AWS Backupで大阪リージョンで稼働するEC2環境を保護してみた

AWS大阪リージョンで稼働するEC2の日次バックアップとリージョン間コピーをAWS Backupで行ってみました。

#AWS Backup

#AWS CloudFormation

#AWS

suzuki.ryo

2021.07.07

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

AWSチームのすずきです。

2021年3月に開設された大阪リージョンで稼働するシステムのデータを保護するため、 AWS Backup を設定する機会がありましたので紹介させて頂きます。

概要図

IAM設定

デフォルトのサービスロール「AWSBackupDefaultServiceRole」を利用しました。

過去にAWS Backup の利用実績が無いアカウントでは、以下の記事を参考に事前にサービスロールを追加してください。

AWSBackup設定

東京リージョン

DRを想定したAMIのコピー先とする東京リージョンに、CloudFormationを利用して「BackupVault」を作成しました。

AWSTemplateFormatVersion: "2010-09-09"
Description: "AWS Backup BackupVault (DR destination)"
Resources:
  BackupVault:
    Type: AWS::Backup::BackupVault
    Properties:
      BackupVaultName: !Sub 'BackupVault-Osaka-DR'
Outputs:
  BackupVaultArn:
    Value: !GetAtt 'BackupVault.BackupVaultArn'

「BackupVault」のARNは、大阪リージョンのAWS Backup設定で利用します。

大阪リージョン

大阪リージョンに「BackupPlan」と「BackupVault」を作成しました。

コピー先は、東京リージョンで作成した「BackupVault」のARNを引数で指定しました。

AWSTemplateFormatVersion: '2010-09-09'
Description: AWS Backup EC2 osaka
Parameters:
  DrBackupVaultArn:
    Description: DestinationBackupVaultArn
    Type: String
    Default: arn:aws:backup:ap-northeast-1:000000000000:backup-vault:BackupVault-Osaka-DR
  TargetEc2Tag:
    Description: Backup target EC2 tag
    Type: String
    Default: cm-aws-backup-1
Resources:
  BackupVault:
    Type: AWS::Backup::BackupVault
    Properties:
      BackupVaultName: !Sub 'BackupVault-Osaka-EC2'
  BackupPlan:
    Type: AWS::Backup::BackupPlan
    DependsOn: BackupVault
    Properties:
      BackupPlan:
        BackupPlanName: !Sub 'BackupPlan-Osaka-EC2'
        AdvancedBackupSettings:
          - ResourceType: EC2
            BackupOptions:
              WindowsVSS: disabled
        BackupPlanRule:
          - RuleName: RuleForDailyBackups
            StartWindowMinutes: 60
            CompletionWindowMinutes: 120
            TargetBackupVault: !Ref 'BackupVault'
            ScheduleExpression: cron(0 16 ? * 1-7 *)
            Lifecycle:
              DeleteAfterDays: 7
            CopyActions:
              - DestinationBackupVaultArn: !Ref 'DrBackupVaultArn'
                Lifecycle:
                  DeleteAfterDays: 7
  TagBasedBackupSelection:
    Type: AWS::Backup::BackupSelection
    Properties:
      BackupSelection:
        SelectionName: TagBasedBackupSelection
        IamRoleArn: !Sub 'arn:aws:iam::${AWS::AccountId}:role/service-role/AWSBackupDefaultServiceRole'
        ListOfTags:
          - ConditionType: STRINGEQUALS
            ConditionKey: !Ref 'TargetEc2Tag'
            ConditionValue: enable
      BackupPlanId: !Ref 'BackupPlan'
    DependsOn: BackupPlan