翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# 論理エアギャップボールト
## 論理エアギャップボールトの概要
AWS Backup には、セキュリティ機能を追加したコンテナにバックアップを保存できるセカンダリタイプのボールトが用意されています。**論理エアギャップボールト**は、特別なボールトとして、標準バックアップボールトを超えた追加のセキュリティを提供するほか、他のアカウントとボールトへのアクセスを共有できるため、リソースの迅速な復旧が必要なインシデントが発生した場合に、目標復旧時間 (RTO) を速くし、柔軟性を高めることができます。
論理エアギャップボールトには追加の保護機能が備わっています。各ボールトは [AWS 所有キー](https://docs.aws.amazon.com//kms/latest/developerguide/concepts.html#key-mgmt) (デフォルト) またはオプションでカスタマーマネージド KMS キーで暗号化され、各ボールトには[AWS Backup ボールトロック](https://docs.aws.amazon.com/aws-backup/latest/devguide/vault-lock.html)のコンプライアンスモードが備わっています。暗号化キータイプの情報は、透明性とコンプライアンスレポートのために AWS Backup APIsとコンソールを通じて表示されます。
論理エアギャップボールトを[マルチパーティー承認](multipartyapproval.md) (MPA) と統合して、ボールトを所有するアカウントにアクセスできない場合でもボールト内のバックアップを復旧できるため、ビジネス継続性の維持に役立ちます。さらに、 [AWS Resource Access Manager](https://docs.aws.amazon.com/ram/latest/userguide/working-with-sharing-create.html) (RAM) と統合して論理エアギャップボールトを他の AWS アカウント (他の組織内のアカウントを含む) と共有し、データ損失の回復または[復元テスト](restore-testing.md)の必要に応じて、ボールト内に保存されたバックアップをボールトが共有されているアカウントから復元できるようにすることもできます。このセキュリティ強化の一環として、論理エアギャップボールトはバックアップを AWS Backup サービス所有のアカウントに保存します (その結果、バックアップは AWS CloudTrail ログの属性項目の変更で組織外の共有として表示されます）。
論理エアギャップボールト所有アカウントが閉鎖されている (悪意のある、またはそれ以外の場合) シナリオでは、[閉鎖後期間](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-closing.html#post-closure-period)が終了するまで、MPA 経由でボールト内のバックアップにアクセス (復元またはコピー) できます。閉鎖後期間が終了すると、バックアップにアクセスできなくなります。閉鎖後期間中は、[AWS アカウント管理ドキュメント](https://docs.aws.amazon.com/accounts/latest/reference/manage-acct-closing.html#what-to-expect-after-closure)を参照して、復旧作業中にアカウントの制御を回復できます。
耐障害性を高めるには、同じアカウントまたは別々のアカウントの論理エアギャップボールトにクロスリージョンコピーを作成することをお勧めします。ただし、1 つのコピーだけでストレージコストを削減する場合は、 AWS MPA [へのオンボーディング後にプライマリバックアップを使用して論理エアギャップボールト](lag-vault-primary-backup.md)を使用できます。
論理エアギャップボールトでサポートされているサービスのバックアップのストレージ料金は、[[AWS Backup の料金]](https://aws.amazon.com/backup/pricing/) ページで確認できます。
論理エアギャップボールトにコピーできるリソースタイプについては、「[リソース別の機能の可用性](backup-feature-availability.md#features-by-resource)」を参照してください。
**Topics**
+ [論理エアギャップボールトの概要](#lag-overview)
+ [論理エアギャップボールトのユースケース](#lag-usecase)
+ [標準のバックアップボールトとの比較対照](#lag-compare-and-contrast)
+ [論理エアギャップボールトの作成](#lag-create)
+ [論理エアギャップボールトの詳細の表示](#lag-view)
+ [論理エアギャップボールトでのバックアップの作成](#lag-creation)
+ [論理エアギャップボールトの共有](#lag-share)
+ [論理エアギャップボールトからのバックアップの復元](#lag-restore)
+ [論理エアギャップボールトの削除](#lag-delete)
+ [論理エアギャップボールトのその他のプログラムオプション](#lag-programmatic)
+ [論理エアギャップボールトの暗号化キータイプについて](#lag-encryption-key-types)
+ [サービス所有キーの使用](#lag-service-owned-key)
+ [セキュリティの自動修復に関する考慮事項](#lag-security-auto-remediation)
+ [論理エアギャップボールトの問題のトラブルシューティング](#lag-troubleshoot)
+ [Primary backups to logically air-gapped vaults](lag-vault-primary-backup.md)
+ [論理エアギャップボールトのマルチパーティー承認](multipartyapproval.md)
## 論理エアギャップボールトのユースケース
論理エアギャップボールトは、データ保護戦略の一環として機能するセカンダリボールトです。このボールトは、次のようなバックアップ用ボールトを希望する場合に、組織的な保持戦略と復元を強化するのに役立ちます。
+ [コンプライアンスモード](vault-lock.md)で自動的にボールトロックが設定されるもの
+ デフォルトでは、 AWS 所有キーによる暗号化が提供されます。必要に応じて、カスタマーマネージドキーを指定できます。
+ AWS RAM または MPA を介して、バックアップを作成したアカウントとは異なるアカウントと共有して復元できるバックアップが含まれます。
**考慮事項と制限事項**
+ 暗号化されていない Amazon Aurora、Amazon DocumentDB、Amazon Neptune クラスターは、暗号化されていない DB クラスタースナップショットの暗号化をサポートしていないため、論理エアギャップボールトではサポートされていません。
+ Amazon EC2 は [EC2 で許可された AMI](https://docs.aws.amazon.com//AWSEC2/latest/UserGuide/ec2-allowed-amis.html) を提供します。アカウントでこの設定が有効になっている場合は、エイリアス `aws-backup-vault` を許可リストに追加します。
このエイリアスが含まれていない場合、論理エアギャップボールトからバックアップボールトへのコピーオペレーションと論理エアギャップボールトからの EC2 インスタンスの復元オペレーションは失敗し、「Source AMI ami-xxxxxx not found in Region」などのエラーメッセージが表示されます。
+ 論理エアギャップボールトに保存されている復旧ポイントの ARN (Amazon リソースネーム) は、基盤となるリソースタイプの代わりに `backup` を持ちます。例えば、元の ARN が `arn:aws:ec2:{{region}}::image/ami-*` で始まる場合、論理エアギャップボールトの復旧ポイントの ARN は `arn:aws:backup:{{region}}:{{account-id}}:recovery-point:*` になります。
ARN は、CLI コマンド [https://docs.aws.amazon.com/aws-backup/latest/devguide/API_ListRecoveryPointsByBackupVault.html](https://docs.aws.amazon.com/aws-backup/latest/devguide/API_ListRecoveryPointsByBackupVault.html) を使用して調べることができます。
## 標準のバックアップボールトとの比較対照
**バックアップボールト**は、 AWS Backupで使用されているプライマリ標準タイプです。バックアップが作成されると、各バックアップはバックアップボールトに保存されます。リソースベースのポリシーを割り当てて、ボールト内に保存されているバックアップのライフサイクルなど、ボールトに保存されているバックアップを管理できます。
**論理エアギャップボールト**は、セキュリティが強化され、復旧時間 (RTO) を短縮するための柔軟な共有機能を備えた特別なボールトです。このボールトには、最初に作成され、標準バックアップボールト内に保存されたプライマリバックアップまたはバックアップのコピーが保存されます。
バックアップボールトはキーで暗号化されます。これは、アクセスを、意図されているユーザーに制限するセキュリティメカニズムです。これらのキーは、カスタマー管理でも AWS マネージドでもかまいません。論理エアギャップボールトへのコピーなど、コピージョブ中の暗号化動作については、「[コピーの暗号化](encryption.md#copy-encryption)」を参照してください。
さらに、バックアップボールトはボールトロックを通じてさらに保護できます。論理エアギャップボールトには、コンプライアンスモードのボールトロックが備わっています。
バックアップボールトと同様に、論理エアギャップボールトは Amazon EC2 バックアップ[の制限付きタグ](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/Using_Tags.html#tag-restrictions)もサポートします。
| 機能 | バックアップボールト | 論理エアギャップボールト |
| --- | --- | --- |
| [AWS Backup Audit Manager](aws-backup-audit-manager.md) | AWS Backup Audit Manager を使用してバックアップボールトを[コントロールと修正](controls-and-remediation.md)モニタリングできます。 | 特定のリソースのバックアップが、標準[ボールトで使用できるコントロールに加えて、決定したスケジュールで論理エアギャップボールトに少なくとも 1](controls-and-remediation.md#resources-in-lag-vault-control) つ保存されていることを確認します。 |
| 「[請求](https://aws.amazon.com/backup/pricing/)」 | AWS Backup によって完全に管理されるリソースのストレージおよびデータ転送料金は、「AWS Backup」で発生します。その他のリソースタイプのストレージおよびデータ転送料金は、それぞれのサービスで発生します。
例えば、Amazon EBS バックアップは「Amazon EBS」で発生し、Amazon S3 バックアップは「AWS Backup」で発生します。 | これらのボールト (ストレージまたはデータ転送) からのすべての請求料金は、「AWS Backup」で発生します。 |
| [リージョン](https://docs.aws.amazon.com/aws-backup/latest/devguide/whatisbackup.html#features-by-region) | AWS Backup が動作するすべてのリージョンで利用可能 | でサポートされているほとんどのリージョンで使用できます AWS Backup。現在、アジアパシフィック (マレーシア）、カナダ西部 (カルガリー）、メキシコ (中部）、アジアパシフィック (タイ）、アジアパシフィック (台北）、アジアパシフィック (ニュージーランド）、中国 (北京）、中国 (寧夏）、 AWS GovCloud (米国東部）、または AWS GovCloud (米国西部) ではご利用いただけません。 |
| [リソース](https://docs.aws.amazon.com/aws-backup/latest/devguide/whatisbackup.html#supported-resources) | クロスアカウントコピーをサポートするほとんどのリソースタイプのバックアップのコピーを保存できます。 | このボールトにコピーできるリソースについては、[リソース別の機能の可用性](backup-feature-availability.md#features-by-resource) の論理エアギャップボールトの列を参照してください。 |
| [復元](https://docs.aws.amazon.com/aws-backup/latest/devguide/restoring-a-backup.html) | バックアップは、ボールトが属しているのと同じアカウントで復元できます。 | ボールトが属しているのとは別のアカウントでボールトが共有されている場合、その別のアカウントでバックアップを復元できます。 |
| [セキュリティ](https://docs.aws.amazon.com/aws-backup/latest/devguide/security-considerations.html) | オプションでキー (カスタマーマネージドキーまたは AWS マネージドキー) による暗号化が可能です
オプションで、コンプライアンスモードまたはガバナンスモードでボールトロックを使用できます | [AWS 所有キー](https://docs.aws.amazon.com//kms/latest/developerguide/concepts.html#key-mgmt)またはカスタマーマネージドキーで暗号化可能
コンプライアンスモードでは常に[ボールトロック](https://docs.aws.amazon.com/aws-backup/latest/devguide/vault-lock.html)でロックされます
暗号化キータイプの情報は、ボールトが AWS RAM または MPA を介して共有されると保持され、表示されます。 |
| [共有](#lag-share) | アクセスはポリシーと [AWS Organizations](https://docs.aws.amazon.com/aws-backup/latest/devguide/manage-cross-account.html) によって管理できます
と互換性がありません AWS RAM | オプションとして、[AWS RAM](https://docs.aws.amazon.com/ram/latest/userguide/working-with-sharing-create.html) を用いてアカウント間で共有できます |
## 論理エアギャップボールトの作成
論理エアギャップボールトは、 AWS Backup コンソール、または AWS Backup と AWS RAM CLI コマンドの組み合わせを使用して作成できます。
論理エアギャップには、それぞれコンプライアンスモードのボールトロックが備わっています。オペレーションに最適な保持期間値を決定するには、「[AWS Backup ボールトロック](vault-lock.md)」を参照してください。
------
#### [ Console ]
**論理エアギャップボールトをコンソールから作成する**
1. [https://console.aws.amazon.com/backup](https://console.aws.amazon.com/backup) で AWS Backup コンソールを開きます。
1. ナビゲーションペインで、**[ボールト]** を選択します。
1. どちらのタイプのボールトも表示されます。**[新しいボールトを作成]** を選択します。
1. バックアップボールトの名前を入力します。保存するものがわかるような名前や、必要なバックアップを検索しやすい名前を付けることができます。例えば、`FinancialBackups` のような名前を付けます。
1. **[論理エアギャップボールト]** ラジオボタンを選択します。
1. *(オプション)* 暗号化キーを選択します。カスタマー管理の KMS キーを選択して暗号化をさらに制御することも、デフォルト AWS所有のキーを使用することもできます (推奨）。
1. **[最小保持期間]** を設定します。
この値 (日単位、月単位、年単位) は、バックアップをこのボールトに保持できる最短期間です。保持期間がこの値より短いバックアップは、このボールトにコピーできません。
許容される最小値は `7` 日です。月と年の値は、この最小値を満たします。
1. **[最大保持期間]** を設定します。
この値 (日単位、月単位、年単位) は、バックアップをこのボールトに保持できる最長期間です。保持期間がこの値を超えるバックアップは、このボールトにコピーできません。
1. *(オプション)* **暗号化キー**を設定します。
ボールトで使用するキーを指定します。**AWS 所有キー ( によって管理 AWS Backup)** を選択するか、カスタマー**マネージドキー**の ARN を入力します。この ARN は、アクセス可能な別のアカウントに属することが推奨されます。 AWS Backup は、 AWS 所有キーを使用することをお勧めします。
1. *(オプション)* 論理エアギャップボールトを検索して識別するのに役立つタグを追加します。例えば、`BackupType:Financial` というタグを追加できます。
1. **[ボールトを作成]** を選択します。
1. 設定を確認します。すべての設定が意図したとおりに表示されたら、**[論理的にエアギャップのあるボールトを作成]** を選択します。
1. コンソールに新しいボールトの詳細ページが表示されます。ボールトの詳細が想定どおりであることを確認します。
1. **[ボールト]** を選択して、アカウントのボールトを表示します。論理エアギャップボールトが表示されます。KMS キーは、ボールトの作成から約 1～3 分後に使用可能になります。ページを更新して、関連するキーを確認します。キーが表示されると、ボールトは使用可能な状態になり、使用できます。
------
#### [ AWS CLI ]
CLI からの論理エアギャップボールトの作成
を使用して AWS CLI 、論理エアギャップボールトのオペレーションをプログラムで実行できます。各 CLI は、作成元の AWS サービスに固有です。共有に関連するコマンドには `aws ram` が付加されています。他のすべてのコマンドには `aws backup` が付加される必要があります。
CLI コマンド [https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/create-logically-air-gapped-backup-vault.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/create-logically-air-gapped-backup-vault.html) を、以下のパラメータで変更して使用します。
```
aws backup create-logically-air-gapped-backup-vault
--region us-east-1 // optional
--backup-vault-name {{sampleName}} // required
--min-retention-days {{7}} // required Value must be an integer 7 or greater
--max-retention-days {{35}} // required
--encryption-key-arn {{arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012}} // optional
--creator-request-id {{123456789012-34567-8901}} // optional
```
オプションの `--encryption-key-arn`パラメータを使用すると、ボールト暗号化用のカスタマーマネージド KMS キーを指定できます。指定しない場合、ボールトは AWS所有のキーを使用します。
論理エアギャップボールトを作成する CLI コマンドの例:
```
aws backup create-logically-air-gapped-backup-vault
--region us-east-1
--backup-vault-name sampleName
--min-retention-days 7
--max-retention-days 35
--creator-request-id 123456789012-34567-8901 // optional
```
カスタマーマネージド暗号化を使用して論理エアギャップボールトを作成する CLI コマンドの例:
```
aws backup create-logically-air-gapped-backup-vault
--region us-east-1
--backup-vault-name sampleName
--min-retention-days 7
--max-retention-days 35
--encryption-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012
--creator-request-id 123456789012-34567-8901 // optional
```
作成オペレーション後の情報については、「[CreateLogicallyAirGappedBackupVault API レスポンス要素](https://docs.aws.amazon.com/aws-backup/latest/devguide/API_CreateLogicallyAirGappedBackupVault.html)」を参照してください。オペレーションが成功すると、新しい論理エアギャップボールトの VaultState は `CREATING` になります。
作成が完了し、KMS 暗号化キーが割り当てられると、VaultState は `AVAILABLE` に移行します。使用可能になったら、ボールトを使用できます。`VaultState` は、[https://docs.aws.amazon.com/aws-backup/latest/devguide/API_DescribeBackupVault.html](https://docs.aws.amazon.com/aws-backup/latest/devguide/API_DescribeBackupVault.html) または [https://docs.aws.amazon.com/aws-backup/latest/devguide/API_ListBackupVaults.html](https://docs.aws.amazon.com/aws-backup/latest/devguide/API_ListBackupVaults.html) を呼び出して取得できます。
------
## 論理エアギャップボールトの詳細の表示
AWS Backup コンソールまたは AWS Backup CLI を使用して、概要、復旧ポイント、保護されたリソース、アカウント共有、アクセスポリシー、タグなどのボールトの詳細を確認できます。
------
#### [ Console ]
1. [https://console.aws.amazon.com/backup](https://console.aws.amazon.com/backup) で AWS Backup コンソールを開きます。
1. 左側のナビゲーションペインで、**[ボールト]** を選択します。
1. ボールトの説明の下には、**このアカウントによって作成されたボールト**、**RAM を通じて共有されたボールト**、**マルチパーティー承認を通じてアクセス可能なボールトの** 3 つのリストがあります。ボールトを表示するには、目的のタブを選択します。
1. **[ボールト名]** で、ボールトの名前をクリックして詳細ページを開きます。概要、復旧ポイント、保護対象リソース、アカウント共有、アクセスポリシー、タグの詳細を表示できます。
アカウントタイプに応じて詳細が表示されます。ボールトを所有するアカウントはアカウント共有を表示できます。ボールトを所有していないアカウントはアカウント共有を表示できません。共有ボールトの場合、暗号化キータイプ (AWS所有またはカスタマー管理の KMS キー) がボールトの概要に表示されます。
------
#### [ AWS CLI ]
CLI を通じた論理エアギャップボールト詳細の表示
CLI コマンド [https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/describe-backup-vault.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/describe-backup-vault.html) を使用して、ボールトに関する詳細を取得できます。パラメータ `backup-vault-name` は必須で、`region` はオプションです。
```
aws backup describe-backup-vault
--region {{us-east-1}}
--backup-vault-name {{testvaultname}}
```
レスポンスの例:
```
{
"BackupVaultName": "LOG-AIR-GAP-VAULT-TEST",
"BackupVaultArn": "arn:aws:backup:us-east-1:234567890123:backup-vault:IAD-LAGV-01",
"VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
"EncryptionKeyType": "AWS_OWNED_KMS_KEY",
"CreationDate": "2024-07-25T16:05:23.554000-07:00",
"NumberOfRecoveryPoints": 0,
"Locked": true,
"MinRetentionDays": 8,
"MaxRetentionDays": 30,
"LockDate": "2024-07-25T16:05:23.554000-07:00"
}
```
**注記**
論理エアギャップボールトが使用できないリージョンでは、 `VaultType`フィールドは API レスポンスに含まれません。
------
## 論理エアギャップボールトでのバックアップの作成
論理エアギャップボールトは、バックアッププランのコピージョブの送信先ターゲットでも、オンデマンドコピージョブのターゲットでもかまいません。また、プライマリバックアップターゲットとしても使用できます。[「論理エアギャップボールトへのプライマリバックアップ](lag-vault-primary-backup.md)」を参照してください。
**互換性のある暗号化**
バックアップボールトから論理エアギャップボールトへのコピージョブが成功するためには、コピーするリソースタイプによって決定される暗号化キーが必要です。
[フルマネージドリソースタイプの](backup-feature-availability.md#features-by-resource)バックアップを作成またはコピーする場合、ソースリソースはカスタマーマネージドキーまたは AWS マネージドキーで暗号化できます。
他のリソースタイプのバックアップ ([フルマネージド型ではない](backup-feature-availability.md#features-by-resource)リソース) を作成またはコピーする場合、ソースはカスタマーマネージドキーで暗号化する必要があります。フル AWS マネージド型ではないリソースのマネージドキーはサポートされていません。
**バックアッププランを通じて論理エアギャップボールトにバックアップを作成またはコピーする**
バックアップ (復旧ポイント) を標準バックアップボールトから論理エアギャップボールトにコピーするには[、新しいバックアッププランを作成する](creating-a-backup-plan.md)か[、コンソールで既存のバックアッププランを更新する](updating-a-backup-plan.md)か、 AWS CLI コマンド[https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/create-backup-plan.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/create-backup-plan.html)と を使用します[https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/update-backup-plan.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/update-backup-plan.html)。 AWS Backup バックアップをプライマリターゲットとして使用して、論理エアギャップボールトに直接作成することもできます。詳細については、[「論理エアギャップボールトへのプライマリバックアップ](lag-vault-primary-backup.md)」を参照してください。
バックアップは、論理エアギャップボールトから別の論理エアギャップボールトにオンデマンドでコピーできます (このタイプのバックアップはバックアッププランではスケジュールできません)。コピーがカスタマー管理キーで暗号化されている限り、論理エアギャップボールトから標準バックアップボールトにバックアップをコピーできます。
**論理エアギャップボールトへのオンデマンドバックアップコピー**
論理エアギャップボールトへのバックアップのワンタイムの[オンデマンド](recov-point-create-on-demand-backup.md)コピーを作成するには、標準のバックアップボールトからコピーします。リソースタイプがコピータイプをサポートしている場合は、クロスリージョンコピーまたはクロスアカウントコピーを使用できます。
**コピーの可用性**
バックアップのコピーは、ボールトが属しているアカウントから作成できます。ボールトが共有されているアカウントは、バックアップを表示または復元できますが、コピーを作成することはできません。
[クロスリージョンコピーまたはクロスアカウントコピーをサポートするリソースタイプ](backup-feature-availability.md#features-by-resource)のみを含めることができます。
------
#### [ Console ]
1. [https://console.aws.amazon.com/backup](https://console.aws.amazon.com/backup) で AWS Backup コンソールを開きます。
1. 左側のナビゲーションペインで、**[ボールト]** を選択します。
1. ボールトの詳細ページには、そのボールト内のすべての復旧ポイントが表示されます。コピーする復旧ポイントの横にチェックマークを付けます。
1. 次に **[アクション]** を選択し、ドロップダウンメニューから **[編集]** を選択します。
1. 次の画面で、コピー先の詳細を入力します。
1. コピー先リージョンを指定します。
1. コピー先バックアップボールトドロップダウンメニューに、対象となるコピー先ボールトが表示されます。そのうちの一つを選択し、「`logically air-gapped vault`」と入力します。
1. すべての詳細設定を完了したら、**[コピー]** を選択します。
コンソールの **[ジョブ]** ページで **[コピー]** ジョブを選択すると、現在のコピージョブを表示できます。
------
#### [ AWS CLI ]
[start-copy-job](https://docs.aws.amazon.com/aws-backup/latest/devguide/API_StartCopyJob.html) を使用して、バックアップボールトにある既存のバックアップを、論理エアギャップボールトにコピーします。
CLI 入力のサンプル:
```
aws backup start-copy-job
--region {{us-east-1}}
--recovery-point-arn {{arn:aws:resourcetype:region::snapshot/snap-12345678901234567}}
--source-backup-vault-name {{sourcevaultname}}
--destination-backup-vault-arn {{arn:aws:backup:us-east-1:123456789012:backup-vault:destinationvaultname}}
--iam-role-arn {{arn:aws:iam::123456789012:role/service-role/servicerole}}
```
------
詳細については、「[バックアップのコピー](https://docs.aws.amazon.com/aws-backup/latest/devguide/recov-point-create-a-copy.html)」、「[クロスリージョンバックアップ](https://docs.aws.amazon.com/aws-backup/latest/devguide/cross-region-backup.html)」、「[クロスアカウントバックアップ](https://docs.aws.amazon.com/aws-backup/latest/devguide/create-cross-account-backup.html)」を参照してください。
## 論理エアギャップボールトの共有
AWS Resource Access Manager (RAM) を使用して、指定した他のアカウントと論理エアギャップボールトを共有できます。ボールトを共有する場合、暗号化キータイプ情報 (AWS所有またはカスタマー管理の KMS キー) は保持され、ボールトが共有されているアカウントに表示されます。
ボールトは、組織のアカウントまたは別の組織のアカウントと共有できます。ボールトを組織全体と共有することはできません。共有できるのは組織内のアカウントのみです。
ボールトの共有や共有管理ができるのは、特定の IAM 権限を持つアカウントだけです。
を使用して共有するには AWS RAM、以下があることを確認します。
+ にアクセスできる 2 つ以上のアカウント AWS Backup
+ 共有対象の、ボールトを所有するアカウントには、必要な RAM アクセス許可があります。この手順にはアクセス許可 `ram:CreateResourceShare` が必要です。ポリシー `AWSResourceAccessManagerFullAccess` には、必要な RAM 関連のアクセス許可がすべて含まれています。
+ `backup:DescribeBackupVault`
+ `backup:DescribeRecoveryPoint`
+ `backup:GetRecoveryPointRestoreMetadata`
+ `backup:ListProtectedResourcesByBackupVault`
+ `backup:ListRecoveryPointsByBackupVault`
+ `backup:ListTags`
+ `backup:StartRestoreJob`
+ 少なくとも 1 つの論理エアギャップボールト
------
#### [ Console ]
1. [https://console.aws.amazon.com/backup](https://console.aws.amazon.com/backup) で AWS Backup コンソールを開きます。
1. 左側のナビゲーションペインで、**[ボールト]** を選択します。
1. ボールトの説明の下には、「**このアカウントが所有するボールト**」と「**このアカウントと共有されるボールト**」の 2 つのリストが表示されます。アカウントが所有するボールトは共有の対象となります。
1. **[ボールト名]**で、論理エアギャップボールトの名前を選択し、詳細ページを開きます。
1. **[アカウント共有]** ペインには、ボールトがどのアカウントと共有されているかが表示されます。
1. 別のアカウントとの共有を開始したり、すでに共有されているアカウントを編集したりするには、**[共有の管理]** を選択します。
1. **共有の管理**が選択されると、 AWS RAM コンソールが開きます。 AWS RAM を使用してリソースを共有する手順については、「RAM [AWS ユーザーガイド」の「RAM でのリソース共有の作成](https://docs.aws.amazon.com/ram/latest/userguide/working-with-sharing-create.html)」を参照してください。 *AWS *
1. 共有を受信する招待を承諾するよう招待されたアカウントは、12 時間以内にその招待を受け入れる必要があります。「**AWS RAM ユーザーガイド」の「[リソース共有の招待の承諾と拒否](https://docs.aws.amazon.com/ram/latest/userguide/working-with-shared-invitations.html)」を参照してください。
1. 共有手順が完了して承諾されると、ボールトの概要ページが **[アカウント共有] = [共有 - 下記のアカウント共有表をご覧ください]** の下に表示されます。
------
#### [ AWS CLI ]
AWS RAM は CLI コマンド を使用します`create-resource-share`。このコマンドにアクセスできるのは、十分なアクセス許可を持つアカウントだけです。CLI の手順については、「[AWS RAMでのリソース共有の作成](https://docs.aws.amazon.com/ram/latest/userguide/working-with-sharing-create.html)」を参照してください。
ステップ 1～4 は、論理エアギャップボールトを所有するアカウントで行います。ステップ 5～8 は、論理エアギャップボールトを共有するアカウントで行います。
1. 所有しているアカウントにログインするか、ソースアカウントにアクセスするための十分な認証情報を組織のユーザーに要求すると、次の手順は完了します。
1. リソース共有が以前に作成されており、それにリソースを追加する場合は、代わりに新しいボールトの ARN とともに CLI `associate-resource-share` を使用してください。
1. RAM 経由で共有するのに十分な許可を持つロールの認証情報を取得します。[これらを CLI に入力します](https://docs.aws.amazon.com/cli/latest/userguide/getting-started-quickstart.html#getting-started-quickstart-new)。
1. この手順にはアクセス許可 `ram:CreateResourceShare` が必要です。すべての RAM 関連のアクセス許可は、ポリシー [AWSResourceAccessManagerFullAccess](https://console.aws.amazon.com/iamv2/home?region=us-east-1#/policies/details/arn%3Aaws%3Aiam%3A%3Aaws%3Apolicy%2FAWSResourceAccessManagerFullAccess) に含まれています。
1. [[create-resource-share]](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/ram/create-resource-share.html) を選択します。
1. 論理エアギャップボールトの ARN を含めます。
1. 入力例:
```
aws ram create-resource-share
--name {{MyLogicallyAirGappedVault}}
--resource-arns arn:aws:backup:us-east-1:{{123456789012}}:backup-vault:{{test-vault-1}}
--principals {{123456789012}}
--region us-east-1
```
1. 出力の例:
```
{
"resourceShare":{
"resourceShareArn":"arn:aws:ram:us-east-1:123456789012:resource-share/12345678-abcd-09876543",
"name":"MyLogicallyAirGappedVault",
"owningAccountId":"123456789012",
"allowExternalPrincipals":true,
"status":"ACTIVE",
"creationTime":"2021-09-14T20:42:40.266000-07:00",
"lastUpdatedTime":"2021-09-14T20:42:40.266000-07:00"
}
}
```
1. 出力内のリソース共有 ARN をコピーします (これは以降のステップで必要です)。共有の受け取りを招待するアカウントのオペレーターに ARN を渡します。
1. リソース共有 ARN を取得します
1. ステップ 1～4 を実行しなかった場合は、実行したユーザーから resourceShareArn を入手してください。
1. 例: `arn:aws:ram:us-east-1:{{123456789012}}:resource-share/{{12345678-abcd-09876543}}`
1. CLI では、受取人のアカウントの認証情報を想定します。
1. 「[https://awscli.amazonaws.com/v2/documentation/api/latest/reference/ram/get-resource-share-invitations.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/ram/get-resource-share-invitations.html)」を使ってリソース共有の招待を取得します。詳細については、「**AWS RAM ユーザーガイド」の「[招待の承諾と拒否](https://docs.aws.amazon.com/ram/latest/userguide/working-with-shared-invitations.html)」を参照してください。
1. コピー先 (リカバリ) アカウントで招待を承諾します。
1. 「[https://awscli.amazonaws.com/v2/documentation/api/latest/reference/ram/accept-resource-share-invitation.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/ram/accept-resource-share-invitation.html)」を使用します (「[https://awscli.amazonaws.com/v2/documentation/api/latest/reference/ram/reject-resource-share-invitation.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/ram/reject-resource-share-invitation.html)」も可能です)。
AWS RAM CLI コマンドを使用して、共有項目を表示できます。
+ 共有したリソース:
`aws ram list-resources --resource-owner SELF --resource-type backup:backup-vault --region us-east-1`
+ プリンシパルを表示:
`aws ram get-resource-share-associations --association-type PRINCIPAL --region us-east-1`
+ 他のアカウントによって共有されるリソース:
`aws ram list-resources --resource-owner OTHER-ACCOUNTS --resource-type backup:backup-vault --region us-east-1`
------
## 論理エアギャップボールトからのバックアップの復元
論理エアギャップボールトに保存されているバックアップは、そのボールトを所有しているアカウントから、またはそのボールトを共有している任意のアカウントから復元できます。
AWS Backup コンソールを通じて復旧ポイントを復元する方法については、「[バックアップの復元](https://docs.aws.amazon.com/aws-backup/latest/devguide/restoring-a-backup.html)」を参照してください。
論理エアギャップボールトからアカウントにバックアップが共有されたら、[https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/start-restore-job.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/start-restore-job.html) を使用してバックアップを復元できます。
サンプル CLI 入力には、次のコマンドとパラメータを含めることができます。
```
aws backup start-restore-job
--recovery-point-arn {{arn:aws:backup:us-east-1:accountnumber:recovery-point:RecoveryPointID}}
--metadata {\"availabilityzone\":\"us-east-1d\"}
--idempotency-token TokenNumber
--resource-type ResourceType
--iam-role arn:aws:iam::number:role/service-role/servicerole
--region us-east-1
```
## 論理エアギャップボールトの削除
「[ボールトの削除](https://docs.aws.amazon.com/aws-backup/latest/devguide/create-a-vault.html#delete-a-vault)」を参照してください。バックアップ (復旧ポイント) がまだ保存されているボールとは削除できません。削除操作を開始する前に、ボールトにバックアップがないことを確認してください。
ボールトを削除すると、キー削除ポリシーに従って、ボールトが削除されてから 7 日後に、ボールトに関連付けられたキーも削除されます。
以下のサンプル CLI コマンド「[https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/delete-backup-vault.html](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/backup/delete-backup-vault.html)」を変更して、ボールトを削除できます。
```
aws backup delete-backup-vault
--region us-east-1
--backup-vault-name {{testvaultname}}
```
## 論理エアギャップボールトのその他のプログラムオプション
CLI コマンド「[https://docs.aws.amazon.com/aws-backup/latest/devguide/API_ListBackupVaults.html](https://docs.aws.amazon.com/aws-backup/latest/devguide/API_ListBackupVaults.html)」を変更して、アカウントが所有し、アカウント内に存在するすべてのボールトを一覧表示できます。
```
aws backup list-backup-vaults
--region us-east-1
```
論理エアギャップボールトのみを一覧表示するには、以下のパラメーターを追加します
```
--by-vault-type LOGICALLY_AIR_GAPPED_BACKUP_VAULT
```
`by-shared` パラメータを含め、返されたボールトのリストをフィルタリングして、共有された論理エアギャップボールトのみを表示します。レスポンスには、各共有ボールトの暗号化キータイプ情報が含まれます。
```
aws backup list-backup-vaults
--region us-east-1
--by-shared
```
暗号化キータイプ情報を示すレスポンスの例:
```
{
"BackupVaultList": [
{
"BackupVaultName": "shared-logically air-gapped-vault",
"BackupVaultArn": "arn:aws:backup:us-east-1:123456789012:backup-vault:shared-logically air-gapped-vault",
"VaultType": "LOGICALLY_AIR_GAPPED_BACKUP_VAULT",
"EncryptionKeyType": "AWS_OWNED_KMS_KEY",
"CreationDate": "2024-07-25T16:05:23.554000-07:00",
"Locked": true,
"MinRetentionDays": 7,
"MaxRetentionDays": 30
}
]
}
```
**注記**
論理エアギャップボールトが利用できないリージョンでは、 `VaultType`フィールドは API レスポンスに含まれません。
## 論理エアギャップボールトの暗号化キータイプについて
論理エアギャップボールトはさまざまな暗号化キータイプをサポートし、この情報は AWS Backup APIs とコンソールを通じて表示されます。または MPA AWS RAM を介してボールトを共有する場合、暗号化キータイプの情報は保持され、ボールトが共有されているアカウントに表示されます。この透明性により、ボールトの暗号化設定を理解し、バックアップおよび復元オペレーションについて情報に基づいた意思決定を行うことができます。
### 暗号化キータイプの値
`EncryptionKeyType` フィールドには、次の値を含めることができます。
+ `AWS_OWNED_KMS_KEY` - ボールトは AWS所有のキーで暗号化されます。これは、カスタマーマネージドキーが指定されていない場合の論理エアギャップボールトのデフォルトの暗号化方法です。
+ `CUSTOMER_MANAGED_KMS_KEY` - ボールトは、お客様が管理するカスタマー管理の KMS キーで暗号化されます。このオプションを使用すると、暗号化キーとアクセスポリシーをさらに制御できます。
**注記**
AWS Backup では、論理エアギャップボールトで AWS 所有キーを使用することをお勧めします。
組織ポリシーでカスタマーマネージドキーを使用する必要がある場合、 AWS はテストを除き、同じアカウントのキーを使用することはお勧めしません。本番ワークロードでは、復旧専用のセカンダリ組織の別のアカウントのカスタマーマネージドキーをベストプラクティスとして使用します。ブログ[「Encrypt AWS Backup logically air-gapped vaults with customer-managed keys](https://aws.amazon.com/blogs/storage/encrypt-aws-backup-logically-air-gapped-vaults-with-customer-managed-keys/)」を参照して、CMK ベースの論理エアギャップボールトのセットアップに関するより多くのインサイトを収集できます。
KMS AWS 暗号化キーは、ボールトの作成時にのみ選択できます。作成されると、ボールトに含まれるすべてのバックアップはそのキーで暗号化されます。別の暗号化キーを使用するようにボールトを変更または移行することはできません。
### CMK で暗号化された論理エアギャップボールト作成のキーポリシー
カスタマーマネージドキーを使用して論理エアギャップボールトを作成する場合は、 AWSマネージドポリシーを`AWSBackupFullAccess`アカウントロールに適用する必要があります。このポリシーには、バックアップ AWS Backup 、コピー、ストレージオペレーション中に が KMS キーで許可を作成 AWS KMS するために とやり取りできるようにする`Allow`アクションが含まれています。さらに、カスタマーマネージドキー (使用する場合) ポリシーに特定の必要なアクセス許可が含まれていることを確認する必要があります。
+ CMK は、論理エアギャップボールトが存在するアカウントと共有する必要があります
```
{
"Sid": "Allow use of the key to create a logically air-gapped vault",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[account-id]:role/TheRoleToAccessAccount"
},
"Action": [
"kms:CreateGrant",
"kms:DescribeKey"
],
"Resource": "*",
"Condition": {
"StringLike": {
"kms:ViaService": "backup.*.amazonaws.com"
}
}
}
```
**コピー/復元のキーポリシー**
ジョブの失敗を防ぐには、 AWS KMS キーポリシーを確認して、必要なすべてのアクセス許可が含まれ、オペレーションをブロックする可能性のある拒否ステートメントが含まれていないことを確認します。以下の条件が適用されます。
+ すべてのコピーシナリオで、CMKs をソースコピーロールと共有する必要があります。
```
{
"Sid": "Allow use of the key for copy",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole" //[Source copy role]
},
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey"
],
"Resource": "*",
"Condition": {
"StringLike": {
"kms:ViaService": "backup.*.amazonaws.com"
}
}
},
{
"Sid": "Allow AWS Backup to create grant on the key for copy",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole" //[Source copy role]
},
"Action": [
"kms:CreateGrant"
],
"Resource": "*",
"Condition": {
"Bool": {
"kms:GrantIsForAWSResource": "true"
},
"StringLike": {
"kms:ViaService": "backup.*.amazonaws.com"
}
}
}
```
+ CMK で暗号化された論理エアギャップボールトからバックアップボールトにコピーする場合、CMK を送信先アカウント SLR と共有する必要があります。
```
{
"Sid": "Allow use of the key for copy from a CMK encrypted logically air-gapped vault to normal backup vault",
"Effect": "Allow",
"Principal": {
"AWS": ["arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole", //[Source copy role]
"arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]
},
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey"
],
"Resource": "*"
},
{
"Sid": "Allow AWS Backup to create grant on the key for copy",
"Effect": "Allow",
"Principal": {
"AWS": ["arn:aws:iam::[source-account-id]:role/service-role/AWSBackupDefaultServiceRole", //[Source copy role]
"arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]
},
"Action": [
"kms:CreateGrant"
],
"Resource": "*",
"Condition": {
"Bool": {
"kms:GrantIsForAWSResource": "true"
}
}
}
```
+ RAM/MPA 共有論理エアギャップボールトを使用して復旧アカウントからコピーまたは復元する場合
```
{
"Sid": "Allow use of the key for copy/restore from a recovery account",
"Effect": "Allow",
"Principal": {
"AWS": ["arn:aws:iam::[recovery-account-id]:role/service-role/AWSBackupDefaultServiceRole", //[Recovery account copy/restore role]
"arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"] //[Destination SLR]
},
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey"
],
"Resource": "*"
},
{
"Sid": "Allow AWS Backup to create grant on the key for copy",
"Effect": "Allow",
"Principal": {
"AWS": ["arn:aws:iam::[recovery-account-id]:role/service-role/AWSBackupDefaultServiceRole" //[Recovery account copy/restore role]
"arn:aws:iam::[destination-account-id]:role/aws-service-role/backup.amazonaws.com/AWSServiceRoleForBackup"], //[Destination SLR]
},
"Action": [
"kms:CreateGrant"
],
"Resource": "*",
"Condition": {
"Bool": {
"kms:GrantIsForAWSResource": "true"
}
}
}
```
**IAM ロール**
論理エアギャップボールトコピーオペレーションを実行する場合、お客様は AWSマネージドポリシー `AWSBackupDefaultServiceRole` を含む を利用できます`AWSBackupServiceRolePolicyForBackup`。ただし、お客様が最小特権ポリシーアプローチを実装する場合は、IAM ポリシーに特定の要件を含める必要があります。
+ ソースアカウントのコピーロールには、ソース CMK と宛先 CMKs の両方へのアクセス許可が必要です。
```
{
"Version": "2012-10-17" ,
"Statement": [
{
"Sid": "KMSPermissions",
"Effect": "Allow",
"Action": "kms:DescribeKey",
"Resource": [
"arn:aws:kms:*:[source-account-id]:key/*", - Source logically air-gapped vault CMK -
"arn:aws:kms:*:[destination-account-id]:key/*". - Destination logically air-gapped vault CMK -
]
},
{
"Sid": "KMSCreateGrantPermissions",
"Effect": "Allow",
"Action": "kms:CreateGrant",
"Resource": [
"arn:aws:kms:*:[source-account-id]:key/*", - Source logically air-gapped vault CMK -
"arn:aws:kms:*:[destination-account-id]:key/*". - Destination logically air-gapped vault CMK -
]
"Condition": {
"Bool": {
"kms:GrantIsForAWSResource": "true"
}
}
},
]
}
```
したがって、最も一般的な顧客エラーの 1 つは、顧客が CMKs に対する十分なアクセス許可とコピーロールを提供しなかった場合に、コピー中に発生します。
### 暗号化キータイプの表示
暗号化キータイプの情報は、 AWS Backup コンソールと、 AWS CLI または SDKs を使用してプログラムで表示できます。
**コンソール:** AWS Backup コンソールで論理エアギャップボールトを表示すると、暗号化キータイプがセキュリティ情報セクションのボールトの詳細ページに表示されます。
**AWS CLI/API:** 暗号化キータイプは、論理エアギャップボールトをクエリするときに、次のオペレーションのレスポンスで返されます。
+ `list-backup-vaults` (共有ボールト`--by-shared`を含む)
+ `describe-backup-vault`
+ `describe-recovery-point`
+ `list-recovery-points-by-backup-vault`
+ `list-recovery-points-by-resource`
### ボールト暗号化に関する考慮事項
論理エアギャップボールトと暗号化キータイプを使用する場合は、次の点を考慮してください。
+ **作成時のキー選択:** 論理エアギャップボールトを作成するときに、オプションでカスタマーマネージド KMS キーを指定できます。指定しない場合、 AWS所有のキーが使用されます。
+ **共有ボールトの可視性:** ボールトが共有されているアカウントは、暗号化キータイプを表示できますが、暗号化設定を変更することはできません。
+ **復旧ポイント情報:** 暗号化キータイプは、論理エアギャップボールト内の復旧ポイントを表示するときにも使用できます。
+ **復元オペレーション:** 暗号化キータイプを理解すると、復元オペレーションを計画し、潜在的なアクセス要件を理解するのに役立ちます。
+ **コンプライアンス:** 暗号化キータイプの情報は、バックアップデータに使用される暗号化方法に透明性を提供することで、コンプライアンスレポートと監査の要件をサポートします。
## サービス所有キーの使用
AWS Backup は、論理エアギャップボールトに保存されているすべてのバックアップデータを暗号化するために使用される暗号化キーを作成および管理し、データ損失イベント中の暗号化キーのアクセスを保護および防止します。
+ これらのキーは無料で、アカウントの AWS KMS クォータにはカウントされません。
+ 1 つのキーは特定のボールトにのみ使用され、他のアカウントや他の目的と共有されることはありません。
+ これらのキーは、割り当てられた (空の) ボールトも削除されると削除されます。
+ これらのキーは、[SYMMETRIC\_DEFAULT キー仕様](https://docs.aws.amazon.com/kms/latest/developerguide/symm-asymm-choose-key-spec.html#symmetric-cmks)を使用して作成されます。
+ デフォルトのローテーションポリシーは 90 日です。サポートチケットを使用して、論理エアギャップボールトのサービス所有の暗号化キーのローテーション (6 か月に 1 回) をリクエストできます。
詳細については、 [AWS KMS ドキュメント](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html)を参照してください。
## セキュリティの自動修復に関する考慮事項
が EC2 (AMI) バックアップを論理エアギャップボールト AWS Backup にコピーすると、 `launchPermission` (AMI 上) と `createVolumePermission` (関連する EBS スナップショット上) をサービス所有アカウントに一時的に付与します。これらのアクセス許可は、コピーが完了すると自動的に取り消されます。
これらのオペレーションは、 を `userIdentity.invokedBy`に設定して、 AWS CloudTrail ログに `ModifyImageAttribute`および `ModifySnapshotAttribute`イベントを生成します`backup.amazonaws.com`。
これらのイベントをモニタリングし、クロスアカウント共有を取り消すセキュリティ自動修復ロジック ( を使用した Amazon EventBridge ルールなど AWS Lambda) がある場合は、 `userIdentity.invokedBy` が であるイベントを除外する必要があります`backup.amazonaws.com`。そうしないと、論理エアギャップボールトへのジョブのコピーは「この ami のストレージにアクセスするアクセス許可がありません」で失敗します。
この除外は安全です。コピーは、EC2 属性の変更が発生する前に評価されるボールトアクセスポリシー (`backup:CopyFromBackupVault`ソースボールト`backup:CopyIntoBackupVault`と宛先ボールト) によって承認されるためです。一時的なアクセス許可は、固定 AWS サービス所有アカウントにのみ付与され、コピーが完了すると自動的に取り消されます。
AWS Backup オペレーションを除外する EventBridge ルールイベントパターンの例:
```
{
"source": ["aws.ec2"],
"detail-type": ["AWS API Call via CloudTrail"],
"detail": {
"eventSource": ["ec2.amazonaws.com"],
"eventName": ["ModifySnapshotAttribute", "ModifyImageAttribute"],
"userIdentity": {
"invokedBy": [{"anything-but": "backup.amazonaws.com"}]
}
}
}
```
## 論理エアギャップボールトの問題のトラブルシューティング
ワークフロー中にエラーが発生した場合は、次のエラー例と推奨される解決策を参照してください。
### `EC2 AMI copy job to logically air-gapped vault fails with permission error`
**エラー: ** `Copy job fails with "You do not have permission to access the storage of this ami."`
**考えられる原因:** EC2 AMI コピージョブを論理エアギャップボールトにコピーすると、 AWS Backup 一時的に起動アクセス許可 (AMI) を付与し、サービス所有アカウントにボリュームアクセス許可 (EBS スナップショット) を作成して、 AWS CloudTrail ログに イベント`ModifyImageAttribute`と `ModifySnapshotAttribute`イベントを生成します。これらのイベントをモニタリングし、クロスアカウント共有許可を自動的に取り消すセキュリティ自動修復ロジック (Lambda を使用した EventBridge ルールなど) がある場合、コピーが完了する前に一時的なアクセスを削除できます。
**注記**
これは、Amazon FSx などの他のリソースのコピージョブでも同様に発生する可能性があります。
**解決策:** EventBridge ルールイベントパターンを更新して、 によって実行されたオペレーションを除外します AWS Backup。具体的に`userIdentity.invokedBy`は、コピープロセス中に が付与する AWS Backup 一時的なクロスアカウントアクセス許可が自動修復ロジックによって取り消されないように`backup.amazonaws.com`、 が であるイベントを除外します。
### `AccessDeniedException`
**エラー: ** `An error occured (AccessDeniedException) when calling the [command] operation: Insufficient privileges to perform this action."`
**考えられる原因:** RAM によって共有されたボールトで次のリクエストのいずれかが実行されたときに、`--backup-vault-account-id` パラメータが含まれていませんでした。
+ `describe-backup-vault`
+ `describe-recovery-point`
+ `get-recovery-point-restore-metadata`
+ `list-protected-resources-by-backup-vault`
+ `list-recovery-points-by-backup-vault`
**解決策:** エラーを返したコマンドを再試行します。ただし、ボールトを所有するアカウントを指定するパラメータ `--backup-vault-account-id` を含めます。
### `OperationNotPermittedException`
**エラー:** `CreateResourceShare` を呼び出した後に `OperationNotPermittedException` が返されます。
**考えられる原因:** 論理エアギャップボールトなどのリソースを別の組織と共有しようとすると、この例外が発生する可能性があります。ボールトは別の組織のアカウントと共有できますが、他の組織自体と共有することはできません。
**解決策:** 組織または OU の代わりに `principals` の値としてアカウントを指定して、オペレーションを再試行します。
### 暗号化キータイプが表示されない
**問題:** 論理エアギャップボールトまたはその復旧ポイントを表示すると、暗号化キータイプは表示されません。
**考えられる原因:**
+ 暗号化キータイプのサポートが追加される前に作成された古いボールトを表示している
+ 古いバージョンの AWS CLI または SDK を使用している
+ API レスポンスに暗号化キータイプフィールドが含まれていない
**解決策**:
+ を最新バージョン AWS CLI に更新する
+ 古いボールトの場合、暗号化キータイプは自動的に入力され、後続の API コールに表示されます。
+ 暗号化キータイプ情報を返す正しい API オペレーションを使用していることを確認します。
+ 共有ボールトの場合、ボールトが を介して適切に共有されていることを確認します。 AWS Resource Access Manager
### CloudTrail ログの AccessDeniedException を使用した「FAILEDVaultState
**CloudTrail のエラー:** `"User: is not authorized to perform: kms:CreateGrant on this resource because the resource does not exist in this Region, no resource-based policies allow access, or a resource-based policy explicitly denies access"`
**考えられる原因:**
+ ボールトはカスタマーマネージドキーを使用して作成されましたが、引き受けたロールには、ボールト作成にキーを使用するために必要なキーポリシーに対する CreateGrant アクセス許可がありません
**解決策**:
+ [CMK で暗号化された論理エアギャップボールト作成のキーポリシー](#key-policy-lag-vault-creation) セクションで指定されたアクセス許可を付与し、ボールト作成ワークフローを再試行します。