![[アップデート] AWS Backup で RDS/Aurora/Neptune/DocumentDB がワンステップでクロスリージョン＆クロスアカウントにスナップショットをコピーできるようになりました](https://images.ctfassets.net/ct0aopd36mqt/wp-thumbnail-61c3c74c9fbde5b3bc234043f3ce3128/3c555f171fd799831bf6aeb586ca13bf/aws-backup?w=3840&fm=webp)
[アップデート] AWS Backup で RDS/Aurora/Neptune/DocumentDB がワンステップでクロスリージョン＆クロスアカウントにスナップショットをコピーできるようになりました
いわさです。
AWS Backup は様々なサービスのバックアップを一元的に管理することが出来るサービスです。
AWS Backup で作成したスナップショットは他リージョンや他アカウントのボールトへコピーすることが出来ます。
これまで様々なサービスで、このクロスリージョンかつクロスアカウントのボールトへのスナップショットコピーをワンステップで行うことが出来ていたのですが、RDS / Aurora / DocumentDB / Neptune についてはクロスリージョンコピーとクロスアカウントコピーをそれぞれ個別に実行しなくてはいけない制限事項がありました。
そのため、公式ドキュメント上でもコピースクリプトなどを組む際にはリージョンコピーの完了を待機してからアカウントコピーを行うなどが必要だと言及されていました。
AWS Backup 機能の可用性 - AWS Backup より
これが、先日のアップデートで RDS / Aurora / DocumentDB / Neptune についてもワンステップでクロスリージョンとクロスアカウントのコピーをまとめて実行できるようになりました。
英語版ドキュメントでも次のようにワンステップで実行できる旨で修正されています。
AWS Backup feature availability - AWS Backup より
今までワンステップで実施する機会は多くなかったのですが、最近ランサムウェアの関係で別アカウント・別リージョンへのバックアップコピーについて少し調べていまして、先日も以下のようなブログ記事を書いています。
今回は AWS Backup で検証してみましたのでその様子を紹介します。
RDS スナップショットのクロスリージョン＆クロスアカウントコピー
今回は同一組織内のふたつのアカウント間でスナップショットのコピーを行いました。
アカウント A の東京リージョンのボールトに保存されている RDS スナップショットを、アカウント B の大阪リージョンのボールトにオンデマンドコピーしてみます。
アカウント A の東京リージョンでボールトの復旧ポイントを選択して「コピー」を開始します。
コピー設定でまずリージョンに大阪リージョンを指定します。
続いて「別のアカウントのボールトにコピー」を ON にして、外部ボールト ARN にアカウント B の大阪リージョンに存在するボールトの ARN を入力します。
上記で「許可」を行うと移行元ボールトに対して移行先 AWS アカウントからのアクセス許可を与えることが出来ます。
また、事前に外部アカウント（or 組織内共有）をコピー先ボールトに設定しておく必要があります。
あとはコピージョブを実行するだけです。
何度か失敗した形跡がありますね。後述の注意点がいくつかあるのですがうまくいけば完了するはず。
アカウント B 大阪リージョンのボールトを確認してみると復旧ポイントが作成されていることが確認できました。
同一組織である必要がある
今回気がついた点があります。
冒頭の RDS の場合は同一組織ではないアカウントへもクロスアカウント＆クロスリージョンのスナップショットコピーが出来たのですが、どうやら AWS Backup の場合は組織外のアカウントへのコピーを行うには AWS Organizations 周りの設定変更が必要みたいです。
上記でクロスアカウント設定できたとしてもコピージョブの実行時に組織跨ぎをしようとすると次のエラーになりました。
コピー先ボールトはカスタマーマネージドキーで暗号化している必要がある
デフォルトでは AWS Backup のボールトは AWS マネージドキーで暗号化されるのですが、この場合はクロスアカウントコピーに失敗します。
コピー元は AWS マネージドキーでも良いみたいなのですが、コピー先ボールトは KMS のカスタマーマネージドキーを使うようにしましょう。
さいごに
本日は AWS Backup で RDS/Aurora/Neptune/DocumentDB がワンステップでクロスリージョン＆クロスアカウントにスナップショットをコピーできるようになったので、RDS スナップショットで試してみました。
ランサムウェア関係でクロスリージョン＆クロスアカウントのバックアップコピーへの関心が高まっている人もいると思うのでこちらの機能もチェックしておきましょう。
RDS のバックアップ機能であれば簡単に組織外のクロスアカウントコピーが実現できるのでそのあたり AWS Backup と差がありますね。
