SnapLock ComplianceClock機能を使用すると、指定した期間Snapshotコピーをロックして、期限に達するまではSnapshotコピーを削除できないようにすることができます。Snapshotコピーをロックすると、改ざんを防止し、ランサムウェアの脅威から保護することができます。ボリュームがランサムウェア攻撃を受けた場合、ロックされたSnapshotコピーを使用してデータをリカバリーできます。

ONTAP 9.14.1以降のSnapshotコピーロックでは、SnapLockバックアップデスティネーションや非SnapLockのSnapMirrorデスティネーションボリュームでのSnapshotコピーの長期保持がサポートされています。Snapshotコピーロックを有効にするには、既存のポリシーラベルに関連付けられたSnapMirrorポリシールールを使用して保持期間を設定します。このルールにより、ボリュームに設定されているデフォルトの保持期間が上書きされます。SnapMirrorラベルに保持期間が関連付けられていない場合は、ボリュームのデフォルトの保持期間が使用されます。

Snapshotコピーの改ざん防止の要件と考慮事項

ONTAP CLIを使用する場合は、クラスタ内のすべてのノードでONTAP 9.12.1以降が実行されている必要があります。ONTAP System Managerを使用する場合は、すべてのノードでONTAP 9.13.1以降が実行されている必要があります。
クラスタにSnapLockライセンスがインストールされている必要があります。このライセンスはONTAP Oneに含まれています。
クラスタのコンプライアンスクロックを初期化しておく必要があります。
ボリュームでSnapshotロックが有効になっている場合は、クラスタをONTAP 9.12.1以降のバージョンにアップグレードできます。ただし、ロックされたすべてのSnapshotコピーが有効期限に達して削除され、Snapshotコピーロックが無効になるまで、以前のバージョンのONTAPにリバートすることはできません。
Snapshotがロックされている場合、ボリュームの有効期限はSnapshotコピーの有効期限に設定されます。複数のSnapshotコピーがロックされている場合、ボリュームの有効期限はすべてのSnapshotコピーの中で最も遅い有効期限に設定されます。
ロックされたSnapshotコピーの保持期間はSnapshotコピーの保持数よりも優先されます。つまり、ロックされたSnapshotコピーの保持期間が終了しない間は、保持数の制限は適用されません。
SnapMirror関係では、mirror-vaultポリシールールに保持期間を設定できます。デスティネーションボリュームでSnapshotコピーロックが有効になっている場合、デスティネーションにレプリケートされたSnapshotコピーに対してその保持期間が適用されます。保持期間は保持数よりも優先されます。たとえば、保持数を超えても保持期限を過ぎていないSnapshotコピーは保持されます。
非SnapLockボリューム上のSnapshotコピーは名前を変更できます。SnapMirror関係のプライマリーボリュームでSnapshotの名前を変更すると、ポリシーがMirrorAllSnapshotsの場合にのみセカンダリーボリュームにも変更内容が反映されます。他のタイプのポリシーの場合、名前を変更したSnapshotコピーは更新時に反映されません。
ONTAP CLIを使用する場合、ロックされたSnapshotコピーをvolume snapshot restoreコマンドでリストアできるのは、ロックされたSnapshotコピーが最新のコピーの場合のみです。リストアしようとするSnapshotコピーよりも新しい、期限が切れていないSnapshotコピーがあると、リストア処理は失敗します。

Snapshotコピーの改ざん防止でサポートされる機能

FlexGroupボリューム

FlexGroupボリュームでは、Snapshotコピーロックがサポートされます。Snapshotのロックは、ルート構成のSnapshotコピーでのみ発生します。FlexGroupボリュームを削除できるのは、ルート構成の有効期限が過ぎた場合のみです。
FlexVolからFlexGroupへの変換

ロックされたSnapshotコピーがあるFlexVolをFlexGroupボリュームに変換できます。変換後もSnapshotコピーはロックされたままです。
ボリュームクローンとファイルクローン

ロックされたSnapshotコピーからボリュームクローンとファイルクローンを作成できます。

サポートされない機能

現在、Snapshotコピーの改ざん防止では、次の機能はサポートされません。

Cloud Volumes ONTAP
整合性グループ
FabricPool
FlexCacheボリューム
SMTape
SnapCenter
SnapMirror Active Sync
-scheduleパラメーターを使用したSnapMirrorポリシールール
SnapMirror Synchronous
SVMのデータ移動（ソースクラスタからデスティネーションクラスタにSVMを移行または再配置する場合に使用）

ボリューム作成時のSnapshotコピーロックの有効化

ONTAP 9.12.1以降では、CLIのvolume createコマンドおよびvolume modifyコマンドで-snapshot-locking-enabledオプションを使用して、新しいボリュームの作成時または既存のボリュームの変更時にSnapshotコピーロックを有効にすることができます。ONTAP 9.13.1以降では、ONTAP System Managerを使用してSnapshotコピーロックを有効にすることができます。

ONTAP System Manager

[ストレージ] > [ボリューム]に移動して、[追加]を選択します。
[ボリュームの追加]ウィンドウで、[その他のオプション]を選択します。
ボリュームの名前、サイズ、エクスポートポリシー、および共有名を入力します。
[Snapshotロックを有効にする]を選択します。SnapLockライセンスがインストールされていない場合、このオプションは表示されません。
[Initialize SnapLock Compliance Clock]を選択します（まだ有効になっていない場合）。
変更を保存します。
[ボリューム]ウィンドウで、更新したボリュームを選択し、[概要]を選択します。
[SnapLockスナップショットロック]に「有効」と表示されていることを確認します。

CLI

新しいボリュームを作成してSnapshotコピーロックを有効にするには、次のコマンドを入力します。

volume create -vserver vserver_name -volume volume_name -snapshot-locking-enabled true

次のコマンドは、vol1という名前の新しいボリュームでSnapshotコピーロックを有効にします。

> volume create -volume vol1 -aggregate aggr1 -size 100m -snapshot-locking-enabled true
Warning: Snapshot copy locking is being enabled on volume “vol1” in Vserver “vs1”. It cannot be disabled until all locked Snapshot copies are past their expiry time. A volume with unexpired locked Snapshot copies cannot be deleted.
Do you want to continue: {yes|no}: y
[Job 32] Job succeeded: Successful

既存のボリュームでのSnapshotコピーロックの有効化

ONTAP 9.12.1以降では、ONTAP CLIを使用して、既存のボリュームでSnapshotコピーロックを有効にすることができます。ONTAP 9.13.1以降では、ONTAP System Managerを使用して、既存のボリュームでSnapshotコピーロックを有効にすることができます。

ONTAP System Manager

[ストレージ] > [ボリューム]に移動します。
を選択し、[編集] > [ボリューム]を選択します。
[ボリュームの編集]ウィンドウで、[Snapshotコピー(ローカル)設定]セクションを探して[Snapshotロックを有効にする]を選択します。

SnapLockライセンスがインストールされていない場合、このオプションは表示されません。
[Initialize SnapLock Compliance Clock]を選択します（まだ有効になっていない場合）。
変更を保存します。
[ボリューム]ウィンドウで、更新したボリュームを選択し、[概要]を選択します。
[SnapLockスナップショットロック]に「有効」と表示されていることを確認します。

CLI

既存のボリュームを変更してSnapshotコピーロックを有効にするには、次のコマンドを入力します。

volume modify -vserver vserver_name -volume volume_name -snapshot-locking-enabled true

ロックされたSnapshotコピーポリシーの作成と保持の適用

ONTAP 9.12.1以降では、Snapshotコピーポリシーを作成してSnapshotコピーの保持期間を設定し、そのポリシーをボリュームに適用して、指定した期間Snapshotコピーをロックできます。保持期間を手動で設定して、Snapshotコピーをロックすることもできます。ONTAP 9.13.1以降では、ONTAP System Managerを使用してSnapshotコピーロックポリシーを作成し、ボリュームに適用できます。

Snapshotコピーロックポリシーの作成

ONTAP System Manager

[ストレージ] > [storage VM]に移動して、Storage VMを選択します。
[設定]を選択します。
[Snapshotポリシー]を探してを選択します。
[Snapshotポリシーの追加]ウィンドウで、ポリシー名を入力します。
を選択します。
Snapshotコピースケジュールの詳細（スケジュール名、保持するSnapshotコピーの最大数、SnapLockの保持期間など）を指定します。
[SnapLock の保持期間]列に、SnapLock、Snapshotコピーを保持する時間数、日数、月数、または年数を入力します。たとえば、保持期間が5日のSnapshotコピーポリシーでは、作成後5日間Snapshotコピーがロックされ、その間はSnapshotコピーを削除できません。サポートされる保持期間は次のとおりです。
- 年：0 - 100
- 月：0 - 1200
- 日：0 - 36500
- 時間：0 - 24
変更を保存します。

CLI

Snapshotコピーポリシーを作成するには、次のコマンドを入力します。

volume snapshot policy create -policy policy_name -enabled true -schedule1 schedule1_name -count1 maximum_Snapshot_copies -retention-period1 _retention_period

次のコマンドは、Snapshotコピーロックポリシーを作成します。
```
cluster1> volume snapshot policy create -policy policy_name -enabled true -schedule1 hourly -count1 24 -retention-period1 "1 days"
```
アクティブな保持期間中のSnapshotコピーが置き換えられることはありません。つまり、期限切れになっていないロックされたSnapshotコピーがある場合、保持数は無視されます。

ボリュームへのロックポリシーの適用

ONTAP System Manager

[ストレージ] > [ボリューム]に移動します。
を選択し、[編集] > [ボリューム]を選択します。
[ボリュームの編集]ウィンドウで、[Snapshot コピーのスケジュールを設定する]を選択します。
リストからSnapshotコピーロックポリシーを選択します。
Snapshotコピーロックがまだ有効になっていない場合は、[Snapshot ロックを有効にする]を選択します。
変更を保存します。

CLI

既存のボリュームにSnapshotコピーロックポリシーを適用するには、次のコマンドを入力します。

volume modify -volume volume_name -vserver vserver_name -snapshot-policy policy_name

Snapshotコピーの手動作成時における保持期間の適用

Snapshotコピーの保持期間は、Snapshotコピーを手動で作成するときに適用できます。ボリュームでSnapshotコピーロックが有効になっている必要があります。有効になっていない場合、保持期間の設定は無視されます。

ONTAP System Manager

[ストレージ] > [ボリューム]に移動して、ボリュームを選択します。
ボリュームの詳細ページで、[Snapshotコピー]タブを選択します。
を選択します。
Snapshotコピー名とSnapLockの有効期限を入力します。カレンダーから日付と時刻を選択できます。
変更を保存します。
[ボリューム] > [Snapshotコピー]ページで、[表示/非表示]を選択し、[SnapLock の有効期限]を選択して[SnapLock の有効期限]列を表示し、保持期限が設定されたことを確認します。

CLI

Snapshotコピーを手動で作成してロックの保持期間を適用するには、次のコマンドを入力します。

volume snapshot create -volume volume_name -snapshot snapshot_copy_name -snaplock-expiry-time expiration_date_time

次のコマンドは、新しいSnapshotコピーを作成して保持期間を設定します。
```
cluster1> volume snapshot create -vserver vs1 -volume vol1 -snapshot snap1 -snaplock-expiry-time "11/10/2022 09:00:00"
```

既存のSnapshotコピーへの保持期間の適用

ONTAP System Manager

[ストレージ] > [ボリューム]に移動して、ボリュームを選択します。
ボリュームの詳細ページで、[Snapshot コピー]タブを選択します。
Snapshotコピーを選択し、を選択して、[SnapLock有効期限の変更]を選択します。カレンダーから日付と時刻を選択できます。
変更を保存します。
[ボリューム] > [Snapshot コピー]ページで、[表示/非表示]を選択し、[SnapLock有効期限]を選択して[SnapLock有効期限]列を表示し、保持期限が設定されたことを確認します。

CLI

既存のSnapshotコピーに保持期間を手動で適用するには、次のコマンドを入力します。

volume snapshot modify-snaplock-expiry-time -volume volume_name -snapshot snapshot_copy_name -expiry-time expiration_date_time

次の例は、既存のSnapshotコピーに保持期間を適用します。
```
cluster1> volume snapshot modify-snaplock-expiry-time -volume vol1 -snapshot snap2 -expiry-time "11/10/2022 09:00:00"
```

既存のポリシーの変更による長期保持の適用

ONTAP 9.14.1以降では、Snapshotコピーの長期保持を設定するルールを追加することで、既存のSnapMirrorポリシーを変更できます。このルールは、SnapLockバックアップデスティネーションや非SnapLockのSnapMirrorデスティネーションボリュームでのデフォルトのボリューム保持期間を上書きするために使用します。

既存のSnapMirrorポリシーにルールを追加します。

snapmirror policy add-rule -vserver <SVM name> -policy <policy name> -snapmirror-label <label name> -keep <number of Snapshot copies> -retention-period [<integer> days|months|years]

次の例では、「lockvault」という既存のポリシーに6カ月の保持期間を適用するルールを作成します。
```
snapmirror policy add-rule -vserver vs1 -policy lockvault -snapmirror-label test1 -keep 10 -retention-period "6 months"
```

ONTAP 9 マニュアル ( CA08871-402 )

ランサムウェア攻撃から保護するためのSnapshotコピーのロック

ボリューム作成時のSnapshotコピー ロックの有効化

既存のボリュームでのSnapshotコピー ロックの有効化

ロックされたSnapshotコピー ポリシーの作成と保持の適用

Snapshotコピー ロック ポリシーの作成

ボリュームへのロック ポリシーの適用

Snapshotコピーの手動作成時における保持期間の適用

既存のSnapshotコピーへの保持期間の適用

既存のポリシーの変更による長期保持の適用

ボリューム作成時のSnapshotコピーロックの有効化

既存のボリュームでのSnapshotコピーロックの有効化

ロックされたSnapshotコピーポリシーの作成と保持の適用

Snapshotコピーロックポリシーの作成

ボリュームへのロックポリシーの適用