AWS Backup の LAG vault で EBS Snapshots Archive を有効にしたバックアッププランを作ってみた
はじめに
2026年11月12日、AWS Backup の logically air-gapped vault（LAG vault）が EBS Snapshots Archive に対応しました。LAG vault 内の EBS バックアップをアーカイブ階層へ移せます。
この記事では、LAG vault を作成し、アーカイブを有効にしたバックアッププランの作成・更新が受理される条件を AWS CLI で確かめました。
LAG vault の作成
リージョンは ap-northeast-1、AWS CLI は 2.40.3 を利用しました。最小保持期間 7 日、最大保持期間 365 日で LAG vault を作成しました。
aws backup create-logically-air-gapped-backup-vault --backup-vault-name devio-lag-archive-test --min-retention-days 7 --max-retention-days 365 --backup-vault-tags Purpose=devio-verify
作成直後の状態は CREATING でした。約 2 分後に次のコマンドで AVAILABLE になったことを確認してから、プランの作成に進みました。
aws backup describe-backup-vault --backup-vault-name devio-lag-archive-test --query \{State:VaultState\,Type:VaultType\,Locked:Locked\,Min:MinRetentionDays\,Max:MaxRetentionDays\,Key:EncryptionKeyType\}
{
"State": "AVAILABLE",
"Type": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
"Locked": true,
"Min": 7,
"Max": 365,
"Key": "AWS_OWNED_KMS_KEY"
}
アーカイブ有効のプランを作る
LAG vault をプライマリのバックアップ先にするか、コピー先にするかで、プランの書き方が変わります。
プライマリに指定する
バックアップルールの TargetBackupVaultName に LAG vault を指定すると、プランの作成は次のエラーで拒否されました。
aws: [ERROR]: An error occurred (InvalidRequestException) when calling the CreateBackupPlan operation: A LogicallyAirGappedBackupVault vault type cannot be a target for a backup plan. Choose a different vault type, then retry request.
EBS は LAG vault へ直接バックアップされず、標準 vault に作った一時的なバックアップが LAG vault へコピーされます。そのため、LAG vault をプライマリにする場合も、TargetBackupVaultName には標準 vault を指定します。これとは別に TargetLogicallyAirGappedBackupVaultArn に LAG vault の ARN を指定します。
アーカイブは、同じルールの Lifecycle で OptInToArchiveForSupportedResources を true にして有効にします。MoveToColdStorageAfterDays には、アーカイブへ移すまでの warm の期間を入れます。次の内容を plan-primary.json として保存します。
{
"BackupPlanName": "P1-monthly-ok",
"Rules": [
{
"RuleName": "rule",
"ScheduleExpression": "cron(0 5 1 * ? *)",
"TargetBackupVaultName": "devio-std-source-test",
"TargetLogicallyAirGappedBackupVaultArn": "arn:aws:backup:ap-northeast-1:<ACCOUNT_ID>:backup-vault:devio-lag-archive-test",
"Lifecycle": {
"MoveToColdStorageAfterDays": 30,
"DeleteAfterDays": 120,
"OptInToArchiveForSupportedResources": true
}
}
]
}
devio-std-source-test は検証用に作った標準 vault です。お使いの環境では、既存の標準 vault の名前に置き換えてください。
aws backup create-backup-plan --backup-plan file://plan-primary.json
この設定でプランを作成できました。
コピー先に指定する
コピー先に LAG vault を使う場合は、CopyActions の DestinationBackupVaultArn に LAG vault の ARN を指定します。同じ CopyActions 内の Lifecycle に、アーカイブの設定を置きます。次の内容を plan-copy.json として保存します。
{
"BackupPlanName": "C1-copy-monthly-ok",
"Rules": [
{
"RuleName": "rule",
"ScheduleExpression": "cron(0 5 1 * ? *)",
"TargetBackupVaultName": "devio-std-source-test",
"Lifecycle": {
"DeleteAfterDays": 7
},
"CopyActions": [
{
"DestinationBackupVaultArn": "arn:aws:backup:ap-northeast-1:<ACCOUNT_ID>:backup-vault:devio-lag-archive-test",
"Lifecycle": {
"MoveToColdStorageAfterDays": 30,
"DeleteAfterDays": 120,
"OptInToArchiveForSupportedResources": true
}
}
]
}
]
}
aws backup create-backup-plan --backup-plan file://plan-copy.json
こちらもプランを作成できました。
設定が通る条件
頻度、総保持期間、vault の保持期間について、受理される値と拒否される値を確かめました。以降の「受理」は、プランの作成・更新の API がエラーを返さなかったことを指します。
バックアップの頻度
アーカイブを有効にしたプライマリ指定のプランを、スケジュールだけ変えて作成しました。
| スケジュール | ScheduleExpression | 結果 |
|---|---|---|
| 毎月 1 日 | cron(0 5 1 * ? *) |
受理 |
| 毎月第 1 月曜 | cron(0 5 ? * 2#1 *) |
受理 |
| 毎月 1 日と 15 日 | cron(0 5 1,15 * ? *) |
拒否 |
| 毎週月曜 | cron(0 5 ? * 2 *) |
拒否 |
| 毎日 | cron(0 5 * * ? *) |
拒否 |
拒否されたスケジュールでは、いずれも次のエラーが返りました。
aws: [ERROR]: An error occurred (InvalidParameterValueException) when calling the CreateBackupPlan operation: Error in some rules due to : Cold storage for archive supported resources can be only applied to backup plans with at least monthly frequency. Please update frequency to more than 28 days.
毎月 1 日のプランのスケジュールを update-backup-plan で毎日に更新した場合も、同じエラーで拒否されました。
総保持期間と warm の期間
アーカイブを有効にする場合、総保持期間（DeleteAfterDays）は warm の期間（MoveToColdStorageAfterDays）より 90 日以上長くする必要があります。warm の期間を 30 日にして総保持期間を変えると、次のようになりました。
| 指定先 | warm の期間 | 総保持期間 | 結果 |
|---|---|---|---|
| プライマリ | 30 | 120 | 受理 |
| プライマリ | 30 | 119 | 拒否 |
| プライマリ | 30 | 100 | 拒否 |
| コピー先 | 30 | 100 | 拒否 |
拒否された行では、いずれも次のエラーが返りました。
aws: [ERROR]: An error occurred (InvalidParameterValueException) when calling the CreateBackupPlan operation: Error in some rules due to : Invalid lifecycle. DeleteAfterDays cannot be less than 90 days apart from MoveToColdStorageAfterDays
アーカイブを有効にして warm の期間を省略した場合も拒否され、次のエラーが返りました。
aws: [ERROR]: An error occurred (InvalidParameterValueException) when calling the CreateBackupPlan operation: Error in some rules due to : Invalid lifecycle. MoveToColdStorageAfterDays cannot be null when opted in to ArchiveForSupportedResources
vault の保持期間との関係
プライマリ指定では、総保持期間が vault の最小・最大保持期間（7〜365 日）から外れると拒否されました。コピー先指定では、範囲外の値でもプラン作成時に受理されました。アーカイブが有効な行の warm の期間は 30 日です。
| 指定先 | アーカイブ | 総保持期間 | 結果 |
|---|---|---|---|
| プライマリ | 有効 | 365 | 受理 |
| プライマリ | 有効 | 366 | 拒否 |
| プライマリ | 有効 | 400 | 拒否 |
| プライマリ | 有効 | 省略 | 拒否 |
| プライマリ | 無効 | 400 | 拒否 |
| プライマリ | 無効 | 5 | 拒否 |
| コピー先 | 有効 | 400 | 受理 |
| コピー先 | 無効 | 400 | 受理 |
| コピー先 | 無効 | 5 | 受理 |
拒否された行では、いずれも次のエラーが返りました。
aws: [ERROR]: An error occurred (InvalidParameterValueException) when calling the CreateBackupPlan operation: Lifecycle is incompatible with the retention setting of the logically air-gapped backup vault.
AWS Backup のドキュメントには、総保持期間は vault の最小・最大保持期間の範囲内に収める必要があると書かれています。
リソースの削除
検証用に作成したバックアッププラン、標準 vault、LAG vault を削除しました。Locked が true の LAG vault でも、バックアップが 0 件であれば次のコマンドで削除できました。
aws backup delete-backup-vault --backup-vault-name devio-lag-archive-test
削除後、LAG vault の一覧は 0 件でした。
まとめ
AWS Backup の LAG vault で、EBS Snapshots Archive を有効にしたプランを作成できることを確認しました。
LAG vault は、デフォルトでロックされた変更不可のバックアップを保存します。アーカイブへ移すと、そのバックアップをアクセス頻度の低いスナップショット向けの低コストの階層に保存できます。
バックアップに長期保存やコンプライアンスの要件がある場合に、ご活用ください。
