AWS EBSのバックアップ運用とコスト最適化｜DLM自動化とスナップショットアーカイブの活用

Amazon EBSは、EC2に接続するブロックストレージとして広く使われていますが、スナップショットによるバックアップを手作業やスクリプトで管理していると、取得漏れや削除忘れによるコスト増加、障害復旧の遅れといったリスクが生じます。本記事では、Amazon Data Lifecycle Manager（DLM）によるバックアップ自動化、スナップショットの長期保管コストを抑えるArchive階層、そしてセキュリティ・DR設計のポイントを整理します。

この記事で分かること

EBSスナップショットを手動管理する運用に潜むリスク
Amazon Data Lifecycle Manager（DLM）でバックアップを自動化する方法
EBS Snapshots Archiveによる長期保管コストの削減（最大75%）
EBSのデフォルト暗号化とマルチアタッチのセキュリティ活用ポイント
クロスリージョン・クロスアカウントバックアップによる災害対策

EBSスナップショットを手動管理する運用の限界

EBSスナップショットは、ボリュームのバックアップとして障害復旧や環境複製に欠かせない機能ですが、手動での取得やcronジョブ・Lambda関数による独自スクリプトで管理している企業も少なくありません。この方法には、取得のし忘れによるバックアップ漏れ、保持期間や削除ルールが曖昧なまま放置され、不要なスナップショットがコストを積み上げてしまうといった課題が生じやすいという弱点があります。こうした課題を解消するのが、AWSが無料で提供するAmazon Data Lifecycle Manager（DLM）です。

Data Lifecycle Manager（DLM）によるバックアップ自動化

DLMは、EBSスナップショットとEBSバックドAMIのライフサイクル管理に特化したサービスです。

DLMでできること

DLMでは、タグに基づいて対象のボリュームやインスタンスを選定し、スナップショットの作成スケジュール、保持期間、削除ルールをポリシーとして定義できます。定期的なバックアップスケジュールを強制することでデータを保護し、監査や社内コンプライアンスの要件に応じたバックアップの保持、そして古いバックアップの自動削除によるストレージコストの削減を実現できます。Amazon EventBridgeやAWS CloudTrailと組み合わせることで、追加費用なしにEC2インスタンスとEBSボリュームの包括的なバックアップ体制を構築できます。

DLMとAWS Backupの使い分け

複数のAWSサービスを横断した統合的なバックアップ管理や、より高度なコンプライアンス機能が必要な場合はAWS Backupが適しています。一方、EBSスナップショットの管理だけに特化する場合は、AWS Backupよりシンプルに運用でき、スナップショットのストレージ費用以外は無料で使えるDLMが適しています。既にAWS Backupを他のサービス（RDSやDynamoDBなど）で利用している企業は、EBSもAWS Backup側に統一するかどうかを検討するとよいでしょう。

ポリシー設計で見落としやすい3つの注意点

DLMは非常に便利な仕組みですが、ポリシーの設計方法によっては意図しない挙動につながることがあります。実運用でつまずきやすい、以下の3点は特に押さえておきたいポイントです。

カウントベースとエイジベースでアーカイブの適用範囲が異なる：世代数で管理する「カウントベース」のポリシーでアーカイブを有効にすると、既存のスナップショットにも遡って設定が適用されます。一方、経過日数で管理する「エイジベース」のポリシーの場合、アーカイブ設定は有効化以降に新しく作成されたスナップショットにのみ適用され、既存のスナップショットは対象外のまま元の階層から削除されます。
ポリシーを無効化（DISABLED）している間の挙動に注意：エイジベースのポリシーを無効化している間に有効期限を迎えたスナップショットは、自動削除されずにそのまま残り続けるため、手動での削除が必要になります。同様に、アーカイブを有効にしていたポリシーを無効化すると、アーカイブ階層にあるスナップショットはDLMの管理対象から外れるため、不要になった場合は手動削除が必要です。
スケジュールタイプは作成後に変更できない：DLMポリシーは、一度作成すると「カウントベース」と「エイジベース」を後から切り替えることができません。スケジュールタイプを変更したい場合は、既存ポリシーを編集するのではなく、新しいポリシーを作成し直す必要があります。

こうした挙動を知らずに運用していると、想定外にスナップショットが削除されない、あるいはアーカイブ移行が適用されないといったトラブルにつながりやすいため、ポリシー設計時にあらかじめ確認しておくことをおすすめします。

EBS Snapshots Archiveで長期保管コストを削減する

バックアップの保持期間が長期にわたる場合、ストレージ階層の使い分けがコスト最適化の鍵になります。

アーカイブ階層の仕組みと料金メリット

EBS Snapshots Archiveは、90日以上保持する予定があり、かつ頻繁にアクセスしない古いスナップショット向けの低コストなストレージ階層です。標準階層と比較して、ストレージコストを最大75%削減できるとAWSは説明しています。監査や内部統制の要件で長期保管が必要なバックアップ、あるいは災害対策用に長期間保持しておきたいスナップショットに向いた選択肢です。なお、アーカイブ階層に移動したスナップショットは、そのままではボリュームを復元できず、一度標準階層へ復元（リストア）してからボリュームを作成する必要がある点には注意が必要です。

DLMと組み合わせた自動アーカイブ運用

DLMのポリシーでスナップショットアーカイブを有効にすると、指定した期間が経過したスナップショットを自動的にアーカイブ階層へ移動し、保持期間の終了時には自動的に削除する運用を、追加費用なしで構築できます。直近のバックアップは標準階層に置いて迅速な復元に備えつつ、一定期間が経過した古いバックアップは自動的にアーカイブ階層へ移す、という2段階のスケジュール設計が代表的な運用パターンです。手作業でのアーカイブ移行スクリプトを自前で管理する必要がなくなり、放置されたストレージコストのリスクも抑えられます。ただし、前述の通りカウントベース・エイジベースでアーカイブの適用範囲が異なる点や、ポリシーを無効化した際に手動対応が必要になる点には注意してください。

EBSのセキュリティ強化ポイント

バックアップ運用と並んで重要なのが、EBSボリューム自体のセキュリティ設定です。

デフォルト暗号化の設定

EBSでは、AWS Key Management Service（KMS）を使った保存データの暗号化が可能です。リージョンごとにアカウントレベルでEBSのデフォルト暗号化を有効にしておくと、以降そのリージョンで作成される新規のEBSボリュームとスナップショットが自動的に暗号化されるようになります。個々のボリューム作成時に暗号化設定を毎回意識する必要がなくなるため、企業でEBSを運用する際は、早い段階でデフォルト暗号化を有効にしておくことをおすすめします。

マルチアタッチ（io2）の活用場面

EBSの中でも高いIOPS性能を持つio2ボリュームは、複数のEC2インスタンスから同時に同一ボリュームへ接続できる「マルチアタッチ」機能に対応しています。クラスタ構成のアプリケーションなど、複数インスタンスから共有ストレージへの同時アクセスが必要なワークロードで活用できる機能ですが、通常のファイルシステムをそのまま複数インスタンスで共有すると、データ不整合が起きる可能性があるため、クラスタ対応のファイルシステムやアプリケーション側での排他制御が前提になる点に留意が必要です。

障害・災害対策としてのクロスリージョンコピー

本番システムでEBSを運用する場合、単一リージョン内の障害だけでなく、リージョン単位の災害対策も視野に入れる必要があります。

DLMによるクロスリージョン・クロスアカウントバックアップ

DLMのポリシーでは、作成したスナップショットを別リージョンや別アカウントへ自動的にコピーする設定が可能です。これにより、メインで利用しているリージョンに障害が発生した場合でも、コピー先のリージョンからボリュームを復元し、事業を継続できる体制を整えられます。特にログやデータベースなど重要性の高いデータについては、クロスリージョンでのバックアップコピーを標準的な運用として組み込むことが望まれます。マルチアカウント構成を採用している企業では、誤操作や不正アクセスによるバックアップの消失に備え、バックアップの保管先を本番環境とは別のアカウントに分離しておくことも有効な対策です。

よくある質問（FAQ）

Q. EBSスナップショットの自動化にはどのサービスを使えばよいですか？

EBSスナップショットとEBSバックドAMIの管理に特化する場合は、無料で使えるAmazon Data Lifecycle Manager（DLM）が適しています。複数のAWSサービスを横断した統合的なバックアップ管理が必要な場合は、AWS Backupの利用を検討してください。

Q. EBS Snapshots Archiveとはどのような機能ですか？

90日以上の長期保持を予定し、頻繁にアクセスしない古いスナップショット向けの低コストストレージ階層です。標準階層と比較して、ストレージコストを最大75%削減できます。アーカイブ階層のスナップショットからボリュームを作成する際は、一度標準階層へ復元する手順が必要です。

Q. EBSの暗号化は個別に設定する必要がありますか？

アカウントレベルでリージョンごとにデフォルト暗号化を有効にしておくと、以降そのリージョンで作成される新規のEBSボリュームとスナップショットが自動的に暗号化されます。企業での運用では、早い段階での有効化がおすすめです。

Q. 複数のEC2インスタンスで同じEBSボリュームを共有できますか？

io2ボリュームはマルチアタッチ機能に対応しており、複数のEC2インスタンスから同時に接続できます。ただし、データ不整合を防ぐため、クラスタ対応のファイルシステムやアプリケーション側での排他制御と組み合わせて使う必要があります。

Q. リージョン障害に備えてEBSのバックアップをどう設計すればよいですか？

DLMのポリシーでスナップショットを別リージョンや別アカウントへ自動コピーする設定が可能です。重要なデータについては、クロスリージョンでのバックアップコピーを標準的な運用として組み込み、誤操作や不正アクセスに備えてバックアップの保管先アカウントを分離することも有効です。

Q. DLMポリシーを設計する際、特に注意すべき点はありますか？

アーカイブ設定の適用範囲は、カウントベース（既存分にも遡及適用）とエイジベース（有効化後の新規分のみ）で挙動が異なります。また、ポリシーを無効化している間は、期限切れスナップショットの自動削除やアーカイブ管理が止まるため手動対応が必要になる場合があります。さらに、スケジュールタイプ（カウントベース／エイジベース）は作成後に変更できないため、変更したい場合は新しいポリシーを作成し直す必要があります。