Eseguire il backup di più macchine virtuali di SQL Server dall'insieme di credenziali di Servizi di ripristino
I database di SQL Server sono carichi di lavoro critici che richiedono un obiettivo del punto di ripristino (RPO) basso e la conservazione a lungo termine. È possibile eseguire il backup di database SQL Server in esecuzione nelle macchine virtuali (VM) di Azure usando Backup di Azure.
Questo articolo illustra come eseguire il backup di un database SQL Server in esecuzione in una macchina virtuale di Azure in un insieme di credenziali dei Servizi di ripristino di Backup di Azure.
In questo articolo si apprenderà come:
- Creare e configurare un insieme di credenziali.
- Individuare i database e configurare i backup.
- Configurare la protezione automatica per i database.
Nota
Per altre informazioni sulle configurazioni e sugli scenari supportati, vedere la matrice di supporto del backup di SQL.
Prerequisiti
Prima di eseguire il backup di un database di SQL Server, verificare i criteri seguenti:
- Identificare o creare un insieme di credenziali di Servizi di ripristino nella stessa area e nella stessa sottoscrizione della macchina virtuale che ospita l'istanza di SQL Server.
- Verificare che la macchina virtuale abbia connettività di rete.
- Assicurarsi che l'agente di macchine virtuali di Azure sia installato nella macchina virtuale.
- Assicurarsi che nella macchina virtuale sia installata la versione .NET 4.5.2 o successiva.
- Assicurarsi che i database di SQL Server seguano le linee guida per la denominazione dei database per Backup di Azure.
- Assicurarsi che la lunghezza combinata del nome della macchina virtuale di SQL Server e il nome del gruppo di risorse non superi 84 caratteri per le macchine virtuali di Azure Resource Manager (o 77 caratteri per le macchine virtuali classiche). Questa limitazione è dovuta al fatto che alcuni caratteri sono riservati dal servizio.
- Verificare che non siano abilitate altre soluzioni di backup per il database. Disabilitare tutti gli altri backup di SQL Server prima di effettuare il backup del database.
- Quando si usa SQL Server 2008 R2 o SQL Server 2012, è possibile che si verifichi il problema del fuso orario per il backup, come descritto qui. Assicurarsi di usare gli aggiornamenti cumulativi più recenti per evitare il problema correlato al fuso orario descritto in precedenza. Se l'applicazione degli aggiornamenti all'istanza di SQL Server nella macchina virtuale di Azure non è fattibile, disabilitare l'ora legale per il fuso orario nella macchina virtuale.
Nota
È possibile abilitare Backup di Azure per una VM di Azure e per un database SQL Server in esecuzione nella VM senza conflitto.
Stabilire la connettività di rete
Per tutte le operazioni, una macchina virtuale di SQL Server richiede la connettività al servizio Backup di Azure, Archiviazione di Azure e all'ID Microsoft Entra. Questa operazione può essere eseguita usando endpoint privati oppure consentendo l'accesso agli indirizzi IP pubblici o FQDN richiesti. Non consentire una connettività corretta ai servizi di Azure necessari può causare errori nelle operazioni quali l'individuazione del database, la configurazione del backup, l'esecuzione di backup e il ripristino dei dati.
La tabella seguente elenca le varie alternative che è possibile usare per stabilire la connettività:
| Opzione | Vantaggi | Svantaggi |
|---|---|---|
| Endpoint privati | Consentire i backup tramite indirizzi IP privati all'interno della rete virtuale Offerta di un controllo granulare lato rete e lato insieme di credenziali |
Costi standard per endpoint privati |
| Tag del servizio NSG | Più facile da gestire man mano che le modifiche all'intervallo vengono unite automaticamente Nessun costo aggiuntivo |
Può essere usato solo con gruppi di sicurezza di rete Accesso consentito all'intero servizio |
| Tag FQDN di Firewall di Azure | Gestione semplificata perché i FQDN necessari vengono gestiti automaticamente | Utilizzabile solo con Firewall di Azure |
| Accesso consentito a FQDN/IP del servizio | Senza costi aggiuntivi. Funziona con tutti i firewall e le appliance di sicurezza di rete. È anche possibile usare gli endpoint di servizio per Archiviazione e Microsoft Entra ID. Tuttavia, per Backup di Azure, è necessario assegnare l'accesso agli indirizzi IP/FQDN corrispondenti. |
È possibile accedere a un ampio set di indirizzi IP o FQDN. |
| Usare un proxy HTTP | Singolo punto di accesso Internet alle VM | Costi aggiuntivi per l'esecuzione di una VM con il software proxy |
Le sezioni seguenti forniscono altri dettagli sull'uso di queste opzioni.
Nota
È possibile usare gli script di test di connettività Backup di Azure per diagnosticare automaticamente i problemi di connettività di rete nell'ambiente Windows.
Endpoint privati
Gli endpoint privati consentono di connettersi in modo sicuro dai server all'interno di una rete virtuale nell'insieme di credenziali di Servizi di ripristino. L'endpoint privato usa un indirizzo IP dallo spazio indirizzi della rete virtuale per l'insieme di credenziali. Il traffico di rete tra le risorse all'interno della rete virtuale e l'insieme di credenziali si sposta attraverso la rete virtuale e un collegamento privato nella rete backbone Microsoft. In questo modo si elimina l'esposizione dalla rete Internet pubblica. Altre informazioni sugli endpoint privati per Backup di Azure sono disponibili qui.
Tag NSG
Se si usano gruppi di sicurezza di rete (NSG), usare il tag del servizio AzureBackup per consentire l'accesso in uscita a Backup di Azure. Oltre al tag Backup di Azure, è anche necessario consentire la connettività per l'autenticazione e il trasferimento dei dati creando regole del gruppo di sicurezza di rete simili per Microsoft Entra ID (AzureActiveDirectory) e Archiviazione di Azure(Archiviazione). I passaggi seguenti descrivono il processo di creazione di una regola per il tag di Backup di Azure:
In Tutti i servizi, passare a Gruppi di sicurezza di rete e selezionare il gruppo di sicurezza di rete.
In Impostazioni selezionare Regole di sicurezza in uscita.
Selezionare Aggiungi. Immettere tutti i dettagli necessari per la creazione di una nuova regola, come descritto nelle impostazioni delle regole di sicurezza. Assicurarsi che l'opzione Destinazione sia impostata su Tag del servizio e che l'opzione Tag del servizio di destinazione sia impostata su AzureBackup.
Selezionare Aggiungi per salvare la regola di sicurezza in uscita appena creata.
È possibile creare in modo analogo le regole di sicurezza in uscita del gruppo di sicurezza di rete per Archiviazione di Azure e Microsoft Entra ID.
Tag del Firewall di Azure
Se si usa Firewall di Azure, creare una regola dell'applicazione usando il tag FQDN AzureBackup Firewall di Azure. In questo modo si consente l'accesso in uscita a Backup di Azure.
Consentire l'accesso agli intervalli IP del servizio
Se si decide di consentire l'accesso agli IP del servizio, fare riferimento agli intervalli IP nel file JSON disponibile qui. È necessario consentire l'accesso agli indirizzi IP corrispondenti a Backup di Azure, Archiviazione di Azure e Microsoft Entra ID.
Accesso consentito a FQDN del servizio
È anche possibile usare gli FQDN seguenti per consentire l'accesso ai servizi richiesti dai server:
| Service | Nomi di dominio a cui accedere | Porti |
|---|---|---|
| Backup di Azure | *.backup.windowsazure.com |
443 |
| Archiviazione di Azure | *.blob.core.windows.net *.queue.core.windows.net *.blob.storage.azure.net |
443 |
| Azure AD | *.login.microsoft.com Consentire l'accesso agli FQDN nelle sezioni 56 e 59 come indicato in questo articolo |
443 Come applicabile |
Consentire la connettività per i server protetti da servizi di bilanciamento del carico interni
Quando si usa un servizio di bilanciamento del carico interno, è necessario consentire la connettività in uscita dalle macchine virtuali dietro il servizio di bilanciamento del carico interno per eseguire i backup. A tale scopo, è possibile usare una combinazione di servizi di bilanciamento del carico standard interni ed esterni per creare una connettività in uscita. Altre informazioni sulla configurazione per creare una configurazione in uscita solo per le macchine virtuali nel pool back-end del servizio di bilanciamento del carico interno.
Usare un server proxy HTTP per instradare il traffico
Quando si esegue il backup di un database SQL Server in una macchina virtuale di Azure, l'estensione di backup nella macchina virtuale usa le API HTTPS per inviare i comandi di gestione a Backup di Azure e i dati ad Archiviazione di Azure. L'estensione di backup usa anche Microsoft Entra ID per l'autenticazione. Eseguire il routing del traffico di estensione per il backup di questi tre servizi attraverso il proxy HTTP. Usare l'elenco di indirizzi IP e FQDN indicati in precedenza per consentire l'accesso ai servizi necessari. I server proxy autenticati non sono supportati.
Nota
Disabilitare il proxy per le comunicazioni localhost all'interno della macchina virtuale. Il proxy verrà rispettato per le comunicazioni in uscita dalla macchina virtuale SQL.
Linee guida per la denominazione di database per Backup di Azure
Evitare di usare gli elementi seguenti nei nomi di database:
- Spazi finali e iniziali
- Punti esclamativi finali (!)
- Parentesi quadre (])
- Punto e virgola (;)
- Barra (/)
- Percentuale (%)
La configurazione di Backup SQL non supporta le virgolette singole nel nome del database e causa un errore di distribuzione. Se è presente un database con virgolette singole, è consigliabile rinominare il database o adottare l'approccio di backup nativo.
L'alias per i caratteri non supportati è disponibile, ma è consigliabile evitare tali caratteri. Per altre informazioni, vedere Informazioni sul modello di dati del servizio tabelle.
Non sono supportati più database nella stessa istanza DI SQL con differenza di maiuscole e minuscole.
La modifica delle maiuscole e minuscole di un database SQL non è supportata dopo la configurazione della protezione.
Nota
L'operazione Configura protezione per i database con caratteri speciali, ad esempio {, ][-(=).,'}&;+'o /, nel nome non è supportata. È possibile modificare il nome del database o abilitare la protezione automatica, che può proteggere correttamente questi database.
Creare un insieme di credenziali di Servizi di ripristino
Un insieme di credenziali di Servizi di ripristino è un'entità di gestione che archivia i punti di ripristino creati nel tempo e fornisce un'interfaccia per l'esecuzione di operazioni correlate al backup. Queste operazioni includono l'esecuzione di backup su richiesta, l'esecuzione di ripristini e la creazione di criteri di backup.
Per creare un insieme di credenziali dei servizi di ripristino:
Accedere al portale di Azure.
Cercare Centro backup e quindi passare al dashboard Centro backup.
Nel riquadro Panoramica selezionare Insieme di credenziali.
Selezionare Insieme di credenziali di Servizi di ripristino>Continua.
Nel riquadro Insieme di credenziali di Servizi di ripristino immettere i valori seguenti:
Sottoscrizione: selezionare la sottoscrizione da usare. Se si è un membro di una sola sottoscrizione, verrà visualizzato tale nome. Se non si è certi della sottoscrizione da usare, usare la sottoscrizione predefinita. Sono disponibili più opzioni solo se l'account aziendale o dell'istituto di istruzione è associato a più sottoscrizioni di Azure.
Gruppo di risorse: usare un gruppo di risorse esistente oppure crearne uno nuovo. Per visualizzare un elenco dei gruppi di risorse disponibili nella sottoscrizione, selezionare Usa esistente e quindi selezionare una risorsa nell'elenco a discesa. Per creare un nuovo gruppo di risorse, selezionare Crea nuovo e quindi immettere il nome. Per altre informazioni sui gruppi di risorse, vedere Panoramica di Azure Resource Manager.
Nome dell'insieme di credenziali: immettere un nome descrittivo per identificare l'insieme di credenziali. Il nome deve essere univoco nella sottoscrizione di Azure. Specificare un nome con un minimo di 2 caratteri e un massimo di 50 caratteri. Il nome deve iniziare con una lettera e deve contenere solo lettere, numeri e trattini.
Area: selezionare l'area geografica per l'insieme di credenziali. Per poter creare un insieme di credenziali per proteggere qualsiasi origine dati, l'insieme di credenziali deve trovarsi nella stessa area dell'origine dati.
Importante
In caso di dubbi sulla posizione dell'origine dati, chiudere la finestra. Passare all'elenco delle risorse nel portale. Se si hanno origini dati in più aree, creare un insieme di credenziali di Servizi di ripristino per ogni area. Creare l'insieme di credenziali nella prima località prima di crearne uno in un'altra. Non è necessario specificare gli account di archiviazione per archiviare i dati di backup. Questo aspetto viene gestito automaticamente dall'insieme di credenziali di Servizi di ripristino e da Backup di Azure.
Dopo avere specificato i valori, selezionare Rivedi e crea.
Per completare la creazione dell'insieme di credenziali di Servizi di ripristino, selezionare Crea.
La creazione dell'insieme di credenziali di Servizi di ripristino può richiedere del tempo. Monitorare le notifiche di stato nell'area Notifiche in alto a destra. Al termine della creazione, l'insieme di credenziali verrà visualizzato nell'elenco degli insiemi di credenziali dei servizi di ripristino. Se l'insieme di credenziali non viene visualizzato, selezionare Aggiorna.
Nota
Backup di Azure supporta ora insiemi di credenziali non modificabili che consentono di assicurarsi che dopo la creazione i punti di ripristino non possano essere eliminati prima della scadenza in base ai criteri di backup. È possibile rendere irreversibile l'immutabilità per la massima protezione dei dati di backup da varie minacce, tra cui attacchi ransomware e attori malintenzionati. Altre informazioni.
Individuare i database SQL Server
Come individuare i database in esecuzione in una macchina virtuale:
Nel portale di Azure passare al Centro backup e fare clic su +Backup.
Selezionare SQL nella macchina virtuale di Azure come tipo di origine dati, selezionare l'insieme di credenziali di Servizi di ripristino creato e quindi fare clic su Continua.
In Obiettivo di backup>Individuare i database nelle macchine virtuali selezionare Avvia individuazione per cercare le macchine virtuali non protette nella sottoscrizione. Questa ricerca può richiedere del tempo, a seconda del numero di macchine virtuali non protette nella sottoscrizione.
Le VM non protette verranno visualizzate nell'elenco dopo l'individuazione, elencate per nome e gruppo di risorse.
Se una VM non è elencata come previsto, verificare se ne è già stato eseguito il backup in un insieme di credenziali.
Più macchine virtuali possono avere lo stesso nome, ma in questo caso appartengono a gruppi di risorse differenti.
Nell'elenco delle macchine virtuali selezionare la macchina virtuale che esegue il database >di SQL Server Individua database.
Tenere traccia dell'individuazione dei database in Notifiche. Il tempo necessario per questa azione dipende dal numero di database della macchina virtuale. Quando i database selezionati sono stati individuati, viene visualizzato un messaggio di conferma.
Backup di Azure individua tutti i database SQL Server presenti nella macchina virtuale. Durante l'individuazione vengono eseguiti gli elementi seguenti in background:
Backup di Azure registra la VM con l'insieme di credenziali per il backup del carico di lavoro. Tutti i database presenti nella VM registrata possono essere sottoposti a backup solo in questo insieme di credenziali.
Backup di Azure installa l'estensione AzureBackupWindowsWorkload nella macchina virtuale. Nessun agente è installato in un database SQL.
Backup di Azure crea l'account del servizio NT Service\AzureWLBackupPluginSvc nella macchina virtuale.
- Tutte le operazioni di backup e ripristino usano l'account del servizio.
- NT Service\AzureWLBackupPluginSvc richiede le autorizzazioni sysadmin SQL. Tutte le macchine virtuali SQL Server create nel Marketplace vengono fornite con SqlIaaSExtension installato. L'estensione AzureBackupWindowsWorkload usa l'estensione SQLIaaSExtension per ottenere automaticamente le autorizzazioni richieste.
Se la VM non è stata creata dal Marketplace o se si sta usando SQL 2008 e 2008 R2, la VM può non aver installato SqlIaaSExtension e l'operazione di individuazione ha esito negativo con il messaggio di errore UserErrorSQLNoSysAdminMembership. Per risolvere questo problema, seguire le istruzioni riportate in Impostare le autorizzazioni VM.
Configurare il backup
In Obiettivo>di backup Passaggio 2: Configurare il backup selezionare Configura backup.
Selezionare Aggiungi risorse per visualizzare tutti i gruppi di disponibilità registrati e le istanze autonome di SQL Server.
Nella schermata Seleziona elementi di backup selezionare la freccia a sinistra di una riga per espandere l'elenco di tutti i database non protetti nell'istanza o nel gruppo di disponibilità AlwaysOn.
Scegliere tutti i database da proteggere, quindi selezionare OK.
Per ottimizzare i carichi di backup, Backup di Azure imposta il numero massimo di database in un processo di backup su 50.
Per proteggere più di 50 database, configurare più backup.
Per abilitare l'intera istanza o il gruppo di disponibilità Always On, nell'elenco a discesa PROTEZIONE AUTOMATICA selezionare ON (ATTIVA), quindi selezionare OK.
Nota
La funzionalità di protezione automatica non solo abilita la protezione per tutti i database esistenti in un'unica operazione, ma protegge anche automaticamente i nuovi database aggiunti a tale istanza o gruppo di disponibilità.
Definire i criteri di backup. Eseguire una delle operazioni seguenti:
Selezionare i criteri predefiniti come HourlyLogBackup.
Scegliere un criterio di backup creato in precedenza per SQL.
Definire un nuovo criterio basato sull'obiettivo del punto di ripristino (RPO) e sull'intervallo di conservazione.
Selezionare Abilita backup per inviare l'operazione Configura protezione e tenere traccia dello stato di configurazione nell'area Notifiche del portale.
Creare un criterio di backup
Un criterio di backup definisce quando vengono acquisiti i backup e per quanto tempo vengono conservati.
- Un criterio viene creato a livello di insieme di credenziali.
- Più insiemi di credenziali possono usare gli stessi criteri di backup, ma è necessario applicare i criteri di backup a ogni insieme di credenziali.
- Quando si crea un criterio di backup, il backup completo giornaliero è l'impostazione predefinita.
- È possibile aggiungere un backup differenziale, ma solo se si configura l'esecuzione settimanale del backup completo.
- Informazioni sui vari tipi criteri di backup.
Per creare un criterio di backup:
Passare al Centro backup e fare clic su +Criteri.
Selezionare SQL Server nella macchina virtuale di Azure come tipo di origine dati, selezionare l'insieme di credenziali in cui creare i criteri e quindi fare clic su Continua.
In Nome criterio immettere un nome per il nuovo criterio.
Selezionare il collegamento Modifica corrispondente in Backup completo per modificare le impostazioni predefinite.
- Selezionare una frequenza di backup. Scegliere Giornaliero o Settimanale.
- Per Giornaliero, scegliere l'ora e il fuso orario per l'inizio del processo di backup. Se si sceglie di eseguire backup completi giornalieri, non è possibile creare backup differenziali.
In INTERVALLO DI CONSERVAZIONE per impostazione predefinita sono selezionate tutte le opzioni. Deselezionare gli eventuali limiti di intervallo di conservazione indesiderati e impostare gli intervalli da usare.
- Il periodo di conservazione minimo di qualsiasi tipo di backup (completo, differenziale e del log) è di sette giorni.
- I punti di recupero vengono contrassegnati per la conservazione, in base al relativo intervallo. Ad esempio, se si seleziona un backup completo giornaliero, viene attivato solo un backup completo ogni giorno.
- Il backup del giorno specifico viene contrassegnato e conservato in base all'intervallo di conservazione settimanale e alla conservazione settimanale.
- Gli intervalli di conservazione mensile e annuale si comportano allo stesso modo.
Selezionare OK per accettare l'impostazione per i backup completi.
Selezionare il collegamento Modifica corrispondente a Backup differenziale per modificare le impostazioni predefinite.
- Nel criterio Backup differenziale selezionare Abilita per accedere alle opzioni di frequenza e conservazione.
- È possibile attivare solo un backup differenziale al giorno. Non è possibile attivare un backup differenziale nello stesso giorno di un backup completo.
- I backup differenziali possono essere conservati al massimo per 180 giorni.
- Il periodo di conservazione differenziale del backup non può essere maggiore di quello del backup completo, perché i backup differenziali dipendono dai backup completi per il ripristino.
- Il backup differenziale non è supportato per il database master.
Selezionare il collegamento Modifica corrispondente al backup del log per modificare le impostazioni predefinite
- In Backup del log selezionare Abilita e quindi impostare le opzioni di frequenza e conservazione.
- I backup del log possono verificarsi ogni 15 minuti ed essere conservati per un massimo di 35 giorni.
- Se il database si trova nel modello di recupero con registrazione minima, la pianificazione del backup del log per tale database verrà sospesa e quindi non verrà attivato alcun backup del log.
- Se il modello di recupero del database passa da Completo a Semplice, i backup del log verranno sospesi entro 24 ore dalla modifica nel modello di recupero. Analogamente, se il modello di recupero cambia da Simple, implicando che i backup del log possono ora essere supportati per il database, le pianificazioni dei backup del log verranno abilitate entro 24 ore dalla modifica nel modello di recupero.
Nel menu Criterio di backup, scegliere se abilitare la compressione dei backup SQL o meno. L'opzione è disabilitata per impostazione predefinita. Se abilitata, SQL Server invierà un flusso di backup compresso al VDI. Backup di Azure esegue l'override delle impostazioni predefinite a livello di istanza con la clausola COMPRESSION/NO_COMPRESSION a seconda del valore di questo controllo.
Dopo aver completato le modifiche ai criteri di backup, selezionare OK.
Nota
Ogni backup del log viene concatenato al backup completo precedente per formare una catena di recupero. Questo backup completo verrà mantenuto fino alla scadenza della conservazione dell'ultimo backup del log. Questo potrebbe significare che il backup completo viene mantenuto per un periodo aggiuntivo per assicurarsi che tutti i log possano essere ripristinati. Si supponga di avere un backup completo settimanale, un log differenziale giornaliero e 2 ore. Vengono tutti conservati per 30 giorni. Tuttavia, l'intero settimanale può essere effettivamente pulito/eliminato solo dopo che il backup completo successivo è disponibile, ovvero dopo 30 + 7 giorni. Ad esempio, un backup completo settimanale viene eseguito il 16 novembre. In base ai criteri di conservazione, deve essere conservato fino al 16 dicembre. L'ultimo backup del log per questa versione completa si verifica prima del successivo completo in programma, il 22 novembre. Questo log è disponibile fino al 22 dicembre e fino a quel momento non sarà possibile eliminare il backup completo del 16 novembre. Il backup completo del 16 novembre, quindi, viene mantenuto fino al 22 dicembre.
Abilitare la protezione automatica
È possibile abilitare la protezione automatica per eseguire automaticamente il backup di tutti i database esistenti e futuri a un'istanza autonoma di SQL Server o a un gruppo di disponibilità Always On.
- Non esiste alcun limite al numero di database che è possibile selezionare per la protezione automatica alla volta. L'individuazione viene in genere eseguita ogni otto ore. La protezione automatica di un database appena individuato verrà attivata entro 32 ore. Tuttavia, è possibile individuare e proteggere immediatamente i nuovi database se si esegue manualmente un'individuazione selezionando l'opzione Rileva database .
- Se l'operazione di protezione automatica nel database appena individuato ha esito negativo, verrà ritentata tre volte. Se tutti e tre i tentativi hanno esito negativo, il database non verrà protetto.
- Non è possibile proteggere o escludere in modo selettivo i database dalla protezione in un'istanza nel momento in cui si abilita la protezione automatica.
- Se l'istanza include già alcuni database protetti, questi rimarranno protetti in base ai rispettivi criteri anche dopo l'attivazione della protezione automatica. Tutti i database non protetti aggiunti in un secondo momento avranno un solo criterio definito al momento dell'abilitazione della protezione automatica, elencati in Configura backup. Tuttavia, è possibile modificare in un secondo momento il criterio associato a un database protetto automaticamente.
- Se l'operazione Configura protezione per il database appena individuato ha esito negativo, non genererà un avviso. Tuttavia, è possibile trovare un processo di backup non riuscito nella pagina Processi di backup .
Per abilitare la protezione automatica:
In Elementi per backup selezionare l'istanza per la quale si vuole abilitare la protezione automatica.
Selezionare l'elenco a discesa in PROTEZIONE AUTOMATICA, scegliere ON (ATTIVA), quindi selezionare OK.
Il backup è configurato per tutti i database insieme e può essere monitorato in Processi di backup.
Se è necessario disabilitare la protezione automatica, selezionare il nome dell'istanza in Configura backup, quindi selezionare Disabilita protezione automatica per l'istanza. Tutti i database continueranno a essere sottoposti a backup, ma i database futuri non verranno protetti automaticamente.
Passaggi successivi
Scopri come: