バックアップおよび復元

1. 次のコマンドを実行して、バックアップするワークロードを作成します。

   $ oc create namespace hello-world

   Copy to Clipboard Toggle word wrap

   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行してルートを公開します。

   $ oc expose service/hello-openshift -n hello-world

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、アプリケーションが動作していることを確認します。

   $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

   Copy to Clipboard Toggle word wrap

   出力例

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、ワークロードをバックアップします。

   $ cat << EOF | oc create -f -
     apiVersion: velero.io/v1
     kind: Backup
     metadata:
       name: hello-world
       namespace: openshift-adp
     spec:
       includedNamespaces:
       - hello-world
       storageLocation: ${CLUSTER_NAME}-dpa-1
       ttl: 720h0m0s
   EOF

   Copy to Clipboard Toggle word wrap

5. バックアップが完了するまで待ってから、次のコマンドを実行します。

   $ watch "oc -n openshift-adp get backup hello-world -o json | jq .status"

   Copy to Clipboard Toggle word wrap

   出力例

   {
     "completionTimestamp": "2022-09-07T22:20:44Z",
     "expiration": "2022-10-07T22:20:22Z",
     "formatVersion": "1.1.0",
     "phase": "Completed",
     "progress": {
       "itemsBackedUp": 58,
       "totalItems": 58
     },
     "startTimestamp": "2022-09-07T22:20:22Z",
     "version": 1
   }

   Copy to Clipboard Toggle word wrap

6. 次のコマンドを実行して、デモワークロードを削除します。

   $ oc delete ns hello-world

   Copy to Clipboard Toggle word wrap

7. 次のコマンドを実行して、バックアップからワークロードを復元します。

   $ cat << EOF | oc create -f -
     apiVersion: velero.io/v1
     kind: Restore
     metadata:
       name: hello-world
       namespace: openshift-adp
     spec:
       backupName: hello-world
   EOF

   Copy to Clipboard Toggle word wrap

8. 次のコマンドを実行して、復元が完了するまで待ちます。

   $ watch "oc -n openshift-adp get restore hello-world -o json | jq .status"

   Copy to Clipboard Toggle word wrap

   出力例

   {
     "completionTimestamp": "2022-09-07T22:25:47Z",
     "phase": "Completed",
     "progress": {
       "itemsRestored": 38,
       "totalItems": 38
     },
     "startTimestamp": "2022-09-07T22:25:28Z",
     "warnings": 9
   }

   Copy to Clipboard Toggle word wrap

9. 次のコマンドを実行して、ワークロードが復元されていることを確認します。

   $ oc -n hello-world get pods

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                              READY   STATUS    RESTARTS   AGE
   hello-openshift-9f885f7c6-kdjpj   1/1     Running   0          90s

   Copy to Clipboard Toggle word wrap

10. 次のコマンドを実行して JSONPath を確認します。

    $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

    Copy to Clipboard Toggle word wrap

    出力例

    Hello OpenShift!

    Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを実行して、ワークロードを削除します。

   $ oc delete ns hello-world

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、Data Protection Application (DPA) を削除します。

   $ oc -n openshift-adp delete dpa ${CLUSTER_NAME}-dpa

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、クラウドストレージを削除します。

   $ oc -n openshift-adp delete cloudstorage ${CLUSTER_NAME}-oadp

   Copy to Clipboard Toggle word wrap
   警告

   このコマンドがハングした場合は、次のコマンドを実行してファイナライザーを削除する必要がある場合があります。

   $ oc -n openshift-adp patch cloudstorage ${CLUSTER_NAME}-oadp -p '{"metadata":{"finalizers":null}}' --type=merge

   Copy to Clipboard Toggle word wrap

4. Operator が不要になった場合は、次のコマンドを実行して削除します。

   $ oc -n openshift-adp delete subscription oadp-operator

   Copy to Clipboard Toggle word wrap

5. Operator から namespace を削除します。

   $ oc delete ns openshift-adp

   Copy to Clipboard Toggle word wrap

6. バックアップおよび復元リソースが不要になった場合は、次のコマンドを実行してクラスターからリソースを削除します。

   $ oc delete backups.velero.io hello-world

   Copy to Clipboard Toggle word wrap

7. AWS S3 のバックアップ、復元、およびリモートオブジェクトを削除するには、次のコマンドを実行します。

   $ velero backup delete hello-world

   Copy to Clipboard Toggle word wrap

8. カスタムリソース定義 (CRD) が不要になった場合は、次のコマンドを実行してクラスターから削除します。

   $ for CRD in `oc get crds | grep velero | awk '{print $1}'`; do oc delete crd $CRD; done

   Copy to Clipboard Toggle word wrap

9. 次のコマンドを実行して、AWS S3 バケットを削除します。

   $ aws s3 rm s3://${CLUSTER_NAME}-oadp --recursive

   Copy to Clipboard Toggle word wrap

   $ aws s3api delete-bucket --bucket ${CLUSTER_NAME}-oadp

   Copy to Clipboard Toggle word wrap

10. 次のコマンドを実行して、ロールからポリシーを切り離します。

    $ aws iam detach-role-policy --role-name "${ROLE_NAME}"  --policy-arn "${POLICY_ARN}"

    Copy to Clipboard Toggle word wrap

11. 以下のコマンドを実行してロールを削除します。

    $ aws iam delete-role --role-name "${ROLE_NAME}"

    Copy to Clipboard Toggle word wrap

手順

1. 次の例に示すように、NooBaa MCG バケットを要求する OBC マニフェストファイルを作成します。

   OBC の例

   apiVersion: objectbucket.io/v1alpha1
   kind: ObjectBucketClaim
   metadata:
     name: test-obc 

   1

   
     namespace: openshift-adp
   spec:
     storageClassName: openshift-storage.noobaa.io
     generateBucketName: test-backup-bucket 

   2

   Copy to Clipboard Toggle word wrap

   1

   Object Bucket Claim の名前。

   2

   バケットの名前。

2. 次のコマンドを実行して OBC を作成します。

   $ oc create -f <obc_file_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   Object Bucket Claim マニフェストのファイル名を指定します。

3. OBC を作成すると、ODF が Object Bucket Claim と同じ名前の secret と config map を作成します。secret にはバケットの認証情報が含まれており、config map にはバケットにアクセスするための情報が含まれています。生成された config map からバケット名とバケットホストを取得するには、次のコマンドを実行します。

   $ oc extract --to=- cm/test-obc 

   1

   Copy to Clipboard Toggle word wrap

   1

   test-obc は OBC の名前です。

   出力例

   # BUCKET_NAME
   backup-c20...41fd
   # BUCKET_PORT
   443
   # BUCKET_REGION
   
   # BUCKET_SUBREGION
   
   # BUCKET_HOST
   s3.openshift-storage.svc

   Copy to Clipboard Toggle word wrap

4. 生成された secret からバケットの認証情報を取得するには、次のコマンドを実行します。

   $ oc extract --to=- secret/test-obc

   Copy to Clipboard Toggle word wrap

   出力例

   # AWS_ACCESS_KEY_ID
   ebYR....xLNMc
   # AWS_SECRET_ACCESS_KEY
   YXf...+NaCkdyC3QPym

   Copy to Clipboard Toggle word wrap

5. 次のコマンドを実行して、openshift-storage namespace の s3 ルートから S3 エンドポイントのパブリック URL を取得します。

   $ oc get route s3 -n openshift-storage

   Copy to Clipboard Toggle word wrap

6. 次のコマンドに示すように、オブジェクトバケットの認証情報を含む cloud-credentials ファイルを作成します。

   [default]
   aws_access_key_id=<AWS_ACCESS_KEY_ID>
   aws_secret_access_key=<AWS_SECRET_ACCESS_KEY>

   Copy to Clipboard Toggle word wrap

7. 次のコマンドに示すように、cloud-credentials ファイルの内容を使用して cloud-credentials シークレットを作成します。

   $ oc create secret generic \
     cloud-credentials \
     -n openshift-adp \
     --from-file cloud=cloud-credentials

   Copy to Clipboard Toggle word wrap

8. 次の例に示すように、Data Protection Application (DPA) を設定します。

   DPA の例

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: oadp-backup
     namespace: openshift-adp
   spec:
     configuration:
       nodeAgent:
         enable: true
         uploaderType: kopia
       velero:
         defaultPlugins:
           - aws
           - openshift
           - csi
         defaultSnapshotMoveData: true 

   1

   
     backupLocations:
       - velero:
           config:
             profile: "default"
             region: noobaa
             s3Url: https://s3.openshift-storage.svc 

   2

   
             s3ForcePathStyle: "true"
             insecureSkipTLSVerify: "true"
           provider: aws
           default: true
           credential:
             key: cloud
             name:  cloud-credentials
           objectStorage:
             bucket: <bucket_name> 

   3

   
             prefix: oadp

   Copy to Clipboard Toggle word wrap

   1

   true に設定し、OADP Data Mover を使用して Container Storage Interface (CSI) スナップショットをリモートオブジェクトストレージに移動できるようにします。

   2

   これは ODF ストレージの S3 URL です。

   3

   バケット名を指定します。

9. 次のコマンドを実行して DPA を作成します。

   $ oc apply -f <dpa_filename>

   Copy to Clipboard Toggle word wrap

10. 次のコマンドを実行して、DPA が正常に作成されたことを確認します。出力例から、status オブジェクトの type フィールドが Reconciled に設定されていることがわかります。これは、DPA が正常に作成されたことを意味します。

    $ oc get dpa -o yaml

    Copy to Clipboard Toggle word wrap

    出力例

    apiVersion: v1
    items:
    - apiVersion: oadp.openshift.io/v1alpha1
      kind: DataProtectionApplication
      metadata:
        namespace: openshift-adp
        #...#
      spec:
        backupLocations:
        - velero:
            config:
              #...#
      status:
        conditions:
        - lastTransitionTime: "20....9:54:02Z"
          message: Reconcile complete
          reason: Complete
          status: "True"
          type: Reconciled
    kind: List
    metadata:
      resourceVersion: ""

    Copy to Clipboard Toggle word wrap

11. 次のコマンドを実行して、Backup Storage Location (BSL) が使用可能であることを確認します。

    $ oc get backupstoragelocations.velero.io -n openshift-adp

    Copy to Clipboard Toggle word wrap

    出力例

    NAME           PHASE       LAST VALIDATED   AGE   DEFAULT
    dpa-sample-1   Available   3s               15s   true

    Copy to Clipboard Toggle word wrap

12. 次の例に示すように、バックアップ CR を設定します。

    バックアップ CR の例

    apiVersion: velero.io/v1
    kind: Backup
    metadata:
      name: test-backup
      namespace: openshift-adp
    spec:
      includedNamespaces:
      - <application_namespace> 

    1

    Copy to Clipboard Toggle word wrap

    1

    バックアップするアプリケーションの namespace を指定します。

13. 次のコマンドを実行してバックアップ CR を作成します。

    $ oc apply -f <backup_cr_filename>

    Copy to Clipboard Toggle word wrap

手順

1. 次の例に示すように、復元 CR を作成します。

   復元 CR の例

   apiVersion: velero.io/v1
   kind: Restore
   metadata:
     name: test-restore 

   1

   
     namespace: openshift-adp
   spec:
     backupName: <backup_name> 

   2

   
     restorePVs: true
     namespaceMapping:
       <application_namespace>: test-restore-application 

   3

   Copy to Clipboard Toggle word wrap

   1

   復元 CR の名前。

   2

   バックアップの名前を指定します。

   3

   namespaceMapping は、ソースアプリケーションの namespace をターゲットアプリケーションの namespace にマップします。バックアップしたアプリケーションの namespace を指定します。test-restore-application は、バックアップを復元するターゲット namespace です。

2. 次のコマンドを実行して復元 CR を適用します。

   $ oc apply -f <restore_cr_filename>

   Copy to Clipboard Toggle word wrap

検証

1. 次のコマンドを実行して、復元が Completed フェーズにあることを確認します。

   $ oc describe restores.velero.io <restore_name> -n openshift-adp

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、復元先の namespace test-restore-application に切り替えます。

   $ oc project test-restore-application

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、永続ボリューム要求 (pvc)、サービス (svc)、デプロイメント、シークレット、config map などの復元されたリソースを確認します。

   $ oc get pvc,svc,deployment,secret,configmap

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                          STATUS   VOLUME
   persistentvolumeclaim/mysql   Bound    pvc-9b3583db-...-14b86
   
   NAME               TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   service/mysql      ClusterIP   172....157     <none>        3306/TCP   2m56s
   service/todolist   ClusterIP   172.....15     <none>        8000/TCP   2m56s
   
   NAME                    READY   UP-TO-DATE   AVAILABLE   AGE
   deployment.apps/mysql   0/1     1            0           2m55s
   
   NAME                                         TYPE                      DATA   AGE
   secret/builder-dockercfg-6bfmd               kubernetes.io/dockercfg   1      2m57s
   secret/default-dockercfg-hz9kz               kubernetes.io/dockercfg   1      2m57s
   secret/deployer-dockercfg-86cvd              kubernetes.io/dockercfg   1      2m57s
   secret/mysql-persistent-sa-dockercfg-rgp9b   kubernetes.io/dockercfg   1      2m57s
   
   NAME                                 DATA   AGE
   configmap/kube-root-ca.crt           1      2m57s
   configmap/openshift-service-ca.crt   1      2m57s

   Copy to Clipboard Toggle word wrap

手順

1. 次の例に示すように、NooBaa バケットを要求する OBC マニフェストを作成します。

   ObjectBucketClaim CR の例

   apiVersion: objectbucket.io/v1alpha1
   kind: ObjectBucketClaim
   metadata:
     name: test-obc 

   1

   
     namespace: openshift-adp
   spec:
     storageClassName: openshift-storage.noobaa.io
     generateBucketName: test-backup-bucket 

   2

   Copy to Clipboard Toggle word wrap

   1

   Object Bucket Claim の名前を指定します。

   2

   バケットの名前を指定します。

2. 次のコマンドを実行して OBC を作成します。

   $ oc create -f <obc_file_name>

   Copy to Clipboard Toggle word wrap

3. OBC を作成すると、ODF が Object Bucket Claim と同じ名前の secret と ConfigMap を作成します。secret オブジェクトにはバケットの認証情報が含まれ、ConfigMap オブジェクトにはバケットにアクセスするための情報が含まれています。生成された config map からバケット名とバケットホストを取得するには、次のコマンドを実行します。

   $ oc extract --to=- cm/test-obc 

   1

   Copy to Clipboard Toggle word wrap

   1

   OBC の名前は test-obc です。

   出力例

   # BUCKET_NAME
   backup-c20...41fd
   # BUCKET_PORT
   443
   # BUCKET_REGION
   
   # BUCKET_SUBREGION
   
   # BUCKET_HOST
   s3.openshift-storage.svc

   Copy to Clipboard Toggle word wrap

4. secret オブジェクトからバケット認証情報を取得するには、次のコマンドを実行します。

   $ oc extract --to=- secret/test-obc

   Copy to Clipboard Toggle word wrap

   出力例

   # AWS_ACCESS_KEY_ID
   ebYR....xLNMc
   # AWS_SECRET_ACCESS_KEY
   YXf...+NaCkdyC3QPym

   Copy to Clipboard Toggle word wrap

5. 次の設定例を使用して、オブジェクトバケットの認証情報を含む cloud-credentials ファイルを作成します。

   [default]
   aws_access_key_id=<AWS_ACCESS_KEY_ID>
   aws_secret_access_key=<AWS_SECRET_ACCESS_KEY>

   Copy to Clipboard Toggle word wrap

6. 次のコマンドを実行して、cloud-credentials ファイルの内容を使用して cloud-credentials シークレットを作成します。

   $ oc create secret generic \
     cloud-credentials \
     -n openshift-adp \
     --from-file cloud=cloud-credentials

   Copy to Clipboard Toggle word wrap

7. 次のコマンドを実行して、openshift-service-ca.crt config map からサービス CA 証明書を抽出します。証明書を Base64 形式で必ずエンコードし、次のステップで使用する値をメモしてください。

   $ oc get cm/openshift-service-ca.crt \
     -o jsonpath='{.data.service-ca\.crt}' | base64 -w0; echo

   Copy to Clipboard Toggle word wrap

   出力例

   LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0...
   ....gpwOHMwaG9CRmk5a3....FLS0tLS0K

   Copy to Clipboard Toggle word wrap

8. 次の例に示すように、バケット名と CA 証明書を使用して DataProtectionApplication CR マニフェストファイルを設定します。

   DataProtectionApplication CR の例

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: oadp-backup
     namespace: openshift-adp
   spec:
     configuration:
       nodeAgent:
         enable: true
         uploaderType: kopia
       velero:
         defaultPlugins:
           - aws
           - openshift
           - csi
         defaultSnapshotMoveData: true
     backupLocations:
       - velero:
           config:
             profile: "default"
             region: noobaa
             s3Url: https://s3.openshift-storage.svc
             s3ForcePathStyle: "true"
             insecureSkipTLSVerify: "false" 

   1

   
           provider: aws
           default: true
           credential:
             key: cloud
             name:  cloud-credentials
           objectStorage:
             bucket: <bucket_name> 

   2

   
             prefix: oadp
             caCert: <ca_cert> 

   3

   Copy to Clipboard Toggle word wrap

   1

   insecureSkipTLSVerify フラグは true または false に設定できます。"true" に設定すると、SSL/TLS セキュリティーが無効になります。false に設定すると、SSL/TLS セキュリティーが有効になります。

   2

   前のステップで抽出したバケットの名前を指定します。

   3

   前のステップの Base64 でエンコードした証明書をコピーして貼り付けます。

9. 次のコマンドを実行して、DataProtectionApplication CR を作成します。

   $ oc apply -f <dpa_filename>

   Copy to Clipboard Toggle word wrap

10. 次のコマンドを実行して、DataProtectionApplication CR が正常に作成されたことを確認します。

    $ oc get dpa -o yaml

    Copy to Clipboard Toggle word wrap

    出力例

    apiVersion: v1
    items:
    - apiVersion: oadp.openshift.io/v1alpha1
      kind: DataProtectionApplication
      metadata:
        namespace: openshift-adp
        #...#
      spec:
        backupLocations:
        - velero:
            config:
              #...#
      status:
        conditions:
        - lastTransitionTime: "20....9:54:02Z"
          message: Reconcile complete
          reason: Complete
          status: "True"
          type: Reconciled
    kind: List
    metadata:
      resourceVersion: ""

    Copy to Clipboard Toggle word wrap

11. 次のコマンドを実行して、Backup Storage Location (BSL) が使用可能であることを確認します。

    $ oc get backupstoragelocations.velero.io -n openshift-adp

    Copy to Clipboard Toggle word wrap

    出力例

    NAME           PHASE       LAST VALIDATED   AGE   DEFAULT
    dpa-sample-1   Available   3s               15s   true

    Copy to Clipboard Toggle word wrap

12. 次の例を使用して、Backup CR を設定します。

    Backup CR の例

    apiVersion: velero.io/v1
    kind: Backup
    metadata:
      name: test-backup
      namespace: openshift-adp
    spec:
      includedNamespaces:
      - <application_namespace> 

    1

    Copy to Clipboard Toggle word wrap

    1

    バックアップするアプリケーションの namespace を指定します。

13. 次のコマンドを実行して Backup CR を作成します。

    $ oc apply -f <backup_cr_filename>

    Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを実行して、以下の環境変数を作成します。

   重要

   ROSA クラスターに一致するようにクラスター名を変更し、管理者としてクラスターにログインしていることを確認します。続行する前に、すべてのフィールドが正しく出力されていることを確認します。

   $ export CLUSTER_NAME=my-cluster 

   1

   
     export ROSA_CLUSTER_ID=$(rosa describe cluster -c ${CLUSTER_NAME} --output json | jq -r .id)
     export REGION=$(rosa describe cluster -c ${CLUSTER_NAME} --output json | jq -r .region.id)
     export OIDC_ENDPOINT=$(oc get authentication.config.openshift.io cluster -o jsonpath='{.spec.serviceAccountIssuer}' | sed 's|^https://||')
     export AWS_ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)
     export CLUSTER_VERSION=$(rosa describe cluster -c ${CLUSTER_NAME} -o json | jq -r .version.raw_id | cut -f -2 -d '.')
     export ROLE_NAME="${CLUSTER_NAME}-openshift-oadp-aws-cloud-credentials"
     export SCRATCH="/tmp/${CLUSTER_NAME}/oadp"
     mkdir -p ${SCRATCH}
     echo "Cluster ID: ${ROSA_CLUSTER_ID}, Region: ${REGION}, OIDC Endpoint:
     ${OIDC_ENDPOINT}, AWS Account ID: ${AWS_ACCOUNT_ID}"

   Copy to Clipboard Toggle word wrap

   1

   my-cluster は、ROSA クラスター名に置き換えます。

2. AWS アカウントで、AWS S3 へのアクセスを許可する IAM ポリシーを作成します。

   1. 以下のコマンドを実行して、ポリシーが存在するかどうかを確認します。

      $ POLICY_ARN=$(aws iam list-policies --query "Policies[?PolicyName=='RosaOadpVer1'].{ARN:Arn}" --output text) 

      1

      Copy to Clipboard Toggle word wrap

      1

      RosaOadp は、実際のポリシー名に置き換えます。

   2. 以下のコマンドを入力してポリシー JSON ファイルを作成し、ROSA でポリシーを作成します。

      注記

      ポリシー ARN が見つからない場合、コマンドはポリシーを作成します。ポリシー ARN がすでに存在する場合、if ステートメントはポリシーの作成を意図的にスキップします。

      $ if [[ -z "${POLICY_ARN}" ]]; then
        cat << EOF > ${SCRATCH}/policy.json 

      1

      
        {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "s3:CreateBucket",
              "s3:DeleteBucket",
              "s3:PutBucketTagging",
              "s3:GetBucketTagging",
              "s3:PutEncryptionConfiguration",
              "s3:GetEncryptionConfiguration",
              "s3:PutLifecycleConfiguration",
              "s3:GetLifecycleConfiguration",
              "s3:GetBucketLocation",
              "s3:ListBucket",
              "s3:GetObject",
              "s3:PutObject",
              "s3:DeleteObject",
              "s3:ListBucketMultipartUploads",
              "s3:AbortMultipartUpload",
              "s3:ListMultipartUploadParts",
              "ec2:DescribeSnapshots",
              "ec2:DescribeVolumes",
              "ec2:DescribeVolumeAttribute",
              "ec2:DescribeVolumesModifications",
              "ec2:DescribeVolumeStatus",
              "ec2:CreateTags",
              "ec2:CreateVolume",
              "ec2:CreateSnapshot",
              "ec2:DeleteSnapshot"
            ],
            "Resource": "*"
          }
        ]}
      EOF
      
        POLICY_ARN=$(aws iam create-policy --policy-name "RosaOadpVer1" \
        --policy-document file:///${SCRATCH}/policy.json --query Policy.Arn \
        --tags Key=rosa_openshift_version,Value=${CLUSTER_VERSION} Key=rosa_role_prefix,Value=ManagedOpenShift Key=operator_namespace,Value=openshift-oadp Key=operator_name,Value=openshift-oadp \
        --output text)
        fi

      Copy to Clipboard Toggle word wrap

      1

      SCRATCH は、環境変数用に作成された一時ディレクトリーの名前です。

   3. 以下のコマンドを実行してポリシー ARN を表示します。

      $ echo ${POLICY_ARN}

      Copy to Clipboard Toggle word wrap

3. クラスターの IAM ロール信頼ポリシーを作成します。

   1. 次のコマンドを実行して、信頼ポリシーファイルを作成します。

      $ cat <<EOF > ${SCRATCH}/trust-policy.json
        {
            "Version": "2012-10-17",
            "Statement": [{
              "Effect": "Allow",
              "Principal": {
                "Federated": "arn:aws:iam::${AWS_ACCOUNT_ID}:oidc-provider/${OIDC_ENDPOINT}"
              },
              "Action": "sts:AssumeRoleWithWebIdentity",
              "Condition": {
                "StringEquals": {
                  "${OIDC_ENDPOINT}:sub": [
                    "system:serviceaccount:openshift-adp:openshift-adp-controller-manager",
                    "system:serviceaccount:openshift-adp:velero"]
                }
              }
            }]
        }
      EOF

      Copy to Clipboard Toggle word wrap

   2. 以下のコマンドを実行してロールを作成します。

      $ ROLE_ARN=$(aws iam create-role --role-name \
        "${ROLE_NAME}" \
        --assume-role-policy-document file://${SCRATCH}/trust-policy.json \
        --tags Key=rosa_cluster_id,Value=${ROSA_CLUSTER_ID} \
               Key=rosa_openshift_version,Value=${CLUSTER_VERSION} \
               Key=rosa_role_prefix,Value=ManagedOpenShift \
               Key=operator_namespace,Value=openshift-adp \
               Key=operator_name,Value=openshift-oadp \
        --query Role.Arn --output text)

      Copy to Clipboard Toggle word wrap

   3. 次のコマンドを実行して、ロール ARN を表示します。

      $ echo ${ROLE_ARN}

      Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、IAM ポリシーを IAM ロールにアタッチします。

   $ aws iam attach-role-policy --role-name "${ROLE_NAME}" \
     --policy-arn ${POLICY_ARN}

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを入力して、AWS トークンファイルから Red Hat OpenShift Service on AWS シークレットを作成します。

   1. 認証情報ファイルを作成します。

      $ cat <<EOF > ${SCRATCH}/credentials
        [default]
        role_arn = ${ROLE_ARN}
        web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token
        region = <aws_region> 

      1

      
      EOF

      Copy to Clipboard Toggle word wrap

      1

      <aws_region> は、STS エンドポイントに使用する AWS リージョンに置き換えます。

   2. OADP の namespace を作成します。

      $ oc create namespace openshift-adp

      Copy to Clipboard Toggle word wrap

   3. Red Hat OpenShift Service on AWS のシークレットを作成します。

      $ oc -n openshift-adp create secret generic cloud-credentials \
        --from-file=${SCRATCH}/credentials

      Copy to Clipboard Toggle word wrap
      注記

      Red Hat OpenShift Service on AWS バージョン 4.15 以降、Operator Lifecycle Manager (OLM) および Cloud Credentials Operator (CCO) により、OADP Operator で標準化された新しい STS ワークフローがサポートされるようになりました。このワークフローでは、上記のシークレットを作成する必要はなく、Red Hat OpenShift Service on AWS Web コンソールを使用して OLM 管理のオペレーターのインストール中にロール ARN を指定するだけで済みます。詳細は、Web コンソールを使用した OperatorHub からのインストール を参照してください。

      前述のシークレットは CCO によって自動的に作成されます。

2. OADP Operator をインストールします。

   1. Red Hat OpenShift Service on AWS Web コンソールで、Operators → OperatorHub に移動します。
   2. OADP Operator を検索します。
   3. role_ARN フィールドに、前に作成した role_arn を貼り付け、Install をクリックします。

3. 次のコマンドを入力し、AWS 認証情報を使用して AWS クラウドストレージを作成します。

   $ cat << EOF | oc create -f -
     apiVersion: oadp.openshift.io/v1alpha1
     kind: CloudStorage
     metadata:
       name: ${CLUSTER_NAME}-oadp
       namespace: openshift-adp
     spec:
       creationSecret:
         key: credentials
         name: cloud-credentials
       enableSharedConfig: true
       name: ${CLUSTER_NAME}-oadp
       provider: aws
       region: $REGION
   EOF

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを入力して、アプリケーションのストレージのデフォルトストレージクラスを確認します。

   $ oc get pvc -n <namespace>

   Copy to Clipboard Toggle word wrap

   出力例

   NAME     STATUS   VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS   AGE
   applog   Bound    pvc-351791ae-b6ab-4e8b-88a4-30f73caf5ef8   1Gi        RWO            gp3-csi        4d19h
   mysql    Bound    pvc-16b8e009-a20a-4379-accc-bc81fedd0621   1Gi        RWO            gp3-csi        4d19h

   Copy to Clipboard Toggle word wrap

5. 次のコマンドを実行してストレージクラスを取得します。

   $ oc get storageclass

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                PROVISIONER             RECLAIMPOLICY   VOLUMEBINDINGMODE      ALLOWVOLUMEEXPANSION   AGE
   gp2                 kubernetes.io/aws-ebs   Delete          WaitForFirstConsumer   true                   4d21h
   gp2-csi             ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h
   gp3                 ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h
   gp3-csi (default)   ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h

   Copy to Clipboard Toggle word wrap

   注記

   次のストレージクラスが機能します。

   • gp3-csi
   • gp2-csi
   • gp3
   • gp2

   すべてのアプリケーション、またはバックアップされるアプリケーションが Container Storage Interface (CSI) で永続ボリューム (PV) を使用している場合は、OADP DPA 設定に CSI プラグインを含めることをお勧めします。

6. バックアップとボリュームスナップショットが保存されるストレージへの接続を設定するために、DataProtectionApplication リソースを作成します。

   1. CSI ボリュームのみを使用している場合は、次のコマンドを入力して Data Protection Application をデプロイします。

      $ cat << EOF | oc create -f -
        apiVersion: oadp.openshift.io/v1alpha1
        kind: DataProtectionApplication
        metadata:
          name: ${CLUSTER_NAME}-dpa
          namespace: openshift-adp
        spec:
          backupImages: true 

      1

      
          features:
            dataMover:
              enable: false
          backupLocations:
          - bucket:
              cloudStorageRef:
                name: ${CLUSTER_NAME}-oadp
              credential:
                key: credentials
                name: cloud-credentials
              prefix: velero
              default: true
              config:
                region: ${REGION}
          configuration:
            velero:
              defaultPlugins:
              - openshift
              - aws
              - csi
            nodeAgent:  

      2

      
              enable: false
              uploaderType: kopia 

      3

      
      EOF

      Copy to Clipboard Toggle word wrap

      1

      ROSA は内部イメージバックアップをサポートします。イメージのバックアップを使用しない場合は、このフィールドを false に設定します。

      2

      nodeAgent 属性に関する重要な注記を参照してください。

      3

      アップローダーの種類。使用できる値は、restic または kopia です。ビルトイン Data Mover は、uploaderType フィールドの値に関係なく、デフォルトのアップローダーメカニズムとして Kopia を使用します。

1. CSI ボリュームまたは非 CSI ボリュームを使用している場合は、次のコマンドを入力して Data Protection Application をデプロイします。

   $ cat << EOF | oc create -f -
     apiVersion: oadp.openshift.io/v1alpha1
     kind: DataProtectionApplication
     metadata:
       name: ${CLUSTER_NAME}-dpa
       namespace: openshift-adp
     spec:
       backupImages: true 

   1

   
       backupLocations:
       - bucket:
           cloudStorageRef:
             name: ${CLUSTER_NAME}-oadp
           credential:
             key: credentials
             name: cloud-credentials
           prefix: velero
           default: true
           config:
             region: ${REGION}
       configuration:
         velero:
           defaultPlugins:
           - openshift
           - aws
         nodeAgent: 

   2

   
           enable: false
           uploaderType: restic
       snapshotLocations:
         - velero:
             config:
               credentialsFile: /tmp/credentials/openshift-adp/cloud-credentials-credentials 

   3

   
               enableSharedConfig: "true" 

   4

   
               profile: default 

   5

   
               region: ${REGION} 

   6

   
             provider: aws
   EOF

   Copy to Clipboard Toggle word wrap

   1

   ROSA は内部イメージバックアップをサポートします。イメージのバックアップを使用しない場合は、このフィールドを false に設定します。

   2

   nodeAgent 属性に関する重要な注記を参照してください。

   3

   credentialsFile フィールドは、Pod のバケット認証情報のマウント先です。

   4

   enableSharedConfig フィールドを使用すると、snapshotLocations がバケットに定義された認証情報を共有または再利用できます。

   5

   AWS 認証情報ファイルに設定されているプロファイル名を使用します。

   6

   region は、お使いの AWS リージョンに指定します。これはクラスターリージョンと同じである必要があります。

   これで、アプリケーションのバックアップ の説明に従って、Red Hat OpenShift Service on AWS アプリケーションをバックアップおよび復元する準備が整いました。

手順

1. OADP サブスクリプションに間違った IAM ロール ARN 環境変数が設定されていることを確認するには、次のコマンドを実行します。

   $ oc get sub -o yaml redhat-oadp-operator

   Copy to Clipboard Toggle word wrap

   Subscription の例

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     annotations:
     creationTimestamp: "2025-01-15T07:18:31Z"
     generation: 1
     labels:
       operators.coreos.com/redhat-oadp-operator.openshift-adp: ""
     name: redhat-oadp-operator
     namespace: openshift-adp
     resourceVersion: "77363"
     uid: 5ba00906-5ad2-4476-ae7b-ffa90986283d
   spec:
     channel: stable-1.4
     config:
       env:
       - name: ROLEARN
         value: arn:aws:iam::11111111:role/wrong-role-arn 

   1

   
     installPlanApproval: Manual
     name: redhat-oadp-operator
     source: prestage-operators
     sourceNamespace: openshift-marketplace
     startingCSV: oadp-operator.v1.4.2

   Copy to Clipboard Toggle word wrap

   1

   更新する ROLEARN の値を確認します。

2. 次のコマンドを実行して、サブスクリプションの ROLEARN フィールドを正しいロール ARN で更新します。

   $ oc patch subscription redhat-oadp-operator -p '{"spec": {"config": {"env": [{"name": "ROLEARN", "value": "<role_arn>"}]}}}' --type='merge'

   Copy to Clipboard Toggle word wrap

   ここでは、以下のようになります。

   <role_arn>

   更新する IAM ロール ARN を指定します。たとえば、arn:aws:iam::160…..6956:role/oadprosa…..8wlf です。

3. 次のコマンドを実行して、secret オブジェクトが正しいロール ARN 値で更新されていることを確認します。

   $ oc get secret cloud-credentials -o jsonpath='{.data.credentials}' | base64 -d

   Copy to Clipboard Toggle word wrap

   出力例

   [default]
   sts_regional_endpoints = regional
   role_arn = arn:aws:iam::160.....6956:role/oadprosa.....8wlf
   web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token

   Copy to Clipboard Toggle word wrap

4. 次の例に示すように、DataProtectionApplication カスタムリソース (CR) マニフェストファイルを設定します。

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: test-rosa-dpa
     namespace: openshift-adp
   spec:
     backupLocations:
     - bucket:
         config:
           region: us-east-1
         cloudStorageRef:
           name: <cloud_storage> 

   1

   
         credential:
           name: cloud-credentials
           key: credentials
         prefix: velero
         default: true
     configuration:
       velero:
         defaultPlugins:
         - aws
         - openshift

   Copy to Clipboard Toggle word wrap

   1

   CloudStorage CR を指定します。

5. 次のコマンドを実行して、DataProtectionApplication CR を作成します。

   $ oc create -f <dpa_manifest_file>

   Copy to Clipboard Toggle word wrap

6. 次のコマンドを実行して、DataProtectionApplication CR が調整され、status が "True" に設定されていることを確認します。

   $  oc get dpa -n openshift-adp -o yaml

   Copy to Clipboard Toggle word wrap

   DataProtectionApplication の例

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   ...
   status:
       conditions:
       - lastTransitionTime: "2023-07-31T04:48:12Z"
         message: Reconcile complete
         reason: Complete
         status: "True"
         type: Reconciled

   Copy to Clipboard Toggle word wrap

7. 次のコマンドを実行して、BackupStorageLocation CR が使用可能な状態であることを確認します。

   $ oc get backupstoragelocations.velero.io -n openshift-adp

   Copy to Clipboard Toggle word wrap

   例: BackupStorageLocation

   NAME       PHASE       LAST VALIDATED   AGE   DEFAULT
   ts-dpa-1   Available   3s               6s    true

   Copy to Clipboard Toggle word wrap

手順

1. 実際のバックアップを実行する前に、バックアップに含まれるリソースをプレビューするには、次のコマンドを実行します。

   $ velero backup create <backup-name> --snapshot-volumes false 

   1

   Copy to Clipboard Toggle word wrap

   1

   --snapshot-volumes パラメーターの値を false に指定します。

2. バックアップリソースの詳細を確認するには、次のコマンドを実行します。

   $ velero describe backup <backup_name> --details 

   1

   Copy to Clipboard Toggle word wrap

   1

   バックアップの名前を指定します。

3. 実際の復元を実行する前に、復元に含まれるリソースをプレビューするには、次のコマンドを実行します。

   $ velero restore create --from-backup <backup-name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   バックアップリソースを確認するために、作成したバックアップの名前を指定します。

   重要

   velero restore create コマンドは、クラスター内に復元リソースを作成します。リソースを確認した後、復元中に作成されたリソースを削除する必要があります。

4. 復元リソースの詳細を確認するには、次のコマンドを実行します。

   $ velero describe restore <restore_name> --details 

   1

   Copy to Clipboard Toggle word wrap

   1

   復元の名前を指定します。

手順