Sichern von SAP HANA-Datenbanken auf virtuellen Azure-Computern

In diesem Artikel wird beschrieben, wie SAP HANA-Datenbanken, die auf virtuellen Azure-Computern ausgeführt werden, in einem Azure Backup Recovery Services-Tresor gesichert werden.

SAP HANA-Datenbanken sind kritische Workloads, die eine niedrige Recovery Point Objective (RPO) und lange Aufbewahrungszeit erfordern. Sie können auf virtuellen Azure-Computern (VMs) ausgeführte SAP HANA-Datenbanken mithilfe von Azure Backup sichern.

Voraussetzungen

Informationen zum Einrichten der Datenbank für die Sicherung finden Sie in den Abschnitten zu den Voraussetzungen und den Aufgaben des Vorregistrierungsskripts.

Herstellen der Netzwerkverbindung

Eine SAP HANA-Datenbank auf einer Azure-VM benötigt für alle Vorgänge die Verbindung zum Azure Backup-Dienst, zu Azure Storage und zu Microsoft Entra ID. Dies kann durch die Verwendung privater Endpunkte oder durch die Gewährung des Zugriffs auf die erforderlichen öffentlichen IP-Adressen oder FQDNs erreicht werden. Wenn Sie keine ordnungsgemäße Verbindung zu den erforderlichen Azure-Diensten herstellen können, kann dies zu Fehlern bei Vorgängen wie der Datenbankerkennung, der Konfiguration von Sicherungen, der Durchführung von Sicherungen und der Wiederherstellung von Daten führen.

In der folgenden Tabelle sind die verschiedenen Alternativen zum Herstellen der Konnektivität aufgeführt:

Weitere Informationen zur Verwendung dieser Optionen finden Sie unten:

Private Endpunkte

Private Endpunkte ermöglichen Ihnen, sichere Verbindungen von Servern in einem virtuellen Netzwerk mit Ihrem Recovery Services-Tresor herzustellen. Der private Endpunkt verwendet eine IP-Adresse aus dem VNET-Adressraum für Ihren Tresor. Der Netzwerkdatenverkehr zwischen Ihren Ressourcen innerhalb des virtuellen Netzwerks und dem Tresor wird über das virtuelle Netzwerk und eine private Verbindung im Microsoft-Backbone-Netzwerk übertragen. Dadurch wird er vom öffentlichen Internet isoliert. Weitere Informationen zu privaten Endpunkten für Azure Backup finden Sie hier.

NSG-Tags

Wenn Sie Netzwerksicherheitsgruppen (NSG) verwenden, können Sie den ausgehenden Zugriff auf Azure Backup mithilfe des Diensttags AzureBackup zulassen. Zusätzlich zum Tag „Azure Backup“ müssen Sie auch Konnektivität für Authentifizierung und Datenübertragung zulassen, indem Sie ähnliche NSG-Regeln für Microsoft Entra ID (AzureActiveDirectory) und Azure Storage (Storage) erstellen. Die folgenden Schritte beschreiben das Vorgehen zum Erstellen einer Regel für das Azure Backup-Tag:

1. Navigieren Sie unter Alle Dienste zu Netzwerksicherheitsgruppen, und wählen Sie die Netzwerksicherheitsgruppe aus.

2. Wählen Sie unter Einstellungen die Option Ausgangssicherheitsregeln aus.

3. Wählen Sie Hinzufügen. Geben Sie die erforderlichen Informationen zum Erstellen einer neuen Regel ein, wie unter Einstellungen zu Sicherheitsregeln beschrieben. Stellen Sie sicher, dass die Option Ziel auf Diensttag und Zieldiensttag auf AzureBackup festgelegt wurde.

4. Wählen Sie Hinzufügen aus, um die neu erstellte Ausgangssicherheitsregel zu speichern.

Auf ähnliche Weise können Sie NSG-Ausgangssicherheitsregeln für Azure Storage und Microsoft Entra ID erstellen. Weitere Informationen zu Diensttags finden Sie in diesem Artikel.

Azure Firewall-Tags

Wenn Sie Azure Firewall verwenden, erstellen Sie eine Anwendungsregel mithilfe des Azure Firewall-FQDN-Tags AzureBackup. Dies erlaubt sämtlichen ausgehenden Zugriff auf Azure Backup.

Zulassen des Zugriffs auf Dienst-IP-Bereiche

Wenn Sie sich dafür entscheiden, Zugriffsdienst-IPs zuzulassen, beziehen Sie sich auf die IP-Bereiche in der hier verfügbaren JSON-Datei. Sie müssen den Zugriff auf die IP-Adressen für Azure Backup, Azure Storage und Microsoft Entra ID zulassen.

Zugriff auf Dienst-FQDNs

Sie können auch die folgenden FQDNs verwenden, um den Zugriff auf die erforderlichen Dienste von ihren Servern aus zuzulassen:

Verwenden eines HTTP-Proxyservers für das Weiterleiten von Datenverkehr

Verwenden eines HTTP-Proxyservers für Microsoft Entra-Datenverkehr

1. Navigieren Sie zum Ordner „opt/msawb/bin“.

2. Erstellen Sie eine neue JSON-Datei namens „ExtensionSettingsOverrides.json“.

3. Fügen Sie der JSON-Datei ein Schlüssel-Wert-Paar hinzu:

   {
       "UseProxyForAAD":true,
       "UseProxyForAzureBackup":false,
       "UseProxyForAzureStorage":false,
       "ProxyServerAddress":"http://xx.yy.zz.mm:port"
   }
   

4. Ändern Sie die Berechtigungen und den Besitz der Datei:

   chmod 750 ExtensionSettingsOverrides.json
   chown root:msawb ExtensionSettingsOverrides.json
   

5. Es muss kein Dienst neu gestartet werden. Der Azure Backup-Dienst versucht, den Microsoft Entra-Datenverkehr über den in der JSON-Datei angegebenen Proxyserver weiterzuleiten.

Verwenden von Ausgangsregeln

Wenn die Firewall- oder NSG-Einstellungen die “management.azure.com”-Domäne von Azure VM blockieren, schlagen Momentaufnahmensicherungen fehl.

Erstellen Sie die folgende ausgehende Regel und erlauben Sie dem Domänennamen, die Datenbanksicherung durchzuführen. Erfahren Sie, wie Sie Ausgangsregeln erstellen.

• Quelle: IP-Adresse der VM
• Ziel: Diensttag
• Zieldiensttag: AzureResourceManager

Erstellen eines Recovery Services-Tresors

Ein Recovery Services-Tresor ist eine Verwaltungsentität, in der die im Laufe der Zeit erstellten Wiederherstellungspunkte gespeichert werden, und bietet eine Benutzeroberfläche zum Durchführen sicherungsbezogener Vorgänge. Zu diesen Vorgängen gehören das Erstellen von bedarfsgesteuerten Sicherungen, das Durchführen von Wiederherstellungen und das Erstellen von Sicherungsrichtlinien.

So erstellen Sie einen Recovery Services-Tresor

1. Melden Sie sich beim Azure-Portal an.

2. Suchen Sie nach Backup Center, und navigieren Sie dann zum Dashboard Backup Center.

   

3. Wählen Sie im Bereich Übersicht die Option Tresor aus.

   

4. Wählen Sie Recovery Services-Tresor>Weiter aus.

   

5. Geben Sie im Bereich Recovery Services-Tresor die folgenden Werte ein:

   • Abonnement: Wählen Sie das zu verwendende Abonnement aus. Wenn Sie nur in einem Abonnement Mitglied sind, wird dessen Name angezeigt. Falls Sie nicht sicher sind, welches Abonnement geeignet ist, können Sie das Standardabonnement verwenden. Es sind nur dann mehrere Auswahlmöglichkeiten verfügbar, wenn Ihr Geschäfts-, Schul- oder Unikonto mehreren Azure-Abonnements zugeordnet ist.

   • Ressourcengruppe: Verwenden Sie eine vorhandene Ressourcengruppe, oder erstellen Sie eine neue Ressourcengruppe. Um eine Liste der verfügbaren Ressourcengruppen in Ihrem Abonnement anzuzeigen, wählen Sie Vorhandene verwenden und dann eine Ressource in der Dropdownliste aus. Zum Erstellen einer neuen Ressourcengruppe wählen Sie Neu erstellen aus und geben dann den Namen ein. Weitere Informationen zu Ressourcengruppen finden Sie unter Azure Resource Manager – Übersicht.

   • Tresorname: Geben Sie einen Anzeigenamen zum Identifizieren des Tresors ein. Der Name muss für das Azure-Abonnement eindeutig sein. Geben Sie einen Namen ein, der mindestens zwei, aber nicht mehr als 50 Zeichen enthält. Der Name muss mit einem Buchstaben beginnen und darf nur Buchstaben, Zahlen und Bindestriche enthalten.

   • Region: Wählen Sie die geografische Region für den Tresor aus. Damit Sie einen Tresor zum Schutz von Datenquellen erstellen können, muss sich der Tresor in derselben Region wie die Datenquelle befinden.

     Wichtig

     Wenn Sie den Speicherort der Datenquelle nicht kennen, schließen Sie das Fenster. Navigieren Sie zur Liste Ihrer Ressourcen im Portal. Falls Sie über Datenquellen in mehreren Regionen verfügen, erstellen Sie für jede Region einen Recovery Services-Tresor. Erstellen Sie den Tresor am ersten Speicherort, bevor Sie einen Tresor an einem weiteren Speicherort erstellen. Das Angeben von Speicherkonten zum Speichern der Sicherungsdaten ist nicht erforderlich. Der Recovery Services-Tresor und Azure Backup führen diesen Schritt automatisch aus.

   

6. Wählen Sie nach dem Angeben der Werte die Option Überprüfen + erstellen aus.

7. Um die Erstellung des Recovery Services-Tresors abzuschließen, wählen Sie Erstellen aus.

   Es kann einige Zeit dauern, denn Recovery Services-Tresor zu erstellen. Verfolgen Sie die Statusbenachrichtigungen rechts oben im Bereich Benachrichtigungen. Nach Abschluss des Erstellungsvorgangs wird der Tresor in der Liste mit den Recovery Services-Tresoren angezeigt. Wenn der Tresor nicht angezeigt wird, wählen Sie Aktualisieren aus.

   

Aktivieren der regionsübergreifenden Wiederherstellung

Im Recovery Services-Tresor können Sie die regionsübergreifende Wiederherstellung aktivieren. Informieren Sie sich darüber, wie Sie die regionsübergreifende Wiederherstellung aktivieren.

Erfahren Sie mehr über regionsübergreifende Wiederherstellung.

Ermitteln der Datenbanken

1. Wechseln Sie im Azure-Portal zu Backup Center, und wählen Sie + Sichern aus.

   

2. Wählen Sie SAP HANA in Azure-VM als Datenquellentyp, anschließend einen Recovery Services-Tresor, der für die Sicherung verwendet werden soll, und dann Weiter aus.

   

3. Wählen Sie Ermittlung starten aus. Dadurch wird die Ermittlung nicht geschützter Linux-VMs in der Tresorregion initiiert.

   • Nach der Ermittlung werden nicht geschützte VMs im Portal nach Name und Ressourcengruppe sortiert angezeigt.
   • Wenn ein virtueller Computer nicht wie erwartet aufgeführt wird, überprüfen Sie, ob er bereits in einem Tresor gesichert wird.
   • Mehrere virtuelle Computer können den gleichen Namen aufweisen, gehören dann aber verschiedenen Ressourcengruppen an.

   

4. Wählen Sie im Bereich Virtuelle Computer auswählen den Link zum Herunterladen des Skripts aus, das dem Azure Backup-Dienst Berechtigungen zum Zugreifen auf die SAP HANA-VMs für die Ermittlung von Datenbanken erteilt.

5. Führen Sie das Skript auf jedem virtuellen Computer aus, der die zu sichernden SAP HANA-Datenbanken hostet.

6. Wählen Sie nach dem Ausführen des Skripts auf den VMs im Bereich Virtuelle Computer auswählen die VMs aus. Wählen Sie dann DBs ermitteln aus.

7. Azure Backup ermittelt alle SAP HANA-Datenbanken auf dem virtuellen Computer. Während der Ermittlung registriert Azure Backup den virtuellen Computer beim Tresor und installiert eine Erweiterung auf dem VM. Für die Datenbank wird kein Agent installiert.

   

Konfigurieren der Sicherung

Aktivieren Sie jetzt die Sicherung.

1. Wählen Sie in Schritt 2 Sicherung konfigurieren aus.

   

2. Wählen Sie unter Zu sichernde Elemente auswählen alle Datenbanken, die Sie schützen möchten, und dann >OK aus.

   

3. Wählen Sie Sicherungsrichtlinie>Sicherungsrichtlinie auswählen aus, und erstellen Sie eine neue Sicherungsrichtlinie für die Datenbanken gemäß den unten stehenden Anweisungen.

   

4. Wählen Sie nach dem Erstellen der Richtlinie im Menü Sicherung die Option Sicherung aktivieren aus.

   

5. Verfolgen Sie den Fortschritt der Sicherungskonfiguration im Bereich Benachrichtigungen des Portals.

Erstellen einer Sicherungsrichtlinie

Eine Sicherungsrichtlinie legt fest, wann Sicherungen erstellt und wie lange sie aufbewahrt werden.

• Eine Richtlinie wird auf Tresorebene erstellt.
• Mehrere Tresore können die gleiche Sicherungsrichtlinie verwenden. Allerdings müssen Sie die Sicherungsrichtlinie auf jeden Tresor anwenden.

Legen Sie die Richtlinieneinstellungen wie folgt fest:

1. Geben Sie unter Richtlinienname einen Namen für die neue Richtlinie ein.

   

2. Wählen Sie in Richtlinie für vollständige Sicherung für SicherungshäufigkeitTäglich oder Wöchentlich aus.

   • Daily (Täglich): Wählen Sie die Uhrzeit und die Zeitzone für den Beginn des Sicherungsauftrags aus.
     • Sie müssen eine vollständige Sicherung ausführen. Diese Option kann nicht deaktiviert werden.
     • Klicken Sie auf Vollständige Sicherung, um die Richtlinie anzuzeigen.
     • Sie können keine differenziellen Sicherungen für tägliche vollständige Sicherungen erstellen.
   • Wöchentlich: Wählen Sie den Wochentag, die Uhrzeit und die Zeitzone für die Ausführung des Sicherungsauftrags aus.

   

3. Konfigurieren Sie unter Beibehaltungsdauer die Aufbewahrungseinstellungen für die vollständige Sicherung.

   • Standardmäßig sind alle Optionen ausgewählt. Deaktivieren Sie alle Optionen für die Beibehaltungsdauer, die Sie nicht verwenden möchten, und legen Sie die gewünschten Grenzwerte fest.
   • Die Mindestaufbewahrungsdauer beträgt für alle Sicherungstypen (vollständig/differenziell/Protokoll) sieben Tage.
   • Wiederherstellungspunkte werden unter Berücksichtigung ihrer Beibehaltungsdauer mit einer Markierung versehen. Wenn Sie beispielsweise eine tägliche vollständige Sicherung wählen, wird pro Tag nur eine vollständige Sicherung ausgelöst.
   • Die Sicherung für einen bestimmten Tag wird auf Grundlage der wöchentlichen Beibehaltungsdauer und der entsprechenden Einstellung markiert und beibehalten.
   • Mit der monatlichen und jährlichen Beibehaltungsdauer verhält es sich ähnlich.

4. Wählen Sie im Menü Richtlinie für vollständige SicherungOK aus, um die Einstellungen zu übernehmen.

5. Wählen Sie Differenzielle Sicherung aus, um eine Richtlinie für eine differenzielle Sicherung hinzuzufügen.

6. Wählen Sie in Richtlinie für differenzielle Sicherung die Option Aktivieren aus, um die Einstellungen für Häufigkeit und Beibehaltung vorzunehmen.

   • Pro Tag kann höchstens eine differenzielle Sicherung ausgelöst werden.
   • Differenzielle Sicherungen können maximal 180 Tage aufbewahrt werden. Wenn Sie eine längere Aufbewahrung wünschen, müssen Sie vollständige Sicherungen verwenden.

   

   Hinweis

   Sie können entweder „differenziell“ oder „inkrementell“ für die tägliche Sicherung auswählen, aber nicht beide Optionen.

7. Wählen Sie unter Richtlinie zur inkrementellen Sicherung die Option Aktivieren aus, um die Einstellungen für Häufigkeit und Beibehaltung vorzunehmen.

   • Pro Tag kann höchstens eine inkrementelle Sicherung ausgelöst werden.
   • Inkrementelle Sicherungen können maximal 180 Tage aufbewahrt werden. Wenn Sie eine längere Aufbewahrung wünschen, müssen Sie vollständige Sicherungen verwenden.

   

8. Wählen Sie OK aus, um die Richtlinie zu speichern und zum Hauptmenü Sicherungsrichtlinie zurückzukehren.

9. Wählen Sie Protokollsicherung aus, um eine Richtlinie für eine Transaktionsprotokollsicherung hinzuzufügen.

   • Wählen Sie unter Protokollsicherung die Option Aktivieren aus. Diese Option kann nicht deaktiviert werden, da SAP HANA alle Protokollsicherungen verwaltet.
   • Legen Sie die Häufigkeits- und Aufbewahrungssteuerelemente fest.

   Hinweis

   Protokollsicherungen werden erst nach dem erfolgreichen Abschluss einer vollständigen Sicherung übertragen.

10. Wählen Sie OK aus, um die Richtlinie zu speichern und zum Hauptmenü Sicherungsrichtlinie zurückzukehren.

11. Wählen Sie nach dem Definieren der Sicherungsrichtlinie OK aus.

Ausführen einer On-Demand-Sicherung

Sicherungen werden gemäß dem Richtlinienzeitplan ausgeführt. Informieren Sie sich über das Durchführen einer bedarfsgesteuerten Sicherung.

Durchführen einer Sicherung von nativen SAP HANA-Clients für eine Datenbank mit Azure Backup

Sie können eine bedarfsgesteuerte Sicherung mithilfe von nativen SAP HANA-Clients im lokalen Dateisystem statt mit Backint durchführen. Erfahren Sie mehr darüber, wie Sie Vorgänge mit nativen SAP-Clients verwalten.

Konfigurieren von Multistreaming-Datensicherungen für einen höheren Durchsatz mithilfe von Backint

Informationen zum Konfigurieren von Multistreaming-Datensicherungen finden Sie in der SAP-Dokumentation.

Weitere Informationen zu unterstützten Szenarios.

Überprüfen des Sicherungsstatus

Azure Backup synchronisiert regelmäßig die Datenquelle zwischen der auf dem virtuellen Computer installierten Erweiterung und dem Azure Backup-Dienst und zeigt den Sicherungsstatus im Azure-Portal an. Die folgende Tabelle enthält die (vier) Sicherungsstatusoptionen für eine Datenquelle:

Üblicherweise wird die Synchronisierung im Stundentakt durchgeführt. Auf der Erweiterungsebene führt Azure Backup jedoch alle fünf Minuten eine Abfrage durch, um nach Statusänderungen zwischen der neuesten Sicherung und der vorherigen Sicherung zu suchen. Wenn also beispielsweise die vorherige Sicherung erfolgreich war, die neueste Sicherung aber nicht, synchronisiert Azure Backup diese Information mit dem Dienst, um den Sicherungsstatus im Azure-Portal entsprechend auf Fehlerfrei oder Fehlerhaft zu aktualisieren.

Wenn für mehr als zwei Stunden keine Datensynchronisierung mit dem Azure Backup-Dienst erfolgt, lautet der Sicherungsstatus in Azure Backup NotReachable. Dieses Szenario kann auftreten, wenn der virtuelle Computer für einen längeren Zeitraum heruntergefahren wird oder ein Netzwerkkonnektivitätsproblem auf dem virtuellen Computer vorliegt, das die Synchronisierung verhindert. Sobald die VM wieder betriebsbereit ist und die Erweiterungsdienste neu gestartet wurden, wird die Datensynchronisierung mit dem Dienst fortgesetzt, und der Sicherungsstatus wird basierend auf dem Status der letzten Sicherung in Fehlerfrei oder Fehlerhaft geändert.

Nächste Schritte

• Erfahren Sie, wie Sie nur auf virtuellen Azure-Computern ausgeführte SAP HANA-Datenbanken wiederherstellen können.
• Verwalten und Überwachen gesicherter SAP HANA-Datenbanken