こんにちは。SB C&Sで仮想化製品のプリセールスを担当している真砂です。

昨今、ランサムウェアをはじめとしたシステムを狙った攻撃の増加に伴い、セキュリティの重要性が高まっています。

ただし、現在のセキュリティ対策ではエンドポイント、ネットワーク、バックアップなどさまざまなレイヤーで対策を検討する必要があり、それに伴いセキュリティ対策のコストが増加するという課題があります。

バックアップに求められるセキュリティ要件として、ランサムウェア感染による悪意ある暗号化を防ぐために、イミュータブル（書き換え不可）なバックアップの仕組みが求められるケースが増えています。

一方で、イミュータブル機能を備えたストレージは従来のバックアップシステムと比べてコストが増加する傾向があります。

前述の通りさまざまなセキュリティ対策が求められる現状では予算の確保が難しい場合がありますが、クラウドストレージを利用することでハードウェア購入に伴う初期コストを抑えつつ、イミュータブルバックアップを実現できます。

過去の記事ではHYCUを用いたクラウドバックアップについても紹介していますが、本記事では近年導入実績が増えているWasabiを利用したイミュータブルバックアップについてご紹介します。

HYCUとWasabiを用いた構成のイメージ

本記事では、HYCUとWasabiを用いてNutanix上の仮想マシンをバックアップする例をもとにご紹介します。

まず、イミュータブルバックアップの保存先となるストレージには、イミュータブル機能が必要であり、一般的なNASや安価なストレージ製品では、十分な改ざん防止を実現しにくい場合があります。

また、セキュリティ対策とは別の観点になりますが、BCPを考慮してバックアップ先を異なるロケーションに設置するケースも多くあります。

その場合、イミュータブル機能を備えたストレージの用意に加え、データセンターの契約や、拠点間VPNの接続など、追加の設計とコストが必要となります。

一方で、Wasabiを用いた場合は上記の課題を特段考慮ことなく、一定のBCPとイミュータブルバックアップを実現できます。

Wasabiからバックアップ用のバケットを準備

本記事では、すでにHYCUに必要なバックアップコントローラーのデプロイ、およびバックアップ対象のNutanix基盤をソースとして登録していることを前提に手順を紹介します。

HYCUの概要や基本的な設定方法については、過去の記事をご覧ください。
HYCU Backup & Recovery for Nutanixを用いたクラウドバックアップのメリット

HYCUからWasabiへバックアップを取得するためのバケットをWasabi上で作成する必要があります。

あわせて、HYCUから利用できるよう、Wasabiのアクセス制御設定としてポリシー、グループ、ユーザーを準備します。

◯ポリシーの作成

まずはWasabi上からポリシーを作成しておきます。

Wasabi管理コンソールの左側にある「ポリシー」メニューを選択し、HYCUから接続するための新規ポリシーを作成します。
※HYCUからの接続に必要なポリシーの記述についてはHYCUのドキュメントをご覧ください。

◯グループの作成

ユーザーを作成する前にグループを作成する必要があるため、HYCUから利用するためのグループを事前に作成しておきます。

◯ユーザーの作成

ユーザーの作成を行う際に、先ほど作成したグループとポリシーを指定します。

◯キーの発行

作成したユーザーのアクセスキーおよびシークレットキーを発行します。
※シークレットキーは初回発行時のみ確認できます。必要に応じてダウンロードするなどし、キーを紛失しないようにご注意ください。

◯バケットの作成

HYCUからのバックアップを保存するためのバケットを作成します。

バケットを作成する際にリージョンの指定と、バージョン管理およびオブジェクトロックを有効化しておきます。
※バケット名はグローバルで一意である必要があります。

作成したバケットの設定画面からオブジェクトロックの有効期間を指定します。

以上でWasabiの設定は完了です。
次は作成したWasabiのバケットをHYCUで利用できるように設定を行う必要があります。

HYCUからWasabiへのバックアップ設定

次にHYCUからWasabiへバックアップを取得する設定を行います。

なお、HYCUでは、オブジェクトストレージを通常のバックアップ先ではなく「アーカイブ」として登録することで、永久増分方式によるバックアップが可能になります。

以下の手順もWasabiのバケットへアーカイブを行う設定について説明します。

◯ターゲットの登録

先ほど作成したWasabiのバケットをバックアップ先としてターゲットに登録します。

HYCUでWasabiを含むオブジェクトストレージをターゲットとして登録する場合は、「Amazon S3/S3互換」を指定し、「アーカイブに使用」にチェックを入れます。これにより、前述の永久増分方式によるアーカイブ処理を実行できます。

登録したバケット名の右に鍵アイコンが表示されていれば、HYCUからイミュータブルなバックアップ先として認識されている状態となります。

◯アーカイブポリシー作成と通常のポリシーへの登録

Wasabiのバケットへバックアップ（アーカイブ）を取得するためのポリシーを作成します。

過去の記事でもポリシーについては紹介していますがHYCUのポリシーは、いわゆるバックアップジョブにあたる設定です。今回、Wasabiへバックアップを取得する際には、通常のポリシーとは別に「アーカイブポリシー」を作成する必要があります。

アーカイブポリシーではスケジュールと保持期間などを指定し、先ほど登録したWasabiのターゲットを指定します。

アーカイブポリシー作成後、バックアップを取得する通常のポリシーの「アーカイブ」オプションを有効化し、下部にてアーカイブポリシーを指定します。

以上で、Wasabiのバケットを利用するためのポリシー作成は完了です。
作成したポリシーを保護対象の仮想マシンに割り当てることで、ポリシーに従って取得したバックアップデータがWasabiのバケットへアーカイブされます。

本記事ではHYCUとWasabiを組み合わせたイミュータブルバックアップ方法についてご紹介しました。

HYCUではWasabi以外にもAWS S3やAzure Blobなどさまざまなクラウドストレージを利用できますが、その中でもWasabiは比較的安価ながら高いパフォーマンスが期待でき、いざというときに求められる復旧作業においても優位性があると考えています。

また、記事公開時点ではクラウドストレージでありながら、年単位の契約が可能なことやWasabiのバケットに対する通信に別途課金が発生しないなど、提案フェーズで将来的な費用感を計算しやすい点も強みだと感じています。

仮想化基盤のイミュータブルバックアップをお求めの際は、HYCUとWasabiの組み合わせも選択肢の一つとしてご検討ください。