AWSアカウントの一元管理に役立つ「AWS RAM」と「AWS Organizations」とは

AWSは複数のAWSアカウントを管理しやすくするために「AWS RAM」「AWS Organizations」を提供する。これらの特徴と用途を整理しよう。

公開 2021年06月03日 05時02分

更新 2023年09月01日 15時21分

著者

Ernesto Marquez

[TechTarget]

印刷する連載新着通知を受け取る

　Amazon Web Services（AWS）のクラウドサービスを使ってアプリケーションを構築する企業は、複数のAWSアカウントを作成して、開発用インフラと社内向けの本番インフラ、顧客や取引先がアクセスする社外向けの本番インフラを分離させるとよい。特定の部門だけに関連するアプリケーションを運用するには、アプリケーションごとに専用のAWSアカウントを用意することも選択肢となる。

　複数のAWSアカウントがあると、アクセス権限の管理作業は複雑になる。この場合、企業はAWSが提供する「IAM」（IDおよびアクセス管理）のクラウドサービス（以下、クラウドIAM）を利用することで、管理作業の負担を軽減できる可能性がある。前編「AWS IAM、Amazon Cognito、AWS Directory Serviceとは？　AWSの主要クラウドIAM」に続き、AWSのクラウドIAMの中から複数のAWSアカウントの権限を管理するのに役立つ「AWS Resource Access Manager」（AWS RAM）と「AWS Organizations」の特徴を説明する。

AWS Resource Access Manager（AWS RAM）

併せて読みたいお薦め記事

AWSサービスとセキュリティ

IAMツールの基本

　特定のAWSリソースを複数のAWSアカウントで利用する必要がある場合、AWSリソースへのアクセス許可の設定が困難になることがある。AWS RAMはこうした問題を解決する。例えばAWS RAMを使用すると、管理者は別のAWSアカウントが一元管理するサブネットで、仮想マシンサービス「Amazon Elastic Compute Cloud」（Amazon EC2）のインスタンス（仮想サーバ）を起動できるようになる。

　AWS RAMは、AWSアカウントの一元管理サービスAWS Organizations（後述）と連携させることで、AWSリソースを複数のAWSアカウント間で利用可能にする。管理者はAWS RAMの管理画面で、共有するAWSリソースと、それらのAWSリソースを共有するAWSアカウントを設定できる。AWSアカウント配下のエンドユーザー（IAMユーザー）は管理コンソール「AWS Management Console」（AWSマネジメントコンソール）やAPI（アプリケーションプログラミングインタフェース）、ソフトウェア開発キット（SDK）、コマンドラインインタフェース（CLI）などを通して、共有するAWSリソースにアクセスできる。

　全ての種類のAWSリソースがAWS RAMを適用して共有できるわけではないことに注意が必要だ。現時点では、AWS RAMを使用して共有できるAWSリソースは、Amazon EC2やデータベースサービス「Amazon Aurora」のインスタンスなど、一部に限られる。

AWS Organizations

　AWS Organizationsは複数のAWSアカウントを一元管理するサービスだ。管理者はAWS Organizationsを使用して、社内のIAMユーザーのAWSリソースへのアクセス権限を管理できる。管理者がポリシーを作成して、複数のAWSアカウントに適用するための機能も備える。特定のAWSアカウントが使用できる機能を制限することも可能だ。例えばアクセス許可の管理には管理用のAWSアカウントを使用し、それ以外のAWSアカウントはこれらのアクセス許可を上書きできないようにするといったことができる。

　複数のAWSアカウントをグループ化する機能もある。企業はグループ化機能を利用することで、バックアップやログ記録、ユーザー管理など、特定の用途に特化したAWSアカウントを用意しやすくなる。