【要約】AWS Organizations間のアカウント移行でRAM共有が外れる理由と共有を維持する設定 [Qiita_Trend] | Summary by TechDistill
> Source: Qiita_Trend
Execute Primary Source
// Problem
AWS Organizationsを運用する管理者が、アカウントの組織間移行時にネットワーク接続の切断に直面する問題。具体的には以下の事象が発生する。
- ・RAMで組織内共有を有効にしている場合、アクセス権は「組織のメンバーであること」に依存する。
- ・アカウントが組織を離脱すると、アクセスの根拠が消失するため、共有が自動的に解除される。
- ・Transit Gatewayなどの基盤リソースを共有している場合、移行に伴う通信断のリスクが生じる。
// Approach
新パラメータ
RetainSharingOnAccountLeaveOrganization を用い、アクセスの根拠を「組織への所属」から「招待の承諾」へ変更する手法を採用した。- ・
aws ram enable-sharing-with-aws-organizationで組織内共有を有効化する。 - ・
aws ram create-resource-shareコマンドの--resource-share-configurationオプションで当該パラメータをtrueに設定する。 - ・組織内アカウントに対しても、外部アカウントと同様に「招待の承諾」プロセスを強制する。
// Result
アカウント移行時におけるリソース共有の継続性を確保できる。具体的には以下の成果が得られる。
- ・
RetainSharingOnAccountLeaveOrganizationを有効にすると、組織内アカウントもexternal: trueとして扱われる。 - ・招待の承諾を介することで、組織離脱後も共有状態が維持される。
- ・アカウント移行に伴うネットワーク再設定の手間と、通信断のリスクを低減できる。
Senior Engineer Insight
> 組織再編やM&Aに伴うアカウント移行において、インフラの可用性を守るための重要なアップデートだ。従来の「組織内なら自動共有」という利便性は、移行時の脆弱性となっていた。本機能により、組織内アカウントへの招待承諾という運用負荷は増えるが、インフラの不変性を担保できる。大規模環境では、移行前にこの設定を適用し、招待の承諾フローを運用に組み込んでおく設計が必須となる。