翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# バックアップポリシーを使用する場合のベストプラクティス
<a name="orgs_manage_policies_backup_best-practices"></a>

AWS では、バックアップポリシーを使用するための以下のベストプラクティスを推奨しています。

## バックアップポリシー戦略を決定する
<a name="bp-bkp-cap"></a>

継承およびマージされた不完全な部分でバックアップポリシーを作成し、各メンバーアカウントの完全なポリシーを作成できます。これを行う場合、あるレベルで、そのレベルより低いすべてのアカウントに対する変更の影響を慎重に考慮せずに変更を加えると、不完全な効果的なポリシーになる危険性があります。これを回避するために、すべてのレベルで実装するバックアップポリシーが単独で完全であるようにすることをお勧めします。親ポリシーは、子ポリシーで指定された設定によってオーバーライドできるデフォルトポリシーとして扱います。これにより、子ポリシーが存在しない場合でも、継承されたポリシーは完全であり、デフォルト値が使用されます。[子制御継承演算子](policy-operators.md#child-control-operators)を使用して、子ポリシーで追加、変更、または削除できる設定を制御できます。

## `GetEffectivePolicy` を使用してバックアップポリシーの変更を検証する
<a name="bp-bkp-workflow"></a>

バックアップポリシーを変更した後、変更を行ったレベルより低い代表アカウントの有効なポリシーを確認します。[有効なポリシーを表示するには、 を使用する AWS マネジメントコンソール](orgs_manage_policies_effective.md)か、[GetEffectivePolicy](https://docs.aws.amazon.com/organizations/latest/APIReference/API_GetEffectivePolicy.html) API オペレーション、またはそのいずれかの AWS CLI または AWS SDK バリアントを使用します。加えた変更が、有効なポリシーに意図した影響を与えていることを確認します。

## 単純なものから始めて、小さな変更を加える
<a name="bp-bkp-rules"></a>

デバッグを簡素化するには、単純なポリシーから開始し、一度に 1 つの項目を変更します。次の変更を行う前に、各変更の動作と影響を検証します。こうすることで、エラーや予期しない結果が発生した場合に考慮する必要がある変数が減ります。

## バックアップのコピーを組織内の他の AWS リージョン およびアカウントに保存する
<a name="bp-bkp-cross-account"></a>

バックアップのコピーを保存しておくと、災害対策の強化につながります。
+ **別のリージョン** – バックアップのコピーを追加で保存する場合 AWS リージョン、元のリージョンで誤って破損または削除されないようにバックアップを保護するのに役立ちます。ポリシーの `copy_actions` セクションを使用し、バックアッププランが実行されるアカウントの 1 つ以上のリージョンにボールトを指定します。これを行うには、バックアップのコピーを保存するバックアップボールトの ARN を指定する際に `$account` 変数を使用し、アカウントを特定します。`$account ` 変数は、バックアップポリシーが実行されているアカウント ID に、実行時に自動的に置き換えられます。
+ **別のアカウント** – バックアップのコピーを追加で保存する場合は AWS アカウント、いずれかのアカウントを侵害する悪意のある攻撃者から保護するのに役立つセキュリティ障壁を追加します。ポリシーの `copy_actions` セクションを使用し、組織内の 1 つ以上のアカウントにボールトを指定します。バックアッププランを実行するアカウントとは別にする必要があります。これを行うには、バックアップのコピーを保存するバックアップボールトの ARN を指定する際に実際のアカウント ID 番号を使用し、アカウントを特定します。

## ポリシーごとのプラン数を制限する
<a name="bp-bkp-educate"></a>

複数のプランを含むポリシーは、すべてを検証する必要がある多数の出力のため、トラブルシューティングが複雑になります。デバッグとトラブルシューティングを簡素化するために、各ポリシーにはバックアッププランを 1 つだけ含めるようにします。その後、他の要件を満たすために、他のプランにポリシーを追加できます。こうすることで、プランに関する問題が 1 つのポリシーに分離され、他のポリシーとそのプランに関する問題のトラブルシューティングが複雑になるのを防ぐことができます。

## スタックセットを使用して必要なバックアップボールトと IAM ロールを作成する
<a name="bp-bkp-compliance"></a>

 AWS CloudFormation スタックセットと Organizations の統合を使用して、組織内の各メンバーアカウントに、必要なバックアップボールトと AWS Identity and Access Management (IAM) ロールを自動的に作成します。組織 AWS アカウント 内のすべての で自動的に使用できるようにするリソースを含むスタックセットを作成できます。こうすることで、依存関係がすでに満たされていることが保証された状態でバックアッププランを実行できます。詳細については、*AWS CloudFormation ユーザーガイド*の[セルフマネージド型のアクセス許可を持つスタックセットの作成](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/stacksets-getting-started-create.html#create-stack-set-service-managed-permissions)を参照してください。

## 各アカウントで作成された最初のバックアップを確認して、結果をチェックします。
<a name="bp-bkp-guardrails"></a>

ポリシーを変更するときは、その変更後に作成された次のバックアップをチェックして、変更が目的の影響を与えたことを確認します。このステップでは、有効なポリシーを確認するだけでなく、 AWS Backup がポリシーを解釈し、意図したとおりにバックアッププランを実装します。