Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Daten mit Veeam Backup & Replication auf Amazon S3 sichern und archivieren
Erstellt von Jeanna James, Anthony Fiore (AWS) (AWS) und William Quigley
Umgebung: Produktion | Technologien: Speicher und Backup | AWS-Dienste: Amazon EC2; Amazon S3; Amazon S3 Glacier |
Übersicht
Dieses Muster beschreibt den Prozess für das Senden von von Veeam Backup & Replication erstellten Backups an unterstützte Objektspeicherklassen von Amazon Simple Storage Service (Amazon S3) mithilfe der Veeam Scale-Out-Backup-Repository-Funktion.
Veeam unterstützt mehrere Amazon S3 S3-Speicherklassen, um Ihren spezifischen Anforderungen am besten gerecht zu werden. Sie können den Speichertyp auf der Grundlage der Anforderungen an Datenzugriff, Ausfallsicherheit und Kosten Ihrer Backup- oder Archivdaten auswählen. Sie können beispielsweise Daten, die Sie nicht für 30 Tage oder länger verwenden möchten, zu geringeren Kosten in Amazon S3 Infrequent Access (IA) speichern. Wenn Sie planen, Daten für 90 Tage oder länger zu archivieren, können Sie Amazon Simple Storage Service Glacier (Amazon S3 Glacier) Flexible Retrieval oder S3 Glacier Deep Archive mit der Archivstufe von Veeam verwenden. Sie können S3 Object Lock auch verwenden, um Backups in Amazon S3 unveränderlich zu machen.
Dieses Muster behandelt nicht, wie Sie Veeam Backup & Replication mit einem Band-Gateway in AWS Storage Gateway einrichten. Informationen zu diesem Thema finden Sie unter Veeam Backup & Replication using AWS VTL Gateway — Deployment Guide
Warnung: Für dieses Szenario sind IAM-Benutzer mit programmatischem Zugriff und langfristigen Anmeldeinformationen erforderlich, was ein Sicherheitsrisiko darstellt. Um dieses Risiko zu minimieren, empfehlen wir, diesen Benutzern nur die Berechtigungen zu gewähren, die sie für die Ausführung der Aufgabe benötigen, und diese Benutzer zu entfernen, wenn sie nicht mehr benötigt werden. Die Zugriffsschlüssel können bei Bedarf aktualisiert werden. Weitere Informationen finden Sie unter Aktualisieren von Zugriffsschlüsseln im IAM-Benutzerhandbuch. |
Voraussetzungen und Einschränkungen
Voraussetzungen
Veeam Backup & Replication-Lizenz mit Enterprise- oder Enterprise Plus-Funktionalität, einschließlich Veeam Universal License (VUL)
Ein aktiver AWS Identity and Access Management (IAM) -Benutzer mit Zugriff auf einen Amazon S3 S3-Bucket
Ein aktiver IAM-Benutzer mit Zugriff auf Amazon Elastic Compute Cloud (Amazon EC2) und Amazon Virtual Private Cloud (Amazon VPC) (falls Archivstufe verwendet wird)
Netzwerkkonnektivität von vor Ort zu AWS-Services mit verfügbarer Bandbreite für Backup und Wiederherstellung des Datenverkehrs über eine öffentliche Internetverbindung oder eine öffentliche virtuelle Schnittstelle (VIF) von AWS Direct Connect
Die folgenden Netzwerkports und Endpunkte wurden geöffnet, um eine ordnungsgemäße Kommunikation mit Objektspeicher-Repositorys sicherzustellen:
Amazon S3 S3-Speicher — TCP — Port 443: Wird für die Kommunikation mit dem Amazon S3 S3-Speicher verwendet.
Amazon S3 S3-Speicher — Cloud-Endpunkte — *.amazonaws.com für AWS-Regionen und AWS-Regionen GovCloud (USA) oder *.amazonaws.com.rproxy.goskope.com.cn für chinesische Regionen: Wird für die Kommunikation mit Amazon S3 S3-Speicher verwendet. Eine vollständige Liste der Verbindungsendpunkte finden Sie in der AWS-Dokumentation unter Amazon S3 S3-Endpunkte.
Amazon S3 S3-Speicher — TCP HTTP — Port 80: Wird zur Überprüfung des Zertifikatsstatus verwendet. Beachten Sie, dass sich die Endpunkte für die Zertifikatsüberprüfung — URLs der Zertifikatsperrliste (CRL) und OCSP-Server (Online Certificate Status Protocol) — ändern können. Die tatsächliche Adressliste finden Sie im Zertifikat selbst.
Amazon S3 S3-Speicher — Endpunkte zur Zertifikatsverifizierung — *.amazontrust.com: Wird zur Überprüfung des Zertifikatsstatus verwendet. Beachten Sie, dass sich die Endpunkte zur Zertifikatsverifizierung (CRL-URLs und OCSP-Server) ändern können. Die tatsächliche Adressliste finden Sie im Zertifikat selbst.
Einschränkungen
Veeam unterstützt keine S3-Lifecycle-Richtlinien für S3-Buckets, die als Veeam-Objektspeicher-Repositorys verwendet werden. Dazu gehören Richtlinien mit Amazon S3 S3-Speicherklassenübergängen und S3-Lifecycle-Ablaufregeln. Veeam muss die einzige Entität sein, die diese Objekte verwaltet. Die Aktivierung von S3 Lifecycle-Richtlinien kann zu unerwarteten Ergebnissen, einschließlich Datenverlust, führen.
Produktversionen
Veeam Backup & Replication v9.5 Update 4 oder höher (nur Backup oder Kapazitätsstufe)
Veeam Backup & Replication v10 oder höher (Backup oder Kapazitätsstufe und S3 Object Lock)
Veeam Backup & Replication v11 oder höher (Backup- oder Kapazitätsstufe, Archiv- oder Archivstufe und S3 Object Lock)
Veeam Backup & Replication v12 oder höher (Performance-Tier, Backup- oder Kapazitäts-Tier, Archiv- oder Archiv-Tier und S3 Object Lock)
S3 Standard
S3 Standard-IA
S3 One Zone-IA
S3 Glacier Flexible Retrieval (nur v11 und höher)
S3 Glacier Deep Archive (nur v11 und höher)
S3 Glacier Instant Retrieval (nur v12 und höher)
Architektur
Quelltechnologie-Stack
Lokale Veeam Backup & Replication-Installation mit Konnektivität von einem Veeam-Backup-Server oder einem Veeam-Gateway-Server zu Amazon S3
Zieltechnologie-Stack
Amazon S3
Amazon VPC und Amazon EC2 (bei Verwendung der Archivschicht)
Zielarchitektur: SOBR
Das folgende Diagramm zeigt die Architektur des Scale-Out-Backup-Repositorys (SOBR).
![SOBR-Architektur für die Sicherung von Daten von Veeam auf Amazon S3](images/pattern-img/7f3a36f7-31dc-45c8-87b2-c5dd37f7a01e/images/b48fd0cd-b66c-4ef7-b6fa-0ed53354e1a2.png)
Die Veeam Backup and Replication-Software schützt Daten vor logischen Fehlern wie Systemausfällen, Anwendungsfehlern oder versehentlichem Löschen. In diesem Diagramm werden Backups zuerst lokal ausgeführt und eine zweite Kopie wird direkt an Amazon S3 gesendet. Ein Backup stellt eine point-in-time Kopie der Daten dar.
Der Workflow besteht aus drei Hauptkomponenten, die für das Tiering oder Kopieren von Backups nach Amazon S3 erforderlich sind, und einer optionalen Komponente:
Veeam Backup & Replication (1) — Der Backup-Server, der für die Koordination, Steuerung und Verwaltung der Backup-Infrastruktur, Einstellungen, Jobs, Wiederherstellungsaufgaben und anderer Prozesse verantwortlich ist.
Veeam Gateway-Server (im Diagramm nicht dargestellt) — Ein optionaler lokaler Gateway-Server, der erforderlich ist, wenn der Veeam-Backup-Server keine ausgehende Konnektivität zu Amazon S3 hat.
Scale-out-Backup-Repository (2) — Repository-System mit Unterstützung für horizontale Skalierung für die mehrstufige Speicherung von Daten. Das Scale-Out-Backup-Repository besteht aus einem oder mehreren Backup-Repositorys, die schnellen Zugriff auf Daten bieten und mit Amazon S3 S3-Objektspeicher-Repositorys für Langzeitspeicherung (Kapazitätsstufe) und Archivierung (Archivschicht) erweitert werden können. Veeam verwendet das Scale-Out-Backup-Repository, um Daten automatisch zwischen lokalem (Performance-Tier) und Amazon S3 S3-Objektspeicher (Kapazitäts- und Archiv-Tier) zu verteilen.
Amazon S3 (3) — AWS-Objektspeicherservice, der Skalierbarkeit, Datenverfügbarkeit, Sicherheit und Leistung bietet.
Zielarchitektur: DTO
Das folgende Diagramm zeigt die direct-to-object (DTO-) Architektur.
![DTO-Architektur für die Sicherung von Daten von Veeam auf Amazon S3](images/pattern-img/7f3a36f7-31dc-45c8-87b2-c5dd37f7a01e/images/9debe53a-d70a-43fa-844c-f93fa22124eb.png)
In diesem Diagramm werden Backup-Daten direkt an Amazon S3 gesendet, ohne dass sie zuerst vor Ort gespeichert werden. Sekundäre Kopien können in S3 Glacier gespeichert werden.
Automatisierung und Skalierung
Sie können die Erstellung von IAM-Ressourcen und S3-Buckets automatisieren, indem Sie die im Repository bereitgestellten CloudFormation AWS-Vorlagen verwenden. VeeamHub GitHub
Tools
Tools und AWS-Services
Veeam Backup & Replication
ist eine Lösung von Veeam für den Schutz, die Sicherung, Replikation und Wiederherstellung Ihrer virtuellen und physischen Workloads. AWS CloudFormation hilft Ihnen dabei, Ihre AWS-Ressourcen zu modellieren und einzurichten, sie schnell und konsistent bereitzustellen und sie während ihres gesamten Lebenszyklus zu verwalten. Sie können eine Vorlage verwenden, um Ihre Ressourcen und ihre Abhängigkeiten zu beschreiben und sie zusammen als Stapel zu starten und zu konfigurieren, anstatt Ressourcen einzeln zu verwalten. Sie können Stacks für mehrere AWS-Konten und AWS-Regionen verwalten und bereitstellen.
Amazon Elastic Compute Cloud (Amazon EC2) bietet skalierbare Rechenkapazität in der AWS-Cloud. Sie können Amazon EC2 verwenden, um so viele oder so wenige virtuelle Server zu starten, wie Sie benötigen, und Sie können horizontal oder horizontal skalieren.
AWS Identity and Access Management (IAM) ist ein Webservice zur sicheren Steuerung des Zugriffs auf AWS-Services. Mit IAM können Sie Benutzer, Sicherheitsanmeldedaten wie Zugriffsschlüssel und Berechtigungen, die steuern, auf welche AWS-Ressourcen Benutzer und Anwendungen zugreifen können, zentral verwalten.
Amazon Simple Storage Service (Amazon S3) ist ein Objektspeicherservice. Mit Amazon S3 können Sie jederzeit beliebige Mengen von Daten von überall aus im Internet speichern und aufrufen.
Amazon S3 Glacier (S3 Glacier) ist ein sicherer und langlebiger Service für kostengünstige Datenarchivierung und langfristige Sicherung.
Amazon Virtual Private Cloud (Amazon VPC) stellt einen logisch isolierten Bereich der AWS-Cloud bereit, in dem Sie AWS-Ressourcen in einem von Ihnen definierten virtuellen Netzwerk starten können. Dieses virtuelle Netzwerk entspricht weitgehend einem herkömmlichen Netzwerk, wie Sie es in Ihrem Rechenzentrum betreiben, kann jedoch die Vorzüge der skalierbaren Infrastruktur von AWS nutzen.
Code
Verwenden Sie die im VeeamHub GitHub Repository
Bewährte Methoden
Gemäß den Best Practices für IAM empfehlen wir dringend, dass Sie die langfristigen IAM-Benutzeranmeldedaten regelmäßig wechseln, z. B. den IAM-Benutzer, den Sie für das Schreiben von Veeam Backup & Replication-Backups auf Amazon S3 verwenden. Weitere Informationen finden Sie unter Bewährte Sicherheitsmethoden in der IAM-Dokumentation.
Epen
Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
---|---|---|
Erstellen Sie einen IAM-Benutzer. | Folgen Sie den Anweisungen in der IAM-Dokumentation, um einen IAM-Benutzer zu erstellen. Dieser Benutzer sollte keinen AWS-Konsolenzugriff haben, und Sie müssen einen Zugriffsschlüssel für diesen Benutzer erstellen. Veeam verwendet diese Entität, um sich bei AWS zu authentifizieren, um in Ihre S3-Buckets zu lesen und in sie zu schreiben. Sie müssen dem Benutzer die geringsten Rechte gewähren (d. h. nur die für die Ausführung einer Aufgabe erforderlichen Berechtigungen), damit der Benutzer nicht über mehr Rechte verfügt, als er benötigt. Beispiele für IAM-Richtlinien, die Sie Ihrem Veeam IAM-Benutzer zuordnen können, finden Sie im Abschnitt Zusätzliche Informationen. Hinweis: Alternativ können Sie die im VeeamHub GitHub Repository | AWS-Administrator |
Erstellen Sie einen S3-Bucket. |
Weitere Informationen finden Sie unter Bucket erstellen in der Amazon S3 S3-Dokumentation. | AWS-Administrator |
Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
---|---|---|
Starten Sie den Assistenten „Neues Objekt-Repository“. | Bevor Sie die Object Storage- und Scale-Out-Backup-Repositorys in Veeam einrichten, müssen Sie die Amazon S3- und Amazon S3 Glacier-Speicher-Repositorys hinzufügen, die Sie für die Kapazitäts- und Archivstufen verwenden möchten. Im nächsten Epic verbinden Sie diese Speicher-Repositorys mit Ihrem Scale-Out-Backup-Repository.
| AWS-Administrator, App-Besitzer |
Fügen Sie Amazon S3 S3-Speicher für die Kapazitätsstufe hinzu. |
| AWS-Administrator, App-Besitzer |
Fügen Sie S3 Glacier-Speicher für die Archivstufe hinzu. | Wenn Sie eine Archivschicht erstellen möchten, verwenden Sie die IAM-Berechtigungen, die im Abschnitt Zusätzliche Informationen beschrieben sind.
| AWS-Administrator, App-Besitzer |
Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
---|---|---|
Starten Sie den Assistenten für ein neues Scale-Out Backup Repository. |
| App-Besitzer, AWS-Systemadministrator |
Fügen Sie ein Scale-Out-Backup-Repository hinzu und konfigurieren Sie Kapazitäts- und Archivstufen. |
| App-Besitzer, AWS-Systemadministrator |
Zugehörige Ressourcen
Einen IAM-Benutzer in Ihrem AWS-Konto erstellen (IAM-Dokumentation)
Einen Bucket erstellen (Amazon S3 S3-Dokumentation)
Sperren des öffentlichen Zugriffs auf Ihren Amazon S3 S3-Speicher (Amazon S3 S3-Dokumentation)
Verwenden von S3 Object Lock (Amazon S3 S3-Dokumentation)
So erstellen Sie eine sichere IAM-Richtlinie für die Verbindung zum S3-Objektspeicher
(Veeam-Dokumentation)
Zusätzliche Informationen
In den folgenden Abschnitten finden Sie Beispiele für IAM-Richtlinien, die Sie verwenden können, wenn Sie einen IAM-Benutzer im Abschnitt Epics dieses Musters erstellen.
IAM-Richtlinie für die Kapazitätsstufe
Hinweis Ändern Sie den Namen der S3-Buckets in der Beispielrichtlinie von <yourbucketname>
in den Namen des S3-Buckets, den Sie für Veeam-Backups auf Kapazitätsstufen verwenden möchten.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "s3:GetObjectVersion", "s3:ListBucketVersions", "s3:ListBucket", "s3:PutObjectLegalHold", "s3:GetBucketVersioning", "s3:GetObjectLegalHold", "s3:GetBucketObjectLockConfiguration", "s3:PutObject*", "s3:GetObject*", "s3:GetEncryptionConfiguration", "s3:PutObjectRetention", "s3:PutBucketObjectLockConfiguration", "s3:DeleteObject*", "s3:DeleteObjectVersion", "s3:GetBucketLocation" ], "Resource": [ "arn:aws:s3:::/*", "arn:aws:s3:::" ] }, { "Sid": "VisualEditor1", "Effect": "Allow", "Action": [ "s3:ListAllMyBuckets", "s3:ListBucket" ], "Resource": "*" } ] }
IAM-Richtlinie für die Archivstufe
Hinweis: Ändern Sie den Namen der S3-Buckets in der Beispielrichtlinie von <yourbucketname>
in den Namen des S3-Buckets, den Sie für Backups auf Veeam-Archivebene verwenden möchten.
So verwenden Sie Ihre vorhandenen VPC-, Subnetz- und Sicherheitsgruppen:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "s3:DeleteObject", "s3:PutObject", "s3:GetObject", "s3:RestoreObject", "s3:ListBucket", "s3:AbortMultipartUpload", "s3:GetBucketVersioning", "s3:ListAllMyBuckets", "s3:GetBucketLocation", "s3:GetBucketObjectLockConfiguration", "s3:PutObjectRetention", "s3:GetObjectVersion", "s3:PutObjectLegalHold", "s3:GetObjectRetention", "s3:DeleteObjectVersion", "s3:ListBucketVersions", "ec2:DescribeInstances", "ec2:CreateKeyPair", "ec2:DescribeKeyPairs", "ec2:RunInstances", "ec2:DeleteKeyPair", "ec2:DescribeVpcAttribute", "ec2:CreateTags", "ec2:DescribeSubnets", "ec2:TerminateInstances", "ec2:DescribeSecurityGroups", "ec2:DescribeImages", "ec2:DescribeVpcs" ], "Resource": "*" } ] }
So erstellen Sie neue VPC-, Subnetz- und Sicherheitsgruppen:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "s3:DeleteObject", "s3:PutObject", "s3:GetObject", "s3:RestoreObject", "s3:ListBucket", "s3:AbortMultipartUpload", "s3:GetBucketVersioning", "s3:ListAllMyBuckets", "s3:GetBucketLocation", "s3:GetBucketObjectLockConfiguration", "s3:PutObjectRetention", "s3:GetObjectVersion", "s3:PutObjectLegalHold", "s3:GetObjectRetention", "s3:DeleteObjectVersion", "s3:ListBucketVersions", "ec2:DescribeInstances", "ec2:CreateKeyPair", "ec2:DescribeKeyPairs", "ec2:RunInstances", "ec2:DeleteKeyPair", "ec2:DescribeVpcAttribute", "ec2:CreateTags", "ec2:DescribeSubnets", "ec2:TerminateInstances", "ec2:DescribeSecurityGroups", "ec2:DescribeImages", "ec2:DescribeVpcs", "ec2:CreateVpc", "ec2:CreateSubnet", "ec2:DescribeAvailabilityZones", "ec2:CreateRoute", "ec2:CreateInternetGateway", "ec2:AttachInternetGateway", "ec2:ModifyVpcAttribute", "ec2:CreateSecurityGroup", "ec2:DeleteSecurityGroup", "ec2:AuthorizeSecurityGroupIngress", "ec2:AuthorizeSecurityGroupEgress", "ec2:DescribeRouteTables", "ec2:DescribeInstanceTypes" ], "Resource": "*" } ] }