チュートリアル: テナント間復元を構成し、テナント間でデータを復元する (プレビュー)

このチュートリアルでは、ソースボールトを別のMicrosoft Entraテナント内のターゲットボールトにマッピングします。 その後、Vault Recovery Pointをターゲットのテナントに復元し、不要になったらマッピングを削除します。

Important

Azure Backupのクロステナント復元は現在プレビュー段階です。 Microsoft Azure プレビューの追加使用条件には、ベータ版、プレビュー段階の、またはまだ一般提供されていない Azure 機能に適用される追加の法的条件が含まれています。

このチュートリアルでは、次の操作を行います。

• クロステナント復元に必要な役割を割り当ててください。
• テナント間のコンテナー マッピングを作成し、検証します。
• 元のテナントからターゲットのテナントへデータを復元します。
• ヴォールトマッピングを削除してください。

Prerequisites

開始する前に、次の点を確認してください。

• ソース コンテナー内のサポート対象ワークロードに対する ボールト化されたリカバリ ポイント。 ソースとターゲットのボールトは同じ領域になければなりません。 サポートされているワークロードとリージョンについては、Azure Backupのクロステナント復元を参照してください。 テナントをまたいで復元できるのは、コンテナー バックアップのみであることにご注意ください。
• ターゲット テナント内にあり、ターゲット コンテナーに関連付けられているリソース ガード。 リソースガードでクロステナント復元クリティカル操作を有効にしてください。 この構成を設定するには、「リソース ガードを作成」、「リソース ガードを使用して保護する操作を選択」、および「ボールトで MUA を有効にする」を参照してください。
• 両方のテナントで役割を割り当てる許可。 詳細については、Azure ロールを割り当てる手順を参照してください。

必要なロールを割り当てる

クロステナントリストアは2つのペルソナを使用します。 以下の表は、各ペルソナが必要とするAzureの組み込みロールを一覧にしています。 各ロールの詳細については、Backup Contributor と Backup MUA Operato を参照してください。

マッピング作成ツールは、コンテナーのマッピングを作成します:

Scope	必要な役割
ソース コンテナー	バックアップ共同作成者
ターゲット コンテナー	CTRクリエイター
ターゲットのヴォールトに関連するリソースガード	バックアップ MUA オペレーター以上

マッピングおよび復元オペレーターは、マッピングを表示および削除し、保護されたアイテムと回復ポイントを参照し、ジョブを監視し、復元を開始します:

Scope	必要な役割
ターゲット コンテナー	CTR寄稿者、バックアップ寄稿者
ターゲットのヴォールトに関連するリソースガード	バックアップ MUA オペレーター以上

ソーステナントのゲストユーザーが、必要な役割を適切な範囲で一時的に割り当てれば、マッピング作成者として機能できます。 組織のアクセス管理ポリシーに従い、マッピング作成後に一時的な役割割り当てを削除してください。

前のテーブルでリストされているスコープで各役割を割り当てます。 手順については、「Azure ポータルを使用してAzureロールを割り当てる」を参照してください。 その他の方法については、Azure PowerShell を使用して Azure ロールを割り当てる または Azure CLI を参照してください。 CTRロールに含まれる権限については、「 CTRロール内の権限」を参照してください。

テナント間ヴォールトマッピングを作成する

通常の操作中にマッピングを作成・検証し、ソース テナントにまだアクセスできるうちに行ってください。 マッピングを作成する前にそのアクセス権を失うと、ターゲットテナントから新しいマッピングを作成することはできません。

セットアップ時にターゲットテナントとボールトを選択するには、マッピング作成者にターゲットテナントで割り当てられた権限が必要です。 マッピングを作成しても、他のソース・ボールトユーザーが対象テナントやそのボールトを列挙する権限は与えられません。 設定後、マッピングの詳細は「 マッピングの検証」で説明されているように、ターゲットのボールトからのみ閲覧できます。

1. ソーステナントでソースボールトを開きます。

2. [プロパティ] を選択します。

3. サイバーリカバリー設定のクロス テナント復元(プレビュー)行で「詳細表示」を選択してください。

   

4. 設定を選択します。

5. 「 クロステナント復元の設定 」ページで、マッピング名を入力し、ターゲットテナントを選択します。

6. 「ボールトの選択」ウィンドウで対象のボールトを選択します。

   

7. 設定を検証してください。

8. 確認と構成を選択し、次にマッピングの設定を選択します。

9. プロンプトが表示された場合は、その操作を承認してください。 リソース ガードが対象のコンテナーを保護しているため、そのリソース ガード上で Backup MUA オペレーターのロール以上の権限が必要です。

マッピングを検証

テナント間マッピングやマッピングされたアイテムの詳細は、意図的にソーステナントやソースのボールトからは見えません。 マッピングを作成しても、ソース vault ユーザーが対象テナントやその vault を列挙する権限は与えられません。 したがって、ソース ヴォールトへのアクセスだけでは、テナント間マッピングを通じて復旧先が明らかにならず、ソース ヴォールトが侵害された場合でも復旧計画の発見を制限するのに役立ちます。

マッピング作成者が設定時にターゲットを選択する能力は、ターゲットのボールトとそのリソースガードに対する明示的な権限に依存しており、ソースボールトへのアクセスだけではありません。 設定後、認可ユーザーはマッピングを閲覧・管理し、マッピングされたアイテムを閲覧し、ターゲットのボールトから復元を行います。 この動作は Recovery Services コンテナーと Backup コンテナーの両方に当てはまります。

ターゲットのヴォールト内では、以下のいずれかの経路を通じてクロステナントマッピングされたヴォールトを見つけることができます。

• > クロス テナントの復元>詳細を見る>対応付けられた項目を見る。
• バックアップ項目>クロステナントのマッピングされたボールト。

ヴォールトプロパティを通じてマッピングを確認するために:

1. ターゲット テナントでターゲット ボールトを開いてください。
2. [プロパティ] を選択します。
3. 「 クロステナント復元」で「 詳細を見る」を選択してください。
4. 「マッピング済みアイテムの表示」を選択し、マッピングの状態が「設定済み」かどうかを確認します。

また、バックアップ項目に移動し、テナント間でマッピングされたコンテナーを選択することで、マッピングされたコンテナーを確認することもできます。

後でマッピングを確認するには、どちらのパスでも構いません。 マッピング名、Vault の詳細、マッピング状況を確認できます。 対象のコンテナーで CTR 共同作成者のロールが必要です。

テナント間でデータを復元する

復元は保管庫に保管されたリカバリーポイントからのみ、しかも別の場所に限定されます。 この手続きには、事前に作成し確認したマッピングが必要です。 もしソース テナントへのアクセスを失った場合は、既存のマッピングとターゲット側で必要なロールを使用してください。 復元を行うためにソーステナントにサインインする必要はありません。

1. ターゲット テナントでターゲット ボールトを開いてください。

2. 保護アイテムの中からバックアップアイテムを選択してください。

3. コマンド バーで、テナント間マッピングされたコンテナーを選択します。

   

4. マッピングされたコンテナーを選択します。

5. 復元したいアイテムについては「 復元」を選択してください。

   

6. 回復ポイントを選択します。

7. ターゲットテナントの復元設定を設定してください。

8. 復元を始めてください。 プロンプトが表示された場合は、その操作を承認してください。

9. 復元状況を監視するには、対象のコンテナーでバックアップ ジョブを開きます。 詳細については、「Monitor Azure Backup jobs」をご覧ください。

Azure VMを大規模に復元するには、ソース保護アイテムリストの複数の項目のチェックボックスをオンにし、コマンドバーで「Bulk Restore (Preview)」を選択します。 プロンプトに従って設定し、復元を開始してください。

ワークロード固有の復元設定については、以下をご覧ください:

• Azure VM
• Azure Files
• SQL Server in Azure VMs
• SAP HANA in Azure VMs
• SAP ASE in Azure VMs
• Azure Database for PostgreSQL - フレキシブル サーバー
• Azure Blobs
• Azure Cosmos DB
• Azure Data Lake Storage
• AKSクラスター

リソースをクリーンアップする

クロステナント復元が不要になったらマッピングを削除してください。 マッピングが存在する限り、ソースのボールト、ターゲットのボールト、またはソース ボールト内の保護された項目は削除できません。

マッピングを削除する前に、ターゲット ボールトで CTR Contributor ロールを、関連付けられた Resource Guard で Backup MUA Operator ロール以上を保持していることを確認してください。

1. ターゲットのコンテナーを開きます。
2. 「テナント間復元」を選択し、「マップされた項目を表示」を選択してください。
3. マッピングを選択し、削除を選択します。
4. 操作を確認します。 プロンプトが表示された場合は、その操作を承認してください。

クロステナント復元のトラブルシューティング

• クロステナント復元オプションは見えません。 正しいテナントにサインインしていること、およびソース ボールトで Backup Contributor ロールが付与されていることを確認してください。
• マッピングは作成できません。 次のことを確認します。
  • ソースのコンテナーにおいて、「Backup Contributor」のロールが割り当てられています。
  • ターゲットのボールトにはCTRクリエイターがあります。
  • ターゲットのボールトは削除されていないリソースガードに関連付けられており、クロステナント復元クリティカル操作が有効になっています。
  • あなたはリソース ガードでバックアップ MUA オペレーターのロールを持っています。
  • 役割割り当ては伝播し、正しい範囲で割り当てられています。 詳細については、「Azure RBAC のトラブルシューティング」を参照してください。
• マッピングの閲覧や保護対象のアイテムの閲覧はできません。 CTR Contributor ロールを持っていること、少なくとも1つのマッピングが存在すること、そしてマッピングの状態が正常であることを確認しましょう。
• 復元は始められない。 ワークロードタイプとリカバリーポイントタイプ(ボールトのみ)がサポートされていること、そしてマッピング状態が正常であることを確認しましょう。
• 保護されたアイテム、ソースボールト、ターゲットのボールトは削除できません。 クロステナントの復元マッピングで参照されているか確認してください。 まずマッピングを削除してください。

CTR役割における権限

CTRクリエイターおよびCTRコントリビューターの役割には、ヴォールトに関する以下のアクションが含まれます。

CTRクリエイター

アクション	Description
Microsoft.RecoveryServices/Vaults/read	保管庫を表示します。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/write	ヴォールトマッピングを作成します。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/read	コンテナーのマッピングを読み取ります。

CTR Contributor

アクション	Description
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappingStatus/action	マッピング状況を取得
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/read	マッピングのリストを読んでください。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupTriggerValidateOperation/action	検証操作をトリガーします。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupValidateOperation/action	マッピング操作を検証します
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/remove/action	マッピングを削除します。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupJobs/read	すべてのバックアップ ジョブを表示します。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupUsageSummaries/read	バックアップの使用状況の概要を見る。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/vaultCredentials/generate/action	ボールト認証情報を生成します。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/vaultCredentials/operationResults/read	Vault 認証操作結果を表示。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/vaultCredentials/operationStatus/read	コンテナーの資格情報の状態を確認します。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupFabrics/protectionContainers/protectedItems/read	保護された項目を表示します。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupFabrics/protectionContainers/protectedItems/operationResults/read	保護されたアイテムの操作結果を表示
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupFabrics/protectionContainers/protectedItems/operationsStatus/read	保護された項目の操作状況を確認する。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupFabrics/protectionContainers/protectedItems/recoveryPoints/read	回復ポイントを表示。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupFabrics/protectionContainers/protectedItems/recoveryPoints/restore/action	リカバリ ポイントを復元します。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupProtectedItems/read	バックアップで保護された項目を表示。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupValidateOperationResults/read	検証操作の結果を表示します。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupValidateOperationsStatuses/read	検証処理の状態を確認します。

関連するコンテンツ

• Azure Backupのクロステナント復元とは何ですか?
• Resource Guard を使用した複数ユーザーの認可
• ロールベースのアクセス制御Azure使用してバックアップを管理する