Amazon FSx for OpenZFS マルチAZ配置の設定について

2025.08.15

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、AWS CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、Amazon FSx for OpenZFS ファイルシステムのマルチ AZ (Multi-AZ) 配置について、高可用性（HA）を実現するための設定方法とセキュリティリスクの対策を解説します。

ポリシーの説明

Amazon FSx for OpenZFSは、完全マネージド型の高性能ファイルシステムサービスで、Linux、Windows、macOSワークロードに対応します。しかし、シングルAZ構成で運用している場合、アベイラビリティーゾーンの障害時にファイルシステム全体が利用不可となり、ビジネスクリティカルなアプリケーションの継続性が損なわれるリスクがあります。

マルチAZ配置を構成することで、2つのアベイラビリティーゾーン間でデータを同期的にレプリケートし、 60秒以内の自動フェイルオーバーによる高可用性を実現できます。

リスク

FSx for OpenZFSファイルシステムをシングルAZ構成で運用する場合、以下のリスクが発生します：

サービス停止リスク: アベイラビリティーゾーン障害時に、ファイルシステム全体が利用不可となり、アプリケーションの完全停止につながります。
データ損失リスク: ハードウェア障害やAZ障害発生時、最後のバックアップ以降のデータが失われる可能性があります。
ビジネス継続性への影響: ミッションクリティカルなワークロード（データベース、アナリティクス、コンテンツ管理等）の長時間停止により、収益損失や信用失墜が発生します。
SLA違反リスク: 単一障害点による可用性の低下は、サービスレベル契約（SLA）の違反につながり、顧客への補償や契約解除のリスクがあります。
メンテナンス時の影響: 計画メンテナンス時もサービス停止が必要となり、24時間365日の運用要件を満たせません。

修復方法

コンソールでの修復手順

AWSのコンソールを使用して、FSx for OpenZFSファイルシステムをマルチAZ配置で作成します。

FSxコンソールにアクセス
- AWSマネジメントコンソールにログインし、FSxサービスを選択します
新しいファイルシステムの作成
- 「ファイルシステムの作成」をクリック
- ファイルシステムタイプで「Amazon FSx for OpenZFS」を選択
デプロイメントタイプの選択
- 「Deployment type」で 「Multi-AZ (HA)」 を選択
- これにより高可用性構成が有効になります

ネットワーク設定
- VPCを選択
- 異なるアベイラビリティーゾーンの2つのサブネットを指定（重要：同一AZのサブネットを選択するとエラーになります）
- 「Preferred subnet」でプライマリファイルサーバーを配置するサブネットを選択
- セキュリティグループを設定（NFSトラフィック用にポート111、2049、20001-20003をTCP/UDP両方で許可）
エンドポイント設定（推奨）
- 「Endpoint IP address range」に/28以上のCIDRブロックを指定（VPCのCIDRブロック内で未使用の範囲を選択）
- 「Route tables」でクライアントサブネットに関連付けられたルートテーブルを選択（最大50個）
- この設定により、マルチAZ構成でも単一のIPアドレスでアクセス可能になります
ストレージとパフォーマンス設定
- ストレージ容量を指定（最小1024 GiB）
- スループット容量を選択（160〜10240 MBps）
- IOPS設定で「Automatic」または「User-provisioned」を選択
既存ファイルシステムの移行
- 既存のシングルAZファイルシステムがある場合：
  - 「アクション」→「バックアップの作成」でバックアップを作成
  - 「バックアップから復元」を選択し、デプロイメントタイプで「Multi-AZ」を指定

Terraformでの修復手順

Terraformを使用してFSx for OpenZFSのマルチAZ配置を設定する主要な修正ポイントを説明します。

deployment_type を MULTI_AZ_1 に指定した上でSubnetの指定を行うようにしましょう。


# FSx for OpenZFS マルチAZファイルシステム
resource "aws_fsx_openzfs_file_system" "multi_az" {
  >>>> Skip
  deployment_type     = "MULTI_AZ_1"  # マルチAZ配置
  # マルチAZ構成に必要な設定
  subnet_ids          = [aws_subnet.subnet_az1.id, aws_subnet.subnet_az2.id]
  preferred_subnet_id = aws_subnet.subnet_az1.id  # プライマリファイルサーバーの配置

  # エンドポイント設定
  endpoint_ip_address_range = "10.0.255.0/28"
  route_table_ids          = [aws_route_table.main.id]

  security_group_ids = [aws_security_group.fsx.id]
}

デプロイメントタイプの比較

デプロイメントタイプ	可用性	フェイルオーバー時間	推奨用途	相対コスト
Multi-AZ (HA)	最高	60秒以内	ミッションクリティカル	高
Single-AZ (HA)	高	60秒以内（AZ内）	低レイテンシ要求	中
Single-AZ (non-HA)	標準	約30分	開発・テスト環境	低