AWS認定資格 WEB問題集＆徹底解説DevOpsエンジニア プロフェッショナル（DOP）

会員登録/ログイン

1. サービス概要

Amazon FSx for NetApp ONTAPは、NetAppのストレージOS「ONTAP」で動くファイルシステムをフルマネージドで提供するサービスです。 NFS・SMB・iSCSI・NVMe/TCPに対応し、同じデータにLinuxとWindowsの両方からアクセスできます。スナップショット、SnapMirrorによるレプリケーション、FlexCloneによる即時クローン、SnapLockによるWORM保護など、オンプレミスのNetApp製品と同じデータ管理機能をそのまま使えるのが特徴です。

FSxの4種類のうち、マルチプロトコル、ブロックストレージ、オンプレミスNetAppからの移行・DR、高度なデータ保護機能が要件ならFSx for NetApp ONTAPを選びます。 Windows専用のSMB共有ならFSx for Windows File Server、並列HPCならFSx for Lustre、シンプルな低レイテンシNFSならFSx for OpenZFSが候補になります。 性能を横に広げるスケールアウトファイルシステム（複数HAペア構成）も、本サービスの構成の一つです。

2. 主な特徴と機能

2.1 マルチプロトコルとSVM

ファイルシステムの中にストレージ仮想マシン（SVM）を作り、SVMごとにエンドポイント、Active Directory参加、ボリュームを管理します。 部門やテナントごとにSVMを分けると、同じファイルシステム上でもアクセス管理を分離できます。データはボリューム単位で作成し、シンプロビジョニングで容量を割り当てます。

2.2 SSD 層とキャパシティプール

頻繁に使うデータはプロビジョニングしたSSD層に置き、アクセスの少ないデータはボリュームの階層化ポリシーに従って伸縮自在で低コストなキャパシティプールへ自動で移ります。 圧縮・重複排除・コンパクションによるデータ削減と組み合わせると、ストレージ費用を大きく抑えられます。

2.3 スナップショットとクローン

ボリュームのスナップショットはほぼ瞬時に作成でき、利用者は過去の版からファイルを自分で復元できます。SnapRestoreでボリューム全体を巻き戻すことも可能です。 FlexCloneはスナップショットを起点に書き込み可能なクローンを即座に作り、変更分だけ容量を消費するため、検証環境やCI/CDのテストデータ作成に向きます。

2.4 SnapMirror とバックアップ

SnapMirrorは別のFSx for ONTAPファイルシステム（別リージョンも可）やオンプレミスのONTAPへ、ボリュームを差分で非同期レプリケーションします。DR切り替え時は転送先ボリュームを書き込み可能にして公開します。 これとは別に、FSxのバックアップ（自動日次・手動）とAWS Backupによるボリューム単位のバックアップを利用できます。

2.5 ランサムウェア対策

SnapLockはボリュームをWORM（Write Once Read Many）にし、保持期間中は削除や改変を防ぎます。Complianceモードは管理者でも保持期間内に削除できず、Enterpriseモードは特権ユーザーのみ削除できます。 ONTAPのAutonomous Ransomware Protection（ARP）は、エントロピーの変化や不審な拡張子、暗号化を伴うIOPS急増を検知してスナップショットを自動作成します。

2.6 スケールアウトファイルシステム（複数HAペア）

第2世代のSingle-AZ（Single-AZ 2）では、1つのファイルシステムを最大12個のHAペアで構成でき、HAペア1つあたり最大6GB/秒・20万SSD IOPS、合計で最大72GB/秒・240万SSD IOPS、SSD容量は合計最大1PiBまで拡張できます。 各HAペアは独自のアグリゲート（ディスクの集合）を持つため、データを複数HAペアに分散させるFlexGroupボリューム（スケールアウト構成の既定）を使うのが基本です。HAペアは後から追加でき、追加後はボリュームの移動やFlexGroupの拡張で負荷を再配分します。 Multi-AZはHAペア1つの構成なので、AZ障害への耐性が必要ならMulti-AZ、1つのHAペアを超える性能が必要ならスケールアウト（Single-AZ 2）と使い分けます。

3. アーキテクチャおよび技術要素

1. 各HAペアはアクティブ/スタンバイの2台のファイルサーバーで構成される。Single-AZは同じAZ内の別障害ドメインに、Multi-AZは別々のAZに配置される。
2. Multi-AZでは書き込みがAZ間で同期レプリケーションされ、AZ障害時もフローティングIPにより同じエンドポイントのまま自動フェイルオーバーする（通常60秒未満）。
3. NFS/SMBクライアントにはフェイルオーバーが透過的に見える。iSCSI/NVMe/TCPではクライアント側でマルチパスを設定する。
4. デプロイタイプはSingle-AZ 1/2、Multi-AZ 1/2の4種類で、作成後に変更できない。変更するにはSnapMirror、AWS DataSync、バックアップからの復元で新しいファイルシステムへ移行する。
5. 管理はFSxコンソール/CLI/API（ファイルシステム・SVM・ボリューム）と、ONTAP CLI・ONTAP REST API（SnapMirror、ARPなどONTAPの機能）を併用する。

スループット容量を変更するとファイルサーバーが順番に置き換えられ、フェイルオーバーとフェイルバックが発生します。この仕組みはフェイルオーバーの影響確認にも使えます。

4. セキュリティと認証・認可

• 保管時の暗号化: データは常にAWS KMSキーで暗号化される。作成時にカスタマー管理キーを指定できる。
• 転送時の暗号化: SMBはSMB暗号化、NFSはKerberosによる暗号化、ファイルシステムとクライアント間をIPsecで暗号化する方法もある。
• ID連携: SVMをActive Directoryに参加させ、SMBのNTFS ACLやNFSのKerberos認証で利用者単位のアクセス制御を行う。
• ネットワーク: ファイルシステムはVPC内のENIで提供され、インターネットへ公開できない。セキュリティグループで必要なプロトコルだけを許可する。
• 管理権限の分離: FSxのAPI操作はIAMで制御しCloudTrailで記録する。ONTAP側の管理者（fsxadmin、SVM管理者）はIAMとは別の認証情報なので、パスワードを厳格に管理し、利用者を限定する。
• 改ざん防止: SnapLock Complianceで保持期間中の削除を防ぎ、ARPで異常な暗号化活動を検知する。ARPは正規の認証情報を持つ悪意ある管理者の操作は防げないため、AWS Backupやスナップショットと組み合わせる。

5. 料金形態

• SSDストレージ: プロビジョニングしたSSD容量（GB/月）。
• SSD IOPS: 容量に応じた基本IOPS（1GiBあたり3IOPS）を超えてプロビジョニングした分。
• キャパシティプール: 実際に保存したデータ量と、読み書きのリクエスト数。
• スループット容量: 選んだスループット（MB/秒）に課金。HAペア数が多いほど費用も増える。
• バックアップ: バックアップの保存量（GB/月）。SnapMirrorでリージョン間転送する場合はデータ転送料金もかかる。
• コスト最適化: 階層化ポリシーで冷えたデータをキャパシティプールへ移し、データ削減機能を有効にする。開発・検証や二次コピーにはSingle-AZを使う。

6. よくあるアーキテクチャ・設計パターン

• オンプレミスNetAppからの移行: オンプレミスのONTAPからSnapMirrorでFSx for ONTAPへ差分を同期し続け、切り替え時に転送先を書き込み可能にする。
• 本番の高可用ファイル共有: Multi-AZで作成し、AZ障害時も同じエンドポイントで業務を継続する。
• リージョン間DR: DRリージョンにもFSx for ONTAPを用意し、SnapMirrorでスケジュール転送する。バックアップからの再作成より短いRTO/RPOを実現できる。
• CI/CDのテストデータ: 本番ボリュームのスナップショットからFlexCloneで書き込み可能なコピーを数秒で作り、テスト後に削除する。
• 大規模解析・EDA: スケールアウト（複数HAペア）とFlexGroupボリュームで、1つのHAペアを超えるスループットを1つの名前空間で提供する。
• ランサムウェア対策: SnapLock、ARP、AWS Backupのボールトロックを重ねて、改ざんできない復旧ポイントを確保する。

7. 設定・デプロイ手順（ハンズオン例）

1. FSxコンソールで FSx for NetApp ONTAP を選び、デプロイタイプ（Multi-AZ 2、またはスケールアウトならSingle-AZ 2とHAペア数）を決める。
2. SSD容量、スループット容量、VPCとサブネット（Multi-AZは別AZの2サブネット）、ルートテーブル、セキュリティグループを指定する。
3. SVMを作成し、SMBを使う場合はActive Directoryへ参加させる。
4. ボリューム（スケールアウトではFlexGroup）を作成し、ジャンクションパス、階層化ポリシー、スナップショットポリシーを設定する。
5. クライアントからNFS/SMBでマウントする、またはiSCSI LUNをマルチパス構成で接続する。
6. 自動日次バックアップやAWS Backupのプランを設定し、DRが必要ならONTAP CLIでSnapMirror関係を作成する。
7. CloudWatchで容量・スループット・CPU使用率を監視し、CloudFormationで構成をコード化する。

8. 試験で問われやすいポイント