Amazon EBS の暗号化とスナップショット共有 - クロスアカウント・クロスリージョンの設計
デフォルト暗号化の有効化からスナップショットのクロスアカウント共有、クロスリージョンコピーによる DR 設計までを一貫して紹介します。
EBS デフォルト暗号化
EBS のデフォルト暗号化をアカウントのリージョン設定で有効化すると、そのリージョンで新規作成される全 EBS ボリュームとスナップショットが自動的に暗号化されます。既存の非暗号化ボリュームには影響しません。暗号化キーは AWS マネージドキー (aws/ebs) またはカスタマーマネージドキー (CMK) を選択できます。CMK を使用すると、キーポリシーでアクセスを制御でき、キーの自動ローテーションを有効化できます。暗号化によるパフォーマンスへの影響は無視できるレベルで、Nitro ベースのインスタンスではハードウェアアクセラレーションにより暗号化のオーバーヘッドはほぼゼロです。
スナップショットのクロスアカウント共有
EBS スナップショットは他の AWS アカウントと共有できます。非暗号化スナップショットはアカウント ID を指定するだけで共有可能ですが、暗号化スナップショットの共有には追加の設定が必要です。暗号化に使用した KMS キーのキーポリシーで、共有先アカウントに kms:DescribeKey、kms:CreateGrant、kms:Decrypt の権限を付与します。AWS マネージドキー (aws/ebs) で暗号化されたスナップショットは共有できないため、クロスアカウント共有を前提とする場合は CMK で暗号化する必要があります。共有先アカウントではスナップショットからボリュームを作成する際に、自アカウントの KMS キーで再暗号化することを推奨します。
クロスリージョンコピーと DR
スナップショットのクロスリージョンコピーは DR の基本的な手法です。 DLM ポリシーでクロスリージョンコピーを有効化すると、日次スナップショットの作成と同時に DR リージョンへのコピーが自動実行されます。コピー先リージョンでの保持世代数も個別に設定でき、 DR リージョンでは直近 3 世代のみ保持するといったコスト最適化が可能です。スナップショットアーカイブは 90 日以上保持するスナップショットを低コストのアーカイブ層に移行する機能で、標準ストレージと比較して最大 75% のコスト削減が可能です。アーカイブからの復元には最大 72 時間かかるため、即時復旧が必要なスナップショットは標準層に保持します。 ストレージ設計の知見を広げたい場合はAmazon の専門書も活用できます。
EBS スナップショットの料金
EBS スナップショットは増分バックアップで、変更されたブロックのみが保存されます。ストレージ料金は 1 GB あたり月額約 0.05 ドルです。クロスリージョンコピーではコピー先リージョンのストレージ料金に加え、リージョン間のデータ転送料金 (1 GB あたり約 0.02 ドル) が発生します。DLM (Data Lifecycle Manager) でスナップショットの作成・削除を自動化し、保持期間を適切に設定することでストレージコストを管理します。EBS Snapshots Archive は 1 GB あたり月額約 0.0125 ドルで、90 日以上保持するスナップショットのコストを 75% 削減できます。
まとめ
EBS の暗号化とスナップショット管理は、データ保護と DR の基盤です。デフォルト暗号化で全ボリュームの暗号化を強制し、KMS キーでアクセスを制御します。スナップショットのクロスアカウント共有とクロスリージョンコピーで、マルチアカウント・マルチリージョンのバックアップ戦略を構築し、EBS Snapshot Archive で長期保存コストを最大 75% 削減します。