如何在Azure portal还原Azure VM 数据

本文介绍如何从存储在 Azure Backup 恢复服务保管库中的恢复点还原Azure VM 数据。

还原选项

Azure Backup提供了几种还原 VM 的方法。

存储帐户

有关存储帐户的一些细节：

• 创建 VM：创建新 VM 时，在从 Vault-Standard 恢复点还原磁盘为 4 TB 的 VM 或包含 < 16 个磁盘<的 VM 时，也会复制 VHD 文件。 然后将这些文件移动到托管存储。 为避免额外费用，请从暂存存储帐户中删除 VHD。
• 还原磁盘：VM 还原作业生成一个模板，可以下载该模板并用于指定自定义 VM 设置。 从 Vault-Standard 恢复点还原托管磁盘 4 TB或包含 16 个磁盘的虚拟机时，或还原非托管磁盘时，也会复制 VHD 文件。 然后将这些文件移动到托管存储。 为避免额外费用，请从暂存存储帐户中删除 VHD。
• Replace disk：从 < 4 TB 的 Vault-Standard 恢复点替换托管磁盘时 或包含 < 16 个磁盘的 VM，则会在指定的storage帐户中创建 VHD 文件。 更换后，源 VM 磁盘保留在指定的资源组中，VHD 保留在storage帐户中;可以根据需要删除或保留源磁盘和 VHD。
• 存储帐户位置：存储帐户必须与保险库位于同一区域。 仅显示这些帐户。 如果在该位置中没有存储帐户，则需要创建一个。
• Storage类型：由于为了成本优化排除了所需的Premium Storage帐户，因此不支持Blob Storage帐户。
• 冗余存储：支持区域冗余存储（ZRS）。 帐户的复制和冗余信息显示在帐户名之后的括号内。
• Premium storage：
  • 还原非高级虚拟机时，不支持高级存储的账户。
  • 还原托管 VM 时，不支持使用网络规则配置的高级存储帐户。

开始之前

若要还原 VM（创建新 VM），请确保还原 VM 时具有正确的 Azure 基于角色的访问控制（Azure RBAC）权限。

如果没有权限，则可以还原磁盘，然后在该磁盘还原后，可以使用模板（在执行还原操作的过程中生成）来创建新的 VM。

选择还原点

1. 在Azure portal中导航到 backup 中心，然后从 Overview 选项卡中单击 restore。

   

2. 选择 Azure Virtual machines 作为 Datasource 类型，然后选择备份实例。

   

3. 选择 VM，然后单击“继续”。

4. 在出现的下一个屏幕中，选择要用于恢复的还原点。

   

选择 VM 还原配置

1. 在“还原虚拟机”中，选择一个还原选项：

   • 新建：若要创建新的 VM，请使用此选项。 可以使用简单的设置创建 VM，或还原某个磁盘并创建自定义的 VM。

   • 替换现有项：若要替换现有 VM 上的磁盘，请使用此选项。

     

2. 为选定的还原选项指定设置。

创建 VM

作为还原选项之一，你可以使用基本的设置从还原点快速创建 VM。

1. 在“还原虚拟机”“新建”>“还原类型”中，选择“创建新的虚拟机”。

2. 在“虚拟机名称”中，指定订阅中不存在的 VM。

3. 在“资源组”中，为新 VM 选择现有的资源组，或者创建具有全局唯一名称的新资源组。 如果分配已存在的名称，Azure为组分配与 VM 相同的名称。

4. 在 Virtual network 中，选择要在其中放置 VM 的 VNet。 显示与保管库位于同一位置的订阅关联的所有 VNet，这些 VNet 处于活动状态且未附加任何关联组。 选择子网。

   默认已选择第一个子网。

5. 在暂存位置中，指定 VM 的存储帐户。 了解详细信息。

   

6. 从 Subscription 下拉列表中选择所需的订阅，将Azure VM 还原到其他订阅。

   Azure Backup现在支持跨订阅还原（CSR），现在可以使用恢复点将Azure VM 从默认订阅还原到另一个 VM。 默认订阅是恢复点可用的订阅。

   以下屏幕截图列出了拥有权限的租户下的所有订阅，使你能够将Azure VM 还原到另一个订阅。

   

7. 从 Availability Zone 下拉列表中选择所需的区域，将固定到任何区域的Azure VM 还原到其他区域。

   Azure Backup现在支持跨区域还原（CZR），现在可以将Azure VM 从默认区域还原到任何可用区域。 默认区域是运行Azure VM 的区域。

   以下屏幕截图列出了能够将AZURE VM 还原到另一个区域的所有区域。

   

   注意

   Azure Backup 仅在保管库具有 ZRS 或 CRR 冗余时支持 CZR。

8. 选择“还原”来触发还原操作。

还原磁盘

作为还原选项之一，你可以从还原点创建磁盘。 然后可使用该磁盘执行以下操作之一：

• 使用执行还原操作期间生成的模板来自定义设置，并触发 VM 部署。 编辑默认模板设置，然后提交模板进行 VM 部署。
• 将已还原的磁盘附加到现有 VM。
• 使用 PowerShell 从还原的磁盘创建新的 VM。

1. 在 “还原配置>创建新>还原类型”下，选择“ 还原磁盘”。

2. 在 “资源组”下，为还原的磁盘选择现有资源组，或者创建一个具有全局唯一名称的新资源组。

3. 在暂存位置上，指定存储帐户。 模板文件存储在此处，在某些情况下还会创建 VHD 文件。 了解详细信息。

   

4. 从“订阅”下拉列表中选择所需的订阅，以将 VM 磁盘还原到不同的订阅。

   Azure Backup现在支持跨订阅还原（CSR）。 与Azure VM 一样，现在可以使用恢复点将Azure VM 磁盘从默认订阅还原到另一个磁盘。 默认订阅是恢复点可用的订阅。

5. 从“可用性区域”下拉列表中选择所需的区域，将 VM 磁盘还原到不同的区域。

   Azure Backup现在支持跨区域还原（CZR）。 与Azure VM 一样，现在可以将Azure VM 磁盘从默认区域还原到任何可用区域。 默认区域是 VM 磁盘所在的区域。

   注意

   Azure Backup 仅在保管库具有 ZRS 或 CRR 冗余时支持 CZR。

6. 选择“还原”来触发还原操作。

当虚拟机使用托管磁盘并选择创建虚拟机选项时，Azure 备份不会使用指定的存储帐户。 对于 Restore disks 和 Instant Restore，则storage帐户仅用于存储模板。 托管磁盘是在指定的资源组中创建的。 当虚拟机使用非托管磁盘时，它们将作为 blob 还原到存储帐户。

从 Vault-Standard 恢复点还原托管 VM 的磁盘时，它会还原托管磁盘和Azure Resource Manager （ARM） 模板，以及暂存位置中磁盘的 VHD 文件。 如果从即时恢复点还原磁盘，它将仅还原托管磁盘和ARM模板。

使用模板自定义还原 VM

还原磁盘后，使用执行还原操作期间生成的模板进行自定义并创建新的 VM：

1. 转到“恢复服务保管库”，然后选择“监控”“备份作业”>。

2. 在“备份作业”窗格中，选择相关的还原作业。

3. 在“还原”中，选择“部署模板”来启动模板部署 。

   

   注意

   对于已将 允许存储帐户密钥访问 设置为禁用的共享访问签名（SAS），当您选择 部署模板 时，模板将不会部署。

4. 若要自定义模板中提供的 VM 设置，请选择“编辑模板”。 若要添加其他自定义项，请选择“编辑参数”。

   • 了解更多关于从自定义模板部署资源的信息。
   • 了解更多关于模板编写的信息。

   

5. 输入 VM 的自定义值，接受条款和条件，然后选择“购买”。

   

替换现有磁盘

作为还原选项之一，你可以使用选定的还原点替换现有的 VM 磁盘。 查看所有还原选项。

1. 在“还原配置”中，选择“替换现有项” 。

2. 在“还原类型”中，选择“替换一个或多个磁盘”。 这是用于替换现有 VM 磁盘的还原点。

3. 在暂存位置中，指定存储帐户。 在某些情况下，此处会创建 VHD 文件。 了解详细信息。

   

跨区域还原

作为 restore 选项之一，跨区域还原（CRR）允许在次要区域中还原Azure VM，这是一个Azure配对区域。

要开始使用此功能，请阅读“开始之前”部分。

若要查看是否启用了 CRR，请按照配置跨区域还原中的说明进行操作。

查看次要区域中的备份项

如果启用了 CRR，则可以查看次要区域中的备份项。

1. 在门户中，转到“恢复服务保管库” 和“备份项”>。
2. 选择“次要区域”以查看次要区域中的项。

在次要区域还原

次要区域还原用户体验类似于主要区域还原用户体验。 在“还原配置”窗格中配置详细信息以配置还原时，系统会提示你仅提供次要区域参数。

目前，次要区域 RPO 为 36 小时。 这是因为主要区域中的 RPO 为 24 小时，最多可能需要 12 小时才能将备份数据从主要区域复制到次要区域。

屏幕截图显示如何启动 VM 的次要区域还原。 ":::

截图显示选择了用于次要区域还原的还原点。

• 若要还原和创建 VM，请参阅创建 VM。
• 若要还原为磁盘，请参阅还原磁盘。

Azure区域固定 VM可以在同一区域的任意可用性区域中还原。

在还原过程中，你会看到“可用性区域”选项。你将首先看到默认区域。 若要选择不同的区域，请选择所选区域的编号。 如果固定区域不可用，则无法将数据还原到另一个区域，因为备份的数据不会跨区域复制。 只能从保管库层中的恢复点进行还原至可用区。

总之，可用性区域仅在以下情况下出现

• 源 VM 已进行区域绑定，且未加密
• 恢复点仅存在于保管库层中（不支持仅快照或快照与保管库层）
• 恢复选项是创建新 VM 或还原磁盘（替换磁盘选项替换源数据，因此可用性区选项不适用）
• 当保管库的存储冗余为 ZRS 时，可以在同一区域中创建 VM/磁盘（如果保管库的存储冗余为 GRS，即使源 VM 固定在某个区域，也无法工作）。
• 为跨区域还原启用保管库的存储冗余时，如果配对区域支持区域，则在配对区域中创建 VM/磁盘。

监视次要区域还原作业

1. 在门户中，转到恢复服务保管库>备份作业

2. 选择“次要区域”以查看次要区域中的项。

   

Azure VM 的跨订阅还原

Azure Backup现在允许执行跨订阅还原（CSR），这有助于还原与默认订阅不同的订阅中的Azure VM。 默认订阅包含恢复点。

默认情况下，该功能已为恢复服务保管库启用。 不过，在某些情况下，您可能需要根据云基础设施阻止跨订阅恢复。 要为现有保管库启用、禁用或永久禁用“跨订阅还原”，可以转到“保管库”>“属性”>“跨订阅还原”。

将非托管的 VM 和磁盘还原为托管项

提供了一个选项，用于在还原期间将 非托管磁盘还原为 托管磁盘。 默认情况下，非托管的 VM/磁盘会还原为非托管的 VM/磁盘。 但是，如果选择将其还原为托管 VM/磁盘，现在可以实现。 这些还原操作不是在快照阶段触发，而是在保管阶段触发的。 此功能不适用于加密的非托管 VM。

采用特殊配置还原 VM

在许多常见情况下，可能需要还原 VM。

还原域控制器虚拟机

有关详细信息，请参阅 备份和还原 Active Directory 域控制器。

通过托管标识还原虚拟机

托管标识使用户无需维护凭据。 托管标识为应用程序提供一个标识，可以在连接到支持 Microsoft Entra 身份验证的资源时使用。

Azure Backup提供了使用托管标识还原托管的 Azure VM 的灵活性。 可以选择系统托管标识或用户托管标识，如下图所示。 这被引入作为 Azure VM 的 Restore 配置窗格 中的输入参数之一。 托管标识用于访问存储账户，并自动清理在还原过程中创建的任何资源。 这些托管身份必须绑定到保管库。

如果您选择使用系统分配或用户分配的托管标识，请检查目标暂存Storage帐户和资源组上的托管标识的下列操作。

"permissions": [
            {
                "actions": [
                    "Microsoft.Authorization/*/read",
                    "Microsoft.Compute/disks/read",
                    "Microsoft.Compute/disks/write",
                    "Microsoft.Compute/disks/delete",
                    "Microsoft.Compute/disks/beginGetAccess/action",
                    "Microsoft.Compute/disks/endGetAccess/action",
                    "Microsoft.Compute/locations/diskOperations/read",
                    "Microsoft.Compute/virtualMachines/read",
                    "Microsoft.Compute/virtualMachines/write",
                    "Microsoft.Compute/virtualMachines/delete",
                    "Microsoft.Compute/virtualMachines/instanceView/read",
                    "Microsoft.Compute/virtualMachines/extensions/read",
                    "Microsoft.Compute/virtualMachines/extensions/write",
                    "Microsoft.Compute/virtualMachines/extensions/delete",
                    "Microsoft.Insights/alertRules/*",
                    "Microsoft.Network/locations/operationResults/read",
                    "Microsoft.Network/locations/operations/read",
                    "Microsoft.Network/locations/usages/read",
                    "Microsoft.Network/networkInterfaces/delete",
                    "Microsoft.Network/networkInterfaces/ipconfigurations/read",
                    "Microsoft.Network/networkInterfaces/join/action",
                    "Microsoft.Network/networkInterfaces/read",
                    "Microsoft.Network/networkInterfaces/write",
                    "Microsoft.Network/networkSecurityGroups/read",
                    "Microsoft.Network/networkSecurityGroups/securityRules/read",
                    "Microsoft.Network/publicIPAddresses/delete",
                    "Microsoft.Network/publicIPAddresses/join/action",
                    "Microsoft.Network/publicIPAddresses/read",
                    "Microsoft.Network/publicIPAddresses/write",
                    "Microsoft.Network/virtualNetworks/read",
                    "Microsoft.Network/virtualNetworks/subnets/join/action",
                    "Microsoft.Network/virtualNetworks/subnets/read",
                    "Microsoft.Resources/deployments/*",
                    "Microsoft.Resources/subscriptions/resourceGroups/read",
                    "Microsoft.Storage/checkNameAvailability/read",
                    "Microsoft.Storage/storageAccounts/blobServices/containers/delete",
                    "Microsoft.Storage/storageAccounts/blobServices/containers/read",
                    "Microsoft.Storage/storageAccounts/blobServices/containers/write",
                    "Microsoft.Storage/storageAccounts/read",
                    "Microsoft.Storage/storageAccounts/write"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete",
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read",
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write",
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action"
                ],

或者，在暂存位置（Storage 帐户）和目标资源组中添加 VM 还原运算符角色分配，以便成功执行还原操作。

还可以选择 user-managed identity，方法是提供输入作为其 MSI 资源 ID，如下图所示。

跟踪还原操作

触发还原操作后，备份服务会创建一个作业用于跟踪。 Azure Backup在门户中显示有关作业的通知。 如果未显示通知，请选择“通知”符号，然后选择“活动日志中的更多事件”来查看还原过程状态。

按以下步骤跟踪还原过程：

1. 若要查看针对作业的操作，请选择通知超链接。 或在存储库中选择“备份作业”，然后选择相应的 VM。

   

2. 若要监视还原进度，请选择状态为“正在进行”的任何还原作业。 此时会出现进度栏，其中显示了有关还原进度的信息：

   • 还原估计所需时间：最初提供完成还原操作所需的时间。 随着操作的不断进行，该时间会不断减少，还原操作完成后，将显示为 0。
   • 还原百分比。 显示还原操作的完成百分比。
   • 传输的字节数：如果通过创建新的 VM 进行还原，此字段将显示已传输的字节数，以及有待传输的字节总数。

还原后步骤

还原 VM 之后，还需要注意一些事项：

• 备份配置期间存在的扩展将被安装，但不会被启用。 如果出现问题，请重新安装这些扩展。 更换磁盘时，不需要重新安装扩展。

• 选择“创建新 VM”（或还原磁盘，然后创建 VM）时，还原的 VM 是一个新资源。 限制在原始 VM 的 RBAC 角色分配不会自动转移；根据需要在新的 VM 上重新分配角色。

• 如果备份的 VM 使用了静态 IP 地址，则还原的 VM 将使用动态 IP 地址，以避免冲突。 可将静态 IP 地址添加到还原的 VM。

• 还原的 VM 没有可用性集。 如果使用了还原磁盘选项，则使用提供的模板或 PowerShell 从磁盘创建 VM 时，可以指定可用性集。

• 如果使用基于 cloud-init 的 Linux 分发版（例如 Ubuntu），出于安全原因，还原后将阻止密码。 使用还原的 VM 上的 VMAccess 扩展重置密码。 我们建议在这些分发版中使用 SSH 密钥，这样，在还原后就无需重置密码。

• 如果在还原后无法访问 VM，因为 VM 与域控制器的关系断开，请按照以下步骤使 VM 恢复运行：

  • 将 OS 磁盘作为数据磁盘附加到恢复的 VM。

  • 如果发现Azure代理不响应，请遵循此 link 手动安装 VM 代理。

  • 在 VM 上启用串行控制台访问以允许命令行访问 VM

    bcdedit /store <drive letter>:\boot\bcd /enum
    bcdedit /store <VOLUME LETTER WHERE THE BCD FOLDER IS>:\boot\bcd /set {bootmgr} displaybootmenu yes
    bcdedit /store <VOLUME LETTER WHERE THE BCD FOLDER IS>:\boot\bcd /set {bootmgr} timeout 5
    bcdedit /store <VOLUME LETTER WHERE THE BCD FOLDER IS>:\boot\bcd /set {bootmgr} bootems yes
    bcdedit /store <VOLUME LETTER WHERE THE BCD FOLDER IS>:\boot\bcd /ems {<<BOOT LOADER IDENTIFIER>>} ON
    bcdedit /store <VOLUME LETTER WHERE THE BCD FOLDER IS>:\boot\bcd /emssettings EMSPORT:1 EMSBAUDRATE:115200
    

  • 重新生成 VM 时，请使用Azure portal重置本地管理员帐户和密码

  • 使用串行控制台和命令提示符将 VM 从域中移除

    cmd /c "netdom remove <<MachineName>> /domain:<<DomainName>> /userD:<<DomainAdminhere>> /passwordD:<<PasswordHere>> /reboot:10 /Force"
    

• VM 脱离域后并重启，即可使用本地管理员凭据通过 RDP 成功连接到 VM，并将 VM 重新加入域。

备份已还原的虚拟机

• 如果将 VM 还原到了最初备份 VM 时所在的资源组并为还原 VM 指定了相同名称，则还原之后，会继续备份该 VM。
• 如果将 VM 还原到了其他资源组或者为还原的 VM 指定了其他名称，则需要为还原的 VM 设置备份。

后续步骤

• 如果在还原过程中遇到困难，查看常见问题和错误。
• 还原 VM 后，请了解管理虚拟机