Configurer le service de récupération

Cet article fournit des informations sur la configuration d'Oracle Database Autonomous Recovery Service en vue de son utilisation avec Oracle Base Database Service.

Oracle Database Autonomous Recovery Service est une solution de sauvegarde cloud entièrement gérée, autonome et centralisée pour les bases de données Oracle Cloud Infrastructure (OCI).

Pour plus d'informations sur Recovery Service, reportez-vous à A propos de Oracle Database Autonomous Recovery Service.

Liste de contrôle de configuration des prérequis pour Recovery Service

Remarque : le broker Data Guard est requis lors de la configuration de Recovery Service en tant que destination de sauvegarde pour les bases de données sur lesquelles Data Guard est activé.

Cette liste de contrôle décrit les tâches prérequises que vous devez effectuer pour pouvoir utiliser Recovery Service en tant que destination de sauvegarde pour les bases de données de votre location.

Affecter des stratégies pour autoriser l'accès au service de récupération et aux ressources associées
Vérification des droits d'accès du service Networking pour configurer un sous-réseau
Exigences en matière de taille de sous-réseau et règles de sécurité pour le sous-réseau Recovery Service
Création d'un sous-réseau de service de récupération dans la base de données VCN
Inscrire un sous-réseau de service de récupération
Assurez-vous que le sous-réseau de service de récupération peut communiquer avec les services Oracle
Assurez-vous que votre base de données dispose de TDE entièrement configuré
Désactiver les sauvegardes opérationnelles manuelles

Affecter des stratégies pour autoriser l'accès au service de récupération et aux ressources associées

Affectez des instructions de stratégie de sorte que les services OCI Database pris en charge puissent utiliser Recovery Service pour la protection des données.

Dans la console, utilisez le générateur de stratégies pour affecter rapidement les stratégies requises pour utiliser Recovery Service dans votre location. Dans le générateur de stratégies, sélectionnez Autonomous Recovery Service en tant que cas d'utilisation de stratégie, puis sélectionnez les modèles de stratégie prédéfinis suivants :

Autoriser à tout faire avec Autonomous Recovery Service
Autoriser les utilisateurs à gérer des stratégies de protection dans Autonomous Recovery Service
Autoriser les utilisateurs à gérer des sous-réseaux Autonomous Recovery Service

Autoriser à tout faire avec Autonomous Recovery Service

Le modèle de stratégie Possibilité de tout faire avec Autonomous Recovery Service inclut toutes les instructions de stratégie requises pour fournir des droits d'accès aux services de base de données pris en charge afin d'utiliser Recovery Service et pour Recovery Service afin d'utiliser les ressources réseau pour accéder aux bases de données dans un VCN.

Vous pouvez sélectionner le modèle de stratégie ou ajouter ces instructions à l'aide de l'éditeur manuel du générateur de stratégies.

Instruction de stratégie	Créer dans	Objectif
`Allow service database to manage recovery-service-family in tenancy`	Compartiment racine	Permet à OCI Database Service d'accéder aux bases de données protégées, aux stratégies de protection et aux sous-réseaux Recovery Service dans votre location.
`Allow service database to manage tagnamespace in tenancy`	Compartiment racine	Permet à OCI Database Service d'accéder à l'espace de noms de balise dans une location.
`Allow service rcs to manage recovery-service-family in tenancy`	Compartiment racine	Permet à Recovery Service d'accéder aux bases de données protégées, aux sous-réseaux Recovery Service et aux stratégies de protection de votre location et de les gérer.
`Allow service rcs to manage virtual-network-family in tenancy`	Compartiment racine	Permet à Recovery Service d'accéder au sous-réseau privé et de le gérer dans chaque VCN de base de données de votre location. Le sous-réseau privé définit le chemin réseau des sauvegardes entre une base de données et Recovery Service.
`Allow group admin to manage recovery-service-family in tenancy`	Compartiment racine	Permet aux utilisateurs d'un groupe spécifié d'accéder à toutes les ressources Recovery Service. Les utilisateurs appartenant au groupe indiqué peuvent gérer les bases de données protégées, les stratégies de protection et les sous-réseaux Recovery Service.

Autoriser les utilisateurs à gérer des stratégies de protection dans Autonomous Recovery Service

Le modèle de stratégie Autoriser les utilisateurs à gérer des stratégies de protection dans Autonomous Recovery Service accorde des droits d'accès aux utilisateurs d'un groupe indiqué pour créer, mettre à jour et supprimer des ressources de stratégie de protection dans Recovery Service.

Vous pouvez sélectionner le modèle de stratégie ou ajouter cette instruction de stratégie à l'aide de l'éditeur manuel du générateur de stratégies.

Instruction de stratégie	Créer dans	Objectif
`Allow group {group name} to manage recovery-service-policy in compartment {location}`	Compartiment propriétaire des stratégies de protection.	Permet à tous les utilisateurs d'un groupe spécifié de créer, mettre à jour et supprimer des stratégies de protection dans Recovery Service.

Prenons l'exemple suivant. Cette stratégie accorde au groupe RecoveryServiceUser les droits d'accès permettant de créer, de mettre à jour et de supprimer des stratégies de protection dans le compartiment ABC.

Allow group RecoveryServiceUser to manage recovery-service-policy in compartment ABC

Autoriser les utilisateurs à gérer des sous-résaux Autonomous Recovery Service

Le modèle de stratégie Autoriser les utilisateurs à gérer des sous-réseaux Autonomous Recovery Service accorde des droits d'accès aux utilisateurs d'un groupe indiqué pour créer, mettre à jour et supprimer des ressources de sous-réseau Recovery Service.

Vous pouvez sélectionner le modèle de stratégie ou ajouter cette instruction de stratégie dans le générateur de stratégies.

Instruction de stratégie	Créer dans	Objectif
`Allow Group {group name} to manage recovery-service-subnet in compartment {location}`	Compartiment propriétaire des sous-réseaux Recovery Service.	Permet à tous les utilisateurs d'un groupe spécifié de créer, mettre à jour et supprimer des sous-réseaux Recovery Service.

Prenons cet exemple. Cette stratégie accorde au groupe RecoveryServiceAdmin les droits d'accès permettant de gérer les sous-réseaux de service de récupération dans le compartiment ABC.

Allow group RecoveryServiceAdmin to manage recovery-service-subnet in compartment ABC

Pour plus d'informations sur les stratégies, reportez-vous à Gestion des stratégies.

A propos de l'utilisation d'un sous-réseau privé pour Recovery Service

Recovery Service utilise un sous-réseau privé au sein d'un réseau cloud virtuel (VCN) où réside votre base de données. Le sous-réseau privé définit le chemin réseau des sauvegardes entre la base de données et le service de récupération.

Oracle recommande que votre base de données VCN doit disposer d'un seul sous-réseau privé dédié aux sauvegardes vers Recovery Service. Votre base de données Oracle Cloud peut résider dans le même sous-réseau privé que Recovery Service ou dans un autre sous-réseau au sein du même VCN.

Vous pouvez créer un sous-réseau privé ou utiliser un sous-réseau préexistant dans le VCN de votre base de données. Oracle recommande d'utiliser une taille de sous-réseau de /24 (256 adresses IP).

Remarque : sélectionnez un sous-réseau IPv4 uniquement pour Recovery Service dans le VCN de votre base de données. Ne sélectionnez pas de sous-réseau compatible IPv6 car le service de récupération ne prend pas en charge l'utilisation d'un sous-réseau compatible IPv6.

Le VCN de base de données requiert des règles de sécurité pour autoriser le trafic de sauvegarde entre votre base de données et Recovery Service. Les règles de sécurité doivent inclure des règles entrantes avec conservation de statut pour autoriser les ports de destination 8005 et

Vous pouvez utiliser les fonctionnalités du service Networking suivantes pour implémenter des règles de sécurité :

Listes de sécurité : une liste de sécurité vous permet d'ajouter des règles de sécurité au niveau du sous-réseau. Dans le VCN de votre base de données, sélectionnez la liste de sécurité utilisée pour le sous-réseau Recovery Service et ajoutez les règles entrantes pour autoriser les ports de destination 8005 et 2484.
Groupes de sécurité réseau : les groupes de sécurité réseau permettent un contrôle granulaire des règles de sécurité qui s'appliquent à des cartes d'interface réseau virtuelles individuelles dans un VCN. Recovery Service prend en charge les options suivantes pour configurer des règles de sécurité à l'aide de groupes de sécurité réseau :
- Pour implémenter l'isolement réseau, créez un groupe de sécurité réseau pour la carte d'interface réseau virtuelle de base de données (ajoutez des règles sortantes pour autoriser les ports 2484 et 8005) et un groupe de sécurité réseau distinct pour Recovery Service (ajoutez des règles entrantes pour autoriser les ports 2484 et 8005).
- Créez et utilisez un seul groupe de sécurité réseau (avec des règles entrantes et sortantes) pour la carte d'interface réseau virtuelle de base de données et le service de récupération.

Remarque : si vous avez configuré une liste de sécurité et un groupe de sécurité réseau dans le VCN de votre base de données, les règles définies dans les groupes de sécurité réseau sont prioritaires sur les règles définies dans une liste de sécurité.

Une fois que vous avez créé un sous-réseau privé dans le VCN de base de données, affectez les règles de sécurité, puis inscrivez le sous-réseau en tant que sous-réseau Recovery Service dans Recovery Service. Si vous avez créé des groupes de sécurité réseau pour implémenter des règles de sécurité, vous devez également vous assurer d'associer le groupe de sécurité réseau Recovery Service au sous-réseau Recovery Service.

Remarque : Oracle recommande d'utiliser un sous-réseau privé pour vos sauvegardes. Cependant, il est possible d'utiliser un sous-réseau public.

Pour plus d'informations, reportez-vous aux sections suivantes :

Exigences en matière de taille de sous-réseau et règles de sécurité pour le sous-réseau Recovery Service

Les règles de sécurité sont nécessaires pour autoriser le trafic de sauvegarde entre une base de données et Recovery Service.

Article	Exigences
Taille de sous-réseau recommandée	/24 (256 adresses IP)
Règle entrante générale 1 : autoriser le trafic HTTPS à partir de n'importe où	Cette règle autorise le trafic de sauvegarde de votre base de données OCI vers Recovery Service. Sans conservation de statut : non (toutes les règles doivent être avec conservation de statut) Type de source : CIDR CIDR source : CIDR du VCN où réside la base de données Protocole IP : TCP Plage de ports source : tous Plage de ports de destination : 8005
Règle entrante générale 2 : autorise le trafic SQLNet à partir de toute provenance	Cette règle permet de se connecter au catalogue de restauration et de protéger les données en temps réel de votre base de données OCI vers Recovery Service. Sans conservation de statut : non (toutes les règles doivent être avec conservation de statut) Type de source : CIDR CIDR source : CIDR du VCN où réside la base de données Protocole IP : TCP Plage de ports source : tous Plage de ports de destination : 2484

Remarque : si vous utilisez des groupes de sécurité réseau pour implémenter des règles de sécurité ou si le VCN de votre base de données restreint le trafic réseau entre les sous-réseaux, veillez à ajouter une règle sortante pour les ports 2484 et 8005 du groupe de sécurité réseau ou du sous-réseau de base de données au groupe de sécurité réseau ou au sous-réseau Recovery Service que vous créez.

Vérification des droits d'accès du service Networking pour configurer un sous-réseau

Assurez-vous que vous disposez des droits d'accès Networking Service requis pour créer un sous-réseau dans le VCN de base de données et pour affecter des règles de sécurité à Recovery Service.

Opération	Stratégies IAM requises
Configurer un sous-réseau privé dans un VCN de base de données	`use vcns` pour le compartiment dans lequel se trouve le VCN `use subnets` pour le compartiment dans lequel se trouve le VCN `manage private-ips` pour le compartiment dans lequel se trouve le VCN `manage vnics` pour le compartiment dans lequel se trouve le VCN gérez les cartes VNIC pour le compartiment dans lequel la base de données est provisionnée ou doit être provisionnée

Vous pouvez également créer une stratégie qui autorise un groupe spécifique avec un accès plus large aux composants réseau.

Par exemple, utilisez cette stratégie pour autoriser un groupe NetworkAdmin à gérer tous les réseaux d'un compartiment de la location.

Exemple - Stratégie pour les administrateurs réseau

Allow group NetworkAdmin to manage virtual-network-family in tenancy

Création d'un sous-réseau de service de récupération dans la base de données VCN

Utilisez la console OCI pour configurer un sous-réseau privé pour Recovery Service dans votre réseau cloud virtuel de base de données (VCN).

Dans le menu de navigation, sélectionnez Fonctions de réseau, puis Réseaux Cloud virtuels.

La page de liste VCN s'ouvre. Tous les réseaux cloud virtuels du compartiment sélectionné sont affichés dans une table.
Sélectionnez le VCN dans lequel réside votre base de données.
Suivez ces étapes pour créer un sous-réseau Recovery Service avec une liste de sécurité. Si vous choisissez d'utiliser des groupes de sécurité réseau, ignorez cette étape.
1. Sur la page de détails du VCN, sélectionnez l'onglet Sécurité.
2. Sélectionnez la liste de sécurité utilisée pour le VCN. Vous devez ajouter deux règles entrantes pour autoriser les ports de destination 8005 et 2484.
3. Sur la page de détails de la liste de sécurité, sélectionnez l'onglet Règles de sécurité.
  
  Sélectionnez Ajouter des règles entrantes et ajoutez les détails suivants pour configurer une règle entrante avec conservation de statut qui autorise le trafic HTTPS de n'importe où :
  - Type de source : CIDR
  - CIDR source : indiquez le CIDR du VCN où réside la base de données.
  - Protocole IP : TCP
  - Plage de ports d'origine : Tous
  - Plage de ports de destination: 8005
  - Description : indiquez une description facultative de la règle entrante pour faciliter la gestion des règles de sécurité.
4. Sélectionnez Ajouter une règle entrante et ajoutez les détails suivants pour configurer une règle entrante avec conservation de statut qui autorise le trafic SQLNet de n'importe où :
  - Type de source : CIDR
  - CIDR source : indiquez le CIDR du VCN où réside la base de données.
  - Protocole IP : TCP
  - Plage de ports d'origine : Tous
  - Plage de ports de destination: 2484
  - Description : indiquez une description facultative de la règle entrante pour faciliter la gestion des règles de sécurité.
  Remarque : sélectionnez un sous-réseau IPv4 uniquement pour Recovery Service dans le VCN de votre base de données. Ne sélectionnez pas de sous-réseau compatible IPv6 car le service de récupération ne prend pas en charge l'utilisation d'un sous-réseau compatible IPv6.
Revenez à la page de détails du VCN et sélectionnez l'onglet Sous-réseaux.
1. Sélectionnez Créer un sous-réseau.
2. Créez un sous-réseau privé ou sélectionnez un sous-réseau privé qui existe déjà dans le VCN de base de données. Oracle recommande une taille de sous-réseau de /24 (256 adresses IP) pour le sous-réseau privé.
3. Sur la page de détails du sous-réseau, sélectionnez l'onglet Sécurité.
4. Sélectionnez Ajouter une liste de sécurité pour ajouter la liste de sécurité qui inclut les règles entrantes afin d'autoriser les ports de destination 8005 et 2484.
  
  Remarque : si le VCN de votre base de données restreint le trafic réseau entre les sous-réseaux, veillez à ajouter une règle sortante pour les ports 2484 et 8005 du sous-réseau de base de données au sous-réseau de service de récupération que vous créez.
Suivez ces étapes pour créer un sous-réseau Recovery Service avec des groupes de sécurité réseau.
1. Revenez à la page de détails du VCN et sélectionnez l'onglet Sous-réseaux.
2. Dans la section Groupes de sécurité réseau, sélectionnez Créer un groupe de sécurité réseau.
3. Utilisez l'une des méthodes suivantes pour configurer des règles de sécurité à l'aide de groupes de sécurité réseau :
  - Pour implémenter l'isolement réseau, créez un groupe de sécurité réseau pour la carte d'interface réseau virtuelle de base de données (ajoutez des règles sortantes pour autoriser les ports 2484 et 8005) et un groupe de sécurité réseau distinct pour Recovery Service (ajoutez des règles entrantes pour autoriser les ports 2484 et 8005).
  - Créez et utilisez un seul groupe de sécurité réseau (avec des règles entrantes et sortantes) pour la carte d'interface réseau virtuelle de base de données et le service de récupération.
  La page Groupe de sécurité réseau répertorie les groupes de sécurité réseau que vous créez.
Une fois que vous avez créé le sous-réseau Recovery Service dans le VCN de base de données, enregistrez le sous-réseau en tant que sous-réseau Recovery Service. Oracle vous recommande d'enregistrer un seul sous-réseau Recovery Service par VCN. Si vous avez implémenté des règles de sécurité à l'aide de groupes de sécurité réseau, vous devez également vous assurer d'ajouter le groupe de sécurité réseau Recovery Service au sous-réseau Recovery Service.

Inscrire un sous-réseau de service de récupération

Une fois que vous avez créé un sous-réseau privé pour Recovery Service dans votre VCN de base de données, suivez cette procédure pour inscrire le sous-réseau dans Recovery Service.

Plusieurs bases de données protégées peuvent utiliser le même sous-réseau de service de récupération. Afin de vous assurer que le nombre d'adresses IP requis est disponible pour prendre en charge les adresses privées du service de récupération, vous pouvez affecter plusieurs sous-réseaux à un sous-réseau du service de récupération utilisé par plusieurs bases de données protégées.

Pour inscrire un sous-réseau Recovery Service, procédez comme suit :

Ouvrez le menu de navigation, sélectionnez Oracle AI Database, puis Sauvegardes de base de données.
Sélectionnez Sous-réseaux de services de récupération.

La page de liste des sous-réseaux Recovery Service s'ouvre. Tous les sous-réseaux Recovery Service du compartiment sélectionné sont affichés dans une table.
Sélectionnez Inscrire le sous-réseau du service de récupération.
Dans le panneau Inscrire un sous-réseau de service de récupération, entrez les détails suivants :
Dans le champ Nom, entrez le nom du sous-réseau de service de récupération.
Dans le champ Compartiment, sélectionnez l'emplacement dans lequel créer le sous-réseau Recovery Service.
Dans le champ Réseau cloud virtuel, sélectionnez le VCN de base de données. Sélectionnez Compartiment pour sélectionner un VCN appartenant à un autre compartiment.
Dans le champ Sous-réseau, sélectionnez un sous-réseau privé que vous avez configuré pour les opérations Recovery Service dans le VCN de base de données. Sélectionnez Compartiment pour sélectionner un sous-réseau privé dans un autre compartiment.
(Facultatif) Sélectionnez + Autre sous-réseau pour affecter un sous-réseau supplémentaire au sous-réseau de service de récupération. Si un seul sous-réseau ne contient pas suffisamment d'adresses IP pour prendre en charge les adresses privées du service de récupération, vous pouvez affecter plusieurs sous-réseaux.
Développez les options avancées pour saisir les fonctionnalités supplémentaires suivantes :
- Groupes de sécurité réseau
- Balises
Si vous avez utilisé un groupe de sécurité réseau pour implémenter des règles de sécurité pour Recovery Service dans le VCN de base de données, vous devez ajouter le groupe de sécurité réseau Recovery Service au sous-réseau Recovery Service. Le groupe de sécurité réseau Recovery Service peut résider dans le même compartiment ou dans un autre compartiment. Cependant, le groupe de sécurité réseau doit appartenir au même VCN auquel appartient le sous-réseau spécifié.
1. Dans la section Groupes de sécurité du réseau, sélectionnez Utiliser les groupes de Sécurité du réseau pour contrôler le traffic.
2. Sélectionnez le groupe de sécurité réseau Recovery Service que vous avez créé dans le VCN de base de données.
3. Sélectionnez +Un autre groupe de sécurité réseau pour associer plusieurs groupes de sécurité réseau (cinq au maximum).
(Facultatif) Dans la zone Espace de noms de balises, envisagez d'ajouter un espace de noms d'indicateur ou de baliser le contrôle avec un espace de noms d'indicateur existant.
Sélectionnez S'inscrire.

Vous pouvez remplacer un sous-réseau ou ajouter d'autres sous-réseaux pour prendre en charge le nombre requis d'adresses privées.

Procédez comme suit pour mettre à jour un sous-réseau Recovery Service existant :

Sur la page de détails du sous-réseau Recovery Service, sélectionnez l'onglet Sous-réseaux.
Sélectionnez Ajouter des sous-réseaux et sélectionnez les sous-réseaux à ajouter.
Pour remplacer un sous-réseau existant, sélectionnez le menu Action, puis Supprimer. Vous pouvez ensuite ajouter un autre sous-réseau.

Remarque : un sous-réseau de service de récupération doit être associé à au moins un sous-réseau appartenant au VCN de votre base de données.

Pour gérer les groupes de sécurité réseau d'un sous-réseau Recovery Service existant, procédez comme suit :

Dans l'onglet Groupes de sécurité du réseau, sélectionnez Ajouter des groupes de Sécurité du réseau.
Sélectionnez et ajoutez les groupes de sécurité réseau Recovery Service (cinq au maximum).
Pour enlever un groupe de sécurité réseau, sélectionnez la ressource et sélectionnez Enlever.

Assurez-vous que le sous-réseau de service de récupération peut communiquer avec les services Oracle

Le sous-réseau de service de récupération que vous avez inscrit doit communiquer avec le service de récupération.

Pour accéder au service, la table de routage du sous-réseau privé doit inclure Tous les services IAD dans Oracle Services Network.

Assurez-vous que votre base de données dispose de TDE entièrement configuré

Lorsque vous utilisez le service de récupération, votre base de données doit être entièrement cryptée TDE.

Pour les nouvelles bases de données nées dans le cloud, cela doit déjà être fait. Toutefois, si vous créez une base de données stub dans OCI et que vous migrez une base de données vers Oracle Database Cloud Service à partir d'un environnement sur site ou ailleurs, vous risquez de ne pas répondre à tous les critères. Pour ces bases de données, vous devez vérifier que vous respectez les prérequis pour une sauvegarde vers le service de récupération. J'ai un billet de blog que vous pouvez trouver ici qui indiquera ce qu'il faut vérifier avec les requêtes à exécuter.

Vous devez répondre aux 3 critères suivants :

WALLET_ROOT doit être configuré dans la base de données. Si vous utilisez toujours sqlnet.ora, vous devez utiliser dbaascli pour définir correctement WALLET_ROOT pour toutes les bases de données qui utiliseront le service de récupération. Pour activer le paramètre SPFILE wallet_root pour une base de données existante, exécutez la commande suivante :
```
dbaascli tde enableWalletRoot
```

Remarque : la définition de ENCRYPTION_WALLET_LOCATION dans sqlnet.ora n'est pas prise en charge et sera en phase d'abandon.

Vous devez disposer d'un ensemble de clés de cryptage pour la base de données Conteneur et toutes les bases de données pluggables de la base de données.
TOUS les tablespaces doivent être cryptés par TDE avant d'exécuter la première sauvegarde.

Désactiver les sauvegardes opérationnelles manuelles

Dans certains cas, les utilisateurs OCI effectuent des sauvegardes opérationnelles manuelles. Ces sauvegardes sont exécutées en dehors des outils standard et prennent en charge la récupération jusqu'à un point dans le temps (sauvegardes non-KEEP).

Si vous exécutez l'un de ces types de sauvegarde opérationnelle, il est essentiel de les désactiver à ce stade. L'exécution de sauvegardes opérationnelles à deux emplacements différents peut entraîner des problèmes avec les deux sauvegardes et peut créer des scénarios de perte de données. Par conséquent, avant d'activer les sauvegardes automatiques, vous devez désactiver les scripts et les processus de sauvegarde manuels vers d'autres destinations de stockage.

Remarque : si vous utilisez l'outil pour les sauvegardes de stockage d'objets et que vous passez à Recovery Service, la permutation est automatisée par l'outil et toutes les sauvegardes précédentes restent disponibles.