5.9. Azure を使用した OADP の設定

手順

1. Backup Storage Location の credentials-velero ファイルをクラウドプロバイダーに適した形式で作成します。

   Azure で OADP を認証するには、次の 2 つの方法のいずれかを使用できます。

   • シークレットベースの認証でサービスプリンシパルを使用します。以下の例を参照してください。

     AZURE_SUBSCRIPTION_ID=<azure_subscription_id>
     AZURE_TENANT_ID=<azure_tenant_id>
     AZURE_CLIENT_ID=<azure_client_id>
     AZURE_CLIENT_SECRET=<azure_client_secret>
     AZURE_RESOURCE_GROUP=<azure_resource_group>
     AZURE_CLOUD_NAME=<azure_cloud_name>

     Copy to Clipboard Toggle word wrap

   • ストレージアカウントアクセスキーを使用します。以下の例を参照してください。

     AZURE_STORAGE_ACCOUNT_ACCESS_KEY=<azure_storage_account_access_key>
     AZURE_SUBSCRIPTION_ID=<azure_subscription_id>
     AZURE_RESOURCE_GROUP=<azure_resource_group>
     AZURE_CLOUD_NAME=<azure_cloud_name>

     Copy to Clipboard Toggle word wrap

2. デフォルト名で Secret カスタムリソース (CR) を作成します。

   $ oc create secret generic cloud-credentials-azure -n openshift-adp --from-file cloud=credentials-velero

   Copy to Clipboard Toggle word wrap

3. 次の例に示すように、Data Protection Application をインストールするときに、DataProtectionApplication CR の spec.backupLocations.velero.credential ブロック内の Secret を参照します。

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: <dpa_sample>
     namespace: openshift-adp
   spec:
   ...
     backupLocations:
       - velero:
           config:
             resourceGroup: <azure_resource_group>
             storageAccount: <azure_storage_account_id>
             subscriptionId: <azure_subscription_id>
           credential:
             key: cloud
             name: <custom_secret> 

   1

   
           provider: azure
           default: true
           objectStorage:
             bucket: <bucket_name>
             prefix: <prefix>
     snapshotLocations:
       - velero:
           config:
             resourceGroup: <azure_resource_group>
             subscriptionId: <azure_subscription_id>
             incremental: "true"
           provider: azure

   Copy to Clipboard Toggle word wrap

   1

   カスタム名を持つバックアップロケーションの Secret。

手順

1. 長期認証情報を使用してクラスターをインストールした場合は、インストール後に Microsoft Entra Workload ID 認証に切り替えることができます。詳細は、既存のクラスターで Microsoft Entra Workload ID を有効にする を参照してください。

   重要

   既存の Azure クラスターで Microsoft Entra Workload ID を有効にした後、OADP を含め、クラウド認証情報を使用するすべてのクラスターコンポーネントを、新しい認証方法を使用するように更新する必要があります。

2. 次の例に示すように、Azure STS 設定の環境変数を設定します。

   export API_URL=$(oc whoami --show-server) # Get cluster information
   export CLUSTER_NAME=$(echo "$API_URL" | sed 's|https://api\.||' | sed 's|\..*||')
   export CLUSTER_RESOURCE_GROUP="${CLUSTER_NAME}-rg"
   
   # Get Azure information
   export AZURE_SUBSCRIPTION_ID=$(az account show --query id -o tsv)
   export AZURE_TENANT_ID=$(az account show --query tenantId -o tsv)
   
   # Set names for resources
   export IDENTITY_NAME="velero"
   export APP_NAME="velero-${CLUSTER_NAME}"
   export STORAGE_ACCOUNT_NAME=$(echo "velero${CLUSTER_NAME}" | tr -d '-' | tr '[:upper:]' '[:lower:]' | cut -c1-24)
   export CONTAINER_NAME="velero"

   Copy to Clipboard Toggle word wrap

3. 次の例に示すように、OADP 用の Azure マネージド ID を作成します。

   az identity create \ # Create managed identity
       --subscription "$AZURE_SUBSCRIPTION_ID" \
       --resource-group "$CLUSTER_RESOURCE_GROUP" \
       --name "$IDENTITY_NAME"
   
   # Get identity details
   export IDENTITY_CLIENT_ID=$(az identity show -g "$CLUSTER_RESOURCE_GROUP" -n "$IDENTITY_NAME" --query clientId -o tsv)
   export IDENTITY_PRINCIPAL_ID=$(az identity show -g "$CLUSTER_RESOURCE_GROUP" -n "$IDENTITY_NAME" --query principalId -o tsv)

   Copy to Clipboard Toggle word wrap

4. 次の例に示すように、必要な Azure ロールをマネージド ID に付与します。

   export SUBSCRIPTION_ID=$(az account show --query id -o tsv) # Get subscription ID for role assignments
   
   # Required roles for OADP operations
   REQUIRED_ROLES=(
       "Contributor"
       "Storage Blob Data Contributor"
       "Disk Snapshot Contributor"
   )
   
   for role in "${REQUIRED_ROLES[@]}"; do
       echo "Assigning role: $role"
       az role assignment create \
           --assignee "$IDENTITY_PRINCIPAL_ID" \
           --role "$role" \
           --scope "/subscriptions/$SUBSCRIPTION_ID"
   done

   Copy to Clipboard Toggle word wrap

5. 次の例に示すように、Azure ストレージアカウントとコンテナーを作成します。

   az storage account create \ # Create storage account
       --name "$STORAGE_ACCOUNT_NAME" \
       --resource-group "$CLUSTER_RESOURCE_GROUP" \
       --location "$(az group show -n $CLUSTER_RESOURCE_GROUP --query location -o tsv)" \
       --sku Standard_LRS \
       --kind StorageV2

   Copy to Clipboard Toggle word wrap

6. 次の例に示すように、OpenShift クラスターから OIDC 発行者の URL を取得します。

   export SERVICE_ACCOUNT_ISSUER=$(oc get authentication.config.openshift.io cluster -o json | jq -r .spec.serviceAccountIssuer)
   echo "OIDC Issuer: $SERVICE_ACCOUNT_ISSUER"

   Copy to Clipboard Toggle word wrap

7. 次の例に示すように、Microsoft Entra Workload ID Federation を設定します。

   az identity federated-credential create \ # Create federated identity credential for Velero service account
       --name "velero-federated-credential" \
       --identity-name "$IDENTITY_NAME" \
       --resource-group "$CLUSTER_RESOURCE_GROUP" \
       --issuer "$SERVICE_ACCOUNT_ISSUER" \
       --subject "system:serviceaccount:openshift-adp:velero" \
       --audiences "openshift"
   
   # Create federated identity credential for OADP controller manager
   az identity federated-credential create \
       --name "oadp-controller-federated-credential" \
       --identity-name "$IDENTITY_NAME" \
       --resource-group "$CLUSTER_RESOURCE_GROUP" \
       --issuer "$SERVICE_ACCOUNT_ISSUER" \
       --subject "system:serviceaccount:openshift-adp:openshift-adp-controller-manager" \
       --audiences "openshift"

   Copy to Clipboard Toggle word wrap

8. OADP の namespace が存在しない場合は、次のコマンドを実行して作成します。

   oc create namespace openshift-adp

   Copy to Clipboard Toggle word wrap

9. CloudStorage CR を使用して Azure クラウドストレージリソースを作成するには、次のコマンドを実行します。

   cat <<EOF | oc apply -f -
   apiVersion: oadp.openshift.io/v1alpha1
   kind: CloudStorage
   metadata:
     name: azure-backup-storage
     namespace: openshift-adp
   spec:
     name: ${CONTAINER_NAME}
     provider: azure
     creationSecret:
       name: cloud-credentials-azure
       key: azurekey
     config:
       storageAccount: ${STORAGE_ACCOUNT_NAME}
   EOF

   Copy to Clipboard Toggle word wrap

10. 次の例に示すように、DataProtectionApplication (DPA) カスタムリソース (CR) を作成し、Azure STS の詳細を設定します。

    cat <<EOF | oc apply -f -
    apiVersion: oadp.openshift.io/v1alpha1
    kind: DataProtectionApplication
    metadata:
      name: dpa-azure-workload-id-cloudstorage
      namespace: openshift-adp
    spec:
      backupLocations:
      - bucket:
          cloudStorageRef:
            name: <cloud_storage_cr> 

    1

    
          config:
            storageAccount: <storage_account_name> 

    2

    
            useAAD: "true"
          credential:
            key: azurekey
            name: cloud-credentials-azure
          default: true
          prefix: velero
        name: default
      configuration:
        velero:
          defaultPlugins:
          - azure
          - openshift
          - csi
          disableFsBackup: false
      logFormat: text
      snapshotLocations:
      - name: default
        velero:
          config:
            resourceGroup: <resource_group> 

    3

    
            subscriptionId: <subscription_ID> 

    4

    
          credential:
            key: azurekey
            name: cloud-credentials-azure
          provider: azure
    EOF

    Copy to Clipboard Toggle word wrap

    1

    CloudStorage CR 名を指定します。

    2

    Azure ストレージアカウント名を指定します。

    3

    リソースグループを指定します。

    4

    サブスクリプション ID を指定します。

検証

1. OADP Operator Pod が実行されていることを確認します。

   $ oc get pods -n openshift-adp

   Copy to Clipboard Toggle word wrap

2. Azure ロールの割り当てを確認します。

   az role assignment list --assignee ${IDENTITY_PRINCIPAL_ID} --all --query "[].roleDefinitionName" -o tsv

   Copy to Clipboard Toggle word wrap

3. Microsoft Entra Workload ID 認証を確認します。

   $ VELERO_POD=$(oc get pods -n openshift-adp -l app.kubernetes.io/name=velero -o jsonpath='{.items[0].metadata.name}') # Check Velero pod environment variables
   
   # Check AZURE_CLIENT_ID environment variable
   $ oc get pod ${VELERO_POD} -n openshift-adp -o jsonpath='{.spec.containers[0].env[?(@.name=="AZURE_CLIENT_ID")]}'
   
   # Check AZURE_FEDERATED_TOKEN_FILE environment variable
   $ oc get pod ${VELERO_POD} -n openshift-adp -o jsonpath='{.spec.containers[0].env[?(@.name=="AZURE_FEDERATED_TOKEN_FILE")]}'

   Copy to Clipboard Toggle word wrap
4. アプリケーションのバックアップを作成し、バックアップが Azure ストレージに正常に保存されていることを確認します。

手順

1. Operators Installed Operators をクリックして、OADP Operator を選択します。
2. Provided APIs で、DataProtectionApplication ボックスの Create instance をクリックします。

3. YAML View をクリックして、DataProtectionApplication マニフェストのパラメーターを更新します。

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: <dpa_sample>
     namespace: openshift-adp 

   1

   
   spec:
     configuration:
       velero:
         defaultPlugins:
           - azure
           - openshift 

   2

   
         resourceTimeout: 10m 

   3

   
       nodeAgent: 

   4

   
         enable: true 

   5

   
         uploaderType: kopia 

   6

   
         podConfig:
           nodeSelector: <node_selector> 

   7

   
     backupLocations:
       - velero:
           config:
             resourceGroup: <azure_resource_group> 

   8

   
             storageAccount: <azure_storage_account_id> 

   9

   
             subscriptionId: <azure_subscription_id> 

   10

   
           credential:
             key: cloud
             name: cloud-credentials-azure  

   11

   
           provider: azure
           default: true
           objectStorage:
             bucket: <bucket_name> 

   12

   
             prefix: <prefix> 

   13

   
     snapshotLocations: 

   14

   
       - velero:
           config:
             resourceGroup: <azure_resource_group>
             subscriptionId: <azure_subscription_id>
             incremental: "true"
           name: default
           provider: azure
           credential:
             key: cloud
             name: cloud-credentials-azure 

   15

   Copy to Clipboard Toggle word wrap

   1

   OADP のデフォルトの namespace は openshift-adp です。namespace は変数であり、設定可能です。

   2

   openshift プラグインは必須です。

   3

   Velero CRD の可用性、volumeSnapshot の削除、バックアップリポジトリーの可用性など、タイムアウトが発生するまでに複数の Velero リソースを待機する時間を分単位で指定します。デフォルトは 10m です。

   4

   管理要求をサーバーにルーティングする管理エージェント。

   5

   nodeAgent を有効にして File System Backup を実行する場合は、この値を true に設定します。

   6

   アップローダーとして kopia または restic と入力します。インストール後に選択を変更することはできません。組み込み DataMover の場合は、Kopia を使用する必要があります。nodeAgent はデーモンセットをデプロイします。これは、nodeAgent Pod が各ワーキングノード上で実行されることを意味します。File System Backup を設定するには、spec.defaultVolumesToFsBackup: true を Backup CR に追加します。

   7

   Kopia または Restic が使用可能なノードを指定します。デフォルトでは、Kopia または Restic はすべてのノードで実行されます。

   8

   Azure リソースグループを指定します。

   9

   Azure ストレージアカウント ID を指定します。

   10

   Azure サブスクリプション ID を指定します。

   11

   この値を指定しない場合は、デフォルト名の cloud-credentials-azure が使用されます。カスタム名を指定すると、バックアップの場所にカスタム名が使用されます。

   12

   Backup Storage Location としてバケットを指定します。バケットが Velero バックアップ専用のバケットでない場合は、接頭辞を指定する必要があります。

   13

   バケットが複数の目的で使用される場合は、Velero バックアップの接頭辞を指定します (例: velero)。

   14

   CSI スナップショットまたは Restic を使用して PV をバックアップする場合は、スナップショットの場所を指定する必要はありません。

   15

   作成した Secret オブジェクトの名前を指定します。この値を指定しない場合は、デフォルト名の cloud-credentials-azure が使用されます。カスタム名を指定すると、バックアップの場所にカスタム名が使用されます。

4. Create をクリックします。

検証

1. 次のコマンドを実行して OpenShift API for Data Protection (OADP) リソースを表示し、インストールを検証します。

   $ oc get all -n openshift-adp

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                                                     READY   STATUS    RESTARTS   AGE
   pod/oadp-operator-controller-manager-67d9494d47-6l8z8    2/2     Running   0          2m8s
   pod/node-agent-9cq4q                                     1/1     Running   0          94s
   pod/node-agent-m4lts                                     1/1     Running   0          94s
   pod/node-agent-pv4kr                                     1/1     Running   0          95s
   pod/velero-588db7f655-n842v                              1/1     Running   0          95s
   
   NAME                                                       TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)    AGE
   service/oadp-operator-controller-manager-metrics-service   ClusterIP   172.30.70.140    <none>        8443/TCP   2m8s
   service/openshift-adp-velero-metrics-svc                   ClusterIP   172.30.10.0      <none>        8085/TCP   8h
   
   NAME                        DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR   AGE
   daemonset.apps/node-agent    3         3         3       3            3           <none>          96s
   
   NAME                                                READY   UP-TO-DATE   AVAILABLE   AGE
   deployment.apps/oadp-operator-controller-manager    1/1     1            1           2m9s
   deployment.apps/velero                              1/1     1            1           96s
   
   NAME                                                           DESIRED   CURRENT   READY   AGE
   replicaset.apps/oadp-operator-controller-manager-67d9494d47    1         1         1       2m9s
   replicaset.apps/velero-588db7f655                              1         1         1       96s

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、DataProtectionApplication (DPA) が調整されていることを確認します。

   $ oc get dpa dpa-sample -n openshift-adp -o jsonpath='{.status}'

   Copy to Clipboard Toggle word wrap

   出力例

   {"conditions":[{"lastTransitionTime":"2023-10-27T01:23:57Z","message":"Reconcile complete","reason":"Complete","status":"True","type":"Reconciled"}]}

   Copy to Clipboard Toggle word wrap

3. type が Reconciled に設定されていることを確認します。

4. 次のコマンドを実行して、Backup Storage Location を確認し、PHASE が Available であることを確認します。

   $ oc get backupstoragelocations.velero.io -n openshift-adp

   Copy to Clipboard Toggle word wrap

   出力例

   NAME           PHASE       LAST VALIDATED   AGE     DEFAULT
   dpa-sample-1   Available   1s               3d16h   true

   Copy to Clipboard Toggle word wrap

手順

1. カスタムラベルを追加して、選択した任意のノードでノードエージェントを実行します。

   $ oc label node/<node_name> node-role.kubernetes.io/nodeAgent=""

   Copy to Clipboard Toggle word wrap
   注記

   指定したラベルが、各ノードのラベルと一致する必要があります。

2. ノードのラベル付けに使用したのと同じカスタムラベルを DPA.spec.configuration.nodeAgent.podConfig.nodeSelector フィールドで使用します。

   configuration:
     nodeAgent:
       enable: true
       podConfig:
         nodeSelector:
           node-role.kubernetes.io/nodeAgent: ""

   Copy to Clipboard Toggle word wrap

   次の例は nodeSelector のアンチパターンです。この例は、node-role.kubernetes.io/infra: "" と node-role.kubernetes.io/worker: "" の両方のラベルがノードに存在しない限り機能しません。

       configuration:
         nodeAgent:
           enable: true
           podConfig:
             nodeSelector:
               node-role.kubernetes.io/infra: ""
               node-role.kubernetes.io/worker: ""

   Copy to Clipboard Toggle word wrap

手順

1. 特定のノードに対して同時実行を使用する場合は、それらのノードにラベルを追加します。

   $ oc label node/<node_name> label.io/instance-type='large'

   Copy to Clipboard Toggle word wrap

2. DPA インスタンスの同時実行フィールドを設定します。

     configuration:
       nodeAgent:
         enable: true
         uploaderType: kopia
         loadConcurrency:
           globalConfig: 1 

   1

   
           perNodeConfig:
           - nodeSelector:
                 matchLabels:
                    label.io/instance-type: large 

   2

   
             number: 3 

   3

   Copy to Clipboard Toggle word wrap

   1

   グローバル同時実行数。デフォルト値は 1 です。これは同時実行がなく、1 つの負荷のみが許可されることを意味します。globalConfig 値に制限はありません。

   2

   ノードごとの同時実行性のラベル。

   3

   ノードごとの同時実行数。たとえば、インスタンスのタイプとサイズに基づき、ノードごとに多数の同時実行数を指定できます。ノードごとの同時実行数の範囲は、グローバル同時実行数と同じです。設定ファイルにノードごとの同時実行数とグローバル同時実行数が含まれている場合、ノードごとの同時実行数が優先されます。

検証

1. 次のコマンドを実行して、ノードエージェントのセキュリティーコンテキストが非 root として実行するように設定され、root ファイルシステムが readOnly あることを確認します。

   $ oc get daemonset node-agent -o yaml

   Copy to Clipboard Toggle word wrap

   出力例は次のとおりです。

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
     ...
     name: node-agent
     namespace: openshift-adp
     ...
   spec:
     ...
     template:
       metadata:
         ...
       spec:
         containers:
         ...
           securityContext:
             allowPrivilegeEscalation: false 

   1

   
             capabilities:
               drop:
               - ALL
             privileged: false 

   2

   
             readOnlyRootFilesystem: true 

   3

   
           ...
         nodeSelector:
           kubernetes.io/os: linux
         os:
           name: linux
         restartPolicy: Always
         schedulerName: default-scheduler
         securityContext:
           runAsNonRoot: true 

   4

   
           seccompProfile:
             type: RuntimeDefault
         serviceAccount: velero
         serviceAccountName: velero
         ....

   Copy to Clipboard Toggle word wrap

   1

   allowPrivilegeEscalation フィールドは false です。

   2

   privileged フィールドは false です。

   3

   root ファイルシステムは読み取り専用です。

   4

   ノードエージェントは root 以外のユーザーとして実行されます。