Arquitetura 3.1: Transit Gateway com AWS RAM

O AWS Resource Access Manager (AWS RAM) ajuda a compartilhar recursos especificados da AWS pertencentes a você com outras contas da AWS. Ele é um serviço centralizado que fornece uma experiência consistente para compartilhar diferentes tipos de recursos da AWS em várias contas. Um gateway de transporte pode ser compartilhado entre contas com o AWS RAM, mesmo que as contas estejam em organizações diferentes no AWS Organizations.

Somente o proprietário do gateway pode realizar as seguintes operações no AWS RAM:

• Criar o compartilhamento de um recurso.

• Atualizar o compartilhamento de um recurso.

• Exibir o compartilhamento de um recurso.

• Visualizar os recursos compartilhados por sua conta em todos os compartilhamentos de recursos.

• Visualizar os principais com os quais você está compartilhando seus recursos em todos os compartilhamentos de recursos. Isso ajuda a determinar quem tem acesso aos recursos compartilhados.

• Excluir o compartilhamento de um recurso.

• Executar todas as APIs de gateway de trânsito, anexos de gateway de trânsito e tabelas de rotas de gateway de trânsito.

No AWS RAM, a sua conta é o compartilhador e a conta de terceiros é o aceitador. Um aceitador não pode criar, modificar ou excluir as tabelas de rotas do Transit Gateway ou suas propagações e associações. Essa configuração oferece a você, como proprietário do gateway de trânsito compartilhado, uma grande quantidade de controle e um alto nível de visibilidade sobre sua configuração. Como resultado, os provedores de serviços terceirizados podem não aceitar essa opção porque teriam um controle mínimo sobre a configuração do gateway de trânsito.

O diagrama de arquitetura a seguir mostra como usar o AWS RAM para compartilhar um gateway de trânsito com o provedor de serviços terceirizado. Por motivos de segurança, crie um novo gateway de trânsito na conta. Conecte o novo gateway de trânsito às VPCs de terceiros. Use uma conexão de emparelhamento para conectar o novo gateway de trânsito a um gateway de trânsito existente em sua conta, o qual está conectado às suas VPCs. Habilite o modo de dispositivo no novo gateway de trânsito para se conectar à interface de rede elástica na VPC de inspeção. Para obter mais informações sobre a VPC de inspeção, consulte Centralizar a inspeção de rede.