SAA / ドメイン1 セキュアなアーキテクチャの設計
AWS Resource Access Manager (AWS RAM)
（AWS RAM）は、対応する AWS リソースを複数アカウント間で安全に共有するサービスです。
SAA では、リソースを各アカウントへ重複作成せず、、、 Resolverルールなどを 内または外部アカウントと共有する場合に選びます。
概要
リソース所有者がリソース共有を作成し、共有対象とプリンシパルを指定します。受信側は共有されたリソースを自分のアカウントから利用しますが、所有権は元のアカウントに残ります。
主要技術
①共有できるリソース
共有可能な種類はサービスごとに異なります。代表例は 、、構成、 Resolverルールです。すべての AWS リソースを共有できるわけではありません。
②Organizationsとの統合 ⚠️ 頻出
との共有を有効にすると、組織または をプリンシパルとして指定できます。組織内共有では個別招待の運用を減らせます。
③リソース所有者と利用者
所有者はリソースの作成、共有、削除を管理します。利用者が実行できる操作はリソースタイプと 権限によって異なります。RAM で共有しただけで IAM 権限が無制限に付与されるわけではありません。
④VPC共有
ネットワークアカウントがを共有し、アプリケーションアカウントがそのサブネットへリソースを作成できます。全体のネットワーク制御を集中化しながら、ワークロード所有を分離できます。
試験対策
| 要件 | 選ぶ機能 |
|---|---|
| を複数アカウントで利用 | |
| を共有してを集中管理 | AWS RAMによるVPC共有 |
| 別アカウントの操作権限を一時委任 | + |
| オブジェクトを共有 | S3ポリシー等 |
RAM は対応リソースそのものの共有、 ロールは操作主体への権限委任です。