Amazon FSx for Windows File Server マルチAZ配置について

2025.08.15

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、AWS CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、FSx for Windows File Server ファイルシステムは、マルチ AZ 配置用に設定する必要がありますについて、リスクと対策を解説します。

ポリシーの説明

Amazon FSx for Windows File Server のファイルシステムがマルチAZ配置で構成されていない場合、可用性と耐障害性に関する重大なリスクが生じます。マルチAZ配置では、ファイルサーバーが2つのアベイラビリティーゾーンにまたがって冗長化され、ストレージのデータは同期的にレプリケートされます。これにより、アベイラビリティーゾーン障害時でもファイルシステムへのアクセスが継続され、ビジネスクリティカルなワークロードの運用をサポートします。

リスク

シングルAZ配置のFSx for Windows File Serverには以下のリスクがあります：

アベイラビリティーゾーン障害時の長時間停止: AWSの過去のインシデントでは、AZ障害により数時間のサービス停止が発生したケースがあります。シングルAZ構成では、約30分間の完全なサービス中断が発生し、Active Directory統合環境では認証エラーも併発します。
計画メンテナンス時のダウンタイム: Windowsパッチ適用やファイルサーバーソフトウェアの更新時に、15〜30分のサービス停止が必要です。マルチAZ構成では、スタンバイサーバーへの自動フェイルオーバーによりサービスを継続できます。
データ損失リスク: ハードウェア障害時に最大で最後のシャドウコピー以降のデータが失われる可能性があります。特に、高頻度でファイル更新が行われるワークロード（共有ドライブ、データベースファイル等）では影響が大きくなります。
SLA違反リスク: FSx for Windows File ServerのSLAは、マルチAZ構成で99.99%の可用性を保証していますが、シングルAZ構成では99.9%となります。この差は年間約8時間の停止時間の差となり、ビジネスクリティカルなワークロードでは許容できません。
コンプライアンス要件の不適合: 金融、医療、政府機関などの規制産業では、高可用性とデータ保護が必須要件となっており、シングルAZ構成では要件を満たせません

修復方法

コンソールでの修復手順

既存のシングルAZファイルシステムを直接マルチAZ構成に変換することはできないため、新規にマルチAZファイルシステムを作成し、データを移行する必要があります。

新規マルチAZファイルシステムの作成手順：

AWS管理コンソールにログインし、FSxサービスページにアクセス
「ファイルシステムの作成」をクリック
「Amazon FSx for Windows File Server」を選択
「標準作成」オプションで以下を設定：
- ファイルシステム名：わかりやすい名前を入力
- デプロイタイプ：「マルチAZ」を選択（これが最重要設定）
- ストレージタイプ：要件に応じてSSDまたはHDDを選択
- ストレージ容量：必要な容量を指定（SSD：最小32GB、HDD：最小2000GB）
ネットワーク設定：
- VPC：使用するVPCを選択
- サブネット：異なるアベイラビリティーゾーンの2つのサブネットを選択
- 優先サブネット：プライマリファイルサーバーを配置するサブネットを選択
- スタンバイサブネット：スタンバイファイルサーバー用のサブネットが自動設定されます
Windows認証：AWS Managed Microsoft ADまたは自己管理型ADを設定
「ファイルシステムの作成」をクリック

Terraformでの修復手順

FSx for Windows File ServerのマルチAZ配置を有効にするTerraformコードと、主要な修正ポイントを説明します。

# FSx for Windows File Server マルチAZ設定
resource "aws_fsx_windows_file_system" "multi_az_windows" {
  >>>> Skip
  # マルチAZ配置の有効化（重要）
  deployment_type     = "MULTI_AZ_1"

  # ネットワーク設定（2つのサブネットが必須）
  subnet_ids         = [
    aws_subnet.az1.id,  # 1つ目のAZのサブネット
    aws_subnet.az2.id   # 2つ目のAZのサブネット
  ]

  # 優先サブネットの指定
  preferred_subnet_id = aws_subnet.az1.id
}