テープバックアップからの脱却 — AWS BackupとS3 Glacierへの翻訳

テープ運用の移行相談で最初に伝えるのは、「テープがやっていた仕事は1つではない」ということです。日次の世代確保、長期保管、遠隔地への持ち出し——この3つはAWSではそれぞれ別の機能に対応します。分解して翻訳しましょう。

01テープの3つの役割を分解する

• 日次・週次の世代管理（誤削除・障害からの復旧）→ EBSスナップショット＋AWS Backup
• 長期保管（規程で7年、など）→ S3 Glacierクラス
• 遠隔保管（サイト災害・ランサム対策の物理隔離）→ クロスリージョン／クロスアカウントコピー

02世代管理はAWS Backupのプランで宣言する

「日次を7世代、週次を4世代、月次を12ヶ月」——テープローテーションで人手運用していた世代管理は、AWS Backupのバックアップ プランにそのまま宣言できます。対象はタグで自動選択でき、EC2・EBS・RDS・EFS・FSxを同じプランで束ねられます。テープ交換という作業自体が消えるのが最大の効果で、交換忘れ・ラベル貼り間違いというヒューマンエラーも一緒に消えます。

03長期保管はGlacierの3クラスから選ぶ

7年保管のような要件はS3のGlacierクラスへ。3種類の違いは「取り出し」にあります。

• Glacier Instant Retrieval — 即時取り出し。たまに参照する長期データ
• Glacier Flexible Retrieval — 取り出しに数分〜数時間。めったに見ないが必要になることがあるもの
• Glacier Deep Archive — 取り出しに標準で12時間以内、バルクで最大48時間程度。「置いてあることに意味がある」監査系データ。保管単価は最安クラス

04「遠隔保管」の現代版はアカウント分離

テープを遠隔倉庫に運んでいた理由は、サイト全損とランサムウェアへの備えです。AWSでの対応は、バックアップのクロスリージョンコピー（地理的分離）とクロスアカウントコピー（論理的分離）。特に後者は重要で、本番アカウントの認証情報が奪われてもバックアップアカウントには手が届かない構造にできます。AWS Backupのボールトロックを併用すれば、保持期間中は管理者でも削除できない「書き込み一度きり」の保管が実現します。

05変わらないのは「復元テスト」だけ

テープからAWSに変わっても、復元テストの必要性だけは変わりません。むしろ自動化で「取れているつもり」になりやすいぶん、年1回の実復元は運用ルールとして明文化してください（初期設定10選の10番目です）。なお、初回のフルデータ移送にかかる時間は転送時間ツールで試算できます。テープ資産のデータ量によっては物理輸送（Snowball）の出番です。