Recherche dans <book_title>…

Guide d'installation et de mise à niveau de NetBackup™ Snapshot Manager

Last Published: 2023-12-28

Product(s): NetBackup & Alta Data Protection (10.3)

Configuration des autorisations sur Microsoft Azure

NetBackup Snapshot Manager doit avoir accès à vos biens Microsoft Azure pour les protéger. Vous devez associer un rôle personnalisé dont les utilisateurs NetBackup Snapshot Manager peuvent se servir pour exploiter des biens Azure.

Vous trouverez ci-après une définition de rôle personnalisé (au format JSON) qui permet à NetBackup Snapshot Manager :

de configurer le plug-in Azure et de découvrir les biens ;
de créer des snapshots d'hôte et de disque ;
de restaurer des snapshots vers l'emplacement d'origine ou un nouvel emplacement ;
de supprimer des snapshots.

Tableau : Fonction de NetBackup Snapshot Manager et autorisations pour le fournisseur Microsoft Azure Cloud

Fonction	Tâche/opération	Autorisations requises
Basé sur une machine virtuelle
Sauvegarde à partir d'un snapshot	Pour créer un URI de signature d'accès partagé pour la sauvegarde à partir d'un snapshot.	*Microsoft.Storage//read**
	Pour générer un URI de signature d'accès partagé pour la sauvegarde à partir d'un snapshot.	Microsoft.Compute/restorePointCollections/restorePoints/retrieveSasUris/action
	Pour accéder à la lecture à partir du point de restauration de disque afin de créer une copie de sauvegarde dans la sauvegarde à partir d'un snapshot.	Microsoft.Compute/restorePointCollections/restorePoints/diskRestorePoints/beginGetAccess/action
	Pour obtenir l'accès final aux points de restauration, après une sauvegarde réussie à partir d'un snapshot.	Microsoft.Compute/restorePointCollections/restorePoints/diskRestorePoints/endGetAccess/action
Création d'une sauvegarde à partir d'un snapshot	Pour accéder aux données de snapshot.	Microsoft.Compute/snapshots/beginGetAccess/action
Création d'une sauvegarde à partir d'un snapshot	Pour terminer l'URI après que des données du snapshot ont été copiées dans la sauvegarde.	Microsoft.Compute/snapshots/endGetAccess/action
Restauration à partir d'une sauvegarde de snapshot	Pour créer un URI de signature d'accès partagé pour le disque géré.	Microsoft.Compute/disks/beginGetAccess/action
Restauration à partir d'une sauvegarde de snapshot	Pour supprimer un URI de signature d'accès partagé après la sauvegarde à partir d'un snapshot.	Microsoft.Compute/disks/endGetAccess/action
Protection de machines virtuelles	Pour répertorier les machines virtuelles, les groupes identiques de machines virtuelles et les disques attachés.	*Microsoft.Compute//read**
Protection des bases de données SQL	Pour répertorier les bases de données SQL Azure à protéger.	*Microsoft.Sql//read**
Restaurer des disques à partir de snapshots/points de restauration	Pour créer un disque pour la restauration.	Microsoft.Compute/disks/write
Restauration/Nettoyage lors de la restauration	Pour restaurer la machine virtuelle dans la restauration. Ou Pour nettoyer en cas d'échec dans le workflow de restauration.	Microsoft.Compute/virtualMachines/delete
Restaurer le disque	Pour identifier les points d'attache de disque disponibles pour restaurer des disques/fichiers.	Microsoft.Compute/virtualMachines/vmSizes/read
Nettoyage	Pour supprimer l'adresse IP publique en cas d'échec du workflow de nettoyage lors de la restauration. Lorsque la machine virtuelle d'origine possède une adresse IP publique et que la restauration à un autre emplacement échoue.	Microsoft.Network/publicIPAddresses/delete
Nettoyage	Pour supprimer RPC, si le workflow de création de snapshot échoue et que par conséquent une restauration est effectuée.	Microsoft.Compute/restorePointCollections/delete
Répertorier les ressources (découverte)	Pour obtenir des informations sur le groupe de ressources et l'emplacement.	*Microsoft.Resources//read**
Découverte	Pour répertorier les abonnements qui peuvent être utilisés pour répertorier les biens à protéger.	*Microsoft.Subscription//read**
Snapshots et restaurations	Pour ajouter des étiquettes aux snapshots pour indiquer que les étiquettes sont créées par Snapshot Manager Pour ajouter des étiquettes qui sont initialement présentes dans la machine virtuelle à la machine virtuelle restaurée.	Microsoft.Resources/subscriptions/tagNames/tagValues/write Microsoft.Resources/subscriptions/tagNames/write
Snapshot	Pour protéger des snapshots de disque contre la suppression accidentelle.	Microsoft.Authorization/locks/*
Répertorier les points de restauration	Pour répertorier des snapshots (point de restauration) pour des restaurations.	Microsoft.Compute/restorePointCollections/read
Répertorier les snapshots	Pour répertorier et mapper les points de restauration des machines virtuelles.	Microsoft.Compute/restorePointCollections/restorePoints/read
Répertorier les snapshots de disque	Pour répertorier les points de restauration de disque pour la cohérence des applications.	Microsoft.Compute/restorePointCollections/restorePoints/diskRestorePoints/read
Écrire les snapshots	Pour les snapshots incrémentiels en tant que points de restauration (cohérent au niveau application).	Microsoft.Compute/restorePointCollections/restorePoints/write
Nettoyage des snapshots	Pour le nettoyage en cas d'échec de restauration.	Microsoft.Compute/restorePointCollections/restorePoints/delete
Créer des collections de points de restauration	Pour créer des RPC, 1 par machine virtuelle au cas où un snapshot est déclenché pour celle-ci.	Microsoft.Compute/restorePointCollections/write
Restaurer la machine virtuelle	Pour créer une machine virtuelle dans la restauration.	Microsoft.Compute/virtualMachines/write
	Pour mettre la machine virtuelle restaurée sous tension, comme indiqué dans le plan de protection.	Microsoft.Compute/virtualMachines/start/action
	Pour obtenir des détails sur l'extension ADE si elle est installée.	Microsoft.Compute/virtualMachines/extensions/read
	Pour installer l'extension ADE lors de la restauration.	Microsoft.Compute/virtualMachines/extensions/write
	Pour modifier l'état de la machine virtuelle. Arrêt de la machine virtuelle pour la restauration.	Microsoft.Compute/virtualMachines/powerOff/action
	Pour répertorier les réseaux à restaurer dans le même réseau que la ressource d'origine ou sur un réseau sélectionné par l'utilisateur.	*Microsoft.Network//read**
	Pour répertorier les clés gérées par le client.	Microsoft.KeyVault/vaults/keys/read
	Pour restaurer ou nettoyer en cas d'échec dans le workflow.	Microsoft.Network/networkInterfaces/delete
	Pour attacher une carte réseau à la machine virtuelle restaurée.	Microsoft.Network/networkInterfaces/join/action
	Pour créer une carte réseau pour la restauration de machine virtuelle.	Microsoft.Network/networkInterfaces/write
	Pour attacher un groupe de sécurité réseau à la machine virtuelle pendant la restauration.	Microsoft.Network/networkSecurityGroups/join/action
	Pour créer un groupe de sécurité réseau pour la restauration de machine virtuelle, si la machine virtuelle d'origine en a un.	Microsoft.Network/networkSecurityGroups/write
	Pour attacher une adresse IP publique lors de la restauration lorsque la machine virtuelle d'origine en possède une.	Microsoft.Network/publicIPAddresses/join/action
	Pour créer une adresse IP publique lors de la restauration lorsque la machine virtuelle d'origine en possède une.	Microsoft.Network/publicIPAddresses/write
	Pour créer une machine virtuelle dans un sous-réseau, c'est-à-dire, joindre un sous-réseau.	Microsoft.Network/virtualNetworks/subnets/join/action
Cluster basé sur Kubernetes
Obtenir les informations du cluster	Pour obtenir les informations du cluster.	Microsoft.ContainerService/managedClusters/agentPools/read
Réduire la charge/monter en charge	Pour obtenir la capacité du cluster.	Microsoft.ContainerService/managedClusters/read
Réduire la charge	Pour maintenir l'état du groupe identique de machines virtuelles.	Microsoft.Compute/virtualMachineScaleSets/delete/action
Mise à l'échelle	Pour maintenir l'état du groupe identique de machines virtuelles.	Microsoft.Compute/virtualMachineScaleSets/write
Déploiement Marketplace
Haute disponibilité	Pour connecter un disque de données Snapshot Manager à l'instance de groupe identique de machines virtuelles.	Microsoft.Compute/virtualMachineScaleSets/write
Haute disponibilité	(Réduire la charge) Pour maintenir l'état du groupe identique de machines virtuelles.	Microsoft.Compute/virtualMachineScaleSets/delete/action

L'utilisation de l'identité gérée pour la découverte, la création, la suppression, l'authentification de base de données et la restauration spécifique (applicable uniquement aux bases de données Azure SQL et Managed Instance) requiert le jeu d'autorisations suivant pour les bases de données PaaS prises en charge :

actions": [
															"Microsoft.Authorization/*/read",
															"Microsoft.Subscription/*/read",
															"Microsoft.Resources/*/read",
															"Microsoft.ManagedIdentity/*/read",
															"Microsoft.Sql/*/read",
															"Microsoft.Sql/servers/databases/write",
															"Microsoft.Sql/servers/databases/delete",
															"Microsoft.Sql/managedInstances/databases/write",
															"Microsoft.Sql/managedInstances/databases/delete",
															"Microsoft.DBforMySQL/servers/read",
															"Microsoft.DBforMySQL/servers/databases/read",
															"Microsoft.DBforMySQL/flexibleServers/read",
															"Microsoft.DBforMySQL/flexibleServers/databases/read",
															"Microsoft.DBforMySQL/servers/databases/write",
															"Microsoft.DBforMySQL/flexibleServers/databases/write",
															"Microsoft.DBforMySQL/servers/databases/delete",
															"Microsoft.DBforMySQL/flexibleServers/databases/delete",
															"Microsoft.DBforPostgreSQL/servers/databases/delete",
															"Microsoft.DBforPostgreSQL/flexibleServers/databases/delete",
															"Microsoft.DBforPostgreSQL/servers/databases/write",
															"Microsoft.DBforPostgreSQL/flexibleServers/databases/write",
															"Microsoft.DBforPostgreSQL/servers/read",
															"Microsoft.DBforPostgreSQL/servers/databases/read",
															"Microsoft.DBforPostgreSQL/flexibleServers/read",
															"Microsoft.DBforPostgreSQL/flexibleServers/databases/read"
            ],

Si l'extension NetBackup Snapshot Manager est installée sur un cluster Kubernetes géré dans Azure, les autorisations suivantes peuvent également être ajoutées avant la configuration du plug-in :

"Microsoft.ContainerService/managedClusters/agentPools/read",
"Microsoft.ContainerService/managedClusters/read",
"Microsoft.Compute/virtualMachineScaleSets/write",
"Microsoft.Compute/virtualMachineScaleSets/delete/action"

Autorisations supplémentaires requises par les charges de travail PaaS

"Microsoft.DBforMySQL/servers/read",
"Microsoft.DBforMySQL/servers/databases/read",
"Microsoft.DBforMySQL/flexibleServers/read",
"Microsoft.DBforMySQL/flexibleServers/databases/read",
"Microsoft.DBforPostgreSQL/servers/read",
"Microsoft.DBforPostgreSQL/servers/databases/read",
"Microsoft.DBforPostgreSQL/flexibleServers/read",
"Microsoft.DBforPostgreSQL/flexibleServers/databases/read",
"Microsoft.Sql/*/write",
"Microsoft.Sql/*/delete"

Si vous utilisez l'identité gérée par le système pour le service PaaS SQL Azure et Managed Instance, appliquez le même ensemble d'autorisations/de règles aux serveurs de médias et à Snapshot Manager. Si vous utilisez l'identité gérée par l'utilisateur, associez la même identité gérée par l'utilisateur aux serveurs de médias et à Snapshot Manager.

Autorisations requises par la base de données Azure Cosmos pour NoSQL

"Microsoft.DocumentDB/databaseAccounts/read",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/read",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/write",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/read",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/write",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/throughputSettings/read"
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/throughputSettings/write",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/storedProcedures/read",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/storedProcedures/write",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/triggers/read",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/triggers/write",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/userDefinedFunctions/read",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/userDefinedFunctions/write",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/throughputSettings/read",
"Microsoft.DocumentDB/databaseAccounts/sqlDatabases/throughputSettings/write"

Autorisations requises par la base de données Azure Cosmos pour MongoDB

"Microsoft.DocumentDB/databaseAccounts/mongodbDatabases/read",
"Microsoft.DocumentDB/databaseAccounts/mongodbDatabases/write",
"Microsoft.DocumentDB/databaseAccounts/mongodbDatabases/collections/read",
"Microsoft.DocumentDB/databaseAccounts/mongodbDatabases/collections/write",
"Microsoft.DocumentDB/databaseAccounts/mongodbDatabases/delete",
"Microsoft.DocumentDB/databaseAccounts/mongodbDatabases/collections/throughputSettings/read",
"Microsoft.DocumentDB/databaseAccounts/mongodbDatabases/collections/throughputSettings/write",
"Microsoft.DocumentDB/databaseAccounts/listKeys/action"

Autorisations requises par le magasin d'objets cloud

Le jeu d'autorisations suivant est requis pour la découverte, la sauvegarde, la restauration et l'authentification du magasin d'objets Microsoft Azure.

{
    "properties": {
        "roleName": "cosp_minimal",
        "description": "minimal permission required for cos protection.",
        "assignableScopes": [
            "/subscriptions/<Subsfription_ID>"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Storage/storageAccounts/blobServices/read",
                    "Microsoft.Storage/storageAccounts/blobServices/containers/read",
                    "Microsoft.Storage/storageAccounts/blobServices/containers/write",
                    "Microsoft.ApiManagement/service/*",
                    "Microsoft.Authorization/*/read",
                    "Microsoft.Resources/subscriptions/resourceGroups/read",
                   "Microsoft.Storage/storageAccounts/read"

                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write",
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/filter/action",
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write",
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blob/read",
                ],
                "notDataActions": []
            }
        ]
    }
}

Pour créer un rôle personnalisé à l'aide de PowerShell, procédez comme indiqué dans la documentation Azure.

Par exemple :

New-AzureRmRoleDefinition -InputFile "C:\CustomRoles\ReaderSupportRole.json"

Pour créer un rôle personnalisé à l'aide de l'interface de ligne de commande Azure, procédez comme indiqué dans la documentation Azure.

Par exemple :

az role definition create --role-definition "~/CustomRoles/
ReaderSupportRole.json"

Remarque :

Avant de créer un rôle, vous devez copier la définition de rôle fournie précédemment (texte au format JSON) dans un fichier .json, puis utiliser ce fichier comme fichier d'entrée. Dans l'exemple de commande affiché précédemment, ReaderSupportRole.json est utilisé comme fichier d'entrée contenant le texte de définition de rôle.

Pour utiliser ce rôle, procédez comme suit :

Assignez le rôle à une application exécutée dans l'environnement Azure.
Dans NetBackup Snapshot Manager, configurez le plug-in Azure hors hôte avec les informations d'authentification de l'application.

Plus d'informations

Remarques relatives à la configuration du plug-in Microsoft Azure