安装migrate-controller备份服务组件并配置权限

通过onectl安装组件并配置权限（推荐）

1. 在本地安装配置onectl。具体操作，请参见通过onectl管理注册集群。

2. 执行以下命令，为migrate-controller组件配置RAM权限。

   onectl ram-user grant --addon migrate-controller

   预期输出：

   Ram policy ack-one-registered-cluster-policy-migrate-controller granted to ram user ack-one-user-ce313528c3 successfully.

3. 执行以下命令，安装备份服务组件。

   onectl addon install migrate-controller

   预期输出：

   Addon migrate-controller, version **** installed.

   使用onectl配置的OSS权限范围为所有的OSS Bucket，如需配置指定的OSS Bucket的权限，请修改onectl生成的OSS权限，或者选择手动安装组件并配置权限。

   修改OSS权限：修改已创建的自定义权限策略内容为以下内容。如何修改策略，请参见修改自定义权限策略内容和备注。

   说明

   替换以下策略代码中mybackups为您的OSS名称。更多OSS细粒度的授权配置信息，请参见通过RAM对OSS进行权限管理。

   展开查看自定义权限策略

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "oss:PutObject",
           "oss:GetObject",
           "oss:DeleteObject",
           "oss:GetBucket",
           "oss:ListObjects",
           "oss:ListBuckets",
           "oss:GetBucketStat"
         ],
         "Resource": [
           "acs:oss:*:*:mybackups",
           "acs:oss:*:*:mybackups/*"
         ],
         "Effect": "Allow"
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:CreateSnapshot",
           "ecs:DeleteSnapshot",
           "ecs:DescribeSnapshotGroups",
           "ecs:CreateAutoSnapshotPolicy",
           "ecs:ApplyAutoSnapshotPolicy",
           "ecs:CancelAutoSnapshotPolicy",
           "ecs:DeleteAutoSnapshotPolicy",
           "ecs:DescribeAutoSnapshotPolicyEX",
           "ecs:ModifyAutoSnapshotPolicyEx",
           "ecs:DescribeSnapshots",
           "ecs:DescribeInstances",
           "ecs:CopySnapshot",
           "ecs:CreateSnapshotGroup",
           "ecs:DeleteSnapshotGroup"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "hbr:CreateVault",
           "hbr:CreateBackupJob",
           "hbr:DescribeVaults",
           "hbr:DescribeBackupJobs2",
           "hbr:DescribeRestoreJobs",
           "hbr:SearchHistoricalSnapshots",
           "hbr:CreateRestoreJob",
           "hbr:AddContainerCluster",
           "hbr:DescribeContainerCluster",
           "hbr:DescribeRestoreJobs2",
           "hbr:CancelBackupJob",
           "hbr:CancelRestoreJob"
         ],
         "Resource": "*"
       }
     ]
   }

4. （可选）配置指向注册集群与OSS同一地域的OSS内网网段的路由。

   已通过CEN、高速通道、专线、VPN等方式与云上VPC互通的注册集群，为提高备份数据的拉取速度，当注册集群与OSS处于同一地域时，备份中心会自动选择以内网方式访问OSS域名，此时，您需要配置指向该地域OSS内网网段的路由。

   • 关于线下IDC接入云上VPC的相关内容，请参见接入方式介绍。

   • 关于OSS内网域名与VIP网段对照表，请参见OSS内网域名与VIP网段对照表。

5. （可选）为云备份服务授权API网关使用权限。

   仅在华北6（乌兰察布）、华南2（河源）或华南3（广州）地域的集群备份或恢复时需要授权。授权操作，请参见（可选）步骤三：为云备份服务授权API网关使用权限。

通过控制台安装组件并配置权限

步骤一：配置相关权限

您需要为注册集群创建RAM用户，为RAM用户添加访问云资源的权限，然后创建AccessKey。

1. 创建RAM用户。具体操作，请参见创建RAM用户。

2. 创建如下自定义权限策略。具体操作，请参见通过脚本编辑模式创建自定义权限策略。

   以下策略脚本中，oss:****为OSS权限策略，ecs:****为ECS云盘快照相关权限策略，hbr:****为云备份权限策略。

   展开查看自定义权限策略

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "oss:PutObject",
           "oss:GetObject",
           "oss:DeleteObject",
           "oss:GetBucket",
           "oss:ListObjects",
           "oss:ListBuckets",
           "oss:GetBucketStat"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:CreateSnapshot",
           "ecs:DeleteSnapshot",
           "ecs:DescribeSnapshotGroups",
           "ecs:CreateAutoSnapshotPolicy",
           "ecs:ApplyAutoSnapshotPolicy",
           "ecs:CancelAutoSnapshotPolicy",
           "ecs:DeleteAutoSnapshotPolicy",
           "ecs:DescribeAutoSnapshotPolicyEX",
           "ecs:ModifyAutoSnapshotPolicyEx",
           "ecs:DescribeSnapshots",
           "ecs:DescribeInstances",
           "ecs:CopySnapshot",
           "ecs:CreateSnapshotGroup",
           "ecs:DeleteSnapshotGroup"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "hbr:CreateVault",
           "hbr:CreateBackupJob",
           "hbr:DescribeVaults",
           "hbr:DescribeBackupJobs2",
           "hbr:DescribeRestoreJobs",
           "hbr:SearchHistoricalSnapshots",
           "hbr:CreateRestoreJob",
           "hbr:AddContainerCluster",
           "hbr:DescribeContainerCluster",
           "hbr:DescribeRestoreJobs2",
           "hbr:CancelBackupJob",
           "hbr:CancelRestoreJob"
         ],
         "Resource": "*"
       }
     ]
   }

   上述权限策略授予了所有OSS Bucket的权限。如果您需要指定OSS的读写权限，请按以下示例修改权限策略，将以下策略脚本中的mybackups替换为您的OSS名称。更多OSS细粒度授权配置信息，请参见通过RAM对OSS进行权限管理。

   展开查看自定义权限策略

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "oss:PutObject",
           "oss:GetObject",
           "oss:DeleteObject",
           "oss:GetBucket",
           "oss:ListObjects",
           "oss:ListBuckets",
           "oss:GetBucketStat"
         ],
         "Resource": [
           "acs:oss:*:*:mybackups",
           "acs:oss:*:*:mybackups/*"
         ],
         "Effect": "Allow"
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:CreateSnapshot",
           "ecs:DeleteSnapshot",
           "ecs:DescribeSnapshotGroups",
           "ecs:CreateAutoSnapshotPolicy",
           "ecs:ApplyAutoSnapshotPolicy",
           "ecs:CancelAutoSnapshotPolicy",
           "ecs:DeleteAutoSnapshotPolicy",
           "ecs:DescribeAutoSnapshotPolicyEX",
           "ecs:ModifyAutoSnapshotPolicyEx",
           "ecs:DescribeSnapshots",
           "ecs:DescribeInstances",
           "ecs:CopySnapshot",
           "ecs:CreateSnapshotGroup",
           "ecs:DeleteSnapshotGroup"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "hbr:CreateVault",
           "hbr:CreateBackupJob",
           "hbr:DescribeVaults",
           "hbr:DescribeBackupJobs2",
           "hbr:DescribeRestoreJobs",
           "hbr:SearchHistoricalSnapshots",
           "hbr:CreateRestoreJob",
           "hbr:AddContainerCluster",
           "hbr:DescribeContainerCluster",
           "hbr:DescribeRestoreJobs2",
           "hbr:CancelBackupJob",
           "hbr:CancelRestoreJob"
         ],
         "Resource": "*"
       }
     ]
   }

3. 为RAM用户添加已创建的自定义权限。具体操作，请参见为RAM用户授权。

4. 为RAM用户创建AccessKey。具体操作，请参见获取AccessKey。

5. 在集群中创建Secret。

   为了保证您的AccessKey信息只在您的集群内安全使用，您需要先在集群中使用AccessKey信息部署一个名为alibaba-addon-secret的Secret资源，以降低泄露风险。

   1. 执行以下命令，创建命名空间csdr。

      kubectl create ns csdr

   2. 执行以下命令，创建名为alibaba-addon-secret的Secret资源。

      kubectl -n csdr create secret generic alibaba-addon-secret --from-literal='access-key-id=<your AccessKey ID>' --from-literal='access-key-secret=<your AccessKey Secret>'

      您需要将上述代码中的<your AccessKey ID>和<your AccessKey Secret>替换为您在上一步获取的AccessKey信息。

步骤二：安装migrate-controller备份服务组件

请参见安装migrate-controller备份服务组件。

（可选）步骤三：配置指向注册集群与OSS同一地域的OSS内网网段的路由

已通过CEN、高速通道、专线、VPN等方式与云上VPC互通的注册集群，为提高备份数据的拉取速度，当注册集群与OSS处于同一地域时，备份中心会自动选择以内网方式访问OSS域名，此时，您需要配置指向该地域OSS内网网段的路由。

• 关于线下IDC接入云上VPC的相关内容，请参见接入方式介绍。

• 关于OSS内网域名与VIP网段对照表，请参见OSS内网域名与VIP网段对照表。

（可选）步骤四：为云备份服务授权API网关使用权限

仅在华北6（乌兰察布）、华南2（河源）或华南3（广州）地域的集群备份或恢复时需要授权。授权操作，请参见（可选）步骤三：为云备份服务授权API网关使用权限。