Amazon RDS for SQL Server：TDE有効なDBのMulti-AZへの直接リストアをサポート

Amazon RDS for SQL Serverにおいて、ネイティブバックアップおよびリストア機能を使用する場合、透過的データ暗号化（TDE）が有効なSQL Serverデータベースを、Multi-AZインスタンスおよび同一リージョン内のリードレプリカ構成のインスタンスへ直接リストアすることが可能になりました。従来は、TDE有効なデータベースのリストア先としてSingle-AZインスタンスのみがサポートされており、暗号化されたデータベースをリストアする際には、一度TDEを無効化するか、Single-AZ構成へ移行する手間が必要でした。

💡 技術的な課題の解決

これまで、RDS for SQL ServerでTDE（透過的データ暗号化）を利用している場合、高可用性を確保するためにMulti-AZ構成を採用したいと考えても、リストアのプロセスが非常に面倒でした。一度Single-AZに落としてからリストアし、その後にMulti-AZへ昇格させるという、運用上の「二度手間」が発生していたためです。

今回のアップデートにより、TDEを有効にしたままMulti-AZインスタンスへ直接リストアできるようになったことは、セキュリティ要件と高可用性を同時に満たしたいエンタープライズ環境において、非常に大きな改善といえます。

🇯🇵 日本国内リージョンの状況

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で、Amazon RDS for SQL Server の利用および本機能の利用が可能であることが確認されています。

🛠️ 運用上のアドバイスと次のステップ

1. リストア手順のポイント

リストアを成功させるためには、以下のフローを確実に踏む必要があります。

• TDE証明書の管理: 既存のTDE証明書をバックアップし、Amazon S3に保存しておくこと。
• RDSオプショングループの設定: オプショングループでTDEオプションを有効にし、RDSインスタンスに証明書をリストアすること。
• ネイティブリストア: その後、Amazon S3からのネイティブバックアップ/リストア機能を使用してリストアを実行する。

2. 移行・リカバリ計画の検証

本機能のサポート範囲は、暗号化されたバックアップを直接Multi-AZへリストアすることです。本番環境への適用前に、検証環境でのテストを推奨します。

参照資料: Amazon RDS for SQL Server User Guide (TDEオプションに関するセクション) https://docs.aws.amazon.com/rds/latest/UserGuide/Appendix.SQLServer.Options.TDE.html