アカウント間で AWS の EFS ファイルシステムのレプリケーション

フォーカスモード

アカウント間で AWS の EFS ファイルシステムのレプリケーション - Amazon Elastic File System

カスタム信頼ポリシーを使用して IAM ロールを作成するソースファイルシステムとデスティネーションファイルシステムにポリシーを作成するレプリケーション設定を作成する

EFS ファイルシステムをレプリケートできます AWS アカウント。アカウント間でレプリケートすることで、ディザスタリカバリ (DR) 戦略の全体的なレジリエンスと信頼性が向上し、企業のコンプライアンス要件を満たすのに役立ちます。

例えば、コンプライアンスポリシーでは、環境 (本番稼働用、ステージング用、ディザスタリカバリ (DR) など) ごとに異なるアカウントを使用する必要がある場合があります。または、異なる間でのレプリケーション AWS アカウントにより、より強力な分離、アクセス許可とアクセスポリシーのよりきめ細かな制御、リソースのより簡単な監査が提供される場合があります。本番稼働用アカウントが侵害された場合 (セキュリティ違反、設定ミス、内部脅威など）、DR サーバーを別のアカウントに持つと、攻撃者がそれらにアクセスするのを防ぎ、セキュリティインシデントの爆発範囲を減らし、不正な変更のリスクを最小限に抑えることができます。

間でレプリケートするには、追加のセキュリティとポリシーの設定 AWS アカウントが必要です。Amazon EFS にレプリケート先アカウントでレプリケーションを実行するアクセス許可を付与する IAM ロールをソースアカウントに作成する必要があります。また、アカウント間で共有するファイルシステムにポリシーを作成する必要があります。IAM ロールとファイルシステムポリシーを作成したら、レプリケーション設定を作成します。

カスタム信頼ポリシーを使用して IAM ロールを作成する

Amazon EFS がソースアカウントに代わってクロスアカウントレプリケーションを実行するには、ソースアカウントに IAM ロールを作成する必要があります。ロールには、Amazon EFS がロールを引き受け、サービスプリンシパルとして機能することを許可するelasticfilesystem.amazonaws.com信頼ポリシーが必要です。ロールには、レプリケーションの実行に必要なすべての IAM アクセス許可 (「」を参照必要な IAM アクセス許可) が含まれ、レプリケート先アカウントのファイルシステムにレプリケートするための明示的なアクセス許可を付与する必要があります。

前提条件

ソースアカウントの IAM ロールを作成する前に、レプリケーション設定でソースファイルシステムとデスティネーションファイルシステムの両方を作成する必要があります。各ファイルシステムの ARN を把握して提供する必要があります。

クロスアカウントレプリケーション用の IAM ロールを作成するには

Amazon EFS とのクロスアカウントレプリケーション用のカスタム信頼ポリシーを使用して IAM ロールを作成する一般的な手順を次に示します。IAM ロールの作成手順については、 step-by-step 「 AWS Identity and Access Management ユーザーガイド」の「カスタム信頼ポリシーを使用してロールを作成する」を参照してください。

ソースアカウントのコンソール AWS Identity and Access Management で、次の信頼ポリシーを使用する IAM ロールを作成します。手順については、AWS 「 Identity and Access Management ユーザーガイド」の「カスタム信頼ポリシーを使用してロールを作成する」を参照してください。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticfilesystem.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

ロールを作成したら、ロールに次のアクセス許可を割り当てます。をデスティネーションファイルシステムの ARN DESTINATION_FILE_SYSTEM_ARNに置き換え、をソースファイルシステムの ARN SOURCE_FILE_SYSTEM_ARNに置き換えます。ロールにアクセス許可を割り当てる手順については、「JSON エディタを使用したポリシーの作成」を参照してください。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:DescribeFileSystems",
                "elasticfilesystem:CreateReplicationConfiguration",
                "elasticfilesystem:DescribeReplicationConfigurations",
                "elasticfilesystem:DeleteReplicationConfiguration",
                "elasticfilesystem:ReplicationWrite"
            ],
            "Resource": "DESTINATION_FILE_SYSTEM_ARN"
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:ReplicationRead",
                "elasticfilesystem:DescribeFileSystems"
            ],
            "Resource": "SOURCE_FILE_SYSTEM_ARN"
        }
    ]
}

IAM ロールの ARN をコピーまたは書き留めます。レプリケーション設定を作成するときは、ARN を指定する必要があります。

ソースファイルシステムとデスティネーションファイルシステムにポリシーを作成する

Amazon EFS でファイルシステムをクロスアカウントで共有するには、送信先ファイルシステムとソースファイルシステムの両方にポリシーを割り当てる必要があります。ポリシーは、アカウント間のアクセスを、適用されるファイルシステムに対して許可または制限します。ファイルシステムを編集する権限を持つアカウント所有者のみが、自分のアカウントのファイルシステムにポリシーを割り当てることができます。

注記

レプリケートするには AWS アカウント、まずデスティネーションファイルシステムとソースファイルシステムの両方を作成する必要があります。Amazon EFS は、レプリケーション中にデスティネーションファイルシステムを作成することはできません。

送信先ファイルシステムのポリシー

レプリケート元アカウントのアクセス許可がレプリケート先ファイルシステムにレプリケートされ、レプリケート先アカウントからレプリケーション設定が削除されるようにするには、レプリケート先ファイルシステムに次のポリシーを作成する必要があります。をソースファイルシステムを所有するアカウントの ID SOURCE_ACCOUNT_ROOTに置き換えます。


{ 
  "Version": "2012-10-17", 
  "Statement": [ 
     { 
        "Sid": "Permissions for source account calls", 
        "Effect": "Allow",
        "Principal": { 
        "AWS": "SOURCE_ACCOUNT_ROOT"
      }, 
    "Action": [ 
         "elasticfilesystem:DescribeFileSystems", 
         "elasticfilesystem:CreateReplicationConfiguration", 
         "elasticfilesystem:DescribeReplicationConfigurations",
         "elasticfilesystem:DeleteReplicationConfiguration", 
         "elasticfilesystem:ReplicationWrite" 
         ], 
     "Resource": "DESTINATION_FILE_SYSTEM_ARN"
     } 
   ]
}

ソースファイルシステムのポリシー

レプリケート先アカウントにレプリケート元アカウントからレプリケーション設定を削除するアクセス許可を付与するには、次のポリシーをソースファイルシステムに割り当てる必要があります。を送信先ファイルシステムを所有するアカウントの ID DESTINATION_ACCOUNT_ROOTに置き換えます。


{
    "Version": "2012-10-17",
    "Id": "efs-policy",
    "Statement": [
        {
            "Sid": "Permission to delete the replication by the destination account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "DESTINATION_ACCOUNT_ROOT"
            },
            "Action": "elasticfilesystem:DeleteReplicationConfiguration",
            "Resource": "SOURCE_FILE_SYSTEM_ARN"
        }
    ]
}

ファイルシステムポリシーを作成するには

前のセクションのポリシーを使用して、送信先ファイルシステムとソースファイルシステムの両方に対して次の手順を実行します。

ファイルシステムを所有するアカウント AWS Management Console でにサインインし、https://console.aws.amazon.com/efs/ で Amazon EFS コンソールを開きます。
ファイルシステムを開きます。
1. 左のナビゲーションペインで [ファイルシステム] を選択します。
2. ファイルシステムリストで、ファイルシステムを選択します。
ファイルシステムポリシータブで、編集を選択します。
ポリシーエディタ {Json} にポリシーを貼り付け、保存を選択します。

レプリケーション設定を作成する

IAM ロールを作成し、ファイルシステムポリシーを送信元ファイルシステムと送信先ファイルシステムに追加したら、「」の手順に従ってレプリケーション設定既存の EFS ファイルシステムへのレプリケーションの設定を作成します。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

既存のファイルシステムへのレプリケーションの設定

レプリケーションの詳細の表示

このページの内容

Cookie の設定を選択する

Cookie の設定をカスタマイズする

Essential

Performance

Functional

Advertising

Cookie の設定を保存できません