SAP-C02 練習問題 5

ある企業は、Amazon Elastic File System（Amazon EFS）ファイルシステムにドキュメントを保存・管理しています。このファイルシステムは AWS Key Management Service（AWS KMS）キーで暗号化されています。ファイルシステムは、独自ソフトウェアを実行する Amazon EC2 インスタンスにマウントされています。 同社はファイルシステムの自動バックアップを有効化しています。自動バックアップは AWS Backup のデフォルトバックアッププランを使用しています。 ソリューションアーキテクトは、削除されたドキュメントを RPO 100 分以内に復元できるようにしなければなりません。 これらの要件を満たすソリューションはどれですか？

【正解】A

【0からの解説】
RPO（目標復旧時点）100 分は「直近 100 分以内の状態に戻せること」を意味します。AWS Backup のデフォルトプランは 1 日 1 回のバックアップなので、最大で約 24 時間分のデータを失う可能性があり RPO 100 分を満たせません。よってバックアップ間隔を 100 分より短くする必要があります。
ここで重要なのは、AWS Backup の EFS バックアップは「継続的バックアップ（ポイントインタイムリカバリ）」をサポートしていない点です（継続的バックアップ対象は S3 や RDS、Aurora、DynamoDB など）。そのため、EFS では定期スナップショット型のスケジュールでしか細かい RPO を実現できません。1 時間（60 分）ごとのバックアップスケジュールにすれば、最大の損失は約 60 分となり RPO 100 分を満たします。
さらに、独自の IAM ロールを使ってバックアップを実行する場合は、暗号化に使う KMS キーのキーポリシーで、その IAM ロールに kms:Decrypt 等の使用を許可しておく必要があります。これで暗号化された EFS のバックアップ/復元が成立します。よって A が正解です。

【誤りの選択肢】
B：30 分間隔でも RPO 100 分は満たせますが、AWS Backup のバックアップ頻度（cron）は通常 1 時間より短い間隔をサポートしていません。30 分ごとという設定自体が成立しないため不適切です（A の 1 時間間隔で要件は十分満たせます）。
C：EFS は AWS Backup の継続的バックアップ（ポイントインタイムリカバリ）に対応していません。EFS で PITR を有効化するという前提が誤りです。
D：クロスリージョンレプリケーションは別リージョンへの複製（DR/可用性）であって、削除されたドキュメントを過去時点に戻す「バックアップ」ではありません。削除はレプリカ側にも伝播し得るため、RPO 100 分の復元要件を満たしません。

【参考】
AWS Backup による EFS のバックアップ
AWS Backup で暗号化に使う KMS キーの許可