ディスクの自動スナップショットポリシーの有効化 - Elastic Compute Service

インスタンスを作成する際に、そのディスクに対して自動スナップショットポリシーを有効にすることで、重要なデータを定期的にバックアップします。

セキュリティリスク

ディスクに保存されているビジネスデータは、データの破損や永久的なデータ損失を引き起こす可能性のある複数の脅威にさらされています：

人為的ミス：誤ったファイルの削除、ディスクのフォーマット、または不適切な構成。
悪意のある攻撃：データを暗号化するランサムウェア、または侵入後にデータを削除・改ざんするハッカー。
ソフトウェアおよびアプリケーションの障害：アプリケーションのバグやシステムのクラッシュによる、データ書き込みの不整合やデータ破損。
ハードウェア障害：物理的なデバイスは、可能性は低いものの、故障する可能性があります。

ベストプラクティス

自動スナップショットポリシーは、指定されたディスクのスナップショットを定期的に作成します。この方法により、データ損失を防ぎ、システムの信頼性と安定性を向上させることができます。

コンソール

インスタンス購入ページでインスタンスを作成する際、スナップショットサービスによって、システムディスクとデータディスクに自動スナップショットポリシーが適用されます。

デフォルトのポリシーが要件を満たさない場合は、[自動スナップショットポリシーの作成] をクリックしてください。ポリシーを作成した後、そのポリシーを選択できます。

API

CreateAutoSnapshotPolicy 操作を呼び出して、自動スナップショットポリシーを作成します。timePoints パラメーターでバックアップ時間を、repeatWeekdays パラメーターでバックアップスケジュールを、retentionDays パラメーターで自動スナップショットの保持期間を指定します。リクエストが成功すると、自動スナップショットポリシー ID である AutoSnapshotPolicyId が返されます。
RunInstances または CreateInstance 操作を呼び出してインスタンスを作成する際に、SystemDisk.AutoSnapshotPolicyId パラメーターでシステムディスクの自動スナップショットポリシーを、DataDisk.X.AutoSnapshotPolicyId パラメーターでデータディスクの自動スナップショットポリシーを指定します。

スナップショットポリシーが有効になると、システムは自動的にデータバックアップを作成します。その後、これらのスナップショットから過去のデータを回復できます。詳細については、「スナップショットを使用したディスクのロールバック」をご参照ください。

コンプライアンス機能

チェック：ディスクの自動スナップショットポリシーが有効になっているかの確認

ECS 利用成熟度診断

ECS 利用成熟度診断に移動します。
[信頼性] タブを選択します。[過去 7 日間に作成されたスナップショット] チェック項目をクリックして、過去 7 日間にディスクのスナップショットが作成されたかどうかを確認します。

セキュリティセンター

セキュリティセンターコンソールに移動します。
左側のナビゲーションウィンドウで、[リスクガバナンス] > [CSPM] を選択します。[クラウドサービス設定リスク] タブを選択します。[自動スナップショットポリシーの有効化] チェック項目を見つけ、[操作] 列の [スキャン] をクリックします。
ステータスが「失敗」と表示された場合、1 つ以上のインスタンスで自動スナップショットポリシーが有効になっていないことを示します。[詳細] をクリックして、該当するインスタンスを表示します。

インターセプト：自動スナップショットポリシーなしでの ECS インスタンス作成の禁止

重要

このポリシーは招待プレビュー段階にあり、中国 (成都)、中国 (ウランチャブ)、および中国 (フフホト) リージョンでのみ利用可能です。

ランサムウェアなどの脅威に対するデータ保護のセキュリティおよびコンプライアンス要件を満たすために、定期的なバックアップを強制できます。ECS では、Resource Access Management (RAM) ポリシーを設定して、すべての新しいインスタンスのシステムディスクとデータディスクに自動スナップショットポリシーをアタッチすることを要求できます。この制限は、指定された RAM ユーザーおよび RAM ロールに適用されます。制限されたユーザーがインスタンスまたはディスクを作成しようとすると、ECS はリクエストに自動スナップショットポリシーが含まれているかどうかをチェックします。チェック結果は認証のために RAM に送信されます。リクエストがポリシーの条件を満たさない場合、RAM はリクエストを拒否し、ディスクは作成されません。

エンタープライズユーザーの場合：
1. Alibaba Cloud アカウントを使用してリソースディレクトリコンソールにログインします。左側のナビゲーションウィンドウで、[コントロールポリシー] をクリックします。カスタムポリシーを作成し、次の JSON コンテンツを貼り付けます。
```
{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskAutoSnapshotPolicyEnabled": "*false*"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:IsSystemDiskAutoSnapshotPolicyEnabled": "false"
        }
      },
      "Effect": "Deny"
    }
  ]
}
```
2. リソースディレクトリで、ポリシーを適切なフォルダーまたはメンバーにアタッチします。これにより、ポリシーはフォルダー内のすべてのアカウント、または指定されたメンバーからの非準拠リクエストをブロックします。
個人ユーザーの場合：
1. Alibaba Cloud アカウントを使用して RAM コンソールにログインします。左側のナビゲーションウィンドウで、[ポリシー] をクリックします。前のステップで示したものと同じ JSON コンテンツを含むカスタムポリシーを作成します。
2. ポリシーを必要な RAM ユーザー、RAM ユーザーグループ、または RAM ロールにアタッチします。詳細については、「RAM ユーザーへの権限付与」をご参照ください。

修正：ディスクへの自動スナップショットポリシーの設定

チェックによって一部のインスタンスで自動スナップショットポリシーが有効になっていないことが判明した場合は、ディスクに自動スナップショットポリシーを設定できます。