用 Velero 搭建 Kubernetes 备份与恢复

适用场景

需要备份 Kubernetes 资源和持久卷，支持误删恢复、集群迁移和灾备演练。Velero 把对象存到外部对象存储，并通过节点代理备份 PV 数据。

前置条件

• 对象存储（S3、MinIO、OSS、COS 等）和访问凭据。
• Velero CLI 与服务端版本匹配。
• 集群允许创建 CRD、ClusterRoleBinding 和 DaemonSet/Deployment。
• 明确备份范围：整集群、按命名空间还是按标签选择。

步骤

1. 准备凭据文件：

cat > credentials-velero <<'EOF'
[default]
aws_access_key_id=MINIO_ACCESS_KEY
aws_secret_access_key=MINIO_SECRET_KEY
EOF

2. 安装 Velero：

velero install \
  --provider aws \
  --plugins velero/velero-plugin-for-aws:v1.10.0 \
  --bucket k8s-backup \
  --secret-file ./credentials-velero \
  --backup-location-config region=minio,s3ForcePathStyle=true,s3Url=http://minio.storage:9000 \
  --use-node-agent

3. 检查 BackupStorageLocation 和 VolumeSnapshotLocation：

velero backup-location get
velero snapshot-location get
kubectl -n velero get pods

4. 创建一次性备份：

velero backup create demo-$(date +%Y%m%d%H%M) \
  --include-namespaces demo \
  --default-volumes-to-fs-backup \
  --wait

5. 创建定时备份和保留策略：

velero schedule create daily-demo \
  --schedule="0 2 * * *" \
  --include-namespaces demo \
  --ttl 720h

6. 恢复前先 dry-run 或恢复到新命名空间验证：

velero restore create --from-backup demo-20261018020000 \
  --namespace-mappings demo:demo-restore \
  --wait

验证

• velero backup get 显示 Completed。
• velero backup describe <name> --details 中资源数和卷数符合预期。
• 恢复到新命名空间后，Pod、Service、ConfigMap 和 PVC 数据完整。
• 定时任务按计划触发，过期备份按 TTL 清理。
• 定期做真实恢复演练，而不是只看备份状态。

回滚

• 恢复本身是新增资源，失败时删除恢复出来的命名空间或资源即可。
• 覆盖式恢复会修改现有对象，生产环境先恢复到隔离命名空间验证。
• 保留原始备份和对象存储版本控制，避免误删备份。
• 恢复后检查 ServiceAccount、Secret 和 PVC 的绑定关系。

常见坑

• 只备份了 Kubernetes 对象，没有备份 PV 数据；必须启用 node-agent 或快照。
• 对象存储的 s3Url、region、path-style 配置错误，BackupStorageLocation 一直不可用。
• 跨集群恢复时 StorageClass 名称不同，PVC 会 Pending，需要提前映射。
• 备份包含 CRD 和 webhook 时，恢复到旧集群可能失败。
• 没有设置 TTL，备份无限增长；也没有监控备份失败告警。
• 集群升级前没有做恢复演练，真正故障时才发现凭据或存储不可用。

相关命令

• velero — 备份、恢复、定时任务与位置管理
• kubectl — 查看 Velero 组件和恢复结果
• mc — MinIO 客户端，检查备份对象
• aws / ossutil / coscli — 云对象存储排查