翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # アクセスポイント ## 概要 AWS Backup では、復元を開始せずに Amazon S3 S3 バックアップデータにアクセスできるようになりました。バックアップアクセスポイントを使用すると、`GetObject`、、、 などの使い慣れた S3 APIs を使用して`ListObjectsV2`、S3 `HeadObject`バックアップデータをすぐに読み取ることができます`ListObjectVersions`。 バックアップアクセスポイントは、リカバリポイントへのオンデマンドの読み取り専用接続を提供します。特定の復旧ポイントのバックアップアクセスポイントを作成し、S3 API コールをバックアップデータにルーティングする S3 アクセスポイントを AWS Backup プロビジョニングします。これにより、完全な復元が完了するまで待たずに、ターゲットファイル復旧、データ検証、コンプライアンス監査、フォレンジック調査などのユースケースが可能になります。 バックアップアクセスポイントが復旧ポイントに対してアクティブになっている間、 はライフサイクルの移行を AWS Backup 一時停止し、その復旧ポイントの削除をブロックします。これにより、アプリケーションがデータをアクティブに読み取っている間、データが削除されないように保護できます。復旧ポイントを削除またはライフサイクルする前に、復旧ポイントに関連付けられたすべてのバックアップアクセスポイントを削除する必要があります。 このページでは、 コンソールと を使用して AWS Backup バックアップアクセスポイントを作成、管理、削除する方法について説明します AWS CLI。 **重要** アクセスポイントは、バックアップデータへの読み取り専用アクセスを提供します。バックアップアクセスポイントを介した書き込みオペレーションはサポートされていません。 ## バックアップアクセスポイントの仕組み バックアップアクセスポイントを作成すると、 は次のステップ AWS Backup を実行します。 1. 復旧ポイントが存在し、使用可能な状態 (AVAILABLE、STOPPED、または COMPLETED) であることを確認します。 1. ステータスが CREATING AWS Backup のバックアップアクセスポイントリソースを に作成します 1. ユーザーに代わって (非同期的に) S3 アクセスポイントをプロビジョニングします 1. 関連する復旧ポイントのライフサイクルを一時停止します 1. バックアップアクセスポイントのステータスを AVAILABLE に更新します バックアップアクセスポイントが使用可能になったら、 `DescribeBackupAccessPoint`を呼び出して S3 アクセスポイントの ARN とエイリアスを取得します。次に、S3 アクセスポイントエイリアスまたは ARN を標準の S3 APIs とともに使用して、バックアップデータを読み取ります。 完了したら、`DeleteBackupAccessPoint`. を呼び出して S3 アクセスポイント AWS Backup を削除し、復旧ポイントのライフサイクル移行を再開します (他のアクセスポイントが残っていない場合）。 ### アクセスポイントのステータス | ステータス | 説明 | | --- | --- | | [CREATING] (作成中) | アクセスポイントの作成が進行中です。S3 アクセスポイントがプロビジョニングされています。 | | 利用可能 | アクセスポイントの準備ができました。DescribeBackupAccessPoint を使用して S3 ARN とエイリアスを取得します。 | | 削除中 | 削除が進行中です。 | | FAILED | 作成または削除に失敗しました。DescribeBackupAccessPoint を使用してエラーの詳細を取得します。 | | EXPIRED | バックアップアクセスポイントは使用できなくなりました。 | | 関連付けの解除 | アクセスは取り消されています。論理エアギャップボールトの共有が解除されているか、復元アクセスバックアップボールトが削除されています | | 関連付け解除 | アクセスが取り消されました。バックアップアクセスポイントは使用できなくなりました。 | ### 継続的な復旧ポイント 継続的 (PITR) リカバリポイントの場合、アクセスポイントの作成時に`AccessPointInTime`タイムスタンプを指定できます。これにより、バックアップデータのpoint-in-timeビューが決まります。タイムスタンプは、*アクセスポイントの作成時に継続的なバックアップ保持期間内である必要があります。アクセスポイントが存在する限り、タイムスタンプが後で保持期間外になっても、その時点のデータは保持され、アクセス可能です。* ## 前提条件 バックアップアクセスポイントを作成/管理する前に、以下を確認してください。 + IAM ロールには必要なアクセス許可があります。管理ポリシー [AWSBackupAccessPointOperatorAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSBackupAccessPointOperatorAccess.html) を使用するか、次のアクセス許可が適用されていることを確認します。 + `backup:CreateBackupAccessPoint` + `backup:DescribeBackupAccessPoint` + `backup:DeleteBackupAccessPoint` + `backup:ListBackupAccessPoints` + `backup:ListBackupAccessPointsByRecoveryPoint` + `s3:GetAccessPoint` (作成、説明、削除時に必要) + `s3:CreateAccessPoint` (作成時に必要) + `s3:DeleteAccessPoint` (削除時に必須) + `s3:PutAccessPointPolicy` (アクセスポイントポリシーがリクエストに含まれている場合にのみ必要です) ## バックアップアクセスポイントの作成 ------ #### [ Console ] 1. [https://console.aws.amazon.com/backup/](https://console.aws.amazon.com/backup/) で AWS Backup コンソールを開きます。 1. ナビゲーションペインで、**保護されたリソース**を選択するか、**バックアップボールト**を介して復旧ポイントに移動します。 1. アクセスする S3 復旧ポイントを選択します。 1. **[アクセスポイントを作成]** を選択します。 1. **アクセスポイント名**に一意の名前を入力します。この名前は S3 アクセスポイント名前空間と共有されるため、同じリージョンとアカウントの既存の S3 アクセスポイントと競合してはいけません。*注: 命名規則については、「Amazon S3 アクセスポイントの命名規則」を参照してください**。* [* Amazon S3 *](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-points-restrictions-limitations-naming-rules.html#access-points-names) 1. (オプション) 継続的リカバリポイントの場合は、**アクセスポイントを指定**してpoint-in-timeビューを設定します。 1. (オプション) アクセスポイントポリシーを追加します。 1. (オプション) タグを追加します。 1. **[アクセスポイントを作成]** を選択します。 1. バックアップアクセスポイントのステータスは CREATING と表示されます。ステータスが AVAILABLE に変わったら、バックアップアクセスポイントを選択して S3 アクセスポイントの ARN とエイリアスを表示します。 ------ #### [ AWS CLI ] ``` aws backup create-backup-access-point \ --recovery-point-arn "arn:aws:backup:us-east-1:123456789012:recovery-point:rp-1234567890abcdef0" \ --name "my-access-point" \ --access-point-metadata '{"AccessPointInTime": "2026-07-01T12:00:00Z"}' ``` レスポンス: ``` { "AccessPointArn": "arn:aws:backup:us-east-1:123456789012:accesspoint/my-access-point", "Status": "CREATING" } ``` 作成後、アクセスポイントを記述して S3 ARN とエイリアスを取得します。 ``` aws backup describe-backup-access-point \ --access-point-arn "arn:aws:backup:us-east-1:123456789012:accesspoint/my-access-point" ``` レスポンス (利用可能な場合): ``` { "AccessPointArn": "arn:aws:backup:us-east-1:123456789012:accesspoint/my-access-point", "AccessPointMetadata": { "S3AccessPointAlias": "my-access-point-abc123-ext-s3alias", "S3AccessPointArn": "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point" }, "BackupVaultName": "MyVault", "CreationTime": "2026-07-28T12:00:25.938000-07:00", "Name": "my-access-point", "RecoveryPointArn": "arn:aws:backup:us-east-1:123456789012:recovery-point:rp-1234567890abcdef0", "ResourceArn": "arn:aws:s3:::my-bucket", "ResourceType": "S3", "Status": "AVAILABLE" } ``` ------ ## アクセスポイントを介したバックアップデータへのアクセス アクセスポイントが AVAILABLE ステータスになったら、S3 API で S3 アクセスポイントエイリアスまたは ARN を使用してバックアップデータを読み取りAPIs。 ### エイリアスの使用 ``` # List objects in the backup aws s3api list-objects-v2 \ --bucket "my-access-point-abc123-ext-s3alias" # Get a specific object aws s3api get-object \ --bucket "my-access-point-abc123-ext-s3alias" \ --key "path/to/my-file.txt" \ output-file.txt # Head an object (metadata only) aws s3api head-object \ --bucket "my-access-point-abc123-ext-s3alias" \ --key "path/to/my-file.txt" ``` ### S3 アクセスポイント ARN の使用 ``` aws s3api list-objects-v2 \ --bucket "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point" ``` ## アクセスポイントの管理 ### アクセスポイントの一覧表示 アカウント内のすべてのバックアップアクセスポイントを一覧表示します。 ``` aws backup list-backup-access-points ``` 特定の復旧ポイントのバックアップアクセスポイントを一覧表示します。 **注記** 復旧ポイント所有者で、復旧ポイントを他のアカウントと共有している場合、レスポンスにはそれらのアカウントによって作成されたアクセスポイントが含まれます。 ``` aws backup list-backup-access-points-by-recovery-point \ --recovery-point-arn "arn:aws:backup:us-east-1:123456789012:recovery-point:rp-1234567890abcdef0" ``` 特定のリソースのバックアップアクセスポイントを一覧表示します。 ``` aws backup list-backup-access-points-by-resource \ --resource-arn "arn:aws:s3:::my-bucket" ``` ### アクセスポイントの削除 ``` aws backup delete-backup-access-point \ --access-point-arn "arn:aws:backup:us-east-1:123456789012:accesspoint/my-access-point" ``` バックアップアクセスポイントを削除する場合: + S3 アクセスポイントが削除されます + 復旧ポイントのライフサイクルが再開される (その復旧ポイントに他のアクセスポイントが残っていない場合) + バックアップアクセスポイントリソースが から削除されます AWS Backup **重要** `DeleteBackupAccessPoint` API または AWS Backup コンソールを使用して、バックアップアクセスポイントを必ず削除します。基盤となる S3 アクセスポイントを S3 APIs から直接削除しないでください。S3 アクセスポイントを削除すると、バックアップアクセスポイントが EXPIRED ステータスになり、孤立したバックアップアクセスポイントを削除するまでライフサイクル保護が維持されます。 ## アクセスポイントポリシー 各アクセスポイントは、独自のリソースベースのアクセスポイントポリシーを持つことができます。アクセスポイントポリシーは、リソース、ユーザー、または条件ごとに、アクセスポイントを介してバックアップデータソース内のオブジェクトにアクセスする方法を制御します。 ### アクセスポイントポリシーの仕組み バックアップアクセスポイントを作成すると、デフォルトでアクセスポイントポリシーなしで S3 アクセスポイントが作成されます。ポリシーがない場合、アクセスポイントを介したバックアップデータへのアクセスは、発信者の IAM アクセス許可によって管理されます。 オプションで、作成時にポリシーを指定するか、後でポリシーを以下に追加できます。 + アカウント内の追加の IAM プリンシパルに読み取りアクセスを付与する + 送信元 IP アドレスまたは VPC エンドポイントによるアクセスの制限 + MFA や特定のタグを要求するなどの条件を追加する アクセスポイントポリシーに含めた制限は、そのアクセスポイントを介したリクエストにのみ適用されます。アクセスポイントポリシーは、基盤となるデータソースが同じアクセスも許可する場合にのみアクセス許可を付与します。 ### アクセスポイントポリシーの編集 アクセスポイントポリシーは、 AWS Backup コンソールまたは S3 `PutAccessPointPolicy` API を使用して編集できます。 ------ #### [ Console ] 1. AWS Backup コンソールを開きます。 1. **アクセスポイント**に移動し、アクセスポイントを選択します。 1. **アクセスポイントポリシー**タブを選択します。 1. **[編集]** を選択します。 1. JSON ポリシーを変更します。 1. **[Save changes]** (変更の保存) をクリックします。 ポリシーを編集すると、 AWS Identity and Access Management Access Analyzer はポリシーチェックを実行して、IAM ポリシーの文法とベストプラクティスに照らしてポリシーを検証します。保存する前に、セキュリティ警告、エラー、提案を解決します。 ------ #### [ AWS CLI ] ``` aws s3control put-access-point-policy \ --account-id 123456789012 \ --name "my-access-point" \ --policy '{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::123456789012:role/DataAnalyst" }, "Action": ["s3:GetObject", "s3:ListBucket"], "Resource": [ "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point", "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*" ] } ] }' ``` ------ ### ブロックパブリックアクセス Amazon S3 パブリックアクセスブロック設定は、バックアップアクセスポイントに適用されます。アカウントでパブリックアクセスのブロックが有効になっている場合、アクセスポイントポリシーに関係なく、バックアップアクセスポイントを介したパブリックアクセスはブロックされます。設定を確認するには、アカウントレベルのパブリックアクセスブロック設定を確認します。 ### 詳細情報 + [アクセスポイントを使用するための IAM ポリシーの設定](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-points-policies.html) + [Amazon S3 Access Points](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-points.html) + [IAM Access Analyzer ポリシーの検証](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) + [Amazon S3 パブリックアクセスブロックの使用](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-control-block-public-access.html) ## サポートされている S3 オペレーション 次の表は、バックアップアクセスポイントと互換性のある S3 API オペレーションを示しています。バックアップアクセスポイントは読み取り専用であるため、すべての書き込み、削除、およびマルチパートアップロードオペレーションはサポートされていません。 | S3 オペレーション | バックアップアクセスポイント | | --- | --- | | GetObject | サポート対象 | | HeadObject | サポート対象 | | GetObjectAttributes | サポート対象 | | GetObjectTagging | サポート対象 | | GetBucketLocation | サポート対象 | | ListObjectsV2 | サポート対象 | | ListObjects | サポート対象 | | ListObjectVersions | サポート | | PutObject | サポートされません | | DeleteObject | サポートされません | | DeleteObjects | サポートされません | | CopyObject | サポートされません | | CreateMultipartUpload | サポートされません | | UploadPart | サポートされません | | CompleteMultipartUpload | サポートされません | | AbortMultipartUpload | サポートされません | | PutObjectTagging | サポートされません | | DeleteObjectTagging | サポートされません | | PutObjectAcl | サポートされません | | GetObjectAcl | サポートされません | | GetObjectLegalHold | サポートされません | | GetObjectRetention | サポートされません | ## 復旧ポイントのライフサイクル保護 復旧ポイントに 1 つ以上のアクティブなアクセスポイントが存在する場合: + **スケジュールされたライフサイクル移行は一時停止されます。**復旧ポイントはライフサイクルルールによって自動的に削除されません。 + **手動削除はブロックされます。**すべてのアクセスポイントが削除されるまでエラーを`DeleteRecoveryPoint`返す呼び出し。 復旧ポイントのライフサイクルを更新することはできますが (例: delete-after-days 値の変更）、復旧ポイントのすべてのバックアップアクセスポイントが削除されるまで削除は強制されません。 復旧ポイントのすべてのアクセスポイントが削除されると、ライフサイクル処理が自動的に再開されます。 **注記** 各アカウントは、ステータスに関係なく、復旧ポイントごとに最大 5 つのバックアップアクセスポイントを持つことができます。制限に達したときに新しいバックアップアクセスポイントを作成するには、既存のアクセスポイント (FAILED または EXPIRED ステータスの を含む) を削除します。 ## 論理エアギャップボールトの復旧ポイントのアクセスポイント 論理エアギャップボールトに保存されている復旧ポイントのバックアップアクセスポイントを作成できます。アクセスポイントは、ボールト所有アカウントによって直接作成することも、 AWS Resource Access Manager (RAM) 共有または復元アクセスバックアップボールトを介して (複数当事者承認を介して) アクセスが付与された別のアカウントから作成することもできます。 **同一アカウントアクセス** 論理エアギャップボールトを所有するアカウントは、標準のバックアップボールトと同じ方法で、そのボールト内の復旧ポイントのアクセスポイントを作成できます。 **RAM 共有** 論理エアギャップボールトが RAM 経由でアカウントと共有されると、そのアカウントは共有ボールト内の復旧ポイントのアクセスポイントを作成できます。RAM アクセス許可には `AWSRAMPermissionBackupVaultReadOnly`が含まれます`backup:CreateBackupAccessPoint`。ボールト所有者は、 を拒否するボールトアクセスポリシーを追加することで、これを制限できます`backup:CreateBackupAccessPoint`。 詳細については、[「論理エアギャップボールトを共有する](logicallyairgappedvault.md#lag-share)」を参照してください。 **アクセスバックアップボールトの復元 (マルチパーティー承認)** 論理エアギャップボールトの復元アクセスバックアップボールトを持つアカウントは、そのボールトを介してアクセス可能なリカバリポイントのバックアップアクセスポイントを作成できます。 詳細については、[「論理エアギャップボールトのマルチパーティー承認](multipartyapproval.md)」を参照してください。 **アクセスが取り消された場合** アクセスが削除された場合 (論理エアギャップボールトが RAM を介して共有解除された場合、またはアクセスバックアップボールトが削除または取り消された場合）。 + 以前に承認されたアカウントによって作成されたすべてのバックアップアクセスポイントが DISASSOCIATED ステータスに移行 + 復旧ポイントに関連付けられたアクセスポイントがない場合、関連する復旧ポイントのライフサイクル保護は削除されます。 + 既存の S3 アクセスポイントを介した S3 API コールが失敗する ## モニタリングと通知 AWS Backup は、バックアップアクセスポイントのステータス変更 (作成、削除、失敗など) に関する CloudTrail イベント、EventBridge イベント、Amazon SNS 通知を送信します。イベント形式とサブスクライブ方法の詳細については、[「モニタリング AWS Backup](monitoring.md)」を参照してください。 ## サポートされている機能と制限事項 ### サポートされている機能 + **復旧ポイントタイプ**: スナップショットと継続的 (PITR) の両方の復旧ポイント + **ボールトタイプ**: 標準バックアップボールトと論理エアギャップボールト + **クロスアカウント**: RAM を介して共有される復旧ポイントのアクセスポイントを作成できます ### 制限事項 + **読み取り専用: **読み取りオペレーション (GET、HEAD、LIST) のみがサポートされています。書き込みオペレーションは使用できません。 + **S3 のみ**: アクセスポイントは Amazon S3 リカバリポイントでのみサポートされています。 + **アクセスポイントの制限**: アカウントの復旧ポイントごとに最大 5 つのアクセスポイント。 + **名前の一意性**: アクセスポイント名は、リージョンとアカウント内で S3 アクセスポイント名前空間を共有します。名前を既存の S3 アクセスポイントと競合させることはできません。 + **スケジュールされた削除**なし: アクセスポイントにはdelete-after-days設定はありません。手動で削除する必要があります。 + **外部削除**: S3 アクセスポイントが S3 APIs を介して直接削除された場合、バックアップアクセスポイントは EXPIRED ステータスに移行し、使用できなくなります。 + **アクセス**: アクセスポイント作成者のアカウントは、復旧ポイントにアクセスできる必要があります (そのアカウントを所有しているか、RAM 共有アクセスを持っているか、マルチパーティー承認を介して論理エアギャップボールトの復元アクセスバックアップボールトを持っている）。 + **アクセスポイント名**: バックアップアクセスポイントを削除したら、同じアカウントとリージョンに同じ名前の新しいバックアップアクセスポイントを作成しようとします。使用可能になる前に名前を再利用しようとすると、 が返されます`ConflictException`。 + **S3 オブジェクトキーの制限**: `.`または という名前のオブジェクト`..`は、バックアップアクセスポイントからアクセスできません。`./` または で始まるオブジェクトキー`../`、 `/./` または を含むオブジェクトキー`/../`、連続するスラッシュ (`//`) を含むオブジェクトキー`/..`、または `/.`で終わるオブジェクトキー`/`にもアクセスできません。バックアップアクセスポイントを介してこれらのキーを持つオブジェクトにアクセスしようとすると、`InvalidKey`エラーが返されます。 ## トラブルシューティング **一般的な問題** `InvalidParameterValueException` 作成時 + 復旧ポイントが `AVAILABLE`、、`STOPPED`または `COMPLETED`状態であることを確認します。 + 継続的な復旧ポイントの場合は、 `AccessPointInTime`が保持期間内であることを確認します。 + アクセスポイント名が S3 命名規則に従っていることを確認します (小文字、アンダースコアなし、3～50 文字）。 復旧ポイントを削除できません + を使用して、リカバリポイントにアクティブなアクセスポイントが存在するかどうかを確認します`list-backup-access-points-by-recovery-point`。 + 復旧ポイントを削除する前に、すべてのアクセスポイントを削除します。 アクセスポイント`EXPIRED`のステータス + バックアップアクセスポイントは使用できなくなりました。を使用して期限切れのバックアップアクセスポイントを削除し`DeleteBackupAccessPoint`、必要に応じて新しいバックアップアクセスポイントを作成します。 S3 API コールが返す `409 InvalidBucketState` + バックアップアクセスポイントはまだ `AVAILABLE`ステータスではありません。作成が完了するまで待ってから、再試行してください。 `LimitExceededException` + この復旧ポイントのアクセスポイントが最大 5 つに達しました。新しいアクセスポイントを作成する前に、既存のアクセスポイント ( `FAILED`または `EXPIRED`ステータスのアクセスポイントを含む) を削除します。 `ConflictException` 作成時 + 最近削除された名前でバックアップアクセスポイントを作成しようとしています。名前が使用可能になるまで待つか、別の名前を選択します。