バックアップとディザスタリカバリー戦略をどのように設計しますか？

Question

Accepted Answer

バックアップとディザスタリカバリー（DR）戦略は次の問いに答えます：データ全体またはリージョン全体を失った場合、**どの程度のデータ損失が許容でき、どのくらいの速度で復旧でき、実際に復元できるのか？** これは**3-2-1ルール**、明確な**RPO/RTO**目標、そして——極めて重要なことに——**定期的にテストされた復元**に基づいています。

## なぜ重要なのか

```text
3 copies of the data
2 different media / storage types
1 copy offsite (different region or provider)
→ no single failure (disk, host, datacenter, ransomware) destroys every copy
```

バックアップは**自動化**（人間が実行を忘れない）され、**オフサイト**であるべきなので、リージョンの災害がプライマリとバックアップを同時に奪いません。

## RPOとRTO

これら2つの目標は、すべての設計選択を駆動します：

- **RPO（Recovery Point Objective）** ——許容可能なデータ損失量。時間で測定されます。RPO 1時間は、最後の1時間の書き込みを失うことを意味し、バックアップ/レプリケーションの頻度を決定します。
- **RTO（Recovery Time Objective）** ——復旧に要する時間。RTO 30分は、システムが30分以内に復元され、サービスを提供している必要があることを意味し、DR アーキテクチャを決定します。

```text
frequent backups / replication → smaller RPO (less data lost)
hotter standby infrastructure  → smaller RTO (faster recovery)
both cost money → pick targets per business criticality
```

## DRティア（コスト対RTO）

```text
Backup & restore  → cheapest; restore from backups on demand   (RTO: hours)
Pilot light       → minimal core running, scale up on disaster  (RTO: tens of min)
Warm standby      → scaled-down live copy, scale up to take over (RTO: minutes)
Multi-site active → full live copies serving traffic            (RTO: ~seconds)
```

## 復元をテストする

**決して復元したことのないバックアップはバックアップではありません——それは希望です。** 定期的な復元ドリルをスケジュールします：クリーンな環境からバックアップから実際に再構築し、整合性を検証します。これにより、破損したバックアップ、欠落した部分、壊れたrunbook を実際の災害の*前に*発見できます。

## なぜ重要なのか

データ損失とリージョンの障害は、企業の生存が試される時です。3-2-1は単一の障害に対する1つのコピーの生存を保証します；RPO/RTO は漠然とした「バックアップがある」を測定可能なコミットメントに変えます；DRティアは、コストを重大度に対応させることができます；そしてテストされた復元は、全体が実際に機能することの唯一の証拠です。テストをスキップすることは、停止中に、チームがバックアップが役に立たなかったことを発見する方法です。