446-AWS SAP AWS 「理論・実践・一問道場」RAM

type

status

date

slug

summary

理論

AWS Organizations とマルチアカウントネットワーク接続のベストプラクティス

AWS Organizations を使用したマルチアカウント環境では、共有リソース（例: Aurora DB クラスター）へのアクセスを効率的に提供することが重要です。この目的を達成するために、以下の主要なアプローチとそのメリットを押さえておきましょう。

1. トランジットゲートウェイを活用したネットワーク接続

概要: トランジットゲートウェイ（Transit Gateway）は、複数のアカウントや VPC を簡単かつ効率的に接続できるサービスです。

利点:

中央集権型のネットワーク管理が可能。
各 VPC の CIDR ブロックが重複しない場合、スムーズな通信を実現。
AWS Resource Access Manager (AWS RAM) を使用して、簡単に他のアカウントと共有可能。

ユースケース: 共有サービスアカウント内のデータベースや共有アプリケーションリソースへのアクセス。

2. AWS Resource Access Manager (AWS RAM) の利用

概要: AWS RAM は、リソースの共有を簡単に行うためのサービスです。特定のリソース（例: Transit Gateway、VPC エンドポイントなど）を他のアカウントと共有可能。

利点:

シンプルなアクセス管理。
複数アカウント環境でのリソース重複を削減。

注意点: 直接共有できるリソースは限定されており、Aurora DB クラスターそのものは共有対象外。

3. AWS PrivateLink の使用

概要: PrivateLink を使用すると、Amazon VPC 内のサービスに対してプライベート接続を提供できます。

利点:

セキュリティが向上し、インターネット経由のトラフィックを回避。
接続先が固定であり、サービスのエンドポイントとして使用可能。

欠点:

エンドポイントサービスの設定が複雑。
接続の柔軟性がトランジットゲートウェイに比べて低い。

4. Site-to-Site VPN の利用

概要: AWS Site-to-Site VPN は、オンプレミス環境や別の AWS アカウント間でセキュアな接続を提供する手段です。

利点:

VPN 接続によるセキュリティの確保。

欠点:

設定が複雑でコストが高い。
複数アカウント環境での運用負荷が増大。

ベストプラクティス

リソースの共有にはトランジットゲートウェイを活用:

複数アカウント環境での効率的なネットワーク管理を実現。

AWS RAM を使用してリソースを簡単に共有:

リソースの重複や運用負荷を最小限に。

PrivateLink は限定的なユースケースで使用:

接続先が特定のサービスに限られる場合に有効。

VPN は最終手段として利用:

他の方法が使えない場合のみ採用。

まとめ

AWS マルチアカウント環境では、効率性と運用負荷の低減を両立する設計が鍵です。トランジットゲートウェイと AWS RAM を組み合わせることで、多くのユースケースに対応可能です。

実践

略

一問道場

質問 #446

ある企業が、AWS Organizations を使用して開発環境を管理しています。各開発チームは独自の AWS アカウントを持っています。各アカウントには単一の VPC があり、CIDR ブロックは重複していません。

企業は、共有サービスアカウントに Amazon Aurora DB クラスターを所有しています。すべての開発チームが、この DB クラスターのライブデータを使用する必要があります。

最小限の運用負荷で DB クラスターへの接続を提供するソリューションはどれですか？

AWS Resource Access Manager (AWS RAM) のリソース共有を作成し、DB クラスターをすべての開発アカウントと共有します。

共有サービスアカウントでトランジットゲートウェイを作成します。AWS Resource Access Manager (AWS RAM) のリソース共有を作成し、トランジットゲートウェイをすべての開発アカウントと共有します。開発者にリソース共有を承認するよう指示し、ネットワーキングを設定します。

DB クラスターの IP アドレスをポイントする Application Load Balancer (ALB) を作成します。AWS PrivateLink エンドポイントサービスを ALB を使用して作成します。各開発アカウントがエンドポイントサービスに接続できるよう、アクセス許可を追加します。

共有サービスアカウントで AWS Site-to-Site VPN 接続を作成します。ネットワーク設定を行います。AWS Marketplace の VPN ソフトウェアを各開発アカウントで使用して、Site-to-Site VPN 接続に接続します。

解説

この問題は、AWS Organizations を使用して複数の開発アカウントから共有サービスアカウント内の Aurora DB クラスターに接続するための最適な方法を問うものです。選択肢ごとの解説は以下の通りです。

A. AWS Resource Access Manager (AWS RAM) を使用して DB クラスターを共有

AWS RAM は、リソースを共有するための便利なツールですが、Amazon Aurora DB クラスターそのものは直接共有することはできません。そのため、この選択肢は 不適切 です。

B. トランジットゲートウェイを使用してネットワーク接続を共有

トランジットゲートウェイは、複数のアカウントや VPC 間でネットワークを効率的に接続するための強力なソリューションです。AWS RAM を使用してトランジットゲートウェイを共有し、各開発アカウントの VPC を接続することで、Aurora DB クラスターへの接続を簡素化できます。ネットワークの一元管理が可能であり、最小限の運用負荷 で要件を満たすため、この選択肢は適切です。

C. Application Load Balancer (ALB) と AWS PrivateLink を使用

PrivateLink は、エンドポイントを通じて安全に接続を提供するためのサービスですが、ALB を用いて Aurora DB クラスターの IP アドレスに接続する設計は非効率です。PrivateLink の使用にはエンドポイントサービスの設定や許可の管理が必要であり、運用負荷が高くなるため、この選択肢は 不適切 です。

D. Site-to-Site VPN を使用

AWS Site-to-Site VPN を利用する方法は、Aurora DB クラスターにアクセスするためのコストと運用負荷が非常に高いです。また、各開発アカウントで VPN 接続を個別に設定する必要があり、ネットワークの複雑さが増します。このため、この選択肢は 不適切 です。

正解: B

トランジットゲートウェイを使用すると、各アカウントの VPC を効率的に接続できます。

AWS RAM を用いてトランジットゲートウェイを共有することで、運用負荷を最小限に抑えつつ、すべての開発アカウントが DB クラスターにアクセスできます。