アカウント間で AWS EFS ファイルシステムをレプリケートする

フォーカスモード

アカウント間で AWS EFS ファイルシステムをレプリケートする - Amazon Elastic File System

カスタム信頼ポリシーを使用して IAM ロールを作成する送信元ファイルシステムと送信先ファイルシステムにポリシーを作成するレプリケーション設定を作成する

EFS ファイルシステムをレプリケートできます AWS アカウント。アカウント間でレプリケートすると、ディザスタリカバリ (DR) 戦略の全体的な耐障害性と信頼性が向上し、企業のコンプライアンス義務を満たすのに役立ちます。

例えば、コンプライアンスポリシーでは、環境 (本番稼働、ステージング、ディザスタリカバリ (DR) など) ごとに異なるアカウントを使用する必要がある場合があります。または、異なる間でのレプリケーション AWS アカウントにより、より強力な分離、アクセス許可とアクセスポリシーのよりきめ細かな制御、リソースのより簡単な監査が提供される場合があります。本番稼働用アカウントが侵害された場合 (セキュリティ違反、設定ミス、内部脅威など）、DR サーバーを別のアカウントに持つと、攻撃者がそれらにアクセスするのを防ぎ、セキュリティインシデントの爆発的な範囲を減らし、不正な変更のリスクを最小限に抑えることができます。

をにレプリケートするには、セキュリティとポリシーのセットアップを追加 AWS アカウントする必要があります。Amazon EFS にレプリケート先アカウントでレプリケーションを実行するアクセス許可を付与する IAM ロールをソースアカウントに作成する必要があります。また、アカウント間で共有するファイルシステムにポリシーを作成する必要があります。IAM ロールとファイルシステムポリシーを作成したら、レプリケーション設定を作成します。

カスタム信頼ポリシーを使用して IAM ロールを作成する

Amazon EFS がソースアカウントに代わってクロスアカウントレプリケーションを実行するには、ソースアカウントに IAM ロールを作成する必要があります。ロールには、Amazon EFS がロールを引き受け、サービスプリンシパルとして機能することを許可するelasticfilesystem.amazonaws.com信頼ポリシーが必要です。ロールには、レプリケーションの実行に必要なすべての IAM アクセス許可が含まれ (「」を参照必要な IAM アクセス許可）、レプリケート先アカウントのファイルシステムにレプリケートするための明示的なアクセス許可を付与する必要があります。

前提条件

ソースアカウントの IAM ロールを作成する前に、レプリケーション設定でソースファイルシステムとレプリケート先ファイルシステムの両方を作成する必要があります。各ファイルシステムの ARN を把握して提供する必要があります。

クロスアカウントレプリケーション用の IAM ロールを作成するには

以下は、Amazon EFS とのクロスアカウントレプリケーション用のカスタム信頼ポリシーを使用して IAM ロールを作成する一般的な手順です。IAM ロールを作成するstep-by-stepについては、「 AWS Identity and Access Management ユーザーガイド」の「カスタム信頼ポリシーを使用してロールを作成する」を参照してください。

ソースアカウントのコンソール AWS Identity and Access Management で、次の信頼ポリシーを使用する IAM ロールを作成します。手順については、AWS 「 Identity and Access Management ユーザーガイド」の「カスタム信頼ポリシーを使用してロールを作成する」を参照してください。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticfilesystem.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

ロールを作成したら、ロールに次のアクセス許可を割り当てます。を宛先ファイルシステムの ARN DESTINATION_FILE_SYSTEM_ARNに置き換え、をソースファイルシステムの ARN SOURCE_FILE_SYSTEM_ARNに置き換えます。ロールにアクセス許可を割り当てる手順については、「JSON エディタを使用したポリシーの作成」を参照してください。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:DescribeFileSystems",
                "elasticfilesystem:CreateReplicationConfiguration",
                "elasticfilesystem:DescribeReplicationConfigurations",
                "elasticfilesystem:DeleteReplicationConfiguration",
                "elasticfilesystem:ReplicationWrite"
            ],
            "Resource": "DESTINATION_FILE_SYSTEM_ARN"
        },
        {
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:ReplicationRead",
                "elasticfilesystem:DescribeFileSystems"
            ],
            "Resource": "SOURCE_FILE_SYSTEM_ARN"
        }
    ]
}

IAM ロールの ARN をコピーまたは書き留めます。レプリケーション設定を作成するときは、ARN を指定する必要があります。

送信元ファイルシステムと送信先ファイルシステムにポリシーを作成する

Amazon EFS でファイルシステムクロスアカウントを共有するには、送信先ファイルシステムとソースファイルシステムの両方にポリシーを割り当てる必要があります。ポリシーは、アカウント間で、それらが適用されるファイルシステムへのアクセスを許可または制限します。ファイルシステムを編集する権限を持つアカウント所有者のみが、アカウントのファイルシステムにポリシーを割り当てることができます。

注記

レプリケートするには AWS アカウント、まずレプリケート先ファイルシステムとソースファイルシステムの両方を作成する必要があります。Amazon EFS は、レプリケーション中に送信先ファイルシステムを作成することはできません。

送信先ファイルシステムのポリシー

レプリケート元アカウントのアクセス許可を送信先ファイルシステムにレプリケートし、レプリケート先アカウントからレプリケーション設定を削除できるようにするには、送信先ファイルシステムに次のポリシーを作成する必要があります。を、ソースファイルシステムを所有するアカウントの ID SOURCE_ACCOUNT_ROOTに置き換えます。


{ 
  "Version": "2012-10-17", 
  "Statement": [ 
     { 
        "Sid": "Permissions for source account calls", 
        "Effect": "Allow",
        "Principal": { 
        "AWS": "SOURCE_ACCOUNT_ROOT"
      }, 
    "Action": [ 
         "elasticfilesystem:DescribeFileSystems", 
         "elasticfilesystem:CreateReplicationConfiguration", 
         "elasticfilesystem:DescribeReplicationConfigurations",
         "elasticfilesystem:DeleteReplicationConfiguration", 
         "elasticfilesystem:ReplicationWrite" 
         ], 
     "Resource": "DESTINATION_FILE_SYSTEM_ARN"
     } 
   ]
}

ソースファイルシステムのポリシー

レプリケート先アカウントがレプリケート元アカウントからレプリケーション設定を削除できるようにするには、ソースファイルシステムに次のポリシーを割り当てる必要があります。を、送信先ファイルシステムを所有するアカウントの ID DESTINATION_ACCOUNT_ROOTに置き換えます。


{
    "Version": "2012-10-17",
    "Id": "efs-policy",
    "Statement": [
        {
            "Sid": "Permission to delete the replication by the destination account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "DESTINATION_ACCOUNT_ROOT"
            },
            "Action": "elasticfilesystem:DeleteReplicationConfiguration",
            "Resource": "SOURCE_FILE_SYSTEM_ARN"
        }
    ]
}

ファイルシステムポリシーを作成するには

前のセクションのポリシーを使用して、送信先ファイルシステムとソースファイルシステムの両方に対して次の手順を実行します。

ファイルシステムを所有するアカウント AWS Management Console でにサインインし、「https://https://console.aws.amazon.com/efs/.com で Amazon EFS コンソールを開きます。
ファイルシステムを開きます。
1. 左のナビゲーションペインで [ファイルシステム] を選択します。
2. ファイルシステムリストで、ファイルシステムを選択します。
ファイルシステムポリシータブで、編集を選択します。
ポリシーエディタ {Json} にポリシーを貼り付け、保存を選択します。

レプリケーション設定を作成する

IAM ロールを作成し、ファイルシステムポリシーをソースファイルシステムと宛先ファイルシステムに追加したら、「」の手順に従ってレプリケーション設定既存の EFS ファイルシステムへのレプリケーションの設定を作成します。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

既存のファイルシステムへのレプリケーションの設定

レプリケーションの詳細の表示

このページの内容

Cookie の設定を選択する

Cookie の設定をカスタマイズする

Essential

Performance

Functional

Advertising

Cookie の設定を保存できません