翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# Amazon EFS を使用した AWS DataSync 転送の設定
Amazon EFS ファイルシステムとの間でデータを転送するには、 AWS DataSync 転送*場所*を作成する必要があります。DataSync では、このロケーションをデータ転送元あるいは転送先として利用することができます。
## DataSync に対する Amazon EFS ファイルシステムへのアクセス許可の付与
[ロケーションを作成する](#create-efs-location-how-to)ときは、DataSync がどのようにストレージにアクセスするのかを理解しておく要があります。Amazon EFS では、DataSync は[ネットワークインターフェイス](required-network-interfaces.md)を使用して、ルートユーザーとしてファイルシステムを仮想プライベートクラウド (VPC) からマウントします。
**Contents**
+ [マウントターゲットのサブネットおよびセキュリティグループの決定](#create-efs-location-mount-target)
+ [制限付きファイルシステムへのアクセス](#create-efs-location-iam)
+ [ファイルシステムにアクセスするための DataSync の IAM ロールの作成](#create-efs-location-iam-role)
+ [DataSync にアクセスを許可するファイルシステムポリシーの例](#create-efs-location-iam-policy)
### マウントターゲットのサブネットおよびセキュリティグループの決定
ロケーションを作成するときは、Amazon EFS ファイルシステムの[マウントターゲット](https://docs.aws.amazon.com/efs/latest/ug/accessing-fs.html)の 1 つに接続することを DataSync に許可するサブネットとセキュリティグループを指定します。
指定するサブネットは次の場所にある必要があります。
+ ファイルシステムと同じ VPC。
+ ファイルシステムの 1 つ以上のマウントターゲットと同じアベイラビリティーゾーン。
**注記**
ファイルシステムのマウントターゲットが含まれるサブネットを指定する必要はありません。
指定するセキュリティグループは、ネットワークファイルシステム (NFS) ポート 2049 でのインバウンドトラフィックを許可する必要があります。マウントターゲットのセキュリティグループの作成および更新に関する詳細は、「[https://docs.aws.amazon.com/efs/latest/ug/network-access.html](https://docs.aws.amazon.com/efs/latest/ug/network-access.html)」を参照してください。
**マウントターゲットに関連付けられたセキュリティグループの指定**
ユーザーは、ファイルシステムのマウントターゲットのうちの 1 つに関連付けられているセキュリティグループを指定することができます。ネットワーク管理の観点からこの方法を使用することをお勧めします。
**マウントターゲットに関連付けられていないセキュリティグループの指定**
ユーザーは、ファイルシステムのマウントターゲットのうちの 1 つに関連付けられていないセキュリティグループも指定できます。ただし、このセキュリティグループはマウントターゲットのセキュリティグループと通信できる必要があります。
例えば、以下の方法で、セキュリティグループ D (DataSync の場合) とセキュリティグループ M (マウントターゲットの場合) の間の関係を作成します。
+ ロケーションの作成時に指定するセキュリティグループ D には、NFS ポート 2049 でセキュリティグループ M へのアウトバウンド接続を許可するルールが必要です。
+ マウントターゲットに関連付けたセキュリティグループ M は、NFS ポート (2049) でセキュリティグループ D からのインバウンドアクセスを許可する必要があります。
**マウントターゲットのセキュリティグループを見つけるには**
以下の手順は、DataSync が転送に使用する Amazon EFS ファイルシステムのマウントターゲットのセキュリティグループを特定するのに役立ちます。
1. で AWS CLI、次の`describe-mount-targets`コマンドを実行します。
```
aws efs describe-mount-targets \
--region file-system-region \
--file-system-id file-system-id
```
このコマンドにより、ファイルシステムのマウントターゲットに関する情報が返されます (次の出力例に類似したもの)。
```
{
"MountTargets": [
{
"OwnerId": "111222333444",
"MountTargetId": "fsmt-22334a10",
"FileSystemId": "fs-123456ab",
"SubnetId": "subnet-f12a0e34",
"LifeCycleState": "available",
"IpAddress": "11.222.0.123",
"NetworkInterfaceId": "eni-1234a044"
}
]
}
```
1. 使用する `MountTargetId` 値をメモしておきます。
1. `MountTargetId` を使用して次の `describe-mount-target-security-groups` コマンドを実行し、マウントターゲットのセキュリティグループを見つけます。
```
aws efs describe-mount-target-security-groups \
--region file-system-region \
--mount-target-id mount-target-id
```
このセキュリティグループは[ロケーションを作成する](#create-efs-location-how-to)ときに指定します。
### 制限付きファイルシステムへのアクセス
DataSync は、[アクセスポイント](https://docs.aws.amazon.com/efs/latest/ug/efs-access-points.html)と [IAM ポリシー](https://docs.aws.amazon.com/efs/latest/ug/iam-access-control-nfs-efs.html) を介してアクセスを制限している Amazon EFS ファイルシステムとの間の転送を行うことができます。
**注記**
DataSync が、[ユーザー ID を必須とする](https://docs.aws.amazon.com/efs/latest/ug/efs-access-points.html#enforce-identity-access-points)アクセスポイントを介して送信先のファイルシステムにアクセスする場合、DataSync のタスクで[所有権をコピーする](configure-metadata.md)ように設定していると、送信元のデータの POSIX ユーザー ID とグループ ID は保持されません。代わりに、転送されたファイルとフォルダは、アクセスポイントのユーザー ID とグループ ID に設定されます。この場合、DataSync が送信元と送信先の各ロケーションのメタデータ間の不一致が検出されるため、タスクの検証は失敗します。
**Contents**
+ [ファイルシステムにアクセスするための DataSync の IAM ロールの作成](#create-efs-location-iam-role)
+ [DataSync にアクセスを許可するファイルシステムポリシーの例](#create-efs-location-iam-policy)
#### ファイルシステムにアクセスするための DataSync の IAM ロールの作成
IAM ポリシーを介してアクセスを制限する Amazon EFS ファイルシステムを使用している場合、ファイルシステムとの間でデータの読み取りまたは書き込みを行うためのアクセス許可を DataSync に付与する IAM ロールを作成できます。続いて、そのロールを[ファイルシステムポリシー](#create-efs-location-iam-policy)で指定する必要がある場合もあります。
**DataSync IAM ロールを作成するには**
1. IAM コンソール ([https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)) を開きます。
1. 左側のナビゲーションペインの **[アクセス管理]** で、**[ロール]** を選択し、**[ロールの作成]** を選択します。
1. **[信頼されたエンティティを選択]** ページで、**[信頼されたエンティティタイプ]** に **[カスタム信頼ポリシー]** を選択します。
1. 以下の JSON をポリシーエディタに貼り付けます。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [{
"Effect": "Allow",
"Principal": {
"Service": "datasync.amazonaws.com"
},
"Action": "sts:AssumeRole"
}]
}
```
------
1. [**次へ**] を選択します。**[アクセス許可を追加]** ページで **[次へ]** を選択してください。
1. ロール名を入力し、**[ロールの作成]** を選択します。
[ロケーションを作成する](#create-efs-location-how-to)ときにこのロールを指定します。
#### DataSync にアクセスを許可するファイルシステムポリシーの例
次のファイルシステムポリシーの例では、Amazon EFS ファイルシステム (ポリシーで `fs-1234567890abcdef0` と識別される) へのアクセスが制限されているものの、`MyDataSyncRole` という IAM ロールを介して DataSync にアクセスを許可する方法を示しています。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Id": "ExampleEFSFileSystemPolicy",
"Statement": [{
"Sid": "AccessEFSFileSystem",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:role/MyDataSyncRole"
},
"Action": [
"elasticfilesystem:ClientMount",
"elasticfilesystem:ClientWrite",
"elasticfilesystem:ClientRootAccess"
],
"Resource": "arn:aws:elasticfilesystem:us-east-1:111122223333:file-system/fs-1234567890abcdef0",
"Condition": {
"Bool": {
"aws:SecureTransport": "true"
},
"StringEquals": {
"elasticfilesystem:AccessPointArn": "arn:aws:elasticfilesystem:us-east-1:111122223333:access-point/fsap-abcdef01234567890"
}
}
}]
}
```
------
+ `Principal` - DataSync にファイルシステムへのアクセスを許可する [IAM ロール](#create-efs-location-iam)を指定します。
+ `Action` - DataSync にルートアクセスを付与してファイルシステムとの間で読み取りと書き込みを許可します。
+ `aws:SecureTransport` - ファイルシステムに接続するときに、NFS クライアントが TLS を使用する必要があります。
+ `elasticfilesystem:AccessPointArn` - 特定のアクセスポイントのみからファイルシステムにアクセスすることを許可します。
## Amazon EFS 転送に関するネットワークの考慮事項
DataSync で使用する VPC にはデフォルトのテナンシーが必要です。専用テナンシーを持つ VPC はサポートされていません。
## Amazon EFS 転送に関するパフォーマンスの考慮事項
Amazon EFS ファイルシステムのスループットモードは、転送の所要時間とファイルシステムのパフォーマンスに影響を与える可能性があります。以下の点を考慮してください。
+ 最善の結果を得るには、Elastic スループットモードを使用することをお勧めします。Elastic スループットモードを使用しないと、転送に時間がかかる可能性があります。
+ バーストスループットモードを使用すると、DataSync がファイルシステムのバーストクレジットを消費するため、ファイルシステムのアプリケーションのパフォーマンスに影響する可能性があります。
+ [DataSync での転送済みデータの検証方法の設定](configure-data-verification-options.md)は、ファイルシステムのパフォーマンスとデータアクセスコストに影響を与える可能性があります。
詳細については、「*Amazon Elastic File System ユーザーガイド*」の「[Amazon EFS performance](https://docs.aws.amazon.com/efs/latest/ug/performance.html)」、および「[Amazon EFS の料金](https://aws.amazon.com/efs/pricing/)」のページを参照してください。
## Amazon EFS の転送場所の作成
転送場所を作成するには、既存の Amazon EFS ファイルシステムが必要です。まだお持ちでない場合は、「*Amazon Elastic File System ユーザーガイド*」の「[Getting started with Amazon EFS](https://docs.aws.amazon.com/efs/latest/ug/getting-started.html)」を参照してください。
### DataSync コンソールの使用
1. [https://console.aws.amazon.com/datasync/](https://console.aws.amazon.com/datasync/) で AWS DataSync コンソールを開きます。
1. 左側のナビゲーションペインで **[データ転送]** を展開し、**[ロケーション]** と **[ロケーションの作成]** を選択します。
1. **[ロケーションタイプ]** には、**[Amazon EFS ファイルシステム]** を選択します。
後でこのロケーションを送信元あるいは送信先として設定します。
1. **[ファイルシステム]** で、エンドポイントとして使用する Amazon EFSファイルシステムを選択します。
1. **[マウントパス]** に Amazon EFS ファイルシステムのマウントパスを入力します。
これにより、ファイルシステム上で DataSync がデータの読み取りまたは書き込み (送信元のロケーションか送信先のロケーションかによって異なります) を行う場所を指定します。
デフォルトでは、DataSync はルートディレクトリ (**EFS アクセスポイント**設定に指定する場合は[アクセスポイント](https://docs.aws.amazon.com/efs/latest/ug/efs-access-points.html)) を使用します。フォワードスラッシュ (例: `/path/to/directory`) を使用してサブディレクトリを指定することもできます。
1. **[サブネット]** で、DataSync がデータ転送のトラフィックを管理するための[ネットワークインターフェイス](required-network-interfaces.md)を作成するサブネットを選択します。
サブネットは次の場所にある必要があります。
+ ファイルシステムと同じ VPC。
+ 少なくとも 1 つのファイルシステムのマウントターゲットと同じアベイラビリティゾーン内。
**注記**
ファイルシステムのマウントターゲットが含まれるサブネットを指定する必要はありません。
1. **[セキュリティグループ]** で、Amazon EFS ファイルシステムのマウントターゲットに関連付けられているセキュリティグループを選択します。複数のセキュリティグループを選択できます。
**注記**
指定するセキュリティ グループは、NFS ポート2049 でのインバウンドトラフィックを許可する必要があります。詳細については、「[マウントターゲットのサブネットおよびセキュリティグループの決定](#create-efs-location-mount-target)」を参照してください。
1. **[転送時の暗号化]** で、DataSync がファイルシステムとの間でデータを転送するときに Transport Layer Security (TLS) 暗号化を使用するかどうかを選択します。
**注記**
Amazon EFS ロケーションでアクセスポイント、IAM ロール、またはその両方を設定する場合は、この設定を有効にする必要があります。
1. (オプション) **[EFS アクセスポイント]** で、DataSync がファイルシステムをマウントするときに使用できるアクセスポイントを選択します。
詳細については、「[制限付きファイルシステムへのアクセス](#create-efs-location-iam)」を参照してください。
1. (オプション) **[IAM ロール]** には、DataSync がファイルシステムにアクセスすることを許可するロールを指定します。
このロールを作成する方法については、「[ファイルシステムにアクセスするための DataSync の IAM ロールの作成](#create-efs-location-iam-role)」を参照してください。
1. (オプション) **[タグを追加]** を選択してファイルシステムにタグを付けます。
タグは、場所の管理、フィルタリング、検索に便利なキー値ペアです。
1. **[ロケーションを作成]** を選択します。
### の使用 AWS CLI
1. 次の `create-location-efs` コマンドをコピーします。
```
aws datasync create-location-efs \
--efs-filesystem-arn 'arn:aws:elasticfilesystem:region:account-id:file-system/file-system-id' \
--subdirectory /path/to/your/subdirectory \
--ec2-config SecurityGroupArns='arn:aws:ec2:region:account-id:security-group/security-group-id',SubnetArn='arn:aws:ec2:region:account-id:subnet/subnet-id' \
--in-transit-encryption TLS1_2 \
--access-point-arn 'arn:aws:elasticfilesystem:region:account-id:access-point/access-point-id' \
--file-system-access-role-arn 'arn:aws:iam::account-id:role/datasync-efs-access-role
```
1. `--efs-filesystem-arn` で、送信先または送信元となる Amazon EFS ファイルシステムの Amazon リソースネーム (ARN) を指定します。
1. `--subdirectory` で、ファイルシステムのマウントパスを指定します。
これは、ファイルシステム上で DataSync がデータの読み取りまたは書き込み (送信元のロケーションか送信先のロケーションかによって異なります) を行う場所です。
デフォルトでは、DataSync はルートディレクトリ (`--access-point-arn` で指定する場合は[アクセスポイント](https://docs.aws.amazon.com/efs/latest/ug/efs-access-points.html)) を使用します。フォワードスラッシュ (例: `/path/to/directory`) を使用してサブディレクトリを指定することもできます。
1. `--ec2-config` について、次の操作を行います。
+ `SecurityGroupArns` で、ファイルシステムのマウントターゲットに関連付けられたセキュリティグループの ARN を指定します。複数のセキュリティグループを指定できます。
**注記**
指定するセキュリティ グループは、NFS ポート2049 でのインバウンドトラフィックを許可する必要があります。詳細については、「[マウントターゲットのサブネットおよびセキュリティグループの決定](#create-efs-location-mount-target)」を参照してください。
+ `SubnetArn` で、DataSync に、データ転送のトラフィックを管理するための[ネットワークインターフェイス](required-network-interfaces.md)を作成させる、サブネットの ARN を指定します。
サブネットは次の場所にある必要があります。
+ ファイルシステムと同じ VPC。
+ 少なくとも 1 つのファイルシステムのマウントターゲットと同じアベイラビリティゾーン内。
**注記**
ファイルシステムのマウントターゲットが含まれるサブネットを指定する必要はありません。
1. `--in-transit-encryption` で、DataSync がファイルシステムとの間でデータを転送するときに Transport Layer Security (TLS) 暗号化を使用するかどうかを指定します。
**注記**
Amazon EFS ロケーションでアクセスポイント、IAM ロール、またはその両方を設定する場合は、この設定を `TLS1_2` にする必要があります。
1. (オプション) `--access-point-arn` で、DataSync がファイルシステムをマウントするときに使用できるアクセスポイントの ARN を指定します。
詳細については、「[制限付きファイルシステムへのアクセス](#create-efs-location-iam)」を参照してください。
1. (オプション) `--file-system-access-role-arn` で、DataSync がファイルシステムにアクセスすることを許可する IAM ロールの ARN を指定します。
このロールを作成する方法については、「[ファイルシステムにアクセスするための DataSync の IAM ロールの作成](#create-efs-location-iam-role)」を参照してください。
1. `create-location-efs` コマンドを実行します。
コマンドが成功すると、作成した場所の ARN を示す応答が返されます。例えば、次のようになります。
```
{
"LocationArn": "arn:aws:datasync:us-east-1:111222333444:location/loc-0b3017fc4ba4a2d8d"
}
```