Credenziali cloud per la protezione e l'accesso ai dati del servizio di backup e RE

Questa pagina spiega che cosa sono le credenziali cloud predefinite e come aggiungere nuove credenziali per le appliance di backup/recupero nella console di gestione.

Una credenziale cloud è un puntatore a un account di servizio che consente all'appliance di backup/recupero di accedere alle risorse del progetto, come le API Compute Engine e i bucket Cloud Storage, per eseguire il backup e il recupero delle istanze Compute Engine.

Durante il backup o il recupero delle istanze Compute Engine, le appliance di backup/recupero utilizzano l'account di servizio nella credenziale per acquisire gli snapshot delle istanze e caricare i metadati delle istanze (come la configurazione della VM, la rete e i tag) in un bucket Cloud Storage tramite un pool OnVault. Se l'appliance che ha creato gli snapshot dell'istanza non è disponibile, puoi accedere ai backup utilizzando un'appliance diversa, tramite i metadati archiviati nel bucket Cloud Storage. Consulta Importare le immagini degli snapshot dei dischi permanenti.

Credenziale cloud predefinita

La credenziale cloud predefinita viene creata automaticamente quando esegui il deployment dell'appliance di backup/recupero della versione 11.0.2 o successiva. Questa credenziale viene creata in base all'account di servizio collegato all'appliance in un progetto. Questa credenziale semplifica il processo di rilevamento e protezione delle istanze Compute Engine senza dover creare un pool e un account di servizio OnVault. Nella console di gestione, puoi visualizzare questa credenziale cloud predefinita nella pagina Credenziali cloud andando a Gestisci > Credenziali.

La credenziale cloud predefinita nella pagina Credenziali cloud viene visualizzata in base al nome dell'appliance. Ad esempio, se il nome dell'appliance di backup/recupero è nome-ba, viene visualizzato il nome dell'account di servizio predefinito *[e-mail]. Il valore project-id è l'ID progetto. Non puoi modificare o eliminare questa credenziale cloud predefinita, ma puoi solo visualizzarla.

Le credenziali cloud predefinite puntano a un pool OnVault creato automaticamente, che rimanda a un bucket Cloud Storage creato automaticamente. Il bucket Cloud Storage contiene il bucket Cloud Storage creato dall'istanza VM. Il bucket Cloud Storage contiene la configurazione e i metadati dell'istanza VM e viene creato automaticamente in fase di esecuzione, quando un modello di backup viene assegnato a un'istanza Compute Engine. La posizione del bucket Cloud Storage viene determinata in base alla posizione o alla regione di archiviazione degli snapshot dei dischi permanenti come configurato nel modello di backup.

I pool OnVault vengono creati automaticamente anche se modifichi la regione o la regione multipla dell'istanza o quando l'override delle norme viene applicato dopo l'esecuzione corretta del primo snapshot. Il servizio garantisce quindi che sia i dati del disco permanente sia la configurazione dell'istanza VM siano colocalizzati.

Nota: la credenziale cloud predefinita con il pool OnVault creato automaticamente è disponibile solo per l'installazione nuova dell'appliance con la versione 11.0.2 o successive. Non è disponibile quando viene eseguito l'upgrade di un'appliance alla versione 11.0.2 da una versione precedente.

Per la credenziale cloud predefinita, il ruolo IAM Backup and DR Cloud Storage Operator viene assegnato automaticamente all'account di servizio collegato all'appliance di backup/ripristino. Devi assegnare manualmente il ruolo IAM Backup and DR Compute Engine Operator per eseguire il backup delle istanze Compute Engine.

Visualizza il bucket Cloud Storage corrispondente dell'appliance nella consoleGoogle Cloud andando a Cloud Storage > Bucket.

Nota: è consigliabile non utilizzare il bucket di archiviazione creato automaticamente per altri scopi.

Il bucket di archiviazione viene creato con il nome <backup/recovery-appliance-name>-<random-string>-<region/multi-region> nello stesso progetto in cui è implementata l'appliance e ha le seguenti proprietà impostate.

• Classe di archiviazione: standard
• Controllo dell'accesso agli oggetti: Uniforme
• Posizione del bucket: uguale alla posizione dello snapshot Persistent Disk
• Controllo delle versioni degli oggetti: nessuna conservazione o controllo delle versioni degli oggetti impostato nel bucket

• Accesso: nessun accesso pubblico al bucket

  Nota: il bucket di archiviazione creato automaticamente utilizza una classe di archiviazione Standard per contenere la configurazione e i metadati della VM e ti viene addebitato il costo di una classe di archiviazione Standard.

Aggiungere le credenziali del cloud

Il servizio di backup e RE consente di creare una nuova credenziale cloud se vuoi comunque crearne una manualmente per un'appliance di backup/ripristino. Per creare nuove credenziali cloud, devi prima creare un nuovo pool OnVault. Consulta le istruzioni relative al pool OnVault. La procedura per aggiungere una credenziale cloud varia in base alla versione software dell'appliance di backup/recupero. Per determinare la versione in uso, vai a Gestisci > Appliance e controlla la colonna Versione.

La tabella seguente mette in evidenza il comportamento delle credenziali Cloud con la versione dell'appliance di cui è stato eseguito il deployment.

Versione originale dell'appliance	Versione dell'upgrade dell'appliance	Utilizzo delle credenziali cloud
11.0.1^*	11.0.2 o versioni successive	Eventuali credenziali cloud esistenti continueranno a utilizzare le chiavi JSON. Tuttavia, puoi sostituire una chiave JSON nelle credenziali cloud con le credenziali dell'account di servizio dell'appliance.
11.0.2 o versioni successive	Non applicabile	La credenziale cloud predefinita che non utilizza la chiave JSON viene creata automaticamente. Consulta le credenziali cloud predefinite.

^* È molto probabile che le appliance di cui è stato eseguito il deployment prima di gennaio 2023 siano state implementate con la versione 11.0.1.

Aggiungere le credenziali cloud per un'appliance con versione 11.0.2 o successive

Per creare una credenziale Cloud, devi definire il nome della credenziale e il pool OnVault in cui vuoi archiviare i dati di backup. Un account di servizio viene compilato automaticamente in base all'account di servizio associato all'appliance di backup/ripristino selezionata. Crea un OnVault, se non ne hai uno.

Prima di aggiungere la credenziale cloud, assegna il ruolo Backup and DR Compute Engine Operator all'account di servizio associato all'appliance.

Segui queste istruzioni per aggiungere la credenziale Google Cloud per le appliance in esecuzione su 11.0.2 o versioni successive:

1. Fai clic su Gestisci e seleziona Credenziali dal menu a discesa.

   Viene visualizzata la pagina Credenziali cloud, che elenca tutte le credenziali cloud gestite dalla console di gestione, se sono già state aggiunte.

2. Fai clic su Aggiungi credenziali Google Cloud.

3. In Nome credenziale, aggiungi un nome univoco con cui identificare la credenziale.

4. Seleziona una Zona predefinita. La zona predefinita viene utilizzata per determinare la zona predefinita da utilizzare quando vengono rilevate le VM Compute Engine in un progetto. Puoi anche selezionare un'altra zona durante il rilevamento.

5. Nel menu a discesa Appliances (Appliances), seleziona l'elettrodomestico a cui vuoi associare le credenziali. Il campo Account di servizio viene compilato automaticamente con l'account di servizio associato all'appliance.

6. Seleziona il pool OnVault. I pool vengono visualizzati in base all'appliance selezionata. Per aggiungere un pool OnVault, segui le istruzioni per il pool OnVault.

   Nota: il menu a discesa InVault non mostra i pool creati automaticamente. È disponibile solo per le credenziali cloud predefinite.

7. Fai clic su Aggiungi.

La console di gestione invia una richiesta di convalida delle credenziali cloud all'appliance selezionata. Se la convalida va a buon fine, la credenziale viene registrata. La creazione delle credenziali cloud comporta la creazione automatica di un pool Cloud Storage e di un profilo della risorsa con il nome della credenziale cloud come prefisso.

Aggiungere le credenziali cloud per un'appliance con la versione 11.0.2 o precedente

Ti consigliamo di aggiornare l'appliance alla versione più recente. Leggi le istruzioni per aggiornare l'appliance di backup/ripristino.

Per creare un pool OnVault con appliance in esecuzione sulla versione 11.0.1 o precedente, devi caricare manualmente la chiave JSON. Consulta Creare chiavi dell'account di servizio per istruzioni su come creare e scaricare la chiave dell'account di servizio in formato JSON.

Nota: le chiavi degli account di servizio comportano un rischio per la sicurezza se non vengono gestite correttamente. Dovresti scegliere un'alternativa più sicura alle chiavi degli account di servizio quando è possibile. Se devi effettuare l'autenticazione con una chiave dell'account di servizio, sei responsabile della sicurezza della chiave privata e di altre operazioni descritte dalle best practice per la gestione delle chiavi degli account di servizio. Se non riesci a creare una chiave del account di servizio, la creazione di chiavi del account di servizio potrebbe essere disabilitata per la tua organizzazione. Per ulteriori informazioni, consulta Gestione delle risorse dell'organizzazione sicure per impostazione predefinita.

Devi caricare manualmente la chiave JSON finché l'appliance di backup/ripristino non viene aggiornata alla versione 11.0.2 o successiva. Devi definire il nome della credenziale e il pool OnVault in cui vuoi archiviare i dati di backup. Se non hai un OnVault, consulta le istruzioni per creare un pool OnVault.

Segui queste istruzioni per aggiungere la credenziale Google Cloud per l'appliance:

1. Fai clic su Gestisci e seleziona Credenziali dal menu a discesa. Viene visualizzata la pagina Credenziali cloud, che elenca tutte le credenziali cloud gestite dalla console di gestione, se sono già state aggiunte.
2. Fai clic su Aggiungi credenziali Google Cloud.
3. In Nome credenziale, aggiungi un nome univoco con cui identificare la credenziale.
4. Seleziona Fuso orario predefinito. La zona predefinita viene utilizzata per determinare la zona in cui eseguire la ricerca iniziale quando viene eseguita una scoperta di Compute Engine. Puoi selezionare una zona diversa ogni volta che esegui lo strumento di scoperta.
5. Nel menu a discesa Appliances (Apparecchi), seleziona l'appliance a cui associare la credenziale. Solo l'appliance selezionata ha accesso a questa credenziale.
6. Nel campo Credential JSON (JSON delle credenziali), fai clic su Choose file (Scegli file) e importa la chiave dell'account di servizio salvata in formato JSON. L'account di servizio e l'ID progetto vengono ricavati dal file della chiave JSON. Puoi modificare l'ID progetto in base alle tue esigenze.
7. Seleziona il pool OnVault. I pool vengono visualizzati in base all'appliance selezionata. Per aggiungere un pool OnVault, consulta Pool OnVault.
8. Fai clic su Aggiungi.

La console di gestione invia una richiesta di convalida delle credenziali cloud all'appliance selezionata. Se la convalida va a buon fine, la credenziale viene registrata. La creazione delle credenziali cloud comporta la creazione automatica di un pool cloud e di un profilo della risorsa con il nome della credenziale cloud come prefisso.

Modificare le credenziali cloud

Segui queste istruzioni per modificare una credenziale cloud esistente per l'appliance:

1. Fai clic su Gestisci e seleziona Credenziali dal menu a discesa. Si apre la pagina Credenziali cloud, che elenca tutte le credenziali salvate sulle appliance gestite dalla console di gestione.
2. Seleziona le credenziali da modificare, quindi seleziona Modifica nell'angolo in basso a destra della pagina. Viene visualizzata la pagina Modifica credenziale. Puoi anche fare clic con il tasto destro del mouse sulla credenziale e selezionare Modifica dalle opzioni del menu a discesa.
3. Se stai aggiornando un'appliance in esecuzione su 11.0.2 o versioni successive, puoi aggiornarne il nome, la zona predefinita, gli attributi dell'organizzazione e il pool OnVault.

4. Se stai aggiornando l'appliance che esegue la versione 11.0.2 o precedente:

   1. Apporta le modifiche alla credenziale come segue:

      • Se stai aggiornando il nome, la regione predefinita o la zona predefinita, o gli attributi dell'organizzazione, non devi fornire le informazioni di accesso al cloud come il file della chiave JSON.
      • Se stai aggiornando le informazioni sulle credenziali cloud o aggiungendo altre appliance, ti viene chiesto di fornire le informazioni di accesso al cloud utilizzate per creare la credenziale.

   2. Puoi selezionare un'altra appliance per archiviare i dati.

   3. Puoi modificare il pool OnVault, se è disponibile un altro pool.

5. Fai clic su Salva per applicare le modifiche.

Sostituire una credenziale cloud con chiave JSON con le credenziali dell'account di servizio dell'appliance

Se hai una credenziale cloud creata utilizzando una chiave JSON per l'autenticazione, non puoi impostarla per l'utilizzo con l'autenticazione dell'account di servizio dell'appliance. Crea invece una nuova credenziale cloud e assegna il profilo creato automaticamente con le credenziali cloud modificando il piano di backup.

Segui le istruzioni riportate di seguito per sostituire una credenziale cloud con chiave JSON con le credenziali dell'account di servizio dell'appliance:

1. Crea una nuova credenziale Cloud utilizzando l'account di servizio dell'appliance. Viene creato un nuovo profilo della risorsa con il nome: <new credentialname>_Profile.
2. Vai ad App Manager e seleziona Applicazioni.
3. Trova tutte le istanze Compute Engine che utilizzano la vecchia credenziale Cloud. Identifica i nomi dei profili nel formato: <nome precedente delle credenziali>_Profile
4. Segui le istruzioni riportate nell'argomento Modificare la gestione del piano di backup di un'applicazione gestita e aggiorna il profilo in uso con il nuovo profilo.

Tutte le nuove immagini utilizzano le credenziali cloud appena create. Non puoi eliminare la vecchia definizione delle credenziali Cloud finché tutte le immagini create in precedenza nel pool non sono scadute.

Eliminare una credenziale cloud

Prima di eliminare le credenziali, rimuovi e rimuovi tutte le applicazioni e gli host scoperti utilizzando questa credenziale, quindi eliminala.

Segui queste istruzioni per eliminare una credenziale cloud.

1. Fai clic su Gestisci e seleziona Credenziali dal menu a discesa.
2. Fai clic con il tasto destro del mouse sulle credenziali richieste e seleziona Elimina.
3. Fai clic su Conferma.

La guida di Compute Engine per il backup e la RE

La guida di Compute Engine per il backup e la RE

• Controllare le credenziali del cloud
• Scoprire e proteggere le istanze Compute Engine
• Montare le immagini di backup delle istanze Compute Engine
• Ripristinare un'istanza Compute Engine
• Importare le immagini degli snapshot dei dischi permanenti