翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

アクセスポイント

概要

AWS Backup では、復元を開始せずに Amazon S3 S3 バックアップデータにアクセスできるようになりました。バックアップアクセスポイントを使用すると、GetObject、、、 などの使い慣れた S3 APIs を使用してListObjectsV2、S3 HeadObjectバックアップデータをすぐに読み取ることができますListObjectVersions。

バックアップアクセスポイントは、リカバリポイントへのオンデマンドの読み取り専用接続を提供します。特定の復旧ポイントのバックアップアクセスポイントを作成し、S3 API コールをバックアップデータにルーティングする S3 アクセスポイントを AWS Backup プロビジョニングします。これにより、完全な復元が完了するまで待たずに、ターゲットファイル復旧、データ検証、コンプライアンス監査、フォレンジック調査などのユースケースが可能になります。

バックアップアクセスポイントが復旧ポイントに対してアクティブになっている間、 はライフサイクルの移行を AWS Backup 一時停止し、その復旧ポイントの削除をブロックします。これにより、アプリケーションがデータをアクティブに読み取っている間、データが削除されないように保護できます。復旧ポイントを削除またはライフサイクルする前に、復旧ポイントに関連付けられたすべてのバックアップアクセスポイントを削除する必要があります。

このページでは、 コンソールと を使用して AWS Backup バックアップアクセスポイントを作成、管理、削除する方法について説明します AWS CLI。

バックアップアクセスポイントの仕組み

バックアップアクセスポイントを作成すると、 は次のステップ AWS Backup を実行します。

バックアップアクセスポイントが使用可能になったら、 DescribeBackupAccessPointを呼び出して S3 アクセスポイントの ARN とエイリアスを取得します。次に、S3 アクセスポイントエイリアスまたは ARN を標準の S3 APIs とともに使用して、バックアップデータを読み取ります。

完了したら、DeleteBackupAccessPoint. を呼び出して S3 アクセスポイント AWS Backup を削除し、復旧ポイントのライフサイクル移行を再開します (他のアクセスポイントが残っていない場合）。

アクセスポイントのステータス

継続的な復旧ポイント

継続的 (PITR) リカバリポイントの場合、アクセスポイントの作成時にAccessPointInTimeタイムスタンプを指定できます。これにより、バックアップデータのpoint-in-timeビューが決まります。タイムスタンプは、アクセスポイントの作成時に継続的なバックアップ保持期間内である必要があります。アクセスポイントが存在する限り、タイムスタンプが後で保持期間外になっても、その時点のデータは保持され、アクセス可能です。

前提条件

バックアップアクセスポイントを作成/管理する前に、以下を確認してください。

バックアップアクセスポイントの作成

Console

1. https://console.aws.amazon.com/backup/ で AWS Backup コンソールを開きます。

2. ナビゲーションペインで、保護されたリソースを選択するか、バックアップボールトを介して復旧ポイントに移動します。

3. アクセスする S3 復旧ポイントを選択します。

4. [アクセスポイントを作成] を選択します。

5. アクセスポイント名に一意の名前を入力します。この名前は S3 アクセスポイント名前空間と共有されるため、同じリージョンとアカウントの既存の S3 アクセスポイントと競合してはいけません。注: 命名規則については、「Amazon S3 アクセスポイントの命名規則」を参照してください。 Amazon S3

6. (オプション) 継続的リカバリポイントの場合は、アクセスポイントを指定してpoint-in-timeビューを設定します。

7. (オプション) アクセスポイントポリシーを追加します。

8. (オプション) タグを追加します。

9. [アクセスポイントを作成] を選択します。

10. バックアップアクセスポイントのステータスは CREATING と表示されます。ステータスが AVAILABLE に変わったら、バックアップアクセスポイントを選択して S3 アクセスポイントの ARN とエイリアスを表示します。

AWS CLI

aws backup create-backup-access-point \
  --recovery-point-arn "arn:aws:backup:us-east-1:123456789012:recovery-point:rp-1234567890abcdef0" \
  --name "my-access-point" \
  --access-point-metadata '{"AccessPointInTime": "2026-07-01T12:00:00Z"}'

レスポンス:

{
  "AccessPointArn": "arn:aws:backup:us-east-1:123456789012:accesspoint/my-access-point",
  "Status": "CREATING"
}

作成後、アクセスポイントを記述して S3 ARN とエイリアスを取得します。

aws backup describe-backup-access-point \
  --access-point-arn "arn:aws:backup:us-east-1:123456789012:accesspoint/my-access-point"

レスポンス (利用可能な場合):

{
  "AccessPointArn": "arn:aws:backup:us-east-1:123456789012:accesspoint/my-access-point",
  "AccessPointMetadata": {
    "S3AccessPointAlias": "my-access-point-abc123-ext-s3alias",
    "S3AccessPointArn": "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point"
  },
  "BackupVaultName": "MyVault",
  "CreationTime": "2026-07-28T12:00:25.938000-07:00",
  "Name": "my-access-point",
  "RecoveryPointArn": "arn:aws:backup:us-east-1:123456789012:recovery-point:rp-1234567890abcdef0",
  "ResourceArn": "arn:aws:s3:::my-bucket",
  "ResourceType": "S3",
  "Status": "AVAILABLE"
}

アクセスポイントを介したバックアップデータへのアクセス

アクセスポイントが AVAILABLE ステータスになったら、S3 API で S3 アクセスポイントエイリアスまたは ARN を使用してバックアップデータを読み取りAPIs。

エイリアスの使用

# List objects in the backup
aws s3api list-objects-v2 \
  --bucket "my-access-point-abc123-ext-s3alias"

# Get a specific object
aws s3api get-object \
  --bucket "my-access-point-abc123-ext-s3alias" \
  --key "path/to/my-file.txt" \
  output-file.txt

# Head an object (metadata only)
aws s3api head-object \
  --bucket "my-access-point-abc123-ext-s3alias" \
  --key "path/to/my-file.txt"

S3 アクセスポイント ARN の使用

aws s3api list-objects-v2 \
  --bucket "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point"

アクセスポイントの管理

アクセスポイントの一覧表示

アカウント内のすべてのバックアップアクセスポイントを一覧表示します。

aws backup list-backup-access-points

特定の復旧ポイントのバックアップアクセスポイントを一覧表示します。

aws backup list-backup-access-points-by-recovery-point \
  --recovery-point-arn "arn:aws:backup:us-east-1:123456789012:recovery-point:rp-1234567890abcdef0"

特定のリソースのバックアップアクセスポイントを一覧表示します。

aws backup list-backup-access-points-by-resource \
  --resource-arn "arn:aws:s3:::my-bucket"

アクセスポイントの削除

aws backup delete-backup-access-point \
  --access-point-arn "arn:aws:backup:us-east-1:123456789012:accesspoint/my-access-point"

バックアップアクセスポイントを削除する場合:

アクセスポイントポリシー

各アクセスポイントは、独自のリソースベースのアクセスポイントポリシーを持つことができます。アクセスポイントポリシーは、リソース、ユーザー、または条件ごとに、アクセスポイントを介してバックアップデータソース内のオブジェクトにアクセスする方法を制御します。

アクセスポイントポリシーの仕組み

バックアップアクセスポイントを作成すると、デフォルトでアクセスポイントポリシーなしで S3 アクセスポイントが作成されます。ポリシーがない場合、アクセスポイントを介したバックアップデータへのアクセスは、発信者の IAM アクセス許可によって管理されます。

オプションで、作成時にポリシーを指定するか、後でポリシーを以下に追加できます。

アクセスポイントポリシーに含めた制限は、そのアクセスポイントを介したリクエストにのみ適用されます。アクセスポイントポリシーは、基盤となるデータソースが同じアクセスも許可する場合にのみアクセス許可を付与します。

アクセスポイントポリシーの編集

アクセスポイントポリシーは、 AWS Backup コンソールまたは S3 PutAccessPointPolicy API を使用して編集できます。

Console

1. AWS Backup コンソールを開きます。

2. アクセスポイントに移動し、アクセスポイントを選択します。

3. アクセスポイントポリシータブを選択します。

4. [編集] を選択します。

5. JSON ポリシーを変更します。

6. [Save changes] (変更の保存) をクリックします。

ポリシーを編集すると、 AWS Identity and Access Management Access Analyzer はポリシーチェックを実行して、IAM ポリシーの文法とベストプラクティスに照らしてポリシーを検証します。保存する前に、セキュリティ警告、エラー、提案を解決します。

AWS CLI

aws s3control put-access-point-policy \
  --account-id 123456789012 \
  --name "my-access-point" \
  --policy '{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::123456789012:role/DataAnalyst"
        },
        "Action": ["s3:GetObject", "s3:ListBucket"],
        "Resource": [
          "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
          "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
        ]
      }
    ]
  }'

ブロックパブリックアクセス

Amazon S3 パブリックアクセスブロック設定は、バックアップアクセスポイントに適用されます。アカウントでパブリックアクセスのブロックが有効になっている場合、アクセスポイントポリシーに関係なく、バックアップアクセスポイントを介したパブリックアクセスはブロックされます。設定を確認するには、アカウントレベルのパブリックアクセスブロック設定を確認します。

詳細情報

サポートされている S3 オペレーション

次の表は、バックアップアクセスポイントと互換性のある S3 API オペレーションを示しています。バックアップアクセスポイントは読み取り専用であるため、すべての書き込み、削除、およびマルチパートアップロードオペレーションはサポートされていません。

復旧ポイントのライフサイクル保護

復旧ポイントに 1 つ以上のアクティブなアクセスポイントが存在する場合:

復旧ポイントのライフサイクルを更新することはできますが (例: delete-after-days 値の変更）、復旧ポイントのすべてのバックアップアクセスポイントが削除されるまで削除は強制されません。

復旧ポイントのすべてのアクセスポイントが削除されると、ライフサイクル処理が自動的に再開されます。

論理エアギャップボールトの復旧ポイントのアクセスポイント

論理エアギャップボールトに保存されている復旧ポイントのバックアップアクセスポイントを作成できます。アクセスポイントは、ボールト所有アカウントによって直接作成することも、 AWS Resource Access Manager (RAM) 共有または復元アクセスバックアップボールトを介して (複数当事者承認を介して) アクセスが付与された別のアカウントから作成することもできます。

同一アカウントアクセス

論理エアギャップボールトを所有するアカウントは、標準のバックアップボールトと同じ方法で、そのボールト内の復旧ポイントのアクセスポイントを作成できます。

RAM 共有

論理エアギャップボールトが RAM 経由でアカウントと共有されると、そのアカウントは共有ボールト内の復旧ポイントのアクセスポイントを作成できます。RAM アクセス許可には AWSRAMPermissionBackupVaultReadOnlyが含まれますbackup:CreateBackupAccessPoint。ボールト所有者は、 を拒否するボールトアクセスポリシーを追加することで、これを制限できますbackup:CreateBackupAccessPoint。

詳細については、「論理エアギャップボールトを共有する」を参照してください。

アクセスバックアップボールトの復元 (マルチパーティー承認)

論理エアギャップボールトの復元アクセスバックアップボールトを持つアカウントは、そのボールトを介してアクセス可能なリカバリポイントのバックアップアクセスポイントを作成できます。

詳細については、「論理エアギャップボールトのマルチパーティー承認」を参照してください。

アクセスが取り消された場合

アクセスが削除された場合 (論理エアギャップボールトが RAM を介して共有解除された場合、またはアクセスバックアップボールトが削除または取り消された場合）。

モニタリングと通知

AWS Backup は、バックアップアクセスポイントのステータス変更 (作成、削除、失敗など) に関する CloudTrail イベント、EventBridge イベント、Amazon SNS 通知を送信します。イベント形式とサブスクライブ方法の詳細については、「モニタリング AWS Backup」を参照してください。

サポートされている機能と制限事項

サポートされている機能

制限事項

トラブルシューティング

一般的な問題

InvalidParameterValueException 作成時

復旧ポイントを削除できません

アクセスポイントEXPIREDのステータス

S3 API コールが返す 409 InvalidBucketState

LimitExceededException

ConflictException 作成時