Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Backup vaults para copias de seguridad inmutables y permanentes

Configura una backup vault

La backup vault es un recurso regional administrado por Google que proporciona almacenamiento aislado, inmutable e imborrable para las copias de seguridad. Organiza los datos en una jerarquía de vaults, fuentes de datos y copias de seguridad, lo que protege los datos contra la eliminación accidental o maliciosa a través de períodos de retención obligatorios y el aislamiento de la identidad a nivel del proyecto.

En este documento, se explica cómo funcionan los almacenes de copias de seguridad, incluido el modelo de recursos jerárquico, las cargas de trabajo admitidas, los modelos de copias de seguridad, la compatibilidad de ubicaciones, la disponibilidad y los requisitos de nomenclatura.

Jerarquía de recursos

Los datos dentro de Backup and DR se organizan en una jerarquía de tres niveles dentro de la bóveda de copias de seguridad:

Backup vault: un contenedor de nivel superior que aplica políticas de retención mínimas globales.
Fuente de datos: Es un recurso secundario que representa una entidad protegida específica (por ejemplo, una instancia de Compute Engine). El sistema crea este archivo automáticamente en la primera copia de seguridad.
Backup: Es un recurso secundario de una fuente de datos que representa una copia de seguridad discreta con un punto de recuperación específico.

En el siguiente diagrama, se muestra el modelo de recursos de la bóveda de copias de seguridad:

Es el modelo de recurso de la backup vault. — Modelo de recurso de backup vault.

Limitaciones

En esta página, se describen las bóvedas de copias de seguridad para los recursos administrados a través de la consola deGoogle Cloud (como Compute Engine o Cloud SQL). Si usas la consola de administración de dispositivos para cargas de trabajo como Oracle o Google Cloud VMware Engine, consulta Descripción general de las bóvedas de copias de seguridad administradas desde la consola de administración de dispositivos.
Los clústeres de AlloyDB y las instancias de Filestore en bóvedas de copias de seguridad no son compatibles con las regiones múltiples.
Backup and DR no impone ninguna restricción en las ubicaciones de destino compatibles cuando se restablece una carga de trabajo desde un backup vault.
Es posible que se apliquen tarifas de transferencia de red según las ubicaciones de tu backup vault y la carga de trabajo de origen. Para obtener más información, consulta los precios de Backup and DR.

Recursos admitidos

Tipo de carga de trabajo	Administración
Instancia de Compute Engine	Consola deGoogle Cloud
Disco de Compute Engine	Consola deGoogle Cloud
Instancia de Filestore	Consola deGoogle Cloud
Instancia de Cloud SQL	Consola deGoogle Cloud
Clúster de AlloyDB	Consola deGoogle Cloud
Google Cloud VMware Engine, base de datos de Oracle y base de datos de SQL Server	Consola de administración de dispositivos

Modelos de copia de seguridad para los recursos

	Modelo centralizado	Modelo descentralizado
Google Cloud console	Consolida la administración de copias de seguridad creando backup vaults y planes de copias de seguridad en un proyecto de administrador central. Los administradores pueden usar estos planes administrados de forma centralizada para proteger recursos en varios proyectos de servicio o usar permisos de IAM para delegar el acceso al plan de copias de seguridad a los propietarios de las aplicaciones.	Aísla la administración de copias de seguridad creando un backup vault y un plan de copia de seguridad independientes dentro de cada proyecto. Este enfoque es ideal para las organizaciones descentralizadas en las que los equipos de aplicaciones individuales son responsables de crear copias de seguridad de sus propios recursos.
Consola de administración de dispositivos	Consolida la administración de copias de seguridad implementando la consola de administración de dispositivos y creando backup vaults en un proyecto de administrador central. Los administradores configuran políticas de copias de seguridad en la consola de administración central para proteger recursos, como las VMs de Google Cloud VMware Engine, en varios proyectos de servicio.	Aísla la administración de copias de seguridad implementando una consola de administración de dispositivos y un backup vault independientes para cada proyecto o línea de negocios. Este enfoque es ideal para las organizaciones descentralizadas en las que las responsabilidades de administración de copias de seguridad se dividen entre varios equipos.

Ubicaciones admitidas de la backup vault

Puedes crear una backup vault en la misma región que la carga de trabajo de origen (regional), en una región diferente de la carga de trabajo de origen (entre regiones) o en varias regiones (multirregional).

Regiones y regiones cruzadas admitidas

Puedes crear backup vaults en las siguientes regiones y regiones cruzadas:

Área geográfica	Nombre de la región	Descripción de la región
Norteamérica
	`northamerica-northeast1` ^*	Montreal	CO₂ bajo
	`northamerica-northeast2`	Toronto	CO₂ bajo
	`us-central1`	Iowa	CO₂ bajo
	`us-east1`	Carolina del Sur
	`us-east4`	Virginia del Norte
	`us-east5`	Columbus
	`us-south1`	Dallas	CO₂ bajo
	`us-west1`	Oregón	CO₂ bajo
	`us-west2`	Los Ángeles
	`us-west3`	Salt Lake City
	`us-west4`	Las Vegas
	`northamerica-south1` ^*	Querétaro
Sudamérica
	`southamerica-east1`	São Paulo	CO₂ bajo
	`southamerica-west1`	Santiago	CO₂ bajo
Europa
	`europe-central2`	Varsovia	CO₂ bajo
	`europe-north1`	Finlandia	CO₂ bajo
	`europe-north2`	Estocolmo	CO₂ bajo
	`europe-southwest1`	Madrid	CO₂ bajo
	`europe-west1`	Bélgica	CO₂ bajo
	`europe-west2`	Londres	CO₂ bajo
	`europe-west3`	Fráncfort
	`europe-west4`	Países Bajos	CO₂ bajo
	`europe-west6`	Zúrich	CO₂ bajo
	`europe-west8`	Milán	CO₂ bajo
	`europe-west9`	París	CO₂ bajo
	`europe-west10`	Berlín
	`europe-west12`	Turín	CO₂ bajo
Oriente Medio
	`me-central1`	Doha
	`me-central2`	Dammam
	`me-west1`	Israel
África
	`africa-south1`	Johannesburgo
Asia-Pacífico
	`asia-east1`	Taiwán
	`asia-east2`	Hong Kong
	`asia-northeast1`	Tokio
	`asia-northeast2` ^*	Osaka
	`asia-northeast3`	Seúl
	`asia-southeast1`	Singapur
	`asia-southeast2`	Yakarta
	`australia-southeast1`	Sídney
	`australia-southeast2`	Melbourne
India
	`asia-south1`	Bombay
	`asia-south2`	Delhi

^* Querétaro (northamerica-south1), Montreal (northamerica-northeast1) y Osaka (asia-northeast2) no admiten la separación de zonas. Esto significa que las múltiples zonas dentro de cada una de estas regiones pueden no estar ubicadas en campus de centros de datos físicamente separados. Por lo tanto, un solo evento de desastre físico localizado podría afectar varias zonas dentro de la misma región, lo que aumentaría el riesgo de pérdida de datos en comparación con las regiones que admiten la separación de zonas.

Multirregiones admitidas

Puedes crear vaults de copias de seguridad en las siguientes multirregiones:

Nombre de la multirregión	Descripción
`ASIA`	Centros de datos en Asia
`EU`	Centros de datos en la Unión Europea
`US`	Centros de datos en Estados Unidos

Compatibilidad de la ubicación de la carga de trabajo

En la siguiente tabla, se describen las ubicaciones de bóvedas de copias de seguridad compatibles para cada carga de trabajo admitida cuando se usan bóvedas de copias de seguridad regionales y entre regiones. Ten en cuenta que los planes de creación de copias de seguridad en la consola de Google Cloud deben crearse en la misma región que la carga de trabajo de origen.

Carga de trabajo	La bóveda de copias de seguridad debe estar en la misma región que la carga de trabajo de origen.	Asistencia regional	Compatibilidad multirregional	Compatibilidad interregional
Instancia de Compute Engine	No
Disco de Compute Engine	No
Instancia de Cloud SQL	Sí
Clúster de AlloyDB	Sí
Instancia de Filestore	No
Google Cloud VMware Engine, base de datos de Oracle y base de datos de SQL Server	No

Compatibilidad multirregional

Para usar varias regiones, se deben cumplir los siguientes requisitos:

Si una carga de trabajo admite backup vaults multirregionales, la ubicación de la carga de trabajo de origen debe ser compatible con la ubicación del backup vault multirregional.
Solo puedes crear copias de seguridad de los recursos en regiones que compartan el mismo prefijo. Por ejemplo, los recursos en regiones con el prefijo asia solo pueden crear copias de seguridad en la multirregión asia.

En la siguiente tabla, se describen las ubicaciones compatibles de los backup vaults para cada carga de trabajo admitida cuando se usan backup vaults multirregionales:

Tipo de carga de trabajo	¿Admite el uso de backup vaults multirregionales?	Regiones múltiples admitidas de la backup vault
Instancia de Compute Engine		`asia`, `eu`, `us`
Disco de Compute Engine		`asia`, `eu`, `us`
Instancia de Filestore		N/A
Instancia de Cloud SQL		`asia`, `eu`, `us`
Clúster de AlloyDB		N/A
Google Cloud VMware Engine, base de datos de Oracle y base de datos de SQL Server		N/A

Disponibilidad

Las backup vaults creadas en ubicaciones regionales y entre regiones proporcionan resiliencia ante una interrupción de una sola zona. Los datos de copia de seguridad se almacenan de manera redundante en al menos dos zonas separadas.

Las bóvedas de copias de seguridad creadas en ubicaciones multirregionales proporcionan resiliencia ante una interrupción en una sola región. Los datos de copia de seguridad se almacenan de manera redundante en al menos dos regiones separadas.

Comparar las backup vaults multirregionales y entre regiones

Criterios	Copias de seguridad multirregionales	Copias de seguridad entre regiones
Creación de copias de seguridad	Google lo automatiza en dos regiones dentro de un continente.	Autonomía para definir de forma explícita una región para crear la copia de seguridad
Caso de uso	Alta disponibilidad y simplicidad operativa	Cumplimiento estricto, leyes de residencia de datos o sitios de recuperación ante desastres específicos, dentro y fuera de los límites regionales de la fuente
Administración	Baja sobrecarga Una sola bóveda, balanceo automatizado	Sobrecarga media. Requiere configurar un par de objetivos específico.
Claves de encriptación administradas por el cliente (CMEK)	La bóveda de copias de seguridad multirregional debe usar la CMEK de la misma región que la bóveda de copias de seguridad.	La backup vault interregional debe usar la CMEK de la misma región que la backup vault.
Implicaciones de costos	Cargos por carga y descarga multirregionales, cuando corresponda Cargos de almacenamiento de copias de seguridad para la bóveda multirregional. Cargo de administración.	Cargos por transferencia de datos entre regiones Cargo por almacenamiento de copias de seguridad. Cargo de administración.
Cargas de trabajo admitidas	Instancias de Compute Engine Discos de Compute Engine Instancias de Cloud SQL	Instancias de Compute Engine Discos de Compute Engine Instancias de Filestore

Nombres de las backup vaults

Los nombres de las bóvedas de copias de seguridad deben cumplir con los siguientes requisitos:

Los nombres de las bóvedas de copias de seguridad solo pueden contener letras en minúscula, caracteres numéricos y guiones (-). No se permiten espacios.
Los nombres de las bóvedas de copias de seguridad deben comenzar y terminar con un número o una letra.
Los nombres de las bóvedas de copias de seguridad deben contener entre 3 y 63 caracteres. Los nombres que contienen puntos pueden tener hasta 222 caracteres, pero cada componente separado por un punto no puede tener más de 63 caracteres.
Los nombres de las bóvedas de copias de seguridad no se pueden representar como una dirección IP en notación decimal punteada. Por ejemplo, 192.0.2.255.

Evitar la eliminación de la copia de seguridad

Para proteger tus datos de la eliminación accidental o maliciosa, tú (el administrador) configuras un período de retención obligatorio para tu backup vault. Una vez configuradas, las copias de seguridad son completamente inmutables: ni tú, ni ningún otro usuario, ni Google pueden borrarlas manualmente hasta que transcurra el período especificado.

Puedes controlar la retención obligatoria con tres parámetros de configuración principales de Vault:

Retención mínima aplicada: Cuando creas una vault, debes establecer un período de retención de referencia (entre 1 día y 99 años). Esto crea un precio mínimo obligatorio para toda la bóveda:

No se puede borrar ninguna copia de seguridad antes de que transcurra este tiempo. Cualquier plan de copia de seguridad que almacene datos en esta bóveda debe tener un período de retención de copias de seguridad igual o superior a este mínimo.

Heredar la retención de la regla de copia de seguridad: En lugar de depender únicamente del mínimo de referencia de la vault, puedes configurar la vault para que adopte el período de retención exacto definido en tus planes de copias de seguridad específicos. Debes habilitar este parámetro de configuración durante la creación de la vault.

Si el mínimo de tu bóveda es de 3 días, pero la retención de tu plan de copias de seguridad es de 7 días, la copia de seguridad se bloqueará durante los 7 días completos. Resultado: Se evita por completo la eliminación manual. Las copias de seguridad solo se borran automáticamente una vez que vence la duración específica del plan de copia de seguridad.
Bloquear el período de retención aplicado: Para cumplir con requisitos estrictos, puedes bloquear de forma permanente la configuración de retención mínima aplicada.

Cuando estableces un bloqueo, seleccionas una fecha de entrada en vigencia. Antes de la fecha de entrada en vigencia, puedes ajustar el período de retención mínimo hacia arriba o hacia abajo para corregir errores. Después de la fecha de entrada en vigencia, nadie (ni siquiera el propietario del proyecto) puede reducir el período de retención. Solo puedes aumentarlo.

Restricción de acceso a la backup vault

El parámetro de configuración de restricciones de acceso de una backup vault te permite controlar las fuentes desde las que se pueden crear copias de seguridad en una backup vault o restablecer datos desde ella. Este parámetro de configuración determina los tipos de recursos que puedes almacenar en un backup vault.

Puedes seleccionar uno de los siguientes parámetros de configuración de restricción de acceso para una bóveda de copias de seguridad. Ten en cuenta que este parámetro de configuración es permanente y no se puede cambiar.

Restringir el acceso a la organización actual: Las operaciones de copia de seguridad y restablecimiento solo se admiten dentro de tu organización actual. Esta selección hace que la bóveda de copias de seguridad sea compatible con los recursos que se administran a través de la consola deGoogle Cloud , como las instancias de Compute Engine, pero no con los recursos que se administran a través de la consola de administración del dispositivo.
Restringir el acceso al proyecto actual: Las operaciones de copia de seguridad y restablecimiento solo se admiten en tu proyecto actual. Esta selección hace que la bóveda de copias de seguridad sea compatible con los recursos administrados a través de la consola deGoogle Cloud (por ejemplo, instancias de Compute Engine), pero no con los recursos administrados a través de la consola de administración del dispositivo.
Restringir el acceso a la organización actual y permitir el acceso sin restricciones a los dispositivos de copia de seguridad: En el caso de los recursos administrados a través de la consola de Google Cloud , las operaciones de copia de seguridad y restablecimiento solo se admiten dentro de tu organización actual. También se admiten los recursos administrados a través de la consola de administración del dispositivo (por ejemplo, las VMs de Google Cloud VMware Engine), pero las operaciones de copia de seguridad y restablecimiento de esos recursos no se limitan a tu organización actual. Esta selección hace que la bóveda de copias de seguridad sea compatible con los recursos que se administran a través de la consola deGoogle Cloud y con los recursos que se administran a través de la consola de administración del dispositivo.
Permitir acceso sin restricciones: Permite operaciones de copia de seguridad y restablecimiento hacia o desde cualquier proyecto u organización. Esta selección hace que la bóveda de copias de seguridad sea compatible con los recursos que se administran a través de la consola de Google Cloud y con los recursos que se administran a través de la consola de administración del dispositivo.

Encriptación

De forma predeterminada, Google Cloud encripta los datos automáticamente cuando están en reposo con Google-owned and Google-managed encryption keys. Si tienes requisitos normativos o de cumplimiento específicos relacionados con las claves que protegen los datos, puedes usar claves de encriptación administradas por el cliente (CMEK) para tus copias de seguridad. Consulta Claves de encriptación administradas por el cliente (CMEK).