AWS BackupでVSSスナップショットに失敗した際に確認する点

#AWS Backup

#AWS

平井裕二

2024.03.07

困っていた内容

AWS BackupでWindows Volume Shadow Copy Services（VSS）のバックアップを試みたものの、ステータスが「問題ありで完了」と表示され、VSSスナップショットが取得できませんでした。

AWS Backupのバックアップジョブのエラー内容は以下の通りでした。

WindowsVSS Backup attempt failed because of insufficient privileges to perform this operation.

前提

プライベートサブネット内に配置されたEC2インスタンスが、VPCエンドポイントを介して各AWSサービスと通信する環境を想定しています。また、VSSに対応したアプリケーションがインストールされていることも前提とします。

VSSスナップショットの取得プロセスは、AWS Backupがバックアップを開始すると、Systems Manager Run CommandでEC2に対して、SSMドキュメントのAWSEC2-CreateVssSnapshotを実行し、スナップショットを取得する流れです。

引用

確認すべき点

エラーメッセージをもとに問題を解決するのが一般的ですが、今回はVSSスナップショットを実行する上で、最低限インフラ側で確認すべきポイントをまとめました。

以下にそれぞれのポイントについて説明します。

マネージドインスタンスであるか
EC2に、VSSスナップショットのための権限が存在するか
VSSのコンポーネントがインストール済みか
AWS BackupでWindows VSSを有効化しているか
VPCエンドポイントが存在しているか

マネージドインスタンスであるか

対象のEC2がマネージドインスタンスであるか確認します。

AWSマネジメントコンソールのSSMのフリートマネージャーから、[ノードの状態]で確認できます。

[実行中]であれば、マネージドインスタンスですが、[停止しました]であれば、アンマネージドインスタンスです。

アンマネージドインスタンスの場合は、以下の記事を参考に環境を確認・修正します。

確認すべき主な項目は以下の通りです。

SSMエージェントが起動しているか
EC2インスタンスには、SSM実行権限があるか
SSMへの通信経路として、VPCエンドポイントが存在しているか
セキュリティグループのアウトバウンドでHTTPSを許可しているか

EC2にVSSスナップショットの権限が存在するか

SSM Run Commandを使用して、SSMドキュメントのAWSEC2-CreateVssSnapshotを実行するためには、以下のIAMポリシーがEC2インスタンスに適用されている必要があります。

追記：マネージドポリシーAWSEC2VssSnapshotPolicyが用意されたので、手動で作成するのではなくこれを適用しましょう。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": [
                "arn:aws:ec2:*::snapshot/*",
                "arn:aws:ec2:*::image/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstanceAttribute",
                "ec2:CreateSnapshot",
                "ec2:CreateSnapshots",
                "ec2:CreateImage",
                "ec2:DescribeImages",
                "ec2:DescribeSnapshots"
            ],
            "Resource": "*"
        }
    ]
}

IAMポリシーの権限を制限したい場合は、以下のドキュメントを参照してください。