089-AWS SAP AWS 「理論・実践・一問道場」CloudFormationのDeletionPolicy

type

status

date

slug

summary

理論

CloudFormationのDeletionPolicy属性とは

DeletionPolicyは端的に言ってしまえば、スタック削除時のリソースをどう取り扱うかの設定です。以下の３つが選択可能です。

Delete(デフォルト)

Retain

Snapshot

実践

CloudFormationのDeletionPolicyを後から更新する | DevelopersIO

実はCloudFormationの属性には単体での更新に対応していないものがあります。今回タイトルにしたDeletionPolicyもその一つで、これだけの更新といったことは出来ません。今回はタグを使用して可能な限り副作用を抑えてこれを更新する方法を紹介します。

https://dev.classmethod.jp/articles/cfn-deletaionpolicy-update/

一問道場

質問 #89

ある企業がAWS CloudFormationを使用してインフラストラクチャをデプロイしています。この企業は、プロダクション環境のCloudFormationスタックが削除された場合、Amazon RDSデータベースやAmazon EBSボリュームに保存されている重要なデータも削除される可能性を懸念しています。

企業はこのような誤ったデータ削除をどのように防ぐことができますか？

選択肢

A. CloudFormationテンプレートを変更して、RDSおよびEBSリソースにDeletionPolicy属性を追加する。

B. RDSおよびEBSリソースの削除を禁止するスタックポリシーを設定する。

C. IAMポリシーを変更して、「aws:cloudformation:stack-name」タグが付いたRDSおよびEBSリソースの削除を拒否する。

D. AWS Configルールを使用して、RDSおよびEBSリソースの削除を防ぐ。

解説

この問題では、CloudFormationスタックが削除される際に、重要なデータが保存されているRDSデータベースやEBSボリュームも一緒に削除されるのを防ぐ方法を問われています。解答の選択肢を以下のように解説します。

A. CloudFormationテンプレートを変更して、RDSおよびEBSリソースにDeletionPolicy属性を追加する。

正解です。この方法は、CloudFormationテンプレート内でDeletionPolicy属性を使用し、RDSやEBSリソースに対して「Retain」を指定することで実現できます。この設定により、スタックが削除されても対象のリソースは削除されず保持されます。

理由: DeletionPolicyはCloudFormationが提供する公式機能であり、スタックの操作においてリソースの削除を制御する最適な方法です。

B. RDSおよびEBSリソースの削除を禁止するスタックポリシーを設定する。

不正解です。スタックポリシーはスタック全体に対する操作を制御するものであり、特定のリソースに適用されるものではありません。RDSやEBSなどの個別リソースの削除防止には利用できません。

C. IAMポリシーを変更して、「aws:cloudformation:stack-name」タグが付いたRDSおよびEBSリソースの削除を拒否する。

不正解です。この方法は一見効果的に見えますが、IAMポリシーはユーザーやロールのアクセス制御を行うもので、CloudFormationのスタック削除プロセスに直接影響を与えるものではありません。また、タグを基にしたポリシーは管理の手間が増え、実用性が低い場合があります。

D. AWS Configルールを使用して、RDSおよびEBSリソースの削除を防ぐ。

不正解です。AWS Configはリソースの設定変更を監視するサービスであり、リソースの削除を直接防ぐ機能はありません。Configルールで削除を検知することは可能ですが、事前に削除を防ぐ仕組みにはなりません。

まとめ

最適な解決策: 選択肢 A の DeletionPolicy 属性を使用する方法です。これにより、重要なデータが誤って削除されるリスクを効率的かつ簡単に軽減できます。