AWS Resource Access Managerを使用して、複数アカウントでAWS Transit Gatewayを共有して通信する方法

AWS Transit Gateway AWS AWS Resource Access Manager

記事タイトルとURLをコピーする

クラウドインテグレーション部技術2課の山下です。今回は、AWS Resource Access Manager(以下AWS RAM)を使用して、複数アカウントでAWS Transit Gateway(以下TGW)を共有して通信する方法をご紹介します。

複数のアカウントで作業が必要になり少々ややこしいため、出来るだけ分かりやすくお伝えできればと思います。

今回の前提
作業概要
①（アカウントA）RAMでTGWをアカウントBに共有
②（アカウントB）TGWの共有を承諾
③（アカウントB）TGWアタッチメントの作成
④（アカウントA）TGWアタッチメントの承諾
⑤（アカウントA）TGWルートテーブルの設定
⑥（アカウントA、B）VPCのルートテーブルの設定
⑦（アカウントA、B）疎通確認
まとめ

今回の前提

アカウントAのTGWをアカウントBに共有する
アカウントAのTGWおよびTGWアタッチメントは作成済みとする
TGWルートテーブルの関連付け、TGWルートテーブルの伝播は手動で行う
共有アタッチメントの自動承諾はしない

構成は下図の通りです。

なお、TGWのルーティング仕様については以下の記事を参照ください。

Transit Gatewayのルーティング仕様を分かりやすく解説してみる

作業概要

今回の作業概要は下図の通りです。

①（アカウントA）RAMでTGWをアカウントBに共有

①-1. RAMの画面から「リソースの共有」→「リソースの共有の作成」を選択します。

①-2. 任意の名前を設定し、リソースタイプに「トランジットゲートウェイ」を選択して、共有したいTGWを選択します。「Next」ボタンで次の画面へ。

①-3. TGWアタッチメントのアクションが許可されていることを確認し、「Next」ボタンで次の画面へ。

①-4. 「外部のプリンシパルとの共有を許可」を選択、プリンシパルのタイプに「AWSアカウント」を選択し、アカウントBのIDを追加します。

①-5. アカウントBのIDが追加されていることを確認し、「Next」ボタンを押します。

①-6. 最後に内容の確認をし、「リソース共有を作成」ボタンを押すと、リソースの共有が作成されます。

②（アカウントB）TGWの共有を承諾

②-1. リソース共有を受けると、アカウントBのRAMの画面で、「リソースの共有」に招待が届いているので選択します。

②-2. ステータスが「Pending」になっている共有リソースを選択します。

②-3. 「リソースの共有を承認」ボタンを押します。

②-4. 数分程度待つと、ステータスが「Active」になります。

③（アカウントB）TGWアタッチメントの作成

③-1. VPCの画面から「Transit Gateway 接続」を選択し、「Transit Gateway アタッチメントを作成」ボタンを押します。

③-2. 画面の指示に従って必要事項を入力し、「Transit Gateway アタッチメントを作成」ボタンを押します。

③-3. 作成したTransit Gatewayアタッチメントが、アカウントA、B両方で見えるようになります。状態は「Pending Acceptance」です。

④（アカウントA）TGWアタッチメントの承諾

④-1. アカウントBで作成したTGWアタッチメントは、アカウントAで承諾する必要があります。対象のアタッチメントを選択し、「アクション」→「Transit Gateway アタッチメントを承諾」を選択します。

④-2. しばらく待つと、状態が「Active」に変わります。

⑤（アカウントA）TGWルートテーブルの設定

RAMでTGWを共有している場合、TGWルートテーブルの設定は、TGWを作成したアカウントでしかできないため、アカウントAで作業します。

TGWルートテーブルの作成

⑤-1. アカウントAのVPC画面で「Transit Gateway ルートテーブル」を選択し、「Transit Gateway ルートテーブルを作成」ボタンを押します。

⑤-2. 任意の名前を入力、TGWを選択し、「Transit Gateway ルートテーブルを作成」ボタンを押します。

⑤-3. 作成後、状態がPendingからAvailableになるまで数分程度待ちます。

TGWルートテーブルの関連付け

⑤-4. 作成したTGWルートテーブルを選択し、「関連付け」→「関連付けを作成」を選択します。

⑤-5. アカウントBで作成したTGWアタッチメントを選択し、「関連付けを作成」ボタンを押します。

伝播を作成

⑤-6. アカウントB用のTGWルートテーブルに、アカウントA向けの経路を伝播します。対象のTGWルートテーブルを選択し、「伝播」→「伝達を作成」を選択します。

⑤-7. アカウントAのTGWアタッチメントを選択し、「伝達を作成」ボタンを押します。

⑤-8. アカウントA（10.0.0.0/16）向けの経路が追加されました。

⑤-9. 同様に、アカウントA用のTGWルートテーブルにも、アカウントB（172.16.0.0/16）向けの伝達を作成します。

⑥（アカウントA、B）VPCのルートテーブルの設定

仕上げに両方のアカウントで、VPCのルートテーブルを設定します。他のアカウント向けの経路をTGWに向けます。

⑥-1. 今回はEC2を設置したサブネットに関連付けたルートテーブルのみ設定します。（TGWアタッチメントを紐づけたサブネットは編集不要です）

⑦（アカウントA、B）疎通確認

⑦-1. 最後に両方のアカウントのEC2から、対向のEC2に向けてPingを打ってみます。セキュリティグループでICMPを許可するのを忘れないようにしましょう。

問題なくPingが通りました。

まとめ

RAMでTGWを共有した場合、承諾やTGWルートテーブルの設定のために、アカウントを行ったり来たりする必要があり混乱しやすいので、事前に手順の作成や動作検証を十分に実施されることをおすすめします。

この記事が少しでも参考になれば幸いです。