AWS認定資格 WEB問題集＆徹底解説DevOpsエンジニア プロフェッショナル（DOP）

会員登録/ログイン

1. サービス概要

Amazon FSx for Windows File Serverは、Windows Serverで動くファイルサーバーをフルマネージドで提供するサービスです。 Windowsの標準プロトコルであるSMBでアクセスでき、NTFSのアクセス権（ACL）、Active Directory（AD）統合、シャドウコピー、DFS名前空間、データ重複排除など、Windowsファイルサーバーで使い慣れた機能をそのまま利用できます。

サーバーのOSパッチ適用、ハードウェア障害対応、レプリケーション、バックアップはAWSが担うため、利用者は共有フォルダーとアクセス権の設計に集中できます。 FSxの4種類のうち、Windowsクライアント向けのSMB共有、ADによる認証、SQL Serverなどのファイル共有ストレージが要件ならFSx for Windows File Serverを選びます。NFSとSMBを同じデータで併用したい場合やiSCSIが必要な場合はFSx for NetApp ONTAPが候補になります。

2. 主な特徴と機能

2.1 Active Directory 統合

ファイルシステムは必ずADに参加させます。参加先はAWS Managed Microsoft ADか、オンプレミスやEC2上のセルフマネージドADのいずれかです。 セルフマネージドADの場合は、ドメイン名、DNSサーバーのIPアドレス、ドメイン参加用のサービスアカウント、組織単位（OU）、ファイルシステム管理者グループを指定します。利用者は既存のドメインアカウントで認証され、フォルダーのアクセス権はNTFS ACLで制御します。

2.2 デプロイタイプとストレージ

Single-AZ 1、Single-AZ 2、Multi-AZの3種類があります。HDDストレージはSingle-AZ 2とMulti-AZで選べ、SSDは全タイプで使えます。 SQL Serverの高可用性構成で使う継続的可用性（CA）共有はMulti-AZで使うのが推奨です。1つのファイルシステムのストレージ容量は最大64TiBで、スループット容量（最大12,288MB/秒）とSSD IOPSは別に指定します。

2.3 Windows のデータ管理機能

シャドウコピーを有効にすると、利用者はエクスプローラーの「以前のバージョン」から自分でファイルを復元できます。 データ重複排除で重複データを削減し、ユーザー単位のストレージクォータで使用量を制限できます。アクセスベースの列挙（権限の無いフォルダーを表示しない）にも対応します。 これらの設定は、ファイルシステムが提供するリモート管理用のPowerShellエンドポイントから行います。

2.4 DFS 名前空間

DFS名前空間を使うと、複数のファイルシステムを1つの論理的なパス（例: \\example.com\share）の下にまとめられます。1つのファイルシステムの上限を超える容量や性能が必要な場合や、部門ごとのファイルシステムを統一パスで見せたい場合に使います。

2.5 監査とモニタリング

ファイルアクセス監査を有効にすると、ファイルやフォルダーへのアクセスのWindowsイベントログをAmazon CloudWatch LogsまたはAmazon Data Firehoseへ送れます。性能や容量はCloudWatchのメトリクスで監視します。

3. アーキテクチャおよび技術要素

1. Single-AZは1台のWindowsファイルサーバーと同じAZ内のストレージで構成され、障害やメンテナンス時には数十分程度アクセスできなくなることがある。
2. Multi-AZは2つのAZにファイルサーバーとストレージを置き、Windows Server Failover Clusteringでデータを同期レプリケーションする。障害やAZ障害時は通常30秒未満で待機側に切り替わる。
3. クライアントはファイルシステムのDNS名でSMB共有をマップする。DNS名は切り替え後も同じなので、Windowsアプリは手作業なしで処理を再開できる。
4. LinuxクライアントはDNSベースの自動フェイルオーバーに対応しないため、優先側のサーバーへフェイルバックした後に処理が再開する。
5. バックアップはWindowsのVolume Shadow Copy Service（VSS）でファイルシステム整合性を保ち、増分でS3に保存される。復元は常に新しいファイルシステムの作成になる。

スループット容量を変更すると、Multi-AZではファイルサーバーが順に置き換えられてフェイルオーバーとフェイルバックが発生します。業務への影響確認やフェイルオーバーの試験にこの動作を利用できます。

4. セキュリティと認証・認可

• 認証: ADのドメインアカウントでKerberos/NTLM認証を行い、共有とフォルダーのアクセス権はNTFS ACLで制御する。
• 保管時の暗号化: データとバックアップは常にAWS KMSキーで暗号化される。カスタマー管理キーを指定できる。
• 転送時の暗号化: SMB 3.0以降のクライアントとの通信はKerberosのセッションキーで暗号化される。暗号化されていない接続を拒否するよう、ファイルシステム全体または共有単位で強制できる。
• ネットワーク: VPC内のENIで提供され、インターネットには公開できない。セキュリティグループでSMB（TCP 445）やリモート管理（TCP 5985）などをクライアントと管理端末に限定する。ADのドメインコントローラーとの通信も許可が必要。
• API認可と監査: ファイルシステムやバックアップの操作はIAMで制御し、CloudTrailで記録する。ファイル操作の監査はファイルアクセス監査で行う。

5. 料金形態

• ストレージ: プロビジョニングしたSSDまたはHDDの容量（GB/月）。Multi-AZはSingle-AZより単価が高い。
• スループット容量: 選んだスループット（MB/秒）に課金。
• SSD IOPS: 容量に応じた基本IOPSを超えてプロビジョニングした分。
• バックアップ: バックアップの保存量（GB/月）。Windows Serverのライセンス費用は料金に含まれる。
• コスト最適化: 一般的なファイル共有はHDD、レイテンシに敏感な用途はSSDを選び、データ重複排除で容量を減らす。開発・検証はSingle-AZにする。

6. よくあるアーキテクチャ・設計パターン

• オンプレミスのファイルサーバー移行: AWS DataSyncやRobocopyでデータとACLを移し、DFS名前空間で利用者のパスを変えずに切り替える。
• 本番ファイル共有の高可用化: Multi-AZで作成し、AZ障害や計画メンテナンス中も同じDNS名でアクセスを継続する。
• SQL Server の高可用構成: Multi-AZのCA共有をSQL Serverのフェールオーバークラスターインスタンスの共有ストレージにする。
• 仮想デスクトップのホームディレクトリ: Amazon WorkSpacesの利用者プロファイルやホームフォルダーを置く。
• リージョン間DR: AWS Backupで定期バックアップを取り、別リージョンや別アカウントへコピーして、災害時はそこから新しいファイルシステムを作成する。
• 容量の自動拡張: 空き容量のCloudWatchアラームからLambdaを起動し、ストレージ容量の増加を自動化する。

7. 設定・デプロイ手順（ハンズオン例）

1. AWS Managed Microsoft ADを用意する（またはセルフマネージドADへの接続経路とサービスアカウントを準備する）。
2. FSxコンソールで FSx for Windows File Server を選び、デプロイタイプ（本番はMulti-AZ）、ストレージタイプ、容量、スループット容量を指定する。
3. VPC・サブネット（Multi-AZは別AZの2つ）・セキュリティグループ、参加するAD、暗号化キーを指定する。
4. 自動日次バックアップの保持期間（0〜90日）とバックアップウィンドウ、メンテナンスウィンドウを設定する。
5. ドメインに参加したWindowsクライアントから\\DNS名\shareをネットワークドライブとしてマップし、NTFSのアクセス権を設定する。
6. リモート管理用PowerShellでシャドウコピー、重複排除、クォータ、暗号化の強制を設定する。
7. AWS Backupのプランで長期保持と別リージョンコピーを設定し、CloudWatchで空き容量を監視する。

8. 試験で問われやすいポイント