Cadangkan dan arsipkan data ke Amazon S3 dengan Veeam Backup & Replication

Jeanna James, Anthony Fiore (AWS), dan William Quigley, Amazon Web Services

Ringkasan

Pola ini merinci proses pengiriman cadangan yang dibuat oleh Veeam Backup & Replication ke kelas penyimpanan objek Amazon Simple Storage Service (Amazon S3) yang didukung dengan menggunakan kemampuan repositori cadangan skala Veeam. 

Veeam mendukung beberapa kelas penyimpanan Amazon S3 agar paling sesuai dengan kebutuhan spesifik Anda. Anda dapat memilih jenis penyimpanan berdasarkan akses data, ketahanan, dan persyaratan biaya cadangan atau arsip data Anda. Misalnya, Anda dapat menyimpan data yang tidak Anda rencanakan untuk digunakan selama 30 hari atau lebih lama di Amazon S3 akses jarang (IA) dengan biaya lebih rendah. Jika Anda berencana untuk mengarsipkan data selama 90 hari atau lebih, Anda dapat menggunakan Amazon Simple Storage Service Glacier (Amazon Glacier) Flexible Retrieval atau S3 Glacier Deep Archive dengan tingkat arsip Veeam. Anda juga dapat menggunakan S3 Object Lock untuk membuat cadangan yang tidak dapat diubah dalam Amazon S3.

Pola ini tidak mencakup cara mengatur Veeam Backup & Replication dengan tape gateway di. AWS Storage Gateway Untuk informasi tentang topik tersebut, lihat Veeam Backup & Replication menggunakan AWS VTL Gateway - Panduan Penerapan di situs web Veeam.

Prasyarat dan batasan

Prasyarat

Batasan

Versi produk

Arsitektur

Tumpukan teknologi sumber

Tumpukan teknologi target

Arsitektur target: SOBR

Diagram berikut menunjukkan arsitektur scale-out backup repository (SOBR).

Perangkat lunak Cadangan dan Replikasi Veeam melindungi data dari kesalahan logis seperti kegagalan sistem, kesalahan aplikasi, atau penghapusan yang tidak disengaja. Dalam diagram ini, backup dijalankan di tempat pertama, dan salinan sekunder dikirim langsung ke Amazon S3. Cadangan mewakili point-in-time salinan data.

Alur kerja terdiri dari tiga komponen utama yang diperlukan untuk tiering atau menyalin cadangan ke Amazon S3, dan satu komponen opsional:

Arsitektur target: DTO

Diagram berikut menunjukkan arsitektur direct-to-object (DTO).

Dalam diagram ini, data cadangan langsung masuk ke Amazon S3 tanpa disimpan di tempat terlebih dahulu. Salinan sekunder dapat disimpan di Amazon Glacier.

Otomatisasi dan skala

Anda dapat mengotomatiskan pembuatan sumber daya IAM dan bucket S3 dengan menggunakan AWS CloudFormation templat yang disediakan di repositori. VeeamHub GitHub Template mencakup opsi standar dan tidak dapat diubah.

Alat

Alat dan Layanan AWS

Kode

Gunakan CloudFormation template yang disediakan di VeeamHub GitHub repositori untuk secara otomatis membuat sumber daya IAM dan bucket S3 untuk pola ini. Jika Anda lebih suka membuat sumber daya ini secara manual, ikuti langkah-langkah di bagian Epik.

Praktik terbaik

Epik

Sumber daya terkait

Informasi tambahan

Bagian berikut menyediakan contoh kebijakan IAM yang dapat Anda gunakan saat membuat pengguna IAM di bagian Epics dari pola ini.

Kebijakan IAM untuk tingkat kapasitas

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "RestrictSSECObjectUploads",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::<your-bucket-name>/*",
            "Condition": {
                "Null": {
                    "s3:x-amz-server-side-encryption-customer-algorithm": "false"
                }
            }
        },
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "s3:GetObjectVersion",
                "s3:ListBucketVersions",
                "s3:ListBucket",
                "s3:PutObjectLegalHold",
                "s3:GetBucketVersioning",
                "s3:GetObjectLegalHold",
                "s3:GetBucketObjectLockConfiguration",
                "s3:PutObject*",
                "s3:GetObject*",
                "s3:GetEncryptionConfiguration",
                "s3:PutObjectRetention",
                "s3:PutBucketObjectLockConfiguration",
                "s3:DeleteObject*",
                "s3:DeleteObjectVersion",
                "s3:GetBucketLocation"

            ],
            "Resource": [
                "arn:aws:s3:::<yourbucketname>",
                "arn:aws:s3:::<yourbucketname>/*"
            ]
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets",
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::*"
        }
    ]
}

Kebijakan IAM untuk tingkat arsip

Untuk menggunakan VPC, subnet, dan grup keamanan yang ada:

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "S3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:DeleteObject",
                "s3:PutObject",
                "s3:GetObject",
                "s3:RestoreObject",
                "s3:ListBucket",
                "s3:AbortMultipartUpload",
                "s3:GetBucketVersioning",
                "s3:ListAllMyBuckets",
                "s3:GetBucketLocation",
                "s3:GetBucketObjectLockConfiguration",
                "s3:PutObjectRetention",
                "s3:GetObjectVersion",
                "s3:PutObjectLegalHold",
                "s3:GetObjectRetention",
                "s3:DeleteObjectVersion",
                "s3:ListBucketVersions"
            ],
            "Resource": [
                "arn:aws:s3:::<bucket-name>",
                "arn:aws:s3:::<bucket-name>/*"
            ]
        }
    ]
}

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "EC2Permissions",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:CreateKeyPair",
                "ec2:DescribeKeyPairs",
                "ec2:RunInstances",
                "ec2:DeleteKeyPair",
                "ec2:DescribeVpcAttribute",
                "ec2:CreateTags",
                "ec2:DescribeSubnets",
                "ec2:TerminateInstances",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeImages",
                "ec2:DescribeVpcs"
            ],
            "Resource": "arn:aws:ec2:<region>:<account-id>:*"
        }
    ]
}

Untuk membuat VPC, subnet, dan grup keamanan baru:

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "S3Permissions",
            "Effect": "Allow",
            "Action": [
                "s3:DeleteObject",
                "s3:PutObject",
                "s3:GetObject",
                "s3:RestoreObject",
                "s3:ListBucket",
                "s3:AbortMultipartUpload",
                "s3:GetBucketVersioning",
                "s3:ListAllMyBuckets",
                "s3:GetBucketLocation",
                "s3:GetBucketObjectLockConfiguration",
                "s3:PutObjectRetention",
                "s3:GetObjectVersion",
                "s3:PutObjectLegalHold",
                "s3:GetObjectRetention",
                "s3:DeleteObjectVersion",
                "s3:ListBucketVersions"
            ],
            "Resource": [
                "arn:aws:s3:::<bucket-name>",
                "arn:aws:s3:::<bucket-name>/*"
            ]
        }
    ]
}

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "EC2Permissions",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:CreateKeyPair",
                "ec2:DescribeKeyPairs",
                "ec2:RunInstances",
                "ec2:DeleteKeyPair",
                "ec2:DescribeVpcAttribute",
                "ec2:CreateTags",
                "ec2:DescribeSubnets",
                "ec2:TerminateInstances",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeImages",
                "ec2:DescribeVpcs",
                "ec2:CreateVpc",
                "ec2:CreateSubnet",
                "ec2:DescribeAvailabilityZones",
                "ec2:CreateRoute",
                "ec2:CreateInternetGateway",
                "ec2:AttachInternetGateway",
                "ec2:ModifyVpcAttribute",
                "ec2:CreateSecurityGroup",
                "ec2:DeleteSecurityGroup",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:DescribeRouteTables",
                "ec2:DescribeInstanceTypes"
            ],
            "Resource": "*"
        }
    ]
}