第 7 章 · 添加被保护主机与保护组
适用对象：平台管理员、交付工程师 · 阅读约 16 分钟 · 对应产品界面版本 v1.2.0
把一台业务主机纳入保护，要按顺序完成四件事：准备一份服务器凭证、把主机登记成「被保护资源」、把它放进一个「主机保护组」、再给它装上备份代理。顺序不能乱——凭证是资源的必填项，资源是保护组成员的候选池，保护组是装代理的入口。
读完这一章会做：
- 分清被保护资源、备份代理（Agent）、数据获取器三个对象，不把它们混着配
- 在凭证管理里建一份类型正确的服务器凭证
- 走完「新增被保护资源」弹窗的六个字段并提交
- 新建主机保护组，配置成员、发现计划与带宽限制
- 通过保护组的「更多 → 安装代理」装上备份代理，并核对接入结果
7.1 先分清三个对象
这三个对象的名字很容易混，配错了会一路错到第 9 章。
| 对象 | 是什么 | 在哪里管 |
|---|---|---|
| 被保护资源 | 平台里代表一台业务主机的记录（地址、凭证、端口、描述） | 基础备份设施 → 被保护资源 |
| 备份代理（Agent） | 装在业务主机上的程序，负责读取本机数据并传出去 | 主机保护组里的成员行，通过「更多 → 安装代理」分发 |
| 数据获取器（Backup Proxy） | 基础设施侧的独立服务，承载备份作业的数据流 | 基础备份设施 → 数据获取器，见第 8 章 |
「备份代理」字面就是 Backup Proxy 的中译，但这个产品用它指代 Agent：
- 「被保护资源」与保护组列表里的备份代理列 = 该主机上 Agent 的安装与在线状态
- 保护组发现计划里的自动安装备份代理 = 分发并安装 Agent
- 只有「基础备份设施 → 数据获取器」里实例类型显示
SupMirror Backup Proxy的，才是数据获取器
口诀：**挂在主机下面的「备份代理」是 Agent，单独列一个菜单的「数据获取器」才是 Backup Proxy。**完整辨析见附录 A。
源文档专门强调过这条。要保护一台业务主机，走的是"被保护资源 + 保护组 + 备份代理"这条路；新增数据获取器解决的是基础设施侧的数据通道问题，两件事不能互相替代。
7.2 接入前准备
接入前明确四件事：被保护主机地址、系统类型、凭证、以及负责分发的基础设施服务器。
| 前置项 | 要求 | 在哪一章 |
|---|---|---|
| 网络放行 | 被保护主机到数据获取器的服务与数据传输端口已放通；Linux 主机另需 SSH 端口 | 第 4 章、附录 B |
| 许可证 | 已加载并显示有效，否则可能无法新增资源 | 第 6 章 |
| 分发服务器 | 已有一台可访问被保护主机的基础设施服务器，用于分发备份代理 | 第 8 章 |
| 目标主机账户 | 具备安装权限的账户（Windows 需本机 Administrator，Linux 需 root 或等价 sudo 权限） | 本章 7.3 |
主机能不能接，要看系统版本、架构、内核和能力分项共同判断，不能只看发行版名字。支持范围见第 4 章与产品兼容性矩阵。
7.3 步骤 1 · 准备服务器凭证
凭证入口在「配置中心 → 凭证管理」。列表按类型、账号、创建时间、描述四列展示，支持按账号、类型、创建时间筛选，每行可编辑或删除。
凭证按类型区分，同一台主机用错类型的凭证会在连接测试阶段失败。
新增凭证有两个入口：凭证管理页的「新建服务器凭证」按钮，或者在「新增被保护资源」弹窗里点「身份验证凭据」右侧的「没找到，加一个」。两个入口打开的是同一个「添加凭证」对话框。
类型一共 11 项，涵盖主机、虚拟化平台与对象存储；接入 Windows 主机选 Standard，接入 Linux 主机选 Linux。
| 字段 | 必填 | 说明 |
|---|---|---|
| 类型 | 是 | 11 项：Standard、Linux、Huawei DCS、VMware VSphere、Huawei Obs、Sangfor Scp、Amazon S3、Azure Blob、Google、S3 Compatible、Local Cloud |
| 账号 | 是 | 目标主机上具备安装权限的账户 |
| 密码 | 是 | 不在文档、截图或工单附件里留明文 |
| 描述 | 否 | 页面提示"用于区分账号用途" |
「身份验证凭据」下拉框里，凭证显示成 账号(描述) 的形式。多台主机共用同名账号（例如都叫 administrator）时，不填描述就分不出哪条是哪条。
类型选 Linux 时，对话框会比 Standard 多一个「SSH端口」数字框，默认 22。这个字段的样子见第 8 章里的同一个对话框截图。
凭证的轮换与撤销：指定责任人和使用范围，轮换前清点引用该凭证的资源、保护组和作业；先在小范围更新并验证连接、备份和恢复，再按批准窗口推广；失败时按已批准方案回退，完成后撤销旧凭证并保留操作审计。
控制台里的角色只决定你能在平台上做什么，接入主机靠的是这份服务器凭证。两者不要混为一谈。
7.4 步骤 2 · 新增被保护资源
进入被保护资源页
在左侧导航展开「基础备份设施」，点击「被保护资源」。
「基础备份设施」下一共八个子菜单，被保护资源排第一，数据获取器和数据存储库排在第四、第五——它们是第 8 章的内容。
选择平台并打开新增弹窗
点击「新增被保护资源」按钮旁的下拉箭头，展开资源类型选择菜单，选择 SupMirror。
下拉菜单里的 SupMirror 是平台类型，不是操作系统类型；操作系统类型在下一步选。
选择操作系统类型
弹窗第一屏只有一个「所属类型」选择，两个选项：Windows服务器、Linux服务器。
这一屏只有取消按钮，选完类型才会展开下面的表单。
填写资源表单
选定类型后展开六个字段：
服务端口与数据传输端口是表单预置值，不是你要填的；带红色星号的四项才是必填。
| 字段 | 必填 | 预置值 | 说明 |
|---|---|---|---|
| 资源所在地 | 是 | — | 资源所属区域，自由文本 |
| IP/DNS名 | 是 | — | 对应服务器的 IP 地址或 DNS 名 |
| 身份验证凭据 | 是 | — | 从 7.3 建好的凭证里选；下拉显示为 账号(描述) |
| 服务端口 | 否 | 37000 | 表单预置值，交付时核对实际配置 |
| 数据传输端口 | 否 | 37001 | 表单预置值，交付时核对实际配置 |
| 描述 | 是 | — | 必填项，页面占位提示「请输入内容」 |
填好之后的样子：
四个必填项都带红色星号，描述留空提交不过去。
这两个值来自表单预置，是可信的界面观测。但它们在不同源文档里被归给了不同角色（被保护主机侧、数据获取器侧、恢复目标主机侧三种说法都出现过）。开防火墙工单以附录 B 为准，不要照本节的表单值推断监听方。
点「确定」提交。提交时平台会去连目标主机，连不上会直接弹错。
这是 Windows 主机接入时实际遇到过的提示，该次接入没有成功。遇到这个提示先核对四件事：目标地址是否正确、实际接入方式是什么、连接凭证类型与账号是否匹配、网络策略是否放行。
"必须启用 OpenSSH"这个要求应当按对应版本的正式部署要求确认，不要直接当成所有 Windows 主机的固定前置条件。
7.5 步骤 3 · 新建主机保护组
保护组是策略的作用单元，也是分发备份代理的入口。入口在「基础备份设施 → 主机保护组」，点左上角「新建保护组」。
新增保护组页面先选「所属类型」（Windows服务器 / Linux服务器），然后是四个可折叠的配置区。
| 配置区 | 内容 |
|---|---|
| 基础配置 | 提示"指定保护组的名称和说明"；必填「保护组名称」与必填「描述」 |
| 保护组类型配置 | 提示"选择保护组的类型"；「受保护的计算机」表格（主机地址 + 操作列）与「添加」按钮 |
| 保护组发现计划 | 执行时间、分发服务器与四个开关，见下文 |
| 保护组高级设置 | 提示"指定保护组的高级设置"；「限制 SupDRC Agent 备份作业的带宽」开关，默认关 |
页面底部是「提交」和「重置」。
添加成员
在「保护组类型配置」里点「添加」，弹出资源选择窗口。窗口支持按 IP 地址搜索，表格列为所属地区、对应服务器IP或DNS名、所属类型、状态、描述，每行一个复选框。勾选目标主机后点「确定」，主机地址会回填到「受保护的计算机」表格里，每行带一个「删除」按钮。
选择窗口按 IP 查询并显示服务器、类型、状态和描述，要逐项核对再勾。保护组成员变化会动态改变关联策略的作业范围，见 7.9。
发现计划
「保护组发现计划」里有一个执行时间设置、一个分发服务器选择和四个开关：
| 字段 | 观测到的取值 | 说明 |
|---|---|---|
| 执行时间 | 「每天」 | 执行频率 |
| 每周 | 时间 02:00 + 星期多选（观测到「星期一」加「+6」） | 具体执行时刻与星期 |
| 负责 SupDRC 代理分发的服务器 | 下拉选择，右侧有「没找到，加一个」 | 基础设施侧的分发服务器 |
| 自动安装备份代理 | 默认关 | 打开后自动分发并安装 Agent |
| 安装高级更改块跟踪（CBT）驱动程序 | 默认关 | 见 7.8 |
| 自动升级已发现计算机上的 SupDRC Agent | 默认关 | 自动升级 Agent |
| 自动重新启动受保护的计算机 | 默认关 | 会重启业务主机 |
这四项分别涉及安装、驱动、升级和重启，开前要分别核对支持条件和重启许可。尤其是「自动重新启动受保护的计算机」——在没有确认重启窗口的情况下绝对不要启用。涉及安装、升级和重启的选项需经业务批准，先对代表主机验证，再用于批量接入。
按 7.1 的辨析，这个开关分发的是被保护主机上的 Agent，不是数据获取器。分发服务器则是基础设施侧的对象，要能按正式网络要求访问被保护主机。
提交并查看结果
点「提交」，页面提示「新增成功」，保护组出现在左侧列表里，成员行显示在右侧表格中。
这是代理装好之后的样子。刚建完组、还没装代理时，「备份代理」列显示「未安装」，「最近一次扫描」显示灰绿色「未知」，「最后一次备份」显示「未备份」。
7.6 步骤 4 · 安装备份代理
保护组建好后，成员行的「备份代理」列是「未安装」。在该行「操作」列点「更多」，在展开的下拉菜单中点「安装代理」，即可把 Agent 分发到这台主机上。
安装成功后，同一行的三个字段会变化：
| 列 | 安装前 | 安装后 |
|---|---|---|
| 备份代理 | 未安装 | 已安装 |
| 最近一次扫描 | 未知 | 在线 |
| 最后一次备份 | 未备份 | 备份任务完成后显示时间戳 |
保护组里的「更多 → 安装代理」装的是被保护主机上的 Agent；数据获取器列表里状态为「不可用 / 未检测到安装包」时出现的绿色「点击安装」按钮，推送的是数据获取器组件，见第 8 章。两处操作长得很像，做之前确认清楚自己在哪个页面。
装完代理之后，下一步是到「备份数据策略」配置主机保护策略，见第 9 章。
7.7 Agent 安装包与静默安装
保护组分发是批量接入的主路径。需要手工安装或排障时，才用到安装包。
源文档明确写了 SupDRC 的实际包名、版本号、参数名和返回码未在产品技术资料中确认，给出的写法来自第三方产品与行业惯例，"不得据此直接在生产环境执行"。落地前必须以产品方正式安装手册为准。
Windows
Agent 一般以 MSI 或 EXE 形式分发，以系统服务方式常驻运行，安装需要本机 Administrator 权限（要写系统服务与驱动，普通用户装不上）。
# 静默安装骨架（MSI）
msiexec /i <Agent 安装包>.msi /qn /norestart SERVER=<管理平台地址> PORT=<服务端口>
# 静默安装骨架（EXE）
<Agent 安装包>.exe /S
# 带日志安装（排障用）
msiexec /i <Agent 安装包>.msi /qn /l*v install.log
# 卸载
msiexec /x <Agent 安装包>.msi /qn
常见退出码：0 成功、3010 需重启、1603 致命错误。静默安装失败时必须保留 install.log。
Linux
Agent 通常以 rpm/deb 包分发，需 root 安装。最小化安装的系统常缺基础依赖，需先用系统 ISO 或本地源补齐。
# 依赖补齐（RHEL / CentOS / 麒麟 / 欧拉系）
yum install -y zip unzip psmisc tar
# 依赖补齐（Debian / Ubuntu / 统信系）
apt-get install -y zip unzip psmisc tar
# 安装
rpm -ivh <Agent 安装包>.rpm
# 或
dpkg -i <Agent 安装包>.deb
apt-get -f install # deb 缺依赖时执行
# 安装后核查
systemctl status <Agent 服务名>
ps -ef | grep -i supdrc
ss -tlnp | grep -E '37000|37001'
rpm -qa | grep -i supdrc # 用于交付登记 Agent 版本
安装后核查要三项同时满足才算接入成功：服务在线、端口监听、平台侧显示在线。
批量部署
批量接入先按操作系统、网络区域和业务等级分组，以少量代表主机试点，确认连接、安装、备份和资源影响后再扩大批次。把安装时段与备份窗口错开，逐批记录成功、失败、重试和回退结果，根据管理端与网络实测负载控制批次大小。
Agent 进程本身的资源占用范围（行业通用取值，非 SupDRC 实测）：
| 资源项 | 空闲 | 备份运行 |
|---|---|---|
| CPU | 小于 1%（单核占比） | 5%–20%（单任务，视压缩与线程数） |
| 内存 | 100–300 MB | 200–800 MB |
| 磁盘（程序与日志） | 500 MB–1 GB | 日志随任务量增长，需配置轮转 |
| 本地缓存 / 暂存 | 0 | 1–5 GB（如启用本地缓存） |
| 网络带宽 | 心跳级（KB/s） | 受策略限速控制，建议不超过业务带宽 30% |
7.8 CBT 驱动
CBT（Changed Block Tracking，更改块跟踪）记录两次备份之间发生变化的数据块，使增量备份只传输变化块，从而缩短备份窗口、降低网络与存储压力。它由主机侧驱动或内核模块实现，安装条件、重启要求和内核升级后的处置都与普通 Agent 不同。
| 事项 | 通用要求 |
|---|---|
| 作用 | 只传变化块，用于增量/差异备份 |
| 安装条件 | 需在受支持的操作系统版本与内核上安装；不支持的系统不安装驱动 |
| 是否重启 | 驱动首次加载通常需要一次重启；部分实现可在加载后重建跟踪基线而不重启 |
| 内核升级后 | 内核模块与内核版本绑定，升级内核后需重装或重新编译驱动，否则 CBT 失效并回退为全量扫描 |
| 如何验证生效 | 对比连续两次备份的传输量与耗时；查看任务日志中是否标记为"变化块/增量"；查看平台侧 CBT 状态字段 |
| 不安装的后果 | 退化为全量扫描，备份窗口与网络占用显著增加 |
| 关闭方式 | 保护组发现计划里不勾「安装高级更改块跟踪（CBT）驱动程序」 |
第三方产品的已知行为是：主机重启后 CBT 跟踪状态失效，需要重新跑一次备份任务之后才恢复生效。这条未在 SupDRC 上核实，但如果你的备份窗口是按增量量估算的，重启后第一次备份耗时变长要有预期。
7.9 接入后核查
接入结果要从两个层面看：
被保护资源页——列表显示所属地区、对应服务器IP或DNS名、所属类型、账号、状态、备份代理。确认资源状态与备份代理状态。
主机保护组页——确认成员、备份代理安装情况和在线状态，以及最近一次扫描、最后一次备份两个时间。
安装状态只说明平台观察到的接入情况。还要检查主机保护策略的数据源可选性、历史任务结果及还原点记录，实际恢复能力要单独验收，见第 15 章。
创建主机保护策略时可以添加保护组或单机。页面说明保护组成员变化可能动态改变作业范围，因此维护组成员之后要回头检查关联策略的数据源。
7.10 解绑、迁移、注销与重新注册
先分清三种操作，它们对还原点和许可证席位的影响完全不同：
| 操作 | 含义 | 对还原点的影响 | 对许可证的影响 |
|---|---|---|---|
| 解绑 | 主机移出保护组，不再受该策略覆盖 | 历史还原点按保留策略继续保留 | 席位通常仍占用 |
| 迁移 | 主机换址 / 改名后重新接入 | 原还原点保留，归属待确认 | 席位通常不重复计费 |
| 注销 / 删除 | 平台移除主机记录 | 还原点可能被标记为孤立或随主机删除 | 释放席位 |
| Agent 卸载 | 主机侧移除程序 | 平台侧还原点保留但不可再在线备份 | 席位释放规则待确认 |
第三方产品的行为是：移出组合或解除只解除主机与组、策略的关联，主机记录仍在，会回到自由列表；只有注销 / 删除才移除主机及其绑定关系，并可能同时删除关联的保护策略。SupDRC 对应的菜单名称与行为未确认，执行前先在测试对象上验证一次。
迁移与凭证轮换的受控步骤
| 步骤 | 操作 | 预期结果 | 风险与回退 |
|---|---|---|---|
| 1 | 清点该主机关联的保护组、保护策略、历史还原点与许可证席位 | 形成完整变更清单 | 清单不全将导致漏改、遗留策略空跑 |
| 2 | 确认当前无运行中备份/恢复作业 | 作业列表为空 | 有作业时先等待结束或按流程终止 |
| 3 | 在迁移窗口内暂停该主机的新备份 | 不再产生新还原点 | 切换完成后须及时恢复策略 |
| 4 | 从保护组解绑主机（移出成员） | 主机回到未分组状态 | 保护组成员变化会动态改变作业范围，需复核关联策略 |
| 5 | 关机并迁移主机，或在原机保留 Agent 与还原点后按计划重装 | 主机在新位置网络可达 | 迁移后 IP / 主机名变化需重新注册 |
| 6 | 轮换服务器凭证：新建凭证 → 小范围验证连接/备份/恢复 → 推广 | 三项验证均通过 | 失败时回退旧凭证并保留原凭证 |
| 7 | 在平台撤销旧凭证，保留操作审计记录 | 旧凭证失效且不可再引用 | 删除前确认无其他资源仍引用该凭证 |
| 8 | 核对主机状态、许可证席位与还原点归属 | 状态在线、席位与清单一致 | 席位异常时联系产品方核对授权 |
什么时候需要重新注册
典型触发场景：Agent 卸载后重装、主机名或 IP 变更、操作系统重装或克隆、管理平台重装或数据库还原、注册凭据过期或吊销、主机从原保护组解绑后加入新组。
| 步骤 | 操作 | 检查点 |
|---|---|---|
| 1 | 确认触发原因并留档 | 变更单已批准 |
| 2 | 主机侧确认 Agent 服务状态与到平台的网络连通 | 服务在线，服务与数据传输端口可达 |
| 3 | 平台侧获取或重新签发注册凭据 | 凭据在有效期内 |
| 4 | 在平台执行重新注册 / 重新发现 | 主机指纹被正确更新 |
| 5 | 重新加入保护组并复核关联策略的数据源 | 策略作业范围正确 |
| 6 | 手工触发一次备份验证接入 | 任务成功且生成新还原点 |
| 7 | 核对旧还原点是否仍可浏览与恢复 | 归属与恢复路径明确 |
常见问题
「备份代理」和「数据获取器」到底哪个是 Proxy？ 控制台里叫「备份代理」的是 Agent（装在被保护主机上），叫「数据获取器」的才是 Backup Proxy（基础设施侧服务）。名字容易误导，按 7.1 的口诀记：挂在主机下面的是 Agent，单独一个菜单的是数据获取器。
提交资源时报「连接服务器失败，请确认服务器安装了openSSH并且开放了22端口」怎么办？ 先核对目标地址、实际接入方式、凭证类型与账号、网络策略四项。这条提示在 Windows 接入时实际出现过且那次没有接入成功，但"必须装 OpenSSH"是否适用于所有 Windows 主机未确认，按对应版本的正式部署要求走。
描述能不能不填？
不能，「新增被保护资源」和「添加凭证」里的描述都是必填（凭证对话框里的描述虽非必填，但下拉框按 账号(描述) 显示，不填会分不清同名账号）。
服务端口 37000 能改吗？ 表单里可以改，但改之前要确认这个端口在你的环境里归哪个角色监听——不同源文档对 37000/37001 的归属说法不一致。以附录 B 为准，并与网络组同步。
保护组里的「自动安装备份代理」可以直接打开吗？ 可以打开，但先在代表主机上验证过再批量用。同一组开关里的「自动重新启动受保护的计算机」会重启业务主机，没有确认重启窗口时绝对不要开。
保护组成员改了，策略会跟着变吗？ 会。页面明确说明保护组成员变化可能动态改变作业范围，所以维护完成员要回头检查关联策略的数据源。
主机从保护组里移出去，还原点还在吗？ 解绑只解除关联，历史还原点按保留策略继续保留。但"解绑"与"注销"在这个产品里对应哪个菜单项未确认，执行前先在测试对象上验证。
内核升级之后 CBT 还生效吗？ 内核模块与内核版本绑定，升级后通常需要重装或重新编译驱动，否则 CBT 失效并回退为全量扫描。SupDRC 的具体重装步骤未确认，升级内核前先向产品方确认。