Azure Files でのデータ保護機能の拡張

2020年6月10日 に投稿済み

Program Manager, Azure Storage

実稼働データを保護することは、どの企業にとっても非常に重要です。そのため、Azure Files には、お客様のデータの高可用性を確保し、バックアップを行い、回復可能な状態を保証するための、多層的なアプローチが用意されています。マイクロソフトでは、ランサムウェアによる攻撃、データセンターの障害、誤って削除されたファイル共有など、いかなる場合にもお客様がすべてのデータのバックアップを確保し、"直ちに" 復旧できるようにしたいと考えています。Azure Files では、データに対する安心感をお客様に提供するため、新しい論理的な削除機能や、共有スナップショット、冗長性オプション、データへのアクセス制御と管理機能など、さまざまな機能の拡張を行います。

論理的な削除: Azure ファイル共有用のごみ箱

論理的な削除は、ユーザーの Azure ファイル共有が誤って削除されることを防ぐ機能です。そこでこのたび、Azure ファイル共有用の論理的な削除機能のプレビューを発表します。論理的な削除とは、ファイル共有用のごみ箱のようなものだと考えてください。ファイル共有が削除されると、その共有は "論理的に削除されたスナップショット" という形で論理的に削除された状態に移行します。論理的に削除されたデータについて、完全に削除され、回復できなくなるまでの期間を構成することもできます。

論理的に削除された共有はリスト表示できますが、それらをマウントしたり内容を確認したりするには削除を取り消す必要があります。削除を取り消すと、共有がすべてのメタデータとスナップショットを含め以前の状態に回復されます ([以前のバージョン])。

Azure ポータルで論理的に削除されたファイル共有の削除を取り消す

ほとんどの共有に対しては、論理的な削除機能を有効にすることをお勧めします。共有の削除が頻繁に行われ予期されるワークフローでは、データ保持期間を非常に短く設定することや、論理的な削除機能を完全に無効にすることもできます。この機能はデータ保護戦略の一部であり、不注意によるデータの損失を防ぐのに役立ちます。

現在、論理的な削除機能は、新規と既存、どちらのストレージ アカウントに対しても既定で無効になっていますが、ポータルでは、年内に新規ストレージ アカウントに対して既定で有効になり、API では、2021 年 1 月 1 日から既定で有効になる予定です。この機能の有効/無効は、ストレージ アカウントの有効期間中、いつでも切り替えることができます。その設定は、ストレージ アカウント内のすべてのファイル共有に適用されます。Azure Backup を利用している場合、論理的な削除機能は、保護対象のすべてのインスタンスに対して自動的に有効になります。論理的な削除機能では、個別のファイルの削除は保護されません。それらについては、スナップショット バックアップから復元する必要があります。論理的な削除機能の詳細については、「Azure ファイル共有の誤削除を防ぐ」を参照してください。

スナップショット バックアップからの復元

スナップショットとは、特定の時点におけるお客様の Azure ファイル共有の読み取り専用のコピーです。増分でコピーされるので、スナップショットには前のスナップショットから変更された分のデータしか含まれず、非常に効率的です。1 ファイル共有あたり最大 200 のスナップショットを保持し、最大 10 年間保存できます。これらのスナップショットを取得するには、Azure portal、PowerShell、またはコマンドライン インターフェイス (CLI) を使用して手動で行うか、あるいは Azure Backup を利用することもできます (Azure Backup による Azure Files のスナップショット管理サービスは、一般提供の開始が最近発表されました)。スナップショットはファイル共有内に格納されるため、ファイル共有を削除するとスナップショットも削除されます。スナップショット バックアップが誤って削除されないように保護するには、共有に対して論理的な削除機能が有効になっていることを確認してください。

Azure Backup は、スナップショットのスケジュール設定と保持期間を管理するサービスです。ユーザーが Recovery Services コンテナーをセットアップする際に希望するバックアップ ポリシーを定義すれば、残りの処理は Azure Backup によって行われます。新しい GFS (grandfather-father-son) 機能を利用すると、日、週、月、年単位のスナップショットを取得でき、それぞれに個別の保持期間を設定できます。また、Azure Backup では、論理的な削除の有効化の調整が行われ、ストレージ アカウント内のいずれかのファイル共有に対してバックアップが構成されるとすぐ、ストレージ アカウントが誤削除を防ぐためにロックされます。さらに、Azure Backup には、お客様にバックアップ資産の統合ビューを提供するための重要な監視機能とアラート機能も用意されています。

Azure portal では、Azure Backup を使用して項目レベルと共有レベルのどちらでも復元を実行できます。ユーザーは、復元ポイント (特定のスナップショット)、特定のファイルまたはディレクトリ (該当する場合)、復元先の場所 (元の場所または別の場所) を選ぶだけで済みます。そうすると、バックアップ サービスによってスナップショット データのコピーが行われ、ポータルで復元の進行状況が表示されます。

Azure portal で Azure Backup を使用してファイル共有を復元する

Azure Backup を使用しない場合は、スナップショットから手動で復元を実行することも可能です。Windows を使用していて、かつ Azure ファイル共有をマウント済みであれば、エクスプローラーで [以前のバージョン] API を利用してスナップショットを確認し、スナップショットから復元できます (つまり、ユーザーは項目レベルの復元を自分自身で実行できるということです)。1 つのファイルから復元する場合は、以前のスナップショットの中からすべての異なるバージョンが取得されます。共有全体に対して使用する場合は、すべてのスナップショットが表示されるので、参照してコピーできます。

エクスプローラーでの [以前のバージョン] エクスペリエンス

任意のコピー ツールを使用して、スナップショットからデータをコピーすることでも復元できます。AzCopy (最新バージョン (v10.4) が必要です) または Robocopy (ポート 445 を開く必要があります) を使用することをお勧めします。代わりに、単純にスナップショットをマウントしてから、プライマリにそのデータをコピーして貼り戻すことも可能です。

また、Azure File Sync を使用している場合は、[以前のバージョン] でサーバー側のボリューム シャドウ コピー サービス (VSS) のスナップショットを利用して、ユーザーがセルフサービス復元を実行することもできます。これらは Azure ファイル共有のスナップショットとは異なり、クラウド側でのバックアップと並行して利用できます (ただし、その代わりにはなりません)。

データ レプリケーションと冗長性オプション

Azure Files には、一時的なハードウェア障害からネットワークの停止や停電、大規模な自然災害まで、計画的および計画外のイベントからユーザーのデータを保護するためのさまざまな冗長性オプションが用意されています。すべての Azure ファイル共有で、ローカル冗長ストレージ (LRS) またはゾーン冗長ストレージ (ZRS) を使用できます。geo 冗長ストレージ (GRS) と geo ゾーン冗長ストレージ (GZRS) は、5 TB 未満の標準ファイル共有に使用できますが、geo 冗長ストレージについては、最大 100 TiB の標準ファイル共有をサポートできるよう積極的に取り組んでいるところです。

Premium ファイル共有に対して geo 冗長性を実現するには、以下のようにします。Azure File Sync をセットアップすれば、Azure ファイル共有 (クラウド エンドポイント) と、別の Azure リージョン (サーバー エンドポイント) の仮想マシン (VM) 上で実行されているマウント済みのファイル共有とを同期できます。クラウドの階層化を無効にして、すべてのデータがローカルに存在することを確認する必要があります (サーバー エンドポイント上のデータは最大 24 時間前のものである可能性があります。Azure ファイル共有に対して直接行われた変更は、日単位の変更検出プロセスの実行時にのみ取得されるためです)。また、AzCopy などのツールを利用して、セカンダリ リージョンのストレージ アカウントにデータをコピーするためのスクリプトを作成することも可能です (AzCopy は、アクセス制御リスト (ACL) とタイムスタンプを保持するためにバージョン 10.4 以降を使用してください)。

データを保護するためのアクセス制御オプション

データ保護における別の要素として、データのセキュリティ保護が挙げられます。そのためのオプションがいくつか用意されています。Azure Files では、ストレージ アカウント キーによるアクセス制御を長年サポートしてきました。ストレージ アカウント キーは Windows チャレンジ/レスポンス (NTLM) に基づいており、定期的にローテーションを行うことができます。ストレージ アカウント キーへのアクセス権を持つすべてのユーザーが、スーパーユーザーのアクセス許可を持ちます。また、Azure Files では、オンプレミスの Active Directory または Azure Active Directory Domain Services (Azure AD DS) を使用した、サーバー メッセージ ブロック (SMB) に対する ID ベースの認証とアクセス制御もサポートするようになりました。ID ベースの認証は Kerberos に基づき、Azure ファイル共有に対してきめ細かいアクセス制御を適用できます。

Azure AD またはオンプレミスの Azure AD DS のいずれかの構成が済めば、Azure AD の ID に対し、組み込みのロールベースのアクセス制御 (RBAC) のロールによって共有レベルのアクセスを構成することや、カスタム アクセス ロールを構成することができます。また、標準の Windows ファイル アクセス許可 (NTFS ACL とも呼ばれます) を利用して、ディレクトリおよびファイルレベルのアクセス許可を構成することも可能です。

Azure Files の複数のデータ保護戦略

Azure Files では、データを保護するためのツールを数多く提供しています。Azure ファイル共有用の論理的な削除は、共有が誤って削除されることを防ぐ機能であり、共有のスナップショットは、特定の時点における Azure ファイル共有のコピーで、ユーザーが手動でまたは Azure Backup によって自動的に取得して共有を復元できる機能です。また、高可用性を確保する上で選択できる、多彩なレプリケーションおよび冗長性オプションも用意されています。さらに、ID ベースのアクセス制御によって、Azure ファイル共有へのアクセスが適切に行われるようにすることができます。

ご意見をお寄せください

今回ご紹介した機能に対するフィードバックと、将来の改善のためのご提案をお待ちしています。電子メールで azurefiles@microsoft.com 宛てにお送りください。また、UserVoice (英語) では、Azure Files のアイデアに賛成票を投じたり、新しいアイデアを追加していただくこともできます。