Preparativi per il deployment del servizio di backup e RE

Prima di iniziare

Ti consigliamo di leggere Pianificare un RE di Backup e DR prima di iniziare questa sezione.

Questa pagina descrive in dettaglio i requisiti Google Cloud che devono essere soddisfatti prima di poter attivare Google Cloud il servizio di backup e DR, che deve essere eseguito nella consoleGoogle Cloud .

Tutte le attività descritte in questa pagina devono essere eseguite nel progettoGoogle Cloud in cui stai eseguendo il deployment dell'appliance di backup/recupero. Se questo progetto è un progetto di servizio del VPC condiviso, alcune attività vengono eseguite nel progetto VPC e altre nel progetto del workload.

Consenti progetti con immagini attendibili

Autorizzazioni richieste per questa attività

Si tratta di un criterio a livello di organizzazione che potrebbe non essere impostato o addirittura non esistere. Per modificare questa impostazione, l'utente deve disporre delle seguenti autorizzazioni:

• orgpolicy.policies.create
• orgpolicy.policies.delete
• orgpolicy.policies.delete
• orgpolicy.policy.get
Esempi di ruoli che dispongono di questa autorizzazione includono: Amministratore norme dell'organizzazione

Se hai attivato il criterio constraint/compute.trustedImageProjects nelle policy dell'organizzazione, il progetto di origine gestito da Google Cloudper le immagini utilizzate per il deployment dell'appliance di backup/ripristino non è consentito. Devi personalizzare questa policy dell'organizzazione nei progetti in cui vengono implementati gli appliance di backup/ripristino per evitare di ricevere un errore di violazione delle norme durante l'implementazione, come descritto in dettaglio nelle seguenti istruzioni:

1. Vai alla pagina Policy dell'organizzazione e seleziona il progetto in cui implementare gli appliance.

   Vai a Policy dell'organizzazione

2. Nell'elenco dei criteri, fai clic su Definisci progetti con immagini attendibili.

3. Fai clic su Modifica per personalizzare i vincoli delle immagini attendibili esistenti.

4. Nella pagina Modifica, seleziona Personalizza.

5. Seleziona una delle seguenti tre possibilità:

   Policy ereditata esistente

   Se esiste una policy ereditata, completa i seguenti passaggi:

   1. Per Applicazione policy, seleziona Unisci con l'unità organizzativa principale.

   2. Fai clic su Aggiungi regola.

   3. Seleziona Personalizzato dall'elenco a discesa Valori policy per impostare il vincolo su progetti di immagini specifici.

   4. Seleziona Consenti dall'elenco a discesa Tipo di policy per rimuovere le limitazioni per i progetti di immagini specificati.

   5. Nel campo Valori personalizzati, inserisci il valore personalizzato come projects/backupdr-images.

   6. Fai clic su Fine.

   Regola Consenti esistente

   Se esiste una regola Consenti, completa i seguenti passaggi:

   1. Lascia selezionata l'opzione predefinita per l'applicazione policy.

   2. Seleziona la regola Consenti esistente.

      Attenzione: se esiste una regola, utilizzala. Non tentare di aggiungere un'altra regola.

   3. Fai clic su Aggiungi valore per aggiungere altri progetti di immagini e inserisci il valore come projects/backupdr-images.

   4. Fai clic su Fine.

   Nessuna norma o regola esistente

   Se non esiste alcuna regola, seleziona Aggiungi regola e completa i seguenti passaggi:

   1. Lascia selezionata l'opzione predefinita per l'applicazione policy.

   2. Seleziona Personalizzato dall'elenco a discesa Valori policy per impostare il vincolo su progetti di immagini specifici.

   3. Seleziona Consenti dall'elenco a discesa Tipo di policy per rimuovere le limitazioni per i progetti di immagini specificati.

   4. Nel campo Valori personalizzati, inserisci il valore personalizzato come projects/backupdr-images.

   5. Se imposti vincoli a livello di progetto, questi potrebbero entrare in conflitto con i vincoli esistenti impostati per l'organizzazione o la cartella.

   6. Fai clic su Aggiungi valore per aggiungere altri progetti di immagini e fai clic su Fine.

   7. Fai clic su Salva.

6. Fai clic su Salva per applicare il vincolo.

   Per saperne di più sulla creazione di policy dell'organizzazione, consulta Creare e gestire le policy dell'organizzazione.

La procedura di deployment

Per avviare l'installazione, il servizio di Backup e DR crea un account di servizio per eseguire il programma di installazione. Il account di servizio richiede privilegi nel progetto host, nel progetto di servizio dell'appliance di backup/ripristino e nel progetto di servizio della console di gestione. Per saperne di più, consulta la sezione Service account.

Il account di servizio utilizzato per l'installazione diventa il account di servizio dell'appliance di backup/recupero. Dopo l'installazione, le autorizzazioni dell'account di servizio vengono ridotte alle sole autorizzazioni richieste dall'appliance di backup/ripristino.

Il deployment della console di gestione viene eseguito quando installi la prima appliance di backup/ripristino. Puoi eseguire il deployment del servizio di Backup e DR in un VPC condiviso o in un VPC non condiviso.

Servizio di backup e DR in un VPC non condiviso

Quando esegui il deployment della console di gestione e della prima appliance di backup/ripristino in un unico progetto con un VPC non condiviso, tutti e tre i componenti del servizio di Backup e DR si trovano nello stesso progetto.

Nota :CMEK deve essere disattivato nel progetto in cui viene eseguito il deployment dell'appliance di backup/ripristino.

Se il VPC è condiviso, consulta Backup e servizio di DR in un VPC condiviso.

Abilita le API richieste per l'installazione in un VPC non condiviso

Prima di abilitare le API richieste per l'installazione in un VPC non condiviso, esamina le regioni supportate per il deployment del servizio di Backup e DR. Vedi Regioni supportate.

Per eseguire il programma di installazione in un VPC non condiviso, devono essere abilitate le seguenti API. Per abilitare le API, devi disporre del ruolo Amministratore utilizzo servizi.

API	Nome servizio
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com
Workflows ^1	workflows.googleapis.com
Cloud Key Management Service (KMS)	cloudkms.googleapis.com
Identity and Access Management	iam.googleapis.com
Cloud Logging	logging.googleapis.com

¹ Il servizio di workflow è supportato nelle regioni elencate. Se il servizio Workflows non è disponibile in una regione in cui viene eseguito il deployment dell'appliance di backup/ripristino, il servizio di Backup e DR utilizza per impostazione predefinita la regione "us-central1". Se hai un criterio dell'organizzazione impostato per impedire la creazione di risorse in altre regioni, devi aggiornarlo temporaneamente per consentire la creazione di risorse nella regione "us-central1". Puoi limitare la regione "us-central1" dopo il deployment dell'appliance di backup/recupero.

L'account utente richiede queste autorizzazioni nel progetto VPC non condiviso

Ruolo preferito	Autorizzazioni necessarie
resourcemanager.projectIamAdmin (Amministratore IAM progetto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (amministratore Service Usage)	serviceusage.services.list
iam.serviceAccountUser (Service Account User)	iam.serviceAccounts.actAs
iam.serviceAccountAdmin (amministratore service account)	iam.serviceAccounts.create
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
workflows.editor (editor di Workflows)	workflows.workflows.create
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
backupdr.admin (amministratore Backup and DR)	backupdr.*
visualizzatore (Basic)	Concede le autorizzazioni necessarie per visualizzare la maggior parte delle risorse di Google Cloud .

Backup e RE in un VPC condiviso

Quando esegui il deployment della console di gestione e della prima appliance di backup/ripristino in un progetto VPC condiviso, devi configurare questi tre progetti nel progetto host o in uno o più progetti di servizio:

Prima di abilitare le API richieste per l'installazione in un VPC condiviso, rivedi le regioni supportate per il deployment di Backup eRER. Vedi Regioni supportate.

Nota: CMEK deve essere disattivato nel progetto in cui viene eseguito il deployment di qualsiasi appliance di backup/ripristino.

• Progetto proprietario VPC: il progetto proprietario del VPC selezionato. Il proprietario del VPC è sempre il progetto host.

• Progetto della console di gestione: qui viene attivata l'API Backup e DR e qui accedi alla console di gestione per gestire i carichi di lavoro.

• Progetto appliance di backup/ripristino: è qui che viene installata l'appliance di backup/ripristino e di solito dove si trovano le risorse protette.

In un VPC condiviso, possono essere uno, due o tre progetti.

Tipo	Proprietario VPC	Console di gestione	Appliance di backup/ripristino
HHH	Progetto host	Progetto host	Progetto host
HHS	Progetto host	Progetto host	Progetto di servizio
HSH	Progetto host	Progetto di servizio	Progetto host
HSS	Progetto host	Progetto di servizio	Progetto di servizio
HS2	Progetto host	Progetto di servizio	Un altro progetto di servizio

Descrizioni delle strategie di deployment

• HHH: VPC condiviso. Il proprietario del VPC, la console di gestione e l'appliance di backup/ripristino si trovano tutti nel progetto host.

• HHS: VPC condiviso. Il proprietario del VPC e la console di gestione si trovano nel progetto host, mentre l'appliance di backup/ripristino si trova in un progetto di servizio.

• HSH: VPC condiviso. Il proprietario del VPC e l'appliance di backup/ripristino si trovano nel progetto host, mentre la console di gestione si trova in un progetto di servizio.

• HSS: VPC condiviso. Il proprietario del VPC si trova nel progetto host, mentre l'appliance di backup/ripristino e la console di gestione si trovano in un progetto di servizio.

• HS2: VPC condiviso. Il proprietario del VPC si trova nel progetto host, mentre l'appliance di backup/ripristino e la console di gestione si trovano in due progetti di servizio diversi.

Abilita queste API richieste per l'installazione nel progetto host

Per eseguire il programma di installazione, devono essere abilitate le seguenti API. Per abilitare le API, devi disporre del ruolo Amministratore utilizzo servizi.

API	Nome servizio
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com

Abilita queste API richieste per l'installazione nel progetto dell'appliance di backup/ripristino

API	Nome servizio
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com
Workflows ^1	workflows.googleapis.com
Cloud Key Management Service (KMS)	cloudkms.googleapis.com
Identity and Access Management	iam.googleapis.com
Cloud Logging	logging.googleapis.com

Nota :l'appliance di backup/ripristino richiede l'accesso alle API Google Cloud . Se le impostazioni di rete della subnet non consentono alle VM di accedere alle Google Cloud API, il deployment dell'appliance di backup/ripristino non va a buon fine. Assicurati che la subnet in cui hai eseguito il deployment dell'appliance di backup/ripristino abbia accesso alle API e ai servizi Google Cloud . Per ulteriori informazioni su come configurare questa opzione, consulta Configurare l'accesso privato|VPC.

Google Cloud

¹ Il servizio di workflow è supportato nelle regioni elencate. Se il servizio Workflows non è disponibile in una regione in cui viene eseguito il deployment dell'appliance di backup/ripristino, il servizio di Backup e DR utilizza per impostazione predefinita la regione "us-central1". Se hai una policy dell'organizzazione impostata per impedire la creazione di risorse in altre regioni, devi aggiornarla temporaneamente per consentire la creazione di risorse nella regione "us-central1". Puoi limitare la regione "us-central1" dopo il deployment dell'appliance di backup/recupero.

L'account utente richiede queste autorizzazioni nel progetto proprietario del VPC

Nota: i ruoli potrebbero concedere più autorizzazioni di quelle necessarie. Per le autorizzazioni minime richieste, assegna solo quelle elencate nella colonna Autorizzazioni necessarie.

Ruolo preferito	Autorizzazioni necessarie
resourcemanager.projectIamAdmin (Amministratore IAM progetto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (amministratore Service Usage)	serviceusage.services.list

L'account utente richiede queste autorizzazioni nel progetto della console di gestione

Nota: i ruoli potrebbero concedere più autorizzazioni di quelle necessarie. Per le autorizzazioni minime richieste, assegna solo quelle elencate nella colonna Autorizzazioni necessarie.

Il deployment della console di gestione viene eseguito quando installi la prima appliance di backup/ripristino.

Ruolo preferito	Autorizzazioni necessarie
resourcemanager.projectIamAdmin (Amministratore IAM progetto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
backupdr.admin (amministratore Backup and DR)	backupdr.*
visualizzatore (Basic)	Concede le autorizzazioni necessarie per visualizzare la maggior parte delle risorse Google Cloud .

L'account utente richiede queste autorizzazioni nel progetto dell'appliance di backup/ripristino

Nota: i ruoli potrebbero concedere più autorizzazioni di quelle necessarie. Per le autorizzazioni minime richieste, assegna solo quelle elencate nella colonna Autorizzazioni necessarie.

Ruolo preferito	Autorizzazioni necessarie
resourcemanager.projectIamAdmin (Amministratore IAM progetto)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setIamPolicy
	resourcemanager.projects.get
iam.serviceAccountUser (Service Account User)	iam.serviceAccounts.actAs
iam.serviceAccountAdmin (amministratore service account)	iam.serviceAccounts.create
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
workflows.editor (editor di Workflows)	workflows.workflows.create
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (amministratore Service Usage)	serviceusage.services.list

Oltre alle autorizzazioni dell'account utente finale, all'account di servizio creato per tuo conto vengono temporaneamente concesse altre autorizzazioni fino al completamento dell'installazione.

Configura reti

Se non è già stata creata una rete VPC per il progetto di destinazione, devi crearne una prima di procedere. Per maggiori dettagli, consulta Crea e modifica le reti Virtual Private Cloud (VPC). Hai bisogno di una subnet in ogni regione in cui prevedi di eseguire il deployment di un'appliance di backup/ripristino e devi assegnare l'autorizzazione compute.networks.create per crearla.

Se esegui il deployment di appliance di backup/recupero in più reti, utilizza subnet che non condividono gli stessi intervalli di indirizzi IP per evitare che più appliance di backup/recupero abbiano lo stesso indirizzo IP.

Configurazione dell'accesso privato Google

L'appliance di backup/ripristino comunica con la console di gestione utilizzando l'accesso privato Google. Ti consigliamo di abilitare l'accesso privato Google per ogni subnet in cui vuoi eseguire il deployment di un'appliance di backup/recupero.

La subnet in cui è implementato l'appliance di backup/recupero deve comunicare con un dominio univoco ospitato nel dominio backupdr.googleusercontent.com. Ti consigliamo di includere la seguente configurazione in Cloud DNS:

1. Crea una zona privata per il nome DNS backupdr.googleusercontent.com.
2. Crea un record A per il dominio backupdr.googleusercontent.com e includi ciascuno dei quattro indirizzi IP 199.36.153.8, 199.36.153.9, 199.36.153.10, 199.36.153.11 dalla subnet private.googleapis.com 199.36.153.8/30. Se utilizzi Controlli di servizio VPC, utilizza 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7 dalla subnet restricted.googleapis.com 199.36.153.4/30.
3. Crea un record CNAME per *.backupdr.googleusercontent.com che punta al nome di dominio backupdr.googleusercontent.com.

In questo modo, qualsiasi risoluzione DNS per il tuo dominio univoco della console di gestione viene attraversata utilizzando l&#39accesso privato Googleo.

Assicurati che le regole firewall abbiano una regola di uscita che consenta l'accesso su TCP 443 alla subnet 199.36.153.8/30 o 199.36.153.4/30. Inoltre, se hai una regola di uscita che consente tutto il traffico a 0.0.0.0/0, la connettività tra le appliance di backup/ripristino e la console di gestione dovrebbe andare a buon fine.

Crea un bucket Cloud Storage

Se vuoi proteggere database e file system utilizzando l'agente Backup and RE e poi copiare i backup in Cloud Storage per la conservazione a lungo termine, devi disporre di un bucket Cloud Storage. Ciò vale anche per i backup delle VM VMware creati utilizzando la protezione dei dati delle API di archiviazione VMware vSphere.

Autorizzazioni richieste per questa attività

Per creare un bucket Cloud Storage, devi disporre di un ruolo che contenga le seguenti autorizzazioni:

• storage.buckets.get
• storage.objects.create
• storage.objects.delete
• storage.objects.get
• storage.objects.list
• iam.serviceAccountKeys.create
I ruoli che dispongono di queste autorizzazioni includono Storage Admin e Editor.

Crea un bucket Cloud Storage utilizzando le seguenti istruzioni:

1. Nella console Google Cloud , vai alla pagina Bucket in Cloud Storage.
   

   Vai a Bucket

2. Fai clic su Crea bucket.

3. Inserisci un nome per il bucket.

4. Scegli una regione in cui archiviare i dati e fai clic su Continua.

5. Scegli una classe di archiviazione predefinita e fai clic su Continua. Utilizza Nearline quando la conservazione è di 30 giorni o meno oppure Coldline quando la conservazione è di 90 giorni o più. Se la conservazione è compresa tra 30 e 90 giorni, valuta l'utilizzo di Coldline.

6. Lascia selezionata l'opzione Controllo dell'accesso uniforme e fai clic su Continua. Non utilizzare l'opzione granulare.

7. Imposta gli strumenti di Protezione su Nessuna e fai clic su Continua. Non selezionare altre opzioni, in quanto non funzionano con il servizio di backup e DR.

8. Fai clic su Crea.

9. Verifica che il account di servizio abbia accesso al bucket:

   1. Seleziona il nuovo bucket per visualizzarne i dettagli.

   2. Vai ad Autorizzazioni.

   3. In Entità, assicurati che i nuovi service account siano elencati. In caso contrario, utilizza il pulsante Aggiungi per aggiungere gli account di servizio del lettore e dello scrittore come entità.

   Nota: l'account di servizio collegato all'appliance per impostazione predefinita non può accedere ai bucket creati dall'utente perché il ruolo Backup and DR Cloud Storage Operator viene aggiunto con una condizione IAM che consente di accedere ai bucket solo se il bucket creato inizia con lo stesso nome dell'appliance. Per questo motivo, devi aggiungere manualmente il account di servizio come entità per ogni bucket creato dall'utente che aggiungi a un pool OnVault.

Passaggi successivi

• Esegui il deployment del servizio di backup e DR