Préparer le déploiement du service Backup and DR

Avant de commencer

Nous vous recommandons de lire Planifier un déploiement de sauvegarde et de DR avant de commencer cette section.

Cette page détaille les exigences Google Cloud à respecter avant d'activer le service de sauvegarde et de reprise après sinistre Google Cloud , qui doit être effectué dans la consoleGoogle Cloud .

Toutes les tâches décrites sur cette page doivent être effectuées dans le projetGoogle Cloud dans lequel vous déployez votre appareil de sauvegarde/restauration. Si ce projet est un projet de service VPC partagé, certaines tâches sont effectuées dans le projet VPC et d'autres dans le projet de charge de travail.

Autoriser les projets relatifs aux images de confiance

Autorisations requises pour cette tâche

Il s'agit d'une règle au niveau de l'organisation qui peut ne pas être définie ou même n'exister. Pour modifier ce paramètre, votre utilisateur doit disposer des autorisations suivantes:

• orgpolicy.policies.create
• orgpolicy.policies.delete
• orgpolicy.policies.delete
• orgpolicy.policy.get
Exemples de rôles disposant de cette autorisation: Administrateur des règles d'administration

Si vous avez activé la règle constraint/compute.trustedImageProjects dans les règles Organisation, le projet source géré par Google pour les images utilisées pour déployer l'appareil de sauvegarde/restauration n'est pas autorisé. Vous devez personnaliser cette règle d'administration dans les projets où des appliances de sauvegarde/restauration sont déployés pour éviter d'obtenir une erreur de non-respect des règles lors du déploiement, comme indiqué dans les instructions suivantes:

1. Accédez à la page Règles d'administration, puis sélectionnez le projet dans lequel vous déployez vos appliances.

   Accéder à la page Règles d'administration

2. Dans la liste des règles, cliquez sur Définir les projets relatifs aux images de confiance.

3. Cliquez sur Modifier pour personnaliser les contraintes existantes associées aux images de confiance.

4. Sur la page Modifier, sélectionnez Personnaliser.

5. Choisissez l'une des trois possibilités suivantes:

   Stratégie héritée existante

   Si une stratégie héritée existe, procédez comme suit:

   1. Pour Application des règles, sélectionnez Fusionner avec le parent.

   2. Cliquez sur Ajouter une règle.

   3. Sélectionnez Personnalisées dans la liste déroulante Valeurs de règles pour définir la contrainte sur des projets d'image spécifiques.

   4. Sélectionnez Autoriser dans la liste déroulante Type de règle pour supprimer les restrictions sur les projets d'image spécifiés.

   5. Dans le champ Valeurs personnalisées, saisissez la valeur personnalisée sous la forme projects/backupdr-images.

   6. Cliquez sur OK.

   Règle Autoriser existante

   Si une règle Autoriser existe déjà, procédez comme suit:

   1. Laissez la valeur par défaut sélectionnée pour Application des règles.

   2. Sélectionnez la règle Autoriser existante.

      Attention :Si une règle existe, utilisez-la. N'essayez pas d'ajouter une règle supplémentaire.

   3. Cliquez sur Ajouter une valeur pour ajouter des projets d'image, puis saisissez la valeur projects/backupdr-images.

   4. Cliquez sur OK.

   Aucune règle ou stratégie existante

   Si aucune règle n'existe, sélectionnez Ajouter une règle, puis procédez comme suit:

   1. Laissez la valeur par défaut sélectionnée pour Application des règles.

   2. Sélectionnez Personnalisé dans la liste déroulante Valeurs de règles pour définir la contrainte sur des projets d'image spécifiques.

   3. Sélectionnez Autoriser dans la liste déroulante Type de règle pour supprimer les restrictions sur les projets d'image spécifiés.

   4. Dans le champ Valeurs personnalisées, saisissez la valeur personnalisée sous la forme projects/backupdr-images.

   5. Si vous définissez des contraintes au niveau du projet, celles-ci peuvent entrer en conflit avec les contraintes existantes définies sur votre organisation ou votre dossier.

   6. Cliquez sur Ajouter une valeur pour ajouter d'autres projets d'image, puis sur OK.

   7. Cliquez sur Enregistrer.

6. Cliquez sur Enregistrer pour appliquer la contrainte.

   Pour en savoir plus sur la création de règles d'administration d'administration, consultez la section Créer et gérer des règles d'administration.

Processus de déploiement

Pour lancer l'installation, le service de sauvegarde et de DR crée un compte de service pour exécuter le programme d'installation. Le compte de service nécessite des droits d'accès dans le projet hôte, le projet de service de l'appliance de sauvegarde/restauration et le projet de service de la console de gestion. Pour en savoir plus, consultez la page sur les comptes de service.

Le compte de service utilisé pour l'installation devient le compte de service de l'appliance de sauvegarde/restauration. Après l'installation, les autorisations du compte de service sont réduites aux seules autorisations requises par l'appliance de sauvegarde/restauration.

La console de gestion est déployée lorsque vous installez le premier système de sauvegarde/récupération. Vous pouvez déployer le service de sauvegarde et de reprise après sinistre dans un VPC partagé ou dans un VPC non partagé.

Service Backup and DR dans un VPC non partagé

Lorsque vous déployez la console de gestion et que le premier appareil de sauvegarde/restauration se trouve dans un seul projet avec un VPC non partagé, les trois composants du service Backup and DR se trouvent dans le même projet.

Remarque :Le CMEK doit être désactivé sur le projet où l'appliance de sauvegarde/restauration est déployée.

Si le VPC est partagé, consultez la section Service de sauvegarde et de reprise après sinistre dans un VPC partagé.

Activer les API requises pour l'installation dans un VPC non partagé

Avant d'activer les API requises pour l'installation dans un VPC non partagé, consultez les régions compatibles avec le déploiement du service Backup and DR. Consultez la section Régions où le service est disponible.

Pour exécuter le programme d'installation dans un VPC non partagé, les API suivantes doivent être activées. Pour activer les API, vous devez disposer du rôle Administrateur Service Usage.

API	Nom du service
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com
Workflows ^1	workflows.googleapis.com
Cloud Key Management Service (KMS)	cloudkms.googleapis.com
Identity and Access Management	iam.googleapis.com
Cloud Logging	logging.googleapis.com

¹ : le service Workflows est compatible avec les régions listées. Si le service Workflows n'est pas disponible dans la région où l'appliance de sauvegarde/restauration est déployée, le service Backup and DR est défini par défaut sur la région "us-central1". Si une règle d'administration est définie pour empêcher la création de ressources dans d'autres régions, vous devez la mettre à jour temporairement pour autoriser la création de ressources dans la région "us-central1". Vous pouvez limiter la région "us-central1" après le déploiement de l'appliance de sauvegarde/restauration.

Le compte utilisateur nécessite ces autorisations dans le projet de VPC non partagé.

Rôle préféré	Autorisations nécessaires
resourcemanager.projectIamAdmin (Administrateur de projet IAM)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setiamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Administrateur d'utilisation du service)	serviceusage.services.list
iam.serviceAccountUser (Utilisateur du compte de service)	iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Administrateur de compte de service)	iam.serviceAccounts.create
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
workflows.editor (Éditeur de workflows)	workflows.workflows.create
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
backupdr.admin (administrateur Backup and DR)	backupdr.*
Lecteur (édition de base)	Accorde les autorisations requises pour afficher la plupart des ressources Google Cloud .

Sauvegarde et reprise après sinistre dans un VPC partagé

Lorsque vous déployez la console de gestion et le premier appareil de sauvegarde/restauration dans un projet de VPC partagé, vous devez configurer ces trois projets dans le projet hôte ou dans un ou plusieurs projets de service:

Avant d'activer les API requises pour l'installation dans un VPC partagé, consultez les régions compatibles avec le déploiement de Backup and DR. Consultez la section Régions où le service est disponible.

Remarque :Le CMEK doit être désactivé dans le projet où un appareil de sauvegarde/restauration est déployé.

• Projet propriétaire du VPC: propriétaire du VPC sélectionné. Le propriétaire du VPC est toujours le projet hôte.

• Projet de console de gestion: c'est là que l'API Backup and DR est activée et que vous accédez à la console de gestion pour gérer les charges de travail.

• Projet d'appareil de sauvegarde/restauration: emplacement où l'appareil de sauvegarde/restauration est installé et où se trouvent généralement les ressources protégées.

Dans un VPC partagé, il peut s'agir d'un, de deux ou de trois projets.

Type	Propriétaire du VPC	Console de gestion	Appareil de sauvegarde/restauration
HHH	Projet hôte	Projet hôte	Projet hôte
HHS	Projet hôte	Projet hôte	Projet de service
HSH	Projet hôte	Projet de service	Projet hôte
HSS	Projet hôte	Projet de service	Projet de service
HS2	Projet hôte	Projet de service	Un autre projet de service

Descriptions des stratégies de déploiement

• HHH: VPC partagé. Le propriétaire du VPC, la console de gestion et l'appareil de sauvegarde/restauration se trouvent tous dans le projet hôte.

• HHS: VPC partagé. Le propriétaire du VPC et la console de gestion se trouvent dans le projet hôte, tandis que l'appareil de sauvegarde/restauration se trouve dans un projet de service.

• HSH: VPC partagé. Le propriétaire du VPC et l'appareil de sauvegarde/restauration se trouvent dans le projet hôte, tandis que la console de gestion se trouve dans un projet de service.

• HSS: VPC partagé. Le propriétaire du VPC se trouve dans le projet hôte, tandis que l'appareil de sauvegarde/restauration et la console de gestion se trouvent dans un projet de service.

• HS2: VPC partagé. Le propriétaire du VPC se trouve dans le projet hôte, tandis que l'appliliance de sauvegarde/restauration et la console de gestion se trouvent dans deux projets de service différents.

Activez ces API requises pour l'installation dans le projet hôte.

Pour exécuter le programme d'installation, les API suivantes doivent être activées. Pour activer les API, vous devez disposer du rôle Administrateur Service Usage.

API	Nom du service
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com

Activez ces API requises pour l'installation dans le projet de l'appareil de sauvegarde/restauration.

API	Nom du service
Compute Engine	compute.googleapis.com
Resource Manager	cloudresourcemanager.googleapis.com
Workflows ^1	workflows.googleapis.com
Cloud Key Management Service (KMS)	cloudkms.googleapis.com
Identity and Access Management	iam.googleapis.com
Cloud Logging	logging.googleapis.com

Remarque :L'appliliance de sauvegarde/restauration nécessite un accès aux API Google. Si les paramètres réseau du sous-réseau n'autorisent pas les VM à accéder aux API Google, le déploiement de l'appliance de sauvegarde/restauration échoue. Assurez-vous que le sous-réseau sur lequel vous avez déployé l'appareil de sauvegarde/restauration a accès aux API et services Google. Pour en savoir plus sur la configuration, consultez Configurer l'accès privé à Google|VPC.

¹ : le service Workflows est compatible avec les régions listées. Si le service Workflows n'est pas disponible dans une région où un appareil de sauvegarde/de récupération est déployé, le service Backup and DR est défini par défaut sur la région "us-central1". Si une règle d'administration de votre organisation est définie pour empêcher la création de ressources dans d'autres régions, vous devez la modifier temporairement pour autoriser la création de ressources dans la région "us-central1". Vous pouvez limiter la région "us-central1" après le déploiement de l'appliance de sauvegarde/restauration.

Le compte utilisateur nécessite ces autorisations dans le projet du propriétaire du VPC.

Remarque :Les rôles peuvent accorder plus d'autorisations que vous n'en avez besoin. Pour les autorisations minimales requises, n'attribuez que celles listées dans la colonne Autorisations requises.

Rôle préféré	Autorisations nécessaires
resourcemanager.projectIamAdmin (Administrateur de projet IAM)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setiamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Administrateur d'utilisation du service)	serviceusage.services.list

Le compte utilisateur nécessite ces autorisations dans le projet de la console de gestion.

Remarque :Les rôles peuvent accorder plus d'autorisations que vous n'en avez besoin. Pour les autorisations minimales requises, n'attribuez que celles indiquées dans la colonne Autorisations requises.

La console de gestion est déployée lorsque vous installez le premier système de sauvegarde/récupération.

Rôle préféré	Autorisations nécessaires
resourcemanager.projectIamAdmin (Administrateur de projet IAM)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setiamPolicy
	resourcemanager.projects.get
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
backupdr.admin (administrateur Backup and DR)	backupdr.*
Lecteur (édition de base)	Accorde les autorisations requises pour afficher la plupart des ressources Google Cloud .

Le compte utilisateur nécessite ces autorisations dans le projet de dispositif de sauvegarde/restauration.

Remarque :Les rôles peuvent accorder plus d'autorisations que vous n'en avez besoin. Pour les autorisations minimales requises, n'attribuez que celles indiquées dans la colonne Autorisations requises.

Rôle préféré	Autorisations nécessaires
resourcemanager.projectIamAdmin (Administrateur de projet IAM)	resourcemanager.projects.getIamPolicy
	resourcemanager.projects.setiamPolicy
	resourcemanager.projects.get
iam.serviceAccountUser (Utilisateur du compte de service)	iam.serviceAccounts.actAs
iam.serviceAccountAdmin (Administrateur de compte de service)	iam.serviceAccounts.create
	iam.serviceAccounts.delete
	iam.serviceAccounts.get
workflows.editor (Éditeur de workflows)	workflows.workflows.create
	workflows.workflows.delete
	workflows.executions.create
	workflows.executions.get
	workflows.operations.get
serviceusage.serviceUsageAdmin (Administrateur d'utilisation du service)	serviceusage.services.list

En plus des autorisations du compte utilisateur final, d'autres autorisations sont temporairement accordées au compte de service créé en votre nom jusqu'à la fin de l'installation.

Configurer les réseaux

Si aucun réseau VPC n'a été créé pour votre projet cible, vous devez en créer un avant de continuer. Pour en savoir plus, consultez Créer et modifier des réseaux de cloud privé virtuel (VPC). Vous avez besoin d'un sous-réseau dans chaque région où vous prévoyez de déployer un appareil de sauvegarde/de récupération. Celui-ci doit être attribué avec l'autorisation compute.networks.create.

Si vous déployez des appliances de sauvegarde/restauration sur plusieurs réseaux, utilisez des sous-réseaux qui ne partagent pas les mêmes plages d'adresses IP pour éviter que plusieurs appliances de sauvegarde/restauration aient la même adresse IP.

Configurer l'accès privé à Google

L'appliance de sauvegarde/restauration communique avec la console de gestion à l'aide de l'accès privé à Google. Nous vous recommandons d'activer l'accès privé à Google pour chaque sous-réseau sur lequel vous souhaitez déployer un appareil de sauvegarde/restauration.

Le sous-réseau sur lequel l'appliance de sauvegarde/restauration est déployée doit communiquer avec un domaine unique hébergé sous le domaine backupdr.googleusercontent.com. Nous vous recommandons d'inclure la configuration suivante dans Cloud DNS:

1. Créez une zone privée pour le nom DNS backupdr.googleusercontent.com.
2. Créez un enregistrement A pour le domaine backupdr.googleusercontent.com et incluez chacune des quatre adresses IP 199.36.153.8, 199.36.153.9, 199.36.153.10 et 199.36.153.11 du sous-réseau 199.36.153.8/30 private.googleapis.com. Si vous utilisez VPC Service Controls, utilisez 199.36.153.4, 199.36.153.5, 199.36.153.6 et 199.36.153.7 à partir du sous-réseau restricted.googleapis.com 199.36.153.4/30.
3. Créez un enregistrement CNAME pour *.backupdr.googleusercontent.com qui pointe vers le nom de domaine backupdr.googleusercontent.com.

Cela garantit que toute résolution DNS pour votre domaine de console de gestion unique est effectuée à l'aide de l'accès privé à Google.

Assurez-vous que vos règles de pare-feu comportent une règle de sortie qui autorise l'accès sur TCP 443 au sous-réseau 199.36.153.8/30 ou 199.36.153.4/30. De plus, si vous disposez d'une règle de sortie qui autorise tout le trafic vers 0.0.0.0/0, la connectivité entre les appareils de sauvegarde/restauration et la console de gestion devrait fonctionner.

Créer un bucket Cloud Storage

Vous avez besoin d'un bucket Cloud Storage si vous souhaitez protéger des bases de données et des systèmes de fichiers à l'aide de l'agent de sauvegarde et de reprise après sinistre, puis copier les sauvegardes dans Cloud Storage pour une conservation à long terme. Cela s'applique également aux sauvegardes de VM VMware créées à l'aide de la protection des données des API de stockage VMware vSphere.

Autorisations requises pour cette tâche

Pour créer un bucket Cloud Storage, vous devez disposer d'un rôle qui inclut les autorisations suivantes:

• storage.buckets.get
• storage.objects.create
• storage.objects.delete
• storage.objects.get
• storage.objects.list
• iam.serviceAccountKeys.create
Les rôles qui disposent de ces autorisations incluent Storage Admin et Editor.

Créez un bucket Cloud Storage en suivant les instructions suivantes:

1. Dans la console Google Cloud , accédez à la page Buckets de Cloud Storage.
   

   Accéder à la page "Buckets"

2. Cliquez sur Create bucket (Créer un bucket).

3. Saisissez un nom pour le bucket.

4. Choisissez une région dans laquelle stocker vos données, puis cliquez sur Continuer.

5. Choisissez une classe de stockage par défaut, puis cliquez sur Continuer. Utilisez Nearline lorsque la période de conservation est de 30 jours ou moins, ou Coldline lorsque la période de conservation est de 90 jours ou plus. Si la durée de conservation est comprise entre 30 et 90 jours, envisagez d'utiliser Coldline.

6. Laissez l'option Contrôle des accès uniforme sélectionnée, puis cliquez sur Continuer. N'utilisez pas de précision fine.

7. Laissez l'option Outils de protection définie sur Aucun, puis cliquez sur Continuer. Ne sélectionnez pas d'autres options, car elles ne fonctionnent pas avec le service de sauvegarde et de reprise après sinistre.

8. Cliquez sur Créer.

9. Vérifiez que votre compte de service a accès à votre bucket:

   1. Sélectionnez votre nouveau bucket pour afficher ses détails.

   2. Accédez à Autorisations.

   3. Sous Principals, assurez-vous que vos nouveaux comptes de service sont listés. Si ce n'est pas le cas, utilisez le bouton Ajouter pour ajouter les comptes de service lecteur et écrivain en tant que principaux.

   Remarque :Le compte de service associé à l'appliance par défaut ne peut pas accéder aux buckets créés par l'utilisateur, car le rôle Backup and DR Cloud Storage Operator est ajouté avec une condition IAM qui ne lui permet d'accéder aux buckets que si le bucket créé commence par le même nom que l'appliance. Par conséquent, vous devez ajouter manuellement le compte de service en tant que principal pour chaque bucket créé par l'utilisateur que vous ajoutez à un pool OnVault.

Étape suivante

• Déployer le service Backup and DR