备份和恢复

1. 运行以下命令，创建一个工作负载来备份：

   $ oc create namespace hello-world

   Copy to Clipboard Toggle word wrap

   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

2. 运行以下命令来公开路由：

   $ oc expose service/hello-openshift -n hello-world

   Copy to Clipboard Toggle word wrap

3. 运行以下命令检查应用程序是否正常工作：

   $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

   Copy to Clipboard Toggle word wrap

   输出示例

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

4. 运行以下命令来备份工作负载：

   $ cat << EOF | oc create -f -
     apiVersion: velero.io/v1
     kind: Backup
     metadata:
       name: hello-world
       namespace: openshift-adp
     spec:
       includedNamespaces:
       - hello-world
       storageLocation: ${CLUSTER_NAME}-dpa-1
       ttl: 720h0m0s
   EOF

   Copy to Clipboard Toggle word wrap

5. 等待备份完成，然后运行以下命令：

   $ watch "oc -n openshift-adp get backup hello-world -o json | jq .status"

   Copy to Clipboard Toggle word wrap

   输出示例

   {
     "completionTimestamp": "2022-09-07T22:20:44Z",
     "expiration": "2022-10-07T22:20:22Z",
     "formatVersion": "1.1.0",
     "phase": "Completed",
     "progress": {
       "itemsBackedUp": 58,
       "totalItems": 58
     },
     "startTimestamp": "2022-09-07T22:20:22Z",
     "version": 1
   }

   Copy to Clipboard Toggle word wrap

6. 运行以下命令来删除 demo 工作负载：

   $ oc delete ns hello-world

   Copy to Clipboard Toggle word wrap

7. 运行以下命令，从备份中恢复工作负载：

   $ cat << EOF | oc create -f -
     apiVersion: velero.io/v1
     kind: Restore
     metadata:
       name: hello-world
       namespace: openshift-adp
     spec:
       backupName: hello-world
   EOF

   Copy to Clipboard Toggle word wrap

8. 运行以下命令等待 Restore 完成：

   $ watch "oc -n openshift-adp get restore hello-world -o json | jq .status"

   Copy to Clipboard Toggle word wrap

   输出示例

   {
     "completionTimestamp": "2022-09-07T22:25:47Z",
     "phase": "Completed",
     "progress": {
       "itemsRestored": 38,
       "totalItems": 38
     },
     "startTimestamp": "2022-09-07T22:25:28Z",
     "warnings": 9
   }

   Copy to Clipboard Toggle word wrap

9. 运行以下命令检查工作负载是否已恢复：

   $ oc -n hello-world get pods

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                              READY   STATUS    RESTARTS   AGE
   hello-openshift-9f885f7c6-kdjpj   1/1     Running   0          90s

   Copy to Clipboard Toggle word wrap

10. 运行以下命令来检查 JSONPath：

    $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

    Copy to Clipboard Toggle word wrap

    输出示例

    Hello OpenShift!

    Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令来删除工作负载：

   $ oc delete ns hello-world

   Copy to Clipboard Toggle word wrap

2. 运行以下命令来删除数据保护应用程序 (DPA)：

   $ oc -n openshift-adp delete dpa ${CLUSTER_NAME}-dpa

   Copy to Clipboard Toggle word wrap

3. 运行以下命令来删除云存储：

   $ oc -n openshift-adp delete cloudstorage ${CLUSTER_NAME}-oadp

   Copy to Clipboard Toggle word wrap
   警告

   如果这个命令挂起，您可能需要通过运行以下命令来删除终结器：

   $ oc -n openshift-adp patch cloudstorage ${CLUSTER_NAME}-oadp -p '{"metadata":{"finalizers":null}}' --type=merge

   Copy to Clipboard Toggle word wrap

4. 如果不再需要 Operator，请运行以下命令删除它：

   $ oc -n openshift-adp delete subscription oadp-operator

   Copy to Clipboard Toggle word wrap

5. 从 Operator 中删除命名空间：

   $ oc delete ns openshift-adp

   Copy to Clipboard Toggle word wrap

6. 如果不再需要备份和恢复资源，请运行以下命令从集群中删除它们：

   $ oc delete backups.velero.io hello-world

   Copy to Clipboard Toggle word wrap

7. 要删除 AWS S3 中的备份、恢复和远程对象，请运行以下命令：

   $ velero backup delete hello-world

   Copy to Clipboard Toggle word wrap

8. 如果您不再需要自定义资源定义 (CRD)，请运行以下命令从集群中删除它们：

   $ for CRD in `oc get crds | grep velero | awk '{print $1}'`; do oc delete crd $CRD; done

   Copy to Clipboard Toggle word wrap

9. 运行以下命令来删除 AWS S3 存储桶：

   $ aws s3 rm s3://${CLUSTER_NAME}-oadp --recursive

   Copy to Clipboard Toggle word wrap

   $ aws s3api delete-bucket --bucket ${CLUSTER_NAME}-oadp

   Copy to Clipboard Toggle word wrap

10. 运行以下命令，将策略从角色分离：

    $ aws iam detach-role-policy --role-name "${ROLE_NAME}"  --policy-arn "${POLICY_ARN}"

    Copy to Clipboard Toggle word wrap

11. 运行以下命令来删除角色：

    $ aws iam delete-role --role-name "${ROLE_NAME}"

    Copy to Clipboard Toggle word wrap

流程

1. 创建一个 OBC 清单文件来请求 NooBaa MCG 存储桶，如下例所示：

   OBC 示例

   apiVersion: objectbucket.io/v1alpha1
   kind: ObjectBucketClaim
   metadata:
     name: test-obc 

   1

   
     namespace: openshift-adp
   spec:
     storageClassName: openshift-storage.noobaa.io
     generateBucketName: test-backup-bucket 

   2

   Copy to Clipboard Toggle word wrap

   1

   对象存储桶声明的名称。

   2

   bucket 的名称。

2. 运行以下命令来创建 OBC：

   $ oc create -f <obc_file_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   指定对象存储桶声明清单的文件名。

3. 当您创建 OBC 时，ODF 会创建一个 secret 和一个配置映射，其名称与对象存储桶声明相同。secret 具有存储桶凭证，配置映射有访问存储桶的信息。要从生成的配置映射中获取存储桶名称和存储桶主机，请运行以下命令：

   $ oc extract --to=- cm/test-obc 

   1

   Copy to Clipboard Toggle word wrap

   1

   test-obc 是 OBC 的名称。

   输出示例

   # BUCKET_NAME
   backup-c20...41fd
   # BUCKET_PORT
   443
   # BUCKET_REGION
   
   # BUCKET_SUBREGION
   
   # BUCKET_HOST
   s3.openshift-storage.svc

   Copy to Clipboard Toggle word wrap

4. 要从生成的 secret 获取存储桶凭证，请运行以下命令：

   $ oc extract --to=- secret/test-obc

   Copy to Clipboard Toggle word wrap

   输出示例

   # AWS_ACCESS_KEY_ID
   ebYR....xLNMc
   # AWS_SECRET_ACCESS_KEY
   YXf...+NaCkdyC3QPym

   Copy to Clipboard Toggle word wrap

5. 运行以下命令，从 openshift-storage 命名空间中的 s3 路由获取 S3 端点的公共 URL：

   $ oc get route s3 -n openshift-storage

   Copy to Clipboard Toggle word wrap

6. 使用对象存储桶凭证创建一个 cloud-credentials 文件，如下所示：

   [default]
   aws_access_key_id=<AWS_ACCESS_KEY_ID>
   aws_secret_access_key=<AWS_SECRET_ACCESS_KEY>

   Copy to Clipboard Toggle word wrap

7. 使用 cloud-credentials 文件内容创建 cloud-credentials secret，如下所示：

   $ oc create secret generic \
     cloud-credentials \
     -n openshift-adp \
     --from-file cloud=cloud-credentials

   Copy to Clipboard Toggle word wrap

8. 配置 Data Protection Application (DPA)，如下例所示：

   DPA 示例

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: oadp-backup
     namespace: openshift-adp
   spec:
     configuration:
       nodeAgent:
         enable: true
         uploaderType: kopia
       velero:
         defaultPlugins:
           - aws
           - openshift
           - csi
         defaultSnapshotMoveData: true 

   1

   
     backupLocations:
       - velero:
           config:
             profile: "default"
             region: noobaa
             s3Url: https://s3.openshift-storage.svc 

   2

   
             s3ForcePathStyle: "true"
             insecureSkipTLSVerify: "true"
           provider: aws
           default: true
           credential:
             key: cloud
             name:  cloud-credentials
           objectStorage:
             bucket: <bucket_name> 

   3

   
             prefix: oadp

   Copy to Clipboard Toggle word wrap

   1

   设置为 true 来使用 OADP Data Mover 将 Container Storage Interface (CSI) 快照移动到远程对象存储。

   2

   这是 ODF 存储的 S3 URL。

   3

   指定存储桶名称。

9. 运行以下命令来创建 DPA：

   $ oc apply -f <dpa_filename>

   Copy to Clipboard Toggle word wrap

10. 运行以下命令，验证 DPA 是否已成功创建。在示例输出中，您可以看到 status 对象将 type 字段设置为 Reconciled。这意味着 DPA 已被成功创建。

    $ oc get dpa -o yaml

    Copy to Clipboard Toggle word wrap

    输出示例

    apiVersion: v1
    items:
    - apiVersion: oadp.openshift.io/v1alpha1
      kind: DataProtectionApplication
      metadata:
        namespace: openshift-adp
        #...#
      spec:
        backupLocations:
        - velero:
            config:
              #...#
      status:
        conditions:
        - lastTransitionTime: "20....9:54:02Z"
          message: Reconcile complete
          reason: Complete
          status: "True"
          type: Reconciled
    kind: List
    metadata:
      resourceVersion: ""

    Copy to Clipboard Toggle word wrap

11. 运行以下命令，验证备份存储位置(BSL)是否可用：

    $ oc get backupstoragelocations.velero.io -n openshift-adp

    Copy to Clipboard Toggle word wrap

    输出示例

    NAME           PHASE       LAST VALIDATED   AGE   DEFAULT
    dpa-sample-1   Available   3s               15s   true

    Copy to Clipboard Toggle word wrap

12. 配置备份 CR，如下例所示：

    备份 CR 示例

    apiVersion: velero.io/v1
    kind: Backup
    metadata:
      name: test-backup
      namespace: openshift-adp
    spec:
      includedNamespaces:
      - <application_namespace> 

    1

    Copy to Clipboard Toggle word wrap

    1

    指定要备份的应用程序的命名空间。

13. 运行以下命令来创建备份 CR：

    $ oc apply -f <backup_cr_filename>

    Copy to Clipboard Toggle word wrap

流程

1. 创建一个恢复 CR，如下例所示：

   恢复 CR 示例

   apiVersion: velero.io/v1
   kind: Restore
   metadata:
     name: test-restore 

   1

   
     namespace: openshift-adp
   spec:
     backupName: <backup_name> 

   2

   
     restorePVs: true
     namespaceMapping:
       <application_namespace>: test-restore-application 

   3

   Copy to Clipboard Toggle word wrap

   1

   恢复 CR 的名称。

   2

   指定备份的名称。

   3

   namespaceMapping 将源应用程序命名空间映射到目标应用程序命名空间。指定您备份的应用程序命名空间。test-restore-application 是您要恢复备份的目标命名空间。

2. 运行以下命令来应用恢复 CR：

   $ oc apply -f <restore_cr_filename>

   Copy to Clipboard Toggle word wrap

验证

1. 运行以下命令验证恢复是否处于 Completed 阶段：

   $ oc describe restores.velero.io <restore_name> -n openshift-adp

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，进入恢复的命名空间 test-restore-application ：

   $ oc project test-restore-application

   Copy to Clipboard Toggle word wrap

3. 运行以下命令，验证恢复的资源，如持久性卷声明(pvc)、服务(svc)、部署、secret 和配置映射：

   $ oc get pvc,svc,deployment,secret,configmap

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                          STATUS   VOLUME
   persistentvolumeclaim/mysql   Bound    pvc-9b3583db-...-14b86
   
   NAME               TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   service/mysql      ClusterIP   172....157     <none>        3306/TCP   2m56s
   service/todolist   ClusterIP   172.....15     <none>        8000/TCP   2m56s
   
   NAME                    READY   UP-TO-DATE   AVAILABLE   AGE
   deployment.apps/mysql   0/1     1            0           2m55s
   
   NAME                                         TYPE                      DATA   AGE
   secret/builder-dockercfg-6bfmd               kubernetes.io/dockercfg   1      2m57s
   secret/default-dockercfg-hz9kz               kubernetes.io/dockercfg   1      2m57s
   secret/deployer-dockercfg-86cvd              kubernetes.io/dockercfg   1      2m57s
   secret/mysql-persistent-sa-dockercfg-rgp9b   kubernetes.io/dockercfg   1      2m57s
   
   NAME                                 DATA   AGE
   configmap/kube-root-ca.crt           1      2m57s
   configmap/openshift-service-ca.crt   1      2m57s

   Copy to Clipboard Toggle word wrap

流程

1. 创建 OBC 清单以请求 NooBaa 存储桶，如下例所示：

   ObjectBucketClaim CR 示例

   apiVersion: objectbucket.io/v1alpha1
   kind: ObjectBucketClaim
   metadata:
     name: test-obc 

   1

   
     namespace: openshift-adp
   spec:
     storageClassName: openshift-storage.noobaa.io
     generateBucketName: test-backup-bucket 

   2

   Copy to Clipboard Toggle word wrap

   1

   指定对象存储桶声明的名称。

   2

   指定存储桶的名称。

2. 运行以下命令来创建 OBC：

   $ oc create -f <obc_file_name>

   Copy to Clipboard Toggle word wrap

3. 当您创建 OBC 时，ODF 会创建一个 secret 和一个配置映射，其名称与对象存储桶声明相同。secret 对象包含存储桶凭证，ConfigMap 对象包含用于访问存储桶的信息。要从生成的配置映射中获取存储桶名称和存储桶主机，请运行以下命令：

   $ oc extract --to=- cm/test-obc 

   1

   Copy to Clipboard Toggle word wrap

   1

   OBC 的名称为 test-obc。

   输出示例

   # BUCKET_NAME
   backup-c20...41fd
   # BUCKET_PORT
   443
   # BUCKET_REGION
   
   # BUCKET_SUBREGION
   
   # BUCKET_HOST
   s3.openshift-storage.svc

   Copy to Clipboard Toggle word wrap

4. 要从 secret 对象获取存储桶凭证，请运行以下命令：

   $ oc extract --to=- secret/test-obc

   Copy to Clipboard Toggle word wrap

   输出示例

   # AWS_ACCESS_KEY_ID
   ebYR....xLNMc
   # AWS_SECRET_ACCESS_KEY
   YXf...+NaCkdyC3QPym

   Copy to Clipboard Toggle word wrap

5. 使用以下示例配置创建带有对象存储桶凭证的 cloud-credentials 文件：

   [default]
   aws_access_key_id=<AWS_ACCESS_KEY_ID>
   aws_secret_access_key=<AWS_SECRET_ACCESS_KEY>

   Copy to Clipboard Toggle word wrap

6. 运行以下命令，创建带有 cloud-credentials 文件内容的 cloud-credentials secret：

   $ oc create secret generic \
     cloud-credentials \
     -n openshift-adp \
     --from-file cloud=cloud-credentials

   Copy to Clipboard Toggle word wrap

7. 运行以下命令，从 openshift-service-ca.crt 配置映射中提取服务 CA 证书。确保您以 Base64 格式编码证书，并记录下一步中使用的值。

   $ oc get cm/openshift-service-ca.crt \
     -o jsonpath='{.data.service-ca\.crt}' | base64 -w0; echo

   Copy to Clipboard Toggle word wrap

   输出示例

   LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0...
   ....gpwOHMwaG9CRmk5a3....FLS0tLS0K

   Copy to Clipboard Toggle word wrap

8. 使用存储桶名称和 CA 证书配置 DataProtectionApplication CR 清单文件，如下例所示：

   DataProtectionApplication CR 示例

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: oadp-backup
     namespace: openshift-adp
   spec:
     configuration:
       nodeAgent:
         enable: true
         uploaderType: kopia
       velero:
         defaultPlugins:
           - aws
           - openshift
           - csi
         defaultSnapshotMoveData: true
     backupLocations:
       - velero:
           config:
             profile: "default"
             region: noobaa
             s3Url: https://s3.openshift-storage.svc
             s3ForcePathStyle: "true"
             insecureSkipTLSVerify: "false" 

   1

   
           provider: aws
           default: true
           credential:
             key: cloud
             name:  cloud-credentials
           objectStorage:
             bucket: <bucket_name> 

   2

   
             prefix: oadp
             caCert: <ca_cert> 

   3

   Copy to Clipboard Toggle word wrap

   1

   insecureSkipTLSVerify 标志可以设置为 true 或 false。如果设置为 "true"，则禁用 SSL/TLS 安全性。如果设置为 false，则启用 SSL/TLS 安全。

   2

   指定上一步中提取的存储桶的名称。

   3

   复制并粘贴上一步中的 Base64 编码证书。

9. 运行以下命令来创建 DataProtectionApplication CR：

   $ oc apply -f <dpa_filename>

   Copy to Clipboard Toggle word wrap

10. 运行以下命令验证 DataProtectionApplication CR 是否已成功创建：

    $ oc get dpa -o yaml

    Copy to Clipboard Toggle word wrap

    输出示例

    apiVersion: v1
    items:
    - apiVersion: oadp.openshift.io/v1alpha1
      kind: DataProtectionApplication
      metadata:
        namespace: openshift-adp
        #...#
      spec:
        backupLocations:
        - velero:
            config:
              #...#
      status:
        conditions:
        - lastTransitionTime: "20....9:54:02Z"
          message: Reconcile complete
          reason: Complete
          status: "True"
          type: Reconciled
    kind: List
    metadata:
      resourceVersion: ""

    Copy to Clipboard Toggle word wrap

11. 运行以下命令，验证备份存储位置(BSL)是否可用：

    $ oc get backupstoragelocations.velero.io -n openshift-adp

    Copy to Clipboard Toggle word wrap

    输出示例

    NAME           PHASE       LAST VALIDATED   AGE   DEFAULT
    dpa-sample-1   Available   3s               15s   true

    Copy to Clipboard Toggle word wrap

12. 使用以下示例配置 Backup CR：

    Backup CR 示例

    apiVersion: velero.io/v1
    kind: Backup
    metadata:
      name: test-backup
      namespace: openshift-adp
    spec:
      includedNamespaces:
      - <application_namespace> 

    1

    Copy to Clipboard Toggle word wrap

    1

    指定要备份的应用程序的命名空间。

13. 运行以下命令来创建 Backup CR：

    $ oc apply -f <backup_cr_filename>

    Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令来创建以下环境变量：

   重要

   更改集群名称来匹配您的 ROSA 集群，并确保以管理员身份登录到集群。在继续操作前，确保所有字段被正常输出。

   $ export CLUSTER_NAME=my-cluster 

   1

   
     export ROSA_CLUSTER_ID=$(rosa describe cluster -c ${CLUSTER_NAME} --output json | jq -r .id)
     export REGION=$(rosa describe cluster -c ${CLUSTER_NAME} --output json | jq -r .region.id)
     export OIDC_ENDPOINT=$(oc get authentication.config.openshift.io cluster -o jsonpath='{.spec.serviceAccountIssuer}' | sed 's|^https://||')
     export AWS_ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)
     export CLUSTER_VERSION=$(rosa describe cluster -c ${CLUSTER_NAME} -o json | jq -r .version.raw_id | cut -f -2 -d '.')
     export ROLE_NAME="${CLUSTER_NAME}-openshift-oadp-aws-cloud-credentials"
     export SCRATCH="/tmp/${CLUSTER_NAME}/oadp"
     mkdir -p ${SCRATCH}
     echo "Cluster ID: ${ROSA_CLUSTER_ID}, Region: ${REGION}, OIDC Endpoint:
     ${OIDC_ENDPOINT}, AWS Account ID: ${AWS_ACCOUNT_ID}"

   Copy to Clipboard Toggle word wrap

   1

   将 my-cluster 替换为您的 ROSA 集群名称。

2. 在 AWS 帐户中，创建一个 IAM 策略以允许访问 AWS S3：

   1. 运行以下命令，检查策略是否存在：

      $ POLICY_ARN=$(aws iam list-policies --query "Policies[?PolicyName=='RosaOadpVer1'].{ARN:Arn}" --output text) 

      1

      Copy to Clipboard Toggle word wrap

      1

      将 RosaOadp 替换为您的策略名称。

   2. 输入以下命令来创建策略 JSON 文件，然后在 ROSA 中创建策略：

      注意

      如果没有找到策略 ARN，命令会创建策略。如果策略 ARN 已存在，则 if 语句会有意跳过策略创建。

      $ if [[ -z "${POLICY_ARN}" ]]; then
        cat << EOF > ${SCRATCH}/policy.json 

      1

      
        {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "s3:CreateBucket",
              "s3:DeleteBucket",
              "s3:PutBucketTagging",
              "s3:GetBucketTagging",
              "s3:PutEncryptionConfiguration",
              "s3:GetEncryptionConfiguration",
              "s3:PutLifecycleConfiguration",
              "s3:GetLifecycleConfiguration",
              "s3:GetBucketLocation",
              "s3:ListBucket",
              "s3:GetObject",
              "s3:PutObject",
              "s3:DeleteObject",
              "s3:ListBucketMultipartUploads",
              "s3:AbortMultipartUpload",
              "s3:ListMultipartUploadParts",
              "ec2:DescribeSnapshots",
              "ec2:DescribeVolumes",
              "ec2:DescribeVolumeAttribute",
              "ec2:DescribeVolumesModifications",
              "ec2:DescribeVolumeStatus",
              "ec2:CreateTags",
              "ec2:CreateVolume",
              "ec2:CreateSnapshot",
              "ec2:DeleteSnapshot"
            ],
            "Resource": "*"
          }
        ]}
      EOF
      
        POLICY_ARN=$(aws iam create-policy --policy-name "RosaOadpVer1" \
        --policy-document file:///${SCRATCH}/policy.json --query Policy.Arn \
        --tags Key=rosa_openshift_version,Value=${CLUSTER_VERSION} Key=rosa_role_prefix,Value=ManagedOpenShift Key=operator_namespace,Value=openshift-oadp Key=operator_name,Value=openshift-oadp \
        --output text)
        fi

      Copy to Clipboard Toggle word wrap

      1

      SCRATCH 是为环境变量创建的临时目录的名称。

   3. 运行以下命令来查看策略 ARN：

      $ echo ${POLICY_ARN}

      Copy to Clipboard Toggle word wrap

3. 为集群创建 IAM 角色信任策略：

   1. 运行以下命令来创建信任策略文件：

      $ cat <<EOF > ${SCRATCH}/trust-policy.json
        {
            "Version": "2012-10-17",
            "Statement": [{
              "Effect": "Allow",
              "Principal": {
                "Federated": "arn:aws:iam::${AWS_ACCOUNT_ID}:oidc-provider/${OIDC_ENDPOINT}"
              },
              "Action": "sts:AssumeRoleWithWebIdentity",
              "Condition": {
                "StringEquals": {
                  "${OIDC_ENDPOINT}:sub": [
                    "system:serviceaccount:openshift-adp:openshift-adp-controller-manager",
                    "system:serviceaccount:openshift-adp:velero"]
                }
              }
            }]
        }
      EOF

      Copy to Clipboard Toggle word wrap

   2. 运行以下命令来创建角色：

      $ ROLE_ARN=$(aws iam create-role --role-name \
        "${ROLE_NAME}" \
        --assume-role-policy-document file://${SCRATCH}/trust-policy.json \
        --tags Key=rosa_cluster_id,Value=${ROSA_CLUSTER_ID} \
               Key=rosa_openshift_version,Value=${CLUSTER_VERSION} \
               Key=rosa_role_prefix,Value=ManagedOpenShift \
               Key=operator_namespace,Value=openshift-adp \
               Key=operator_name,Value=openshift-oadp \
        --query Role.Arn --output text)

      Copy to Clipboard Toggle word wrap

   3. 运行以下命令来查看角色 ARN：

      $ echo ${ROLE_ARN}

      Copy to Clipboard Toggle word wrap

4. 运行以下命令，将 IAM 策略附加到 IAM 角色：

   $ aws iam attach-role-policy --role-name "${ROLE_NAME}" \
     --policy-arn ${POLICY_ARN}

   Copy to Clipboard Toggle word wrap

流程

1. 输入以下命令，从 AWS 令牌文件创建 Red Hat OpenShift Service on AWS secret：

   1. 创建凭证文件：

      $ cat <<EOF > ${SCRATCH}/credentials
        [default]
        role_arn = ${ROLE_ARN}
        web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token
        region = <aws_region> 

      1

      
      EOF

      Copy to Clipboard Toggle word wrap

      1

      将 <aws_region > 替换为用于 STS 端点的 AWS 区域。

   2. 为 OADP 创建命名空间：

      $ oc create namespace openshift-adp

      Copy to Clipboard Toggle word wrap

   3. 创建 Red Hat OpenShift Service on AWS secret：

      $ oc -n openshift-adp create secret generic cloud-credentials \
        --from-file=${SCRATCH}/credentials

      Copy to Clipboard Toggle word wrap
      注意

      在 Red Hat OpenShift Service on AWS 4.15 及之后的版本中，OADP Operator 通过 Operator Lifecycle Manager (OLM)和 Cloud Credentials Operator (CCO)支持新的标准化 STS 工作流。在此工作流中，您不需要创建上述 secret，您只需要在使用 Red Hat OpenShift Service on AWS Web 控制台安装 OLM 管理的 Operator 的过程中提供角色 ARN，请参阅使用 Web 控制台从 OperatorHub 安装。

      前面的 secret 由 CCO 自动创建。

2. 安装 OADP Operator：

   1. 在 Red Hat OpenShift Service on AWS Web 控制台中浏览 Operators → OperatorHub。
   2. 搜索 OADP Operator。
   3. 在 role_ARN 字段中，粘贴之前创建的 role_arn，再点 Install。

3. 输入以下命令，使用 AWS 凭证创建 AWS 云存储：

   $ cat << EOF | oc create -f -
     apiVersion: oadp.openshift.io/v1alpha1
     kind: CloudStorage
     metadata:
       name: ${CLUSTER_NAME}-oadp
       namespace: openshift-adp
     spec:
       creationSecret:
         key: credentials
         name: cloud-credentials
       enableSharedConfig: true
       name: ${CLUSTER_NAME}-oadp
       provider: aws
       region: $REGION
   EOF

   Copy to Clipboard Toggle word wrap

4. 输入以下命令检查应用程序的存储默认存储类：

   $ oc get pvc -n <namespace>

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME     STATUS   VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS   AGE
   applog   Bound    pvc-351791ae-b6ab-4e8b-88a4-30f73caf5ef8   1Gi        RWO            gp3-csi        4d19h
   mysql    Bound    pvc-16b8e009-a20a-4379-accc-bc81fedd0621   1Gi        RWO            gp3-csi        4d19h

   Copy to Clipboard Toggle word wrap

5. 运行以下命令来获取存储类：

   $ oc get storageclass

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                PROVISIONER             RECLAIMPOLICY   VOLUMEBINDINGMODE      ALLOWVOLUMEEXPANSION   AGE
   gp2                 kubernetes.io/aws-ebs   Delete          WaitForFirstConsumer   true                   4d21h
   gp2-csi             ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h
   gp3                 ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h
   gp3-csi (default)   ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h

   Copy to Clipboard Toggle word wrap

   注意

   以下存储类可以正常工作：

   • gp3-csi
   • gp2-csi
   • gp3
   • gp2

   如果要备份的应用程序或应用程序都使用带有 Container Storage Interface (CSI) 的持久性卷 (PV)，建议在 OADP DPA 配置中包含 CSI 插件。

6. 创建 DataProtectionApplication 资源，以配置存储备份和卷快照的存储的连接：

   1. 如果您只使用 CSI 卷，请输入以下命令部署数据保护应用程序：

      $ cat << EOF | oc create -f -
        apiVersion: oadp.openshift.io/v1alpha1
        kind: DataProtectionApplication
        metadata:
          name: ${CLUSTER_NAME}-dpa
          namespace: openshift-adp
        spec:
          backupImages: true 

      1

      
          features:
            dataMover:
              enable: false
          backupLocations:
          - bucket:
              cloudStorageRef:
                name: ${CLUSTER_NAME}-oadp
              credential:
                key: credentials
                name: cloud-credentials
              prefix: velero
              default: true
              config:
                region: ${REGION}
          configuration:
            velero:
              defaultPlugins:
              - openshift
              - aws
              - csi
            nodeAgent:  

      2

      
              enable: false
              uploaderType: kopia 

      3

      
      EOF

      Copy to Clipboard Toggle word wrap

      1

      ROSA 支持内部镜像备份。如果您不想使用镜像备份，请将此字段设置为 false。

      2

      请参阅有关 nodeAgent 属性的重要备注。

      3

      上传程序的类型。可能的值为 restic 或 kopia。内置 Data Mover 使用 Kopia 作为默认的上传程序机制，无论 uploaderType 字段的值是什么。

1. 如果使用 CSI 或非 CSI 卷，请输入以下命令来部署数据保护应用程序：

   $ cat << EOF | oc create -f -
     apiVersion: oadp.openshift.io/v1alpha1
     kind: DataProtectionApplication
     metadata:
       name: ${CLUSTER_NAME}-dpa
       namespace: openshift-adp
     spec:
       backupImages: true 

   1

   
       backupLocations:
       - bucket:
           cloudStorageRef:
             name: ${CLUSTER_NAME}-oadp
           credential:
             key: credentials
             name: cloud-credentials
           prefix: velero
           default: true
           config:
             region: ${REGION}
       configuration:
         velero:
           defaultPlugins:
           - openshift
           - aws
         nodeAgent: 

   2

   
           enable: false
           uploaderType: restic
       snapshotLocations:
         - velero:
             config:
               credentialsFile: /tmp/credentials/openshift-adp/cloud-credentials-credentials 

   3

   
               enableSharedConfig: "true" 

   4

   
               profile: default 

   5

   
               region: ${REGION} 

   6

   
             provider: aws
   EOF

   Copy to Clipboard Toggle word wrap

   1

   ROSA 支持内部镜像备份。如果您不想使用镜像备份，请将此字段设置为 false。

   2

   请参阅有关 nodeAgent 属性的重要备注。

   3

   credentialsFile 字段是 pod 上存储桶凭证的挂载位置。

   4

   enableSharedConfig 字段允许 snapshotLocations 共享或重复使用为存储桶定义的凭证。

   5

   使用 AWS 凭证文件中设置的配置集名称。

   6

   将 region 指定为您的 AWS 区域。这必须与集群区域相同。

   现在，您可以备份和恢复 Red Hat OpenShift Service on AWS 应用程序，如 备份应用程序 中所述。

流程

1. 要验证 OADP 订阅是否有错误的 IAM 角色 ARN 环境变量设置，请运行以下命令：

   $ oc get sub -o yaml redhat-oadp-operator

   Copy to Clipboard Toggle word wrap

   订阅示例

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     annotations:
     creationTimestamp: "2025-01-15T07:18:31Z"
     generation: 1
     labels:
       operators.coreos.com/redhat-oadp-operator.openshift-adp: ""
     name: redhat-oadp-operator
     namespace: openshift-adp
     resourceVersion: "77363"
     uid: 5ba00906-5ad2-4476-ae7b-ffa90986283d
   spec:
     channel: stable-1.4
     config:
       env:
       - name: ROLEARN
         value: arn:aws:iam::11111111:role/wrong-role-arn 

   1

   
     installPlanApproval: Manual
     name: redhat-oadp-operator
     source: prestage-operators
     sourceNamespace: openshift-marketplace
     startingCSV: oadp-operator.v1.4.2

   Copy to Clipboard Toggle word wrap

   1

   验证您要更新的 ROLEARN 的值。

2. 运行以下命令，使用正确的角色 ARN 更新订阅的 ROLEARN 字段：

   $ oc patch subscription redhat-oadp-operator -p '{"spec": {"config": {"env": [{"name": "ROLEARN", "value": "<role_arn>"}]}}}' --type='merge'

   Copy to Clipboard Toggle word wrap

   其中：

   <role_arn>

   指定要更新的 IAM 角色 ARN。例如，arn:aws:iam::160…​..6956:role/oadprosa…​.8wlf.

3. 运行以下命令，验证 secret 对象是否使用正确的角色 ARN 值更新：

   $ oc get secret cloud-credentials -o jsonpath='{.data.credentials}' | base64 -d

   Copy to Clipboard Toggle word wrap

   输出示例

   [default]
   sts_regional_endpoints = regional
   role_arn = arn:aws:iam::160.....6956:role/oadprosa.....8wlf
   web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token

   Copy to Clipboard Toggle word wrap

4. 配置 DataProtectionApplication 自定义资源(CR)清单文件，如下例所示：

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: test-rosa-dpa
     namespace: openshift-adp
   spec:
     backupLocations:
     - bucket:
         config:
           region: us-east-1
         cloudStorageRef:
           name: <cloud_storage> 

   1

   
         credential:
           name: cloud-credentials
           key: credentials
         prefix: velero
         default: true
     configuration:
       velero:
         defaultPlugins:
         - aws
         - openshift

   Copy to Clipboard Toggle word wrap

   1

   指定 CloudStorage CR。

5. 运行以下命令来创建 DataProtectionApplication CR：

   $ oc create -f <dpa_manifest_file>

   Copy to Clipboard Toggle word wrap

6. 运行以下命令，验证 DataProtectionApplication CR 是否已协调，状态 是否已设置为 "True" ：

   $  oc get dpa -n openshift-adp -o yaml

   Copy to Clipboard Toggle word wrap

   DataProtectionApplication示例

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   ...
   status:
       conditions:
       - lastTransitionTime: "2023-07-31T04:48:12Z"
         message: Reconcile complete
         reason: Complete
         status: "True"
         type: Reconciled

   Copy to Clipboard Toggle word wrap

7. 运行以下命令，验证 BackupStorageLocation CR 是否处于 available 状态：

   $ oc get backupstoragelocations.velero.io -n openshift-adp

   Copy to Clipboard Toggle word wrap

   BackupStorageLocation示例

   NAME       PHASE       LAST VALIDATED   AGE   DEFAULT
   ts-dpa-1   Available   3s               6s    true

   Copy to Clipboard Toggle word wrap

流程

1. 要在运行实际备份前预览备份中包含的资源，请运行以下命令：

   $ velero backup create <backup-name> --snapshot-volumes false 

   1

   Copy to Clipboard Toggle word wrap

   1

   将 --snapshot-volumes 参数的值 指定为 false。

2. 要了解有关备份资源的更多详细信息，请运行以下命令：

   $ velero describe backup <backup_name> --details 

   1

   Copy to Clipboard Toggle word wrap

   1

   指定备份的名称。

3. 要在运行实际恢复前预览恢复中包含的资源，请运行以下命令：

   $ velero restore create --from-backup <backup-name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   指定为查看备份资源而创建的备份名称。

   重要

   velero restore create 命令在集群中创建恢复资源。在查看资源后，您必须删除作为恢复的一部分创建的资源。

4. 要了解有关恢复资源的更多详细信息，请运行以下命令：

   $ velero describe restore <restore_name> --details 

   1

   Copy to Clipboard Toggle word wrap

   1

   指定恢复的名称。

流程