バックアップ・ポリシーに追加された「保護機能」を理解する

こんにちは、t.yoshidaです。
8/11、Oracle Cloudに「OCIブロックストレージにランサムウェア耐性のあるバックアップ保護機能」として「削除の防止」 と 「保持ロック」の2機能がリリースされました。
特に「保持ロック」機能を利用することでイミュータブル（Immutable）なバックアップを実現でき、ランサムウェア対策として有用です。
ただ、使ってみたところ単純に見えて挙動に癖があったので、本記事では各機能の挙動および併用時の挙動、および運用上の注意点を整理したいと思います。

バックアップ・ポリシーの作成

今回追加された新機能はバックアップ・ポリシーの編集画面内に追加されています。
既定では編集不可のOracle定義ポリシー（ブロンズ/シルバー/ゴールド）しか存在せず新機能の設定画面を確認できないため、新規でバックアップ・ポリシーを作成しましょう。
（既にバックアップ・ポリシーが作成済みの方はこの手順は不要なので、こちらから次のセクションまでスキップして大丈夫です）
　

左上メニュー≡より、ストレージ > バックアップ・ポリシー画面に遷移します。
「バックアップ・ポリシーの作成」ボタンをクリックし、バックアップ・ポリシーを作成してください。
※バックアップ・ポリシー名、パラメータは任意で要件に合わせて設定すれば大丈夫です。
　

尚、今回検証時は以下のとおり設定しました。
　

名前：temp_backup_policy01
コンパートメント：自身の検証用コンパートメント
クロスリージョン・コピーのターゲット：なし

　
これにより、バックアップ・ポリシーが作成されます。
　

各機能の挙動

作成したバックアップ・ポリシーの詳細画面を開き、「スケジュールの追加」をクリックします。
この「スケジュール追加」画面で「削除の防止」と「保持ロック」の設定項目が確認できます。
※「保持ロック」は既定では表示されておらず、「保持期間の設定」を選択することで表示されます
　

この2機能はそれぞれ有効化にすることで以下の動作をします。
　

削除の防止

「削除の防止」を有効化すると、有効化中に該当スケジュールで作成されたバックアップが削除不可になります。
これは後から 無効化することが可能 です。
以上より、「削除の防止」は誤操作による削除を防ぐ用途など、日常運用レベルの保護に適しています。
　

保持ロック

「保持ロック」を有効化すると、「削除の防止」の機能に加えて取得済みバックアップおよび設定済みバックアップ・ポリシーの保持期間を短縮できなくなります。
※保持期間を延長することは可能です
また、削除の防止機能も包括されているからか、有効化と同時に 「削除の防止」のチェックが操作できなくなりました 。
「保持ロック」は一度有効化してしまうと元に戻せないため、設定内容に間違いがないか注意が必要です。
※誤って設定してしまった場合は、バックアップ・ポリシーの再作成が必要です
　
以上より、「保持ロック」機能は一定期間の改変不可保持のようなコンプライアンス要件を満たす必要がある場合に適しています。
　

無期限の保留

この項目を有効化すると、削除の防止、保持期間、保持ロックに関係なく保持期限を超えてもバックアップが削除されなくなります。
この項目はスケジュールの追加画面にはありませんが、取得したスケジュール・バックアップの編集画面にて確認できます。
　

この項目を有効化したバックアップは「無期限の保留」を無効化しない限り自動削除されません。
システムは日々運用していく中で内容が変わるものなので、この「無期限の保留」機能は一時的にバックアップを保持期間以上保管したい場合に使われることで真価を発揮しそうです。
　

挙動比較表

実際にチェックを入れた場合にどういった挙動をするのか、表にまとめました。
　

このことから、削除の防止、保持ロックを両方有効化した場合は実質「イミュータブル」機能となるため、ランサムウェア対策として有用です。
　

それぞれのユースケース

削除の防止、保持ロックの違いについてまとめました。
　

　
日常運用の誤操作対策としては「削除の防止」で十分なケースが多いですが、改変防止が求められる監査要件やランサムウェア対策が必要な場合は「保持ロック」との併用が有効です。
そのため、開発環境は「削除の防止」、本番環境は「保持ロック」、特殊な長期保管ケースは「無期限の保留」が主な使い分けの目安です。
ただし、先述のとおり「保持ロック」は設定が不可逆となるため、要件を十分に確認したうえで設定することをお勧めします。
　

運用上の注意点

ここまでは実装された2機能の挙動について整理してきましたが、使用にあたってはいくつか注意点があります。
　

有効化による不可逆性

「保持ロック」を有効化すると、当該ポリシーはそれ以降 保護設定を解除できません。
無効化するにはポリシー自体を再作成する必要があるため、設定順序に注意が必要です。
　

保持期間の遡及変更ができない

ポリシーの保持期間を後から変更しても、既に取得済みのバックアップの保持期間には反映されません。
保持ロックを有効化する前に、保持期間設計を確定させておく必要があります。
　

多層防御の一環として考える

「削除の防止」および「保持ロック」機能は「削除させない」ための機能です。
IAMポリシーでバックアップ削除権限の対象を絞るなど多層防御の一環として位置付けることで、より安全な環境を構成できます。
　

バックアップが原因でテナンシを削除できないケースがある

「保持ロック」を有効化している環境でOCIの利用を停止したい場合、削除したくてもバックアップが残り続け、テナンシが削除できず、その間課金が発生してしまうケースがあります。
特に企業システムでは1ヶ月以上の長期保持設定も少なくないため、OCIの利用を停止する計画がある場合はあらかじめバックアップ・ポリシーについて確認しておきましょう。
　

まとめ

本記事では新たに追加された「削除の防止」「保持ロック」機能について紹介しました。
特に「保持ロック」はたとえユーザーが乗っ取られたとしても変更、削除ができないため、ランサムウェア対策として非常に有用な機能です。
ただ、これらの機能はあくまで「削除させない」ための仕組みであり、単体で万全というわけではありません。
IAMポリシーによる権限分離、クロスリージョン・コピーによる地理的冗長化、監査ログによる操作追跡など、多層防御の一部として組み込むことで、はじめて真価を発揮します。 大切なデータを守るための選択肢として、ぜひ自社の要件に合わせた設計を検討してみてください。
　

参考

• ユーザー定義バックアップ・ポリシーにスケジュールを追加する（Oracle 公式ドキュメント）
• OCIブロックストレージにランサムウェア耐性のあるバックアップ保護機能（Oracle 公式ドキュメント）