AWS Backup のボールトロック

AWS Backup ボールトロックは、バックアップボールトのオプション機能で、バックアップボールトのセキュリティと管理を強化するのに役立ちます。コンプライアンスモードでロックが有効になっていて、猶予期間が終了すると、復旧ポイントが含まれている限り、顧客、アカウント/データ所有者、または AWS によるボールト設定の変更または削除ができなくなります。各ボールトには 1 つのボールトロックを設定できます。

AWS Backup では、保持期間が満了するまでバックアップを利用できるようにします。ユーザー (ルートユーザーを含む) が、ロックされたボールト内のバックアップの削除や、ライフサイクルプロパティの変更を試みると、AWS Backup では、その操作が拒否されます。

ボールトロックモード

ボールトロックを作成する場合、ガバナンスモードとコンプライアンスモードの 2 つのモードを選択できます。ガバナンスモードは、十分な IAM アクセス許可を持つユーザーだけがボールトを管理できるようにするためのものです。ガバナンスモードは、指定された担当者のみがバックアップボールトを変更できるようにすることで、組織がガバナンス要件を満たすのに役立ちます。コンプライアンスモードは、データ保持期間が終了するまでボールト (ひいてはその内容) が削除または変更されないことが見込まれるバックアップボールトを対象としています。コンプライアンスモードのボールトがロックされると、イミュータブルになります。つまり、ロックを削除できなくなります (ボールト自体が空で、復旧ポイントが含まれていない場合は削除できます)。

ガバナンスモードでロックされたボールトは、適切な IAM アクセス許可を持つユーザーが管理または削除できます。

コンプライアンスモードのボールトロックは、どのユーザーも、また、AWS でも変更、削除ができません。コンプライアンスモードのボールトロックには、ロックされてコンテンツとボールトロックがイミュータブルになるまでの猶予期間が設定されています。

ボールトロックのメリット

AWS Backup ボールトロックには以下のようないくつかのメリットがあります。

コンソールを使用してバックアップボールトをロックする

バックアップコンソールを使用して、AWS Backup ボールトにボールトロックを追加できます。

手順が正常に完了すると、コンソールの上部に「成功」バナーが表示されます。

バックアップボールトのロック (プログラムによる)

AWS Backup ボールトロックを設定するには、API PutBackupVaultLockConfiguration を使用します。含めるパラメータは、使用するボールトロックモードによって異なります。ガバナンスモードでボールトロックを作成する場合は、ChangeableForDays を含めないでください。このパラメータを含めると、ボールトロックはコンプライアンスモードで作成されます。

コンプライアンスモードのボールトロック作成の CLI サンプルを次に示します。

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --changeable-for-days 3 \
        --min-retention-days 7 \
        --max-retention-days 30

ガバナンスモードのボールトロック作成の CLI サンプルを以下に示します。

aws backup put-backup-vault-lock-configuration \
        --backup-vault-name my_vault_to_lock \
        --min-retention-days 7 \
        --max-retention-days 30

次の 4 つのオプションを設定できます。

AWS Backup のボールトロック設定のバックアップボールトを確認する

DescribeBackupVault または ListBackupVaults API を呼び出すことで、いつでもボールトの AWS Backup ボールトロックステータスを確認することができます。

ボールトロックを、バックアップボールトに適用したかを判断するには、DescribeBackupVault を呼び出し、Locked プロパティを確認します。"Locked": true の場合は次の例のように、バックアップボールトへ AWS Backup のボールトロックを適用します。

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 1,
    "Locked": true,
    "MinRetentionDays": 7,
    "MaxRetentionDays": 30,
    "LockDate": "2021-09-30T10:12:38.089000-07:00"
}

前の出力では、次のオプションが確認できます。

"Locked":false の場合、次の例のようにボールトロックを適用していません (または以前のものが削除されていません)。

{
    "BackupVaultName": "my_vault_to_lock",
    "BackupVaultArn": "arn:aws:backup:us-east-1:555500000000:backup-vault:my_vault_to_lock",
    "EncryptionKeyArn": "arn:aws:kms:us-east-1:555500000000:key/00000000-1111-2222-3333-000000000000",
    "CreationDate": "2021-09-24T12:25:43.030000-07:00",
    "CreatorRequestId": "ac6ce255-0456-4f84-bbc4-eec919f50709",
    "NumberOfRecoveryPoints": 3,
    "Locked": false
}

猶予期間中のボールトロック削除 (コンプライアンスモード)

猶予期間 (ボールトをロックしてから、LockDate までの期間) に AWS Backup コンソールを使用してボールトロックを削除するには、

すべての手順が正常に完了すると、コンソール画面の上部に [成功] バナーが表示されます。

CLI コマンドを使用して猶予時間中にボールトロックを削除するには、次の　CLI サンプルのように DeleteBackupVaultLockConfiguration を使用します。

aws backup delete-backup-vault-lock-configuration \
          --backup-vault-name my_vault_to_lock

ボールトがロックされた状態での AWS アカウント の閉鎖

バックアップボールトを含む AWS アカウント を閉じると、AWS および AWS Backup は、バックアップをそのまま維持してアカウントを 90 日間停止します。その 90 日間にアカウントを再開しないと、AWS は、AWS Backup ボールトロックが有効になっていたとしても、バックアップボールトの内容を削除します。

セキュリティに関するその他の考慮事項

AWS Backup のボールトロックは、データ保護の防御にセキュリティレイヤーを追加します。ボールトロックは、以下の他のセキュリティ機能と組み合わせることができます。