[アップデート] AWS Backup Audit Manager で「Logically air-gapped vault」の格納状況を検出するためのコントロールがフレームワークに追加されました

いわさです。

先日、AWS Backup の新しいボールト「Logically air-gapped vault」の GA について紹介しました

https://dev.classmethod.jp/articles/ga-backup-logically-air-gapped-vault/

上記記事を書くきっかけでもあったのですが、つい先日のアップデートで AWS Backup Audit Manager で Logically air-gapped vault に関するコントロールが追加されています。

https://aws.amazon.com/about-aws/whats-new/2024/09/aws-backup-audit-manager-control-audit-resources/

AWS Backup Audit Manager とは、AWS Backup のバックアップルールが正しく機能しているか、組織が期待する状態でバックアップが取得されているかを統制・検出するための機能です。
初期にバックアップ設定をして終わり、ではなくバックアップが機能し続けていることを検証し続けることが出来ます。

新しいコントロール「Logically air-gapped vault」チェックが追加

この AWS Backup Audit Manager はフレームワークをデプロイすることで継続的にワークロードやアカウントのバックアップ統制と監視を行うものになります。

新しいコントロールを確認するために Backup Audit Manager のフレームワークを新規作成してみます。

フレームワーク作成時にコントロールを確認出来ます。
以下の「リソースは論理的に隔離された保管庫の中にある」というコントロールが今回のアップデートで追加されています。
何を指しているのか最初わかりませんでしたが、これは AWS Backup の Logically air-gapped vault にセカンダリバックアップが格納されているかを示しています。

コントロールの編集からコントロールの詳細パラメータを確認してみましょう。
コントロールがチェックする復旧ポイントのコピー頻度（期間内に存在するか）を設定することが出来ます。

あとは他のコントロールと同じように対象リソースも条件に設定することが出来ます。

EFS の復旧ポイントを使ってフレームワークの評価を確認してみる

ちょうど私の環境では AWS Backup を使って EFS の定期バックアップを取得していました。
この状態でフレームワークを作成して確認してみましょう。

AWS Backup によって復旧ポイント自体は作成されていますが、Logically air-gapped vault は使っていない状態でした。
そのため EFS は非準拠して検出されていることがわかります。

是正対応してみます。
今回は手軽にボールト間のコピー機能を使いました。
最新の復旧ポイントを選択し、Logically air-gapped vault へコピーします。

フレームワークは定期的に評価が動作するので即時反映されませんが、AWS Backup Audit Manager は AWS Config ルールを使って評価を行っており、Config ルールの再評価を行うことで個別に更新することが出来ます。
コントロールから Config ルールに辿ってみると、選択するとリソースタイプごとに Config ルールが定義されていることがわかります。
Config ルールのアクションメニューから再評価を実行します。

その後 Backup Audit Manager に戻ってみると、EFS に関するステータスが準拠状態となっていることが確認出来ました。

さいごに

本日は AWS Backup Audit Manager で「Logically air-gapped vault」の格納状況を検出するためのコントロールがフレームワークに追加されたので試してみました。

いつ使ってもバックアップポリシーが準拠され続けているか監査出来る AWS Backup Audit Manager は良いですね。もっと流行っても良いと思いますね。
GA されたばかりですが Logically air-gapped vault を使っている環境下であればぜひ新しいコントロールを使ってみてください。