AWS Resource Access Manager (RAM)

AWS Resource Access Manager（RAM）は、自分の AWS アカウントが所有するリソースを、コピーや再作成をすることなく他のアカウントへ共有し、相互に利用できるようにするマネージドサービスです。サブネット、Transit Gateway、Route 53 の Resolver ルール、ライセンス設定など、特定の種類のリソースを安全に共有でき、共有してもリソースの所有権と課金は所有アカウントに残ります。

解決する課題

マルチアカウント環境では、アカウントごとに同じ種類のリソースを重複して作成しがちです。たとえば各アカウントが個別に VPC とサブネットを用意し、別々に Transit Gateway を立てると、ネットワークの設計と運用が分散し、IP アドレス空間の管理も煩雑になります。アカウント数が増えるほど、同等の構成を維持するコストと手間が膨らみます。

従来この問題を避けるには、リソースを共有するためにアカウント間で複雑なクロスアカウントの IAM ロールや個別の許可設定を組む必要があり、対象リソースごとに作法が異なって統一が困難でした。

RAM は、共有可能なリソースを「リソース共有」という単位にまとめ、共有先のアカウントや組織単位を指定するだけで、相手アカウントから自分のリソースをそのまま参照・利用できるようにします。これにより、ネットワークなどの基盤リソースを一元的に作成・運用しながら、複数のアカウントから無駄なく利用する構成を実現できます。

主要概念と用語

• リソース共有: 共有したいリソースの集合、共有先のプリンシパル、付与する許可をまとめた単位。RAM の操作はこのリソース共有を中心に行う。
• 共有可能なリソース: RAM で共有できる対象。代表例はサブネット、Transit Gateway、Route 53 Resolver ルール、License Manager の設定、Prefix List などで、サービスごとに共有可否が定められている。
• プリンシパル: 共有先を表す対象。具体的には個別の AWS アカウント、組織全体、組織単位（OU）を指定できる。
• 所有者と参加者: リソースを共有する側を所有者、共有を受けて利用する側を参加者と呼ぶ。所有権と課金は所有者に残り、参加者は利用のみ行う。
• マネージド許可: 共有するリソースの種類ごとに、参加者が実行できる操作の範囲を定める許可セット。リソースタイプに応じた許可が用意される。
• 信頼されたアクセス（Organizations 統合）: AWS Organizations と連携し、組織や OU を単位として共有できるようにする設定。これを有効にすると共有招待の承認を省略できる。
• 共有招待: 組織外のアカウントへ共有する場合に送られる承認依頼。参加者が招待を受諾して初めて共有が有効になる。

仕様・制限・クォータ

• RAM はリージョン単位で動作します。リソース共有は作成したリージョン内のリソースを対象とし、グローバルなリソースは専用の扱いになります。
• 共有できるリソースの種類はサービス側で定義されており、すべてのリソースが共有可能なわけではありません。共有可否は対象サービスの対応状況に依存するため、設計時に対象リソースが RAM 共有に対応しているかを確認する必要があります。
• 1 つのリソース共有に含められるリソース数やプリンシパル数、アカウントあたりのリソース共有数などにはクォータが定められています。具体的な数値はリージョンや時期で変動しうるため、最新の公式クォータを確認してください。
• 組織内のアカウントへ共有する場合は、Organizations の信頼されたアクセスを有効にすることで招待の受諾を省略でき、組織外のアカウントへ共有する場合は招待の受諾が必要です。
• 共有しても、参加者がリソースに対して実行できる操作はマネージド許可の範囲に限定されます。所有者だけが共有設定そのものの変更や削除を行えます。

内部の仕組み

RAM では、所有者がリソース共有を作成し、その中に共有対象のリソース、共有先のプリンシパル、適用するマネージド許可を登録します。共有が成立すると、参加者側のアカウントからは、共有されたリソースが自分のアカウントの操作画面や API 上に表示され、許可された範囲で利用できるようになります。

たとえばサブネットを共有した場合、参加者は共有されたサブネット内に自分のリソース（インスタンスやロードバランサーなど）を起動できますが、サブネットや VPC そのものの構成変更はできません。ネットワークの所有と管理は所有者に集約され、利用だけが参加者に開放される形です。

組織と統合している場合、組織内のアカウントへの共有は招待なしで即座に有効になります。組織外への共有では、参加者に共有招待が送られ、参加者がこれを受諾した時点で利用可能になります。いずれの場合も、参加者が実際に何を実行できるかは、リソースタイプに対応するマネージド許可と、参加者アカウント側の IAM ポリシーの両方によって決まります。共有によって自動的にすべての操作が許可されるわけではない点が重要です。

設計パターン / ベストプラクティス

代表的な構成は、ネットワーク専用の管理アカウントで VPC・サブネット・Transit Gateway を一元的に作成し、それらを RAM で各ワークロードアカウントへ共有する「共有 VPC（シェアード VPC）」や集中型ネットワークのパターンです。これにより、IP アドレス設計やルーティング、インスペクションといったネットワークの責務を一か所に集約しつつ、各アカウントは自分のワークロードの実行に専念できます。

• 共有先は可能な限り組織や OU を単位に指定し、アカウントを個別列挙する運用を避けて、メンテナンス負荷とミスを減らす。
• マネージド許可は必要最小限のものを選び、参加者へ過剰な操作を許さないようにする。
• 共有するリソースに分かりやすい命名やタグを付け、どのリソースがどの目的で共有されているかを追跡可能にする。

運用・監視

RAM に対する操作（リソース共有の作成・更新・削除、プリンシパルやリソースの関連付け、招待の受諾など）は CloudTrail に記録されるため、いつ誰がどの共有を変更したかを監査できます。共有状態の変化を追跡することで、意図しない共有範囲の拡大を検知できます。

• 既存のリソース共有を定期的に棚卸しし、不要になった共有や、想定より広い範囲に共有されているものを洗い出す。
• 組織への共有を有効にしている場合、新しいアカウントが OU に追加されると自動的に共有対象に含まれることを踏まえ、OU 設計と共有範囲を一致させておく。
• リソース共有の構成を Infrastructure as Code で管理し、共有先や許可の変更を履歴として残すことで、到達範囲の意図しない変更を防ぐ。

コスト

RAM 自体は、リソースを共有する機能の利用に対して追加の料金がかからないのが基本的な考え方です。共有されたリソースの課金は引き続き所有アカウントに発生し、共有によって所有とコストの帰属が変わることはありません。

一方で、共有したリソースを利用することで発生する周辺の費用には注意が必要です。たとえば共有サブネットを通じたデータ転送や、共有された Transit Gateway を経由する通信のデータ処理料などは、それぞれのサービスの料金体系に従って発生します。具体的な単価はリージョンや時期で変動するため、最新の料金ページで確認したうえで、共有によって増えうる周辺コストを見積もってください。

セキュリティ

共有はあくまで所有者が明示的に作成したリソース共有の範囲に限られ、参加者ができる操作はマネージド許可で制限されます。さらに参加者アカウント側でも IAM ポリシーによって実際の操作を制御できるため、共有された事実だけで無制限のアクセスが許されることはありません。

組織内に共有範囲を閉じたい場合は、RAM の設定で外部アカウントへの共有を抑制し、共有先を組織内に限定する運用が有効です。すべての共有操作は CloudTrail で記録し、共有範囲の変更を継続的に監査することで、過剰な共有を早期に発見できます。

Well-Architected の観点

試験で問われるポイント

関連サービス・比較

リソースをまたぐ管理という意味では AWS Organizations と関連が深いですが、両者の役割は異なります。Organizations が複数アカウントの一元管理とガードレール（SCP など）の適用を担うのに対し、RAM は個々のリソースをアカウント間で共有する仕組みを提供します。多くの場合、Organizations を土台として、その上で RAM による共有を組み合わせて使います。

ハンズオン / CLI例

以下は、組織との統合を有効にし、サブネットを含むリソース共有を作成して、組織単位を共有先に指定する最小の流れの例です。リソースの ARN や ID は実際の値に置き換えてください。

# AWS Organizations との統合（信頼されたアクセス）を有効化
aws ram enable-sharing-with-aws-organization

# リソース共有を作成し、サブネットを共有対象、OU を共有先に指定
aws ram create-resource-share \
  --name shared-network \
  --resource-arns arn:aws:ec2:ap-northeast-1:111122223333:subnet/subnet-0123456789abcdef0 \
  --principals arn:aws:organizations::111122223333:ou/o-exampleorgid/ou-examplerootid-exampleouid

# 既存のリソース共有へ追加でリソースを関連付け
aws ram associate-resource-share \
  --resource-share-arn arn:aws:ram:ap-northeast-1:111122223333:resource-share/abcd1234-ef56-7890-abcd-ef1234567890 \
  --resource-arns arn:aws:ec2:ap-northeast-1:111122223333:transit-gateway/tgw-0123456789abcdef0

# 自分が所有するリソース共有の一覧を確認
aws ram get-resource-shares --resource-owner SELF