Быстрый старт: Настройка хранилища резервных копий в кластер Службы Azure Kubernetes (AKS) с использованием Terraform

В этом кратком руководстве описывается настройка хранилища резервного копирования для кластера Служба Azure Kubernetes (AKS) с помощью Terraform.

Azure Backup для AKS — это облачная, корпоративная, ориентированная на приложение служба резервного копирования, которая позволяет быстро настроить резервное копирование для кластеров AKS.

Примечание.

Действия, включенные в эту статью о том, как развернуть кластер и защитить его с помощью службы архивации AKS, предназначены только для оценки.

Прежде чем развертывать готовый к работе кластер и использовать предварительные параметры резервного копирования, рекомендуется ознакомиться с базовой эталонной архитектурой , чтобы понять, как она соответствует вашим бизнес-требованиям.

Предварительные условия

Перед настройкой резервного копирования AKS необходимо выполнить следующие действия.

В этом кратком руководстве предполагается, что у вас есть основное понимание основных концепций Kubernetes. Дополнительные сведения см. в разделе [Основные понятия Kubernetes для службы Azure Kubernetes (AKS)][kubernetes-concepts].
Вам потребуется учетная запись Azure с активной подпиской. Если у вас нет учетной записи, создайте бесплатную учетную запись.
Установите и настройте Terraform.

Примечание.

Убедитесь, что используемая версия Terraform — 3.99 или более поздняя.

Скачайте kubectl.
Создайте случайное значение для имени группы ресурсов Azure с помощью random_pet.
Создайте группу ресурсов Azure с помощью azurerm_resource_group.
Перейдите к конфигурации поставщика AzureRM, чтобы получить идентификатор объекта Azure с помощью azurerm_client_config.
Создание кластера Kubernetes с помощью azurerm_kubernetes_cluster.
Создание ресурса AzAPI с помощью azapi_resource.
Создание учетной записи хранения с помощью azurerm_storage_account.
Создайте контейнер для BLOB-объектов с помощью azurerm_storage_container.
Установите расширение резервного копирования в кластере AKS с помощью `cluster_extension`.
Создание хранилища резервных копий с помощью azurerm_data_protection_backup_vault.
Создайте политику резервного копирования для кластера AKS с помощью azurerm_data_protection_backup_vault.
Включение доверенного доступа между кластером AKS и хранилищем резервных копий с помощью azurerm_kubernetes_cluster_trusted_access_role_binding.
Включите назначения ролей с помощью azurerm_role_assignment.
Настройка резервного копирования для кластера AKS с помощью azurerm_data_protection_backup_policy_kubernetes_cluster.

Вход в учетную запись Azure

Войдите в учетную запись Azure и выполните проверку подлинности с помощью одного из следующих методов:

Terraform поддерживает проверку подлинности только в Azure с помощью Azure CLI. Проверка подлинности с помощью Azure PowerShell не поддерживается. Таким образом, хотя при выполнении работы Terraform можно использовать модуль Azure PowerShell, сначала необходимо выполнить проверку подлинности в Azure.

Реализация кода Terraform

Чтобы реализовать код Terraform для потока резервного копирования AKS, выполните следующие скрипты:

Примечание.

Узнайте больше , как использовать примеры кодов Terraform для управления ресурсами Azure.

Создайте каталог, который можно использовать для тестирования примера кода Terraform и сделать его текущим каталогом.

Создайте файл с именем providers.tf и вставьте следующий код:

terraform {
  required_providers {
    azurerm = {
      source = "hashicorp/azurerm"
      version = "3.99.0"
    }
  }
}

provider "azurerm" {
   features {}
   subscription_id   = "<azure_subscription_id>"
   tenant_id = "<azure_subscription_tenant_id>"
}

Создайте файл с именем main.tf и вставьте следующий код:

 #Get Subscription and Tenant Id from Config

data "azurerm_client_config" "current" {
}

#Create a Resource Group where Backup Vault and AKS Cluster will be created
resource "azurerm_resource_group" "rg" {
  location = var.resource_group_location
  name     = var.resource_group_name
}

#Create a Resource Group where Storage Account and Snapshots related to backup will be created
resource "azurerm_resource_group" "backuprg" {
  location = var.backup_resource_group_location
  name = var.backup_resource_group_name
}

#Create an AKS Cluster 
resource "azurerm_kubernetes_cluster" "akscluster" {
  resource_group_name = azurerm_resource_group.rg.name
  name           = var.aks_cluster_name
  location       = azurerm_resource_group.rg.location
  dns_prefix     = var.dns_prefix

  identity {
    type = "SystemAssigned"
  }

  default_node_pool {
    name       = "agentpool"
    vm_size    = "Standard_D2_v2"
    node_count = var.node_count
  }

  network_profile {
    network_plugin    = "kubenet"
    load_balancer_sku = "standard"
  }

  depends_on = [azurerm_resource_group.rg,azurerm_resource_group.backuprg]
}

#Create a Backup Vault
resource "azurerm_data_protection_backup_vault" "backupvault" {
  name                = var.backupvault_name
  resource_group_name = resource.azurerm_resource_group.rg.name
  location            = resource.azurerm_resource_group.rg.location
  datastore_type      = var.datastore_type
  redundancy          = var.redundancy

  identity {
    type = "SystemAssigned"
  }
  depends_on = [azurerm_kubernetes_cluster.akscluster]
}

#Create a Backup Policy with 4 hourly backups and 7 day retention duration
resource "azurerm_data_protection_backup_policy_kubernetes_cluster" "policy" {
  name                = var.backuppolicy_name
  resource_group_name = var.resource_group_name
  vault_name          = var.backupvault_name

  backup_repeating_time_intervals = ["R/2024-04-14T06:33:16+00:00/PT4H"]
  default_retention_rule {
    life_cycle {
      duration        = "P7D"
      data_store_type = "OperationalStore"
    }
  }
depends_on = [resource.azurerm_data_protection_backup_vault.backupvault]
}

#Create a Trusted Access Role Binding between AKS Cluster and Backup Vault
resource "azurerm_kubernetes_cluster_trusted_access_role_binding" "trustedaccess" {
  kubernetes_cluster_id = azurerm_kubernetes_cluster.akscluster.id
  name                  = "backuptrustedaccess"
  roles                 = ["Microsoft.DataProtection/backupVaults/backup-operator"]
  source_resource_id    = azurerm_data_protection_backup_vault.backupvault.id
  depends_on = [resource.azurerm_data_protection_backup_vault.backupvault, azurerm_kubernetes_cluster.akscluster]
}

#Create a Backup Storage Account provided in input for Backup Extension Installation
resource "azurerm_storage_account" "backupsa" {
  name                     = "tfaksbackup1604"
  resource_group_name      = azurerm_resource_group.backuprg.name
  location                 = azurerm_resource_group.backuprg.location
  account_tier             = "Standard"
  account_replication_type = "LRS"
  depends_on = [azurerm_kubernetes_cluster_trusted_access_role_binding.trustedaccess]
}

#Create a Blob Container where backup items will stored
resource "azurerm_storage_container" "backupcontainer" {
  name                  = "tfbackup"
  storage_account_name  = azurerm_storage_account.backupsa.name
  container_access_type = "private"
  depends_on = [azurerm_storage_account.backupsa]
}

#Create Backup Extension in AKS Cluster
resource "azurerm_kubernetes_cluster_extension" "dataprotection" {
  name = var.backup_extension_name
  cluster_id = azurerm_kubernetes_cluster.akscluster.id
  extension_type = var.backup_extension_type
  configuration_settings = {
    "configuration.backupStorageLocation.bucket" = azurerm_storage_container.backupcontainer.name
     "configuration.backupStorageLocation.config.storageAccount" = azurerm_storage_account.backupsa.name
     "configuration.backupStorageLocation.config.resourceGroup" = azurerm_storage_account.backupsa.resource_group_name
     "configuration.backupStorageLocation.config.subscriptionId" =  data.azurerm_client_config.current.subscription_id
     "credentials.tenantId" = data.azurerm_client_config.current.tenant_id
     "configuration.backupStorageLocation.config.useAAD" = true
     "configuration.backupStorageLocation.config.storageAccountURI" = azurerm_storage_account.backupsa.primary_blob_endpoint
    }
  depends_on = [azurerm_storage_container.backupcontainer]
}

#Assign Role to Extension Identity over Storage Account
resource "azurerm_role_assignment" "extensionrole" {
  scope                = azurerm_storage_account.backupsa.id
  role_definition_name = "Storage Blob Data Contributor"
  principal_id         = azurerm_kubernetes_cluster_extension.dataprotection.aks_assigned_identity[0].principal_id
  depends_on = [azurerm_kubernetes_cluster_extension.dataprotection]
}

#Assign Role to Backup Vault over AKS Cluster
resource "azurerm_role_assignment" "vault_msi_read_on_cluster" {
  scope                = azurerm_kubernetes_cluster.akscluster.id
  role_definition_name = "Reader"
  principal_id         = azurerm_data_protection_backup_vault.backupvault.identity[0].principal_id
  depends_on = [azurerm_kubernetes_cluster.akscluster,resource.azurerm_data_protection_backup_vault.backupvault]
}

#Assign Role to Backup Vault over Snapshot Resource Group
resource "azurerm_role_assignment" "vault_msi_read_on_snap_rg" {
  scope                = azurerm_resource_group.backuprg.id
  role_definition_name = "Reader"
  principal_id         = azurerm_data_protection_backup_vault.backupvault.identity[0].principal_id
  depends_on = [azurerm_kubernetes_cluster.akscluster,resource.azurerm_data_protection_backup_vault.backupvault]
}

#Assign Role to AKS Cluster over Snapshot Resource Group
resource "azurerm_role_assignment" "cluster_msi_contributor_on_snap_rg" {
  scope                = azurerm_resource_group.backuprg.id
  role_definition_name = "Contributor"
  principal_id         = try(azurerm_kubernetes_cluster.akscluster.identity[0].principal_id,null)
  depends_on = [azurerm_kubernetes_cluster.akscluster,resource.azurerm_kubernetes_cluster.akscluster,resource.azurerm_resource_group.backuprg]
}

#Create Backup Instance for AKS Cluster
resource "azurerm_data_protection_backup_instance_kubernetes_cluster" "akstfbi" {
  name                         = "example"
  location                     = azurerm_resource_group.backuprg.location
  vault_id                     = azurerm_data_protection_backup_vault.backupvault.id
  kubernetes_cluster_id        = azurerm_kubernetes_cluster.akscluster.id
  snapshot_resource_group_name = azurerm_resource_group.backuprg.name
  backup_policy_id             = azurerm_data_protection_backup_policy_kubernetes_cluster.policy.id

  backup_datasource_parameters {
    excluded_namespaces              = []
    excluded_resource_types          = []
    cluster_scoped_resources_enabled = true
    included_namespaces              = []
    included_resource_types          = []
    label_selectors                  = []
    volume_snapshot_enabled          = true
  }

  depends_on = [
    resource.azurerm_data_protection_backup_vault.backupvault,
    azurerm_data_protection_backup_policy_kubernetes_cluster.policy,
    azurerm_role_assignment.extensionrole,
    azurerm_role_assignment.vault_msi_read_on_cluster,
    azurerm_role_assignment.vault_msi_read_on_snap_rg,
    azurerm_role_assignment.cluster_msi_contributor_on_snap_rg
  ]
}

Создайте файл с именем variables.tf и вставьте следующий код:

variable "aks_cluster_name" {
  type        = string
  default     = "Contoso_AKS_TF"
  description = "Name of the AKS Cluster."
}

variable "backup_extension_name" {
  type        = string
  default     = "azure-aks-backup"
  description = "Name of the AKS Cluster Extension."
}

variable "backup_extension_type" {
  type        = string
  default     = "microsoft.dataprotection.kubernetes"
  description = "Type of the AKS Cluster Extension."
}

variable "dns_prefix" {
  type        = string
  default     = "contoso-aks-dns-tf"
  description = "DNS Name of AKS Cluster made with Terraform"
}

variable "node_count" {
  type        = number
  description = "The initial quantity of nodes for the node pool."
  default     = 3
}

variable "resource_group_location" {
  type        = string
  default     = "eastus"
  description = "Location of the resource group."
}

variable "backup_resource_group_name" {
  type        = string
  default     = "Contoso_TF_Backup_RG"
  description = "Location of the resource group."
}

variable "backup_resource_group_location" {
  type        = string
  default     = "eastus"
  description = "Location of the resource group."
}

variable "resource_group_name" {
  type        = string
  default     = "Contoso_TF_RG"
  description = "Location of the resource group."
}

variable "cluster_id" {
  type        = string
  default     = "/subscriptions/c3d3eb0c-9ba7-4d4c-828e-cb6874714034/resourceGroups/Contoso_TF_RG/providers/Microsoft.ContainerService/managedClusters/Contoso_AKS_TF"
  description = "Location of the resource group."
}

variable "backupvault_name" {
  type        = string
  default     = "BackupVaultTF"
  description = "Name of the Backup Vault"
}

variable "datastore_type" {
  type        = string
  default     = "OperationalStore"
}

variable "redundancy" {
  type        = string
  default     = "LocallyRedundant"
}

variable "backuppolicy_name" {
  type        = string
  default     = "aksbackuppolicytfv1"
}

Создайте файл с именем outputs.tf и вставьте следующий код:

 output "aks_resource_group" {
   value = azurerm_resource_group.rg.name
 }

 output "snapshot_resource_group" {
   value = azurerm_resource_group.backuprg.name
 }

 output "kubernetes_cluster_name" {
   value = azurerm_kubernetes_cluster.akscluster.name
 }

 output "backup_vault_name" {
   value = azurerm_data_protection_backup_vault.backupvault.name
 }

 output "backup_instance_id" {
   value = azurerm_data_protection_backup_instance_kubernetes_cluster.akstfbi.id
 }

Инициализация Terraform

Запустите terraform init, чтобы инициализировать развертывание Terraform. Эта команда загружает провайдера Azure, необходимого для управления ресурсами Azure.

terraform init -upgrade

Основные моменты:

Параметр -upgrade обновляет необходимые модули поставщика до самой последней версии, которая соответствует ограничениям версии конфигурации.

Создайте план запуска Terraform

Чтобы создать план выполнения, выполните terraform plan.

terraform plan -out main.tfplan

Основные моменты:

Команда terraform plan создает план выполнения, но не выполняет его. Вместо этого она определяет, какие действия необходимы для создания конфигурации, заданной в файлах конфигурации. Этот шаблон позволяет проверить, соответствует ли план выполнения вашим ожиданиям, прежде чем вы начнете вносить изменения в фактические ресурсы.
Необязательный параметр -out позволяет указать выходной файл для плана. Использование параметра -out гарантирует, что проверяемый план полностью соответствует применяемому.

Применение плана выполнения Terraform

Выполните terraform apply, чтобы применить план выполнения к вашей облачной инфраструктуре.

terraform apply main.tfplan

Основные моменты:

Пример команды terraform apply предполагает, что вы ранее выполнили команду terraform plan -out main.tfplan.
Если для параметра -out указано другое имя файла, используйте то же имя в вызове к terraform apply.
Если вы не использовали параметр -out, вызовите terraform apply без параметров.

Устранение неполадок с Terraform в Azure

При использовании Terraform в Azure вы можете столкнуться с распространенными проблемами. Узнайте , как устранить неполадки.

Следующий шаг

Из этого краткого руководства вы узнали, как развернуть кластер Kubernetes, создать хранилище резервных копий и настроить резервное копирование для кластера Kubernetes.

Дополнительные сведения:

Обзор резервного копирования AKS. Восстановление кластера AKS с помощью Azure CLI. Как использовать Azure Backup для AKS.

Настройте резервное копирование на уровне элемента для кластера AKS.

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2026-01-09

Быстрый старт: Настройка хранилища резервных копий в кластер Службы Azure Kubernetes (AKS) с использованием Terraform

Предварительные условия

Вход в учетную запись Azure

Реализация кода Terraform

Инициализация Terraform

Создайте план запуска Terraform

Применение плана выполнения Terraform

Устранение неполадок с Terraform в Azure

Следующий шаг

Связанный контент

Обратная связь

Дополнительные ресурсы