Virtual Private Cloud:Mengelola resource alamat

Batasi alokasi Blok CIDR VPC

Dalam lingkungan multi-akun, akun bisnis sering membuat VPC dengan Blok CIDR pribadi secara independen, menyebabkan konflik alamat. Gunakan akun manajemen untuk membuat kebijakan kontrol dan menyambungkannya ke folder atau anggota. Kebijakan tersebut memaksa akun bisnis hanya mengalokasikan Blok CIDR VPC dari kolam IPAM yang dibagikan, di mana IPAM menegakkan keunikan.

Kebijakan kontrol berlaku untuk semua pengguna Manajemen Akses Sumber Daya (RAM) dan Peran RAM dari anggota dalam direktori sumber daya, tetapi tidak berlaku untuk pengguna root akun anggota. Akun manajemen bukan anggota direktori sumber daya, sehingga kebijakan kontrol tidak berlaku untuk identitas apa pun dalam akun manajemen.

Tiga kebijakan berikut mengatasi skenario penegakan yang berbeda. Pilih yang sesuai dengan kebutuhan Anda.

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "StringNotEquals": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    },
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    }
  ],
  "Version": "1"
}

Cara kerja penemuan resource

Saat Anda membuat instans IPAM, sistem secara otomatis membuat penemuan resource default dan mengaitkannya dengan instans tersebut. Wilayah efektif penemuan resource default sesuai dengan wilayah instans IPAM dan tidak dapat diubah.

Blok CIDR VPC yang ditemukan oleh penemuan resource default secara otomatis diimpor ke kolam alamat yang sesuai ketika semua kondisi berikut terpenuhi:

• Blok CIDR berada dalam Blok CIDR yang disediakan oleh kolam dan belum dialokasikan.

• Kolam berada dalam cakupan default dan memiliki Automatically Import Discovered Resource diaktifkan.

• Jika beberapa Blok CIDR yang ditemukan saling tumpang tindih, hanya yang terbesar yang diimpor.

• Jika beberapa Blok CIDR identik ditemukan, satu di antaranya diimpor secara acak.

Jika Anda belum membuat instans IPAM, buat penemuan resource kustom untuk melacak penggunaan alamat IP VPC dan vSwitch. Jika instans IPAM kemudian dibuat di wilayah yang dikelola yang sama, penemuan resource kustom tersebut secara otomatis dikonversi menjadi penemuan resource default.

Data penemuan resource diperbarui setiap 5 menit.

Bagikan penemuan resource untuk manajemen alamat multi-akun

Saat akun bisnis membuat resource dengan Blok CIDR yang tidak direncanakan, konflik alamat bisa tidak terdeteksi. Administrator jaringan dapat mengaitkan instans IPAM dengan penemuan resource yang dibagikan oleh akun bisnis untuk mengelola resource secara terpusat di berbagai akun dan mengidentifikasi konflik.

Penemuan resource default maupun kustom dapat dibagikan.

Wilayah efektif penemuan resource yang dibagikan dan instans IPAM administrator jaringan dapat berbeda, tetapi wilayah yang dikelolanya harus sama. Saat wilayah efektif berbeda:

• Pemilik resource dan administrator jaringan dapat melihat semua resource dalam wilayah efektif penemuan resource.

• Setelah administrator jaringan mengaitkan penemuan resource dengan instans IPAM, administrator hanya dapat mengelola resource dalam wilayah efektif instans IPAM.

Cakupan

Layanan tepercaya IPAM hanya mendukung operasi oleh administrator IPAM yang didelegasikan. Administrator organisasi dan anggota lain tidak dapat melakukan operasi ini.

Menunjuk administrator:

• Direktori sumber daya hanya mendukung satu administrator IPAM yang didelegasikan.

• Administrator yang didelegasikan harus merupakan anggota direktori sumber daya, bukan akun manajemen organisasi.

Mengelola anggota:

• Saat administrator IPAM yang didelegasikan menambahkan anggota, layanan tepercaya IPAM diaktifkan untuk direktori sumber daya. Saat semua anggota dihapus, layanan tepercaya IPAM dinonaktifkan.

• Administrator IPAM yang didelegasikan hanya dapat menggunakan instans IPAM di satu wilayah untuk mengelola anggota direktori sumber daya. Untuk beralih ke instans IPAM di wilayah berbeda, hapus terlebih dahulu semua anggota dari instans saat ini, lalu tambahkan ke instans di wilayah baru.

• Administrator IPAM yang didelegasikan tidak dapat mengelola node root atau folder root direktori sumber daya.

• Akun anggota yang dikelola oleh IPAM tidak dapat membagikan penemuan resource mereka sendiri kepada administrator IPAM yang didelegasikan.

• Jika jumlah akun anggota yang dikelola mencapai kuota dan akun baru ditambahkan ke folder yang dikelola, akun baru yang melebihi kuota tidak dikelola oleh layanan tepercaya IPAM.

Mencabut delegasi:

Akun administrator IPAM yang didelegasikan hanya dapat dihapus atau delegasinya dicabut setelah semua anggota yang dikelola dihapus.

Pantau pemanfaatan alamat

Buka halaman Konsol IPAM - Kolam IPAM dan klik ID kolam IPAM target.

• Tab Details menampilkan jumlah alamat IP yang tersedia, jumlah yang dialokasikan ke resource dan sub-kolam, serta — untuk sub-kolam — pemanfaatan sub-kolam dan kolam sumbernya.

• Tab IP Usage dan Allocation menampilkan detail alokasi.

Untuk memantau pemanfaatan VPC dan vSwitch, tersedia dua tampilan:

• Buka halaman Konsol IPAM - Penemuan Resource. Klik ID penemuan resource target untuk melihat Blok CIDR dan penggunaan alamat IP untuk semua VPC dan vSwitch di wilayah efektif.

• Buka halaman Konsol IPAM - Cakupan IPAM, lalu klik ID cakupan target. Di tab Resource Management, tinjau blok CIDR dan penggunaannya per VPC atau vSwitch. Di tab Monitoring Chart, lihat tren utilisasi seiring waktu dalam bentuk grafik garis.

Pantau tumpang tindih alamat

Buka halaman Konsol IPAM - Cakupan IPAM dan klik ID cakupan target.

• Tab Resource Management menampilkan status tumpang tindih Blok CIDR VPC dan vSwitch. Jika ada tumpang tindih, klik View di kolom Overlap Status untuk melihat instans yang bertabrakan.

• Tab Monitoring Chart menampilkan jumlah Blok CIDR yang tumpang tindih dari waktu ke waktu dalam bentuk grafik garis.

Pantau status manajemen dan kepatuhan

Periksa apakah Blok CIDR setiap resource dikelola oleh kolam IPAM dan mematuhi aturan alokasi kolam tersebut.

Buka halaman Konsol IPAM - Cakupan IPAM dan klik ID cakupan target. Tab Overview, Resource Management, dan Monitoring Chart semuanya menampilkan status manajemen dan kepatuhan untuk resource dalam cakupan tersebut.

Penagihan

IPAM sedang dalam pratinjau publik dan gratis selama periode pratinjau.

Kuota