AWS アカウント間での DAX へのアクセス

次のコンテンツを含む AssumeDaxRoleTrust.json という名前のテキストファイルを作成します。これにより、Amazon EC2 がお客様に代わって作業できるようになります。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ec2.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

アカウント B で、インスタンスの起動時に Amazon EC2 が使用できるロールを作成します。

aws iam create-role \
    --role-name AssumeDaxRole \
    --assume-role-policy-document file://AssumeDaxRoleTrust.json

次のコンテンツを含む AssumeDaxRolePolicy.json という名前のテキストファイルを作成します。これにより、アカウント B の EC2 インスタンスで実行されているコードが、アカウント A の IAM ロールを引き受けることができるようになります。accountA は、アカウント A の実際の ID に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::accountA:role/DaxCrossAccountRole"
        }
    ]
}

作成したロールにそのポリシーを追加します。

aws iam put-role-policy \
    --role-name AssumeDaxRole \
    --policy-name AssumeDaxRolePolicy \
    --policy-document file://AssumeDaxRolePolicy.json

インスタンスプロファイルを作成して、インスタンスがロールを使用できるようにします。

aws iam create-instance-profile \
    --instance-profile-name AssumeDaxInstanceProfile

ロールをインスタンスプロファイルに関連付けます。

aws iam add-role-to-instance-profile \
    --instance-profile-name AssumeDaxInstanceProfile \
    --role-name AssumeDaxRole

次の内容を含む DaxCrossAccountRoleTrust.json という名前のテキストファイルを作成します。これにより、アカウント B がアカウント A ロールを引き受けることができるようになります。accountB は、アカウント B の実際の ID に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::accountB:role/AssumeDaxRole"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

アカウント A で、アカウント B が引き受けることができるロールを作成します。

aws iam create-role \
    --role-name DaxCrossAccountRole \
    --assume-role-policy-document file://DaxCrossAccountRoleTrust.json

DAX クラスターへのアクセスを許可する DaxCrossAccountPolicy.json という名前のテキストファイルを作成します。dax-cluster-arn は、DAX クラスターの正しい Amazon リソースネーム (ARN) に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dax:GetItem",
                "dax:BatchGetItem",
                "dax:Query",
                "dax:Scan",
                "dax:PutItem",
                "dax:UpdateItem",
                "dax:DeleteItem",
                "dax:BatchWriteItem",
                "dax:ConditionCheckItem"
            ],
            "Resource": "dax-cluster-arn"
        }
    ]
}

アカウント A で、ロールにポリシーを追加します。

aws iam put-role-policy \
    --role-name DaxCrossAccountRole \
    --policy-name DaxCrossAccountPolicy \
    --policy-document file://DaxCrossAccountPolicy.json

アカウント A の DAX クラスターのサブネットグループを見つけます。cluster-name は、アカウント B がアクセスする必要のある DAX クラスターの名前に置き換えます。

aws dax describe-clusters \
    --cluster-name cluster-name
    --query 'Clusters[0].SubnetGroup'

その subnet-group を使用して、クラスターの VPC を見つけます。

aws dax describe-subnet-groups \
    --subnet-group-name subnet-group \
    --query 'SubnetGroups[0].VpcId'

その vpc-id を使用して、VPC の CIDR を見つけます。

aws ec2 describe-vpcs \
    --vpc vpc-id \
    --query 'Vpcs[0].CidrBlock'

アカウント B から、前のステップで見つかったものとは異なる重複しない CIDR を使用して VPC を作成します。次に、少なくとも 1 つのサブネットを作成します。AWS Management Console の VPC 作成ウィザードまたは AWS CLI のいずれかを使用できます。

アカウント B から、「VPC ピアリング接続の作成と使用」の説明に従って、アカウント A VPC へのピアリング接続をリクエストします。アカウント A から接続を受け入れます。

アカウント B から、新しい VPC のルーティングテーブルを見つけます。vpc-id は、アカウント B で作成した VPC の ID に置き換えます。

aws ec2 describe-route-tables \
    --filters 'Name=vpc-id,Values=vpc-id' \
    --query 'RouteTables[0].RouteTableId'

アカウント A の CIDR 宛てのトラフィックを VPC ピアリング接続に送信するルートを追加します。必ず、各ユーザー入力プレースホルダは、アカウントの正しい値に置き換えます。

aws ec2 create-route \
    --route-table-id accountB-route-table-id \
    --destination-cidr accountA-vpc-cidr \
    --vpc-peering-connection-id peering-connection-id

アカウント A から、以前に見つけた vpc-id を使用して DAX クラスターのルートテーブルを見つけます。

aws ec2 describe-route-tables \
    --filters 'Name=vpc-id, Values=accountA-vpc-id' \
    --query 'RouteTables[0].RouteTableId'

アカウント A から、アカウント B の CIDR 宛てのトラフィックを VPC ピアリング接続に送信するルートを追加します。各ユーザー入力プレースホルダは、アカウントの正しい値に置き換えます。

aws ec2 create-route \
    --route-table-id accountA-route-table-id \
    --destination-cidr accountB-vpc-cidr \
    --vpc-peering-connection-id peering-connection-id

アカウント B から、前のステップで作成した VPC で EC2 インスタンスを起動します。それに AssumeDaxInstanceProfile を指定します。AWS Management Console または AWS CLI いずれかの Launch Wizard を使用できます。インスタンスのセキュリティグループをメモしておきます。

アカウント A から、DAX クラスターが使用するセキュリティグループを見つけます。cluster-name を DAX クラスターの名前に置き換えることを記憶します。

aws dax describe-clusters \
    --cluster-name cluster-name \
    --query 'Clusters[0].SecurityGroups[0].SecurityGroupIdentifier'

アカウント B で作成した EC2 インスタンスのセキュリティグループからのインバウンドトラフィックを許可するように、DAX クラスターのセキュリティグループを更新します。ユーザー入力プレースホルダーは、アカウントの正しい値に置き換えることを記憶します。

aws ec2 authorize-security-group-ingress \
    --group-id accountA-security-group-id \
    --protocol tcp \
    --port 8111 \
    --source-group accountB-security-group-id \
    --group-owner accountB-id