Backup and DR Service の保護とデータアクセス用の Google Cloud 認証情報

このページでは、デフォルトの Google Cloud 認証情報と、管理コンソールでバックアップ/復元アプライアンスの新しい認証情報を追加する方法について説明します。

Google Cloud 認証情報は、バックアップ/復元アプライアンスが Compute Engine API や Cloud Storage バケットなどのプロジェクト リソースにアクセスして、Compute Engine インスタンスのバックアップと復元を行うことができるサービス アカウントへのポインタです。

Compute Engine インスタンスのバックアップまたは復元中に、バックアップ/復元アプライアンスは、認証情報のサービス アカウントを使用してインスタンスのスナップショットを作成し、OnVault プールを介してインスタンス メタデータ（VM 構成、ネットワーク、タグなど）を Cloud Storage バケットにアップロードします。インスタンス スナップショットを作成したアプライアンスが使用できない場合は、Cloud Storage バケットに保存されているメタデータを使用して、別の機器からバックアップにアクセスできます。永続ディスクのスナップショット イメージをインポートするをご覧ください。

デフォルトの Google Cloud 認証情報

デフォルトの Google Cloud 認証情報は、バックアップ/復元アプライアンスをデプロイすると自動的に作成されます。この認証情報は、プロジェクト内のアプライアンスに接続されているサービス アカウントに基づいて作成されます。この認証情報により、OnVault プールとサービス アカウントを作成しなくても、Compute Engine インスタンスの検出と保護のプロセスが簡素化されます。管理コンソールで、[管理] > [認証情報] に移動して、このデフォルトの Google Cloud 認証情報を [Cloud 認証情報] ページで確認できます。

[Cloud 認証情報] ページのデフォルトの Google Cloud 認証情報は、アプライアンス名に基づいて表示されます。たとえば、バックアップ/復元アプライアンスの名前が ba-name の場合、デフォルトのサービス アカウント名として *ba-name@developer.gserviceaccount.comが表示されます。値 project-id はプロジェクト ID です。このデフォルトの Google Cloud 認証情報は編集または削除できません。表示のみ可能です。

デフォルトの Google Cloud 認証情報は、自動的に作成された OnVault プールを指します。このプールは、自動的に作成された Cloud Storage バケットを指します。Cloud Storage バケットには、VM インスタンスによって作成された Cloud Storage バケットが保持されます。Cloud Storage バケットには、VM インスタンスの構成とメタデータが保持されます。バックアップ テンプレートが Compute Engine インスタンスに割り当てられると、実行時に自動的に作成されます。Cloud Storage バケットのロケーションは、バックアップ テンプレートで構成された永続ディスク スナップショットの保存場所またはリージョンに基づいて決定されます。

インスタンスのリージョンまたはマルチリージョンを変更した場合や、最初のスナップショットが正常に実行された後にポリシーのオーバーライドが適用された場合でも、OnVault プールは自動的に作成されます。これにより、永続ディスクデータとインスタンス VM 構成の両方がコロケーションされます。

デフォルトの Google Cloud 認証情報の場合、IAM ロール Backup and DR Cloud Storage Operator は、バックアップ/復元アプライアンスに接続されたサービス アカウントに自動的に割り当てられます。Compute Engine インスタンスをバックアップするには、IAM ロール Backup and DR Compute Engine Operator を手動で割り当てる必要があります。

Google Cloud コンソールで、[Cloud Storage] > [バケット] に移動して、アプライアンスの対応する Cloud Storage バケットを表示します。

ストレージ バケットは、アプライアンスがデプロイされている同じプロジェクトに <backup/recovery-appliance-name>-<random-string>-<region/multi-region> という名前で作成され、次のプロパティが設定されます。

  • ストレージ クラス: Standard
  • オブジェクト アクセス制御: 均一
  • バケットのロケーション: Persistent Disk スナップショットのロケーションと同じ
  • オブジェクトのバージョニング: バケットにオブジェクトのバージョニングまたは保持が設定されていない

  • アクセス: バケットへの公開アクセスなし

Google Cloud 件の認証情報を追加する

バックアップと DR サービスでは、バックアップ/リカバリ アプライアンスの認証情報を手動で作成する場合に、新しい認証情報を作成できます。 Google Cloud 新しい Google Cloud 認証情報を作成するには、まず新しい OnVault プールを作成する必要があります。OnVault プールの手順をご覧ください。

Google Cloud 件の認証情報を追加する

Google Cloud 認証情報を作成するには、認証情報の名前と、バックアップ データの保存先となる OnVault プールを定義する必要があります。サービス アカウントは、選択したバックアップ/リカバリ アプライアンスに接続されているサービス アカウントに基づいて自動入力されます。OnVault を作成します（まだ作成していない場合）。

Google Cloud 認証情報を追加する前に、アプライアンスに接続されているサービス アカウントに Backup and DR Compute Engine Operator ロールを割り当てます。

バックアップ/リカバリ アプライアンスの Google Cloud 認証情報を追加する手順は次のとおりです。

  1. [管理] をクリックし、プルダウン メニューから [認証情報] を選択します。

    [Cloud 認証情報] ページが開き、認証情報がすでに追加されている場合は、管理コンソールで管理されているすべての Google Cloud 認証情報が一覧表示されます。

  2. [Add Google Cloud Credentials] をクリックします。

  3. [認証情報の名前] に、認証情報の識別に使用する一意の名前を追加します。

  4. デフォルト ゾーンを選択します。デフォルトのゾーンは、プロジェクトで Compute Engine VM を検出するときにデフォルトで使用するゾーンを決定するために使用されます。検出時に別のゾーンを選択することもできます。

  5. [アプライアンス] プルダウンで、認証情報を関連付けるアプライアンスを選択します。[サービス アカウント] フィールドには、そのアプライアンスに接続されているサービス アカウントが自動的に入力されます。

  6. OnVault プールを選択します。プールは、選択したアプライアンスに基づいて表示されます。OnVault プールを追加するには、OnVault プールの手順を使用します。

  7. [追加] をクリックします。

管理コンソールは、選択したアプライアンスに Google Cloud 認証情報を検証するリクエストを送信します。検証に成功すると、認証情報が登録されます。 Google Cloud 認証情報を作成すると、 Google Cloud 認証情報名を接頭辞とする Cloud Storage プールとリソース プロファイルが自動的に作成されます。

Google Cloud 認証情報を編集する

次の手順に沿って、アプライアンスの既存の Google Cloud 認証情報を編集します。

  1. [管理] をクリックし、プルダウン メニューから [認証情報] を選択します。[Cloud 認証情報] ページが開き、管理コンソールで管理されているアプライアンスに保存されているすべての認証情報が一覧表示されます。
  2. 変更する認証情報を選択し、ページの右下にある [編集] を選択します。[認証情報の編集] ページが開きます。認証情報を右クリックして、プルダウン メニュー オプションから [編集] を選択することもできます。
  3. 必要に応じて、名前、デフォルト ゾーン、組織属性、OnVault プールを更新します。
  4. [保存] をクリックして変更を適用します。

Google Cloud 認証情報を削除する

認証情報を削除する前に、この認証情報を使用して検出されたすべてのアプリケーションとホストの保護を解除して削除してから、認証情報を削除します。

Google Cloud 認証情報を削除するには、次の操作を行います。

  1. [管理] をクリックし、プルダウン メニューから [認証情報] を選択します。
  2. 必要な認証情報を右クリックして、[削除] を選択します。
  3. [確認] をクリックします。

Backup and DR Compute Engine ガイド