Recherche dans <book_title>…

Guide d'installation et de mise à niveau de NetBackup™ Snapshot Manager

Last Published: 2023-04-28

Product(s): NetBackup & Alta Data Protection (10.2)

Configuration des autorisations sur Microsoft Azure

NetBackup Snapshot Manager doit avoir accès à vos biens Microsoft Azure pour les protéger. Vous devez associer un rôle personnalisé dont les utilisateurs NetBackup Snapshot Manager peuvent se servir pour exploiter des biens Azure.

Vous trouverez ci-après une définition de rôle personnalisé (au format JSON) qui permet à NetBackup Snapshot Manager :

de configurer le plug-in Azure et de découvrir les biens ;
de créer des snapshots d'hôte et de disque ;
de restaurer des snapshots vers l'emplacement d'origine ou un nouvel emplacement ;
de supprimer des snapshots.

{
"properties": {
    "roleName": "snapshot-manager-role",
    "description": "Necessary permissions for Azure plug-in operations in CloudPoint",
    "assignableScopes": [
        "/subscriptions/<SusbcriptionName>"
    ],
     "permissions": [
        {
            "actions": [
                "Microsoft.Storage/*/read",
                "Microsoft.Compute/*/read",
                "Microsoft.Sql/*/read",
                "Microsoft.Compute/disks/write",
                "Microsoft.Compute/disks/delete",
                "Microsoft.Compute/disks/beginGetAccess/action",
                "Microsoft.Compute/disks/endGetAccess/action",
                "Microsoft.Compute/snapshots/delete",
                "Microsoft.Compute/snapshots/write",
                "Microsoft.Compute/snapshots/beginGetAccess/action",
                "Microsoft.Compute/snapshots/endGetAccess/action",
                "Microsoft.Compute/virtualMachines/write",
                "Microsoft.Compute/virtualMachines/delete",
                "Microsoft.Compute/virtualMachines/start/action",
                "Microsoft.Compute/virtualMachines/vmSizes/read",
                "Microsoft.Compute/virtualMachines/powerOff/action",
                "Microsoft.Network/*/read",
                "Microsoft.Network/networkInterfaces/delete",
                "Microsoft.Network/networkInterfaces/effectiveNetworkSecurityGroups/action",
                "Microsoft.Network/networkInterfaces/join/action",
                "Microsoft.Network/networkInterfaces/write",
                "Microsoft.Network/networkSecurityGroups/join/action",
                "Microsoft.Network/networkSecurityGroups/write",
                "Microsoft.Network/publicIPAddresses/delete",
                "Microsoft.Network/publicIPAddresses/join/action",
                "Microsoft.Network/publicIPAddresses/write",
                "Microsoft.Network/virtualNetworks/subnets/join/action",
                "Microsoft.Resources/*/read",
                "Microsoft.Resources/subscriptions/tagNames/tagValues/write",
                "Microsoft.Resources/subscriptions/tagNames/write",
                "Microsoft.Subscription/*/read",
                "Microsoft.Authorization/locks/*",
                "Microsoft.Authorization/*/read",
                "Microsoft.ContainerService/managedClusters/agentPools/read",
                "Microsoft.ContainerService/managedClusters/read",
                "Microsoft.Compute/virtualMachineScaleSets/write",
                "Microsoft.Compute/virtualMachineScaleSets/delete/action",
                "Microsoft.Compute/restorePointCollections/read",
                "Microsoft.Compute/restorePointCollections/write",
                "Microsoft.Compute/restorePointCollections/delete",
                "Microsoft.Compute/restorePointCollections/restorePoints/read",
                "Microsoft.Compute/restorePointCollections/restorePoints/write",
                "Microsoft.Compute/restorePointCollections/restorePoints/delete",
                "Microsoft.Compute/restorePointCollections/restorePoints/retrieveSasUris/action",
                "Microsoft.Compute/restorePointCollections/restorePoints/diskRestorePoints/read",
                "Microsoft.Compute/restorePointCollections/restorePoints/diskRestorePoints/beginGetAccess/action",
                "Microsoft.Compute/restorePointCollections/restorePoints/diskRestorePoints/endGetAccess/action"
            ],
            "notActions": [],
            "dataActions": [],
            "notDataActions": []
        }
    ]
}
}

L'utilisation de l'identité gérée pour la découverte, la création, la suppression, l'authentification de base de données et la restauration spécifique (applicable uniquement aux bases de données Azure SQL et Managed Instance) requiert le jeu d'autorisations suivant pour les bases de données PaaS prises en charge :

actions": [
															"Microsoft.Authorization/*/read",
															"Microsoft.Subscription/*/read",
															"Microsoft.Resources/*/read",
															"Microsoft.ManagedIdentity/*/read",
															"Microsoft.Sql/*/read",
															"Microsoft.Sql/servers/databases/write",
															"Microsoft.Sql/servers/databases/delete",
															"Microsoft.Sql/managedInstances/databases/write",
															"Microsoft.Sql/managedInstances/databases/delete",
															"Microsoft.DBforMySQL/servers/read",
															"Microsoft.DBforMySQL/servers/databases/read",
															"Microsoft.DBforMySQL/flexibleServers/read",
															"Microsoft.DBforMySQL/flexibleServers/databases/read",
															"Microsoft.DBforMySQL/servers/databases/write",
															"Microsoft.DBforMySQL/flexibleServers/databases/write",
															"Microsoft.DBforMySQL/servers/databases/delete",
															"Microsoft.DBforMySQL/flexibleServers/databases/delete",
															"Microsoft.DBforPostgreSQL/servers/databases/delete",
															"Microsoft.DBforPostgreSQL/flexibleServers/databases/delete",
															"Microsoft.DBforPostgreSQL/servers/databases/write",
															"Microsoft.DBforPostgreSQL/flexibleServers/databases/write",
															"Microsoft.DBforPostgreSQL/servers/read",
															"Microsoft.DBforPostgreSQL/servers/databases/read",
															"Microsoft.DBforPostgreSQL/flexibleServers/read",
															"Microsoft.DBforPostgreSQL/flexibleServers/databases/read"
            ],

Si l'extension NetBackup Snapshot Manager est installée sur un cluster Kubernetes géré dans Azure, les autorisations suivantes peuvent également être ajoutées avant la configuration du plug-in :

"Microsoft.ContainerService/managedClusters/agentPools/read",
"Microsoft.ContainerService/managedClusters/read",
"Microsoft.Compute/virtualMachineScaleSets/write",
"Microsoft.Compute/virtualMachineScaleSets/delete/action"

Autorisations supplémentaires requises par les charges de travail PaaS :

"Microsoft.DBforMySQL/servers/read",
"Microsoft.DBforMySQL/servers/databases/read",
"Microsoft.DBforMySQL/flexibleServers/read",
"Microsoft.DBforMySQL/flexibleServers/databases/read",
"Microsoft.DBforPostgreSQL/servers/read",
"Microsoft.DBforPostgreSQL/servers/databases/read",
"Microsoft.DBforPostgreSQL/flexibleServers/read",
"Microsoft.DBforPostgreSQL/flexibleServers/databases/read",
"Microsoft.Sql/*/write",
"Microsoft.Sql/*/delete"

Si vous utilisez l'identité gérée par le système pour le service PaaS SQL Azure et Managed Instance, appliquez le même ensemble d'autorisations/de règles aux serveurs de médias et à Snapshot Manager. Si vous utilisez l'identité gérée par l'utilisateur, associez la même identité gérée par l'utilisateur aux serveurs de médias et à Snapshot Manager.

Pour créer un rôle personnalisé à l'aide de PowerShell, procédez comme indiqué dans la documentation Azure.

Par exemple :

New-AzureRmRoleDefinition -InputFile "C:\CustomRoles\ReaderSupportRole.json"

Pour créer un rôle personnalisé à l'aide de l'interface de ligne de commande Azure, procédez comme indiqué dans la documentation Azure.

Par exemple :

az role definition create --role-definition "~/CustomRoles/
ReaderSupportRole.json"

Remarque :

Avant de créer un rôle, vous devez copier la définition de rôle fournie précédemment (texte au format JSON) dans un fichier .json, puis utiliser ce fichier comme fichier d'entrée. Dans l'exemple de commande affiché précédemment, ReaderSupportRole.json est utilisé comme fichier d'entrée contenant le texte de définition de rôle.

Pour utiliser ce rôle, procédez comme suit :

Assignez le rôle à une application exécutée dans l'environnement Azure.
Dans NetBackup Snapshot Manager, configurez le plug-in Azure hors hôte avec les informations d'authentification de l'application.

Plus d'informations

Remarques relatives à la configuration du plug-in Microsoft Azure