MicrosoftはすべてのAzure SQL Databaseを自動的にバックアップしますが、自動であるからといって万全とは限りません。MicrosoftのAzureドキュメントによると、組み込みのバックアップは、最大35日間の構成可能な期間内でのポイントインタイム復元に対応しています。ただし、物理的に隔離された独立したコピーや、保持期間内のデータを破損させるランサムウェアからの保護は提供しません。コンプライアンス要件への対応が求められる組織や、高度なサイバー脅威に直面している組織にとって、こうした保護の欠如は重要な意味を持ちます。
Azure SQLは、Azure SQL Database（PaaS）、Azure SQL Managed Instance、SQL Server on Azure VMという3つの異なるデプロイモデルで動作しており、モデルごとにネイティブのバックアップ機能やデータ損失リスクの度合いが異なります。本ガイドでは、各モデルをネイティブにバックアップする方法、ポイントインタイム復元（PITR）と長期保持（LTR）を構成して使用する方法、手動バックアップを実行する方法、Azureの組み込みシステムの実際の制約、書き換え不可かつ脅威スキャン済みのサイバーレジリエントなバックアップを使用してRubrikがAzureデータの保護を拡張する方法を解説します。
Azure SQL Databaseは自動的にバックアップされますか？
はい、Azure SQL DatabaseおよびAzure SQL Managed Instanceは、デフォルトで自動バックアップを実行します。構成は必要ありません。Azureは、フルバックアップを毎週、差分バックアップを12～24時間ごと、トランザクションログバックアップを5～10分ごとに取得します。これらのバックアップはデフォルトでGeo冗長ストレージに保存されるため、地域的な障害に対する組み込みの冗長性が確保されます。
ただし、組み込みの自動バックアップは、誤削除、破損、短期的なデータ損失などからの運用上の復旧を目的として設計されています。保持期間内に活動するランサムウェアや内部脅威に対して独立した保護を提供するようには設計されていません。ランサムウェアが初日にAzure SQLデータベースを暗号化し、それを40日目まで検知できなかった場合、35日間の保持期間ではクリーンな復元ポイントは存在しません。
Rubrikのようなサードパーティ製ツールは、Azure SQL向けに特化したバックアップおよびサイバー復旧プラットフォームを提供します。これにより、Azureのネイティブバックアップシステムから独立して機能する、書き換え不可のバックアップ、機密データの可視化、脅威検知、オーケストレーションされた復旧を実現します。Rubrikを使用したAzureのローカルバックアップの詳細をご覧ください。
Azure SQLバックアップデプロイモデル - Rubrikによる各モデルの保護方法
適切なバックアップ戦略は、使用しているAzure SQLデプロイモデルごとに異なります。
Azure SQL Database（PaaS）は、STRおよびLTRを構成できる完全自動バックアップを提供しますが、基盤となる.bakファイルにユーザーがアクセスすることはできません。Rubrikは、独立したバックアップコピー、Azureのデフォルト設定を超える長期保持、ランサムウェアの兆候を検知するための脅威スキャン、バックアップ内の機密データの分類を追加機能として提供します。
Azure SQL Managed Instanceは、自動バックアップとネイティブなSQL復元操作をサポートしています。Rubrikは、SLAベースの一元的なバックアップポリシー、クロスリージョン保護、別のサーバーまたはリージョンへの迅速な復元、およびコンプライアンス対応のための書き換え不可の保持を追加機能として提供します。
SQL Server on Azure VMでは、最も高度な制御が可能であり、Recovery Services Vault経由のAzure VMバックアップ、SSMSを使用した手動バックアップ、フル／差分／ログバックアップのスケジュールを利用できます。Rubrikは、アプリケーション整合性のあるSQL Serverバックアップ、データベースレベルおよびファイルレベルでのきめ細かい復元、ほぼ瞬時の復旧を可能にするライブマウント、そしてハイブリッドワークロード全体にわたる保護を提供します。Rubrikが大規模環境でAzure SQLデータベースのバックアップをどのように処理するかをご覧ください。
機能 | Azure SQL Database | Managed Instance | SQL Server on Azure VM |
自動バックアップ | あり | あり | 任意 |
ネイティブ.bakエクスポート | なし | あり | あり |
Recovery Services Vault | なし | 任意 | あり |
SSMSを使用した手動バックアップ | なし | あり | あり |
ポイントインタイム復元（PITR）の実行方法
ポイントインタイム復元では、自動化されたフルバックアップ、差分バックアップ、およびトランザクションログバックアップが連携して機能することにより、保持期間内の任意の時点（秒単位）にデータベースを復旧できます。
短期保持のデフォルト設定は7日間ですが、最大35日間まで構成可能です。Azure PortalでPITRを実行するには、まずSQLデータベースに移動して［Restore（復元）］をクリックし、復元する時点を選択します。次に、ターゲットサーバーを選択して、確認します。復元では、元のデータベースを上書きするのではなく、新しいデータベースが作成されます。これにより、切り替えの準備ができるまで既存のデータベースが保持されます。
PITRは、別のサーバーや別のリージョンへの復元をサポートしているため、復旧と環境の複製の両方に役立ちます。PITRは、構成されたSTR期間のみが対象であることに注意してください。より長い保持期間を求める規制要件がある場合は、長期保持（LTR）を別途構成する必要があります。
手動バックアップ方法：ポータル、SSMS、BACPACエクスポート
Azure SQL Database（PaaS）では、従来のBACKUP DATABASEコマンドを実行してローカルディスクにバックアップを保存できません。.bakファイルに直接アクセスできないためです。サポートされている手動のオプションはBACPACエクスポートです。これは、移行やアーカイブに適したポータブル形式でスキーマとデータを取得するものであり、運用上の復旧を目的としたものではありません。
Azure Portalからエクスポートする場合：データベースを選択して［Export（エクスポート）］をクリックします。次に、宛先のストレージアカウントを構成して、BACPACをダウンロードします。SSMSを使用してエクスポートする場合：Azure SQLインスタンスに接続して、データベースを右クリックします。次に、［Tasks（タスク）］→［Export Data-tier Application（データ層アプリケーションのエクスポート）］を選択して、BACPACファイルを保存します。BACPACエクスポートは、SQL Serverバックアップと同等ではないことに注意してください。トランザクションログはキャプチャされず、ポイントインタイム復旧も有効になりません。
SQL Server on Azure VMでは、SSMSを使用したBACKUP DATABASEや、Recovery Services Vaultを介したAzure Backupをフル活用できます。このため、本格的なフル／差分／ログバックアップ機能を利用できます。
短期バックアップ保持と長期バックアップ保持（LTR）の比較
短期保持（STR）は、ポイントインタイム復元を可能にし、運用上の復旧期間を対象とします。デフォルト設定は7日間で、最大35日間まで構成可能です。長期保持（LTR）は、AzureのSTRの35日間という上限を超えるコンプライアンスおよび監査要件を満たすことを目的として、週単位のフルバックアップを数週間、数か月、または数年にわたって保存します。MicrosoftのLTRドキュメントによると、LTRバックアップは最大10年間保持できます。
保持タイプ | ユースケース | 期間 |
STR | 運用上の復旧、PITR | 最大35日間 |
LTR | 規制コンプライアンス、監査 | 最大10年 |
Azure SQLバックアップの制限事項とは？
Azure SQLの組み込みバックアップシステムは、運用上の復旧には十分な機能を備えていますが、エンタープライズセキュリティとコンプライアンスの面では重要な制限があります。
Azure SQL Database（PaaS）では.bakファイルに直接アクセスできません
STRは35日間に制限されています。それ以降は、LTRを構成しない限りPITRを利用できません
Azure Backup for SQL on Azure VMでは、サブスクリプションあたりの保護されたインスタンス数と復元操作数が制限されています（現在の制限については、Azureサブスクリプション制限のドキュメントをご覧ください）
物理的に隔離された独立したコピーがありません。ランサムウェア攻撃が検出されずに保持期間を超えて継続した場合、ネイティブシステム内にクリーンな復元ポイントが存在しません
バックアップデータに対する脅威スキャンやクリーンな復元ポイントの検証機能はありません
Rubrikは、独立したバックアップコピー、物理的に隔離された書き換え不可のストレージ、きめ細かな復元、クロスリージョン復旧、およびランサムウェアの脅威スキャンを提供することで、これらの課題を解決します。これにより、復元前にどのバックアップがクリーンであるかを常に把握できます。
自動バックアップシステム：Azure組み込みとRubrikの比較
機能 | Azure組み込み | Rubrik |
自動バックアップ | あり | あり |
物理的に隔離されたバックアップ | なし | あり |
書き換え不可の保持ロック | 制限あり | あり |
脅威スキャン | なし | あり |
クリーンポイント復旧 | なし | あり |
クロスクラウドの可視性 | なし | あり |
従来の障害復旧は、ハードウェア障害や誤削除からの保護を目的としています。サイバー復旧には、より高い水準が求められます。具体的には、攻撃者による暗号化や削除ができない書き換え不可のストレージ、復元前にどのバックアップがクリーンかを特定する脅威スキャン、分離されたAzure環境への復旧をオーケストレーションして再感染を防ぐ機能が必要です。Rubrikは、今日のエンタープライズ組織が直面する脅威環境に合わせて専用設計された、これらの3つをすべて提供します。
Azure SQLバックアップは、多層的なアプローチを要する分野です。使用しているデプロイモデルの把握、適切な保持設定の構成、そしてAzureのネイティブ機能がどこまで対応でき、どこからエンタープライズ向けのサイバー復旧が必要になるかの理解が必要です。
Azureのネイティブバックアップシステムから独立して機能する、書き換え不可の保護、ランサムウェア脅威スキャン、オーケストレーションされた復旧を必要とする組織向けに、Rubrikは3つすべてのAzure SQLデプロイモデルに対応する専用設計されたソリューションを提供します。このソリューションがご使用の環境でどのように機能するかについては、Rubrikにお問い合わせください。