本記事では、Veeam Backup for AWS の初期の展開手順を紹介します。まず、簡単に製品特徴をご紹介します。

Veeam Backup & Replication(以降、VBR) は、AWS 上の EC2 インスタンスのバックアップも可能です。VBR はオンプレミスと AWS EC2 上のどちらに存在していても問題ありません。VBR と連動して動作する EC2 アプライアンスである Veeam Backup for AWS（以降、VBA）と Worker EC2 インスタンスが、EC2 上のインスタンスをエージェントレスでバックアップ・リストアが可能です。

AWS にも標準の EC2 インスタンスのバックアップ・リストア機能がありますが、VBR/VBA を利用する利点は以下のとおりです。

①プラットフォーム間のリストア

EC2 のバックアップは AMI または EBS スナップショット形式で保持されるため、復旧先は AWS に限られます。VBR/VBA のバックアップはオンプレミスの VMware vSphere や Hyper-V、Nutanix AHV の仮想マシンとして直接変換してリストアが可能なため、DR 対策や大規模な環境変更が容易になります。また、Google Cloud や Azure へのリストアによる移行も容易です。

②ストレージコストの削減

AWS の EBS スナップショットは、初回がフルスナップショットとなり、2回目以降は増分スナップショットとして変更されたデータブロックのみが保存されます。そのため、スナップショットの保持期間や変更データ量によってストレージコストが変動します。
VBR/VBA では、スナップショットから取得したデータを Veeam のエンジンで圧縮して S3 バケットへ保存するため、データの種類や構成によってはストレージ容量を削減できます。また、S3 Glacier Deep Archive へ自動アーカイブすることにより、さらに削減も可能です。

③ハイブリッド環境の一元管理

オンプレミスの物理サーバー、仮想マシン、AWS EC2、Azure VM などのバックアップ状況・保持期間を、同一の VBR 管理コンソールから把握できます。

検証環境

以下の環境構築を目指します。本記事では、Amazon EC2 上のインスタンスとして VBR とバックアップ対象の Rocky Linux が稼働している状態から環境構築を開始します。

作業開始前の環境は以下のとおりです。機能検証のため簡易な構成にします。

■全てのインスタンスは同一 VPC / サブネットに所属し、SG も共用
VPC ID: vpc-ad7a51ca(172.31.0.0/16)
Subnet ID: subnet-050df12e
Security group name: VBR

■VBR
インスタンスタイプ: t3.xlarge (4vCPU / 16GiB / 100GiB EBS)
OS: Windows Server 2025 Datacenter 24H2
VBR: Veeam Backup & Replication 13.1.1.18

■Rocky Linux（バックアップ対象のインスタンス）
インスタンスタイプ: t2.small (1vCPU / 2GiB / 50GiB EBS)
OS: Rocky Linux 9.6

必要なインスタンスと動作概要を以下に図示します。

初期展開時のIAMポリシー

VBR は AWS API を通じて、Veeam Backup for AWS（VBA）アプライアンスを自動作成します。初期展開時には、VBA の EC2 インスタンスのほか、専用の IAM ロールや IAM ポリシーなどが作成されます。

Worker インスタンス（処理用 EC2 インスタンス）は、初期展開時に常設されるものではなく、バックアップやリストア処理を実行する際に、VBA によって必要に応じて展開されます。

また、VBA と Worker インスタンスは、VBR が作成した専用の IAM ロール（及び IAM ポリシー）が割り当てられるため、初期展開後の通常動作では、専用の IAM ロールを使用します。

初期展開時に VBR が使用する作業用 IAM ユーザーと紐づけたポリシーは、大きく分けて以下の権限が必要です。

• (s3:*) S3 リポジトリへの各種操作権限
• (ec2:*) EC2・EBS への各種操作権限
• (iam:*) Backup for AWS と Woker インスタンスに IAM ロールを割当てる各種権限
• (ssm:*) AWS Systems Manager の各種操作権限

上記を反映した json 形式の IAM ポリシーを掲載します。ファイルで必要な場合、以下からダウンロードしてください。
なお、ここで掲載している作業用の IAM ポリシーは、本検証環境での初期展開を目的とした設定例です。商用環境で使用する場合は、必要な AWS API アクションとリソース ARN を精査し、最小権限の原則に従って調整してください。また、AWS アカウントで EBS のデフォルト暗号化を有効にしている場合、使用する KMS キーに対する権限も必要になります。環境によっては、作業用 IAM ユーザーに KMS 関連の権限も追加してください。

Veeam Backup for AWS の導入

導入前に知っておくべきこと

VBA と Worker インスタンスは、VBR のコンソールのウィザードで自動作成されます。この一連の初期展開で AWS 上に作成される項目は、大きく分けると以下のとおりです。

■VBA/Worker の専用 IAM ロール

・VBR-VBA-VeeamImpersonationRoleV1-*

VBA と Workerインスタンス（ヘルパーEC2）に割り当てられる IAM ロール。S3バケットへのデータ書き込みやEBS ボリュームの操作を行う。

・VBR-VBA-VeeamInstanceBackupRestoreAccessRoleV1*

EC2 インスタンスと EBS ボリュームのバックアップやリストアを実行するためのアクセス制御ロール。

■専用 IAM ポリシー

“vbaws_policy_*” で始まるポリシーが複数作成されます。内容は VBA および Worker インスタンス用の権限と、バックアップ/リストア操作を実行するための権限が記載されています。1つのポリシーに記載可能な文字数を超過するため、複数のポリシーに分割されます。

■VBA 本体

VBA アプライアンスの生成時の主要情報を提示します。

導入手順

VBR コンソールからウィザードを起動します。

1.Managed Servers

「Backup Infrastructure」⇒「Managed Servers」⇒（右クリック）「Add server」⇒ 「Veeam cloud-native backup appliance」⇒ 「Veeam Backup for AWS」選択。

ここから、ウィザードとなります。

2. Deployment Mode

新規作成のため、「Deploy a new appliance」を選択し、Next を押下します。

3.Account

・「AWS account」に作業用の IAM ユーザーの Access Key と Secret Access Key を設定。

・「AWS Region」は通常の商用リージョンであれば “Global” を選択。

・「Data center」はバックアップ対象がある “Asia Pacific (Tokyo)” を選択。

4.EC2 Instance

VBA のインスタンスタイプを指定します。

・「Instance name」は注意してください。今回、IAM ロールに紐づけたカスタムポリシーの “Resource” ディレクティブで以下の記述を行っています。この記述の場合、”VBR-” までは同一の名前にする必要があります。ズレがあると、ウィザードの最後の自動実行時にエラーが発生します。

"Resource": [
                "arn:aws:iam::*:role/ForVBR",
                "arn:aws:iam::*:role/VBR-*", ⇐ ここ
                "arn:aws:iam::*:role/veeam-*",
                "arn:aws:iam::*:instance-profile/VBR-*", ⇐ ここ
                "arn:aws:iam::*:instance-profile/veeam-*"
            ]

・「Configure EC2 instance type」は検証用途のためデフォルトのスペックを選択します。インスタンスタイプは保護対象数やバックアップポリシー数、同時実行数によって決定します。検証用途ではデフォルトのT3.medium を使用していますが、商用環境では Veeam の Sizing ガイドを参考に適切なスペックを選択してください。

5.Connection Type

・「Public IP address (dynamic)」

VBA に動的なパブリック IP アドレスが割当てされ、インスタンスを停止・起動するために IP アドレスが変更されます。

・「Public IP address (static)」

固定のパブリック IP（Elastic IP）を割当てます（新規作成または既存 EIP を選択）。

・「Private IP address」

パブリック IP アドレスを割り当てず、プライベート IP のみで動作させます。VPC 内部（または Direct Connect / VPN 経由）からのみアクセス可能となります。

補足：

なお、Public IP address は、VBR から VBA へインターネット経由で接続する場合に使用します。Dynamic では動的パブリック IP、Static では Elastic IP を割り当てます。Private IP address は、VBR と VBA 間の通信をプライベートネットワーク経由で行う場合に使用します。同一 VPC 内、または VPN・Direct Connect などで接続されたネットワークからアクセスする構成に適しています。

なお、Private IP を選択した場合でも、VBA から AWS サービスへのアウトバウンド通信を確保する必要があります。

6.Networking

・今回は検証用途のため、「Amazon VPC」、「Subnet」、「Security group」は VBR と同一を選択しました。「Backup server public IP address」は VBR のパブリックIPです。

「Next」をクリックすると以下の警告プロパティが表示されます。

警告の英文の意味は「選択したネットワークセキュリティグループに、指定したバックアップサーバーのIPアドレスを許可するルールが含まれていることを確認してください。」という意味です。つまり、指定したセキュリティグループのルールに「VBR から Backup Appliance（VBA）への HTTPS 通信を許可する設定」が含まれている必要があります。

7.Guest OS

VBA のキーペアの指定（今回は VBR と同一のキーペアを指定）と、VBA の管理者アカウントを作成します。「Apply」を押下すると自動作成が開始します。

8.Apply

本検証環境では初期展開完了まで合計で約44分かかりました。商用環境の作成においても大きく変わらないと予想しますが、利用しているリージョンなどによっては差が出るかもしれません。

初期展開時におけるエラー対処

ウィザードの自動作成がエラーになることがあります。

以下は、作業用 IAM ユーザーに紐づいたポリシー内で指定した VBA インスタンスのリソース規則と、ウィザードの「Instance name」で指定した VBA 名との間に差異があったため、エラーとなった時のスクショです。

エラーで自動作成が止まったら、最初のエラー行を右クリックでコピーしてください。詳細が参照できます。

10/31/2026 3:59:37 AM Failed : User: arn:aws:iam::************:user/*******@makorin.org is not authorized to perform: iam:CreateRole on resource: arn:aws:iam::************:role/VBR-VBA-VeeamImpersonationRoleV1-591ML54POYX1 because no identity-based policy allows the iam:CreateRole action (0:00:02)

作業用 IAM ユーザーに紐づくポリシーを修正します。

修正前の該当箇所の抜粋：

"Resource": [
    "arn:aws:iam::*:role/ForVBR",
    "arn:aws:iam::*:role/VBR-AWS-*", ⇐ ここが差異
    "arn:aws:iam::*:role/veeam-*",
    "arn:aws:iam::*:instance-profile/VBR-AWS-*", ⇐ ここが差異
    "arn:aws:iam::*:instance-profile/veeam-*"
]

ポリシーでは “VBR-AWS-*” の名前を許可する記載でしたが、うっかり「Instance name」で “VBR-VBA” を設定したため、エラーとなりました。

修正後の該当箇所の抜粋：

"Resource": [
    "arn:aws:iam::*:role/ForVBR",
    "arn:aws:iam::*:role/VBR-*", ⇐ ここを修正
    "arn:aws:iam::*:role/veeam-*",
    "arn:aws:iam::*:instance-profile/VBR-*", ⇐ ここを修正
    "arn:aws:iam::*:instance-profile/veeam-*"
]

なお、何かしらのエラーで止まった場合、「Previous」を押下すると、Apply 前に戻すことができます（AWS への自動作成の手前に戻すことができます）。この画面のまま、AWS コンソールや AWS CLI で原因個所の対処をして、再度 「Apply」を押下することで手間を軽減できます。

上記のエラーは規則の差異で発生しましたが、そのほか大半のエラーは VBR からの（作業用 IAM ユーザーからの） AWS リソースに対して、何らかの権限不足で発生します。その場合は必要な権限をポリシーに都度追加し、自動作成を再実行（Apply）してください。

また、たまに処理に失敗した専用 IAM ロールなどが残ってしまうケースがあるため、「Previous」で戻る手段を使用した場合、Veeam が作成したカスタムロールやカスタムポリシーが残っていないか確認し、残っていたら削除して再実行（Apply）ます。※間違って VBR に紐づけた IAM ロールやセキュリティグループは削除しないようにしてください。

まとめ

本検証では、VBR コンソールのウィザード操作により、AWS 上に Veeam Backup for AWS（VBA）アプライアンスを自動展開し、VBR 管理サーバーへの登録を完了しました。

初期展開処理の実行時には、アプライアンス本体（EC2）の起動と並行して、バックアップ処理で使用される専用IAM ロール、分割された IAM ポリシー（vbaws_policy_*）、および CloudWatch アラームが AWS アカウント内に自動生成されます。

ウィザードで指定する作業用 IAM ユーザーに必要な権限が不足している場合や、指定したインスタンス名と IAM ポリシー内のリソース制限（Resource）に差異がある場合は、ロール作成やインスタンス起動のステップで権限エラー（is not authorized to perform）が発生します。エラー発生時は、ログから対象アクションとリソース ARN を特定してポリシー定義を修正し、ウィザード画面の「Previous」から「Apply」を再実行することで正常に処理を通過させることが可能です。

以上です。

次回は、バックアップデータの保存先となる Amazon S3 リポジトリの登録および EC2 インスタンスのバックアップポリシー設定とバックアップの実行を予定しています。