations/{op}") != ""```
```
3. [保存] をクリックします。
4. [別のロールを追加] をクリックします。
5. [ロールを選択] リストから、[バックアップと DR バックアップボールトリストア] ロールを選択します。
[保存] をクリックします。

Backup Vault を作成して管理する

始める前に

必要な権限

Backup Vault の作成

コンソール

gcloud

Terraform

プロジェクト内の Backup Vault を一覧表示する

コンソール

gcloud

Backup Vault の詳細を表示

コンソール

gcloud

既存の Backup Vault の適用する最短保持期間を更新する

コンソール

gcloud

Backup Vault を削除する

コンソール

gcloud

Backup Vault サービス エージェントとバックアップ/リカバリ アプライアンスへのアクセス権を付与する

サービス アカウントにロールを付与する

コンソール

gcloud

バックアップ/リカバリ アプライアンスのサービス アカウントにロールを付与する

次のステップ

Backup Vault サービスエージェントとバックアップ/リカバリアプライアンスへのアクセス権を付与する

サービスアカウントにロールを付与する

バックアップ/リカバリアプライアンスのサービスアカウントにロールを付与する