5.7. AWS S3 互換ストレージを使用した OADP の設定

手順

1. BUCKET 変数を設定します。

   $ BUCKET=<your_bucket>

   Copy to Clipboard Toggle word wrap

2. REGION 変数を設定します。

   $ REGION=<your_region>

   Copy to Clipboard Toggle word wrap

3. AWS S3 バケットを作成します。

   $ aws s3api create-bucket \
       --bucket $BUCKET \
       --region $REGION \
       --create-bucket-configuration LocationConstraint=$REGION 

   1

   Copy to Clipboard Toggle word wrap

   1

   us-east-1 は LocationConstraint をサポートしていません。お住まいの地域が us-east-1 の場合は、--create-bucket-configuration LocationConstraint=$REGION を省略してください。

4. IAM ユーザーを作成します。

   $ aws iam create-user --user-name velero 

   1

   Copy to Clipboard Toggle word wrap

   1

   Velero を使用して複数の S3 バケットを持つ複数のクラスターをバックアップする場合は、クラスターごとに一意のユーザー名を作成します。

5. velero-policy.json ファイルを作成します。

   $ cat > velero-policy.json <<EOF
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:DescribeVolumes",
                   "ec2:DescribeSnapshots",
                   "ec2:CreateTags",
                   "ec2:CreateVolume",
                   "ec2:CreateSnapshot",
                   "ec2:DeleteSnapshot"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:DeleteObject",
                   "s3:PutObject",
                   "s3:AbortMultipartUpload",
                   "s3:ListMultipartUploadParts"
               ],
               "Resource": [
                   "arn:aws:s3:::${BUCKET}/*"
               ]
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket",
                   "s3:GetBucketLocation",
                   "s3:ListBucketMultipartUploads"
               ],
               "Resource": [
                   "arn:aws:s3:::${BUCKET}"
               ]
           }
       ]
   }
   EOF

   Copy to Clipboard Toggle word wrap

6. ポリシーを添付して、velero ユーザーに必要最小限の権限を付与します。

   $ aws iam put-user-policy \
     --user-name velero \
     --policy-name velero \
     --policy-document file://velero-policy.json

   Copy to Clipboard Toggle word wrap

7. velero ユーザーのアクセスキーを作成します。

   $ aws iam create-access-key --user-name velero

   Copy to Clipboard Toggle word wrap

   出力例

   {
     "AccessKey": {
           "UserName": "velero",
           "Status": "Active",
           "CreateDate": "2017-07-31T22:24:41.576Z",
           "SecretAccessKey": <AWS_SECRET_ACCESS_KEY>,
           "AccessKeyId": <AWS_ACCESS_KEY_ID>
     }
   }

   Copy to Clipboard Toggle word wrap

8. credentials-velero ファイルを作成します。

   $ cat << EOF > ./credentials-velero
   [default]
   aws_access_key_id=<AWS_ACCESS_KEY_ID>
   aws_secret_access_key=<AWS_SECRET_ACCESS_KEY>
   EOF

   Copy to Clipboard Toggle word wrap

   Data Protection Application をインストールする前に、credentials-velero ファイルを使用して AWS の Secret オブジェクトを作成します。

手順

1. Operators Installed Operators をクリックして、OADP Operator を選択します。
2. Provided APIs で、DataProtectionApplication ボックスの Create instance をクリックします。

3. YAML View をクリックして、DataProtectionApplication マニフェストのパラメーターを更新します。

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: <dpa_sample>
     namespace: openshift-adp 

   1

   
   spec:
     configuration:
       velero:
         defaultPlugins:
           - openshift 

   2

   
           - aws
         resourceTimeout: 10m 

   3

   
       nodeAgent: 

   4

   
         enable: true 

   5

   
         uploaderType: kopia 

   6

   
         podConfig:
           nodeSelector: <node_selector> 

   7

   
     backupLocations:
       - name: default
         velero:
           provider: aws
           default: true
           objectStorage:
             bucket: <bucket_name> 

   8

   
             prefix: <prefix> 

   9

   
           config:
             region: <region>
             profile: "default"
             s3ForcePathStyle: "true" 

   10

   
             s3Url: <s3_url> 

   11

   
           credential:
             key: cloud
             name: cloud-credentials 

   12

   
     snapshotLocations: 

   13

   
       - name: default
         velero:
           provider: aws
           config:
             region: <region> 

   14

   
             profile: "default"
           credential:
             key: cloud
             name: cloud-credentials 

   15

   Copy to Clipboard Toggle word wrap

   1

   OADP のデフォルトの namespace は openshift-adp です。namespace は変数であり、設定可能です。

   2

   openshift プラグインは必須です。

   3

   Velero CRD の可用性、volumeSnapshot の削除、バックアップリポジトリーの可用性など、タイムアウトが発生するまでに複数の Velero リソースを待機する時間を分単位で指定します。デフォルトは 10m です。

   4

   管理要求をサーバーにルーティングする管理エージェント。

   5

   nodeAgent を有効にして File System Backup を実行する場合は、この値を true に設定します。

   6

   アップローダーとして kopia または restic と入力します。インストール後に選択を変更することはできません。組み込み DataMover の場合は、Kopia を使用する必要があります。nodeAgent はデーモンセットをデプロイします。これは、nodeAgent Pod が各ワーキングノード上で実行されることを意味します。File System Backup を設定するには、spec.defaultVolumesToFsBackup: true を Backup CR に追加します。

   7

   Kopia または Restic が使用可能なノードを指定します。デフォルトでは、Kopia または Restic はすべてのノードで実行されます。

   8

   Backup Storage Location としてバケットを指定します。バケットが Velero バックアップ専用のバケットでない場合は、接頭辞を指定する必要があります。

   9

   バケットが複数の目的で使用される場合は、Velero バックアップの接頭辞を指定します (例: velero)。

   10

   S3 オブジェクトにパススタイルの URL を強制するかどうかを指定します (ブール値)。AWS S3 では必要ありません。S3 互換ストレージにのみ必要です。

   11

   バックアップを保存するために使用しているオブジェクトストアの URL を指定します。AWS S3 では必要ありません。S3 互換ストレージにのみ必要です。

   12

   作成した Secret オブジェクトの名前を指定します。この値を指定しない場合は、デフォルト名の cloud-credentials が使用されます。カスタム名を指定すると、バックアップの場所にカスタム名が使用されます。

   13

   CSI スナップショットまたは File System Backup (FSB) を使用して PV をバックアップする場合を除き、スナップショットの場所を指定します。

   14

   スナップショットの場所は、PV と同じリージョンにある必要があります。

   15

   作成した Secret オブジェクトの名前を指定します。この値を指定しない場合は、デフォルト名の cloud-credentials が使用されます。カスタム名を指定すると、スナップショットの場所にカスタム名が使用されます。バックアップとスナップショットの場所で異なる認証情報を使用する場合は、credentials-velero ファイルに個別のプロファイルを作成します。

4. Create をクリックします。

検証

1. 次のコマンドを実行して OpenShift API for Data Protection (OADP) リソースを表示し、インストールを検証します。

   $ oc get all -n openshift-adp

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                                                     READY   STATUS    RESTARTS   AGE
   pod/oadp-operator-controller-manager-67d9494d47-6l8z8    2/2     Running   0          2m8s
   pod/node-agent-9cq4q                                     1/1     Running   0          94s
   pod/node-agent-m4lts                                     1/1     Running   0          94s
   pod/node-agent-pv4kr                                     1/1     Running   0          95s
   pod/velero-588db7f655-n842v                              1/1     Running   0          95s
   
   NAME                                                       TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)    AGE
   service/oadp-operator-controller-manager-metrics-service   ClusterIP   172.30.70.140    <none>        8443/TCP   2m8s
   service/openshift-adp-velero-metrics-svc                   ClusterIP   172.30.10.0      <none>        8085/TCP   8h
   
   NAME                        DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR   AGE
   daemonset.apps/node-agent    3         3         3       3            3           <none>          96s
   
   NAME                                                READY   UP-TO-DATE   AVAILABLE   AGE
   deployment.apps/oadp-operator-controller-manager    1/1     1            1           2m9s
   deployment.apps/velero                              1/1     1            1           96s
   
   NAME                                                           DESIRED   CURRENT   READY   AGE
   replicaset.apps/oadp-operator-controller-manager-67d9494d47    1         1         1       2m9s
   replicaset.apps/velero-588db7f655                              1         1         1       96s

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、DataProtectionApplication (DPA) が調整されていることを確認します。

   $ oc get dpa dpa-sample -n openshift-adp -o jsonpath='{.status}'

   Copy to Clipboard Toggle word wrap

   出力例

   {"conditions":[{"lastTransitionTime":"2023-10-27T01:23:57Z","message":"Reconcile complete","reason":"Complete","status":"True","type":"Reconciled"}]}

   Copy to Clipboard Toggle word wrap

3. type が Reconciled に設定されていることを確認します。

4. 次のコマンドを実行して、Backup Storage Location を確認し、PHASE が Available であることを確認します。

   $ oc get backupstoragelocations.velero.io -n openshift-adp

   Copy to Clipboard Toggle word wrap

   出力例

   NAME           PHASE       LAST VALIDATED   AGE     DEFAULT
   dpa-sample-1   Available   1s               3d16h   true

   Copy to Clipboard Toggle word wrap

手順

1. 特定のノードに対して同時実行を使用する場合は、それらのノードにラベルを追加します。

   $ oc label node/<node_name> label.io/instance-type='large'

   Copy to Clipboard Toggle word wrap

2. DPA インスタンスの同時実行フィールドを設定します。

     configuration:
       nodeAgent:
         enable: true
         uploaderType: kopia
         loadConcurrency:
           globalConfig: 1 

   1

   
           perNodeConfig:
           - nodeSelector:
                 matchLabels:
                    label.io/instance-type: large 

   2

   
             number: 3 

   3

   Copy to Clipboard Toggle word wrap

   1

   グローバル同時実行数。デフォルト値は 1 です。これは同時実行がなく、1 つの負荷のみが許可されることを意味します。globalConfig 値に制限はありません。

   2

   ノードごとの同時実行性のラベル。

   3

   ノードごとの同時実行数。たとえば、インスタンスのタイプとサイズに基づき、ノードごとに多数の同時実行数を指定できます。ノードごとの同時実行数の範囲は、グローバル同時実行数と同じです。設定ファイルにノードごとの同時実行数とグローバル同時実行数が含まれている場合、ノードごとの同時実行数が優先されます。

検証

1. 次のコマンドを実行して、ノードエージェントのセキュリティーコンテキストが非 root として実行するように設定され、root ファイルシステムが readOnly あることを確認します。

   $ oc get daemonset node-agent -o yaml

   Copy to Clipboard Toggle word wrap

   出力例は次のとおりです。

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
     ...
     name: node-agent
     namespace: openshift-adp
     ...
   spec:
     ...
     template:
       metadata:
         ...
       spec:
         containers:
         ...
           securityContext:
             allowPrivilegeEscalation: false 

   1

   
             capabilities:
               drop:
               - ALL
             privileged: false 

   2

   
             readOnlyRootFilesystem: true 

   3

   
           ...
         nodeSelector:
           kubernetes.io/os: linux
         os:
           name: linux
         restartPolicy: Always
         schedulerName: default-scheduler
         securityContext:
           runAsNonRoot: true 

   4

   
           seccompProfile:
             type: RuntimeDefault
         serviceAccount: velero
         serviceAccountName: velero
         ....

   Copy to Clipboard Toggle word wrap

   1

   allowPrivilegeEscalation フィールドは false です。

   2

   privileged フィールドは false です。

   3

   root ファイルシステムは読み取り専用です。

   4

   ノードエージェントは root 以外のユーザーとして実行されます。

手順

1. 複数の BackupStorageLocation CR を使用して DataProtectionApplication CR を設定します。以下の例を参照してください。

   DPA の例

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   #...
   backupLocations:
     - name: aws 

   1

   
       velero:
         provider: aws
         default: true 

   2

   
         objectStorage:
           bucket: <bucket_name> 

   3

   
           prefix: <prefix> 

   4

   
         config:
           region: <region_name> 

   5

   
           profile: "default"
         credential:
           key: cloud
           name: cloud-credentials 

   6

   
     - name: odf 

   7

   
       velero:
         provider: aws
         default: false
         objectStorage:
           bucket: <bucket_name>
           prefix: <prefix>
         config:
           profile: "default"
           region: <region_name>
           s3Url: <url> 

   8

   
           insecureSkipTLSVerify: "true"
           s3ForcePathStyle: "true"
         credential:
           key: cloud
           name: <custom_secret_name_odf> 

   9

   
   #...

   Copy to Clipboard Toggle word wrap

   1

   最初の BSL の名前を指定します。

   2

   このパラメーターは、この BSL がデフォルトの BSL であることを示します。Backup CR に BSL が設定されていない場合は、デフォルトの BSL が使用されます。デフォルトとして設定できる BSL は 1 つだけです。

   3

   バケット名を指定します。

   4

   Velero バックアップの接頭辞を指定します (例: velero)。

   5

   バケットの AWS リージョンを指定します。

   6

   作成したデフォルトの Secret オブジェクトの名前を指定します。

   7

   2 番目の BSL の名前を指定します。

   8

   S3 エンドポイントの URL を指定します。

   9

   Secret の正しい名前を指定します。たとえば、custom_secret_name_odf です。Secret 名を指定しない場合は、デフォルトの名前が使用されます。

2. バックアップ CR で使用する BSL を指定します。以下の例を参照してください。

   バックアップ CR の例

   apiVersion: velero.io/v1
   kind: Backup
   # ...
   spec:
     includedNamespaces:
     - <namespace> 

   1

   
     storageLocation: <backup_storage_location> 

   2

   
     defaultVolumesToFsBackup: true

   Copy to Clipboard Toggle word wrap

   1

   バックアップする namespace を指定します。

   2

   保存場所を指定します。