阿里云容器服务ACK安装备份服务组件并配置权限-云淘科技

通过onectl安装组件并配置权限（推荐）

1. 在本地安装配置onectl。具体操作，请参见使用onectl管理注册集群。

2. 执行以下命令，为备份服务组件配置RAM权限。

   onectl ram-user grant --addon migrate-controller

   预期输出：

   Ram policy ack-one-registered-cluster-policy-migrate-controller granted to ram user ack-one-user-ce313528c3 successfully.

3. 执行以下命令，安装备份服务组件。

   onectl addon install migrate-controller

   预期输出：

   Addon migrate-controller, version **** installed.

   使用onectl配置的OSS权限范围为所有的OSS Bucket，若您仅需要配置指定OSS Bucket的权限，您可以通过以下方式修改onectl生成的OSS权限，或者选择手动方式安装组件并配置权限。具体操作，请参见下文手动安装组件并配置权限。

   修改OSS权限：修改已创建的自定义权限策略内容为以下内容。关于修改权限策略的具体操作，请参见修改自定义权限策略内容和备注。

   说明

   • 替换以下策略代码中mybackups为您的OSS名称。

   • 更多OSS细粒度的授权配置信息，请参见通过RAM对OSS进行权限管理。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "hbr:CreateVault",
                   "hbr:CreateBackupJob",
                   "hbr:DescribeVaults",
                   "hbr:DescribeBackupJobs2",
                   "hbr:DescribeRestoreJobs",
                   "hbr:SearchHistoricalSnapshots",
                   "hbr:CreateRestoreJob",
                   "hbr:AddContainerCluster",
                   "hbr:DescribeContainerCluster",
                   "hbr:DescribeRestoreJobs2"
               ],
               "Resource": "*"
           },
           {
               "Action": [
                   "oss:PutObject",
                   "oss:GetObject",
                   "oss:DeleteObject",
                   "oss:GetBucket",
                   "oss:ListObjects",
                   "oss:ListBuckets"
               ],
               "Resource": [
                   "acs:oss:*:*:mybackups",
                   "acs:oss:*:*:mybackups/*"
               ],
               "Effect": "Allow"
           }
       ]
   }

4. （可选）配置指向注册集群与OSS同一地域的OSS内网网段的路由。

   已通过CEN、高速通道、专线、VPN等方式与云上VPC互通的注册集群，为提高备份数据的拉取速度，当注册集群与OSS处于同一地域时，备份中心会自动选择以内网方式访问OSS域名，此时，您需要配置指向该地域OSS内网网段的路由。

   • 关于线下IDC接入云上VPC的相关内容，请参见接入方式介绍。

   • 关于OSS内网域名与VIP网段对照表，请参见OSS内网域名与VIP网段对照表。

通过控制台安装组件并配置权限

步骤一：安装migrate-controller备份服务组件

安装migrate-controller备份服务组件。具体操作，请参见步骤一：安装migrate-controller备份服务组件。

步骤二：配置云备份及OSS权限

您需要为专有版集群或注册集群创建RAM用户，为RAM用户添加访问云资源权限，然后创建AccessKey。

1. 创建RAM用户。具体操作，请参见创建RAM用户。

2. 为OSS与云备份创建如下自定义权限策略。具体操作，请参见通过脚本编辑模式创建自定义权限策略。

   • OSS权限策略内容

     说明

     • 替换以下代码中mybackups为您的OSS名称。

     • 更多OSS细粒度授权配置信息，请参见通过RAM对OSS进行权限管理。

     • 如果您想要所有OSS的权限，请按以下示例设置权限策略：

       {
           "Version": "1",
           "Statement": [
               {
                   "Action": [
                       "oss:PutObject",
                       "oss:GetObject",
                       "oss:DeleteObject",
                       "oss:GetBucket",
                       "oss:ListObjects",
                       "oss:ListBuckets",
                       "oss:GetBucketStat"
                   ],
                   "Resource": [
                       "*"
                   ],
                   "Effect": "Allow"
               }
           ]
       }

     • 如果您只想要指定OSS的读写权限，请按以下示例设置权限策略：

       {
           "Version": "1",
           "Statement": [
               {
                   "Action": [
                       "oss:PutObject",
                       "oss:GetObject",
                       "oss:DeleteObject",
                       "oss:GetBucket",
                       "oss:ListObjects",
                       "oss:ListBuckets", 
                       "oss:GetBucketStat"
                   ],
                   "Resource": [
                       "acs:oss:*:*:mybackups",
                       "acs:oss:*:*:mybackups/*"
                   ],
                   "Effect": "Allow"
               }
           ]
       }

   • 云备份权限策略内容

     {
         "Version": "1",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Action": [
                     "hbr:CreateVault",
                     "hbr:CreateBackupJob",
                     "hbr:DescribeVaults",
                     "hbr:DescribeBackupJobs2",
                     "hbr:DescribeRestoreJobs",
                     "hbr:SearchHistoricalSnapshots",
                     "hbr:CreateRestoreJob",
                     "hbr:AddContainerCluster",
                     "hbr:DescribeContainerCluster",
                     "hbr:DescribeRestoreJobs2"
                 ],
                 "Resource": "*"
             }
         ]
     }

3. 为RAM用户添加OSS和云备份权限。具体操作，请参见为RAM用户授权。

4. 为RAM用户创建AccessKey。具体操作，请参见获取AccessKey。

5. 在专有版集群或注册集群中创建Secret。

   为了保证您的AccessKey信息只在您的专有版集群或注册集群内安全使用，您需要先在专有版集群或注册集群中使用AccessKey信息部署一个名为alibaba-addon-secret的Secret资源，以降低泄露风险。

   • 执行以下命令，创建命名空间csdr。

     kubectl create ns csdr

   • 执行以下命令，创建名为alibaba-addon-secret的Secret资源。

     kubectl -n csdr create secret generic alibaba-addon-secret --from-literal='access-key-id=' --from-literal='access-key-secret='

     您需要将上述代码中和替换为您在上一步获取的AccessKey信息。

（可选）步骤三：配置指向注册集群与OSS同一地域的OSS内网网段的路由

已通过CEN、高速通道、专线、VPN等方式与云上VPC互通的注册集群，为提高备份数据的拉取速度，当注册集群与OSS处于同一地域时，备份中心会自动选择以内网方式访问OSS域名，此时，您需要配置指向该地域OSS内网网段的路由。

• 关于线下IDC接入云上VPC的相关内容，请参见接入方式介绍。

• 关于OSS内网域名与VIP网段对照表，请参见OSS内网域名与VIP网段对照表。