AWS Systems ManagerがAWS RAMによるSSMドキュメントの組織・OU共有をサポート

AWS Systems Managerは、AWS Resource Access Manager (AWS RAM) との統合により、Systems Manager ドキュメント (SSM Documents) を AWS Organization 全体または特定の組織単位 (OU) に対して共有できるようになりました。従来は公開設定にするか、個別のアカウント ID を指定して共有していましたが、今後は RAM を通じて組織構造に基づいた自動的な共有管理が可能になります。組織外のアカウントへ共有する場合は、招待と承諾のプロセスを経てアクセス権が付与されます。本機能は、AWS Systems Manager が提供されているすべてのリージョンで利用可能であり、追加料金は発生しません。

運用上のメリット

これまでSSMドキュメントを複数アカウントで使い回す際は、アカウントIDを一つずつリストアップして管理していたため、アカウントの増減がある環境では管理コストが非常に高く、設定漏れのリスクもありました。今回のアップデートで OU単位での共有 が可能になったことで、ガバナンスを効かせた状態で効率的にドキュメントを配布できるようになります。

日本国内の利用状況

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能です。国内でマルチアカウント戦略をとっている企業にとって、即座に導入可能な機能と言えます。

実務的なアドバイス

• セキュリティ: 組織外への共有には「招待・承諾」のフローが入るため、意図しない外部への公開を防ぎつつ、安全に共有できます。
• コスト: AWS RAM を利用した共有に追加料金はかからないため、コスト面での懸念なく移行できます。
• 移行のヒント: 既存の個別アカウント指定による共有設定がある場合は、OUベースの管理に切り替えることで、今後のアカウント追加時の運用負荷をゼロにできます。

次のアクション

まずは、開発環境やテスト用のOUを作成し、RAM経由でSSMドキュメントが正しく伝播されるか、またアカウント追加時に自動的に権限が付与されるかを確認することをお勧めします。

参考ドキュメント

AWS Systems Manager ユーザーガイド https://docs.aws.amazon.com/systems-manager/latest/userguide/documents-ssm-sharing.html