翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Primary backups to logically air-gapped vaults

概要:

論理エアギャップボールトのプライマリバックアップ機能では、スケジュールされたバックアップジョブとオンデマンドバックアップジョブの両方について、論理エアギャップボールトを同じアカウント内のプライマリバックアップ先として指定できます。これにより、標準バックアップボールトと論理エアギャップボールトの両方に個別のコピーを維持する必要がなくなり、論理エアギャップのセキュリティ上の利点を維持しながらコストを削減し、ワークフローを簡素化できます。

論理エアギャップボールトをバックアッププラン、組織全体のポリシー、またはオンデマンドバックアップのプライマリターゲットとして割り当てることができます。以前は、論理エアギャップボールトにバックアップするには、まずバックアップボールトにバックアップを作成し、論理エアギャップボールトにコピーする必要がありました。この機能 AWS Backup を使用すると、リソースタイプに応じて、論理エアギャップボールトでバックアップを直接作成することも、論理エアギャップボールトにコピーされて削除される一時バックアップを自動的に管理することもできます。

動作は 2 つの要因によって異なります。

この機能には新しい料金はありません。論理エアギャップボールトに保存されているバックアップと、該当するリソースの一時スナップショット (システム内の保持期間中) に対してのみ、一般的な料金が請求されます。詳細については、AWS Backup 料金を参照してください。

仕組み

この機能にオンボードするには、既存のバックアッププランを更新するか、新しいバックアッププランを作成し、論理エアギャップボールト ARN (フィールド名: TargetLogicallyAirGappedBackupVaultArn) をプライマリバックアップターゲットとして追加します。このオペレーションは、 AWS Backup コンソールまたは AWS Backup CLI コマンドを使用して実行できます。

"TargetLogicallyAirGappedBackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:AirGappedVault",

バックアップボールトと論理エアギャップボールトの両方をバックアップジョブのターゲットとして指定すると、 はリソースタイプと暗号化設定に基づいて適切なワークフロー AWS Backup を決定します。

論理エアギャップボールトへのプライマリバックアップでサポートされているリソース

論理エアギャップボールトでサポートされているリソースの完全なリストを表示するには、AWS Backup 「 機能の可用性」を参照してください。論理エアギャップボールトをサポートするすべてのリソースは、この機能を使用する場合、2 つの個別のコピーを保存するのではなく、バックアップのコピーを 1 つだけ保持するという原則に従います。

考慮事項と制限事項:

フル AWS Backup 管理をサポートするリソース

Amazon EFS、Amazon S3、Amazon DynamoDB など、完全な AWS Backup 管理をサポートするAWS Backup 高度な機能を備えた一部のリソースタイプは、論理エアギャップボールトに直接バックアップできます。バックアップボールトに復旧ポイントが作成されず、コピー操作も必要ありません。バックアッププランのスケジュールされたコピーアクションでは、論理エアギャップボールトの復旧ポイントをソースとして使用します。

Amazon S3 などの継続的バックアップをサポートするリソースは、論理エアギャップボールトに直接継続的バックアップを実行することもできます。

フル AWS Backup 管理と論理エアギャップボールトをサポートするリソースタイプのリストについては、「フル管理」と「論理エアギャップボールト」というラベルの列の「リソースごとの機能の可用性」を参照してください。

リソースがフル AWS Backup 管理をサポートしていない

Amazon EBS/EC2、Amazon Aurora、Amazon FSx などのリソースは、論理エアギャップボールトに直接バックアップできません。これらのリソースタイプでは、 はバックアップボールトに一時的な復旧ポイント AWS Backup を作成し、論理エアギャップボールトに自動的にコピーします。

一時復旧ポイントには、 という特別なライフサイクル設定がありますDELETE_AFTER_COPY。論理エアギャップボールトへのコピーが正常に完了すると、 は一時復旧ポイント AWS Backup を自動的に削除します。バックアッププランの他のスケジュールされたコピーアクションはすべて、論理エアギャップボールトへのコピーと並行して開始され、現在のコピーエクスペリエンスには影響しません。

論理エアギャップボールトへのコピーが失敗した場合、一時復旧ポイントは、指定した保持期間に従ってバックアップボールトに保持されます。これにより、バックアップジョブの完了後に常に使用可能な復旧ポイントを確保できます。復旧ポイントが後で論理エアギャップボールトに手動でコピーされた場合、DELETE_AFTER_COPYルールに従って自動的にクリーンアップされます。

コピーライフサイクル後に削除する

一時的な復旧ポイントには、 という値DeleteAfterEventを持つ新しいライフサイクル属性がありますDELETE_AFTER_COPY。この属性は、すべてのコピージョブが完了した後、または指定した保持期間のいずれか早い方後に復旧ポイントが自動的に削除されることを示します。

次の条件がすべて満たされると、一時的な復旧ポイントが削除されます。

コピーの進行中に一時復旧ポイントを手動で削除しないようにする必要がある場合は、ロックされたバックアップボールトをターゲットのバックアップボールトとして使用することを検討してください。

リソースの継続的なバックアップがフル AWS Backup 管理をサポートしていない

Amazon Aurora などのリソースの場合、継続的バックアップを有効にすると、 はバックアップボールトに継続的リカバリポイント AWS Backup を作成し、論理エアギャップボールトにコピーされる一時スナップショットを作成します。一時スナップショットは、バックアップボールトに継続的な復旧ポイントを保持するため、コピーが成功したか失敗したかに関係なく、コピーの完了後に常に削除されます。

バックアップボールトに Amazon Aurora の継続的リカバリポイントを作成するのではなく、論理エアギャップボールトに Amazon S3 の継続的リカバリポイントを作成する場合は、現在のプランで継続的バックアップ (EnableContinuousBackup) 設定を無効にし、別のプランから S3 継続的を有効にすることができます。

Aurora バックアップストレージの詳細については、「Amazon Aurora バックアップストレージの使用状況について」を参照してください。

サポートされていないデータソース

リソースタイプが論理エアギャップボールトでサポートされていない場合、または完全に管理されていないリソースが AWS マネージドキーで暗号化されている場合、 はバックアップボールトにのみバックアップ AWS Backup を作成します。論理エアギャップボールトのコピーは試行されません。バックアップジョブは正常に完了し、バックアップが論理エアギャップボールトに移動しなかった理由を示すメッセージが表示されます。

コストに関する考慮事項

論理エアギャップボールトのプライマリバックアップを設定する

論理エアギャップボールトのプライマリバックアップは、 AWS Backup コンソール、、 AWS CLI AWS CloudFormationまたは AWS Organizations バックアップポリシーを使用して設定できます。

バックアッププランを設定する

Console

バックアッププランの論理エアギャップボールトプライマリバックアップを設定するには

1. https://console.aws.amazon.com/backup で AWS Backup コンソールを開きます。

2. ナビゲーションペインで、バックアッププランを選択し、バックアッププランの作成を選択するか、編集する既存のバックアッププランを選択します。

3. Backup ルール設定セクションで、バックアップルール設定を指定します。

4. Backup ボールトでは、一時復旧ポイントが保存されるバックアップボールト (完全管理されていないリソースの場合）、または論理エアギャップボールトに配置することができないバックアップが保存されるバックアップボールトを選択します。

5. 論理エアギャップボールト (オプション) では、バックアップを保存する論理エアギャップボールトを選択します。

   注記

   論理エアギャップボールトは、バックアップボールトと同じアカウントとリージョンに存在する必要があります。

6. ライフサイクルオプションやコピーオプションなど、残りのバックアップルール設定を構成します。

7. プランの作成または変更の保存を選択します。

AWS CLI

CLI コマンドを使用して新しいプランcreate-backup-planを作成するか、既存のプランupdate-backup-planを更新し、バックアップルールに TargetLogicallyAirGappedBackupVaultArnパラメータを含めます。

JSON ドキュメントを使用してバックアッププランを作成する CLI コマンドの例:

aws backup create-backup-plan --cli-input-json file://PATH-TO-FILE/test-backup-plan.json

CLI で直接バックアッププランを作成する CLI コマンドの例:

aws backup create-backup-plan --backup-plan '{
  "BackupPlanName": "MyPlan",
  "Rules": [
    {
      "RuleName": "MyRule",
      "TargetBackupVaultName": "MyBackupVault",
      "TargetLogicallyAirGappedBackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:MyLagVault",
      "ScheduleExpression": "cron(0 1 ? * * *)",
      "ScheduleExpressionTimezone": "America/Los_Angeles",
      "StartWindowMinutes": 60,
      "CompletionWindowMinutes": 120,
      "Lifecycle": {
        "DeleteAfterDays": 35
      }
    }
  ]
}'

オンデマンドバックアップを設定する

Console

オンデマンドバックアップ用に論理エアギャップボールトプライマリバックアップを設定するには

1. https://console.aws.amazon.com/backup で AWS Backup コンソールを開きます。

2. ナビゲーションペインで、[保護されたリソース] を選択します。

3. 保護されたリソースページで、オンデマンドバックアップの作成を選択します。

4. バックアップするリソースタイプとリソース ARN を選択します。

5. Backup ボールトで、バックアップボールトを選択します。

6. 論理エアギャップボールト (オプション) では、バックアップを保存する論理エアギャップボールトを選択します。

7. 残りの設定を構成し、オンデマンドバックアップの作成を選択します。

AWS CLI

新しい--logically-air-gapped-backup-vault-arnパラメータで start-backup-job コマンドを使用します。

aws backup start-backup-job \
  --backup-vault-name MyBackupVault \
  --logically-air-gapped-backup-vault-arn arn:aws:backup:us-east-1:123456789012:backup-vault:MyLagVault  \
  --resource-arn arn:aws:ec2:us-east-1:123456789012:volume/vol-abcd1234  \
  --iam-role-arn arn:aws:iam::123456789012:role/service-role/AWSBackupDefaultServiceRole  \
  --lifecycle DeleteAfterDays=35

論理エアギャップボールトのプライマリバックアップをモニタリングする

AWS Backup コンソール、または Amazon EventBridge イベントを使用して AWS CLI、バックアップとコピージョブのステータスをモニタリングできます。

バックアップジョブのモニタリング

バックアップジョブのステータス (DescribeBackupJob) をモニタリングして、リソースが保護されていることを確認します。バックアップジョブが失敗した場合は、復旧ポイントが作成されていないことを示します。

コピージョブのモニタリング

論理エアギャップボールトへのコピージョブ (ListCopyJobs) の障害をモニタリングします。コピージョブが失敗した場合、復旧ポイントは論理エアギャップボールト保護なしで標準バックアップボールトに残ります。

復旧ポイントのモニタリング

EXPIRED 復旧ポイント (ListRecoveryPointsByBackupVault) をモニタリングします。これは、 AWS Backup が復旧ポイントを削除できなかったことを示している可能性があります (おそらくアクセス許可がないためです）。EXPIRED復旧ポイントはコストに影響する可能性があります。

オンボーディングと移行

現在、コピーアクションを使用して論理エアギャップボールトにバックアップをコピーしている場合は、論理エアギャップボールトのプライマリバックアップに移行してコストを削減できます。既存の Amazon S3 継続的バックアップをバックアップボールトから論理エアギャップボールトに移行することもできます。このガイドでは、論理エアギャップボールトのプライマリバックアップ機能に移行するために必要な前提条件と手順について説明します。

前提条件とベストプラクティス

論理エアギャップボールトのプライマリバックアップ機能を効果的に使用する前に、前提条件と推奨されるベストプラクティスがあります。

前提条件

現在、プライマリバックアップターゲットとしての論理エアギャップボールトは、バックアップリソースと同じ AWS アカウントと AWS リージョン内のバックアップのみをサポートします。論理エアギャップボールトバックアップは本質的に別々のサービスアカウントに格納されるため、別のアカウントにコピーすることなく、クロスアカウント/クロスOrg 分離が可能になります。クロスリージョンバックアップが必要な場合は、論理エアギャップボールトをコピー先として使用し続けます。この機能に移行する前に、次の要件を満たしていることを確認してください。

ベストプラクティス

移行の計画

完全な AWS Backup 管理移行パスをサポートするリソース

フルマネージドリソースの場合、コピー操作を必要とせずに、論理エアギャップボールトに直接バックアップできます。

スナップショットベースのバックアップの場合

このプロセスは、バックアップボールトがロックされているかどうかにかかわらず、すべてのスナップショットシナリオに適用されます。既存のバックアッププランを移行する場合、または新しいバックアッププランで既存のバックアップボールト (プライマリ) と論理エアギャップボールト (コピー) を使用する場合:

Amazon S3 継続的バックアップの場合

プライマリバックアップターゲットとしての論理エアギャップボールトは、Amazon S3 の継続的バックアップをサポートします。ただし、1 つのボールトでリソースごとに 1 つのアクティブな継続的復旧ポイントのみを維持できます。既存のアクティブな Amazon S3 継続的復旧ポイントがある場合は、別のボールトに新しいポイントを作成する前に、関連付けを解除または削除する必要があります。論理エアギャップボールトターゲット (同じアカウントから) を既存のアクティブな Amazon S3 継続的復旧ポイントでバックアッププランに追加すると、継続的バックアップジョブが失敗します。

Amazon S3 の継続的復旧ポイントを、ロック解除されたバックアップボールトから論理エアギャップボールトに移行するには:

Amazon S3 継続的リカバリポイントを、ロックされたバックアップボールトから論理エアギャップボールトに移行するには:

完全な AWS Backup 管理移行パスをサポートしていないリソース

完全に管理されていないリソースには、論理エアギャップボールトへのコピーオペレーションが必要です。このプロセスでは、標準バックアップボールトに一時的な復旧ポイント (請求可能) が作成され、論理エアギャップボールトに自動的にコピーされ、コピーが完了すると削除されます。論理エアギャップボールトターゲットを含めるようにバックアッププランを更新する場合:

トラブルシューティング

バックアップジョブまたはコピージョブがライフサイクル非互換性エラーで失敗する

バックアップジョブのエラー: Backup job failed because the lifecycle is outside the valid range for backup vault.

コピージョブのエラー: Copy job failed. The retention specified in the job is not within the range specified for the target Backup Vault.

考えられる原因: 保持期間が論理エアギャップボールトの最小または最大保持設定と互換性がないため、バックアップジョブまたはコピージョブが失敗します。

解決策: バックアッププランを更新して、論理エアギャップボールトに設定された最小保持期間と最大保持期間以内の保持期間を指定します。

「既に継続的バックアップが有効になっています」で継続的バックアップジョブが失敗する

エラー: Bucket {bucket_name} already has continuous backup enabled for another vault Backup job failed.

考えられる原因: 別のボールトにリソースの継続的な復旧ポイントがすでに存在するため、継続的なバックアップジョブが失敗します。

解決策: 各リソースには 1 つの継続的復旧ポイントのみを含めることができます。バックアップボールトがロック解除されている場合は、disassociate-recovery-point コマンドを使用して、既存の継続的復旧ポイントの関連付けを解除します。バックアップボールトがロックされている場合は、ライフサイクルに従って既存の継続的復旧ポイントの有効期限が切れるまで待ちます。

バックアップジョブが「Completed with issues」で完了 - サポートされていないリソースタイプ

メッセージ: Backup job completed successfully to the target backup vault. This resource type is not supported by logically air-gapped backup vault.

考えられる原因: サポートされていない完全マネージド型リソースのバックアップジョブは、リソースがサポートされていないことを示すメッセージとともに「問題で完了した」と表示されます。

解決策: サポートされていないリソースタイプは、バックアップボールトにのみバックアップされます。これらのバックアップをバックアップボールトに保持する場合、アクションは必要ありません。サポートされていないリソースを論理エアギャップボールトと組み合わせたくない場合は、次のことができます。

バックアップジョブが「問題で完了済み」で完了 - サポートされていない暗号化キー

メッセージ: Backup job completed successfully to the target backup vault. This resource is encrypted with an AWS managed key and cannot be copied to a logically air-gapped backup vault.

考えられる原因: サポートされていない完全マネージド型リソースのバックアップジョブは、リソースが AWS マネージドキーで暗号化されていることを示すメッセージで「問題で完了した」と表示されます。

解決策: AWS マネージドキーで暗号化された完全に管理されていないリソースは、論理エアギャップボールトにコピーできません。これらのバックアップをバックアップボールトに保持する場合、アクションは必要ありません。サポートされていないリソースを論理エアギャップボールトと組み合わせたくない場合は、次のことができます。

復旧ポイントは EXPIRED状態のままです

考えられる原因: 一時的な復旧ポイントが EXPIRED状態に移行しますが、削除されません。

解決策: AWS Backup 復旧ポイントを削除するアクセス許可がない可能性があります。バックアップロールに必要な IAM アクセス許可があることを確認します。expired 復旧ポイントを手動で削除する必要がある場合があります。

バックアップ頻度が高いため、コピージョブがキューに入っているか失敗する

考えられる原因: 論理エアギャップボールトへのコピージョブは、コピーが完了するよりも頻繁にバックアップがスケジュールされるため、キューイングまたは失敗しています。

解決策: バックアップ間隔を短くするか、バックアップスケジュールを調整してバックアップ間隔を長くします。同時コピーの制限については、AWS Backup クォータのドキュメントを参照してください。