安装备份服务组件并配置权限

方式一：使用onectl安装组件并配置权限（推荐）

onectl是阿里云注册集群的命令行工具，可以帮您一键安装和配置包括migrate-controller在内的Addon组件。ACK专有版集群同样可以借助onectl快速开启集群备份功能。更多信息，请参见使用onectl配置注册集群。

步骤一：安装onctl

1. 执行以下命令，安装onectl。
   支持macOS和Linux系统安装。

   curl https://ack-one.oss-cn-hangzhou.aliyuncs.com/onectl/get-onectl.sh |bash

2. 执行以下命令，验证onectl是否安装成功。

   onectl version

   预期输出：

   onectl: v1.0.0+435cb69
     BuildDate: 2023-02-16T07:55:15Z
     GitCommit: 435cb69c9efdf369f036e3f5864c07ae871a793d
     GitTreeState: clean
     GoVersion: go1.18.9
     Compiler: gc
     Platform: linux/amd64

步骤二：为RAM用户授权

阿里云账号管理员首先需要完成RAM用户的授权操作，该授权用于访问migrate-controller备份服务组件相关的云资源。

您可以通过以下两种方式为RAM用户授权。

步骤三：配置onectl

1. 执行以下命令，配置onectl。

   配置内容包括AK、RAM用户名、集群ID和集群的KubeConfig路径信息。

   onectl configure

   预期输出：

   Configuring profile 'default' ...
   Access Key Id [LTAI5tRf5ipP1h81PL****]: 
   Access Key Secret [****]: 
   Default SubAccount Username [xxxx]: 
   Default Cluster Id (ClusterId of ACK Regitry Cluster) [c696eaff87cd44d2ea8c18cd54e6****]: 
   Default Kubeconfig Path (default is ~/.kube/config) []: 
   Saving profile[default] ...
   Done.

   参数	说明
   Access Key Id	RAM用户的AccessKey信息。onectl使用AK的两个用途如下： 调用OpenAPI查询和创建自定义权限策略、授予RAM用户自定义权限策略以及安装migrate-controller组件。 您安装的migrate-controller组件将使用该AK访问云上资源，确保此RAM用户的AK为最小RAM权限，并妥善保管好AK信息。
   Access Key Secret
   SubAccount Username	RAM用户的用户名。例如，您RAM用户的登录名称为shuwei@18807*****.onaliyun.com，此处SubAccount Username为shuwei。
   Cluster Id	注册集群的Cluster ID。
   Kubeconfig Path	IDC自建集群的KubeConfig路径，默认为~/.kube/config。

步骤四：使用onectl一键安装migrate-controller组件并配置OSS与HBR权限

onectl addon install migrate-controller

Addon migrate-controller installed

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "hbr:CreateVault",
                "hbr:CreateBackupJob",
                "hbr:DescribeVaults",
                "hbr:DescribeBackupJobs2",
                "hbr:DescribeRestoreJobs",
                "hbr:SearchHistoricalSnapshots",
                "hbr:CreateRestoreJob",
                "hbr:AddContainerCluster",
                "hbr:DescribeContainerCluster",
                "hbr:DescribeRestoreJobs2"
            ],
            "Resource": "*"
        },
        {
            "Action": [
                "oss:PutObject",
                "oss:GetObject",
                "oss:DeleteObject",
                "oss:GetBucket",
                "oss:ListObjects",
                "oss:ListBuckets"
            ],
            "Resource": [
                "acs:oss:*:*:mybackups",
                "acs:oss:*:*:mybackups/*"
            ],
            "Effect": "Allow"
        }
    ]
}

方式二：手动安装组件并配置权限

步骤一：安装migrate-controller备份服务组件

安装migrate-controller备份服务组件。具体操作，请参见步骤一：安装migrate-controller备份服务组件。

步骤二：配置HBR及OSS权限

您需要为专有版集群或注册集群创建RAM用户，为RAM用户添加访问云资源权限，然后创建AccessKey。

1. 创建RAM用户。具体操作，请参见创建RAM用户。

2. 为OSS与HBR创建如下自定义权限策略。具体操作，请参见通过脚本编辑模式创建自定义权限策略。

   • OSS权限策略内容

     说明

     • 替换以下代码中mybackups为您的OSS名称。

     • 更多OSS细粒度授权配置信息，请参见通过RAM对OSS进行权限管理。

     • 如果您想要所有OSS的权限，请按以下示例设置权限策略：

       {
           "Version": "1",
           "Statement": [
               {
                   "Action": [
                       "oss:PutObject",
                       "oss:GetObject",
                       "oss:DeleteObject",
                       "oss:GetBucket",
                       "oss:ListObjects",
                       "oss:ListBuckets",
                       "oss:GetBucketStat"
                   ],
                   "Resource": [
                       "*"
                   ],
                   "Effect": "Allow"
               }
           ]
       }

     • 如果您只想要指定OSS的读写权限，请按以下示例设置权限策略：

       {
           "Version": "1",
           "Statement": [
               {
                   "Action": [
                       "oss:PutObject",
                       "oss:GetObject",
                       "oss:DeleteObject",
                       "oss:GetBucket",
                       "oss:ListObjects",
                       "oss:ListBuckets", 
                       "oss:GetBucketStat"
                   ],
                   "Resource": [
                       "acs:oss:*:*:mybackups",
                       "acs:oss:*:*:mybackups/*"
                   ],
                   "Effect": "Allow"
               }
           ]
       }

   • HBR权限策略内容

     {
         "Version": "1",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Action": [
                     "hbr:CreateVault",
                     "hbr:CreateBackupJob",
                     "hbr:DescribeVaults",
                     "hbr:DescribeBackupJobs2",
                     "hbr:DescribeRestoreJobs",
                     "hbr:SearchHistoricalSnapshots",
                     "hbr:CreateRestoreJob",
                     "hbr:AddContainerCluster",
                     "hbr:DescribeContainerCluster",
                     "hbr:DescribeRestoreJobs2"
                 ],
                 "Resource": "*"
             }
         ]
     }

3. 为RAM用户添加OSS和HBR权限。具体操作，请参见为RAM用户授权。

4. 为RAM用户创建AccessKey。具体操作，请参见获取AccessKey。

5. 在专有版集群或注册集群中创建Secret。

   为了保证您的AccessKey信息只在您的专有版集群或注册集群内安全使用，您需要先在专有版集群或注册集群中使用AccessKey信息部署一个名为alibaba-addon-secret的Secret资源，以降低泄露风险。

   • 执行以下命令，创建命名空间csdr。

     kubectl create ns csdr

   • 执行以下命令，创建名为alibaba-addon-secret的Secret资源。

     kubectl -n csdr create secret generic alibaba-addon-secret --from-literal='access-key-id=<your AccessKey ID>' --from-literal='access-key-secret=<your AccessKey Secret>'

     您需要将上述代码中<your AccessKey ID>和<your AccessKey Secret>替换为您在上一步获取的AccessKey信息。

（可选）步骤三：配置指向注册集群与OSS同一地域的OSS内网网段的路由

已通过CEN、高速通道、专线、VPN等方式与云上VPC互通的注册集群，为提高备份数据的拉取速度，当注册集群与OSS处于同一地域时，备份中心会自动选择以内网方式访问OSS域名，此时，您需要配置指向该地域OSS内网网段的路由。

• 关于线下IDC接入云上VPC的相关内容，请参见接入方式介绍。

• 关于OSS内网域名与VIP网段对照表，请参见OSS内网域名与VIP网段对照表。