Vad är Azure Kubernetes Service Backup?

Azure Kubernetes Service-säkerhetskopiering (AKS) är en enkel, molnbaserad process som du kan använda för att säkerhetskopiera och återställa containerbaserade program och data som körs i ditt AKS-kluster. Du kan konfigurera schemalagda säkerhetskopieringar för klustertillstånd och programdata som lagras på beständiga volymer i CSI-drivrutinsbaserad Azure Disk Storage. Lösningen ger dig detaljerad kontroll för att välja ett specifikt namnområde eller ett helt kluster för säkerhetskopiering eller återställning genom att lagra säkerhetskopior lokalt i en blobcontainer och som ögonblicksbilder av diskar. Du kan använda AKS-säkerhetskopiering för scenarier från slutpunkt till slutpunkt, inklusive driftåterställning, kloning av utvecklar-/testmiljöer och scenarier för klusteruppgradering.

AKS-säkerhetskopiering integreras med Backup Center i Azure, vilket ger dig en enda vy som kan hjälpa dig att styra, övervaka, använda och analysera säkerhetskopior i stor skala. Dina säkerhetskopior är också tillgängliga i Azure Portal under Inställningar på tjänstmenyn för en AKS-instans.

Hur fungerar AKS-säkerhetskopiering?

Använd AKS-säkerhetskopiering för att säkerhetskopiera dina AKS-arbetsbelastningar och beständiga volymer som distribueras i AKS-kluster. Lösningen kräver att säkerhetskopieringstillägget installeras i AKS-klustret. Backup-valvet kommunicerar med tillägget för att slutföra åtgärder som är relaterade till säkerhetskopiering och återställning. Det är obligatoriskt att använda tillägget Säkerhetskopiering och tillägget måste installeras i AKS-klustret för att aktivera säkerhetskopiering och återställning för klustret. När du konfigurerar AKS-säkerhetskopiering lägger du till värden för ett lagringskonto och en blobcontainer där säkerhetskopior lagras.

Tillsammans med tillägget Säkerhetskopiering skapas en användaridentitet (kallas en tilläggsidentitet) i AKS-klustrets hanterade resursgrupp. Tilläggsidentiteten tilldelas rollen Lagringskontodeltagare på lagringskontot där säkerhetskopior lagras i en blobcontainer.

För att stödja offentliga, privata och auktoriserade IP-baserade kluster kräver AKS-säkerhetskopiering att betrodd åtkomst är aktiverad mellan AKS-klustret och säkerhetskopieringsvalvet. Med betrodd åtkomst kan säkerhetskopieringsvalvet komma åt AKS-klustret på grund av specifika behörigheter som tilldelats det för säkerhetskopieringsåtgärder. Mer information om betrodd AKS-åtkomst finns i Aktivera Azure-resurser för åtkomst till AKS-kluster med hjälp av betrodd åtkomst.

När säkerhetskopieringstillägget har installerats och betrodd åtkomst har aktiverats kan du konfigurera schemalagda säkerhetskopieringar för klustren enligt din säkerhetskopieringsprincip. Du kan också återställa säkerhetskopiorna till det ursprungliga klustret eller till ett alternativt kluster som finns i samma prenumeration och region. Du kan välja ett specifikt namnområde eller ett helt kluster som en konfiguration för säkerhetskopiering och återställning när du konfigurerar den specifika åtgärden.

Säkerhetskopieringslösningen möjliggör säkerhetskopieringsåtgärder för dina AKS-datakällor som distribueras i klustret och för de data som lagras i den beständiga volymen för klustret och lagrar sedan säkerhetskopiorna i en blobcontainer. De diskbaserade beständiga volymerna säkerhetskopieras som diskögonblicksbilder i en resursgrupp för ögonblicksbilder. Ögonblicksbilderna och klustertillståndet i en blob kombineras båda för att bilda en återställningspunkt som lagras i din klientorganisation med namnet Operational Tier. Du kan också konvertera säkerhetskopior (första lyckade säkerhetskopieringen på en dag, vecka, månad eller år) på driftnivån till blobar och sedan flytta dem till ett valv (utanför din klientorganisation) en gång om dagen.

Konfigurera säkerhetskopiering

• Om du vill konfigurera säkerhetskopior för AKS-kluster skapar du först ett säkerhetskopieringsvalv. Valvet ger dig en samlad vy över de säkerhetskopior som har konfigurerats för olika datakällor. AKS-säkerhetskopiering stöder säkerhetskopiering på både driftnivå och valvnivå.

  Kommentar

  • Säkerhetskopieringsvalvet och AKS-klustret som du vill säkerhetskopiera eller återställa måste finnas i samma region och prenumeration.
  • Inställningen för lagringsredundans för Backup Vault (LRS/GRS) gäller endast för säkerhetskopior som lagras på valvnivå. Om du vill använda säkerhetskopior för haveriberedskap anger du lagringsredundansen som GRS med återställning mellan regioner aktiverad.

• AKS-säkerhetskopiering utlöser automatiskt ett schemalagt säkerhetskopieringsjobb. Jobbet kopierar klusterresurserna till en blobcontainer och skapar en inkrementell ögonblicksbild av diskbaserade beständiga volymer enligt säkerhetskopieringsfrekvensen. Säkerhetskopiorna behålls på den operativa nivån och valvnivån enligt den kvarhållningstid som definieras i säkerhetskopieringsprincipen och tas bort när varaktigheten är över.

  Kommentar

  Du kan använda AKS-säkerhetskopiering för att skapa flera säkerhetskopieringsinstanser för ett enda AKS-kluster med hjälp av olika säkerhetskopieringskonfigurationer per säkerhetskopieringsinstans. Varje säkerhetskopieringsinstans av ett AKS-kluster bör dock skapas antingen i ett annat säkerhetskopieringsvalv eller med hjälp av en separat säkerhetskopieringsprincip i samma säkerhetskopieringsvalv.

Hantera säkerhetskopiering

När säkerhetskopieringskonfigurationen för ett AKS-kluster är klar skapas en säkerhetskopieringsinstans i säkerhetskopieringsvalvet. Du kan visa säkerhetskopieringsinstansen för klustret i avsnittet Säkerhetskopiering för en AKS-instans i Azure Portal. Du kan utföra alla säkerhetskopieringsrelaterade åtgärder för instansen, till exempel initiera återställningar, övervaka, stoppa skydd och så vidare via motsvarande säkerhetskopieringsinstans.

AKS-säkerhetskopiering integreras också direkt med Backup Center för att hjälpa dig att hantera skydd för alla dina AKS-kluster och andra arbetsbelastningar som stöds av säkerhetskopiering centralt. Säkerhetskopieringscenter är en enda vy för alla dina säkerhetskopieringskrav, till exempel övervakningsjobb och tillståndet för säkerhetskopieringar och återställningar. Säkerhetskopieringscenter hjälper dig att säkerställa efterlevnad och styrning, analysera användningen av säkerhetskopiering och utföra kritiska åtgärder för att säkerhetskopiera och återställa data.

AKS-säkerhetskopiering använder hanterad identitet för att få åtkomst till andra Azure-resurser. För att konfigurera säkerhetskopiering av ett AKS-kluster och återställa från en tidigare säkerhetskopia kräver säkerhetskopieringsvalvets hanterade identitet en uppsättning behörigheter för AKS-klustret och resursgruppen för ögonblicksbilder där ögonblicksbilder skapas och hanteras. För närvarande kräver AKS-klustret en uppsättning behörigheter för resursgruppen för ögonblicksbilder. Dessutom skapar säkerhetskopieringstillägget en användaridentitet och tilldelar en uppsättning behörigheter för att komma åt lagringskontot där säkerhetskopior lagras i en blob. Du kan bevilja behörigheter till den hanterade identiteten med hjälp av rollbaserad åtkomstkontroll i Azure (Azure RBAC). En hanterad identitet är en särskild typ av tjänstprincip som endast kan användas med Azure-resurser. Läs mer om hanterade identiteter.

Återställ från en säkerhetskopia

Du kan återställa data från vilken tidpunkt som helst för vilken återställningspunkt som helst. En återställningspunkt skapas när en säkerhetskopieringsinstans är i ett skyddat tillstånd och kan användas för att återställa data tills den behålls av säkerhetskopieringsprincipen.

Med Azure Backup kan du återställa alla objekt som säkerhetskopieras eller använda detaljerade kontroller för att välja specifika objekt från säkerhetskopiorna genom att välja namnområden och andra filteralternativ. Du kan också återställa det ursprungliga AKS-klustret (klustret som säkerhetskopieras) eller i ett alternativt AKS-kluster. Du kan återställa säkerhetskopior som lagras på drift- och valvnivå till ett kluster i samma och en annan prenumeration. Endast säkerhetskopior som lagras på valvnivå kan användas för att återställa till ett kluster i en annan region (Azure Paired Region).

Om du vill återställa säkerhetskopiering som lagras på valvnivå måste du ange en mellanlagringsplats där säkerhetskopieringsdata är hydratiserade. Den här mellanlagringsplatsen innehåller en resursgrupp och ett lagringskonto i samma region och en prenumeration som målklustret för återställning. Under återställningen skapas specifika resurser (blobcontainer, diskar och diskögonblicksbilder) som en del av hydreringen, som sedan rensas när återställningen har slutförts.

Azure Backup för AKS stöder för närvarande följande två alternativ när du utför en återställningsåtgärd när resurskonflikter inträffar (säkerhetskopierade resurser har samma namn som resursen i AKS-målklustret). Du kan välja något av dessa alternativ när du definierar återställningskonfigurationen.

1. Hoppa över: Det här alternativet är markerat som standard. Om du till exempel har säkerhetskopierat en PVC med namnet pvc-azuredisk och du återställer den i ett målkluster som har PVC med samma namn hoppar säkerhetskopieringstillägget över återställningen av det säkerhetskopierade beständiga volymanspråket (PVC). I sådana scenarier rekommenderar vi att du tar bort resursen från klustret och sedan utför återställningsåtgärden så att säkerhetskopierade objekt endast är tillgängliga i klustret och inte hoppas över.

2. Korrigering: Med det här alternativet kan du korrigera föränderlig variabel i den säkerhetskopierade resursen på resursen i målklustret. Om du vill uppdatera antalet repliker i målklustret kan du välja att korrigera som en åtgärd.

Använda anpassade krokar för säkerhetskopiering och återställning

Du kan använda anpassade krokar för att ta programkonsekventa ögonblicksbilder av volymer som används för databaser som distribueras som containerbaserade arbetsbelastningar.

Vad är anpassade krokar?

Du kan använda AKS-säkerhetskopiering för att köra anpassade krokar som en del av en säkerhetskopierings- och återställningsåtgärd. Hooks är kommandon som är konfigurerade för att köra ett eller flera kommandon som ska köras i en podd under en container under en säkerhetskopieringsåtgärd eller efter återställningen. Du definierar dessa krokar som en anpassad resurs och distribuerar dem i det AKS-kluster som du vill säkerhetskopiera eller återställa. När den anpassade resursen distribueras i AKS-klustret i det obligatoriska namnområdet anger du informationen som indata för flödet för att konfigurera säkerhetskopiering och återställning. Säkerhetskopieringstillägget kör krokarna enligt definitionen i en YAML-fil.

Säkerhetskopiering i AKS har två typer av krokar:

• Säkerhetskopieringskrokar
• Återställa krokar

Säkerhetskopieringskrokar

I en säkerhetskopieringskrok kan du konfigurera kommandona för att köra kroken innan någon anpassad åtgärdsbearbetning (pre-hooks) eller när alla anpassade åtgärder har slutförts och eventuella ytterligare objekt som anges av anpassade åtgärder säkerhetskopieras (efter hooks).

Här är till exempel YAML-mallen för en anpassad resurs som ska distribueras med hjälp av säkerhetskopieringskrokar:

apiVersion: clusterbackup.dataprotection.microsoft.com/v1alpha1
kind: BackupHook
metadata:
  # BackupHook CR Name and Namespace
  name: bkphookname0
  namespace: default
spec:
  # BackupHook is a list of hooks to execute before and after backing up a resource.
  backupHook:
    # BackupHook Name. This is the name of the hook that will be executed during backup.
    # compulsory
  - name: hook1
    # Namespaces where this hook will be executed.
    includedNamespaces: 
    - hrweb
    excludedNamespaces:
    labelSelector:
    # PreHooks is a list of BackupResourceHooks to execute prior to backing up an item.
    preHooks:
      - exec:
          # Container is the container in the pod where the command should be executed.
          container: webcontainer
          # Command is the command and arguments to execute.
          command:
            - /bin/uname
            - -a
          # OnError specifies how Velero should behave if it encounters an error executing this hook  
          onError: Continue
          # Timeout is the amount of time to wait for the hook to complete before considering it failed.
          timeout: 10s
      - exec:
          command:
            - /bin/bash
            - -c
            - echo hello > hello.txt && echo goodbye > goodbye.txt
          container: webcontainer
          onError: Continue
    # PostHooks is a list of BackupResourceHooks to execute after backing up an item.
    postHooks:
      - exec:
          container: webcontainer
          command:
            - /bin/uname
            - -a
          onError: Continue
          timeout: 10s

Återställa krokar

I skriptet för återställningskroken skrivs anpassade kommandon eller skript för att köras i containrarna i en återställd AKS-podd.

Här är YAML-mallen för en anpassad resurs som ska distribueras med hjälp av återställningskrokar:

apiVersion: clusterbackup.dataprotection.microsoft.com/v1alpha1
kind: RestoreHook
metadata:
  name: restorehookname0
  namespace: default
spec:
  # RestoreHook is a list of hooks to execute after restoring a resource.
  restoreHook:
    # Name is the name of this hook.
  - name: myhook-1  
    # Restored Namespaces where this hook will be executed.
    includedNamespaces: 
    excludedNamespaces:
    labelSelector:
    # PostHooks is a list of RestoreResourceHooks to execute during and after restoring a resource.
    postHooks:
      - exec:
          # Container is the container in the pod where the command should be executed.
          container: webcontainer
          # Command is the command and arguments to execute from within a container after a pod has been restored.
          command:
            - /bin/bash
            - -c
            - echo hello > hello.txt && echo goodbye > goodbye.txt
          # OnError specifies how Velero should behave if it encounters an error executing this hook
          # default value is Continue
          onError: Continue
          # Timeout is the amount of time to wait for the hook to complete before considering it failed.
          execTimeout: 30s
          # WaitTimeout defines the maximum amount of time Velero should wait for the container to be ready before attempting to run the command.
          waitTimeout: 5m

Lär dig hur du använder krokar under AKS-säkerhetskopiering.

Ändra resurs vid återställning av säkerhetskopior till AKS-kluster

Du kan använda funktionen Resursändring för att ändra säkerhetskopierade Kubernetes-resurser under återställningen genom att ange JSON-korrigeringar som configmap distribuerade i AKS-klustret.

Skapa och tillämpa en konfigurationsmapp för resursmodifierare under återställningen

Följ dessa steg för att skapa och tillämpa resursändring:

1. Skapa konfigurationskarta för resursmodifierare.

   Du måste skapa en konfigurationskarta i önskat namnområde från en YAML-fil som definierade resursmodifierare.

   Exempel för att skapa kommando:

   version: v1
   resourceModifierRules:
   - conditions:
       groupResource: persistentvolumeclaims
       resourceNameRegex: "^mysql.*$"
       namespaces:
       - bar
       - foo
       labelSelector:
           matchLabels:
             foo: bar
     patches:
     - operation: replace
       path: "/spec/storageClassName"
       value: "premium"
     - operation: remove
       path: "/metadata/labels/test"
   

   • Ovanstående konfigurationskarta tillämpar JSON-korrigeringen på alla beständiga volymkopior i namnrymdsfältet och foo med namnet som börjar med mysql och match label foo: bar. JSON-korrigeringen storageClassName ersätter med premium och tar bort etiketten test från beständiga volymkopior.
   • Här är namnområdet det ursprungliga namnområdet för den säkerhetskopierade resursen och inte det nya namnområdet där resursen ska återställas.
   • Du kan ange flera JSON-korrigeringar för en viss resurs. Korrigeringarna tillämpas enligt den ordning som anges i konfigurationskartan. En efterföljande korrigering tillämpas i ordning. Om flera korrigeringar anges för samma sökväg åsidosätter den senaste korrigeringen de tidigare korrigeringarna.
   • Du kan ange flera resourceModifierRules i konfigurationskartan. Reglerna tillämpas enligt den ordning som anges i konfigurationskartan.

2. Skapa en referens för resursmodifierare i återställningskonfigurationen

   När du utför en återställningsåtgärd anger du namnet på ConfigMap och namnområdet där det distribueras som en del av återställningskonfigurationen. Den här informationen måste anges under Regler för resursmodifierare.

   

Åtgärder som stöds av resursmodifierare

• Lägg till

  Du kan använda åtgärden Lägg till för att lägga till ett nytt block i resurs-json. I exemplet nedan lägger åtgärden till en ny containerinformation i specifikationen med en distribution.

  version: v1
  resourceModifierRules:
  - conditions:
      groupResource: deployments.apps
      resourceNameRegex: "^test-.*$"
      namespaces:
      - bar
      - foo
    patches:
      # Dealing with complex values by escaping the yaml
    - operation: add
      path: "/spec/template/spec/containers/0"
      value: "{\"name\": \"nginx\", \"image\": \"nginx:1.14.2\", \"ports\": [{\"containerPort\": 80}]}"
  

• Ta bort

  Du kan använda åtgärden Ta bort för att ta bort en nyckel från resurs-json. I exemplet nedan tar åtgärden bort etiketten med test som nyckel.

  version: v1
  resourceModifierRules:
  - conditions:
        groupResource: persistentvolumeclaims
        resourceNameRegex: "^mysql.*$"
        namespaces:
        - bar
        - foo
        labelSelector:
          matchLabels:
              foo: bar
    patches:
    - operation: remove
      path: "/metadata/labels/test"
  

• Replace

  Du kan använda åtgärden Ersätt för att ersätta ett värde för sökvägen som anges till en annan. I exemplet nedan ersätter åtgärden storageClassName i det beständiga volymanspråket med premium.

  version: v1
  resourceModifierRules:
  - conditions:
       groupResource: persistentvolumeclaims
       resourceNameRegex: "^mysql.*$"
       namespaces:
       - bar
       - foo
       labelSelector:
          matchLabels:
             foo: bar
    patches:
    - operation: replace
      path: "/spec/storageClassName"
      value: "premium"
  

• Kopiera

  Du kan använda åtgärden Kopiera för att kopiera ett värde från en sökväg från de resurser som definierats till en annan sökväg.

  version: v1
  resourceModifierRules:
  - conditions:
      groupResource: deployments.apps
      resourceNameRegex: "^test-.*$"
      namespaces:
      - bar
      - foo
    patches:
    - operation: copy
      from: "/spec/template/spec/containers/0"
      path: "/spec/template/spec/containers/1"
  

•   Testa

  Du kan använda teståtgärden för att kontrollera om ett visst värde finns i resursen. Om värdet finns tillämpas korrigeringen. Om värdet inte finns tillämpas inte korrigeringen. I exemplet nedan kontrollerar åtgärden om beständiga volymanspråk har premium som StorageClassName och ersätter om med standard, om sant.

  version: v1
  resourceModifierRules:
  - conditions:
      groupResource: persistentvolumeclaims
      resourceNameRegex: ".*"
      namespaces:
      - bar
      - foo
    patches:
    - operation: test
      path: "/spec/storageClassName"
      value: "premium"
    - operation: replace
      path: "/spec/storageClassName"
      value: "standard"
  

• JSON-korrigering

  Den här konfigurationskartan tillämpar JSON-korrigeringen på alla distributioner i namnrymderna som standard och ''nginxwith the name that starts withnginxdep'. JSON-korrigeringen uppdaterar antalet repliker till 12 för alla sådana distributioner.

  version: v1
  resourceModifierRules:
  - conditions:
      groupResource: deployments.apps
      resourceNameRegex: "^nginxdep.*$"
      namespaces:
     - default
     - nginx
    patches:
    - operation: replace
      path: "/spec/replicas"
      value: "12"
  

• JSON-sammanslagningskorrigering

  Den här konfigurationskartan tillämpar JSON Merge Patch på alla distributioner i namnrymdernas standard och nginx med namnet som börjar med nginxdep. JSON Merge Patch lägger till/uppdaterar etiketten "app" med värdet "nginx1".

  version: v1
  resourceModifierRules:
    - conditions:
        groupResource: deployments.apps
        resourceNameRegex: "^nginxdep.*$"
        namespaces:
          - default
          - nginx
      mergePatches:
        - patchData: |
            {
              "metadata" : {
                "labels" : {
                  "app" : "nginx1"
                }
              }
            }
  

• Korrigering för strategisk sammanslagning

  Den här konfigurationskartan tillämpar den strategiska sammanslagningskorrigeringen på alla poddar i namnområdets standardvärde med namnet som börjar med nginx. Den strategiska sammanslagningskorrigeringen uppdaterar avbildningen av containern nginx till mcr.microsoft.com/cbl-mariner/base/nginx:1.22

  version: v1
  resourceModifierRules:
  - conditions:
      groupResource: pods
      resourceNameRegex: "^nginx.*$"
      namespaces:
      - default
    strategicPatches:
    - patchData: |
        {
          "spec": {
            "containers": [
              {
                "name": "nginx",
                "image": "mcr.microsoft.com/cbl-mariner/base/nginx:1.22"
              }
            ]
          }
        }
  

Vilken lagringsnivå för säkerhetskopiering stöder AKS-säkerhetskopiering?

Azure Backup för AKS stöder två lagringsnivåer som säkerhetskopieringsdatalager:

• Driftnivå: Säkerhetskopieringstillägget som är installerat i AKS-klustret tar först säkerhetskopian genom att ta ögonblicksbilder av volymer via CSI-drivrutin och lagrar klustertillståndet i en blobcontainer i din egen klientorganisation. Den här nivån stöder lägre RPO med minsta varaktighet mellan två säkerhetskopior på fyra timmar. För Azure Disk-baserade volymer har driftnivån dessutom stöd för snabbare återställningar.

• Standardnivå för valv (förhandsversion): Om du vill lagra säkerhetskopierade data under längre tid till lägre kostnad än ögonblicksbilder stöder AKS-säkerhetskopiering valvstandarddatalager. Enligt de kvarhållningsregler som anges i säkerhetskopieringsprincipen flyttas den första lyckade säkerhetskopieringen (för en dag, vecka, månad eller år) till en blobcontainer utanför klientorganisationen. Det här dataarkivet tillåter inte bara längre kvarhållning, utan ger även skydd mot utpressningstrojaner. Du kan också flytta säkerhetskopior som lagras i valvet till en annan region (Azure Paired Region) för återställning genom att aktivera Geo-redundans och Återställning mellan regioner i säkerhetskopieringsvalvet.

Förstå prissättningen

Du debiteras för:

• Avgift för skyddad instans: Azure Backup för AKS debiterar en avgift för skyddad instans per namnområde per månad. När du konfigurerar säkerhetskopiering för ett AKS-kluster skapas en skyddad instans. Varje instans har ett visst antal namnområden som säkerhetskopieras enligt definitionen i säkerhetskopieringskonfigurationen. Mer information om prissättningen för AKS-säkerhetskopiering finns i Prissättning för cloud backup och välj Azure Kubernetes Service som arbetsbelastning

• Avgift för ögonblicksbilder: Azure Backup för AKS skyddar en diskbaserad beständig volym genom att ta ögonblicksbilder som lagras i resursgruppen i din Azure-prenumeration. Dessa ögonblicksbilder medför lagringsavgifter för ögonblicksbilder. Eftersom ögonblicksbilderna inte kopieras till Säkerhetskopieringsvalvet gäller inte kostnaden för lagring av säkerhetskopior. Mer information om prissättningen för ögonblicksbilder finns i Priser för hanterade diskar.

• Avgift för lagring av säkerhetskopior: Azure Backup för AKS stöder också lagring av säkerhetskopior på valvnivå. Detta kan uppnås genom att definiera kvarhållningsregler för valvstandard i säkerhetskopieringsprincipen, med en återställningspunkt per dag som kan flyttas till valvet. Återställningspunkter som lagras på valvnivån debiteras en separat avgift som kallas lagringsavgift för säkerhetskopiering enligt den totala mängden data som lagras (i GB) och redundanstypen aktiveras i Säkerhetskopieringsvalvet.

Gå vidare