共用方式為

將雲端和內部部署工作負載備份到雲端

  • 發行項

Azure 備份透過需要零基礎結構的簡單、安全且符合成本效益的解決方案，全面保護您在 Azure 中的資料資產。 其是適用於各種不同工作負載的 Azure 內建資料保護解決方案。 它可協助保護您在雲端中執行的任務關鍵性工作負載，確保您的備份隨時都可供使用，並可大規模地在整個備份資產中進行管理。

目標對象

本文的主要目標對象是 IT 和應用程式管理員，以及大型和中型組織的實作人員，有助其了解 Azure 內建資料保護技術的功能、Azure 備份，以及學習如何實作解決方案來有效率地保護部署。 本文假設您已熟悉核心 Azure 技術、資料保護概念，並有使用備份解決方案的經驗。 本文所涵蓋的指引可讓您更輕鬆地在 Azure 上使用已建立的模式來設計備份解決方案，並避免已知的陷阱。

本文架構

雖然您可以在 Azure 上輕鬆開始保護基礎結構和應用程式，但當您確保基礎 Azure 資源已正確設定且以最佳方式使用時，您就可以加速實現價值。 本文涵蓋設計考量的簡要概觀，以及將 Azure 備份部署設定最佳化的指導方針。 其中會檢查核心元件 (例如復原服務保存庫、備份原則) 以及概念 (例如治理)，並提供詳細的產品文件連結，供您思考這些項目及其功能。

開始使用

訂閱設計策略

除了要有明確藍圖以完整導覽雲端採用旅程之外，您還必須規劃雲端部署的訂閱設計和帳戶結構，以符合您組織的擁有權、計費和管理功能。 由於保存庫的範圍設定即為訂閱，因此您的訂閱設計將高度影響您的保存庫設計。 深入了解不同的訂閱設計策略，以及使用時機的指導方針。

記錄您的備份需求

若要開始使用 Azure 備份，請規劃您的備份需求。 以下是您在擬定理想備份策略時，應該自問的一些問題。

您要保護哪些工作負載類型？

若要設計您的保存庫，請先確定您需要的是集中式或分散式作業模式。

需要的備份細微性為何？

判斷所需為應用程式一致、損毀一致或記錄備份。

是否有任何合規性需求？

確認是否需要強制執行安全性標準和個別的存取界限。

必要的 RPO、RTO 為何？

判斷備份頻率和還原的速度。

是否有任何資料落地條件約束？

判斷可確保所需資料耐用性的儲存體備援。

要保留備份資料多久的時間？

決定備份資料保留在儲存體中的持續時間。

架構

圖表顯示 Azure 備份的架構。

工作負載

Azure 備份可啟用各種工作負載 (內部部署和雲端) 的資料保護。 此功能是 Azure 中安全又可靠的內建資料保護機制。 可以跨多個工作負載順暢地調整保護，而不會對您造成任何額外的管理負擔。 您也可以透過多個自動化管道來啟用此功能 (透過 PowerShell、CLI、Azure Resource Manager 範本和 REST API。)

  • 可調整、耐久且安全的儲存體：Azure 備份使用可靠的 Blob 儲存體搭配內建安全性和高可用性功能。 您可以為備份資料選擇 LRS、GRS 或 RA-GRS 儲存體。

  • 原生工作負載整合：Azure 備份 提供與 Azure 工作負載的原生整合（VM、SAP HANA、Azure VM 中的 SQL，甚至 Azure 檔案儲存體），而不需要您管理自動化或基礎結構來部署代理程式、撰寫新的腳本或指派記憶體。

深入了解支援的工作負載。

資料平面

  • 自動化儲存體管理：Azure 備份會自動佈建和管理用於備份資料的儲存體帳戶，以確保能隨著備份資料成長而調整。

  • 惡意刪除保護：防止任何意外和惡意嘗試透過虛刪除備份來刪除備份。 已刪除的備份資料會免費儲存 14 天，並可從此狀態復原。

  • 安全加密備份：Azure 備份 可確保備份數據以安全的方式儲存，並利用 Azure 平臺的內建安全性功能，例如 Azure 角色型存取控制和加密。

  • 備份資料生命週期管理：Azure 備份會自動清除較舊的備份資料，以遵循保留原則。 您也可以將資料從操作儲存體分層到保存庫儲存體。

  • 重要作業受到保護：適用於 Azure 備份的多使用者授權 (MUA)，可讓您為復原服務保存庫上的重要作業提供多一層保護。

管理平面

  • 存取控制：保存庫 (復原服務和備份保存庫) 提供管理功能，並可透過 Azure 入口網站、備份中心、保存庫儀表板、SDK、CLI 和 REST API 來存取。 這也是 Azure 角色型存取控制界限，可讓您選擇將備份的存取限制為僅限授權的備份管理員。

  • 原則管理：每個保存庫內的 Azure 備份原則會定義何時應該觸發備份，以及需要保留備份的持續時間。 您也可以管理這些原則，並將其套用到多個項目。

  • 監視和報告：Azure 備份與 Log Analytics 整合，也提供透過 Workbooks 查看報表的功能。

  • 快照集管理：Azure 備份會為某些 Azure 原生工作負載 (VM 和 Azure 檔案儲存體) 建立快照集、管理這些快照集，並允許從這些快照集進行快速還原。 此選項可大幅縮短將資料復原到原始儲存體的時間。

保存庫考量因素

Azure 備份會使用保存庫 (復原服務和備份保存庫) 來協調、管理備份，以及儲存備份的資料。 有效益的保存庫設計可協助組織建立結構來歸整及管理 Azure 中的備份資產，以支援您的業務優先順序。 建立存放庫時，請考慮下列指導方針。

單一或多個保存庫

若要使用單一保存庫或多個保存庫來歸整及管理您的備份，請參閱下列指導方針：

  • 保護全球多個區域的資源：如果您的組織具有跨北美洲、歐洲和亞洲的全球作業，而資源是部署在美國東部、英國西部和東亞。 Azure 備份的其中一個需求是，保存庫必須存在於要備份資源的相同區域中。 因此，您應該為每個區域建立三個不同的保存庫，以保護您的資源。

  • 保護不同業務單位與部門之間的資源：假設您的商務營運分為三個不同的業務單位 (BU)，而每個業務單位都有自己的一組部門 (五個部門 - 財務、銷售、HR、R & D 和行銷)。 您的業務需求可能需要每個部門管理及存取自己的備份和還原;也可讓您追蹤其個別的使用量和成本費用。 在這類情況下，建議您為 BU 中的每個部門建立一個保存庫。 如此一來，您的組織將會有 15 個保存庫。

  • 保護不同的工作負載：如果您打算保護不同類型的工作負載 (例如 150 台 VM、40 個 SQL 資料庫和 70 個 PostgreSQL 資料庫)，則建議您為每個工作負載類型建立不同的保存庫 (在此範例中，您必須為每個工作負載建立三個保存庫：VM、SQL 資料庫和 PostgreSQL 資料庫)。 這可協助您分隔使用者的存取界限，方法是讓您將存取權（使用 Azure 角色型存取控制）授與相關項目關係人。

  • 保護在多個環境中執行的資源：如果您的作業需要使用多個環境 (例如生產、非生產和開發人員)，則建議您為每個環境建立不同的保存庫。

  • 保護大量 (1000 台以上) Azure VM：假設您有 1500 台 VM 要進行備份。 Azure 備份只允許在一個保存庫中備份 1000 台 Azure VM。 在此案例中，您可以建立兩個不同的保存庫，並以 1000 台和 500 台 VM 的形式 (或符合上限的任何組合) 將資源散發到個別保存庫。

  • 保護大量 (2000 個以上) 不同工作負載：在大規模管理備份時，您也同時保護 Azure VM，以及其他工作負載，例如在這些 Azure VM 上執行的 SQL 和 SAP Hana 資料庫。 例如，您有 1300 台 Azure VM 和 2500 個 SQL 資料庫要保護。 保存庫限制可讓您備份每個保存庫中 2000 個工作負載 (限制 1000 台 VM)。 因此，以數學方式來看，您可以在一個保存庫中備份 2000 個工作負載 (1000 台 VM + 1000 個 SQL 資料庫) 以及個別保存庫中的其餘 1800 個工作負載 (300 台 VM + 1500 個 SQL 資料庫)。

    但是，我們不建議您使用這種隔離類型，因為您將無法定義存取界限，而且工作負載不會彼此隔離。 因此，若要正確散發工作負載，請建立四個保存庫。 兩個保存庫來備份 VM (1000 台 VM + 300 台 VM)，其他兩個保存庫來備份 SQL 資料庫 (2000 個資料庫 + 500 個資料庫)。

  • 您可以使用下列項目來管理：

    • 備份中心，可讓您利用單一窗格來管理所有備份工作。 在此深入了解。
    • 如果您需要跨保存庫的一致原則，可以使用 Azure 原則將備份原則傳播到多個保存庫。 您可以撰寫自訂的 Azure 原則定義，以使用 ‘deployifnotexists’ 效果將備份原則傳播到多個保存庫。 您也可以針對特定範圍 (訂閱或 RG) 指派此 Azure 原則定義，以將「備份原則」資源部署到 Azure 原則指派範圍內的所有復原服務保存庫。 使用者應該將備份原則的設定 (例如備份頻率、保留等) 指定為 Azure 原則指派中的參數。
  • 當組織使用量增加時，您可能會為了依據備份原則調整、合併保存庫、折衷為較低的備援性以節省成本 (從 GRS 移至 LRS) 等原因，跨訂閱移動工作負載。 Azure 備份支援跨 Azure 訂閱移動復原服務保存庫，或將復原服務保存庫移動至相同訂閱內的其他資源群組。 在此深入了解。

檢閱預設設定

請先檢閱 [儲存體複寫類型] 和 [安全性設定] 的預設設定是否滿足需求，再於保存庫中設定備份。

  • 依預設，「儲存體複寫類型」會設定為「異地備援 (GRS)」。 設定備份之後，可修改的 選項會停用。 遵循這些步驟以檢閱並修改設定。

    • 非重要的工作負載 (例如非生產和開發) 適用於 LRS 儲存體複寫。

    • 區域備援儲存體 (ZRS) 是良好的儲存體選項，可確保高資料耐久性及資料落地。

    • 建議您針對任務關鍵性工作負載 (例如生產環境中執行的工作負載) 使用異地備援儲存體 (GRS)，以防止永久資料遺失，並在主要區域無法復原的情況下保護生產環境的安全。

  • 新建立的保存庫預設會啟用「虛刪除」，以防止備份資料遭到意外或惡意刪除。 遵循這些步驟以檢閱並修改設定。

  • 「跨區域還原」可讓您還原次要區域 (即 Azure 配對區域) 中的 Azure VM。 此選項可讓您進行演練，以符合稽核或合規性需求，並在主要區域發生災害時還原 VM 或其磁碟。 CRR 是選擇加入的功能，適用於任何 GRS 保存庫。 在此深入了解。

  • 在完成保存庫設計之前，請先檢閱保存庫支援比對表，以了解可能影響或限制設計選擇的因素。

備份原則考量

Azure 備份原則有兩個元件：「排程」(備份時機) 和「保留」(保留備份的時間長度)。 您可以根據所備份的資料類型、RTO/RPO 需求、作業或法規合規性需求及工作負載類型 (例如 VM、資料庫、檔案) 來定義原則。 深入了解

建立備份原則時，請考慮下列指導方針：

排程考量

排程備份原則時，請考慮下列幾點：

  • 針對任務關鍵性資源，請嘗試排程每天可用的最頻繁自動備份，以提供較小的 RPO。 深入了解

    如果您每天需要透過延伸模組進行 Azure VM 的多項備份，請參閱下一節的因應措施。

  • 針對需要相同排程開始時間、頻率及保留設定的資源，您必須將其分組至單一備份原則中。

  • 建議您將備份排程開始時間保留在非尖峰的生產應用時間當中。 例如，最好是在夜間 (大約凌晨 2-3 點) 進行每日自動備份排程，而不是將其排程在資源使用量較高的日間進行。

  • 若要散發備份流量，建議您在一天的不同時間備份不同 VM。 例如，若要備份具有相同保留設定的 500 台 VM，建議您建立 5 個不同的原則，將這些原則與 100 台 VM 建立關聯，並分別為其排程幾小時的時間。

保留考量

  • 短期保留可以是「每日」。 「每週」、「每月」或「每年」備份點的保留也稱為長期保留。

  • 長期保留：

    • 規劃 (合規性需求) - 如果您事先知道需要的資料是從目前時間起以年計算，請使用長期保留。 Azure 備份 支援在封存層中備份長期保留點，以及快照集和標準層。 深入了解封存層的支援工作負載和保留設定。
    • 非計劃性 (隨選需求) - 如果您事先不知道，可以視需要使用特定的自訂保留設定 (這些自訂保留設定不受原則設定的影響)。

  • 隨選備份搭配自訂保留 - 如果您需要透過備份原則取得未排程的備份，則可以使用隨選備份。 這種方法有助於不適合排程備份的備份或細微備份 (例如，每天執行多次 IaaS VM 備份，因為排程的備份每天只允許一次備份)。 請務必注意，在排定的原則中定義的保留原則不會套用至隨選備份。

將備份原則最佳化

  • 當您的商務需求變更時，您可能需要延長或縮短保留期。 當您進行這項作業時，預期會發生下列情況：

    • 如果延長保留期，就會標示現有的復原點，並依據新原則加以保留。
    • 如果縮短保留期，則會標示復原點，以便在下次清除作業中加以剪除然後刪除。
    • 最新的保留規則會套用至所有保留點 (不包括隨選保留點)。 因此，如果您先延長保留期 (例如 100 天)，然後在進行備份時又縮短保留期 (例如從 100 天縮短為七天)，則系統會根據最後指定的保留期來保留所有備份資料 (也就是 7 天)。

  • Azure 備份可讓您彈性地「停止保護以便管理您的備份」：

    • 停止保護並保留備份資料。 如果您要淘汰或解除委任資料來源 (VM、應用程式)，但需要保留資料以供稽核或合規性用途，則可以使用此選項，讓所有未來的備份作業停止保護資料來源，並保留已備份的復原點。 然後您即可還原或繼續 VM 保護。

    • 停止保護並刪除備份資料。 此選項將會讓所有未來的備份作業停止保護 VM，並刪除所有復原點。 您將無法還原 VM，也無法使用 [繼續備份] 選項。

    • 如果您繼續保護 (之前已停止保護並保留資料的資料來源)，則會套用保留規則。 系統會按照排程時間移除任何過期的復原點。

  • 完成原則設計之前，請務必留意可能影響您設計選擇的下列因素。

    • 備份原則範圍設定為一個保存庫。
    • 每個原則有項目數量限制 (例如 100 台 VM)。 若要進行調整，您可以建立具相同或不同排程的重複原則。
    • 您無法選擇性地刪除特定的復原點。
    • 您無法完全停用已排程的備份，並讓資料來源處於受保護的狀態。 您可以為原則設定的備份最低頻率，是每週排程備份一次。 替代方法是使用停止保護但保留資料，並在每次您想要進行備份時啟用保護、進行隨選備份，然後關閉保護但保留備份資料。 在此深入了解。

安全性考量

為了協助您保護備份資料並符合您企業的安全性需求，Azure 備份提供機密性、完整性和可用性保證，以防止您寶貴的資料和系統遭到蓄意攻擊和濫用。 請考慮 Azure 備份解決方案的下列安全性指導方針:

使用 Azure 角色型存取控制進行驗證和授權

  • Azure 角色型訪問控制可讓您更精細的存取管理、隔離小組內的職責，並只授與執行其作業所需的使用者存取權數量。 在此深入了解。

  • 如果您有多個工作負載要備份 (例如 Azure VM、SQL 資料庫和 PostgreSQL 資料庫)，且您有多個專案關係人來管理這些備份，請務必隔離其責任，讓使用者只能存取他們負責的資源。 Azure 角色型訪問控制可讓您細微的存取管理、隔離小組內的職責，以及只授與執行其作業所需的使用者存取類型。 深入了解

  • 您也可以提供執行特定工作所需的最低存取權，以隔離職責。 例如，負責監視工作負載的人員不應該有修改備份原則或刪除備份項目的存取權。 Azure 備份提供三個內建角色來控制備份管理作業: 備份參與者、操作員和讀取者。 在此深入了解。 如需 Azure VM、SQL/SAP Hana 資料庫和 Azure 檔案共用中每種備份作業所需的最低 Azure 角色資訊，請參閱本指南。

  • Azure 角色型訪問控制 也提供根據個別需求建置 自定義角色 的彈性。 如果您不確定針對特定作業建議的角色類型，您可以使用 Azure 角色型訪問控制所提供的內建角色，並開始使用。

    下圖說明不同 Azure 內建角色的運作方式:

    圖表說明不同 Azure 內建角色的運作方式。

    • 在上圖中，User2 和 User3 為備份讀取者。 因此，他們只具有監視備份並檢視備份服務的權限。

    • 就存取範圍而言，

      • User2 只能存取 Subscription1 的資源，而 User3 只能存取 Subscription2 的資源。
      • User4 是備份操作員。 它具有啟用備份、觸發隨選備份、觸發還原，以及備份讀取者功能的權限。 然而，在此案例中，其範圍僅限於 Subscription2。
      • User1 是備份參與者。 它具有建立保存庫、建立/修改/刪除備份原則、停止備份，以及備份操作員的功能之權限。 然而，在此案例中，其範圍僅限於 Subscription1。

  • 系統會隔離復原服務保存庫所使用的儲存體帳戶，且使用者無法對其進行存取，以進行任何惡意用途。 只有透過 Azure 備份管理作業才允許該存取權，例如還原。

加密傳輸中資料和待用資料

加密可保護您的資料安全，並協助您符合組織安全性和合規性承諾。

  • 在 Azure 中，會透過 HTTPS 保護 Azure 儲存體與保存庫之間的傳輸中資料。 此資料會保留在 Azure 網路中。

  • 備份資料會使用由 Microsoft 所管理的金鑰自動加密。 或者，您可以使用自己的金鑰，也就是客戶自控金鑰。 此外，使用 CMK 加密進行備份，不會產生額外的費用。 不過，使用 Azure Key Vault (用以儲存您的金鑰) 會產生成本，但從獲得較高的資料安全性回報來看，這是合理的費用。

  • Azure 備份支援備份和還原已使用 Azure 磁碟加密 (ADE) 加密其作業系統/資料磁碟的 Azure VM。 深入了解

透過虛刪除保護備份資料免於不小心刪除

您可能會遇到在保存庫中有任務關鍵性備份數據的案例，而且意外或錯誤地刪除。 此外，惡意執行者可能會刪除您的生產備份專案。 重建這些資源通常是成本高昂且耗時，甚至可能會導致關鍵資料的遺失。 Azure 備份 提供防範意外和惡意刪除與虛刪除功能可讓您在刪除資源之後復原這些資源。

使用虛刪除時，如果使用者刪除了 VM、SQL Server 資料庫、Azure 檔案共用、SAP Hana 資料庫的備份，備份資料會額外保留 14 天，以便復原該備份項目而不造成任何資料遺失。 處於「虛刪除」狀態的備份資料會額外保留 14 天，且不會產生任何費用。 深入了解

多使用者授權 (MUA)

如果管理員產生惡意並危及系統，您要如何保護資料？

任何具有備份資料特殊權限存取的管理員，都有可能對系統造成無法修復的損毀。 流氓系統管理員可以刪除所有業務關鍵性數據，或甚至關閉可能讓您的系統容易受到網路攻擊的所有安全性措施。

Azure 備份提供多使用者授權 (MUA) 功能，可保護您免受這類惡意管理員的攻擊。 多使用者授權可確保只有在獲得安全性管理員的核准之後，才會執行每個特殊權限/破壞性作業 (也就是停用虛刪除)，有助於防止惡意管理員執行破壞性作業。

勒索軟體防護

  • 系統會排除惡意執行者直接存取 Azure 備份 加密數據，因為備份數據上的所有作業只能透過復原服務保存庫或備份保存庫來執行，而備份數據可以受到 Azure 角色型存取控制和 MUA 保護。

  • 啟用備份資料的虛刪除 (預設為啟用)，即可免費保留已刪除的資料 14 天。 您可以使用 MUA 來保護停用虛刪除的情況。

  • 使用較長的保留期 (週、月、年)，以確保完好的備份 (未被勒索軟體加密) 不會提前到期，亦有一些策略可供及早偵測及緩和來源資料上的這類攻擊。

可疑活動的監視與警示

您可能會遇到有人嘗試入侵您的系統並惡意關閉安全性機制的案例，例如停用虛刪除或嘗試執行破壞性作業，例如刪除備份資源。

Azure 備份 透過您慣用的通知通道傳送重要警示來提供這類事件的安全性（電子郵件、ITSM、Webhook、Runbook 等等），方法是建立警示頂端的動作規則。 深入了解

安全性功能有助於保護混合式備份

Azure 備份服務使用 Microsoft Azure 復原服務 (MARS) 代理程式，將檔案、資料夾，以及磁碟區或系統狀態，從內部部署電腦備份與還原至 Azure。 MARS 現在提供了安全性功能：用於加密的複雜密碼 (從 Azure 備份下載之後、上傳和解密之前使用)、已刪除的備份資料會額外保留 14 天 (從刪除日期算起)，以及重要作業 (例如變更複雜密碼) 只能由具有有效 Azure 認證的使用者執行。 在此深入了解。

網路考量

Azure 備份需要將資料從您的工作負載移到復原服務保存庫。 Azure 備份提供若干功能，可保護備份資料免於不慎暴露在網路中間人攻擊的風險中。 請參考下列指引：

網際網路連線能力

  • Azure VM 備份：儲存體和 Azure 備份服務之間的所有必要通訊和資料傳輸都是在 Azure 網路內進行，而不需要存取您的虛擬網路。 因此，備份放在安全網路內的 Azure VM 不需要您允許存取任何 IP 或 FQDN。

  • Azure VM 上的 SAP HANA 資料庫以及 Azure VM 上的 SQL Server 資料庫：需要連線到 Azure 備份服務、Azure 儲存體和 Microsoft Entra ID。 這可以藉由使用私人端點，或允許存取所需的公用 IP 位址或 FQDN 來達成。 若不允許正確連線到所需的 Azure 服務，可能會導致資料庫探索、設定備份、執行備份和還原資料等作業失敗。 如需使用 NSG 標籤、Azure 防火牆和 HTTP Proxy 時的完整網路指導方針，請參閱這些 SQL 和 SAP Hana 文章。

  • 混合式：MARS (Microsoft Azure 復原服務) 代理程式的所有關鍵作業 (安裝、設定、備份及還原) 都需要網路存取。 MARS 代理程式可以使用Microsoft對等互連、使用私人端點或透過具有適當訪問控制的 Proxy/防火牆，透過 Azure ExpressRoute 連線到 Azure 備份 服務。

用於安全存取的私人端點

使用 Azure 備份保護重要資料時，您並不希望這些資源可透過公用網際網路存取。 特別是，如果您是銀行或金融機構，您會有嚴格的合規性和安全性需求，以保護您的高業務影響數據。 即使是在醫療產業中，也有嚴格的合規性規則。

為了滿足上述所有需求，您可以使用 Azure 私人端點，這是一種網路介面，可讓您以私人且安全的方式連線至 Azure Private Link 所支援的服務。 建議使用私人端點進行安全的備份和還原作業，而不需要從虛擬網路新增 Azure 備份或 Azure 儲存體的任何 IP/FQDN 允許清單。

深入了解如何在虛擬網路內為 Azure 備份建立和使用私人端點。

  • 當您為保存庫啟用私人端點時，系統便只會使用這些端點來備份和還原 Azure VM 中的 SQL 和 SAP HANA 工作負載、MARS 代理程式、DPM/MABS 備份。 您也可以使用保存庫來備份其他工作負載 (不過這些工作負載不需要私人端點)。 除了 SQL 和 SAP HANA 工作負載，使用 MARS 代理程式和 DPM/MABS 伺服器備份之外，在 Azure VM 備份的情況下，還會使用私人端點執行檔案復原。 在此深入了解。

  • Microsoft Entra ID 目前不支援私人端點。 Microsoft Entra ID 必須使用 IP 和 FQDN，因此在 Azure VM 中執行資料庫備份，以及使用 MARS 代理程式進行備份時，需允許使用 IP 和 FQDN 從安全的網路輸出存取。 您也可以使用 NSG 標籤和 Azure 防火牆標籤來允許存取 Microsoft Entra ID (如適用)。 深入了解此處所述的必要條件。

治理考量

Azure 中的治理主要是使用 Azure 原則 和 Microsoft 成本管理來實作。 Azure 原則可讓您建立、指派和管理原則定義，以強制執行資源的規則。 此功能可確保這些資源能夠符合公司的標準規範。 Microsoft成本管理 可讓您追蹤 Azure 資源和其他雲端提供者的雲端使用量和支出。 此外，Azure 價格計算機和 Azure Advisor 這類工具在成本管理程序中扮演重要角色。

大規模使用 Azure 原則，自動設定新佈建的備份基礎結構

  • 每次佈建新的基礎結構並建立新的 VM 時，備份管理員都必須確保其防護性。 您可以輕鬆地為一或兩台 VM 設定備份。 但是，當您需要大規模設定數百個或甚至數千台 VM 時，情況就變得複雜。 為了簡化設定備份的程序，Azure 備份提供一組內建 Azure 原則來管理您的備份資產。

  • 使用原則 (中央備份小組模型) 在 VM 上自動啟用備份：如果組織有中央備份團隊可管理跨應用程式團隊的備份，您可以使用此原則，為現有中央復原服務保存庫 (其位於 VM 所屬相同的訂閱和位置中) 設定備份。 您可以選擇包含/排除含有原則範圍特定標記的 VM。 深入了解。

  • 使用原則 (應用程式小組擁有的備份) 在 VM 上自動啟用備份：如果您將應用程式依專用資源群組分組，並打算使用相同保存庫來備份，即可使用此原則自動管理這個動作。 您可以選擇包含/排除含有原則範圍特定標記的 VM。 深入了解。

  • 監視原則：若要為資源產生備份報告，請在建立新的保存庫時啟用診斷設定。 通常，為每個保存庫手動新增診斷設定是一項繁瑣的工作。 因此，您可以利用 Azure 內建原則，大規模為每個訂閱或資源群組中的所有保存庫設定診斷設定，並以 Log Analytics 作為目的地。

  • 僅限稽核原則：Azure 備份也會提供僅限稽核原則，以識別沒有備份設定的 VM。

Azure 備份成本考量

Azure 備份服務提供有效管理成本的彈性；此外還可以滿足您的 BCDR (商務持續性和災害復原) 商務需求。 請參考下列指引：

  • 使用定價計算機，藉由調整各種控制桿來評估成本，並將其最佳化。 深入了解

  • 將備份原則最佳化，

    • 根據工作負載原型 (例如任務關鍵性、非關鍵性)，將排程和保留設定最佳化。
    • 針對立即還原，將保留設定最佳化。
    • 在採用 Azure 備份中工作負載所支援的備份類型 (完整、增量、記錄、差異) 同時，選擇適當的備份類型以滿足需求。

  • 使用選擇性的備份磁碟來降低備份儲存體成本：排除磁碟功能提供有效率且符合成本效益的選項，可選擇性地備份重要資料。 例如，當您不想要備份所有附加至 VM 的磁碟時，您可以只備份一個磁碟。 當您有多個備份解決方案時，也很適合這麼做。 例如，若要使用工作負載備份解決方案 (Azure VM 備份中的 SQL Server 資料庫) 來備份資料庫或資料，請針對選取的磁碟使用 Azure VM 層級備份。

  • 使用立即還原功能，加速還原並將 RTO 降至最低：Azure 備份可建立 Azure VM 的快照集，並將快照集連同磁碟一起儲存，以加速建立復原點，並加快還原作業的速度。 這稱為「立即還原」。 可讓您透過這些快照集進行還原作業，以縮短還原時間。 此功能可縮短從保存庫轉換和複製資料所需的時間。 因此，在這段期間所建立的快照會產生儲存體成本。 深入了解 Azure 備份的立即復原功能。

  • 選擇正確的複寫類型：根據預設，Azure 備份保存庫的「儲存體複寫類型」會設定為「異地備援 (GRS)」。 當您開始保護項目之後，就無法變更此選項。 異地備援儲存體 (GRS) 提供比本地備援儲存體 (LRS) 更高的資料持久性層級，可讓您選擇使用跨區域還原，且成本較高。 審慎評估較低成本和更高資料耐久性之間的取捨，並為您的案例選擇最佳選項。 深入了解

  • 使用封存層進行長期保留 (LTR) 並節省成本：假設您幾乎不存取某些陳舊的備份資料，但這些資料基於合規性因素需要長期儲存 (例如 99 年)。 將這類大量資料儲存在標準層的成本很高，而且沒有經濟效益。 為協助將儲存體成本最佳化，您可以使用 Azure 備份提供的封存層，這種存取層是專為長期保留 (LTR) 備份資料精心設計。

  • 如果您要保護 VM 內執行的工作負載及 VM 本身，請考慮是否需要這道雙重防護。

監視和警示的考量

備份使用者或系統管理員應該能夠監視所有備份解決方案，並取得重要案例的通知。 本節詳細說明 Azure 備份服務提供的監視和通知功能。

監視器

  • Azure 備份提供作業的內建工作監視功能，例如設定備份、備份、還原、刪除備份等。 這是以保存庫為範圍，適用於監視單一保存庫。 在此深入了解。

  • 如果您需要大規模監視作業活動，備份總管會提供整個備份資產的彙總檢視，以提供詳細的向下切入分析和疑難排解。 它是內建的 Azure 監視器活頁簿，提供單一的集中位置，協助您監視 Azure 上、跨租用戶、位置、訂用帳戶、資源群組和保存庫的整個備份資產上的作業活動。 在此深入了解。

    • 您可以使用此功能來識別未設定備份的資源，並確保在不斷增長的資產中不會遺漏保護重要資料。
    • 儀表板最多可提供過去七天的作業活動。 如果您需要保留這項資料，可以匯出為 Excel 檔案並加以保留。
    • 如果您是 Azure Lighthouse 使用者，可以跨多個租用戶檢視資訊，實現無界限監視。

  • 如果您需要保留和檢視長期的作業活動，請使用報表。 備份管理員的常見需求是根據長時間資料備份來取得見解。 這類解決方案的使用案例包括：

    • 配置和預測已取用的雲端儲存體。
    • 稽核備份和還原。
    • 找出不同細微性層級的主要趨勢。

  • 此外，

    • 您可以將資料 (例如工作、原則等) 傳送至 Log Analytics 工作區。 這會啟用 Azure 監視器記錄的功能，以便將資料與 Azure 監視器所收集的其他監視資料相互關聯、將多個 Azure 訂閱和租用戶的記錄項目合併到單一位置進行分析，並使用記錄查詢來執行複雜的分析，並取得記錄項目的深入見解。 在此深入了解。
    • 您可以將數據傳送至 Azure 事件中樞，以將專案傳送到 Azure 外部，例如傳送至外部 SIEM（安全性資訊和事件管理）或其他記錄分析解決方案。 在此深入了解。
    • 如果您想要保留記錄資料超過 90 天以進行稽核、靜態分析或備份，請資料傳送至 Azure 儲存體帳戶。 如果您只需要保留事件 90 天或更短的時間，則不需要設定封存至儲存體帳戶，因為 Azure 平台會保留活動記錄事件 90 天。 深入了解。

警示

在備份/還原作業因某個未知問題而失敗的情況下。 若要指派工程師來進行偵錯，您會想要盡快收到失敗通知。 有時候，也可能有人惡意執行破壞性作業，例如刪除備份項目或關閉虛刪除，而您需要這類事件的警示訊息。

您可以設定此類重大警示，並將其路由傳送至任何慣用的通知管道 (電子郵件、ITSM、Webhook、Runbook 等)。 Azure 備份整合多項 Azure 服務，以滿足不同的警示和通知需求：

  • Azure 監視器記錄 (Log Analytics)：您可以設定保存庫以將資料傳送至 Log Analytics 工作區、在工作區上撰寫自訂查詢，以及根據查詢輸出設定要產生的警示。 您可以在資料表和圖表中檢視查詢結果；亦可將它們匯出至 Power BI 或 Grafana。 (Log Analytics 也是稍後各節所述的報告/稽核功能重要元件)。

  • Azure 監視器警示：針對某些預設案例 (例如備份失敗、還原失敗、備份資料刪除等)，Azure 備份預設會傳送透過 Azure 監視器所呈現的警示，而不需要使用者設定 Log Analytics 工作區。

  • Azure 備份可透過電子郵件，為失敗、警告和重要作業提供內建警示通知機制。 您可以指定在產生警示時，依個別電子郵件地址或通訊群組清單發送通知。 您也可以選擇每次警示都收到通知，或收到按每小時摘要分組的通知。

    • 這些警示是由服務所定義，可提供對下列有限案例的支援：備份/還原失敗、停止保護但保留資料/停止保護並刪除資料等等。 在此深入了解。
    • 如果執行了停止保護並刪除資料等破壞性作業，即使復原服務保存庫未設定通知，也會引發警示並向訂閱擁有者、系統管理員和共同管理員傳送電子郵件。
    • 某些工作負載可能會產生高頻率的失敗 (例如，SQL Server 每隔 15 分鐘就會產生)。 為了避免每次失敗時引發的警示大量湧入，系統會合併警示。 在此深入了解。
    • 您無法自訂內建警示，而且僅限於使用 Azure 入口網站中定義的電子郵件。

  • 如果您需要建立自訂警示 (例如，成功的作業警示)，請使用 Log Analytics。 在 Azure 監視器中，您可以在 Log Analytics 工作區中建立自己的警示。 混合式工作負載 (DPM/MABS) 也可以將資料傳送至 LA，並使用 LA 提供 Azure 備份所支援的各種工作負載常見警示。

  • 您也可以透過內建復原服務保存庫的活動記錄來取得通知。 不過，此功能僅支援有限的案例，且不適用於排程備份這類的作業 (與其使用活動記錄更適合使用資源記錄)。 若要深入了解這些限制，以及如何使用 Log Analytics 工作區，大規模監視 Azure 備份保護的所有工作負載，並提供警示，請參閱這篇文章。

自動重試失敗的備份作業

許多失敗錯誤或中斷案例本質上都是暫時性的，您可以藉由設定正確的 Azure 角色型訪問控制許可權或重新觸發備份/還原作業來補救。 因為這類失敗的解決方法很簡單，所以您不需要花時間等候工程師手動觸發作業，或指派相關權限。 因此，處理此案例的更聰明方式是自動重試失敗作業。 這麼做可大幅縮短從失敗中復原所花費的時間。 若要達到此目的，您可以透過 Azure Resource Graph (ARG) 取得相關的備份資料，並將資料與修正的 PowerShell/CLI 程序結合。

請觀看下列影片，了解如何使用 ARG 和 PowerShell 重新觸發所有失敗作業的備份 (跨保存庫、訂閱、租用戶)。

將警示路由傳送至您慣用的通知管道

雖然可以修正暫時性錯誤，但某些持續性錯誤可能需要深入分析，而重試作業可能不是可行的解決方案。 您可能有自己的監視/票證機制，以確保已正確追蹤和修正這類失敗。 若要處理這類情況，您可以在警示上建立動作規則，選擇將警示路由傳送至您慣用的通知管道 (電子郵件、ITSM、Webhook、Runbook 等)。

請觀看下列影片，了解如何利用 Azure 監視器為重大警示設定各種通知機制。

下一步

請先參閱下列文章，了解如何使用 Azure 備份：