PowerShell を使用して Azure Kubernetes Service をバックアップする

[アーティクル]
01/20/2025

この記事では、Azure PowerShell を使用して Azure Kubernetes Service (AKS) の構成とバックアップを行う方法について説明します。

Azure Backup では、クラスターにインストールする必要があるバックアップ拡張機能を使用して、AKS クラスター (クラスターリソースとクラスターにアタッチされている永続ボリューム) をバックアップできるようになりました。バックアップコンテナーは、このバックアップ拡張機能を介してクラスターと通信し、バックアップ操作と復元操作を実行します。

開始する前に

AKS クラスターのバックアップを開始する前に、次の前提条件を必ず確認してください。

現在、AKS のバックアップでは、Azure Disk ベースの永続ボリューム (CSI ドライバーによって有効) のみがサポートされています。バックアップは運用データストア (テナント内) にのみ保存され、コンテナーには移動されません。バックアップコンテナーと AKS クラスターは、同じリージョンに存在する必要があります。
AKS バックアップでは、BLOB コンテナーとリソースグループを使用してバックアップを格納します。 BLOB コンテナーには AKS クラスターリソースが格納されていますが、永続ボリュームスナップショットはリソースグループに格納されます。 AKS クラスターとストレージの場所は、同じリージョンに存在する必要があります。 BLOB コンテナーの作成方法についてはこちらを参照してください。
現在、AKS バックアップでは 1 日 1 回のバックアップがサポートされています。また、1 日あたりのバックアップの頻度が高くなります (4、8、12 時間ごと)。このソリューションを使用すると、データを復元用に最大 360 日間保持することができます。バックアップポリシーの作成方法についてはこちらを参照してください。
バックアップ拡張機能をインストールして、AKS クラスターでバックアップ操作と復元操作を構成する必要があります。バックアップ拡張機能の詳細についてはこちらを参照してください。
バックアップの構成と復元の操作を開始する前に、Microsoft.KubernetesConfiguration、Microsoft.DataProtection、および Microsoft.ContainerService がサブスクリプションに登録されていることを確認します。
AKS バックアップのバックアップや復元操作を開始する前に、すべての前提条件を実行してください。

サポートされているシナリオ、制限事項、可用性の詳細については、サポートマトリックスを参照してください。

バックアップコンテナーの作成

Backup コンテナーは、Azure Database for PostgreSQL サーバーや Azure ディスクなど、Azure Backup によってサポートされるさまざまな新しいワークロードのバックアップデータを保存する Azure の管理エンティティです。 Backup コンテナーを使用すると、管理オーバーヘッドを最小限に抑えながら、バックアップデータを簡単に整理できます。それらは、Azure Resource Manager モデルに基づいており、バックアップデータの保護に役立つ、強化された機能を提供します。 Backup コンテナーを作成する前に、コンテナー内のデータのストレージ冗長性を選択し、そのストレージ冗長性と場所を使用して Backup コンテナーを作成します。

ここでは、リソースグループ "testBkpVaultRG" の "米国西部" リージョンに Backup コンテナー "TestBkpVault" を作成します。 New-AzDataProtectionBackupVault コマンドレットを使用して Backup コンテナーを作成します。詳細については、「バックアップコンテナーの作成」を参照してください。

注意

選択したコンテナーには "グローバル冗長" 設定がある場合がありますが、現時点で AKS のバックアップでは "運用レベル" のみがサポートされています。すべてのバックアップは、AKS クラスターと同じリージョンのサブスクリプションに保存され、Backup コンテナーのストレージにはコピーされません。

Backup コンテナーのストレージ設定を定義するには、次のコマンドレットを実行します。

注意

コンテナーは、"ローカル冗長" と "運用データストア" のサポートのみを使用して作成されます。
```
$storageSetting = New-AzDataProtectionBackupVaultStorageSettingObject -Type LocallyRedundant -DataStoreType OperationalStore
```

前述の詳細に従って Backup コンテナーを作成するには、次のコマンドレットを実行します。

New-AzDataProtectionBackupVault -ResourceGroupName testBkpVaultRG -VaultName TestBkpVault -Location westus -StorageSetting $storageSetting
$TestBkpVault = Get-AzDataProtectionBackupVault -VaultName TestBkpVault

コンテナーの作成が完了したら、AKS クラスターを保護するバックアップポリシーを作成します。

バックアップポリシーの作成

Azure Backup を使用すると、毎日バックアップまたは 1 日あたり複数のバックアップを使用して AKS クラスター保護のバックアップポリシーを作成できます。

AKS クラスターのバックアップポリシーを作成するには、次のコマンドレットを実行します。

コマンドレット Get-AzDataProtectionPolicyTemplate を使用してポリシーテンプレートをフェッチし、AKS のバックアップ用のバックアップポリシーの内部コンポーネントを確認します。このコマンドにより、指定されたデータソースの種類の既定のポリシーテンプレートが返されます。このポリシーテンプレートを使用して、新しいポリシーを作成します。
```
$policyDefn = Get-AzDataProtectionPolicyTemplate -DatasourceType AzureKubernetesService
```
ポリシーテンプレートは、トリガー条件 (バックアップジョブをトリガーする要因を決定する) とライフサイクル (バックアップを削除、コピー、または移動するタイミングを決定する) で構成されます。 AKS バックアップでは、トリガーの既定値は、"4 時間ごと (PT4H)" にスケジュールされた時間単位のトリガーであり、各バックアップのリテンション期間は "7日間" です。
```
$policyDefn.PolicyRule[0]. Trigger | fl

ObjectType: ScheduleBasedTriggerContext
ScheduleRepeatingTimeInterval: {R/2023-04-05T13:00:00+00:00/PT4H}
TaggingCriterion: {Default}

$policyDefn.PolicyRule[1]. Lifecycle | fl

DeleteAfterDuration: P7D
DeleteAfterObjectType: AbsoluteDeleteOption
SourceDataStoreObjectType : DataStoreInfoBase
SourceDataStoreType: OperationalStore
TargetDataStoreCopySetting:
```
毎日バックアップ頻度では、バックアップを作成する "時刻" を指定できます。

重要

この時刻は、バックアップが完了する時刻ではなく、バックアップの開始時刻を示しています。バックアップ操作を完了するために必要な時間は、永続ボリュームの数およびサイズや連続するバックアップ間のチャーン率など、さまざまな要因によって異なります。

AKS のバックアップでは、1 日に複数のバックアップが提供されます。バックアップは、より頻繁なバックアップが必要な場合は、"4"、"6"、"8"、または "12" 時間ごとの間隔でバックアップを実行できる "時間単位のバックアップ頻度" を選択して、1 日に均等に分散されます。選択した "[期間]" に基づいてバックアップがスケジュールされます。たとえば、"[4 時間ごと]" を選択した場合、ほぼ "4 時間ごと" の間隔でバックアップが作成されます。
時間単位の頻度または保持期間を編集する場合は、Edit-AzDataProtectionPolicyTriggerClientObject や Edit-AzDataProtectionPolicyRetentionRuleClientObject コマンドレットを使用します。ポリシーオブジェクトに必要な値をすべて設定したら、New-AzDataProtectionBackupPolicy コマンドレットを使用したポリシーオブジェクトからの新しいポリシーの作成を開始します。
```
New-AzDataProtectionBackupPolicy -ResourceGroupName "testBkpVaultRG" -VaultName $TestBkpVault.Name -Name aksBkpPolicy -Policy $policyDefn

$aksBkpPol = Get-AzDataProtectionBackupPolicy -ResourceGroupName "testBkpVaultRG" -VaultName $TestBkpVault.Name -Name "aksBkpPolicy"
```

バックアップ用に AKS クラスターを準備する

コンテナーとポリシーの作成が完了したら、AKS クラスターのバックアップの準備を整えるために、次の前提条件を実行する必要があります。

ストレージアカウントと BLOB コンテナーを作成する

AKS のバックアップでは、Kubernetes リソースがバックアップとして BLOB コンテナーに保存されます。 AKS クラスターのバックアップの準備を整えるには、クラスターに拡張機能をインストールする必要があります。この拡張機能には、ストレージアカウントと BLOB コンテナーが入力として必要です。

新しいストレージアカウントと BLOB コンテナーを作成するには、次の手順を参照してください。
注意
1. ストレージアカウントと AKS クラスターは、同じリージョンとサブスクリプションに存在する必要があります。
2. BLOB コンテナーには、以前に作成したファイルシステムを含めることはできません (AKS のバックアップによって作成された場合を除く)。
3. ソースまたはターゲットの AKS クラスターがプライベート仮想ネットワーク内にある場合は、ストレージアカウントを AKS クラスターに接続するために、プライベートエンドポイントを作成する必要があります。
バックアップ拡張機能をインストールする

バックアップと復元の操作を実行するには、AKS クラスターに Backup 拡張機能をインストールする必要があります。 Backup 拡張機能は、クラスター内に名前空間 dataprotection-microsoft を作成し、同じものを使用してそのリソースをデプロイします。この拡張機能には、インストール用の入力としてストレージアカウントと BLOB コンテナーが必要です。拡張機能のインストールコマンドについて説明します。

拡張機能のインストールの一環として、AKS クラスターのノードプールのリソースグループにユーザー ID が作成されます。拡張機能がストレージアカウントにアクセスするには、この ID に ストレージアカウント共同作成者ロールを指定する必要があります。必要なロールを割り当てるには、次のコマンドを実行します。
信頼されたアクセスを有効にする

Backup コンテナーが AKS クラスターに接続するには、Backup コンテナーが AKS クラスターに直接接続できるように、信頼されたアクセスを有効にする必要があります。信頼されたアクセスを有効にする方法について確認してください。

Note

Backup 拡張機能のインストールと信頼されたアクセスの有効化の場合、コマンドは Azure CLI でのみ使用できます。

バックアップを構成する

作成された Backup コンテナーおよびバックアップポリシーと、AKS クラスターを "バックアップを行える" 状態にして、AKS クラスターのバックアップを開始できるようになりました。

主なエンティティ

保護する AKS クラスター

保護する AKS クラスターの Azure Resource Manager ID をフェッチします。これは、クラスターの識別子として機能します。この例では、別のサブスクリプションで、リソースグループ "aksrg" の下で "PSTestAKSCluster" という名前の AKS クラスターを使用します。
```
$sourceClusterId = "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx/resourcegroups/aksrg /providers/Microsoft.ContainerService/managedClusters/ PSTestAKSCluster "
```
スナップショットリソースグループ

永続ボリュームスナップショットは、サブスクリプションのリソースグループに保存されます。 Azure Backup サービスで使用されるスナップショットデータストアとして専用のリソースグループを作成することをお勧めします。専用のリソースグループを使用すると、リソースグループに対するアクセス許可を制限できるため、バックアップデータを安全かつ簡単に管理できます。永続ボリュームスナップショットを保存する場所に、リソースグループの Azure Resource Manager ID を保存します。
```
$snapshotrg = "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx/resourcegroups/snapshotrg"
```

要求を準備する

バックアップの構成は、次の 2 つの手順で実行されます。

New-AzDataProtectionBackupConfigurationClientObject コマンドレットを使用して、バックアップするクラスターリソースを定義するために、バックアップ構成を準備します。次の例では、現在および将来の名前空間でのすべてのクラスターリソースが key-value pair x=y というラベルでバックアップされるように、構成が定義されます。また、クラスタースコープのすべてのリソースと永続ボリュームがバックアップされます。名前空間 kube-system、kube-node-lease、kube-public はバックアップ構成でスキップされ、バックアップ対象として構成されません。
```
$backupConfig = New-AzDataProtectionBackupConfigurationClientObject -SnapshotVolume $true -IncludeClusterScopeResource $true -DatasourceType AzureKubernetesService -LabelSelector "env=prod"
```

Initialize-AzDataProtectionBackupInstance コマンドレットを使用して、関連するコンテナー、ポリシー、AKS クラスター、バックアップ構成、スナップショットリソースグループを使用する、関連する要求を準備します。

$backupInstance = Initialize-AzDataProtectionBackupInstance -DatasourceType AzureKubernetesService  -DatasourceLocation $dataSourceLocation -PolicyId $ aksBkpPol.Id -DatasourceId $sourceClusterId -SnapshotResourceGroupId $ snapshotrg -FriendlyName $friendlyName -BackupConfiguration $backupConfig

必要なアクセス許可を割り当てて検証する

必要なアクセス許可を割り当て、AKS クラスター保護の検証を実行するには、次のコマンドレットを実行します。

要求を準備したら、Azure ロールベースのアクセス制御 (Azure RBAC) を介した、コンテナー (コンテナーマネージドシステム ID で表される) と AKS クラスターに対する、必要なアクセス許可をユーザーに割り当てる必要があります。これは、Set-AzDataProtectionMSIPermission コマンドレットを使用して実行できます。バックアップコンテナーは、マネージド ID を使用して他の Azure リソースにアクセスします。 AKS クラスターのバックアップを構成するには、Backup コンテナーのマネージド ID に、スナップショットが作成および管理されるAKS クラスターとリソースグループに対する一連のアクセス許可を付与する必要があります。また、AKS クラスターには、スナップショットリソースグループに対するアクセス許可が必要です。

Note

現在、バックアップ (Backup コンテナーと AKS クラスターの両方) では、システム割り当てマネージド ID のみがサポートされています。システム割り当てマネージド ID は、1 つのリソースにつき 1 つに限定されており、このリソースのライフサイクルに関連付けられています。 Azure RBAC を使用して、マネージド ID にアクセス許可を付与できます。マネージド ID は、Azure リソースでのみ使用できる、特殊な種類のサービスプリンシパルです。マネージド IDの詳細を確認してください。
```
Set-AzDataProtectionMSIPermission -BackupInstance $backupInstance -VaultResourceGroup $rgName -VaultName $vaultName -PermissionsScope "ResourceGroup"
```

アクセス許可が割り当てられたら、作成されたインスタンスの準備状況をテストします。

test-AzDataProtectionBackupInstanceReadiness -ResourceGroupName $resourceGroupName -VaultName $vaultName -BackupInstance  $backupInstance.Property

検証が成功したら、New-AzDataProtectionBackupInstance コマンドレットを使用して AKS クラスターを保護する要求を送信します。
```
New-AzDataProtectionBackupInstance -ResourceGroupName "testBkpVaultRG" -VaultName $TestBkpVault.Name -BackupInstance $backupInstance
```

オンデマンドバックアップを実行する

オンデマンドバックアップをトリガーするには、次のコマンドレットを実行します。

Get-AzDataProtectionBackupInstance コマンドレットを実行して、バックアップをトリガーする、関連するバックアップインスタンスをフェッチします。
```
$instance = Get-AzDataProtectionBackupInstance -SubscriptionId "xxxx-xxx-xxx" -ResourceGroupName "testBkpVaultRG" -VaultName $TestBkpVault.Name -Name "BackupInstanceName"
```

バックアップのトリガー中に、保持ルールを指定します。ポリシーの保持ルールを表示するには、ポリシーオブジェクト内を移動して保持ルールを探します。下の例では、"default" という名前のルールが表示されています。このルールをオンデマンドバックアップに使用します。

$policyDefn.PolicyRule | fl
BackupParameter: Microsoft.Azure.PowerShell.Cmdlets.DataProtection.Models.Api20210201Preview.AzureBackupParams
BackupParameterObjectType: AzureBackupParams
DataStoreObjectType: DataStoreInfoBase
DataStoreType: OperationalStore
Name: BackupHourly
ObjectType: AzureBackupRule
Trigger: Microsoft.Azure.PowerShell.Cmdlets.DataProtection.Models.Api20210201Preview.ScheduleBasedTriggerContext
TriggerObjectType: ScheduleBasedTriggerContext
IsDefault: True
Lifecycle: {Microsoft.Azure.PowerShell.Cmdlets.DataProtection.Models.Api20210201Preview.SourceLifeCycle}
Name: Default
ObjectType: AzureRetentionRule

Backup-AzDataProtectionBackupInstanceAdhoc コマンドレットを使用してオンデマンドバックアップをトリガーします。

$AllInstances = Get-AzDataProtectionBackupInstance -ResourceGroupName "testBkpVaultRG" -VaultName $TestBkpVault.Name

Backup-AzDataProtectionBackupInstanceAdhoc -BackupInstanceName $AllInstances[0].Name -ResourceGroupName "testBkpVaultRG" -VaultName $TestBkpVault.Name -BackupRuleOptionRuleName "Default"

ジョブの追跡

Get-AzDataProtectionJob コマンドレットを使用して、すべてのジョブを追跡します。すべてのジョブを一覧表示し、特定のジョブの詳細を取得できます。 Az.ResourceGraph コマンドレットを使用して、すべての Backup コンテナーでのすべてのジョブを追跡することもできます。 Search-AzDataProtectionJobInAzGraph コマンドレットを使用して、Backup コンテナーから関連するジョブの詳細を取得します。

$job = Search-AzDataProtectionJobInAzGraph -Subscription $sub -ResourceGroupName "testBkpVaultRG" -Vault $TestBkpVault.Name -DatasourceType AzureKubernetesService  -Operation OnDemandBackup

次の方法で共有

PowerShell を使用して Azure Kubernetes Service をバックアップする

開始する前に

バックアップコンテナーの作成

バックアップポリシーの作成

バックアップ用に AKS クラスターを準備する

バックアップを構成する

主なエンティティ

要求を準備する

必要なアクセス許可を割り当てて検証する

オンデマンドバックアップを実行する

ジョブの追跡

次のステップ

フィードバック

その他のリソース

次の方法で共有

PowerShell を使用して Azure Kubernetes Service をバックアップする

開始する前に

バックアップ コンテナーの作成

バックアップ ポリシーの作成

バックアップ用に AKS クラスターを準備する

バックアップを構成する

主なエンティティ

要求を準備する

必要なアクセス許可を割り当てて検証する

オンデマンド バックアップを実行する

ジョブの追跡

次のステップ

フィードバック

その他のリソース

バックアップコンテナーの作成

バックアップポリシーの作成

オンデマンドバックアップを実行する