AWS認定資格 WEB問題集＆徹底解説セキュリティ専門知識（SCS）

会員登録/ログイン

1. サービス概要

Amazon Data Lifecycle Manager（DLM）は、Amazon EBSのスナップショットとEBS-backed AMIの作成・保持・削除を自動化するサービスです。 ライフサイクルポリシーにスケジュールと保持ルールを書いておくと、対象のボリュームやインスタンスのバックアップを定期的に取得し、期限を過ぎたものを自動で削除します。別リージョンへのコピーや別アカウントとの共有も自動化できます。

DLMはEBSの機能の一部として提供され、追加料金はかかりません（スナップショットやAMIの保存料金は通常どおり発生）。 EBSとEC2に特化したシンプルな自動化がDLM、RDS・DynamoDB・EFS・FSxなど複数サービスのバックアップをボールトで一元管理し、ボールトロックで削除を防ぐのがAWS Backup、という使い分けが基本です。

2. 主な特徴と機能

2.1 ポリシーの種類

• デフォルトポリシー（EBSスナップショット / EBS-backed AMI）: タグに依存せず、リージョン内のすべてのボリューム（またはインスタンス）を対象にする。最近バックアップされていないものだけを取得する。リージョンごとに各1つまで。
• カスタムポリシー（EBSスナップショット / EBS-backed AMI）: タグで対象を選び、最大4つのスケジュール、詳細な保持ルール、クロスリージョンコピー、クロスアカウント共有、高速スナップショット復元などを細かく設定する。
• クロスアカウントコピーイベントポリシー: 他アカウントからスナップショットが共有されたイベントを契機に、受け取り側のアカウントで自動的にコピーを作る。

2.2 デフォルトポリシーの特徴

作成頻度は1〜7日、保持期間は2〜14日で指定します。対象から外したいものは除外パラメータ（タグ、ブートボリューム、ボリュームタイプ）で指定します。 作成から24時間以上経ったリソースが対象になり、他の手段で作成頻度以内にバックアップ済みのものは重複して取得しません。タグ付けの漏れでバックアップ対象から外れる事故を防げるのが利点です。 ただしクロスリージョンコピーは最大3リージョンまでで、コピー先の暗号化はコピー先リージョンのEBS既定キーになり、キーを指定できません。

2.3 カスタムポリシーのスケジュールと保持

スケジュールは日次・週次・月次・年次、または cron 式で指定し、保持は「件数ベース（1〜1000件）」か「経過時間ベース（1日〜100年）」のどちらかで決めます。 インスタンスを対象にすると、アタッチされた複数ボリュームのクラッシュ整合スナップショットをまとめて取得でき、ルートボリュームや特定タグのデータボリュームを除外できます。

2.4 コピー・共有・アーカイブ

カスタムポリシーでは最大3つのリージョンへスナップショットをコピーでき、コピー先ごとにKMSキーを指定して再暗号化できます。他アカウントとの自動共有（期限付きの共有解除も可）も設定できます。 月次・年次（または28日以上の間隔）のスケジュールでは、スナップショットを低コストのアーカイブ層へ移せます（アーカイブ層での最小保持は90日）。

2.5 アプリケーション整合性のあるスナップショット

インスタンスを対象にするポリシーでは、AWS Systems Managerのドキュメントで事前スクリプト・事後スクリプトを実行し、I/Oを静止させてからスナップショットを取れます。 WindowsのVSS、SAP HANA、MySQLやPostgreSQLなどの自己管理データベースに対応します。

3. アーキテクチャおよび技術要素

1. ライフサイクルポリシーをリージョンごとに作成し、DLMが引き受けるIAMロール（既定はAWSDataLifecycleManagerDefaultRole）を指定する。
2. DLMはスケジュールに従い、対象のボリューム/インスタンスのスナップショットやAMIを作成し、指定したタグを付ける。
3. 保持ルールに達した古いスナップショットは削除（またはアーカイブ）される。DLMが管理できるのは自分が作成したものだけ。
4. クロスリージョンコピーやクロスアカウント共有を設定していれば続けて実行する。暗号化スナップショットの場合、ロールには元のキーとコピー先のキーの両方を使う権限が必要。
5. 実行結果はCloudWatchメトリクス（作成・削除・コピーの成功/失敗）とEventBridgeのイベントで監視し、操作はCloudTrailに記録される。

保持期限時点で手動ロック中のスナップショットや、ごみ箱から手動で復元したスナップショットは、DLMの管理から外れます。

4. セキュリティと認証・認可

• 実行ロール: DLMはポリシーに指定したIAMロールでスナップショットを操作する。カスタムロールを使う場合は必要な権限だけを付与する。
• 暗号化キーの権限: 暗号化ボリュームのコピーや再暗号化では、実行ロールにKMSキーの利用を許可する（キーポリシーまたはグラント）。kms:CreateGrantはkms:GrantIsForAWSResource条件で絞るのが望ましい。
• 共有の制約: 他アカウントと共有できるのは暗号化されていないスナップショットか、カスタマー管理キーで暗号化されたものだけ。EBS既定のAWS管理キーで暗号化されたものは共有できない。共有先にはキーの利用権限も与える。
• 隔離アカウントへの保管: クロスアカウントコピーイベントポリシーで、隔離したバックアップ用アカウントに自分のキーで再暗号化したコピーを持たせると、本番アカウントが侵害されてもバックアップを守りやすい。
• 削除からの保護: DLM自体には削除を禁止する機能は無い。誤削除対策はEBSのごみ箱、管理者権限でも削除させない保護はEBSのスナップショットロック（コンプライアンスモード）を組み合わせる。
• 監査と接続: API操作はCloudTrailで記録される。AWS PrivateLinkのVPCエンドポイント経由でDLMのAPIを呼び出すこともできる。

5. 料金形態

• DLM: ポリシーの作成・実行に追加料金は無い。
• スナップショット: 作成されたスナップショットの保存量（標準層は増分、アーカイブ層はフルスナップショットとして保存）に課金される。
• コピー: リージョン間コピーではデータ転送料金がかかる。
• 高速スナップショット復元: 有効にしたスナップショットとAZの組み合わせごとに、有効な時間に応じて課金される。
• コスト最適化: 保持期間を要件に合わせて最小にし、長期保管はアーカイブ層を使う。

6. よくあるアーキテクチャ・設計パターン

• 全ボリュームの日次バックアップ: デフォルトポリシーで作成頻度1日・保持7日を設定し、検証用ボリュームはタグで除外する。
• DRリージョンへの自動コピー: カスタムポリシーにクロスリージョンコピールールを追加し、コピー先リージョンのカスタマー管理キーで再暗号化する。
• 隔離アカウントへのバックアップ: 本番アカウントのポリシーでバックアップ用アカウントへ共有し、バックアップ用アカウントのクロスアカウントコピーイベントポリシーで自分のキーで再暗号化したコピーを作る。
• ランサムウェア対策: EventBridgeでスナップショット作成イベントを捉え、Lambdaでコンプライアンスモードのスナップショットロックをかける。ごみ箱の保持ルールも併用する。
• 組織全体への展開: デフォルトポリシーをCloudFormation StackSetsで複数アカウント・リージョンへ配布する。

7. 設定・デプロイ手順（ハンズオン例）

1. EC2コンソールの「Elastic Block Store」→「ライフサイクルマネージャー」で「ライフサイクルポリシーを作成」を選ぶ。
2. ポリシーの種類（デフォルトポリシー、EBSスナップショットポリシー、EBS-backed AMIポリシー、クロスアカウントコピーイベントポリシー）を選ぶ。
3. カスタムポリシーでは対象のリソースタイプ（ボリューム/インスタンス）とターゲットタグを指定する。
4. IAMロール（既定ロールまたはカスタムロール）を選ぶ。
5. スケジュール（頻度・開始時刻UTC）、保持ルール（件数または期間）、スナップショットに付けるタグを設定する。
6. 必要に応じてクロスリージョンコピー（コピー先のKMSキー）、クロスアカウント共有、アーカイブ、高速スナップショット復元、事前/事後スクリプトを設定する。
7. ポリシーを有効化し、CloudWatchのメトリクスとEventBridgeのイベントで失敗を検知する通知を設定する。

8. 試験で問われやすいポイント