AWS Transit Gateway接続

本トピックでは、iDoperation Cloudとお客様のハイブリッド環境（AWSとオンプレミスのネットワークを接続した環境）を、お客様の環境で利用しているAWS Transit Gatewayで接続するための具体的な設定方法について説明します。
iDoperation Cloudとお客様のネットワーク環境との接続に関する全体概要は、「お客様環境と接続する」トピックを確認してください。

概要

iDoperation Cloudでは、お客様のハイブリッド環境とAWS Transit Gatewayによる接続機能を提供しています。
本接続はManagement Outbound通信として利用され、iDoperation Cloudからお客様AWS環境およびオンプレミス環境内のターゲットへ安全に接続するために使用されます。
お客様側のAWS Transit GatewayをiDoperation Cloud側のAWSアカウントと共有し、必要なネットワーク設定を行うことで、AWS Transit Gatewayを介してiDoperation Cloud側のAWS環境とお客様環境のネットワーク間の接続が確立されます。

前提条件

お客様側では、以下の条件を満たしている必要があります。

・接続に使用するAWS Transit Gatewayが、お客様側のAWS環境に作成されていること。
・iDoperation Cloudから接続する対象サーバおよびネットワークへの通信について、ファイアウォールやセキュリティグループ等で許可できること。
・AWS Transit Gatewayの共有設定およびルーティング設定を行うためのAWS権限を有していること。
・テクニカルサポートより提供されるAWSアカウントID情報を使用して、AWS Transit Gatewayの共有設定を行えること。

接続設定の流れ

AWS Transit Gateway接続は、以下の手順で設定します。

テクニカルサポートへ連絡する情報

iDoperation Cloudと接続を行うAWS Transit Gateway環境側の情報をテクニカルサポートへ連絡してください。
※iDoperation CloudとのAWS Transit Gateway接続は、最大4つの環境まで接続できます。
※複数環境と接続する場合は、すべてのネットワーク情報を連絡してください。
※1つのAWS Transit Gatewayへの接続で指定できるネットワーク情報（IPアドレスCIDR）は1つです。複数のネットワークを1つのAWS Transit Gateway接続で接続する場合は、1つのCIDRに集約してください。 

連絡する情報

クリップボードにコピー

(1)ネットワーク情報

ネットワークアドレス：＜iDoperation Cloudと接続するネットワークのIPv4アドレス（CIDR形式）＞

設定手順

お客様が実施するAWS Transit Gatewayの共有、自動承諾およびネットワーク設定の手順を説明します。
AWSマネジメントコンソールで設定を行います。

AWS Transit Gatewayの共有

お客様側のAWS Transit GatewayをiDoperation Cloud側のAWSアカウントと共有します。

1．AWSマネジメントコンソールでResource Access Managerコンソールに移動します。

2．左ペインの「自分が共有」にある「リソースの共有」をクリックします。

3．「リソースの共有の作成」をクリックします。

4．以下の内容を設定します。
・name：任意の名前
・リソースタイプ：「トランジットゲートウェイ」
・リソースID：接続に使用するお客様環境のAWS Transit Gateway
・プリンシパル：テクニカルサポートより提供された＜iDoperation Cloud側のAWSアカウントID＞ 

5．「リソース共有の作成」をクリックします。

共有アタッチメントの自動承諾の設定

iDoperation Cloud側から作成される共有アタッチメントを自動的に承諾するよう設定します。
AWSでは、Transit Gatewayの「共有アタッチメントを自動承諾」を有効にすると、クロスアカウントからのVPCアタッチメント要求が自動的に承諾されます。
※共有アタッチメントの自動承諾設定には、有効期限があります。テクニカルサポート側の作業完了まで共有設定が有効となるよう、期限を設定してください。
※共有アタッチメントの自動承諾設定は、AWS Transit Gateway接続の確立後に無効化しても問題ありません。

1．AWSマネジメントコンソールで「VPCダッシュボード」-「Transit Gateway」に移動し、iDoperation Cloudと接続するAWS Transit Gatewayを選択します。

2．右上の「アクション▼」から、「Transit Gatewayを変更」を選択します。

3．表示された設定内容より「クロスアカウント共有オプションの設定」の「共有アタッチメントを自動承諾」にチェックをします。

4．チェックが入ったら、下部の「Transit Gatewayの変更」をクリックして、変更内容を保存します。

サブネットのルートテーブルへの経路追加

iDoperation Cloudからお客様環境内のターゲットへ通信するための経路を設定します。
VPCからAWS Transit Gatewayを経由して通信するには、VPC側のルートテーブルにAWS Transit Gatewayをターゲットとする経路を設定する必要があります。

1．AWSマネジメントコンソールで「VPCダッシュボード」-「ルートテーブル」に移動します。

2．通信サブネットに紐づけているルートテーブルを選択します。

3．「ルート」タブでターゲットとなるルート「tgw-***」を追加します。

Transit Gatewayルートテーブルへの経路追加

お客様環境からiDoperation Cloud側へ通信を返すための経路をAWS Transit Gatewayに設定します。

1．AWSマネジメントコンソールで「VPCダッシュボード」-「Transit Gatewayルートテーブル」に移動します。

2．利用するTransit Gateway IDをクリックします。

3．「ルート」タブにあるルートテーブルに「iDoperation Cloudのネットワークアドレス／サブネットマスク（CIDR形式）」を設定します。

接続確認

以下の手順により、お客様側のAWS環境およびオンプレミス環境で、iDoperation Cloud側のAWS環境とのAWS Transit Gateway接続および通信状態を確認します。

接続確認は以下の観点で実施します。
・AWS Transit GatewayのVPCアタッチメントが利用可能な状態であること
・VPCおよびAWS Transit Gatewayのルーティング設定が正しく行われていること
・AWS Transit Gateway経由でiDoperation Cloudからターゲットへアクセスできること 

上記のすべてを満たす場合、AWS Transit Gateway接続は正常に構成されています。

VPCアタッチメントの状態確認

iDoperation Cloud側のAWS環境とのVPCアタッチメントが正常に確立していることを確認します。
確認方法は以下のとおりです。

1．お客様側のAWSマネジメントコンソールでVPCサービスを開きます。

2．左ペインの「Transit Gatewayアタッチメント」をクリックします。

3．iDoperation Cloud側のAWS環境とのVPCアタッチメントを選択します。

4．VPCアタッチメントの状態が「使用可能（Available）」であることを確認します。

ネットワーク設定の確認

AWS Transit Gateway経由で通信するために必要なルーティング設定が正しく行われていることを確認します。

確認方法は以下のとおりです。

1．接続対象となるターゲットが所属するネットワークのルートテーブルを確認します。

2．iDoperation Cloud側のネットワークアドレス／サブネットマスク（CIDR）宛ての経路が、AWS Transit Gatewayを経由する設定になっていることを確認します。

3．Transit Gatewayルートテーブルを確認し、iDoperation Cloud側のネットワークアドレス／サブネットマスク（CIDR）およびターゲット側ネットワークへの経路が設定されていることを確認します。

4．ターゲット側のネットワークからiDoperation Cloud側へ通信を返すための経路が設定されていることを確認します。

5．対象サーバーのセキュリティグループ、ネットワークACL、ファイアウォール等で、iDoperation Cloudからの必要な通信が許可されていることを確認します。

※ルートテーブル、Transit Gatewayルートテーブル、セキュリティグループ、ネットワークACL、ファイアウォール等の設定内容は、お客様環境のネットワーク構成により異なります。

ターゲットへの接続確認

Transit Gateway経由でiDoperation Cloudからお客様環境内のターゲットへアクセスできることを確認します。以下を参考に、ターゲットの登録状況に応じてアクセスを確認してください。 

・iDoperation PAM Cloudに、お客様のAWS環境内もしくはオンプレミス環境にあるターゲットが登録されている場合
　ターゲットとの接続テストを行い、成功することを確認してください。「ターゲットの詳細」の接続テストから行えます。

・iDoperation PAM Cloudに、お客様のAWS環境内もしくはオンプレミス環境にあるターゲットが登録されていない場合
　ターゲットの追加を行い、アカウントの同期「する」を選択して、接続テストに成功することを確認してください。