SnapLock ComplianceClock機能を使用すると、指定した期間Snapshotコピーをロックして、期限に達するまではSnapshotコピーを削除できないようにすることができます。Snapshotコピーをロックすると、改ざんを防止し、ランサムウェアの脅威から保護することができます。ボリュームがランサムウェア攻撃を受けた場合、ロックされたSnapshotコピーを使用してデータをリカバリーできます。

Snapshotコピーの改ざん防止の要件と考慮事項

ONTAP CLIを使用する場合は、クラスタ内のすべてのノードでONTAP 9.12.1以降が実行されている必要があります。ONTAP System Managerを使用する場合は、すべてのノードでONTAP 9.13.1以降が実行されている必要があります。
クラスタにSnapLockライセンスがインストールされている必要があります。
クラスタのComplianceClockを初期化しておく必要があります。
ボリュームでSnapshotロックが有効になっている場合は、クラスタをONTAP 9.12.1以降のバージョンにアップグレードできます。ただし、ロックされたすべてのSnapshotコピーが有効期限に達して削除され、Snapshotコピーロックが無効になるまで、以前のバージョンのONTAPにリバートすることはできません。
Snapshotがロックされている場合、ボリュームの有効期限はSnapshotコピーの有効期限に設定されます。複数のSnapshotコピーがロックされている場合、ボリュームの有効期限はすべてのSnapshotコピーの中で最も遅い有効期限に設定されます。
ロックされたSnapshotコピーの保持期間はSnapshotコピーの保持数よりも優先されます。つまり、ロックされたSnapshotコピーの保持期間が終了しない間は、保持数の制限は適用されません。
SnapMirror関係では、mirror-vaultポリシールールに保持期間を設定できます。デスティネーションボリュームでSnapshotコピーロックが有効になっている場合、デスティネーションにレプリケートされたSnapshotコピーに対してその保持期間が適用されます。保持期間は保持数よりも優先されます。たとえば、保持数を超えても保持期限を過ぎていないSnapshotコピーは保持されます。
非SnapLockボリューム上のSnapshotコピーは名前を変更できます。SnapMirror関係のプライマリーボリュームでSnapshotの名前を変更すると、ポリシーがMirrorAllSnapshotsの場合にのみセカンダリーボリュームにも変更内容が反映されます。他のタイプのポリシーの場合、名前を変更したSnapshotコピーは更新時に反映されません。
ONTAP CLIを使用する場合、ロックされたSnapshotコピーをvolume snapshot restoreコマンドでリストアできるのは、ロックされたSnapshotコピーが最新のコピーの場合のみです。リストアしようとするSnapshotコピーよりも新しい、期限が切れていないSnapshotコピーがあると、リストア処理は失敗します。

Snapshotコピーの改ざん防止でサポートされる機能

FlexGroupボリューム

FlexGroupボリュームでは、Snapshotコピーロックがサポートされます。Snapshotのロックは、ルート構成のSnapshotコピーでのみ発生します。FlexGroupボリュームを削除できるのは、ルート構成の有効期限が過ぎた場合のみです。
FlexVolからFlexGroupへの変換

ロックされたSnapshotコピーがあるFlexVolをFlexGroupボリュームに変換できます。変換後もSnapshotコピーはロックされたままです。
ボリュームクローンとファイルクローン

ロックされたSnapshotコピーからボリュームクローンとファイルクローンを作成できます。

サポートされない機能

現在、Snapshotコピーの改ざん防止では、次の機能はサポートされません。

Cloud Volumes ONTAP
整合性グループ
FabricPool
FlexCacheボリューム
SMTape
SnapCenter
SnapMirror Business Continuity（SM-BC）
-schedule パラメーターを使用したSnapMirrorポリシールール
SnapMirror Synchronous
SVMのデータ移動

ボリューム作成時のSnapshotコピーロックの有効化

ONTAP 9.12.1以降では、CLIのvolume createコマンドおよびvolume modifyコマンドで-snapshot-locking-enabledオプションを使用して、新しいボリュームの作成時または既存のボリュームの変更時にSnapshotコピーロックを有効にすることができます。ONTAP 9.13.1以降では、ONTAP System Managerを使用してSnapshotコピーロックを有効にすることができます。

ONTAP System Manager

[ストレージ] > [ボリューム]に移動して、[追加]を選択します。
[ボリュームの追加]ウィンドウで、[その他のオプション]を選択します。
ボリュームの名前、サイズ、エクスポートポリシー、および共有名を入力します。
[Snapshotロックを有効にする]を選択します。SnapLockライセンスがインストールされていない場合、このオプションは表示されません。
[Initialize SnapLock Compliance Clock]を選択します（まだ有効になっていない場合）。
変更を保存します。
[ボリューム]ウィンドウで、更新したボリュームを選択し、[概要]を選択します。
[SnapLockスナップショットロック]に「有効」と表示されていることを確認します。

CLI

新しいボリュームを作成してSnapshotコピーロックを有効にするには、次のコマンドを入力します。

volume create -vserver vserver_name -volume volume_name -snapshot-locking-enabled true

次のコマンドは、vol1という名前の新しいボリュームでSnapshotコピーロックを有効にします。

> volume create -volume vol1 -aggregate aggr1 -size 100m -snapshot-locking-enabled true
Warning: Snapshot copy locking is being enabled on volume “vol1” in Vserver “vs1”. It cannot be disabled until all locked Snapshot copies are past their expiry time. A volume with unexpired locked Snapshot copies cannot be deleted.
Do you want to continue: {yes|no}: y
[Job 32] Job succeeded: Successful

既存のボリュームでのSnapshotコピーロックの有効化

ONTAP 9.12.1以降では、ONTAP CLIを使用して、既存のボリュームでSnapshotコピーロックを有効にすることができます。ONTAP 9.13.1以降では、ONTAP System Managerを使用して、既存のボリュームでSnapshotコピーロックを有効にすることができます。

ONTAP System Manager

[ストレージ] > [ボリューム]に移動します。
を選択し、[編集] > [ボリューム]を選択します。
[ボリュームの編集]ウィンドウで、[Snapshotコピー(ローカル)設定]セクションを探して[Snapshotロックを有効にする]を選択します。

SnapLockライセンスがインストールされていない場合、このオプションは表示されません。
[Initialize SnapLock Compliance Clock]を選択します（まだ有効になっていない場合）。
変更を保存します。
[ボリューム]ウィンドウで、更新したボリュームを選択し、[概要]を選択します。
[SnapLockスナップショットロック]に「有効」と表示されていることを確認します。

CLI

既存のボリュームを変更してSnapshotコピーロックを有効にするには、次のコマンドを入力します。

volume modify -vserver vserver_name -volume volume_name -snapshot-locking-enabled true

ロックされたSnapshotコピーポリシーの作成と保持の適用

ONTAP 9.12.1以降では、Snapshotコピーポリシーを作成してSnapshotコピーの保持期間を設定し、そのポリシーをボリュームに適用して、指定した期間Snapshotコピーをロックできます。保持期間を手動で設定して、Snapshotコピーをロックすることもできます。ONTAP 9.13.1以降では、ONTAP System Managerを使用してSnapshotコピーロックポリシーを作成し、ボリュームに適用できます。

Snapshotコピーロックポリシーの作成

ONTAP System Manager

[ストレージ] > [storage VM]に移動して、Storage VMを選択します。
[設定]を選択します。
[Snapshotポリシー]を探してを選択します。
[Snapshotポリシーの追加]ウィンドウで、ポリシー名を入力します。
を選択します。
Snapshotコピースケジュールの詳細（スケジュール名、保持するSnapshotコピーの最大数、SnapLockの保持期間など）を指定します。
[SnapLock の保持期間]列に、SnapLock、Snapshotコピーを保持する時間数、日数、月数、または年数を入力します。たとえば、保持期間が5日のSnapshotコピーポリシーでは、作成後5日間Snapshotコピーがロックされ、その間はSnapshotコピーを削除できません。サポートされる保持期間は次のとおりです。
- 年： 0 - 100
- 月：0 - 1200
- 日： 0 - 36500
- 時間： 0 - 24
変更を保存します。

CLI

Snapshotコピーポリシーを作成するには、次のコマンドを入力します。

volume snapshot policy create -policy policy_name -enabled true -schedule1 schedule1_name -count1 maximum_Snapshot_copies -retention-period1 _retention_period

次のコマンドは、Snapshotコピーロックポリシーを作成します。
```
cluster1> volume snapshot policy create -policy policy_name -enabled true -schedule1 5min -count1 5 -retention-period1 "1 months"
```

ボリュームへのロックポリシーの適用

ONTAP System Manager

[ストレージ] > [ボリューム]に移動します。
を選択し、[編集] > [ボリューム]を選択します。
[ボリュームの編集]ウィンドウで、[Snapshot コピーのスケジュールを設定する]を選択します。
リストからSnapshotコピーロックポリシーを選択します。
Snapshotコピーロックがまだ有効になっていない場合は、[Snapshot ロックを有効にする]を選択します。
変更を保存します。

CLI

既存のボリュームにSnapshotコピーロックポリシーを適用するには、次のコマンドを入力します。

volume modify -volume volume_name -vserver vserver_name -snapshot-policy policy_name

Snapshotコピーの手動作成時における保持期間の適用

Snapshotコピーの保持期間は、Snapshotコピーを手動で作成するときに適用できます。ボリュームでSnapshotコピーロックが有効になっている必要があります。有効になっていない場合、保持期間の設定は無視されます。

ONTAP System Manager

[ストレージ] > [ボリューム]に移動して、ボリュームを選択します。
ボリュームの詳細ページで、[Snapshotコピー]タブを選択します。
を選択します。
Snapshotコピー名とSnapLockの有効期限を入力します。カレンダーから日付と時刻を選択できます。
変更を保存します。
[ボリューム] > [Snapshotコピー]ページで、[表示/非表示]を選択し、[SnapLock の有効期限]を選択して[SnapLock の有効期限]列を表示し、保持期限が設定されたことを確認します。

CLI

Snapshotコピーを手動で作成してロックの保持期間を適用するには、次のコマンドを入力します。

volume snapshot create -volume volume_name -snapshot snapshot_copy_name -snaplock-expiry-time expiration_date_time

次のコマンドは、新しいSnapshotコピーを作成して保持期間を設定します。
```
cluster1> volume snapshot create -vserver vs1 -volume vol1 -snapshot snap1 -snaplock-expiry-time "11/10/2022 09:00:00"
```

既存Snapshotコピーへの保持期間の適用

ONTAP System Manager

[ストレージ] > [ボリューム]に移動して、ボリュームを選択します。
ボリュームの詳細ページで、[Snapshot コピー]タブを選択します。
Snapshotコピーを選択し、を選択して、[SnapLock有効期限の変更]を選択します。カレンダーから日付と時刻を選択できます。
変更を保存します。
[ボリューム] > [Snapshot コピー]ページで、[表示/非表示]を選択し、[SnapLock有効期限]を選択して[SnapLock有効期限]列を表示し、保持期限が設定されたことを確認します。

CLI

既存のSnapshotコピーに保持期間を手動で適用するには、次のコマンドを入力します。

volume snapshot modify-snaplock-expiry-time -volume volume_name -snapshot snapshot_copy_name -expiry-time expiration_date_time

次の例は、既存のSnapshotコピーに保持期間を適用します。
```
cluster1> volume snapshot modify-snaplock-expiry-time -volume vol1 -snapshot snap2 -expiry-time "11/10/2022 09:00:00"
```

ONTAP 9.13

ランサムウェア攻撃から保護するためのSnapshotコピーのロック

ボリューム作成時のSnapshotコピー ロックの有効化

既存のボリュームでのSnapshotコピー ロックの有効化

ロックされたSnapshotコピー ポリシーの作成と保持の適用

Snapshotコピー ロック ポリシーの作成

ボリュームへのロック ポリシーの適用

Snapshotコピーの手動作成時における保持期間の適用

既存Snapshotコピーへの保持期間の適用

ボリューム作成時のSnapshotコピーロックの有効化

既存のボリュームでのSnapshotコピーロックの有効化

ロックされたSnapshotコピーポリシーの作成と保持の適用

Snapshotコピーロックポリシーの作成

ボリュームへのロックポリシーの適用