CloudHSM クラスターを他の AWS アカウントと共有するにはどうすればよいですか?

所要時間2分

組織は複数の AWS アカウントを持っています。AWS CloudHSM クラスターをこれらの AWS アカウントと共有するにはどうすればよいですか?

簡単な説明

AWS Resource Access Manager を使用すれば、CloudHSM を含む Amazon Virtual Private Cloud (Amazon VPC) のサブネットを他の AWS アカウントと共有できます。

解決方法

AWS RAM を使用して、AWS Organizations の別の AWS アカウントで CloudHSM にアクセスします。次の例では、アカウント 1 には CloudHSM クラスターが含まれ、アカウント 2 には CloudHSM クライアントインスタンスが含まれています。

AWS RAM を使用して共有を有効にする

Organizations の管理アカウントで、AWS RAM コンソールを CloudHSM と同じリージョンで開き、[Settings] (設定) を選択します。
[Enable sharing within your AWS Organization] (AWS Organization 内での共有を有効にする) チェックボックスをオンにします。
Organizations の管理アカウントで、AWS Organization コンソールを開きます。
[Settings] (設定) を選択し、[Organization ID] を書き留めます。

アカウント 1 で他のアカウントとのリソース共有を作成する

CloudHSM と同じリージョンで、AWS RAM コンソールをアカウント 1 で開きます。
ナビゲーションペインの [Shared by me] (自分が共有) で、[Resource shares] (リソースの共有) をクリックします。
[Create resource share] (リソース共有を作成) を選択します。
[Name] (名前) にリソース共有の名前を入力します。
[Resources] (リソース) で、CloudHSM の Amazon VPC サブネット ID を選択します。
[Principals] (プリンシパル) で、[Allow external accounts] (外部アカウントの許可) のチェックをオフにします。
[Add AWS account number] 検索ペインで、Organization ID を入力し、[Add]、[Create resource share] の順にクリックします。

注: 組織単位 (OU) や AWS アカウントを共有することもできます。

セキュリティグループを設定して、CloudHSM クライアントが CloudHSM クラスターに接続できるようにする

CloudHSM クラスターと同じリージョンで、CloudHSM コンソールをアカウント 1 で開きます。
ナビゲーションペインで、[Clusters] をクリックします。
[Cluster ID] で、共有する CloudHSM クラスターをクリックします。
[Security group] (セキュリティグループ) で、セキュリティグループを選択します。
[Inbound] (インバウンド) タブを選択してから、[Edit] (編集) を選択します。
[Add Rule] (ルールを追加) をクリックします。
[Port Range] に 2223-2225 と入力します。
[Source] (ソース) にクライアントインスタンスのプライベート IP アドレスを入力し、[Save] (保存) をクリックします。

注: クライアントインスタンスのプライベート IP アドレスを取得するには、EC2 コンソールを使用して IPv4 アドレスを表示するをご参照ください。

アカウント 2 と共有するサブネットのクライアントインスタンスを作成する

Amazon EC2 コンソールをアカウント 2 で開き、[Launch Instance] (インスタンスを起動)、Amazon マシンイメージ (AMI) の順にクリックします。
[Next: Configure Instance Details] (次へ: インスタンスの詳細の設定) を選択します。
[Network] (ネットワーク) でアカウント 2 と共有している Amazon VPC を選択します。
[Subnet] (サブネット) でアカウント 2 と共有しているサブネットを選択します。
[Auto-assign Public IP] で、[Enable]、[Next:Add Storage] の順にクリックします。
[Next: Add Tags]、[Next: Configure Security Group] の順にクリックします。
[Assign a security group] (セキュリティグループの割り当て) で、(インスタンスタイプに応じて) [Create a new security group] (新しいセキュリティグループを作成) または [Select an existing security group] (既存のセキュリティグループを選択) を選択します。
[Review and Launch] (確認と起動)、[Launch] (起動) の順にクリックします。
(インスタンスタイプに応じて) 既存のキーペアを選択するか、新しいキーペアを作成して、契約チェックボックスをオンにします。
[Launch Instances] (インスタンスを起動) を選択します。