SAA-042
Amazon EBS、Amazon RDS、Amazon DynamoDB、Amazon EFSを利用する複数のシステムについて、バックアップの取得スケジュールと保持期間を一元的に定義し、取得漏れがないことを監査できるようにしたいです。最も適したサービスはどれですか？
選択肢
解説と正解
解説と正解を読む（先に自分で回答してから開くのがおすすめです）
正解：C. AWS Backupでバックアップ計画とバックアップボールトを作成し、タグベースでリソースを割り当てる
解説
AWS Backupは複数のAWSサービスにまたがるバックアップを、バックアップ計画という単一の定義で一元管理できるマネージドサービスです。タグでリソースを割り当てられるため取得漏れを防ぎやすく、コンプライアンスレポートによる監査にも対応します。
選択肢ごとの解説
A. 各サービスの自動バックアップ機能を個別に設定し、Lambda関数で定期的に設定内容を集計してレポートする
サービスごとに設定方法も保持期間の指定方法も異なるため、設定の一貫性が保てず新規リソースの取得漏れも起きやすくなります。集計を自作する運用負荷も残ります。
B. AWS Configルールでバックアップ設定の準拠状況を評価し、非準拠なら自動修復アクションを実行する
AWS Configは設定が定めたルールに準拠しているかを評価するサービスで、バックアップの取得そのものは行いません。監査の補助にはなりますが、要件の中心である一元的な取得管理を満たしません。
C. AWS Backupでバックアップ計画とバックアップボールトを作成し、タグベースでリソースを割り当てる
正解です。バックアップ計画で頻度・保持期間・コピー先を定義し、リソース割り当てをタグベースにすることで、新規リソースも自動的に保護対象になります。
D. Amazon Data Lifecycle Managerのポリシーで、対象サービスすべてのバックアップを統合管理する
Amazon Data Lifecycle Managerが管理できるのはEBSスナップショットとEBS-backed AMIに限られます。RDSやDynamoDB、EFSは対象外です。
実務での使いどころ
AWS Backup は、複数の AWS サービスのバックアップを横断的に定義・実行・監査するためのマネージドサービスである。対応リソースには EBS ボリューム、EC2 インスタンス、RDS / Aurora、DynamoDB、EFS、FSx、Storage Gateway、S3、DocumentDB、Neptune などがあり、それぞれのサービスが持つ個別のバックアップ機能を使い分けることなく、バックアップ計画（backup plan）という 1 つの定義で頻度・バックアップウィンドウ・保持期間・コールドストレージへの移行・別リージョン / 別アカウントへのコピーを指定できる。取得したバックアップはバックアップボールト（backup vault）に格納され、KMS キーで暗号化される。 運用上の要点は 2 つある。第一に、保護対象リソースの割り当てをタグベースにすると、新規に作られたリソースにも自動的にバックアップ計画が適用され、取得漏れという最も起こりやすい事故を構造的に防げる。第二に、Vault Lock を有効にするとバックアップの削除や保持期間の短縮を禁止する WORM（Write Once Read Many）状態にでき、ランサムウェア対策や規制対応で求められる「消せないバックアップ」を実現できる。AWS Organizations と組み合わせればバックアップポリシーを組織全体へ適用でき、AWS Backup Audit Manager によってコンプライアンスレポートを自動生成できる。 SAA-C03 では「複数サービスのバックアップを一元管理したい」「保持期間のポリシーを統一したい」「監査に対応したい」という要件で AWS Backup が正解になる。誤答として Amazon Data Lifecycle Manager が並ぶことがあるが、DLM の対象は EBS スナップショットと EBS-backed AMI に限られるという点で区別できる。AWS Config は「設定が準拠しているかを評価する」サービスであって「バックアップを取る」サービスではない、という役割の違いも押さえておきたい。