バックアップおよび復元

手順

1. OpenShift 4.18 を OpenShift 4.19 にアップグレードします。

   注記

   OpenShift API for Data Protection (OADP) 1.4 は OpenShift 4.19 ではサポートされていません。

2. OADP Operator のサブスクリプションチャネルを stable-1.4 から stable に変更します。
3. Operator とコンテナーが更新され、再起動するまで待ちます。

手順

1. nodeAgent デーモンセットを設定するには、DPA の spec.configuration.nodeAgent パラメーターを使用します。以下の例を参照してください。

   DataProtectionApplication の設定例

   ...
    spec:
      configuration:
        nodeAgent:
          enable: true
          uploaderType: kopia
   ...

2. node-agent-config という名前の ConfigMap リソースを使用して nodeAgent デーモンセットを設定するには、以下の設定例を参照してください。

   config map の例

   ...
    spec:
      configuration:
        nodeAgent:
          backupPVC:
            ...
          loadConcurrency:
            ...
          podResources:
            ...
          restorePVC:
           ...
   ...

手順

1. DataProtectionApplication (DPA) が正常に調整されたことを確認します。

   $ oc get dpa dpa-sample -n openshift-adp

   出力例

   NAME            RECONCILED   AGE
   dpa-sample      True         2m51s

   注記

   RECONCILED 列は True である必要があります。

2. 次のコマンドを実行して、OADP リソースを表示して、インストールが完了したことを確認します。

   $ oc get all -n openshift-adp

   出力例

   NAME                                                    READY   STATUS    RESTARTS   AGE
   pod/node-agent-9pjz9                                    1/1     Running   0          3d17h
   pod/node-agent-fmn84                                    1/1     Running   0          3d17h
   pod/node-agent-xw2dg                                    1/1     Running   0          3d17h
   pod/openshift-adp-controller-manager-76b8bc8d7b-kgkcw   1/1     Running   0          3d17h
   pod/velero-64475b8c5b-nh2qc                             1/1     Running   0          3d17h
   
   NAME                                                       TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)    AGE
   service/openshift-adp-controller-manager-metrics-service   ClusterIP   172.30.194.192   <none>        8443/TCP   3d17h
   service/openshift-adp-velero-metrics-svc                   ClusterIP   172.30.190.174   <none>        8085/TCP   3d17h
   
   NAME                        DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR   AGE
   daemonset.apps/node-agent   3         3         3       3            3           <none>          3d17h
   
   NAME                                               READY   UP-TO-DATE   AVAILABLE   AGE
   deployment.apps/openshift-adp-controller-manager   1/1     1            1           3d17h
   deployment.apps/velero                             1/1     1            1           3d17h
   
   NAME                                                          DESIRED   CURRENT   READY   AGE
   replicaset.apps/openshift-adp-controller-manager-76b8bc8d7b   1         1         1       3d17h
   replicaset.apps/openshift-adp-controller-manager-85fff975b8   0         0         0       3d17h
   replicaset.apps/velero-64475b8c5b                             1         1         1       3d17h
   replicaset.apps/velero-8b5bc54fd                              0         0         0       3d17h
   replicaset.apps/velero-f5c9ffb66                              0         0         0       3d17h

   注記

   node-agent Pod は、DataProtectionApplication (DPA) で restic または kopia を使用しているときにのみ作成されます。OADP 1.4.0 および OADP 1.3.0 バージョンでは、node-agent Pod は restic とラベル付けされています。

3. 次のコマンドを実行して、Backup Storage Location を確認し、PHASE が Available であることを確認します。

   $ oc get backupstoragelocations.velero.io -n openshift-adp

   出力例

   NAME           PHASE       LAST VALIDATED   AGE     DEFAULT
   dpa-sample-1   Available   1s               3d16h   true

手順

1. 次の例に示すように、NooBaa MCG バケットを要求する OBC マニフェストファイルを作成します。

   apiVersion: objectbucket.io/v1alpha1
   kind: ObjectBucketClaim
   metadata:
     name: test-obc
     namespace: openshift-adp
   spec:
     storageClassName: openshift-storage.noobaa.io
     generateBucketName: test-backup-bucket

   ここでは、以下のようになります。

   test-obc

   Object Bucket Claim の名前を指定します。

   test-backup-bucket

   バケットの名前を指定します。

2. 次のコマンドを実行して OBC を作成します。

   $ oc create -f <obc_file_name>

   ここでは、以下のようになります。

   <obc_file_name>

   Object Bucket Claim マニフェストのファイル名を指定します。

3. OBC を作成すると、ODF が Object Bucket Claim と同じ名前の secret と config map を作成します。secret にはバケットの認証情報が含まれており、config map にはバケットにアクセスするための情報が含まれています。生成された config map からバケット名とバケットホストを取得するには、次のコマンドを実行します。

   $ oc extract --to=- cm/test-obc

   test-obc は OBC の名前です。

   出力例

   # BUCKET_NAME
   backup-c20...41fd
   # BUCKET_PORT
   443
   # BUCKET_REGION
   
   # BUCKET_SUBREGION
   
   # BUCKET_HOST
   s3.openshift-storage.svc

4. 生成された secret からバケットの認証情報を取得するには、次のコマンドを実行します。

   $ oc extract --to=- secret/test-obc

   出力例

   # AWS_ACCESS_KEY_ID
   ebYR....xLNMc
   # AWS_SECRET_ACCESS_KEY
   YXf...+NaCkdyC3QPym

5. 次のコマンドを実行して、openshift-storage namespace の s3 ルートから S3 エンドポイントのパブリック URL を取得します。

   $ oc get route s3 -n openshift-storage

6. 次のコマンドに示すように、オブジェクトバケットの認証情報を含む cloud-credentials ファイルを作成します。

   [default]
   aws_access_key_id=<AWS_ACCESS_KEY_ID>
   aws_secret_access_key=<AWS_SECRET_ACCESS_KEY>

7. 次のコマンドに示すように、cloud-credentials ファイルの内容を使用して cloud-credentials シークレットを作成します。

   $ oc create secret generic \
     cloud-credentials \
     -n openshift-adp \
     --from-file cloud=cloud-credentials

8. 次の例に示すように、Data Protection Application (DPA) を設定します。

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: oadp-backup
     namespace: openshift-adp
   spec:
     configuration:
       nodeAgent:
         enable: true
         uploaderType: kopia
       velero:
         defaultPlugins:
           - aws
           - openshift
           - csi
         defaultSnapshotMoveData: true
     backupLocations:
       - velero:
           config:
             profile: "default"
             region: noobaa
             s3Url: https://s3.openshift-storage.svc
             s3ForcePathStyle: "true"
             insecureSkipTLSVerify: "true"
           provider: aws
           default: true
           credential:
             key: cloud
             name:  cloud-credentials
           objectStorage:
             bucket: <bucket_name>
             prefix: oadp

   ここでは、以下のようになります。

   defaultSnapshotMoveData

   true に設定し、OADP Data Mover を使用して Container Storage Interface (CSI) スナップショットをリモートオブジェクトストレージに移動できるようにします。

   s3Url

   ODF ストレージの S3 URL を指定します。

   <bucket_name>

   バケット名を指定します。

9. 次のコマンドを実行して DPA を作成します。

   $ oc apply -f <dpa_filename>

10. 次のコマンドを実行して、DPA が正常に作成されたことを確認します。出力例から、status オブジェクトの type フィールドが Reconciled に設定されていることがわかります。これは、DPA が正常に作成されたことを意味します。

    $ oc get dpa -o yaml

    出力例

    apiVersion: v1
    items:
    - apiVersion: oadp.openshift.io/v1alpha1
      kind: DataProtectionApplication
      metadata:
        namespace: openshift-adp
        #...#
      spec:
        backupLocations:
        - velero:
            config:
              #...#
      status:
        conditions:
        - lastTransitionTime: "20....9:54:02Z"
          message: Reconcile complete
          reason: Complete
          status: "True"
          type: Reconciled
    kind: List
    metadata:
      resourceVersion: ""

11. 次のコマンドを実行して、Backup Storage Location (BSL) が使用可能であることを確認します。

    $ oc get backupstoragelocations.velero.io -n openshift-adp

    出力例

    NAME           PHASE       LAST VALIDATED   AGE   DEFAULT
    dpa-sample-1   Available   3s               15s   true

12. 次の例に示すように、バックアップ CR を設定します。

    apiVersion: velero.io/v1
    kind: Backup
    metadata:
      name: test-backup
      namespace: openshift-adp
    spec:
      includedNamespaces:
      - <application_namespace>

    ここでは、以下のようになります。

    <application_namespace>

    バックアップするアプリケーションの namespace を指定します。

13. 次のコマンドを実行してバックアップ CR を作成します。

    $ oc apply -f <backup_cr_filename>

手順

1. 次の例に示すように、復元 CR を作成します。

   apiVersion: velero.io/v1
   kind: Restore
   metadata:
     name: test-restore
     namespace: openshift-adp
   spec:
     backupName: <backup_name>
     restorePVs: true
     namespaceMapping:
       <application_namespace>: test-restore-application

   ここでは、以下のようになります。

   test-restore

   復元 CR の名前を指定します。

   <backup_name>

   バックアップの名前を指定します。

   <application_namespace>

   復元先のターゲット namespace を指定します。namespaceMapping は、ソースアプリケーションの namespace をターゲットアプリケーションの namespace にマップします。test-restore-application は、バックアップ復元するターゲット namespace の名前です。

2. 次のコマンドを実行して復元 CR を適用します。

   $ oc apply -f <restore_cr_filename>

検証

1. 次のコマンドを実行して、復元が Completed フェーズにあることを確認します。

   $ oc describe restores.velero.io <restore_name> -n openshift-adp

2. 次のコマンドを実行して、復元先の namespace test-restore-application に切り替えます。

   $ oc project test-restore-application

3. 次のコマンドを実行して、永続ボリューム要求 (pvc)、サービス (svc)、デプロイメント、シークレット、config map などの復元されたリソースを確認します。

   $ oc get pvc,svc,deployment,secret,configmap

   出力例

   NAME                          STATUS   VOLUME
   persistentvolumeclaim/mysql   Bound    pvc-9b3583db-...-14b86
   
   NAME               TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   service/mysql      ClusterIP   172....157     <none>        3306/TCP   2m56s
   service/todolist   ClusterIP   172.....15     <none>        8000/TCP   2m56s
   
   NAME                    READY   UP-TO-DATE   AVAILABLE   AGE
   deployment.apps/mysql   0/1     1            0           2m55s
   
   NAME                                         TYPE                      DATA   AGE
   secret/builder-dockercfg-6bfmd               kubernetes.io/dockercfg   1      2m57s
   secret/default-dockercfg-hz9kz               kubernetes.io/dockercfg   1      2m57s
   secret/deployer-dockercfg-86cvd              kubernetes.io/dockercfg   1      2m57s
   secret/mysql-persistent-sa-dockercfg-rgp9b   kubernetes.io/dockercfg   1      2m57s
   
   NAME                                 DATA   AGE
   configmap/kube-root-ca.crt           1      2m57s
   configmap/openshift-service-ca.crt   1      2m57s

手順

1. 次の例に示すように、NooBaa バケットを要求する OBC マニフェストを作成します。

   apiVersion: objectbucket.io/v1alpha1
   kind: ObjectBucketClaim
   metadata:
     name: test-obc
     namespace: openshift-adp
   spec:
     storageClassName: openshift-storage.noobaa.io
     generateBucketName: test-backup-bucket

   ここでは、以下のようになります。

   test-obc

   Object Bucket Claim の名前を指定します。

   test-backup-bucket

   バケットの名前を指定します。

2. 次のコマンドを実行して OBC を作成します。

   $ oc create -f <obc_file_name>

3. OBC を作成すると、ODF が Object Bucket Claim と同じ名前の secret と ConfigMap を作成します。secret オブジェクトにはバケットの認証情報が含まれ、ConfigMap オブジェクトにはバケットにアクセスするための情報が含まれています。生成された config map からバケット名とバケットホストを取得するには、次のコマンドを実行します。

   $ oc extract --to=- cm/test-obc

   test-obc は OBC の名前です。

   出力例

   # BUCKET_NAME
   backup-c20...41fd
   # BUCKET_PORT
   443
   # BUCKET_REGION
   
   # BUCKET_SUBREGION
   
   # BUCKET_HOST
   s3.openshift-storage.svc

4. secret オブジェクトからバケット認証情報を取得するには、次のコマンドを実行します。

   $ oc extract --to=- secret/test-obc

   出力例

   # AWS_ACCESS_KEY_ID
   ebYR....xLNMc
   # AWS_SECRET_ACCESS_KEY
   YXf...+NaCkdyC3QPym

5. 次の設定例を使用して、オブジェクトバケットの認証情報を含む cloud-credentials ファイルを作成します。

   [default]
   aws_access_key_id=<AWS_ACCESS_KEY_ID>
   aws_secret_access_key=<AWS_SECRET_ACCESS_KEY>

6. 次のコマンドを実行して、cloud-credentials ファイルの内容を使用して cloud-credentials シークレットを作成します。

   $ oc create secret generic \
     cloud-credentials \
     -n openshift-adp \
     --from-file cloud=cloud-credentials

7. 次のコマンドを実行して、openshift-service-ca.crt config map からサービス CA 証明書を抽出します。証明書を Base64 形式で必ずエンコードし、次のステップで使用する値をメモしてください。

   $ oc get cm/openshift-service-ca.crt \
     -o jsonpath='{.data.service-ca\.crt}' | base64 -w0; echo

   出力例

   LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0...
   ....gpwOHMwaG9CRmk5a3....FLS0tLS0K

8. 次の例に示すように、バケット名と CA 証明書を使用して DataProtectionApplication CR マニフェストファイルを設定します。

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: oadp-backup
     namespace: openshift-adp
   spec:
     configuration:
       nodeAgent:
         enable: true
         uploaderType: kopia
       velero:
         defaultPlugins:
           - aws
           - openshift
           - csi
         defaultSnapshotMoveData: true
     backupLocations:
       - velero:
           config:
             profile: "default"
             region: noobaa
             s3Url: https://s3.openshift-storage.svc
             s3ForcePathStyle: "true"
             insecureSkipTLSVerify: "false"
           provider: aws
           default: true
           credential:
             key: cloud
             name:  cloud-credentials
           objectStorage:
             bucket: <bucket_name>
             prefix: oadp
             caCert: <ca_cert>

   ここでは、以下のようになります。

   insecureSkipTLSVerify

   SSL/TLS セキュリティーが有効かどうかを指定します。true に設定すると、SSL/TLS セキュリティーが無効になります。false に設定すると、SSL/TLS セキュリティーが有効になります。

   <bucket_name>

   前のステップで抽出したバケットの名前を指定します。

   <ca_cert>

   前の手順で Base64 でエンコードした証明書を指定します。

9. 次のコマンドを実行して、DataProtectionApplication CR を作成します。

   $ oc apply -f <dpa_filename>

10. 次のコマンドを実行して、DataProtectionApplication CR が正常に作成されたことを確認します。

    $ oc get dpa -o yaml

    出力例

    apiVersion: v1
    items:
    - apiVersion: oadp.openshift.io/v1alpha1
      kind: DataProtectionApplication
      metadata:
        namespace: openshift-adp
        #...#
      spec:
        backupLocations:
        - velero:
            config:
              #...#
      status:
        conditions:
        - lastTransitionTime: "20....9:54:02Z"
          message: Reconcile complete
          reason: Complete
          status: "True"
          type: Reconciled
    kind: List
    metadata:
      resourceVersion: ""

11. 次のコマンドを実行して、Backup Storage Location (BSL) が使用可能であることを確認します。

    $ oc get backupstoragelocations.velero.io -n openshift-adp

    出力例

    NAME           PHASE       LAST VALIDATED   AGE   DEFAULT
    dpa-sample-1   Available   3s               15s   true

12. 次の例を使用して、Backup CR を設定します。

    apiVersion: velero.io/v1
    kind: Backup
    metadata:
      name: test-backup
      namespace: openshift-adp
    spec:
      includedNamespaces:
      - <application_namespace>

    ここでは、以下のようになります。

    <application_namespace>

    バックアップするアプリケーションの namespace を指定します。

13. 次のコマンドを実行して Backup CR を作成します。

    $ oc apply -f <backup_cr_filename>

手順

1. 次の例に示すように、legacy-aws Velero プラグインを使用するように DataProtectionApplication CR を設定します。

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: oadp-backup
     namespace: openshift-adp
   spec:
     configuration:
       nodeAgent:
         enable: true
         uploaderType: kopia
       velero:
         defaultPlugins:
           - legacy-aws
           - openshift
           - csi
         defaultSnapshotMoveData: true
     backupLocations:
       - velero:
           config:
             profile: "default"
             region: noobaa
             s3Url: https://s3.openshift-storage.svc
             s3ForcePathStyle: "true"
             insecureSkipTLSVerify: "true"
           provider: aws
           default: true
           credential:
             key: cloud
             name:  cloud-credentials
           objectStorage:
             bucket: <bucket_name>
             prefix: oadp

   ここでは、以下のようになります。

   legacy-aws

   legacy-aws プラグインを使用するように指定します。

   <bucket_name>

   バケット名を指定します。

2. 次のコマンドを実行して、DataProtectionApplication CR を作成します。

   $ oc apply -f <dpa_filename>

3. 次のコマンドを実行して、DataProtectionApplication CR が正常に作成されたことを確認します。出力例から、status オブジェクトの type フィールドが Reconciled に設定され、status フィールドが "True" に設定されていることがわかります。このステータスは、DataProtectionApplication CR が正常に作成されたことを示します。

   $ oc get dpa -o yaml

   出力例

   apiVersion: v1
   items:
   - apiVersion: oadp.openshift.io/v1alpha1
     kind: DataProtectionApplication
     metadata:
       namespace: openshift-adp
       #...#
     spec:
       backupLocations:
       - velero:
           config:
             #...#
     status:
       conditions:
       - lastTransitionTime: "20....9:54:02Z"
         message: Reconcile complete
         reason: Complete
         status: "True"
         type: Reconciled
   kind: List
   metadata:
     resourceVersion: ""

4. 次のコマンドを実行して、Backup Storage Location (BSL) が使用可能であることを確認します。

   $ oc get backupstoragelocations.velero.io -n openshift-adp

   次の例のような出力が表示されます。

   NAME           PHASE       LAST VALIDATED   AGE   DEFAULT
   dpa-sample-1   Available   3s               15s   true

5. 次の例に示すように、Backup CR を設定します。

   apiVersion: velero.io/v1
   kind: Backup
   metadata:
     name: test-backup
     namespace: openshift-adp
   spec:
     includedNamespaces:
     - <application_namespace>

   ここでは、以下のようになります。

   <application_namespace>

   バックアップするアプリケーションの namespace を指定します。

6. 次のコマンドを実行して Backup CR を作成します。

   $ oc apply -f <backup_cr_filename>

手順

1. 次のコマンドを実行して、バックアップするワークロードを作成します。

   $ oc create namespace hello-world

   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

2. 次のコマンドを実行してルートを公開します。

   $ oc expose service/hello-openshift -n hello-world

3. 次のコマンドを実行して、アプリケーションが動作していることを確認します。

   $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

   次の例のような出力が表示されます。

   Hello OpenShift!

4. 次のコマンドを実行して、ワークロードをバックアップします。

   $ cat << EOF | oc create -f -
     apiVersion: velero.io/v1
     kind: Backup
     metadata:
       name: hello-world
       namespace: openshift-adp
     spec:
       includedNamespaces:
       - hello-world
       storageLocation: ${CLUSTER_NAME}-dpa-1
       ttl: 720h0m0s
   EOF

5. バックアップが完了するまで待ってから、次のコマンドを実行します。

   $ watch "oc -n openshift-adp get backup hello-world -o json | jq .status"

   次の例のような出力が表示されます。

   {
     "completionTimestamp": "2022-09-07T22:20:44Z",
     "expiration": "2022-10-07T22:20:22Z",
     "formatVersion": "1.1.0",
     "phase": "Completed",
     "progress": {
       "itemsBackedUp": 58,
       "totalItems": 58
     },
     "startTimestamp": "2022-09-07T22:20:22Z",
     "version": 1
   }

6. 次のコマンドを実行して、デモワークロードを削除します。

   $ oc delete ns hello-world

7. 次のコマンドを実行して、バックアップからワークロードを復元します。

   $ cat << EOF | oc create -f -
     apiVersion: velero.io/v1
     kind: Restore
     metadata:
       name: hello-world
       namespace: openshift-adp
     spec:
       backupName: hello-world
   EOF

8. 次のコマンドを実行して、復元が完了するまで待ちます。

   $ watch "oc -n openshift-adp get restore hello-world -o json | jq .status"

   次の例のような出力が表示されます。

   {
     "completionTimestamp": "2022-09-07T22:25:47Z",
     "phase": "Completed",
     "progress": {
       "itemsRestored": 38,
       "totalItems": 38
     },
     "startTimestamp": "2022-09-07T22:25:28Z",
     "warnings": 9
   }

9. 次のコマンドを実行して、ワークロードが復元されていることを確認します。

   $ oc -n hello-world get pods

   次の例のような出力が表示されます。

   NAME                              READY   STATUS    RESTARTS   AGE
   hello-openshift-9f885f7c6-kdjpj   1/1     Running   0          90s

10. 次のコマンドを実行して JSONPath を確認します。

    $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

    次の例のような出力が表示されます。

    Hello OpenShift!

    注記

    トラブルシューティングのヒントについては、トラブルシューティングのドキュメント を参照してください。

手順

1. 次のコマンドを実行して、ワークロードを削除します。

   $ oc delete ns hello-world

2. 次のコマンドを実行して、Data Protection Application (DPA) を削除します。

   $ oc -n openshift-adp delete dpa ${CLUSTER_NAME}-dpa

3. 次のコマンドを実行して、クラウドストレージを削除します。

   $ oc -n openshift-adp delete cloudstorage ${CLUSTER_NAME}-oadp

   警告

   このコマンドがハングした場合は、次のコマンドを実行してファイナライザーを削除する必要がある場合があります。

   $ oc -n openshift-adp patch cloudstorage ${CLUSTER_NAME}-oadp -p '{"metadata":{"finalizers":null}}' --type=merge

4. Operator が不要になった場合は、次のコマンドを実行して削除します。

   $ oc -n openshift-adp delete subscription oadp-operator

5. Operator から namespace を削除します。

   $ oc delete ns openshift-adp

6. バックアップおよび復元リソースが不要になった場合は、次のコマンドを実行してクラスターからリソースを削除します。

   $ oc delete backups.velero.io hello-world

7. AWS S3 のバックアップ、復元、およびリモートオブジェクトを削除するには、次のコマンドを実行します。

   $ velero backup delete hello-world

8. カスタムリソース定義 (CRD) が不要になった場合は、次のコマンドを実行してクラスターから削除します。

   $ for CRD in `oc get crds | grep velero | awk '{print $1}'`; do oc delete crd $CRD; done

9. 次のコマンドを実行して、AWS S3 バケットを削除します。

   $ aws s3 rm s3://${CLUSTER_NAME}-oadp --recursive

   $ aws s3api delete-bucket --bucket ${CLUSTER_NAME}-oadp

10. 次のコマンドを実行して、ロールからポリシーを切り離します。

    $ aws iam detach-role-policy --role-name "${ROLE_NAME}"  --policy-arn "${POLICY_ARN}"

11. 以下のコマンドを実行してロールを削除します。

    $ aws iam delete-role --role-name "${ROLE_NAME}"

手順

1. OpenShift Container Platform Web コンソールで、Ecosystem → Software Catalog をクリックします。
2. Filter by keyword フィールドを使用して、OADP Operator を検索します。
3. OADP Operator を選択し、Install をクリックします。
4. Install をクリックして、openshift-adp プロジェクトに Operator をインストールします。
5. インストールを確認するには、Ecosystem → Installed Operators をクリックします。

手順

1. BUCKET 変数を設定します。

   $ BUCKET=<your_bucket>

2. REGION 変数を設定します。

   $ REGION=<your_region>

3. AWS S3 バケットを作成します。

   $ aws s3api create-bucket \
       --bucket $BUCKET \
       --region $REGION \
       --create-bucket-configuration LocationConstraint=$REGION

   ここでは、以下のようになります。

   LocationConstraint

   バケット設定の場所に関する制約を指定します。us-east-1 は LocationConstraint を サポートしていません。お住まいの地域が us-east-1 の場合は、--create-bucket-configuration LocationConstraint=$REGION を省略してください。

4. IAM ユーザーを作成します。

   $ aws iam create-user --user-name velero

   ここでは、以下のようになります。

   velero

   ユーザー名を指定します。Velero を使用して複数の S3 バケットを持つ複数のクラスターをバックアップする場合は、クラスターごとに一意のユーザー名を作成します。

5. velero-policy.json ファイルを作成します。

   $ cat > velero-policy.json <<EOF
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:DescribeVolumes",
                   "ec2:DescribeSnapshots",
                   "ec2:CreateTags",
                   "ec2:CreateVolume",
                   "ec2:CreateSnapshot",
                   "ec2:DeleteSnapshot"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:DeleteObject",
                   "s3:PutObject",
                   "s3:AbortMultipartUpload",
                   "s3:ListMultipartUploadParts"
               ],
               "Resource": [
                   "arn:aws:s3:::${BUCKET}/*"
               ]
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket",
                   "s3:GetBucketLocation",
                   "s3:ListBucketMultipartUploads"
               ],
               "Resource": [
                   "arn:aws:s3:::${BUCKET}"
               ]
           }
       ]
   }
   EOF

6. ポリシーを添付して、velero ユーザーに必要最小限の権限を付与します。

   $ aws iam put-user-policy \
     --user-name velero \
     --policy-name velero \
     --policy-document file://velero-policy.json

7. velero ユーザーのアクセスキーを作成します。

   $ aws iam create-access-key --user-name velero

   {
     "AccessKey": {
           "UserName": "velero",
           "Status": "Active",
           "CreateDate": "2017-07-31T22:24:41.576Z",
           "SecretAccessKey": <AWS_SECRET_ACCESS_KEY>,
           "AccessKeyId": <AWS_ACCESS_KEY_ID>
     }
   }

8. credentials-velero ファイルを作成します。

   $ cat << EOF > ./credentials-velero
   [default]
   aws_access_key_id=<AWS_ACCESS_KEY_ID>
   aws_secret_access_key=<AWS_SECRET_ACCESS_KEY>
   EOF

   Data Protection Application をインストールする前に、credentials-velero ファイルを使用して AWS の Secret オブジェクトを作成します。

手順

1. Ecosystem → Installed Operators をクリックし、OADPOperator を選択します。
2. Provided APIs で、DataProtectionApplication ボックスの Create instance をクリックします。

3. YAML View をクリックして、DataProtectionApplication マニフェストのパラメーターを更新します。

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: <dpa_sample>
     namespace: openshift-adp
   spec:
     configuration:
       velero:
         defaultPlugins:
           - openshift
           - aws
         resourceTimeout: 10m
       nodeAgent:
         enable: true
         uploaderType: kopia
         podConfig:
           nodeSelector: <node_selector>
     backupLocations:
       - name: default
         velero:
           provider: aws
           default: true
           objectStorage:
             bucket: <bucket_name>
             prefix: <prefix>
           config:
             region: <region>
             profile: "default"
             s3ForcePathStyle: "true"
             s3Url: <s3_url>
           credential:
             key: cloud
             name: cloud-credentials
     snapshotLocations:
       - name: default
         velero:
           provider: aws
           config:
             region: <region>
             profile: "default"
           credential:
             key: cloud
             name: cloud-credentials

   ここでは、以下のようになります。

   namespace

   OADP のデフォルトの名前空間である openshift-adp を指定します。namespace は変数であり、設定可能です。

   openshift

   openshift プラグインが必須であることを指定します。

   リソースタイムアウト

   Velero CRD の可用性、ボリュームスナップショットの削除、バックアップリポジトリーの可用性など、複数の Velero リソースについてタイムアウトが発生するまでの待機時間を分単位で指定します。デフォルトは 10m です。

   ノードエージェント

   管理要求をサーバーにルーティングする管理エージェントを指定します。

   enable

   nodeAgent を有効にして File System Backup を実行する場合は、この値を true に設定します。

   アップローダータイプ

   アップローダーの種類を指定します。アップローダーとして kopia または restic と入力します。インストール後に選択を変更することはできません。組み込み DataMover の場合は、Kopia を使用する必要があります。nodeAgent はデーモンセットをデプロイします。これは、nodeAgent Pod が各ワーキングノード上で実行されることを意味します。File System Backup を設定するには、spec.defaultVolumesToFsBackup: true を Backup CR に追加します。

   nodeSelector

   Kopia または Restic が利用可能なノードを指定します。デフォルトでは、Kopia または Restic はすべてのノードで実行されます。

   bucket

   バックアップの保存場所としてバケットを指定します。バケットが Velero バックアップ専用のバケットでない場合は、接頭辞を指定する必要があります。

   prefix

   バケットが複数の用途で使用される場合、Velero バックアップのプレフィックスを指定します。たとえば、velero など です。

   s3ForcePathStyle

   S3 オブジェクトの URL にパス形式を強制するかどうかを指定します (ブール値)。AWS S3 では必要ありません。S3 互換ストレージにのみ必要です。

   s3Url

   バックアップを保存するために使用するオブジェクトストアの URL を指定します。AWS S3 では必要ありません。S3 互換ストレージにのみ必要です。

   name

   作成した シークレット オブジェクトの名前を指定します。この値を指定しない場合は、デフォルト名の cloud-credentials が使用されます。カスタム名を指定すると、バックアップの場所にカスタム名が使用されます。

   snapshotLocations

   CSI スナップショットまたはファイルシステムバックアップ (FSB) を使用して PV をバックアップする場合を除き、スナップショットの場所を指定します。

   region

   スナップショットの場所は、PV と同じリージョン内にある必要があることを指定します。

   name

   作成した シークレット オブジェクトの名前を指定します。この値を指定しない場合は、デフォルト名の cloud-credentials が使用されます。カスタム名を指定すると、スナップショットの場所にカスタム名が使用されます。バックアップとスナップショットの場所で異なる認証情報を使用する場合は、credentials-velero ファイルに個別のプロファイルを作成します。

4. Create をクリックします。

検証

1. 次のコマンドを実行して OpenShift API for Data Protection (OADP) リソースを表示し、インストールを検証します。

   $ oc get all -n openshift-adp

   NAME                                                     READY   STATUS    RESTARTS   AGE
   pod/oadp-operator-controller-manager-67d9494d47-6l8z8    2/2     Running   0          2m8s
   pod/node-agent-9cq4q                                     1/1     Running   0          94s
   pod/node-agent-m4lts                                     1/1     Running   0          94s
   pod/node-agent-pv4kr                                     1/1     Running   0          95s
   pod/velero-588db7f655-n842v                              1/1     Running   0          95s
   
   NAME                                                       TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)    AGE
   service/oadp-operator-controller-manager-metrics-service   ClusterIP   172.30.70.140    <none>        8443/TCP   2m8s
   service/openshift-adp-velero-metrics-svc                   ClusterIP   172.30.10.0      <none>        8085/TCP   8h
   
   NAME                        DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR   AGE
   daemonset.apps/node-agent    3         3         3       3            3           <none>          96s
   
   NAME                                                READY   UP-TO-DATE   AVAILABLE   AGE
   deployment.apps/oadp-operator-controller-manager    1/1     1            1           2m9s
   deployment.apps/velero                              1/1     1            1           96s
   
   NAME                                                           DESIRED   CURRENT   READY   AGE
   replicaset.apps/oadp-operator-controller-manager-67d9494d47    1         1         1       2m9s
   replicaset.apps/velero-588db7f655                              1         1         1       96s

2. 次のコマンドを実行して、DataProtectionApplication (DPA) が調整されていることを確認します。

   $ oc get dpa dpa-sample -n openshift-adp -o jsonpath='{.status}'

   {"conditions":[{"lastTransitionTime":"2023-10-27T01:23:57Z","message":"Reconcile complete","reason":"Complete","status":"True","type":"Reconciled"}]}

3. type が Reconciled に設定されていることを確認します。

4. 次のコマンドを実行して、Backup Storage Location を確認し、PHASE が Available であることを確認します。

   $ oc get backupstoragelocations.velero.io -n openshift-adp

   NAME           PHASE       LAST VALIDATED   AGE     DEFAULT
   dpa-sample-1   Available   1s               3d16h   true

手順

1. 特定のノードに対して同時実行を使用する場合は、それらのノードにラベルを追加します。

   $ oc label node/<node_name> label.io/instance-type='large'

2. DPA インスタンスの同時実行フィールドを設定します。

     configuration:
       nodeAgent:
         enable: true
         uploaderType: kopia
         loadConcurrency:
           globalConfig: 1
           perNodeConfig:
           - nodeSelector:
                 matchLabels:
                    label.io/instance-type: large
             number: 3

   ここでは、以下のようになります。

   globalConfig

   グローバル同時接続数を指定します。デフォルト値は 1 です。これは同時実行がなく、1 つの負荷のみが許可されることを意味します。globalConfig 値に制限はありません。

   label.io/instance-type

   ノードごとの同時実行性を示すラベルを指定します。

   number

   ノードごとの同時接続数を指定します。たとえば、インスタンスのタイプとサイズに基づき、ノードごとに多数の同時実行数を指定できます。ノードごとの同時実行数の範囲は、グローバル同時実行数と同じです。設定ファイルにノードごとの同時実行数とグローバル同時実行数が含まれている場合、ノードごとの同時実行数が優先されます。

検証

1. 次のコマンドを実行して、ノードエージェントのセキュリティーコンテキストが非 root として実行するように設定され、root ファイルシステムが readOnly あることを確認します。

   $ oc get daemonset node-agent -o yaml

   出力例は次のとおりです。

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
     ...
     name: node-agent
     namespace: openshift-adp
     ...
   spec:
     ...
     template:
       metadata:
         ...
       spec:
         containers:
         ...
           securityContext:
             allowPrivilegeEscalation: false
             capabilities:
               drop:
               - ALL
             privileged: false
             readOnlyRootFilesystem: true
           ...
         nodeSelector:
           kubernetes.io/os: linux
         os:
           name: linux
         restartPolicy: Always
         schedulerName: default-scheduler
         securityContext:
           runAsNonRoot: true
           seccompProfile:
             type: RuntimeDefault
         serviceAccount: velero
         serviceAccountName: velero
         ....

   ここでは、以下のようになります。

   allowPrivilegeEscalation

   allowPrivilegeEscalation フィールドが false であることを指定します。

   privileged

   特権 フィールドが false であることを指定します。

   readOnlyRootFilesystem

   ルートファイルシステムが読み取り専用であることを指定します。

   runAsNonRoot

   ノードエージェントを非 root ユーザーとして実行することを指定します。