配置恢复服务

恢复服务的先决条件配置核对表

此核对清单介绍了在将恢复服务用作租户中数据库的备份目标之前必须完成的先决条件任务。

分配策略以允许访问恢复服务和相关资源
查看配置子网的网络服务权限
查看恢复服务子网的子网大小要求和安全规则
在数据库 VCN 中创建恢复服务子网
注册恢复服务子网
确保恢复服务子网可以与 Oracle 服务通信
确保数据库已完全配置 TDE
关闭任何手动操作备份

分配策略以允许访问恢复服务和相关资源

分配策略语句，以便受支持的 OCI 数据库服务可以使用恢复服务进行数据保护。

在控制台中，使用策略构建器快速分配在租户中使用恢复服务所需的策略。在策略构建器中，选择自治恢复服务作为策略用例，然后选择以下预定义的策略模板：

能够对自治恢复服务执行所有操作
允许用户在自治恢复服务中管理保护策略
允许用户管理自治恢复服务子网

能够对自治恢复服务执行所有操作

Ability to do all things with Autonomous Recovery Service 策略模板包括为受支持的数据库服务提供使用恢复服务的权限以及恢复服务使用网络资源访问 VCN 中的数据库所需的所有策略语句。

您可以使用策略构建器中的手动编辑器选择策略模板或添加这些策略语句。

表 - 使用恢复服务所需的策略语句

策略语句	创建位置	用途
`Allow service database to manage recovery-service-family in tenancy`	根区间	使 OCI Database Service 能够访问租户内的受保护数据库、保护策略和恢复服务子网。
`Allow service database to manage tagnamespace in tenancy`	根区间	使 OCI 数据库服务能够访问租户中的标记名称空间。
`Allow service rcs to manage recovery-service-family in tenancy`	根区间	支持恢复服务访问和管理租户内的受保护数据库、恢复服务子网和保护策略。
`Allow service rcs to manage virtual-network-family in tenancy`	根区间	使恢复服务能够访问和管理租户中每个数据库 VCN 中的专用子网。专用子网定义数据库与恢复服务之间备份的网络路径。
`Allow group admin to manage recovery-service-family in tenancy`	根区间	允许指定组中的用户访问所有恢复服务资源。属于指定组的用户可以管理受保护数据库、保护策略和恢复服务子网。

允许用户在自治恢复服务中管理保护策略

允许用户管理自治恢复服务中的保护策略策略模板为指定组中的用户授予在 Recovery Service 中创建、更新和删除保护策略资源的权限。

您可以使用策略构建器中的手动编辑器选择策略模板或添加此策略语句。

表 - 用于管理保护策略的策略语句

策略语句	创建位置	用途
`Allow group {group name} to manage recovery-service-policy in compartment {location}`	拥有保护策略的区间。	允许指定组中的所有用户在 Recovery Service 中创建、更新和删除保护策略。

请看此示例。此策略向 RecoveryServiceUser 组授予在 ABC 区间中创建、更新和删除保护策略的权限。

Allow group RecoveryServiceUser to manage recovery-service-policy in compartment ABC

允许用户管理自治恢复服务子网

允许用户管理自治恢复服务子网策略模板为指定组中的用户授予创建、更新和删除恢复服务子网资源的权限。

您可以选择策略模板，也可以在策略构建器中添加此策略语句。

表 - 用于管理恢复服务子网的策略语句

策略语句	创建位置	用途
`Allow Group {group name} to manage recovery-service-subnet in compartment {location}`	恢复服务子网所属的区间。	允许指定组中的所有用户创建、更新和删除恢复服务子网。

请看此示例。此策略向 RecoveryServiceAdmin 组授予管理 ABC 区间中恢复服务子网的权限。

Allow group RecoveryServiceAdmin to manage recovery-service-subnet in compartment ABC

有关策略的详细信息，请参阅管理策略。

关于将专用子网用于恢复服务

恢复服务在数据库所在的虚拟云网络 (VCN) 内使用专用子网。专用子网定义数据库与恢复服务之间的备份网络路径。

Oracle 建议您的数据库 VCN 必须具有单个专用子网，才能备份到恢复服务。Oracle Cloud 数据库可以位于恢复服务使用的同一专用子网中，也可以位于同一 VCN 中的其他子网中。

您可以在数据库 VCN 中创建专用子网或使用预先存在的子网。Oracle 建议使用 /24 的子网大小（256 个 IP 地址）。

注意：

为数据库 VCN 中的恢复服务选择仅限 IPv4 的子网。请勿选择启用 IPv6 的子网，因为恢复服务不支持使用启用 IPv6 的子网。

数据库 VCN 需要安全规则来允许数据库与恢复服务之间的备份流量。安全规则必须包括有状态入站规则，以允许目标端口 8005 和 2484。您可以使用以下网络服务功能来实施安全规则：

安全列表：通过安全列表，可以在子网级别添加安全规则。在数据库 VCN 中，选择用于恢复服务子网的安全列表，并添加入站规则以允许目标端口 8005 和 2484。
网络安全组：网络安全组 (NSG) 允许对应用于 VCN 中各个 VNIC 的安全规则进行细粒度控制。Recovery Service 支持使用 NSG 配置安全规则：
- 要实施网络隔离，请为数据库 VNIC 创建一个 NSG（添加出站规则以允许端口 2484 和 8005）和单独的 NSG for Recovery Service（用于允许端口 2484 和 8005 的入站规则）。
- 为数据库 VNIC 和恢复服务创建并使用单个 NSG（包含出站和入站规则）。

注意：

如果您在数据库 VCN 中配置了安全列表和 NSG，则 NSG 中定义的规则优先于安全列表中定义的规则。

在数据库 VCN 中创建专用子网后，分配安全规则，然后在恢复服务中将子网注册为恢复服务子网。如果您已创建 NSG 来实施安全规则，则还必须确保将恢复服务 NSG 与恢复服务子网关联。

注意：

Oracle 建议对备份使用专用子网。但是，可以使用公共子网。

有关详细信息，请参见以下主题：

查看恢复服务子网的子网大小要求和安全规则

要允许数据库与恢复服务之间的备份流量，必须遵循安全规则。

注意：

为数据库 VCN 中的恢复服务选择仅限 IPv4 的子网。请勿选择启用 IPv6 的子网，因为恢复服务不支持使用启用 IPv6 的子网。

表 - 恢复服务使用的专用子网的子网大小要求和入站规则

项	要求
建议的子网大小	/24 (256 IP 地址
一般入站规则 1：允许来自 Anywhere 的 HTTPS 流量	此规则允许从 OCI 数据库到恢复服务的备份流量。无状态：否（所有规则都必须有状态）源类型：CIDR 源 CIDR ：数据库所在的 VCN 的 CIDR IP 协议：TCP Source Port Range ：全部目的地端口范围： 8005
一般入站规则 2：允许来自任意位置的 SQLNet 流量	此规则允许从 OCI 数据库到恢复服务的恢复目录连接和实时数据保护。无状态：否（所有规则都必须有状态）源类型：CIDR 源 CIDR ：数据库所在的 VCN 的 CIDR IP 协议：TCP Source Port Range ：全部目的地端口范围： 2484

项

要求

建议的子网大小

/24 (256 IP 地址

一般入站规则 1：允许来自 Anywhere 的 HTTPS 流量

此规则允许从 OCI 数据库到恢复服务的备份流量。

无状态：否（所有规则都必须有状态）
源类型：CIDR
源 CIDR ：数据库所在的 VCN 的 CIDR
IP 协议：TCP
Source Port Range ：全部
目的地端口范围： 8005

一般入站规则 2：允许来自任意位置的 SQLNet 流量

此规则允许从 OCI 数据库到恢复服务的恢复目录连接和实时数据保护。

无状态：否（所有规则都必须有状态）
源类型：CIDR
源 CIDR ：数据库所在的 VCN 的 CIDR
IP 协议：TCP
Source Port Range ：全部
目的地端口范围： 2484

注意：

如果您使用网络安全组 (NSG) 实施安全规则，或者如果数据库 VCN 限制了子网之间的网络流量，请确保将端口 2484 和 8005 的出站规则从数据库 NSG 或子网添加到您创建的恢复服务 NSG 或子网。

查看配置子网的网络服务权限

确保您具有在数据库 VCN 中创建子网并为恢复服务分配安全规则所需的这些网络服务权限。

表 - 创建专用子网和为恢复服务配置安全规则所需的网络服务权限

操作	必需的 IAM 策略
在数据库 VCN 中配置专用子网	`use vcns` 表示 VCN 所在的区间 `use subnets` 表示 VCN 所在的区间 `manage private-ips` 表示 VCN 所在的区间 `manage vnics` 表示 VCN 所在的区间管理数据库预配或要预配到的区间的 vnics

或者，您可以创建允许对网络组件具有更广泛访问权限的指定组的策略。

例如，使用此策略可以允许 NetworkAdmin 组管理租户中任何区间中的所有网络。

示例 - 网络管理员的策略

Allow group NetworkAdmin to manage virtual-network-family in tenancy

在数据库 VCN 中创建恢复服务子网

使用 OCI 控制台为数据库虚拟云网络 (VCN) 中的恢复服务配置专用子网。

从导航菜单中选择 Networking（网络），然后选择 Virtual cloud networks（虚拟云网络）。
此时将打开 VCN 列表页。所选区间中的所有 VCN 都显示在表中。
选择数据库所在的 VCN。
使用以下步骤创建包含安全列表的恢复服务子网。如果选择使用网络安全组，则跳过此步骤。
1. 在 VCN 详细信息页中，选择安全性选项卡。
2. 选择用于 VCN 的安全列表。必须添加两个入站规则以允许目标端口 8005 和 2484。
3. 在安全列表详细信息页中，选择安全规则选项卡。
  选择添加入站规则并添加以下详细信息以设置允许 HTTPS 流量的有状态入站规则：
  - 源类型：CIDR
  - 源 CIDR：指定数据库所在的 VCN 的 CIDR。
  - IP 协议：TCP
  - 源端口范围：全部
  - 目的地端口范围： 8005
  - 说明：指定入站规则的可选说明以帮助管理安全规则。
4. 选择添加入站规则并添加以下详细信息，以设置允许 SQLNet 流量的有状态入站规则：
  - 源类型：CIDR
  - 源 CIDR：指定数据库所在的 VCN 的 CIDR。
  - IP 协议：TCP
  - 源端口范围：全部
  - 目的地端口范围： 2484
  - 说明：指定入站规则的可选说明以帮助管理安全规则。
  注意：
  为数据库 VCN 中的恢复服务选择仅限 IPv4 的子网。请勿选择启用 IPv6 的子网，因为恢复服务不支持使用启用 IPv6 的子网。
5. 返回到 VCN 详细信息页，然后选择子网选项卡。
6. 选择创建子网。
7. 创建专用子网或选择数据库 VCN 中已经存在的专用子网。Oracle 建议专用子网的大小为 /24（256 个 IP 地址）。
8. 在子网详细信息页中，选择安全选项卡。
9. 选择添加安全列表可添加包含入站规则的安全列表，以允许目标端口 8005 和 2484。
  
  注意：
  如果数据库 VCN 限制子网之间的网络流量，请确保将端口 2484 和 8005 的出站规则从数据库子网添加到您创建的恢复服务子网。
使用以下步骤创建具有网络安全组 (NSG) 的恢复服务子网。
1. 返回到 VCN 详细信息页，然后选择子网选项卡。
2. 在 Network Security Groups 部分中，选择 Create Network Security Group 。
3. 使用以下受支持的方法之一配置使用 NSG 的安全规则：
  - 要实施网络隔离，请为数据库 VNIC 创建一个 NSG（添加出站规则以允许端口 2484 和 8005）和单独的 NSG for Recovery Service（用于允许端口 2484 和 8005 的入站规则）。
  - 为数据库 VNIC 和恢复服务创建并使用单个 NSG（包含出站和入站规则）。
  “网络安全组”页面列出了您创建的 NSG。
在数据库 VCN 中创建 Recovery Service 子网后，请继续将该子网注册为 Recovery Service 子网。Oracle 建议为每个 VCN 注册一个恢复服务子网。如果您已使用 NSG 实施安全规则，则还必须确保将恢复服务 NSG 添加到恢复服务子网。

注册恢复服务子网

在数据库 VCN 中为恢复服务创建专用子网后，请使用此过程在恢复服务中注册子网。

多个受保护数据库可以使用相同的恢复服务子网。为了确保所需数量的 IP 地址可用于支持恢复服务专用端点，您可以向由多个受保护数据库使用的恢复服务子网分配多个子网。

注意：

为数据库 VCN 中的恢复服务选择仅限 IPv4 的子网。请勿选择启用 IPv6 的子网，因为恢复服务不支持使用启用 IPv6 的子网。

使用以下步骤注册恢复服务子网：

从导航菜单中，单击 Oracle Database ，然后选择数据库备份。
选择恢复服务子网上网。
此时将打开恢复服务子网列表页。所选区间中的所有恢复服务子网都显示在表中。
选择注册恢复服务子网。
在 Register Recovery Service subnet 面板中，输入以下详细信息：
在“名称”字段中，输入恢复服务子网的名称。
在区间字段中，选择要创建恢复服务子网的区间。
在 Virtual Cloud Network（虚拟云网络）字段中，选择数据库 VCN。选择区间以选择属于其他区间的 VCN。
在子网字段中，选择为数据库 VCN 中的恢复服务操作配置的专用子网。选择区间以从其他区间中选择专用子网。
（可选）单击 +Another 子网可向恢复服务子网分配其他子网。如果单个子网包含的 IP 地址不足以支持恢复服务专用端点，则可以分配多个子网。
展开高级选项以输入以下附加功能：
- 网络安全组
- 标记
如果您已使用网络安全组 (NSG) 为数据库 VCN 中的恢复服务实施安全规则，则必须将恢复服务 NSG 添加到恢复服务子网。恢复服务 NSG 可以位于同一区间或不同区间中。但是，NSG 必须属于指定子网所属的同一 VCN。
1. 在 Network security groups（网络安全组）部分中，选择 Use network security groups to control traffic（使用网络安全组控制流量）。
2. 选择已在数据库 VCN 中创建的恢复服务 NSG。
3. 选择 +Another 网络安全组可关联多个 NSG（最多五个）。
（可选）在标记名称空间字段中，考虑添加标记名称空间或使用现有标记名称空间标记控件。
选择注册。

您可以替换子网或添加更多子网以支持所需数量的专用端点。

使用以下步骤更新现有恢复服务子网：

在 Recovery Service 子网详细信息页中，选择 Subnets（子网）选项卡。
选择添加子网，然后选择要添加的子网。
要替换现有子网，请选择 Action 菜单，然后选择 Delete 。然后，您可以添加其他子网。

注意：

恢复服务子网必须至少与属于数据库 VCN 的一个子网关联。

使用以下步骤管理现有恢复服务子网的网络安全组 (NSG)：

在 Network security groups 选项卡中，选择 Add network security groups 。
选择并添加恢复服务网络安全组（最多五个）。
要删除 NSG，请选择资源，然后选择删除。

确保恢复服务子网可以与 Oracle 服务通信

您注册的 Recovery Service 子网需要与 Recovery Service 进行通信。

要访问服务，专用子网的路由表需要包括Oracle 服务网络中的所有 IAD 服务。

确保数据库已完全配置 TDE

使用恢复服务时，必须对数据库进行完全 TDE 加密。

对于在云中诞生的新数据库，这应该已经完成。但是，如果您在 OCI 中创建存根数据库并将数据库从本地或其他地方迁移到 Oracle Database Cloud Service，则可能不符合所有标准。对于这些数据库，应验证是否满足备份到恢复服务的先决条件。我有一个博客文章，你可以在这里找到，它概述了执行查询时要检查的内容。

您必须满足以下 3 个标准：

您需要在数据库中配置 WALLET_ROOT。如果您仍在使用 sqlnet.ora，则需要使用 dbaascli 为将要使用恢复服务的所有数据库正确设置 WALLET_ROOT。要为现有数据库启用 wallet_root SPFILE 参数，请运行：
```
dbaascli tde enableWalletRoot
```
注意：
不支持在 sqlnet.ora 中设置 ENCRYPTION_WALLET_LOCATION，因此将不赞成使用。
您需要为 CDB 和数据库中的所有 PDB 设置加密密钥。
在执行第一个备份之前，必须对所有表空间进行 TDE 加密。

关闭任何手动操作备份

在某些情况下，OCI 用户会执行手动操作备份。这些备份在标准工具之外运行，并支持时间点恢复（非 KEEP 备份）。

如果您正在运行这些类型的操作备份，此时关闭它们至关重要。在两个不同的位置运行运营备份可能会导致备份出现问题，并可能导致数据丢失情况。因此，在启用自动备份之前，必须禁用到其他存储目标的手动备份脚本和进程。

注意：

如果您将工具用于对象存储备份，并切换到恢复服务，则该工具将自动执行切换，并且所有以前的备份都将保持可用。