Virtual Private Cloud:Manajemen sumber daya alamat

Batasi alokasi Blok CIDR dari kolam IPAM

Di lingkungan multi-akun, konflik Blok CIDR sering terjadi ketika akun bisnis secara independen membuat VPC dengan Blok CIDR pribadi. Untuk mencegah alokasi sembarangan, Anda dapat menggunakan akun manajemen untuk membuat kebijakan kontrol dan menyambungkannya ke folder atau anggota. Kebijakan ini membatasi akun bisnis hanya boleh mengalokasikan Blok CIDR VPC dari kolam IPAM yang dibagikan. IPAM memastikan bahwa Blok CIDR yang dialokasikan tidak tumpang tindih, sehingga mencegah konflik alamat saat Anda menghubungkan VPC.

Kebijakan kontrol berlaku untuk semua Pengguna RAM dan Peran RAM dari anggota dalam Resource Directory, tetapi tidak berlaku untuk pengguna root dari akun anggota. Selain itu, akun manajemen Resource Directory berada di luar Resource Directory dan tidak termasuk di dalamnya.

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "StringNotEquals": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    },
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    }
  ],
  "Version": "1"
}

Kelola alamat dengan penemuan resource

Penemuan resource secara terus-menerus menemukan dan melacak pemanfaatan alamat Blok CIDR VPC dan vSwitch dalam Effective Region. Setelah Anda mengasosiasikan penemuan resource dengan instans IPAM, instans IPAM tersebut mengelola Blok CIDR yang ditemukan secara terpusat.

1. Secara default, wilayah operasional penemuan resource sama dengan wilayah instans IPAM dan tidak dapat diubah.

2. Penemuan resource diperbarui setiap 5 menit.

• Saat Anda membuat instans IPAM, sistem membuat penemuan resource default dan mengasosiasikannya dengan instans IPAM. Blok CIDR VPC yang memenuhi aturan berikut secara otomatis diimpor ke kolam IPAM yang sesuai untuk manajemen terpusat.

  • Hanya Blok CIDR yang belum dialokasikan dan berada dalam rentang CIDR yang disediakan oleh kolam IPAM yang diimpor.

  • Blok CIDR hanya diimpor ke kolam IPAM yang memiliki opsi Automatically Import Discovered Resource diaktifkan dalam cakupan default.

  • Jika beberapa Blok CIDR yang ditemukan saling tumpang tindih, IPAM hanya mengimpor Blok CIDR terbesar.

  • Jika beberapa Blok CIDR identik ditemukan, IPAM secara acak mengimpor salah satunya.

• Jika belum ada instans IPAM yang dibuat, Anda dapat membuat penemuan resource kustom untuk melacak pemanfaatan alamat Blok CIDR VPC dan vSwitch. Setelah Anda membuat instans IPAM di wilayah yang dikelola, penemuan resource kustom tersebut secara otomatis dikonversi menjadi penemuan resource default.

# Tentukan wilayah tempat belum ada instans IPAM dan penemuan resource kustom dapat dibuat.
provider "alicloud" {
  region = "cn-shanghai"
}

resource "alicloud_vpc_ipam_ipam_resource_discovery" "example_ipam_resource_discovery" {
  operating_region_list               = ["cn-shanghai"]     # Tentukan wilayah operasional penemuan resource IPAM.
  ipam_resource_discovery_name        = "example_ipam_resource_discovery_name"
}

Manajemen terpusat dengan penemuan resource yang dibagikan

Jika akun bisnis menggunakan Blok CIDR yang tidak direncanakan untuk membuat resource, konflik alamat dapat terjadi. Administrator jaringan dapat mengasosiasikan instans IPAM dengan penemuan resource yang dibagikan oleh akun bisnis untuk mengelola resource di beberapa akun secara terpusat dan menyelesaikan konflik alamat.

Penemuan resource default maupun kustom dapat dibagikan.

Wilayah operasional penemuan resource yang dibagikan dan instans IPAM administrator jaringan dapat berbeda, tetapi wilayah yang dikelola (wilayah pembuatan) mereka harus sama. Jika wilayah operasional berbeda, aturan berikut berlaku:

• Pemilik resource (akun bisnis dalam contoh ini) dan administrator jaringan dapat mengelola dan melihat semua resource dalam wilayah operasional penemuan resource.

• Setelah administrator jaringan mengasosiasikan penemuan resource dengan instans IPAM, administrator hanya dapat mengelola resource dalam wilayah operasional instans IPAM.

Lihat informasi IP resource yang ditemukan

Anda dapat menggunakan penemuan resource untuk melihat detail semua alamat IPv4 pribadi yang digunakan dalam VPC dan vSwitch yang ditemukan. Detail tersebut mencakup alamat IP, ID resource, wilayah tempat resource berada, dan jenis layanan cloud. Hal ini membantu Anda memahami secara komprehensif pemanfaatan alamat di jaringan Anda.

Anda hanya dapat mengkueri informasi IP untuk VPC dan vSwitch yang dikelola oleh penemuan resource.

• Anda dapat memfilter berdasarkan ID VPC, ID vSwitch, atau Blok CIDR. Anda dapat menentukan Blok CIDR IPv4 yang valid apa pun, termasuk Blok CIDR /32 untuk mencocokkan alamat IP tertentu. Blok CIDR harus digunakan bersamaan dengan ID VPC atau ID vSwitch.

• Kombinasi kueri berikut didukung: hanya ID VPC, hanya ID vSwitch, ID VPC + CIDR, ID vSwitch + CIDR, dan ID VPC + ID vSwitch + CIDR.

Catatan penggunaan

Hanya administrator yang didelegasikan IPAM dari Resource Directory yang dapat melakukan operasi untuk layanan tepercaya IPAM. Administrator organisasi atau anggota lain tidak dapat melakukan operasi ini.

• Delegasikan administrator: Resource Directory hanya mendukung satu administrator yang didelegasikan untuk layanan tepercaya IPAM. Akun administrator yang didelegasikan harus merupakan akun anggota Resource Directory dan tidak boleh merupakan akun manajemen organisasi.

• Kelola anggota: 

  • Saat administrator yang didelegasikan IPAM menambahkan anggota, layanan tepercaya IPAM diaktifkan untuk direktori resource. Saat semua anggota dihapus, layanan tepercaya IPAM dinonaktifkan.

  • Untuk mengelola anggota menggunakan instans IPAM di wilayah berbeda, Anda harus terlebih dahulu menghapus semua anggota dari instans saat ini lalu menambahkannya ke instans baru.

  • Administrator yang didelegasikan IPAM tidak dapat mengelola node root atau folder root Resource Directory sebagai anggota.

  • Akun anggota yang dikelola oleh instans IPAM tidak dapat membagikan penemuan resource mereka sendiri dengan administrator yang didelegasikan IPAM.

  • Jika Anda mencapai kuota akun anggota untuk layanan tepercaya IPAM, akun baru yang ditambahkan ke folder yang dikelola di Resource Directory tidak akan dikelola oleh layanan tersebut.

• Mencabut delegasi: Saat administrator yang didelegasikan IPAM menghapus semua anggota yang dikelola, Anda dapat menghapus akun administrator yang didelegasikan atau mencabut delegasi tersebut.

Pantau pemanfaatan alamat

Pantau pemanfaatan alamat untuk segera meningkatkan resource yang memiliki pemanfaatan tinggi.

• Untuk memantau pemanfaatan alamat kolam IPAM, buka halaman Konsol IPAM - Kolam IPAM dan klik ID kolam IPAM target.

  • Di tab Details, Anda dapat melihat jumlah alamat IP yang tersedia di kolam IPAM dan jumlah alamat IP yang dialokasikan ke resource dan sub-kolam. Jika kolam IPAM adalah sub-kolam, Anda juga dapat melihat pemanfaatan alamat baik sub-kolam maupun kolam sumbernya.

  • Di tab IP Usage dan Allocate, Anda dapat melihat detail alokasi kolam IPAM.

• Untuk memantau pemanfaatan alamat VPC dan vSwitch:

  • Buka halaman Konsol IPAM - Penemuan Resource. Klik ID penemuan resource target untuk melihat Blok CIDR dan pemanfaatan alamat semua VPC dan vSwitch dalam wilayah operasional.

  • Buka halaman Konsol IPAM - Cakupan IPAM dan klik ID cakupan target.

    • Di tab Resource Management, Anda dapat melihat Blok CIDR dan pemanfaatan alamat VPC dan vSwitch dalam cakupan ini. Klik ID VPC atau vSwitch untuk melihat pemanfaatan alamatnya.

    • Di tab Monitoring Chart, Anda dapat menggunakan grafik garis untuk memantau pemanfaatan alamat VPC dan vSwitch dalam cakupan ini dari waktu ke waktu.

Pantau tumpang tindih alamat

Pantau tumpang tindih alamat untuk secara proaktif mengidentifikasi dan menyelesaikan konflik alamat di jaringan Anda. Hal ini mencegah konflik akses selama interkoneksi jaringan.

Buka halaman Konsol IPAM - Cakupan IPAM dan klik ID cakupan target.

• Di tab Resource Management, Anda dapat melihat status tumpang tindih Blok CIDR VPC dan vSwitch dalam cakupan saat ini. Jika ada Blok CIDR yang tumpang tindih, klik View di kolom Overlap Status (Overlapping) untuk melihat detail instans yang bertabrakan.

• Di tab Monitoring Chart, grafik garis memungkinkan Anda memantau jumlah Blok CIDR yang tumpang tindih dalam cakupan ini dari waktu ke waktu.

Pantau manajemen dan kepatuhan Blok CIDR

Buka halaman Konsol IPAM - Cakupan IPAM dan klik ID cakupan target. Di tab Overview, Resource Management, dan Monitoring Chart, Anda dapat memeriksa apakah Blok CIDR resource dikelola oleh kolam IPAM dan apakah sesuai dengan aturan alokasi kolam tersebut.

Penagihan

IP Address Manager (IPAM) sedang dalam pratinjau publik dan gratis selama periode pratinjau.

Kuota