Amazon FSx for Windows File Server マルチAZ配置について

このブログシリーズ 「クラウドセキュリティ 実践集」 では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」 というリスクの解説から、 「どうやって直すのか？」 という具体的な修復手順（コンソール、AWS CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、FSx for Windows File Server ファイルシステムは、マルチ AZ 配置用に設定する必要がありますについて、リスクと対策を解説します。

ポリシーの説明

Amazon FSx for Windows File Server のファイルシステムがマルチAZ配置で構成されていない場合、可用性と耐障害性に関する重大なリスクが生じます。マルチAZ配置では、ファイルサーバーが2つのアベイラビリティーゾーンにまたがって冗長化され、ストレージのデータは同期的にレプリケートされます。これにより、アベイラビリティーゾーン障害時でもファイルシステムへのアクセスが継続され、ビジネスクリティカルなワークロードの運用をサポートします。

リスク

シングルAZ配置のFSx for Windows File Serverには以下のリスクがあります：

1. アベイラビリティーゾーン障害時の長時間停止: AWSの過去のインシデントでは、AZ障害により数時間のサービス停止が発生したケースがあります。シングルAZ構成では、約30分間の完全なサービス中断が発生し、Active Directory統合環境では認証エラーも併発します。
2. 計画メンテナンス時のダウンタイム: Windowsパッチ適用やファイルサーバーソフトウェアの更新時に、15〜30分のサービス停止が必要です。マルチAZ構成では、スタンバイサーバーへの自動フェイルオーバーによりサービスを継続できます。
3. データ損失リスク: ハードウェア障害時に最大で最後のシャドウコピー以降のデータが失われる可能性があります。特に、高頻度でファイル更新が行われるワークロード（共有ドライブ、データベースファイル等）では影響が大きくなります。
4. SLA違反リスク: FSx for Windows File ServerのSLAは、マルチAZ構成で99.99%の可用性を保証していますが、シングルAZ構成では99.9%となります。この差は年間約8時間の停止時間の差となり、ビジネスクリティカルなワークロードでは許容できません。
5. コンプライアンス要件の不適合: 金融、医療、政府機関などの規制産業では、高可用性とデータ保護が必須要件となっており、シングルAZ構成では要件を満たせません

修復方法

コンソールでの修復手順

既存のシングルAZファイルシステムを直接マルチAZ構成に変換することはできないため、新規にマルチAZファイルシステムを作成し、データを移行する必要があります。

新規マルチAZファイルシステムの作成手順：

1. AWS管理コンソールにログインし、FSxサービスページにアクセス
2. 「ファイルシステムの作成」をクリック
3. 「Amazon FSx for Windows File Server」を選択
4. 「標準作成」オプションで以下を設定：
   • ファイルシステム名：わかりやすい名前を入力
   • デプロイタイプ：「マルチAZ」を選択（これが最重要設定）
   • ストレージタイプ：要件に応じてSSDまたはHDDを選択
   • ストレージ容量：必要な容量を指定（SSD：最小32GB、HDD：最小2000GB）
5. ネットワーク設定：
   • VPC：使用するVPCを選択
   • サブネット：異なるアベイラビリティーゾーンの2つのサブネットを選択
   • 優先サブネット：プライマリファイルサーバーを配置するサブネットを選択
   • スタンバイサブネット：スタンバイファイルサーバー用のサブネットが自動設定されます
6. Windows認証：AWS Managed Microsoft ADまたは自己管理型ADを設定
7. 「ファイルシステムの作成」をクリック

Terraformでの修復手順

FSx for Windows File ServerのマルチAZ配置を有効にするTerraformコードと、主要な修正ポイントを説明します。

# FSx for Windows File Server マルチAZ設定
resource "aws_fsx_windows_file_system" "multi_az_windows" {
  >>>> Skip
  # マルチAZ配置の有効化（重要）
  deployment_type     = "MULTI_AZ_1"

  # ネットワーク設定（2つのサブネットが必須）
  subnet_ids         = [
    aws_subnet.az1.id,  # 1つ目のAZのサブネット
    aws_subnet.az2.id   # 2つ目のAZのサブネット
  ]

  # 優先サブネットの指定
  preferred_subnet_id = aws_subnet.az1.id
}

最後に

この記事では、FSx for Windows File ServerのマルチAZ配置について、リスクと対策を解説しました。

マルチAZ配置は、Windows環境における高可用性ファイル共有の要となる構成です。99.99%の可用性SLAと60秒以内の自動フェイルオーバーにより、Active Directory統合環境でもビジネス継続性を確保できます。

コストは約2倍になりますが、ダウンタイムによる機会損失やデータ損失のリスクを考慮すると、本番環境では必須の投資といえるでしょう。特に、ファイルサーバーの統合や、オンプレミスからのリフトアンドシフトプロジェクトでは、マルチAZ構成により従来のオンプレミス環境以上の可用性を実現できます。

この問題の検出は弊社が提供するSecurifyのCSPM機能で簡単に検出及び管理する事が可能です。 運用が非常に楽に出来る製品になっていますので、ぜひ興味がある方はお問い合わせお待ちしております。 最後までお読みいただきありがとうございました。この記事が皆さんの役に立てば幸いです。

CSPMについてはこちらで解説しております。併せてご覧ください。

参考情報

AWS公式ドキュメント

• AWS FSx for Windows File Server ユーザーガイド
• FSx for Windows File Server の高可用性とマルチAZ
• FSx for Windows File Server のパフォーマンス
• Active Directory統合のベストプラクティス

料金情報

• FSx for Windows File Server 料金
• AWS料金計算ツール

移行ガイド

• AWS DataSyncを使用したデータ移行
• DFS Replicationによる移行