1. Tổng Quan & Mục Tiêu

Mục tiêu Phase 01:

• Hoàn thiện sizing cho tất cả components (VSA, Proxy, Repository)
• Chuẩn bị network/firewall cho v13 gRPC ports (khác hoàn toàn v12)
• Tạo AD identity (gMSA accounts, security groups)
• Xác nhận license (Enterprise Plus hoặc VUL)
• Format & validate storage (XFS reflink, S3 Object Lock, tape HCL)

2. Breaking Changes v13 — Phải Biết Trước

3. Hướng Dẫn Kích Thước Chi Tiết

# vCPU = số concurrent tasks (jobs chạy đồng thời)
vCPU = concurrent_tasks

# RAM = base 2GB + 1GB cho mỗi concurrent task
RAM_GB = 2 + (1 × concurrent_tasks)

# concurrent_tasks phụ thuộc backup window
concurrent_tasks = ceil(total_VMs / backup_window_hours × change_rate_factor)

# Storage = (daily_change_GB × retention_days × 1.2) + full_backup_GB
# 1.2 = overhead factor cho dedupe metadata + journal

# Ví dụ: 500 VMs, avg VM 100GB, change rate 5%/ngày, giữ 30 ngày
daily_change_GB = 500 VMs × 100 GB × 5% = 2,500 GB/ngày
full_backup_GB  = 500 VMs × 100 GB × 0.4 (sau dedupe/compress ~40%)
                = 20,000 GB = ~20 TB

storage_needed = (2,500 GB × 30 days × 1.2) + 20,000 GB
               = 90,000 GB + 20,000 GB
               = 110,000 GB ≈ 110 TB

# Kết quả: Cần ~110 TB cho Hardened Repo tier này

4. Cấu Hình Mạng & Firewall v13

5. Thiết Lập Active Directory

PowerShell — Tạo gMSA và Security Groups:

# ============================================================
# Step 1: Tạo KDS Root Key (cần 1 lần duy nhất per forest)
# Cần chờ 10h để replicate, hoặc dùng -EffectiveImmediately cho lab
# ============================================================
Add-KdsRootKey -EffectiveTime ((Get-Date).AddHours(-10))
# Verify:
Get-KdsRootKey

# ============================================================
# Step 2: Tạo gMSA account chính cho Veeam services
# ============================================================
New-ADServiceAccount `
    -Name "svc-veeam-backup" `
    -DNSHostName "svc-veeam-backup.domain.local" `
    -PrincipalsAllowedToRetrieveManagedPassword "VeeamServers-Group" `
    -ServicePrincipalNames "veeam/veeam-node1.domain.local","veeam/veeam-cluster.domain.local" `
    -Enabled $true `
    -Description "Veeam v13 Backup Service gMSA"

# Verify gMSA hoạt động từ Node 1 (chạy trên VSA VM sau khi join domain):
Test-ADServiceAccount -Identity "svc-veeam-backup"
# Expected output: True

# ============================================================
# Step 3: Tạo Security Groups
# ============================================================
$groups = @(
    @{Name="VeeamAdmins";          Description="Full VSA access — giới hạn 2-3 người"},
    @{Name="VeeamBackupOps";       Description="Create/edit backup jobs, no delete"},
    @{Name="VeeamRestoreOps";      Description="Restore only — helpdesk tier"},
    @{Name="VeeamSecurityOfficer"; Description="Approve 4-eyes actions — phải tách biệt khỏi VeeamAdmins"},
    @{Name="VeeamServers-Group";   Description="Computer accounts được phép lấy gMSA password"}
)

foreach ($g in $groups) {
    New-ADGroup `
        -Name $g.Name `
        -GroupScope Global `
        -GroupCategory Security `
        -Path "OU=VeeamGroups,OU=ServiceAccounts,DC=domain,DC=local" `
        -Description $g.Description
    Write-Host "Created: $($g.Name)" -ForegroundColor Green
}

# ============================================================
# Step 4: Thêm VSA computer accounts vào VeeamServers-Group
# ============================================================
Add-ADGroupMember -Identity "VeeamServers-Group" `
    -Members (Get-ADComputer "VEEAM-NODE1"), (Get-ADComputer "VEEAM-NODE2")

# ============================================================
# Step 5: Thêm admin users vào groups
# ============================================================
Add-ADGroupMember -Identity "VeeamAdmins" -Members "htran","admin-veeam"
Add-ADGroupMember -Identity "VeeamSecurityOfficer" -Members "sec-officer"  # Người khác!

6. Cấp Phép (Licensing)

7. Danh Sách Kiểm Tra Lưu Trữ

# Format disk với XFS reflink (bắt buộc cho synthetic full)
mkfs.xfs -m reflink=1 -m crc=1 /dev/sdX

# Mount với recommended options
echo "/dev/sdX /backups xfs defaults,noatime,nodiratime 0 0" >> /etc/fstab
mount /backups

# Verify reflink được bật
xfs_info /backups | grep reflink
# Expected output: reflink=1  rmapbt=1

# AWS CLI — tạo bucket với Object Lock
aws s3api create-bucket \
    --bucket veeam-backup-immutable \
    --region us-east-1 \
    --object-lock-enabled-for-bucket

# Set default retention — Compliance mode, 30 ngày
aws s3api put-object-lock-configuration \
    --bucket veeam-backup-immutable \
    --object-lock-configuration '{
        "ObjectLockEnabled": "Enabled",
        "Rule": {
            "DefaultRetention": {
                "Mode": "COMPLIANCE",
                "Days": 30
            }
        }
    }'

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "s3:PutObject",        // Ghi backup
            "s3:GetObject",        // Đọc để restore
            "s3:DeleteObject",     // Xóa expired backups (vẫn bị Compliance mode chặn nếu chưa hết hạn)
            "s3:ListBucket",       // Liệt kê files trong bucket
            "s3:GetObjectRetention", // Đọc retention info
            "s3:PutObjectRetention"  // Set/extend retention
        ],
        "Resource": [
            "arn:aws:s3:::veeam-backup-immutable",
            "arn:aws:s3:::veeam-backup-immutable/*"
        ]
    }]
}

8. Checklist Trước Triển Khai (15+ Items)

9. Đánh Giá Rủi Ro