教學：設定跨租戶還原，並在不同租戶之間還原資料（預覽版）

在本教學課程中，您會將來源保存庫對應到不同 Microsoft Entra 租用戶中的目標保存庫。 接著你將保存庫中的復原點還原到目標租戶，並在不再需要時刪除映射。

Important

Azure 備份 的跨租戶還原目前處於預覽階段。 Microsoft Azure 預覽版的補充使用規定包含適用於 Beta 版、預覽版或尚未發行為一般可用性的 Azure 功能的其他法律條款。

在本教學課程中，您會：

• 指派跨租戶還原所需的角色。
• 建立並驗證跨租戶保險庫映射。
• 將來源租戶的資料還原到目標租戶。
• 刪除保存庫對應。

Prerequisites

開始之前，請確定您已具備：

• 來源保存庫中受支援工作負載的保存庫復原點 。 來源與目標保險庫必須位於同一區域。 關於支援的工作負載與區域，請參見 Azure 備份 的跨租戶還原。 請注意，只有保管庫中的備份可以跨租戶還原。
• 目標租用戶中的資源防護機制，且與目標保存庫相關聯。 啟用資源守護上的跨租戶還原關鍵操作。 要設定此配置，請參見 建立資源守護、 選擇使用資源守護保護的操作，以及 在保險庫啟用 MUA。
• 允許在兩個租戶中分配角色。 如需詳細資訊，請參閱指派 Azure 角色的步驟。

指派所需的角色

跨租用戶還原會使用兩種角色。 以下表格列出每個 Persona 所需的 Azure 內建角色。 如需角色詳細資訊，請參閱備份參與者和備份 MUA 操作員。

對應建立者會建立保存庫對應：

Scope	所需角色
來源保存庫	備份貢獻者
目標保存庫	CTR 創作者
與目標保存庫相關聯的 Resource Guard	備份 MUA 操作員或更高權限

映射與還原操作員 檢視並刪除映射、瀏覽受保護項目與復原點、監控工作，並開始還原：

Scope	所需角色
目標保存庫	CTR 貢獻者，備用貢獻者
與目標保存庫相關聯的 Resource Guard	備份 MUA 操作員或更高權限

如果你在適當的範圍內暫時指派所需角色，來源租戶的訪客使用者可以擔任映射建立者。 建立對應後，依照貴組織的存取管理政策移除臨時角色指派。

在前述表格所列的各個範圍層級指派每個角色。 相關步驟請參見 使用 Azure portal 指派 Azure 角色。 其他方法請參考 Assign Azure roles using Azure PowerShell 或 Azure CLI。 關於 CTR 角色所包含的權限，請參見 CTR 角色中的權限。

建立跨租用戶保存庫對應

在正常操作中建立並驗證映射，且你仍能存取來源租戶。 如果你在建立映射前失去了該存取權限，就無法僅從目標租戶建立新的映射。

在設定時選擇目標租戶和保存庫，需要對應建立者在目標租戶中指派的權限。 建立映射不會讓其他來源保存庫使用者能夠枚舉目標租用戶或其保存庫。 設定完成後，映射細節僅能從目標保存庫看到，詳見 驗證映射。

1. 在來源租用戶中，開啟來源保存庫。

2. 選取 屬性。

3. 在 網路安全復原設定中，於 跨租用戶還原（預覽） 資料列選取 檢視詳細資料。

   

4. 選擇設定。

5. 在 「配置跨租戶還原」 頁面，輸入映射名稱，然後選擇目標租戶。

6. 在 選擇保險庫 面板中，選擇目標保險庫。

   

7. 驗證設定。

8. 選取檢閱 + 設定，然後選取設定對應。

9. 如果系統提示您，請授權操作。 由於資源防護機制會保護目標保存庫，您需要在該資源防護機制上具備備份 MUA 操作員角色或更高權限。

驗證對應

跨租用戶對應與已對應項目詳細資料刻意不從來源租用戶或來源保存庫顯示。 建立映射並不代表來源保存庫使用者有權枚舉目標租用戶或其保存庫。 因此，僅僅存取來源保險庫並不會透過跨租戶映射揭示復原目的地，這有助於限制在來源保險庫被入侵時發現復原計畫的可能性。

映射建立者在設定時選擇目標的能力取決於目標保險庫及其資源守護的明確權限，而非僅僅是對來源保險庫的存取權限。 設定完成後，授權使用者可檢視並管理映射、瀏覽映射項目，並從目標保存庫執行還原。 此行為適用於復原服務保存庫與備份保存庫。

在目標保險庫中，你可以透過以下任一路徑找到跨租戶映射的保險庫：

• 屬性>跨租用戶還原>查看詳細資料>查看已對應項目。
• 備份項目>跨租用戶對應的保存庫。

要透過保險庫屬性驗證映射：

1. 在目標租用戶中，開啟目標保存庫。
2. 選取 屬性。
3. 在 跨租戶還原中，選擇 查看詳情。
4. 選擇 檢視映射項目，然後確認映射狀態為 已設定。

你也可以點到 「備份物品」，然後選擇 跨租戶映射保險庫 來查看映射的保險庫。

之後可使用任一路徑檢視對應。 你可以查看映射名稱、保險庫細節及映射狀態。 您需要在目標保存庫上具備 CTR 參與者角色。

跨租戶還原資料

你只能從保存庫中的復原點還原，且只能還原到替代位置。 這個程序需要你事先建立並驗證的對應。 若失去來源租戶存取權，請使用現有的映射及目標端所需角色。 你不需要登入來源租戶來執行還原。

1. 在目標租用戶中，開啟目標保存庫。

2. 在 受保護物品中，選擇 備份項目。

3. 在命令列中，選取 跨租戶對應保存庫。

   

4. 選取對應的保存庫。

5. 對於你想要還原的項目，請選擇 還原。

   

6. 選取復原點。

7. 為目標租戶設定還原設定。

8. 開始還原。 如果系統提示您，請授權操作。

9. 要監控還原過程，請在目標保存庫中開啟備份工作。 欲了解更多資訊，請參閱 Monitor Azure 備份 jobs。

若要大規模還原 Azure 虛擬機，請在來源保護項目列表中勾選多個項目的勾選框，然後在指令列選擇「批量還原（預覽）」。 依照指示設定並開始還原。

關於工作負載專屬的還原設定，請參見：

• Azure VMs
• Azure 檔案儲存體
• Azure VMs 中的 SQL Server
• SAP Hana in Azure VMs
• SAP ASE in Azure VMs
• 適用於 PostgreSQL 的 Azure 資料庫 - 彈性伺服器
• Azure Blob
• Azure Cosmos DB
• Azure Data Lake Storage
• AKS 叢集

清理資源

當你不再需要跨租戶還原時，就刪除映射。 雖然存在對應，但你無法刪除來源保存庫、目標保存庫或來源保存庫中受保護的項目。

刪除對應之前，請確認您在目標保存庫上具備 CTR 參與者角色，並在相關聯的資源防護機制上具備 備份 MUA 操作員角色或更高權限。

1. 開啟目標保存庫。
2. 選擇 跨租戶還原，然後選擇 檢視映射項目。
3. 選擇映射，然後選擇 刪除。
4. 確認操作。 如果系統提示您，請授權操作。

排除跨租戶還原問題

• 你看不到跨租戶還原的選項。 確認您已登入正確的租用戶，且在來源保存庫上具有備份參與者角色。
• 你無法建立映射。 請確認：
  • 您在來源保存庫上具有備份參與者角色。
  • 目標保存庫中有 CTR Creator。
  • 目標保險庫會與一個未被刪除且啟用跨租戶還原關鍵操作的資源守護相關聯。
  • 你在資源守護者中擔任備用 MUA 操作員角色。
  • 角色指派已傳播，並在正確的範圍指派。 如需詳細資訊，請參閱 Azure RBAC 疑難排解。
• 你無法查看對應或瀏覽受保護的項目。 確認你有 CTR 貢獻者角色，至少有一個映射存在，且映射狀態良好。
• 您無法啟動還原。 確認工作負載類型與恢復點類型（僅限保存庫）是否支援，且映射狀態正常。
• 你無法刪除受保護的項目、來源保險庫或目標保險庫。 檢查跨租戶還原映射是否參考該項目。 請先刪除對應關係。

CTR 角色中的權限

CTR Creator 與 CTR 參與者角色包含下列對保存庫的動作。

CTR 創作者

Action	Description
Microsoft.RecoveryServices/Vaults/read	查看保險庫。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/write	建立保存庫對應。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/read	讀取保存庫對應。

CTR 貢獻者

Action	Description
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappingStatus/action	擷取對應狀態。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/read	閱讀對應清單。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupTriggerValidateOperation/action	觸發驗證操作。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupValidateOperation/action	驗證對應作業。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/remove/action	刪除對應。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupJobs/read	查看備份作業。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupUsageSummaries/read	檢視備份使用量摘要。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/vaultCredentials/generate/action	產生保存庫認證。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/vaultCredentials/operationResults/read	查看保險庫憑證操作結果。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/vaultCredentials/operationStatus/read	查看保險庫憑證操作狀態。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupFabrics/protectionContainers/protectedItems/read	查看受保護項目。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupFabrics/protectionContainers/protectedItems/operationResults/read	查看受保護項目操作結果。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupFabrics/protectionContainers/protectedItems/operationsStatus/read	查看受保護物品的操作狀態。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupFabrics/protectionContainers/protectedItems/recoveryPoints/read	查看恢復點。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupFabrics/protectionContainers/protectedItems/recoveryPoints/restore/action	還原復原點。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupProtectedItems/read	查看受保護的備份項目。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupValidateOperationResults/read	查看驗證操作結果。
Microsoft.RecoveryServices/Vaults/backupCrossTenantVaultMappings/backupValidateOperationsStatuses/read	查看驗證操作狀態。

相關內容

• 什麼是 Azure 備份 的跨租戶還原？
• 使用 Resource Guard 進行多使用者授權
• 使用 Azure 角色型存取控制管理備份