Compartición de recursos entre cuentas con AWS RAM - Subnets VPC y Transit Gateway compartidos
Comparte recursos AWS entre cuentas de la organización sin duplicarlos. Presentamos la compartición de subnets VPC, Transit Gateway, Route 53 Resolver Rules y otros recursos.
Descripción general de RAM
RAM (Resource Access Manager) es un servicio que comparte recursos AWS entre múltiples cuentas. En entornos multi-cuenta, cada cuenta posee sus propios recursos, pero una configuración posible es compartir entre cuentas los recursos de red (subnets VPC, Transit Gateways), recursos DNS (reglas de Route 53 Resolver) y recursos de seguridad (políticas de Network Firewall). Compartir mediante RAM evita que cada cuenta tenga que crear de nuevo el mismo recurso. Los recursos compartidos se referencian y utilizan directamente desde las cuentas consumidoras sin necesidad de cambio de roles IAM ni relay de llamadas API. La propiedad de los recursos permanece en la cuenta de origen, y las cuentas destino reciben solo permisos de uso.
Compartición de subnets VPC
La compartición de subnets VPC es un patrón donde una cuenta de red posee la VPC y subnets, y las cuentas de carga de trabajo crean recursos (EC2, RDS, Lambda, tareas ECS) dentro de las subnets compartidas. Cada cuenta no necesita tener su propia VPC, y el espacio de direcciones IP no se divide por cuenta. La cuenta de red gestiona centralmente los bloques CIDR y, junto con IPAM, puede asignar direcciones sin solapamientos. Los grupos de seguridad permanecen independientes por cuenta, manteniendo el aislamiento de red incluso dentro de subnets compartidas. Sin embargo, las NACLs operan a nivel de subnet y son gestionadas solo por la cuenta propietaria. Los recursos en subnets compartidas pueden comunicarse directamente vía IP privada con otros recursos en la misma VPC sin requerir VPC peering o Transit Gateway.
Recursos compartibles y patrones de diseño
Los recursos compartibles a través de RAM incluyen, entre otros, subnets VPC, Transit Gateways, reglas de Route 53 Resolver, configuraciones de License Manager, clústeres Aurora DB, proyectos CodeBuild, políticas de Network Firewall, grupos de Verified Access, pools IPAM, Capacity Reservations y Outposts. La compartición dentro de una Organization se aprueba automáticamente, mientras que fuera requiere aprobación por invitación. Los permisos gestionados de RAM proporcionan control granular sobre las operaciones permitidas (solo lectura, creación habilitada, asociación habilitada). Crear permisos gestionados personalizados permite definir niveles más restrictivos.
Integración con Organizations y automatización
RAM se integra con AWS Organizations para automatizar la compartición de recursos a nivel de OU (Unidad Organizativa). Al habilitar la compartición dentro de Organizations, las cuentas destino acceden automáticamente a los recursos sin aprobación de invitación. Cuando una nueva cuenta se añade a una OU, recibe automáticamente acceso a los recursos compartidos con esa OU. Combinado con CloudFormation StackSets, esto puede automatizar la creación de cuentas, la ubicación en OU, la configuración de compartición y el despliegue inicial. Las Service Control Policies (SCP) combinadas con políticas de compartición RAM proporcionan control organizacional sobre qué recursos se comparten con qué OUs. El uso de recursos compartidos puede auditarse vía CloudTrail.
Mejores prácticas de diseño y errores comunes
Un diseño de compartición de subnets VPC asigna tamaños CIDR con margen suficiente. Como múltiples cuentas crean recursos en la misma subnet, el agotamiento de direcciones IP afecta a todas las cuentas. Según la escala de la carga de trabajo, un /24 (256 direcciones) no basta, por lo que una configuración posible es asignar un rango /20 a /22. Un error común es que eliminar un resource share se bloquea si las cuentas consumidoras aún tienen recursos (como ENIs) en la subnet compartida. Usted hace el inventario de los recursos de la subnet antes de eliminar la compartición. Para Transit Gateway compartido, el diseño de tablas de rutas determina el control de la comunicación, y usted organiza primero los requisitos de segmentación. Además, las comparticiones RAM se configuran por región, por lo que en despliegues multi-región usted crea Resource Shares separados en cada región.
Comparación con VPC Peering
La compartición de subnets VPC y VPC peering proporcionan conectividad entre cuentas, pero difieren en filosofía arquitectónica. VPC peering tiene cada cuenta con su propia VPC y conexiones de peering para enrutamiento mutuo. La conectividad full-mesh entre 10 cuentas requiere 45 conexiones de peering, y también aumentan los ajustes de tablas de rutas que hay que gestionar. La compartición de subnets consolida la VPC en una sola, eliminando la necesidad de peering. Sin embargo, con subnets compartidas, las NACLs son comunes para todas las cuentas, requiriendo VPC peering o Transit Gateway cuando se necesitan NACLs diferentes por cuenta. Un Transit Gateway compartido vía RAM proporciona conectividad hub-and-spoke a bajo costo, pero los cargos de procesamiento de datos (por GB) se acumulan según el tráfico entre cuentas, por lo que con alta comunicación una configuración posible es la compartición de subnets.
Precios de RAM
RAM en sí es gratuito. Los costos dependen del uso de los recursos compartidos por las cuentas destinatarias. Con subnets VPC compartidas, los recursos creados (EC2, RDS) se cobran a la cuenta destinataria. Con Transit Gateway compartido, las tarifas de attachment (por hora) y procesamiento de datos (por GB) se cobran a la cuenta destinataria. Para reglas de Route 53 Resolver compartidas, compartir las reglas es gratuito, pero los cargos de ENI del endpoint Resolver se cobran a la cuenta propietaria. Usted audita las comparticiones con regularidad y elimina las que ya no son necesarias.
Resumen
RAM es un servicio para compartir recursos eficientemente en entornos multi-cuenta. La compartición de subnets VPC centraliza la gestión del espacio IP y reduce conexiones VPC peering. Transit Gateway compartido consolida la conectividad. La integración con Organizations permite la compartición automática a nivel de OU, CloudFormation StackSets automatiza la configuración y CloudTrail audita el acceso. Usted establece con antelación los planes de dimensionamiento CIDR y las reglas de inventario.
Referencias (recursos oficiales de AWS)
Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.
- AWS Resource Access Manager (página oficial)
- AWS Organizations (página oficial)
- Amazon VPC (página oficial)
- Documentación de AWS (oficial)
Si esta página y la documentación oficial difieren, prevalece la documentación oficial.