Amazon EBS の暗号化とスナップショット共有 - クロスアカウント・クロスリージョンの設計

EBS デフォルト暗号化

EBS のデフォルト暗号化をアカウントのリージョン設定で有効化すると、そのリージョンで新規作成される全 EBS ボリュームとスナップショットが自動的に暗号化されます。既存の非暗号化ボリュームには影響しません。暗号化キーは AWS マネージドキー (aws/ebs) またはカスタマーマネージドキー (CMK) を選択できます。CMK を使用すると、キーポリシーでアクセスを制御でき、キーの自動ローテーションを有効化できます。暗号化によるパフォーマンスへの影響は無視できるレベルで、Nitro ベースのインスタンスではハードウェアアクセラレーションにより暗号化のオーバーヘッドはほぼゼロです。

この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。

スナップショットのクロスアカウント共有

EBS スナップショットは他の AWS アカウントと共有できます。非暗号化スナップショットはアカウント ID を指定するだけで共有可能ですが、暗号化スナップショットの共有には追加の設定が必要です。暗号化に使用した KMS キーのキーポリシーで、共有先アカウントに kms:DescribeKey、kms:CreateGrant、kms:Decrypt の権限を付与します。AWS マネージドキー (aws/ebs) で暗号化されたスナップショットは共有できないため、クロスアカウント共有を前提とする場合は CMK で暗号化する必要があります。共有先アカウントではスナップショットからボリュームを作成する際に、自アカウントの KMS キーで再暗号化することを推奨します。

クロスリージョンコピーと DR

スナップショットのクロスリージョンコピーは DR の基本的な手法です。DLM ポリシーでクロスリージョンコピーを有効化すると、日次スナップショットの作成と同時に DR リージョンへのコピーが自動実行されます。コピー先リージョンでの保持世代数も個別に設定でき、DR リージョンでは直近 3 世代のみ保持するといったコスト最適化が可能です。スナップショットアーカイブは 90 日以上保持するスナップショットを低コストのアーカイブ層に移行する機能で、標準ストレージと比較して最大 75% のコスト削減が可能です。アーカイブからの復元には最大 72 時間かかるため、即時復旧が必要なスナップショットは標準層に保持します。

さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。

まとめ

EBS の暗号化とスナップショット管理は、データ保護と DR の基盤です。デフォルト暗号化で全ボリュームの暗号化を強制し、DLM でスナップショットのライフサイクルとクロスリージョンコピーを自動化します。クロスアカウント共有では CMK の使用とキーポリシーの適切な設定が重要です。