Configurar servicio de recuperación

En este artículo se proporciona información sobre la configuración de Oracle Database Autonomous Recovery Service para su uso con Oracle Base Database Service.

Oracle Database Autonomous Recovery Service es una solución de copia de seguridad en la nube totalmente gestionada, independiente y centralizada para las bases de datos de Oracle Cloud Infrastructure (OCI).

Para obtener más información acerca del servicio de recuperación, consulte Acerca deOracle Database Autonomous Recovery Service.

Lista de Control de Configuración de Requisitos para el Servicio de Recuperación

Nota: Data Guard Broker es necesario al configurar Recovery Service como destino de copia de seguridad para las bases de datos activadas de Data Guard.

En esta lista de comprobación se describen las tareas previas necesarias que debe realizar para poder utilizar Recovery Service como destino de copia de seguridad para las bases de datos de su arrendamiento.

Asignación de políticas para permitir el acceso a Recovery Service y recursos relacionados
Revisión de los permisos del servicio Networking para configurar una subred
Revisión de requisitos de tamaño de subred y reglas de seguridad para la subred del servicio de recuperación
Creación en la VCN de base de datos de una subred del servicio de recuperación
Registrar Subred de Servicio de Recuperación
Asegúrese de que la subred del servicio de recuperación se pueda comunicar con los servicios de Oracle
Asegúrese de que la base de datos tiene TDE totalmente configurado
Desactivar cualquier copia de seguridad operativa manual

Asignación de políticas para permitir el acceso a Recovery Service y recursos relacionados

Asigne sentencias de política para que los servicios de base de datos de OCI soportados puedan utilizar Recovery Service para la protección de datos.

En la consola, utilice Policy Builder para asignar rápidamente las políticas necesarias para utilizar Recovery Service en su arrendamiento. En el Creador de políticas, seleccione Autonomous Recovery Service como caso de uso de política y, a continuación, seleccione estas plantillas de política predefinidas:

Capacidad de llevar a cabo cualquier acción con Autonomous Recovery Service
Permitir a los usuarios gestionar políticas de protección en Autonomous Recovery Service.
Permitir a los usuarios gestionar subredes de Autonomous Recovery Service

Capacidad de llevar a cabo cualquier acción con Autonomous Recovery Service

La plantilla de política Capacidad para realizar todas las tareas con Autonomous Recovery Service incluye todas las sentencias de política necesarias para proporcionar permisos para que los servicios de base de datos soportados utilicen Recovery Service y para que Recovery Service utilice los recursos de red para acceder a las bases de datos de una VCN.

Puede seleccionar la plantilla de política o agregar estas sentencias de política mediante el editor manual en Policy Builder.

Sentencia de política	Crear en	Finalidad
`Allow service database to manage recovery-service-family in tenancy`	Compartimento raíz	Permite que OCI Database Service acceda a bases de datos protegidas, políticas de protección y subredes de Recovery Service dentro de su arrendamiento.
`Allow service database to manage tagnamespace in tenancy`	Compartimento raíz	Permite al servicio OCI Database acceder al espacio de nombres de etiqueta en un arrendamiento.
`Allow service rcs to manage recovery-service-family in tenancy`	Compartimento raíz	Permite a Recovery Service acceder y gestionar bases de datos protegidas, subredes de Recovery Service y políticas de protección dentro de su arrendamiento.
`Allow service rcs to manage virtual-network-family in tenancy`	Compartimento raíz	Permite al servicio de recuperación acceder a la subred privada de cada VCN de base de datos de su arrendamiento y gestionarla. La subred privada define la ruta de red para las copias de seguridad entre una base de datos y Recovery Service.
`Allow group admin to manage recovery-service-family in tenancy`	Compartimento raíz	Permite a los usuarios de un grupo especificado acceder a todos los recursos del servicio de recuperación. Los usuarios que pertenecen al grupo especificado pueden gestionar bases de datos protegidas, políticas de protección y subredes del servicio de recuperación.

Permitir a los usuarios gestionar políticas de protección en Autonomous Recovery Service.

La plantilla de política Permitir a los usuarios gestionar políticas de protección en Autonomous Recovery Service otorga permisos para que los usuarios de un grupo especificado creen, actualicen y supriman recursos de política de protección en Recovery Service.

Puede seleccionar la plantilla de política o agregar esta sentencia de política mediante el editor manual en Policy Builder.

Sentencia de política	Crear en	Finalidad
`Allow group {group name} to manage recovery-service-policy in compartment {location}`	Compartimento propietario de las políticas de protección.	Permite a todos los usuarios de un grupo especificado crear, actualizar y suprimir políticas de protección en Recovery Service.

Considere este ejemplo. Esta política otorga al grupo RecoveryServiceUser los permisos para crear, actualizar y suprimir políticas de protección en el compartimento ABC.

Allow group RecoveryServiceUser to manage recovery-service-policy in compartment ABC

Permitir que los usuarios gestionen subredes de Autonomous Recovery Service

La plantilla de política Permitir a los usuarios gestionar subredes de Autonomous Recovery Service otorga permisos para que los usuarios de un grupo especificado creen, actualicen y supriman recursos de subred de Recovery Service.

Puede seleccionar la plantilla de política o agregar esta sentencia de política en Policy Builder.

Sentencia de política	Crear en	Finalidad
`Allow Group {group name} to manage recovery-service-subnet in compartment {location}`	Compartimento propietario de las subredes del servicio de recuperación.	Permite que todos los usuarios de un grupo especificado creen, actualicen y supriman subredes de Recovery Service.

Considere este ejemplo. Esta política otorga al grupo RecoveryServiceAdmin los permisos para gestionar las subredes del servicio de recuperación en el compartimento ABC.

Allow group RecoveryServiceAdmin to manage recovery-service-subnet in compartment ABC

Para obtener más información sobre políticas, consulte Gestión de políticas.

Acerca del uso de una subred privada para el servicio de recuperación

Recovery Service utiliza una subred privada dentro de una red virtual en la nube (VCN) en la que reside la base de datos. La subred privada define la ruta de red para las copias de seguridad entre la base de datos y Recovery Service.

Oracle recomienda que la VCN de la base de datos debe tener una única subred privada dedicada para las copias de seguridad en Recovery Service. La base de datos de Oracle Cloud puede residir en la misma subred privada que utiliza Recovery Service o en una subred diferente dentro de la misma VCN.

Puede crear una subred privada o utilizar una subred existente en la VCN de la base de datos. Oracle recomienda utilizar un tamaño de subred de /24 (256 direcciones IP).

Nota: Seleccione una subred solo de IPv4 para Recovery Service en la VCN de la base de datos. No seleccione una subred con IPv6 activado, ya que Recovery Service no admite el uso de una subred con IPv6 activado.

La VCN de la base de datos necesita reglas de seguridad para permitir el tráfico de copia de seguridad entre la base de datos y Recovery Service. Las reglas de seguridad deben incluir reglas de entrada con estado para permitir los puertos de destino 8005 y

Puede utilizar estas funciones del servicio Networking para implantar reglas de seguridad:

Listas de seguridad: una lista de seguridad permite agregar reglas de seguridad en el nivel de subred. En la VCN de la base de datos, seleccione la lista de seguridad que se utiliza para la subred del servicio de recuperación y agregue las reglas de entrada para permitir los puertos de destino 8005 y 2484.
Grupos de seguridad de red: los grupos de seguridad de red (NSG) activan el control granular sobre las reglas de seguridad que se aplican a VNIC individuales de una VCN. Recovery Service soporta estas opciones para configurar reglas de seguridad mediante NSG:
- Para implementar el aislamiento de red, cree un NSG para la VNIC de base de datos (aplique reglas de salida para permitir los puertos 2484 y 8005) y un NSG independiente para Recovery Service (aplique reglas de entrada para permitir los puertos 2484 y 8005).
- Cree y utilice un único NSG (con reglas de entrada y salida) para la VNIC de base de datos y el servicio de recuperación.

Nota: Si ha configurado una lista de seguridad y un NSG en la VCN de la base de datos, las reglas definidas en los NSG tienen prioridad sobre las reglas definidas en una lista de seguridad.

Después de crear una subred privada en la VCN de la base de datos, asigne las reglas de seguridad y, a continuación, registre la subred como subred del servicio de recuperación en Recovery Service. Si ha creado grupos de seguridad de red para implantar reglas de seguridad, también debe asegurarse de asociar el grupo de seguridad de red de Recovery Service a la subred de Recovery Service.

Nota: Oracle recomienda utilizar una subred privada para las copias de seguridad. Sin embargo, es posible utilizar una subred pública.

Para obtener más información, consulte:

Revisión de requisitos de tamaño de subred y reglas de seguridad para la subred del servicio de recuperación

Las reglas de seguridad son necesarias para permitir el tráfico de copia de seguridad entre una base de datos y Recovery Service.

Artículo	Requisitos
Tamaño de subred recomendado	/24 (256 direcciones IP)
Regla general de entrada 1: Permitir tráfico HTTPS desde cualquier lugar	Esta regla permite realizar copias de seguridad del tráfico de la base de datos de OCI al servicio de recuperación. Sin estado: no (todas las reglas deben tener estado) Tipo de origen: CIDR CIDR de origen: CIDR de la VCN en la que reside la base de datos Protocolo IP: TCP Rango de puertos de origen: todo Rango de puertos de destino: 8005
Regla de entrada general 2: permite el tráfico SQLNet desde cualquier lugar	Esta regla permite conexiones al catálogo de recuperación y protección de datos en tiempo real desde la base de datos de OCI hasta el servicio de recuperación. Sin estado: no (todas las reglas deben tener estado) Tipo de origen: CIDR CIDR de origen: CIDR de la VCN en la que reside la base de datos Protocolo IP: TCP Rango de puertos de origen: todo Rango de puertos de destino: 2484

Nota: Si utiliza grupos de seguridad de red (NSG) para implantar reglas de seguridad o si la VCN de la base de datos restringe el tráfico de red entre subredes, asegúrese de agregar una regla de salida para los puertos 2484 y 8005 del NSG o la subred de la base de datos al NSG o la subred del servicio de recuperación que cree.

Revisión de los permisos del servicio Networking para configurar una subred

Asegúrese de que tiene estos permisos de servicio de red necesarios para crear una subred en la VCN de la base de datos y asignar reglas de seguridad para Recovery Service.

Operación	Políticas de IAM necesarias
Configurar una subred privada en una VCN de base de datos	`use vcns` para el compartimento en el que está la VCN `use subnets` para el compartimento en el que está la VCN `manage private-ips` para el compartimento en el que está la VCN `manage vnics` para el compartimento en el que está la VCN gestionar VNIC para el compartimento en el que está la base de datos o en el que se va a aprovisionar

También puede crear una política que permita un grupo especificado con acceso más amplio a los componentes de red.

Por ejemplo, utilice esta política para permitir que un grupo NetworkAdmin gestione todas las redes de cualquier compartimento de un arrendamiento.

Ejemplo - Política para administradores de red

Allow group NetworkAdmin to manage virtual-network-family in tenancy

Crear una subred del servicio de recuperación en la VCN de base de datos

Utilice la consola de OCI para configurar una subred privada para Recovery Service en la red virtual en la nube (VCN) de la base de datos.

En el menú de navegación, seleccione Networking y, a continuación, seleccione Virtual cloud networks.

Se abre la página de lista de la VCN. Todas las redes virtuales en la nube del compartimento seleccionado se muestran en una tabla.
Seleccione la VCN en la que reside la base de datos.
Utilice estos pasos para crear una subred del servicio de recuperación con una lista de seguridad. Si decide utilizar grupos de seguridad de red, omita este paso.
1. En la página de detalles de la VCN, seleccione el separador Seguridad.
2. Seleccione la lista de seguridad que se utiliza para la VCN. Debe agregar dos reglas de entrada para permitir los puertos de destino 8005 y 2484.
3. En la página de detalles de la lista de seguridad, seleccione el separador Reglas de seguridad.
  
  Seleccione Agregar reglas de entrada y agregue los siguientes detalles para configurar una regla de entrada con estado que permita el tráfico HTTPS desde cualquier lugar:
  - Tipo de origen: CIDR
  - CIDR de origen: especifique el CIDR de la VCN en la que reside la base de datos.
  - Protocolo IP: TCP
  - Rango de puertos de origen: Todo
  - Rango de puertos de destino: 8005
  - Descripción: especifique una descripción opcional de la regla de entrada para ayudar a gestionar las reglas de seguridad.
4. Seleccione Agregar regla de entrada y agregue estos detalles para configurar una regla de entrada con estado que permita el tráfico de SQLNet desde cualquier lugar:
  - Tipo de origen: CIDR
  - CIDR de origen: especifique el CIDR de la VCN en la que reside la base de datos.
  - Protocolo IP: TCP
  - Rango de puertos de origen: Todo
  - Rango de puertos de destino: 2484
  - Descripción: especifique una descripción opcional de la regla de entrada para ayudar a gestionar las reglas de seguridad.
  Nota: Seleccione una subred solo de IPv4 para Recovery Service en la VCN de la base de datos. No seleccione una subred con IPv6 activado, ya que Recovery Service no admite el uso de una subred con IPv6 activado.
Vuelva a la página de detalles de la VCN y seleccione el separador Subredes.
1. Seleccione Create Subnet.
2. Cree una subred privada o seleccione una subred privada que ya exista en la VCN de la base de datos. Oracle recomienda un tamaño de subred de /24 (256 direcciones IP) para la subred privada.
3. En la página de detalles de la subred, seleccione el separador Seguridad.
4. Seleccione Agregar lista de seguridad para agregar la lista de seguridad que incluye las reglas de entrada para permitir los puertos de destino 8005 y 2484.
  
  Nota: Si la VCN de la base de datos restringe el tráfico de red entre subredes, asegúrese de agregar una regla de salida para los puertos 2484 y 8005 de la subred de la base de datos a la subred del servicio de recuperación que cree.
Utilice estos pasos para crear una subred del servicio de recuperación con grupos de seguridad de red (NSG).
1. Vuelva a la página de detalles de la VCN y seleccione el separador Subredes.
2. En la sección Grupos de seguridad de red, seleccione Crear grupo de seguridad de red.
3. Utilice uno de estos métodos admitidos para configurar reglas de seguridad mediante NSG:
  - Para implementar el aislamiento de red, cree un NSG para la VNIC de base de datos (aplique reglas de salida para permitir los puertos 2484 y 8005) y un NSG independiente para Recovery Service (aplique reglas de entrada para permitir los puertos 2484 y 8005).
  - Cree y utilice un único NSG (con reglas de entrada y salida) para la VNIC de base de datos y el servicio de recuperación.
  La página Grupo de seguridad de red muestra los NSG que ha creado.
Después de crear la subred del servicio de recuperación en la VCN de base de datos, registre la subred como subred del servicio de recuperación. Oracle recomienda registrar una única subred del servicio de recuperación por VCN. Si ha implantado reglas de seguridad mediante NSG, también debe asegurarse de agregar el NSG de Recovery Service a la subred de Recovery Service.

Registrar Subred de Servicio de Recuperación

Una vez que haya creado una subred privada para Recovery Service en la VCN de la base de datos, utilice este procedimiento para registrar la subred en Recovery Service.

Varias bases de datos protegidas pueden utilizar la misma subred del servicio de recuperación. Para asegurarse de que el número necesario de direcciones IP está disponible para soportar los puntos finales privados de Recovery Service, puede asignar varias subredes a una subred de Recovery Service que utiliza más de una base de datos protegida.

Utilice los siguientes pasos para registrar la subred del servicio de recuperación:

Abra el menú de navegación, seleccione Oracle AI Database y, a continuación, seleccione Copias de seguridad de bases de datos.
Seleccione Subredes de Servicio de Recuperación.

Se abre la página de lista de subredes del servicio de recuperación. Todas las subredes del servicio de recuperación del compartimento seleccionado se muestran en una tabla.
Seleccione Register Recovery Service subnet.
En el panel Registrar subred de Recovery Service, introduzca los siguientes detalles:
En el campo Nombre, introduzca un nombre para la subred del servicio de recuperación.
En el campo Compartimento, seleccione los compartimentos en los que desea crear la subred del servicio de recuperación.
En el campo Red virtual en la nube, seleccione la VCN de la base de datos. Seleccione Compartimento para seleccionar una VCN que pertenezca a un compartimento diferente.
En el campo Subred, seleccione una subred privada que haya configurado para las operaciones del servicio de recuperación en la VCN de la base de datos. Seleccione Compartimento para seleccionar una subred privada de otro compartimento.
(Opcional) Seleccione +Otra subred para asignar una subred adicional a la subred del servicio de recuperación. Si una única subred no contiene suficientes direcciones IP para admitir los puntos finales privados del servicio de recuperación, puede asignar varias subredes.
Amplíe Opciones avanzadas para introducir estas funciones adicionales:
- Grupos de seguridad de red
- Etiquetas
Si ha utilizado un grupo de seguridad de red (NSG) para implantar reglas de seguridad para Recovery Service en la VCN de base de datos, debe agregar el NSG de Recovery Service a la subred de Recovery Service. El NSG del servicio de recuperación puede residir en el mismo compartimento o en un compartimento diferente. Sin embargo, el NSG debe pertenecer a la misma VCN a la que pertenece la subred especificada.
1. En la sección Network security groups, seleccione Use network security groups to control traffic.
2. Seleccione el NSG del servicio de recuperación que ha creado en la VCN de la base de datos.
3. Seleccione +Otro grupo de seguridad de red para asociar varios NSG (máximo cinco).
(Opcional) en el campo Espacio de nombre de etiqueta, considere agregar un espacio del nombre de etiqueta o etiquetar el control con un espacio del nombre de etiqueta existente.
Seleccione Registrar.

Puede sustituir una subred o agregar más subredes para soportar el número necesario de puntos finales privados.

Siga estos pasos para actualizar una subred del servicio de recuperación existente:

En la página de detalles Subred de servicio de recuperación, seleccione el separador Subredes.
Seleccione Agregar subredes y seleccione las subredes que desea agregar.
Para sustituir una subred existente, seleccione el menú Acción y seleccione Suprimir. A continuación, puede agregar otra subred.

Nota: Una subred del servicio de recuperación debe estar asociada a al menos una subred que pertenezca a la VCN de la base de datos.

Utilice estos pasos para gestionar los grupos de seguridad de red (NSG) para una subred del servicio de recuperación existente:

En el separador Grupos de Seguridad de Red, seleccione Agregar Grupos de Seguridad de Red.
Seleccione y agregue los grupos de seguridad de red del servicio de recuperación (máximo cinco).
Para eliminar un NSG, seleccione el recurso y seleccione Eliminar.

Asegúrese de que la subred del servicio de recuperación se pueda comunicar con los servicios de Oracle

La subred del servicio de recuperación que ha registrado debe comunicarse con el servicio de recuperación.

Para acceder al servicio, la tabla de enrutamiento de la subred privada debe incluir Todos los servicios de IAD en Oracle Services Network.

Asegúrese de que la base de datos tiene TDE totalmente configurado

Al utilizar el servicio de recuperación, debe tener la base de datos totalmente cifrada con TDE.

Para las nuevas bases de datos que nacen en la nube, esto ya debería hacerse. Sin embargo, si crea una base de datos stub en OCI y migra una base de datos a Oracle Database Cloud Service desde un entorno local u otro lugar, es posible que no cumpla todos los criterios. Para estas bases de datos, debe verificar que cumple los requisitos para realizar una copia de seguridad en el servicio de recuperación. Tengo una entrada de blog que puedes encontrar aquí que describirá qué verificar con las consultas que ejecutar.

Debe cumplir estos 3 criterios:

Debe tener WALLET_ROOT configurado en la base de datos. Si sigue utilizando sqlnet.ora, debe utilizar dbaascli para definir correctamente WALLET_ROOT para todas las bases de datos que utilizarán el servicio de recuperación. Para activar el parámetro SPFILE wallet_root para una base que ya existe, ejecute:
```
dbaascli tde enableWalletRoot
```

Nota: La configuración de ENCRYPTION_WALLET_LOCATION en sqlnet.ora no está soportada y quedará en desuso.

Debe tener una clave de cifrado definida para la CDB y todas las PDB de la base de datos.
TODOS los tablespaces deben estar cifrados con TDE antes de ejecutar la primera copia de seguridad.

Desactivar cualquier copia de seguridad operativa manual

En algunos casos, los usuarios de OCI realizan copias de seguridad operativas manuales. Estas copias de seguridad se ejecutan fuera de las herramientas estándar y soportan la recuperación point-in-time (copias de seguridad noKEEP).

Si está ejecutando cualquiera de estos tipos de copias de seguridad operativas, es fundamental que las desactive en este punto. La ejecución de copias de seguridad operativas en dos ubicaciones diferentes puede causar problemas con ambas copias de seguridad y puede crear escenarios de pérdida de datos. Por lo tanto, antes de activar las copias de seguridad automáticas, debe desactivar los procesos y scripts de copia de seguridad manuales en otros destinos de almacenamiento.

Nota: Si utiliza las herramientas para las copias de seguridad de almacenamiento de objetos y cambia al servicio de recuperación, las herramientas automatizarán el switchover, y todas las copias de seguridad anteriores permanecerán disponibles.