备份存储

备份快照数据到 GCS

tiup br backup full --pd "${PD_IP}:2379" \
--storage "gcs://external/backup-20220915?credentials-file=${credentials-file-path}"

从 GCS 恢复快照备份数据

tiup br restore full --pd "${PD_IP}:2379" \
--storage "gcs://external/backup-20220915?credentials-file=${credentials-file-path}"

备份快照数据到 Azure Blob Storage

tiup br backup full -u "${PD_IP}:2379" \
--storage "azure://external/backup-20220915?account-name=${account-name}&account-key=${account-key}"

从 Azure Blob Storage 恢复快照备份数据中 test 数据库

tiup br restore db --db test -u "${PD_IP}:2379" \
--storage "azure://external/backup-20220915account-name=${account-name}&account-key=${account-key}"

配置访问 GCS 的账户可以通过指定访问密钥的方式。如果指定了 credentials-file 参数，将按照指定的 credentials-file 进行鉴权。除了在 URI 中指定密钥文件外，还支持以下方式：

• br 命令行工具读取位于 $GOOGLE_APPLICATION_CREDENTIALS 环境变量所指定路径的文件内容
• br 命令行工具读取位于 ~/.config/gcloud/application_default_credentials.json 的文件内容
• 在 GCE 或 GAE 中运行时，从元数据服务器中获取的凭证

• 方式一：指定共享访问签名

  在 URI 中配置 account-name 和 sas-token，则使用该参数指定的存储账户名和共享访问签名令牌。由于共享访问签名令牌中带有 & 的字符，需要将其编码为 %26 后再添加到 URI 中。你也可以直接对整个 sas-token 进行一次百分号编码。

• 方式二：指定访问密钥

  在 URI 中配置 account-name 和 account-key，则使用该参数指定的存储账户名和密钥。除了在 URI 中指定密钥文件外，还支持 br 命令行工具读取 $AZURE_STORAGE_KEY 的方式。

• 方式三：使用 Azure AD 备份恢复

  在 br 命令行工具运行环境配置环境变量 $AZURE_CLIENT_ID、$AZURE_TENANT_ID 和 $AZURE_CLIENT_SECRET。

  • 当集群使用 TiUP 启动时，TiKV 会使用 systemd 服务。以下示例介绍如何为 TiKV 配置上述三个环境变量：

    i

    注意

    该流程在第 3 步中需要重启 TiKV。如果你的集群不适合重启，请使用指定访问密钥的方式进行备份恢复。

    1. 假设该节点上 TiKV 端口为 24000，即 systemd 服务名为 tikv-24000：

       systemctl edit tikv-24000

    2. 编辑三个环境变量的信息：

       [Service]
       Environment="AZURE_CLIENT_ID=aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa"
       Environment="AZURE_TENANT_ID=aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa"
       Environment="AZURE_CLIENT_SECRET=aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"

    3. 重新加载配置并重启 TiKV：

       systemctl daemon-reload
       systemctl restart tikv-24000

  • 为命令行启动的 TiKV 和 br 命令行工具配置 Azure AD 的信息，只需要确定运行环境中存在 $AZURE_CLIENT_ID、$AZURE_TENANT_ID 和 $AZURE_CLIENT_SECRET。通过运行下列命令行，可以确认 br 命令行工具和 TiKV 运行环境中是否存在这三个环境变量：

    echo $AZURE_CLIENT_ID
    echo $AZURE_TENANT_ID
    echo $AZURE_CLIENT_SECRET

  • 使用 br 命令行工具将数据备份至 Azure Blob Storage：

    tiup br backup full -u "${PD_IP}:2379" \
    --storage "azure://external/backup-20220915?account-name=${account-name}"

• 方式四：使用 Azure 托管标识 (Managed Identity)

  从 v8.5.5 起，如果你的 TiDB 集群和 br 命令行工具运行在 Azure 虚拟机 (VM) 或 Azure Kubernetes Service (AKS) 环境中，并且已为节点分配了 Azure 托管标识，则可以使用 Azure 托管标识进行鉴权。

  使用此方式前，请确保已在 Azure Portal 中为对应的托管标识授予目标存储账户的访问权限（如 Storage Blob Data Contributor）。

  • 系统分配的托管标识 (System-assigned)：

    使用系统分配的托管标识时，无需配置任何 Azure 相关环境变量，直接运行 br 备份命令即可。

    tiup br backup full -u "${PD_IP}:2379" \
    --storage "azure://external/backup-20220915?account-name=${account-name}"

    i

    注意

    请确保运行环境中不存在 AZURE_CLIENT_ID、AZURE_TENANT_ID 或 AZURE_CLIENT_SECRET 环境变量，否则 Azure SDK 可能会优先使用其他认证方式，导致托管标识未生效。

  • 用户分配的托管标识 (User-assigned)：

    使用用户分配的托管标识时，需要在 TiKV 运行环境和 br 命令行工具运行环境中配置环境变量 AZURE_CLIENT_ID （其值为该托管标识的 Client ID），然后再执行 br 备份命令。具体步骤如下：

    1. 使用 TiUP 启动时为 TiKV 配置 Client ID：

       以下步骤以 TiKV 端口 24000、systemd 服务名 tikv-24000 为例：

       1. 执行以下命令进入服务配置编辑界面：

          systemctl edit tikv-24000

       2. 配置 AZURE_CLIENT_ID 环境变量：

          [Service]
          Environment="AZURE_CLIENT_ID=<your-client-id>"

       3. 重新加载 systemd 配置并重启 TiKV：

          systemctl daemon-reload
          systemctl restart tikv-24000

    2. 为 br 命令行工具配置 AZURE_CLIENT_ID 环境变量：

       export AZURE_CLIENT_ID="<your-client-id>"

    3. 使用 br 命令行工具将数据备份至 Azure Blob Storage：

       tiup br backup full -u "${PD_IP}:2379" \
       --storage "azure://external/backup-20220915?account-name=${account-name}"