SAA / SAP 攻略ナビ
ホーム 高可用性・ディザスタリカバリ

AWS Backup — 統合バックアップ管理

AWS Backup のバックアッププラン、バックアップボールト、クロスリージョン/クロスアカウント、PITR、コンプライアンスを SAA 基礎から SAP 高度設計まで解説。

最終更新: 2026-07-27 カテゴリ: 高可用性・ディザスタリカバリ

AWS Backup は 複数 AWS サービスのバックアップを一元管理 するフルマネージドサービスです。 ポリシーベースでバックアップを自動化し、コンプライアンス要件を満たす設計を実現します。 本記事では AWS Backup の設計を SAA / SAP 両面から整理します。

SAA レベル：基礎概念

AWS Backup が解決する課題

従来は各サービス（RDS, EBS, EC2, DynamoDB 等）で 個別にバックアップ設定 が必要でした。 AWS Backup はこれを 一元管理 します。

  • 統合管理: 複数サービスのバックアップを 1 箇所で設定・監視
  • ポリシーベース: バックアッププランで組織的に標準化
  • クロスリージョン/アカウント: 別リージョン/アカウントへのバックアップ
  • コンプライアンス: 監査可能なバックアップ履歴

SAA レベル：基礎概念

AWS Backup の核心は 「複数 AWS サービスのバックアップをポリシーベースで一元管理」 です。 「RDS は個別、EBS は個別」といった分散管理をやめ、1 つのバックアッププランで標準化できます。 SAA では「統合バックアップ管理」として押さえます。

対応サービス

AWS Backup は主要な AWS サービスのバックアップに対応しています。

サービスバックアップ内容ユースケース
EC2インスタンス + EBSサーバー全体バックアップ
EBSボリュームスナップショットディスクバックアップ
RDS / AuroraDB スナップショットデータベースバックアップ
DynamoDBテーブルバックアップNoSQL バックアップ
S3バケットバックアップオブジェクトバックアップ
Storage Gatewayオンプレミスボリュームハイブリッドバックアップ
EFS / FSxファイルシステム共有ストレージバックアップ

SAA 試験のポイント

AWS Backup は これだけ多様なサービスに対応 しています。 「RDS, DynamoDB, EBS, EC2, S3 等」のバックアップを統合管理できる点が SAA のポイントです。 従来の「各サービスでスナップショット設定」からの移行先として位置づけられます。

バックアッププランとバックアップボールト

AWS Backup の 2 つの核心概念：

概念説明
バックアッププラン (Backup Plan)バックアップのスケジュール・保持期間・コピー先
バックアップボールト (Backup Vault)バックアップの保管庫（暗号化、アクセス制御）
バックアップボールトロックボールトの WORM（変更不可）設定
[バックアッププラン]
  - スケジュール: 毎日 AM 2:00
  - 保持期間: 30 日
  - コピー先: 別リージョンのボールト
  - 対象リソース: タグ env=prod の RDS
       │
       ▼
[バックアップボールト]
  - KMS 暗号化
  - アクセス制御 (リソースポリシー)
  - バックアップ履歴

SAA 頻出

バックアッププラン = スケジュールと保持、バックアップボールト = 保管庫 です。 ボールトは KMS 暗号化 と アクセス制御 を提供し、バックアップの機密性を保護します。 SAA ではこの 2 概念の役割分担が問われます。

ポイントインタイムリカバリ (PITR)

一部のサービス（RDS, DynamoDB 等）は ポイントインタイムリカバリ (PITR) をサポートします。

  • RDS: 5 分以内の任意の時点に復元（最大 35 日間）
  • DynamoDB: 5 分以内の任意の時点に復元（最大 35 日間）
  • EBS: スナップショット時点に復元（PITR ではないが定期スナップショット）

PITR とバックアップの違い

PITR は「任意の時点に復元」、バックアップは「特定時点のスナップショットに復元」 です。 PITR は細かい時点指定が可能だが保持期間が限定、バックアップは長期保管が可能。 SAA では「5 分以内の任意時点 = PITR」が定番の正解です。

SAP レベル：高度な設計シナリオ

クロスリージョン / クロスアカウント バックアップ

SAP では バックアップを別リージョン / 別アカウントに保管 して DR とセキュリティを強化します。

SAP レベル：高度な設計シナリオ

SAP のバックアップ設計定石は 「バックアップを LogArchive アカウントの別リージョンに保管」 です。

  • 別リージョン: リージョン障害時の DR
  • 別アカウント: 攻撃者が本番アカウントを侵害してもバックアップは守る これで「ランサムウェア + リージョン障害」の同時リスクにも対応します。
[本番アカウント (東京)]
  RDS, EC2, DynamoDB
       │ (AWS Backup)
       ▼
[LogArchive アカウント]
  バックアップボールト
       │ (クロスリージョンコピー)
       ▼
[LogArchive アカウント - 別リージョン]
  DR 用バックアップボールト

バックアップボールトロック (Vault Lock)

バックアップボールトロック は WORM（Write Once Read Many）でバックアップを保護します。

モード説明設計論点
ガバナンスモード特権ユーザーはロック解除可能運用柔軟性重視
コンプライアンスモード誰も解除不可（保留期間終了まで）厳格コンプライアンス

Vault Lock の重要性

ランサムウェアがバックアップを暗号化 / 削除 する攻撃が増えています。 Vault Lock (コンプライアンスモード) で バックアップの削除を保留期間中禁止 すると、 攻撃者も管理者もバックアップを削除できません。SAP ではコンプライアンスモードが推奨されます。

バックアップの階層化とライフサイクル

SAP では バックアップを階層化してコスト最適化 します。

保管段階ストレージクラス期間コスト
直近Backup 標準30 日中
中期Backup 冷却90 日低
長期S3 Glacier1 年極低
アーカイブGlacier Deep Archive7 年最低
[バックアップ作成] → [標準 30 日] → [冷却 90 日] → [Glacier 1 年] → [Deep Archive 7 年]

コスト最適化の要点

長期保管のバックアップは Glacier / Deep Archive に移行 しないとコストが膨張します。 AWS Backup の バックアッププランでライフサイクルを設定 し、 「30 日で冷却、90 日で Glacier」等の階層化が SAP の定石です。

Organizations と AWS Backup の連携

AWS Backup の組織管理 で複数アカウントのバックアップを統合します。

  • バックアップポリシー (Organizations): 組織レベルでバックアップ設定を標準化
  • マスターアカウントから一括管理: 全メンバーアカウントに適用
  • 新規アカウント自動適用: 組織に追加されたアカウントに自動適用

組織バックアップの論点

Organizations の バックアップポリシー を使うと、 「全アカウントの RDS は毎日バックアップ、30 日保持」を組織レベルで標準化できます。 新規アカウントのバックアップ忘れを構造的に防ぐのが SAP の定石です。

マルチサービス統合バックアップ設計

SAP では 複数サービスのバックアップを整合性を保って設計 します。

サービスバックアップ頻度保持設計論点
RDS毎日 + PITR30 日 + 35 日DB の一貫性
EC2 + EBS毎週90 日アプリ + ディスク
DynamoDB毎日 + PITR30 日 + 35 日NoSQL 一貫性
S3毎日90 日オブジェクトバージョニングと併用

整合性の設計論点

複数サービスを跨ぐバックアップの整合性 は難しい問題です。 例えば「RDS は AM 2

、S3 は AM 3
」だと、復元時に 1 時間の不整合が生じる。 SAP では「アプリのトランザクション境界を意識したバックアップ時刻設計」が論点です。

監査とコンプライアンス

AWS Backup は コンプライアンス要件を満たす監査機能 を提供します。

要件実装設計論点
バックアップ履歴AWS Backup のジョブ履歴全バックアップの記録
復元テスト定期的な復元検証RTO/RPO の実測
保持期間の証明Vault Lock で保証監査対応
レポートAWS Backup Audit Managerコンプライアンスレポート自動生成

Audit Manager の活用

AWS Backup Audit Manager はバックアップのコンプライアンス状況を 自動レポート化 します。監査時に「バックアップが要件通り実行された証拠」として提示可能。 SAP では規制要件がある環境で Audit Manager の活用が論点です。

バックアップ vs レプリケーション

SAP では バックアップとレプリケーションの使い分け が重要です。

項目バックアップレプリケーション
目的過去時点への復元継続的な可用性
RTO時間〜分秒
RPO時間〜分秒〜ほぼ 0
コスト低高
ランサムウェア耐性Vault Lock で高データも複製されるので低

SAP レベル：高度な設計シナリオ

SAP の定石は 「バックアップ + レプリケーションの両方を併用」 です。

  • バックアップ: 長期保管、ランサムウェア耐性、過去時点復元
  • レプリケーション: 継続可用性、低 RTO/RPO 「レプリケーションだけで安心」は危険で、ランサムウェアが複製先も暗号化するため。 両方の組み合わせが SAP の完成形です。

制約と考慮事項

項目制約 / 注意
RDS PITR5 分以内の任意時点、最大 35 日
DynamoDB PITR同上
Vault Lockコンプライアンスモードは解除不可
クロスリージョンデータ転送料金発生
Organizations バックアップポリシー組織レベルで標準化

まとめ

  • SAA: AWS Backup は複数サービスのバックアップを一元管理、 バックアッププラン + ボールト、PITR は 5 分以内の任意時点、を理解する。
  • SAP: クロスリージョン/アカウント、Vault Lock、階層化ライフサイクル、 Organizations 連携、整合性設計、バックアップ vs レプリケーションの使い分けが求められる。

ここまでで高可用性・DR 編は完了。次は AWS Organizations から ガバナンス・マルチアカウント編に入ります。

スポンサーリンク（広告枠） 728×90

関連記事