要約

  • AWS Backup Vault Lock のコンプライアンスモードは猶予期間後のロック解除を厳しく制限する。一方、閉鎖したアカウントを90日以内に再開しなければ、ロックがあっても金庫の中身は削除される。
  • 製品の終了と記録の処分を一つの作業にまとめると、残すつもりの履歴まで失う。引き継ぎ先のアカウント、権限、資金、実際の復元結果が必要になる。

撤退の稟議に金庫は載っているか

事業終了の報告は簡潔なほど好まれる。サーバーを止めた。担当者を異動させた。不要なアカウントを閉じた。経費削減の数字もそろった。バックアップについては、以前「消せない設定にした」と聞いている。ならば、もう片付いたはずだ。

この最後の推測が危ない。AWS Backup の公式文書には、金庫を含むアカウントを閉鎖すると、バックアップを保持したまま90日間停止し、その間に再開しなければ中身を削除するとある。Vault Lock が設定されていても同じ扱いになる。

頑丈な金庫を買った会社が、その金庫の住所を廃止する。削除ボタンの権限表だけでは、この決定を追えない。

強い制約には買う理由がある

Vault Lock のガバナンスモードでは、適切な権限を持つ利用者が保護を変更できる。コンプライアンスモードでは猶予期間が終わると、復旧ポイントが残る金庫のロックを顧客、root、AWS も変更・削除できなくなる。

高い権限を持つ人の判断まで縛ることに価値がある。慌ただしい整理で履歴を消す操作にも、強い権限を得た攻撃者の破壊にも、もう一枚の壁を置ける。後任の担当者が簡単に例外を作れるなら、会社が買った制約は薄くなる。

ただし、その制約を運用するアカウントには存続の判断がある。商品が売れなくなっても、その販売履歴が役目を終えたとは限らない。保管期間を決める部署と、アカウントの廃止を承認する部署の間に、記録の引き継ぎが必要になる。

残っている間も、読むには手続きが要る

アカウント閉鎖の説明では、閉鎖は当該アカウントの顧客契約の終了通知に当たる。閉鎖後90日の期間に内容やサービスへアクセスするには、アカウントを再開する必要がある。永久閉鎖後は再開できず、アカウントIDも再利用できない。

保存状態と業務で使える状態が、この間に離れる。過去の取引を確かめたい担当者にとって、データが物理的に残っているだけでは仕事が進まない。まず、そのデータを抱えるアカウントを取り戻す仕事が発生する。

例えば、ある製品部門を閉じ、関係者を別の部門に移したとする。廃止作業の責任者は残った支出をなくせば評価される。後日、昔の契約を調べる人は、その会議に呼ばれていないかもしれない。これは意思決定の分担から生まれる摩擦だ。公開資料には個別企業のアカウント台帳や復元試験の結果がなく、実際の危険度を判定するにはその確認が要る。

再開できる人を残す

現在の再開手続きは、顧客自身が閉じ、閉鎖時点に未払い残高のなかったアカウントについて、セルフサービスを用意している。root でログインして90日以内に申請し、有効な支払い手段を持つことが必要だ。IAM ユーザーやロールによる代行はできない。

AWS によって閉じられたアカウントでは、閉鎖から30日以内の未払い残高の支払いと、サポートへの連絡が必要になる。90日という数字だけを手順書に残すと、この条件が抜け落ちる。

再開後もすべてが自動で動き出すわけではない。AWS は、停止した EC2 インスタンスの起動や、閉鎖時に作られたスナップショットからの RDS 復元などを挙げている。入口が開いた後にも復旧作業がある。

連絡先も点検対象だ。閉鎖する同じアカウントの Route 53 ドメインを root のメールに使っていると、ドメインの停止でメールが届かなくなる、と AWS は警告している。鍵を預けた受付を先に撤去するような設計である。終了作業の前に、この依存を解く必要がある。

引き継ぎには実物が要る

AWS Backup の別アカウントへのコピーでは、コピー元と先が同じ AWS Organizations 組織に属することなどが条件になる。対応するリソースとリージョン、アクセス方針、暗号鍵も確認が要る。コールド階層へのクロスアカウントコピーは対象外だ。

通常の流れは、先方の金庫へコピーし、そこで復元するというものだ。コピーは先方の金庫の鍵で再暗号化される。別のアカウントに元のデータを見る権限を与えただけでは、データの住所は移っていない。

受け取った側が復元し、必要な内容を使えることまで確認して、初めて引き継ぎの判断材料になる。同じ組織の二つのアカウントを一緒に廃止する方針なら、二つ目にも存続理由を与えなければならない。

記録を永久に持ち続ける必要はない。保管の終わりは、その記録が果たす仕事に合わせて決めればよい。製品を終える決裁書が、知らないうちに全記録の処分決裁を兼ねる組織は、立派な鍵を買っても足元が不安定なままだ。