Elastic Compute Service:スナップショットのロック

基本概念

ロック期間

ロック期間は 1 日～36,500 日の範囲で設定できます。ロックの有効期限は、スナップショットの保存期間の有効期限内である必要があります。必要に応じて、事前にスナップショットの保存期間を延長したうえで、スナップショットをロックできます。ロック期間が終了すると、スナップショットは自動的にロック解除されます。

クーリングオフ期間

クーリングオフ期間は、スナップショットのロックが有効になるまでの任意の猶予期間です。期間は 0 時間～72 時間の範囲で設定でき、この期間はロック期間の総時間に含まれ、それを超えることはできません。クーリングオフ期間中は、特定の権限を持つユーザーがスナップショットのロックを解除したり、ロック設定（クーリングオフ期間およびロック期間を含む）を変更できます。クーリングオフ期間が終了すると、スナップショットはロック状態になります。この時点でロック期間のみ延長可能であり、ロックの有効期限が切れるまでは、いかなるユーザーもスナップショットを削除またはロック解除することはできません。

ロック状態

• compliance-cooloff：スナップショットはクーリングオフ期間中です。特定の権限を持つユーザーがロックを解除できます。

• compliance：ロックが有効です。スナップショットはロック解除および削除できません。ロック期間の延長は、特定の権限を持つユーザーのみが実行可能です。

• expired：以前に設定されたロックの有効期限が切れています。現在スナップショットはロックされておらず、削除可能です。

注意事項

• クーリングオフ期間が終了すると、ロックが有効になります。この時点で、いかなるユーザーもスナップショットを削除またはロック解除できません。以下のシナリオが該当します：

  • 手動による削除：権限の有無に関わらず、ロック済みスナップショットを手動で削除またはロック解除することはできません。

  • ディスクのリリース（ディスクと共に自動スナップショットをリリースする場合）：ディスクがリリースされても、ロック済みスナップショットは削除されません。

  • カスタムイメージの削除：カスタムイメージが削除されても、関連付けられたロック済みスナップショットは削除されません。

  • 自動スナップショットの上限に達した場合：新しい自動スナップショットが作成される際、ロック済みスナップショットは対象外となります。システムは、最も古いロックされていないスナップショットを削除します。すべての自動スナップショットがロックされている場合、新しい自動スナップショットは作成できません。

• アカウントの支払い遅延がある場合、標準的な ECS の支払い遅延処理が適用されます。長期にわたる支払い遅延が発生した場合、ロック済みスナップショットであっても削除される可能性があります。

• ロック済みスナップショットをコピーできますが、新しく作成されたスナップショットはロック属性を継承しません。

• ロック済みスナップショットをアーカイブできますが、アーカイブ層の保存期間はロックの有効期限以上である必要があります。

適用範囲

• スナップショットのソース：Cloud Backup のスナップショットおよび他アカウントから共有されたスナップショットはロックできません。

• スナップショットのステータス：ロック可能なのは、利用可能 状態のスナップショットのみです。

アクセス制御

スナップショットの変更、表示、ロック解除は、特定の権限を持つユーザーのみが実行可能です。

1. Alibaba Cloud アカウントまたは管理権限（AliyunRAMFullAccess）を持つ RAM ユーザーを使用して、Resource Access Management (RAM) コンソールにログインします。

2. 左側のナビゲーションウィンドウで、権限管理 > ポリシー を選択します。ポリシーの作成 をクリックし、スクリプトエディター タブでポリシー内容を追加します。

   各種操作に対応したカスタムポリシーを作成し、ユーザーに権限を付与します。ポリシー内の <regionId>、<accountId>、<snapshotId> は、実際の値に置き換えてください。

   • クーリングオフ期間中にスナップショットをロックする、またはロック設定を変更する

     {
       "Statement": [
         {
           "Effect": "Allow",
           "Action": "ecs:LockSnapshot",
            "Resource": "acs:ecs:<regionId>:<accountId>:snapshot/<snapshotId>"
         }
       ],
       "Version": "1"
     }

   • クーリングオフ期間中にスナップショットをロック解除する

     {
       "Statement": [
         {
           "Effect": "Allow",
           "Action": "ecs:UnlockSnapshot",
           "Resource": "acs:ecs:<regionId>:<accountId>:snapshot/<snapshotId>"
         }
       ],
       "Version": "1"
     }

   • スナップショットのロック構成を表示する

     {
       "Statement": [
         {
           "Effect": "Allow",
           "Action": "ecs:DescribeLockedSnapshots",
           "Resource": "acs:ecs:<regionId>:<accountId>:snapshot/<snapshotId>"
         }
       ],
       "Version": "1"
     }

3. 左側のナビゲーションウィンドウで、ID 管理 > ユーザー を選択します。対象ユーザーのログイン名をクリックしてユーザー詳細ページを開きます。権限 > 権限の付与 をクリックし、作成したポリシーを選択して 確認 をクリックします。

スナップショットのロック

1. ECS コンソール - スナップショット ページに移動します。左上隅で、対象リソースのリソースグループおよびリージョンを選択します。

2. ディスクスナップショット タブで対象のスナップショットを検索し、操作 列の > スナップショットのロック を選択します。

3. スナップショットのロック ダイアログボックスでパラメーターを設定します。その後、ロック情報の確認チェックボックスをオンにして OK をクリックします。

   パラメーター	説明
   ロック期間	値は 1 日～36,500 日です。クーリングオフ期間を含みます。クーリングオフ期間終了後、ロックが有効になり、すべてのユーザーによるスナップショットの削除が禁止されます。
   クーリングオフ期間	値は 0 時間～72 時間です。クーリングオフ期間中は、特定の権限を持つユーザーがロックの解除または変更が可能です。 重要 この値を 0 に設定した場合、スナップショットのロックは即時に有効になります。ロックの有効期限が切れるまで、いかなるユーザーもスナップショットを削除またはロック解除できません。

4. ディスクスナップショット タブに戻ります。対象スナップショットの 属性 列で、現在のロック状態を確認します。

   • ロッククーリングオフ期間：スナップショットはロッククーリングオフ期間中です。このステータスにマウスを合わせると、ロックの有効開始時刻および有効期限を確認できます。

   • ロック済み：ロックが有効です。このステータスにマウスを合わせると、ロックの有効期限を確認できます。

スナップショットのロック解除

スナップショットのロック解除は、クーリングオフ期間中のみ可能です。スナップショットが ロック済み 状態になると、ロック解除はできません。

1. ECS コンソール - スナップショット ページに移動します。左上隅で、対象リソースのリソースグループおよびリージョンを選択します。

2. ディスクスナップショット タブで対象のスナップショットを検索し、操作 列の > スナップショットのロック解除 を選択します。

3. スナップショットのロック解除 ダイアログボックスでスナップショット情報を確認し、OK をクリックします。

   重要

   スナップショットがロック解除されると、ロックによる保護が失われ、誤操作による削除リスクが生じます。実行前にリスクを十分に評価してください。

変更ロック

参照

• LockSnapshot API オペレーションを呼び出して、クーリングオフ期間中にスナップショットをロックする、またはロック設定を変更します。

• UnlockSnapshot API オペレーションを呼び出して、クーリングオフ期間中にスナップショットをロック解除します。

• DescribeLockedSnapshots API オペレーションを呼び出して、スナップショットのロック構成を表示します。