Install the backup service component and configure permissions - Container Service for Kubernetes: Central de Documentação do Alibaba Cloud

O backup center permite fazer backup, restaurar e migrar aplicações, habilitando a recuperação de desastres e a migração em ambientes multi-cluster e de cloud híbrida. Para usar o backup center, instale o componente de service de backup migrate-controller e configure as permissões necessárias para ativar as funcionalidades de backup.

Pré-requisitos

Os cloud services necessários estão ativados.
- Cloud Backup está ativado. Para obter mais informações sobre faturamento, consulte Billing methods and billable items of Cloud Backup.
  
  Use Cloud Backup para fazer backup de dados em volumes de sistema de arquivos, como volumes que usam Object Storage Service (OSS), NAS, CPFS ou armazenamento local, além de volumes em cenários de cloud híbrida.
- Object Storage Service (OSS) está ativado. Para obter mais informações sobre faturamento, consulte Billing overview of OSS.
  
  Atualmente, o backup center usa apenas o Alibaba Cloud OSS para armazenar backups de aplicações.
- O disk snapshot service está ativado.
  
  A ativação do service de snapshot é gratuita. Após a criação de um snapshot, são cobradas taxas com base em pagamento conforme o uso, de acordo com o tamanho e o período de retenção. Para obter mais informações, consulte Snapshot billing.
Um cluster está disponível.
- Você tem um cluster executando Kubernetes 1.18 ou versão posterior. Para obter mais informações, consulte Create an ACK managed cluster, Create an ACK dedicated cluster (Discontinued), Create an ACK Serverless cluster, Create an ACK Edge cluster ou create a registered cluster and connect it to an on-premises data center. Para atualizar um cluster, consulte Manually upgrade an ACK cluster.
  
  Ao usar um ACK managed cluster, crie um bucket cujo nome comece com cnfs-oss-****, como cnfs-oss-backup. Isso simplifica o gerenciamento de permissões e oferece um modelo para armazenamento de backups.
- Você concluiu connected to the cluster by using kubectl.
- O backup center não oferece suporte a clusters que usam o plug-in FlexVolume. Para usar o recurso de backup, migre para Container Storage Interface (CSI).
  - Se o plug-in FlexVolume for destinado a um cluster sem armazenamento, migre o plug-in de armazenamento para CSI. Para obter mais informações, consulte Migrate FlexVolume to CSI for Clusters Without Storage.
  - Em outros casos, entre no grupo de usuários do DingTalk (ID do grupo DingTalk: 35532895) para obter suporte.

Contexto

À medida que mais aplicações passam a rodar no Kubernetes, os backups periódicos se tornam essenciais. O backup center ajuda a evitar interrupções prolongadas de service causadas por eventos inesperados. Diferentemente dos backups tradicionais de servidor ou disco, o backup nativo de aplicações Kubernetes foca nas próprias aplicações — incluindo dados, objetos de recursos, configurações e namespaces inteiros.

Observações

Para ACK Serverless Pro clusters e ACK Edge clusters, os requisitos de instalação e permissão do backup center são os mesmos que os de ACK managed clusters. Para obter mais informações, consulte ACK managed cluster.

ACK Serverless Basic clusters não oferecem suporte ao backup center.
O backup de volumes não é compatível com o backup center em ACK Serverless Pro clusters ou ACK Edge clusters.
Em um ACK Edge cluster, o componente de service de backup migrate-controller é instalado por padrão nos nós do lado cloud e acessa o OSS pela rede interna.

ACK managed cluster

Etapa 1: Instalar o migrate-controller

Nota

Se esta for a primeira vez que você usa o backup center, instale o componente de service de backup. Se o componente já estiver instalado, ignore esta etapa.

Acesse o ACK console. No painel de navegação à esquerda, clique em Clusters.
Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Operations > Application Backup.
Na página Application Backup, clique em Install.
O sistema detecta automaticamente um cofre de backup. Se nenhum for encontrado, crie um. Para obter mais informações, consulte Create a backup vault.
- Após a instalação do componente de service de backup, um namespace chamado csdr é criado. Não exclua esse namespace.
- Se uma versão mais antiga do componente estiver instalada, clique em Upgrade na página Application Backup para atualizá-lo para a versão mais recente.

Etapa 2: Configurar permissões

Permissões de OSS

Para um ACK managed cluster, recomenda-se usar um bucket OSS cujo nome comece com cnfs-oss-*** como cofre de backup do backup center. Nesse caso, nenhuma configuração de permissão de OSS é necessária. Se você usar outros buckets, configure as permissões de OSS conforme descrito na seção de cluster dedicado ACK. Para obter mais informações, consulte Step 1: Configure permissions.
Snapshot de disco e Cloud

Para ACK managed clusters, não é necessário configurar permissões para snapshots de disco ou Cloud Backup.

(Opcional) Etapa 3: Conceder permissão ao Cloud Backup para usar o API Gateway

Se você executar jobs de backup ou restauração para um cluster nas regiões China (Ulanqab), China (Heyuan) ou China (Guangzhou), conceda ao Cloud Backup permissão para usar o API Gateway. Essa autorização é necessária apenas uma vez por conta principal do Alibaba Cloud.

Nota

A partir da versão v1.8.4, o componente de backup migrate-controller oferece suporte ao uso do Cloud Backup para fazer backup de volumes em clusters nas regiões China (Ulanqab), China (Heyuan) ou China (Guangzhou). Os tipos de volume compatíveis incluem OSS, NAS, CPFS, armazenamento local e dados de volume em cenários de cloud híbrida.

Acesse o Cloud Backup console.
No painel de navegação à esquerda, escolha Backup > Container Backup.
No canto superior esquerdo da barra de navegação superior, selecione a região onde o cluster está localizado: China (Ulanqab), China (Heyuan) ou China (Guangzhou).
Na caixa de diálogo Cloud Backup Authorization, clique em Confirm.

ACK dedicated clusters

Etapa 1: Configurar permissões

Importante

O componente migrate-controller v1.7.7 e versões posteriores oferecem suporte à restauração entre regiões de backups de armazenamento em disco do Alibaba Cloud. Para usar esse recurso, adicione as permissões necessárias para snapshots de disco ECS ao usuário RAM original usando o seguinte modelo de política personalizada.

Crie um usuário RAM. Para obter mais informações, consulte Create a RAM user.

Crie uma política personalizada. Para obter mais informações, consulte Create a custom policy on the JSON tab.

Na política a seguir, oss:**** especifica as permissões para Object Storage Service (OSS), ecs:**** especifica as permissões para snapshots de disco ECS, e hbr:**** especifica as permissões para Cloud Backup.

View the custom policy

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:PutObject",
        "oss:GetObject",
        "oss:DeleteObject",
        "oss:GetBucket",
        "oss:ListObjects",
        "oss:ListBuckets",
        "oss:GetBucketStat"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecs:CreateSnapshot",
        "ecs:DeleteSnapshot",
        "ecs:DescribeSnapshotGroups",
        "ecs:CreateAutoSnapshotPolicy",
        "ecs:ApplyAutoSnapshotPolicy",
        "ecs:CancelAutoSnapshotPolicy",
        "ecs:DeleteAutoSnapshotPolicy",
        "ecs:DescribeAutoSnapshotPolicyEX",
        "ecs:ModifyAutoSnapshotPolicyEx",
        "ecs:DescribeSnapshots",
        "ecs:DescribeInstances",
        "ecs:CopySnapshot",
        "ecs:CreateSnapshotGroup",
        "ecs:DeleteSnapshotGroup"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "hbr:CreateVault",
        "hbr:CreateBackupJob",
        "hbr:DescribeVaults",
        "hbr:DescribeBackupJobs2",
        "hbr:DescribeRestoreJobs",
        "hbr:SearchHistoricalSnapshots",
        "hbr:CreateRestoreJob",
        "hbr:AddContainerCluster",
        "hbr:DescribeContainerCluster",
        "hbr:DescribeRestoreJobs2",
        "hbr:CancelBackupJob",
        "hbr:CancelRestoreJob"
      ],
      "Resource": "*"
    }
  ]
}

A política acima concede permissões em todos os buckets OSS. Se precisar especificar permissões de leitura e escrita para um bucket OSS específico, modifique a política conforme o exemplo a seguir. Substitua mybackups na política pelo nome do seu bucket OSS. Para obter mais informações sobre como configurar permissões OSS detalhadas, consulte Use RAM to control access to OSS.

View the custom policy

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "oss:PutObject",
        "oss:GetObject",
        "oss:DeleteObject",
        "oss:GetBucket",
        "oss:ListObjects",
        "oss:ListBuckets",
        "oss:GetBucketStat"
      ],
      "Resource": [
        "acs:oss:*:*:mybackups",
        "acs:oss:*:*:mybackups/*"
      ],
      "Effect": "Allow"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecs:CreateSnapshot",
        "ecs:DeleteSnapshot",
        "ecs:DescribeSnapshotGroups",
        "ecs:CreateAutoSnapshotPolicy",
        "ecs:ApplyAutoSnapshotPolicy",
        "ecs:CancelAutoSnapshotPolicy",
        "ecs:DeleteAutoSnapshotPolicy",
        "ecs:DescribeAutoSnapshotPolicyEX",
        "ecs:ModifyAutoSnapshotPolicyEx",
        "ecs:DescribeSnapshots",
        "ecs:DescribeInstances",
        "ecs:CopySnapshot",
        "ecs:CreateSnapshotGroup",
        "ecs:DeleteSnapshotGroup"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "hbr:CreateVault",
        "hbr:CreateBackupJob",
        "hbr:DescribeVaults",
        "hbr:DescribeBackupJobs2",
        "hbr:DescribeRestoreJobs",
        "hbr:SearchHistoricalSnapshots",
        "hbr:CreateRestoreJob",
        "hbr:AddContainerCluster",
        "hbr:DescribeContainerCluster",
        "hbr:DescribeRestoreJobs2",
        "hbr:CancelBackupJob",
        "hbr:CancelRestoreJob"
      ],
      "Resource": "*"
    }
  ]
}

Conceda as permissões personalizadas ao usuário RAM. Para obter mais informações, consulte Manage RAM user permissions.
Crie um par de AccessKey para o usuário RAM. Para obter mais informações, consulte Obtain an AccessKey pair.
Crie um Secret no ACK dedicated cluster.

Para garantir que o par de AccessKey seja usado com segurança apenas dentro do cluster, crie primeiro um Secret chamado alibaba-addon-secret no cluster com as informações do seu AccessKey. Isso reduz o risco de vazamento de credenciais.
1. Execute o seguinte comando para criar o namespace csdr:
```
kubectl create ns csdr
```
2. Execute o seguinte comando para criar o Secret chamado alibaba-addon-secret:
```
kubectl -n csdr create secret generic alibaba-addon-secret --from-literal='access-key-id=<your AccessKey ID>' --from-literal='access-key-secret=<your AccessKey Secret>'
```
  Substitua <your AccessKey ID> e <your AccessKey Secret> pelo par de AccessKey obtido na etapa anterior.
  Nota
  Se você criar o Secret após instalar o componente migrate-controller, reinicie o componente migrate-controller no namespace kube-system após criar o Secret.

Etapa 2: Instalar o componente migrate-controller

Consulte Install the migrate-controller backup service component.

(Opcional) Etapa 3: Conceder permissões de API Gateway ao Cloud Backup

Essa autorização é necessária somente ao fazer backup ou restaurar um cluster nas regiões China (Ulanqab), China (Heyuan) ou China (Guangzhou). Para obter instruções sobre como conceder as permissões, consulte (Optional) Step 3: Grant API Gateway permissions to Cloud Backup.

Registrar um cluster

Importante

As versões 1.7.7 e posteriores do migrate-controller oferecem suporte à restauração entre regiões para backups de disco do Alibaba Cloud. Atualize o onectl para a versão 1.1.0 e execute o comando onectl ram-user revoke --addon migrate-controller para atualizar as permissões do usuário RAM original.

Install components and configure permissions using onectl (Recommended)

Instale e configure o onectl em sua máquina local. Para obter mais informações, consulte Manage registered clusters using onectl.

Execute o seguinte comando para configurar permissões RAM para o componente migrate-controller.

onectl ram-user grant --addon migrate-controller

Saída esperada:

Ram policy ack-one-registered-cluster-policy-migrate-controller granted to ram user ack-one-user-ce313528c3 successfully.

Execute o seguinte comando para instalar o componente de service de backup.

onectl addon install migrate-controller

Saída esperada:

Addon migrate-controller, version **** installed.

O onectl configura permissões OSS para todos os buckets OSS. Se precisar configurar permissões para um bucket OSS específico, modifique as permissões geradas pelo onectl ou manually install components and configure permissions.

Modificar permissões OSS: substitua o conteúdo da política personalizada criada pelo seguinte. Para saber como modificar uma política, consulte Modify the content and description of a custom policy.

Nota

Substitua mybackups na política a seguir pelo nome do seu bucket OSS. Para obter mais informações sobre autorização OSS detalhada, consulte Manage OSS permissions using RAM.

Click to view the custom policy

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "oss:PutObject",
        "oss:GetObject",
        "oss:DeleteObject",
        "oss:GetBucket",
        "oss:ListObjects",
        "oss:ListBuckets",
        "oss:GetBucketStat"
      ],
      "Resource": [
        "acs:oss:*:*:mybackups",
        "acs:oss:*:*:mybackups/*"
      ],
      "Effect": "Allow"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecs:CreateSnapshot",
        "ecs:DeleteSnapshot",
        "ecs:DescribeSnapshotGroups",
        "ecs:CreateAutoSnapshotPolicy",
        "ecs:ApplyAutoSnapshotPolicy",
        "ecs:CancelAutoSnapshotPolicy",
        "ecs:DeleteAutoSnapshotPolicy",
        "ecs:DescribeAutoSnapshotPolicyEX",
        "ecs:ModifyAutoSnapshotPolicyEx",
        "ecs:DescribeSnapshots",
        "ecs:DescribeInstances",
        "ecs:CopySnapshot",
        "ecs:CreateSnapshotGroup",
        "ecs:DeleteSnapshotGroup"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "hbr:CreateVault",
        "hbr:CreateBackupJob",
        "hbr:DescribeVaults",
        "hbr:DescribeBackupJobs2",
        "hbr:DescribeRestoreJobs",
        "hbr:SearchHistoricalSnapshots",
        "hbr:CreateRestoreJob",
        "hbr:AddContainerCluster",
        "hbr:DescribeContainerCluster",
        "hbr:DescribeRestoreJobs2",
        "hbr:CancelBackupJob",
        "hbr:CancelRestoreJob"
      ],
      "Resource": "*"
    }
  ]
}

(Opcional) Configure uma rota para o bloco CIDR interno do OSS na mesma região que o cluster registrado.

Para clusters registrados conectados a uma VPC cloud por meio de CEN, Express Connect ou VPN, o backup center acessa automaticamente o nome de domínio OSS pela rede interna para aumentar a velocidade de recuperação de dados dos backups — desde que o cluster registrado e o OSS estejam na mesma região. Nesse caso, configure uma rota para o bloco CIDR interno do OSS dessa região.
- Para obter mais informações sobre como conectar um data center local a uma VPC cloud, consulte Introduction to connection methods.
- Para o mapeamento entre nomes de domínio internos do OSS e blocos CIDR VIP, consulte Access OSS using endpoints and bucket domain names.
(Opcional) Conceda ao service Cloud Backup permissões para usar o API Gateway.

Essas permissões são necessárias apenas ao fazer backup ou restaurar um cluster nas regiões China (Ulanqab), China (Heyuan) ou China (Guangzhou). Para obter instruções, consulte (Optional) Step 3: Grant the Cloud Backup service permissions to use API Gateway.

Install components and configure permissions from the console

Etapa 1: Configurar permissões

Crie um usuário RAM para o cluster registrado, conceda ao usuário RAM permissões para acessar recursos cloud e crie um AccessKey.

Crie um usuário RAM. Para obter mais informações, consulte Create a RAM user.

Crie uma política personalizada conforme o exemplo a seguir. Para obter mais informações, consulte Create a custom policy using the script editor.

Na política a seguir, as ações que começam com oss: são permissões OSS, as que começam com ecs: são permissões relacionadas a snapshots de disco ECS, e as que começam com hbr: são permissões de Cloud Backup.

Click to view the custom policy

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:PutObject",
        "oss:GetObject",
        "oss:DeleteObject",
        "oss:GetBucket",
        "oss:ListObjects",
        "oss:ListBuckets",
        "oss:GetBucketStat"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecs:CreateSnapshot",
        "ecs:DeleteSnapshot",
        "ecs:DescribeSnapshotGroups",
        "ecs:CreateAutoSnapshotPolicy",
        "ecs:ApplyAutoSnapshotPolicy",
        "ecs:CancelAutoSnapshotPolicy",
        "ecs:DeleteAutoSnapshotPolicy",
        "ecs:DescribeAutoSnapshotPolicyEX",
        "ecs:ModifyAutoSnapshotPolicyEx",
        "ecs:DescribeSnapshots",
        "ecs:DescribeInstances",
        "ecs:CopySnapshot",
        "ecs:CreateSnapshotGroup",
        "ecs:DeleteSnapshotGroup"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "hbr:CreateVault",
        "hbr:CreateBackupJob",
        "hbr:DescribeVaults",
        "hbr:DescribeBackupJobs2",
        "hbr:DescribeRestoreJobs",
        "hbr:SearchHistoricalSnapshots",
        "hbr:CreateRestoreJob",
        "hbr:AddContainerCluster",
        "hbr:DescribeContainerCluster",
        "hbr:DescribeRestoreJobs2",
        "hbr:CancelBackupJob",
        "hbr:CancelRestoreJob"
      ],
      "Resource": "*"
    }
  ]
}

A política acima concede permissões em todos os buckets OSS. Se precisar especificar permissões de leitura e escrita para um bucket OSS específico, modifique a política conforme o exemplo a seguir. Substitua mybackups na política pelo nome do seu bucket OSS. Para obter mais informações sobre autorização OSS detalhada, consulte Manage OSS permissions using RAM.

Click to view the custom policy

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "oss:PutObject",
        "oss:GetObject",
        "oss:DeleteObject",
        "oss:GetBucket",
        "oss:ListObjects",
        "oss:ListBuckets",
        "oss:GetBucketStat"
      ],
      "Resource": [
        "acs:oss:*:*:mybackups",
        "acs:oss:*:*:mybackups/*"
      ],
      "Effect": "Allow"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecs:CreateSnapshot",
        "ecs:DeleteSnapshot",
        "ecs:DescribeSnapshotGroups",
        "ecs:CreateAutoSnapshotPolicy",
        "ecs:ApplyAutoSnapshotPolicy",
        "ecs:CancelAutoSnapshotPolicy",
        "ecs:DeleteAutoSnapshotPolicy",
        "ecs:DescribeAutoSnapshotPolicyEX",
        "ecs:ModifyAutoSnapshotPolicyEx",
        "ecs:DescribeSnapshots",
        "ecs:DescribeInstances",
        "ecs:CopySnapshot",
        "ecs:CreateSnapshotGroup",
        "ecs:DeleteSnapshotGroup"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "hbr:CreateVault",
        "hbr:CreateBackupJob",
        "hbr:DescribeVaults",
        "hbr:DescribeBackupJobs2",
        "hbr:DescribeRestoreJobs",
        "hbr:SearchHistoricalSnapshots",
        "hbr:CreateRestoreJob",
        "hbr:AddContainerCluster",
        "hbr:DescribeContainerCluster",
        "hbr:DescribeRestoreJobs2",
        "hbr:CancelBackupJob",
        "hbr:CancelRestoreJob"
      ],
      "Resource": "*"
    }
  ]
}

Conceda a política personalizada criada ao usuário RAM. Para obter mais informações, consulte Manage permissions for a RAM user.
Crie um AccessKey para o usuário RAM. Para obter mais informações, consulte Obtain an AccessKey.
Crie um Secret no cluster.

Para garantir que as informações do AccessKey sejam usadas com segurança apenas dentro do cluster, implante primeiro um Secret chamado alibaba-addon-secret no cluster com as informações do seu AccessKey. Isso reduz o risco de vazamento de informações.
1. Execute o seguinte comando para criar o namespace csdr.
```
kubectl create ns csdr
```
2. Execute o seguinte comando para criar um Secret chamado alibaba-addon-secret.
```
kubectl -n csdr create secret generic alibaba-addon-secret --from-literal='access-key-id=<your AccessKey ID>' --from-literal='access-key-secret=<your AccessKey Secret>'
```
  Substitua <your AccessKey ID> e <your AccessKey Secret> no comando pelas informações do AccessKey obtidas na etapa anterior.

Etapa 2: Instalar o componente de service de backup migrate-controller

Consulte Install the migrate-controller backup service component.

(Opcional) Etapa 3: Configurar uma rota para o bloco CIDR interno do OSS na mesma região que o cluster registrado

Para clusters registrados conectados a uma VPC cloud por meio de CEN, Express Connect ou VPN, o backup center acessa automaticamente o nome de domínio OSS pela rede interna para aumentar a velocidade de recuperação de dados dos backups — desde que o cluster registrado e o OSS estejam na mesma região. Nesse caso, configure uma rota para o bloco CIDR interno do OSS dessa região.

Para obter mais informações sobre como conectar um data center local a uma VPC cloud, consulte Introduction to connection methods.
Para o mapeamento entre nomes de domínio internos do OSS e blocos CIDR VIP, consulte Access OSS using endpoints and bucket domain names.

(Opcional) Etapa 4: Conceder ao service Cloud Backup permissões para usar o API Gateway

Essas permissões são necessárias apenas ao fazer backup ou restaurar um cluster nas regiões China (Ulanqab), China (Heyuan) ou China (Guangzhou). Para obter instruções, consulte (Optional) Step 3: Grant the Cloud Backup service permissions to use API Gateway.