アーキテクチャ 3.1: AWS RAM による Transit Gateway

AWS Resource Access Manager (AWS RAM) は、所有している AWS リソースを指定して、他の AWS アカウントと共有するのに役立ちます。これは一元管理されたサービスであり、これにより、複数のアカウント間でさまざまなタイプの AWS リソースを一貫して共有できます。Transit Gateway は、アカウントが AWS Organizations の別の組織にあっても、アカウント間で AWS RAM と共有できます。

Transit Gateway の所有者のみが、AWS RAM の以下のオペレーションを実行できます。

• リソース共有を作成します。

• リソース共有を更新します。

• リソース共有を表示します。

• アカウントによって共有されているリソースをすべてのリソース共有間で表示できます。

• すべてのリソース共有で、リソースを共有しているプリンシパルを表示します。これにより、共有リソースにアクセスするユーザーを決定できます。

• リソース共有を削除します。

• Transit Gateway、Transit Gateway アタッチメント、Transit Gateway ルートテーブルの API をすべて実行します。

AWS RAM では、ユーザーアカウントは共有者、サードパーティアカウントはアクセプターです。アクセプターは、Transit Gateway ルートテーブルやそれらの伝播および関連付けを、作成、変更、削除することはできません。この設定により、ユーザーは共有 Transit Gateway の所有者として、その設定を詳細に制御し、高いレベルで可視化することができます。結果として、サードパーティのサービスプロバイダーは Transit Gateway の設定をほとんど制御できないため、このオプションを受け入れない可能性があります。

以下のアーキテクチャ図は、AWS RAM を使用して、Transit Gateway をサードパーティのサービスプロバイダーと共有する方法を示しています。セキュリティ上の理由から、ユーザーアカウントに新しい Transit Gateway を作成します。新しい Transit Gateway をサードパーティの VPC に接続します。ピアリング接続を使用して、VPC にアタッチされているユーザーアカウント内の既存の Transit Gateway に新しい Transit Gateway を接続します。インスペクション VPC の Elastic Network Interface に接続するには、新しい Transit Gateway でアプライアンスモードを有効にします。インスペクション VPC の詳細については、「ネットワーク検査の集約」を参照してください。