465-AWS SAP AWS 「理論・実践・一問道場」トランジットゲートウェイの自動承認

type

status

date

slug

summary

理論

AWS Organizations

AWS Organizationsは、複数のAWSアカウントを中央で管理し、リソースのアクセスやポリシーを組織単位で制御できるサービスです。これにより、アカウントの管理を効率化し、セキュリティやコスト管理の最適化が図れます。

トランジットゲートウェイ

トランジットゲートウェイは、複数のVPCやオンプレミスネットワーク間で接続を提供するサービスです。これにより、複数のVPCを一元的に接続し、通信を効率化できます。

トランジットゲートウェイを使用することで、各アカウント間でのネットワーク接続を簡素化し、異なるAWSアカウントにまたがるリソース間の通信を管理できます。

AWS RAM (Resource Access Manager)

AWSリソースアクセスマネージャー（AWS RAM）は、AWSアカウント間でリソースを共有するサービスです。これを使用することで、開発アカウントと共有サービスアカウント間で、トランジットゲートウェイなどのリソースを簡単に共有できます。

VPCエンドポイント

VPCエンドポイントは、VPC内から他のVPCやAWSサービスにアクセスするためのインターフェースを提供します。トランジットゲートウェイの代わりに使うことはありますが、アカウント間接続の管理には一般的にトランジットゲートウェイがより適しています。

自動承認の設定

トランジットゲートウェイで自動承認を有効にすることで、接続リクエストを手動で承認する必要がなくなります。これにより、開発環境が頻繁にリソースを再作成しても、再接続が簡単になります。

AWS Lambda と EventBridge

AWS LambdaとAmazon EventBridgeを組み合わせて、イベント駆動型で自動的にアクションを実行することができます。しかし、トランジットゲートウェイの接続管理には、この方法は複雑で運用負荷が高くなるため、一般的にはRAMや自動承認機能を利用した方法が推奨されます。

最適な接続管理方法

開発環境でのリソースの頻繁な変更には、AWS RAMを使ったリソースの共有と、トランジットゲートウェイの自動承認機能を組み合わせることが最適です。これにより、接続を手動で再設定することなく、開発チームが容易に接続を再作成できるようになります。

実践

略

一問道場

質問 #465

ある企業は、AWS Organizationsを使用して複数のAWSアカウントを管理しています。企業は、共有サービスアカウント内のVPCでいくつかのアプリケーションをホストしています。企業は、トランジットゲートウェイを共有サービスアカウント内のVPCに接続しています。企業は新しい機能を開発しており、開発環境を作成しました。この開発環境は、共有サービスアカウント内のアプリケーションへのアクセスを必要とします。企業は、開発アカウント内でリソースを頻繁に削除および再作成する予定です。また、開発チームが必要に応じて、共有サービスアカウントへの接続を再作成する能力を持つようにしたいと考えています。

どのソリューションがこれらの要件を満たすでしょうか？

A. 開発アカウントにトランジットゲートウェイを作成します。開発アカウントから共有サービスアカウントにトランジットゲートウェイピアリングリクエストを作成します。共有サービスのトランジットゲートウェイを設定して、ピアリング接続を自動的に承認するようにします。

B. 共有サービスアカウントでトランジットゲートウェイの自動承認をオンにします。AWSリソースアクセスマネージャー（AWS RAM）を使用して、共有サービスアカウントのトランジットゲートウェイリソースを開発アカウントと共有します。開発アカウントでリソースを受け入れ、開発アカウント内にトランジットゲートウェイアタッチメントを作成します。

C. 共有サービスアカウントでトランジットゲートウェイの自動承認をオンにします。VPCエンドポイントを作成します。エンドポイントポリシーを使用して、開発アカウントに対してVPCエンドポイントの権限を付与します。エンドポイントサービスを設定して、接続リクエストを自動的に承認します。エンドポイントの詳細を開発チームに提供します。

D. Amazon EventBridgeルールを作成して、開発アカウントがアタッチメントリクエストを行った際にAWS Lambda関数を呼び出してトランジットゲートウェイアタッチメントを承認します。AWSネットワークマネージャーを使用して、共有サービスアカウントのトランジットゲートウェイを開発アカウントと共有します。開発アカウントでトランジットゲートウェイを承認します。

解説

この問題の解説を行います。要点は、開発環境のリソースが頻繁に削除・再作成され、開発チームが必要に応じて共有サービスアカウントのリソースへの接続を再作成できる方法を提供することです。ここでは、トランジットゲートウェイを使って、開発アカウントと共有サービスアカウント間の接続を管理する方法に関する問題です。

各選択肢の解説：

A. 開発アカウントにトランジットゲートウェイを作成。開発アカウントから共有サービスアカウントにトランジットゲートウェイピアリングリクエストを作成。共有サービスのトランジットゲートウェイを設定して、ピアリング接続を自動的に承認するようにする。

解説: 開発アカウントでトランジットゲートウェイを作成し、ピアリング接続を手動でリクエストして承認を受ける方法です。これでは、開発チームがリソースを再作成するたびに手動で接続を再設定する必要があり、要件で求められている頻繁な接続の再作成に対しては効率的ではありません。また、ピアリング接続の管理は手間がかかるため、このアプローチは最適ではありません。

B. 共有サービスアカウントでトランジットゲートウェイの自動承認をオンにする。AWSリソースアクセスマネージャー（AWS RAM）を使用して、共有サービスアカウントのトランジットゲートウェイリソースを開発アカウントと共有。開発アカウントでリソースを受け入れ、開発アカウント内にトランジットゲートウェイアタッチメントを作成。

解説: これは、トランジットゲートウェイをAWSリソースアクセスマネージャー（AWS RAM）で共有する方法です。開発アカウントに対してリソースを共有し、自動承認をオンにすることで、開発アカウントが自動的にトランジットゲートウェイを受け入れることができます。これにより、開発チームは手動で接続を再作成することなく、リソースを再作成するたびに自動的に接続を再作成できるという要件を満たすことができます。最も効率的で簡潔な方法です。

C. 共有サービスアカウントでトランジットゲートウェイの自動承認をオンにする。VPCエンドポイントを作成。エンドポイントポリシーを使用して、開発アカウントに対してVPCエンドポイントの権限を付与。エンドポイントサービスを設定して、接続リクエストを自動的に承認。エンドポイントの詳細を開発チームに提供。

解説: この選択肢は、トランジットゲートウェイではなくVPCエンドポイントを利用する方法ですが、VPCエンドポイントは通常、VPC内のリソースへのアクセスを管理するために使用され、トランジットゲートウェイを介したアカウント間接続には適していません。この方法は、接続の管理において無関係な部分が多く、問題の要件に最適ではありません。

D. Amazon EventBridgeルールを作成して、開発アカウントがアタッチメントリクエストを行った際にAWS Lambda関数を呼び出してトランジットゲートウェイアタッチメントを承認。AWSネットワークマネージャーを使用して、共有サービスアカウントのトランジットゲートウェイを開発アカウントと共有。開発アカウントでトランジットゲートウェイを承認。

解説: EventBridgeとLambdaを使用してアタッチメントリクエストを承認する方法ですが、これにはかなりの設定作業と自動化が必要です。Lambda関数を使って接続を承認するのは技術的には可能ですが、必要な作業が多く、運用負荷が増える可能性があります。また、要件に対する最適な解決策とは言えません。

最適な解答: B

選択肢 B が最も適切です。この方法では、AWS RAMを使用してトランジットゲートウェイリソースを共有し、自動承認をオンにすることで、開発アカウントが接続を自動的に再作成できるようになります。これにより、開発チームはリソースを削除して再作成しても、手動で接続を再設定することなく、必要な接続を自動的に作成できます。