IPAM スコープとプールを使用して IP アドレス範囲を計画および割り当てることで、CIDR の重複を防ぎ、IP アドレス枯渇のリスクを低減します。
IPAM スコープは、独立した IP アドレス空間を表します。異なるエンティティに独立した管理を持つ独自のアドレス空間を提供するために、個別のスコープを作成します。スコープには、重複する CIDR ブロックを含めることができます。
スコープ内で IPAM プールを作成し、CIDR ブロックをプロビジョニングして、使用可能なアドレス範囲をリージョン、部門、または LOB (事業分野) ごとに階層的に分割します。
計画済みの IPAM プールを複数のビジネスアカウントと共有し、それらのアカウントが共有プールからアドレスリソースを割り当てられるようにします。
アドレス計画の設計
IPAM プールの CIDR 設計
IPAM プールの CIDR 設計では、IP アドレス空間を複数のレベル (リージョン、部門、LOB レベルなど) に分割し、柔軟かつ効率的な管理を実現します。
階層的な計画：まず大規模なリージョン別 CIDR ブロックを作成し、それを異なる部門や LOB 向けに細分化することで、IP アドレスの競合を防ぎます。このアプローチにより、ネットワーク管理者は CIDR ブロックを容易に集約・割り当てることができ、ネットワーク管理とルーティング設定が簡素化されます。
分割ロジック：IPAM プールの階層は単一のスキームに限定されません。リージョン、部門、LOB、またはプロダクト別に整理された多階層、多リージョンのアドレス計画を構築し、対応するセキュリティグループ、ネットワーク ACL、ファイアウォールルールを設定できます。プールの最大深度は 10 階層です。
例えば、ある企業が Alibaba Cloud 上に複数のコアサービスをデプロイする計画があり、全体のアドレス空間として 10.0.0.0/8 を使用するとします。ビジネスアーキテクチャには、マルチリージョン展開、LOB ごとの複数環境展開 (それぞれに隔離された本番、ステージング、テスト環境)、および一部のサービスでネットワーク相互接続が必要な場合があります。IPAM プールの CIDR 設計アプローチに従って、アドレス範囲を段階的に分割・割り当てます。
ネットワーク計画：
計画ディメンションの決定：ビジネスアーキテクチャに基づき、階層レベルをリージョン、LOB、環境として設定します。
拡張容量の予約：リージョン (3 つ使用中、5 つ予約)、LOB (リージョンごとに 6 つのコア、10 予約)、環境 (LOB ごとに本番、テスト、開発)。
CIDR ブロックの段階的な計画：
リージョンごとのアドレス空間の分割：8 つのリージョンをサポートするには、8 つのアドレス範囲が必要です (2^3 = 8)。各リージョンの CIDR ブロックは、マスクが
/11(/8+ 3) となります。割り当て例：
10.0.0.0/11、10.32.0.0/11、10.64.0.0/11が 3 つのアクティブなリージョンに割り当てられ、残りの 5 ブロックは将来の使用のために予約されます。同じロジックに従い、各 LOB ブロックは
/15のマスク (16 の LOB をサポート、/11+ 4) を使用し、各環境ブロックは/17のマスク (3 つの環境をサポート、/15+2) を使用します。
IPAM によるアドレス計画の実装：
トップレベルプールの作成：デフォルトのプライベートスコープで、
10.0.0.0/8を持つトップレベルプールを作成します。リージョンプールの作成：
10.0.0.0/8プールの下に、各リージョン用の/11サブプールを作成します。LOB プールの作成：各リージョンプールの下に、各 LOB 用の
/15サブプールを作成します。環境プールの作成：各 LOB プールの下に、割り当て用の
/17サブプールを作成します。これらのプールは、VPC の作成やカスタム割り当てなどのためにビジネスアカウントと共有できます。
隔離されたビジネス環境
買収した企業やマルチテナント環境など、ビジネス環境が独立した管理やより強力な隔離を必要とする場合は、複数のプライベートスコープを作成して個別に管理します。各スコープは独自の管理ポリシーと権限設定を持つことができ、スコープ間では重複する CIDR ブロックを含めることができます。ただし、これらの環境がネットワーク相互接続を必要とするかどうかを評価する必要があります。重複する CIDR ブロックは相互接続されたネットワークで競合を引き起こす可能性があるため、慎重に計画してください。
例えば、企業 A が企業 B を買収し、両社が重複する IP アドレス範囲を持っているシナリオでは、各社に個別のスコープを作成します。アドレスが重複していても、IPAM 内では競合は発生しません。各スコープを使用して、各社の IP 割り当て状況を独立して表示できます。この可視性により、IP アドレスの競合を避けつつ、統合されたネットワークを効果的に運用するための適切なネットワーク接続とルーティングモデルを設計できます。
ハイブリッドクラウドとマルチクラウドのネットワーク設計
ハイブリッドクラウドまたはマルチクラウドアーキテクチャでは、IPAM プールにカスタム割り当て CIDR を作成して、オンプレミスデータセンターの範囲や他のクラウドプロバイダーの範囲を予約します。これにより、予約された範囲が他のクラウドリソースに割り当てられるのを防ぎ、VPC の CIDR ブロックとオンプレミスまたはサードパーティのクラウド範囲との間の競合を回避します。
IPAM スコープとプールによる計画
IPAM スコープと IPAM プールを使用して、使用可能な CIDR アドレス範囲を計画します。
IPAM を作成すると、システムは自動的にパブリックスコープとプライベートスコープを作成します。これらは削除できません。
パブリックスコープ：デフォルトの Alibaba Cloud IPv6 アドレス範囲の割り当てと使用をサポートし、サービス計画と IPv6 リソースの割り当てを行います。
プライベートスコープ：IPv4 アドレス範囲の割り当てと使用をサポートします。追加のプライベートスコープを作成して、別々のアドレス空間を独立して管理できます。
個別のプライベートスコープを作成することで、重複するアドレス範囲を持つエンティティに、それぞれ独立した IP アドレス空間を提供できます。これは、企業買収、マルチテナント環境、またはセキュリティ隔離のシナリオに適しています。
IPAM プールを作成し、リージョン、部門、または LOB ごとにアドレス範囲を階層的に分割します：
管理する予定の CIDR ブロックをトップレベルプールにプロビジョニングします。
異なる IPAM スコープ内のプールは、プロビジョニングされた CIDR が重複する可能性があります。異なるスコープ内の環境がネットワーク相互接続を必要とするかどうかを評価してください。重複する CIDR ブロックは、接続されたネットワークでルーティングの競合を引き起こす可能性があるため、慎重に計画する必要があります。
同じスコープ内では、複数のトップレベルプールを作成できますが、それらのプロビジョニングされた CIDR は重複できません。
トップレベルプールの計画済み CIDR を、リージョンや LOB ごとに複数の階層のサブプールに細分化し、各環境が重複しないアドレス範囲を使用して競合を回避するようにします。
コンソール
IPAM スコープを使用した独立したアドレス空間の計画
IPAM コンソールに移動します。トップメニューバーで、IPAM を作成したいリージョン (マネージドリージョン) を選択します。
IPAM の作成 をクリックします。 マネージドリージョンに加えて、対象リージョン を追加できます。 IPAM は、すべてのオペレーティングリージョンにわたってアドレスリソースを一元管理します。 作成後、オペレーティングリージョンを追加または削除できますが、マネージドリージョンは削除できません。
システムはデフォルトでパブリックスコープとプライベートスコープを作成します。追加の独立した IPv4 アドレス空間を計画するには、IPAM スコープ ページに移動し、スコープの作成 をクリックします。
IPAM プールを作成してアドレス範囲を計画する
IPAM コンソール - IPAM プール ページに移動し、ページ上部で IPAM マネージドリージョンを選択し、アドレスプールの作成 をクリックします。
スコープ: 計画したい IP バージョンに一致するスコープを選択します。
CIDR 範囲：
IPAM: IPAM スコープ内にトップレベルプールを作成します。初めてアドレス範囲を計画する際に、これを選択します。
IPAM アドレスプール: サブプールを作成します。IPAM 内の別のプールを ソース IPAM アドレスプール として使用し、そこからこのプールに割り当てる CIDR を選択します。計画済みのアドレス範囲をさらに細分化して使用する場合に選択します。
IP バージョン: 選択したスコープによって決定されます。
公開範囲: IPv6 のみ。 IPv6 CIDR タイプには、BGP (Multi-ISP) を選択します。
プライベートスコープ：IPv4 のみ。
対象リージョン: リソースは、そのリージョンが運用リージョンと一致する場合にのみ、プールから割り当てられます。
有効なリージョンは IPAM の有効なリージョン内でなければならず、作成後に変更することはできません。
IPv6 アドレス範囲を計画する際に必須です。サブプールは、ソースプールから有効なリージョンを継承します。
IPv4 アドレス範囲を計画する際にはオプションです。ソースプールに有効なリージョンが設定されている場合、サブプールはそれを継承します。ソースプールに有効なリージョンがない場合、サブプールの有効なリージョンは IPAM の有効なリージョン内でなければなりません。
発見したリソースの自動導入: この機能を有効にすると、IPAM は リソース検出を使用し、操作リージョン内で CIDR ブロックがプールの範囲内にあり、まだ IPAM で追跡されていない VPC を継続的に検出します。
このパラメーターは、対象リージョン が設定されている場合にのみ有効になります。プールに 対象リージョン が設定されていない場合、発見したリソースの自動導入 を有効にすることはできません。
IPAM が複数の重複する CIDR を検出した場合、最大の CIDR のみを自動インポートします。
IPAM が複数の同一の CIDR を検出した場合、そのうちの 1 つだけをランダムにインポートします。
作成後、プールの詳細ページの詳細情報タブ、または編集ページで、自動インポートを有効化または無効化できます。
CIDR のプロビジョニング: CIDR がプロビジョニングされているプールのみが、リソースに CIDR を割り当てることができます。
IPv6 トップレベルプールは、アドレスマスクを選択することで 1 つの CIDR のみをプロビジョニングできます。IPv4 トップレベルプールは、アドレス範囲の入力をサポートし、複数の CIDR をプロビジョニングできます。
サブプールは、アドレス範囲の入力、アドレスマスクの選択、または可視化インターフェイスを使用してソースプールから割り当て可能な部分を選択することで、複数の CIDR をプロビジョニングできます。
作成後、プールの詳細ページの CIDR タブで追加の CIDR をプロビジョニングできます。
割り当てルール：プールからリソースに CIDR を割り当てる場合、プレフィックス長は最小値と最大値の範囲内である必要があります。マスクが指定されていない場合は、デフォルトのプレフィックス長が使用されます。
IPv6 プールの場合、最小、デフォルト、および最大のプレフィックス長の範囲は 0〜128 です。IPv4 プールの場合、範囲は 0〜32 です。
作成後、プールの詳細ページのコンプライアンスルール タブで割り当てルールを変更できます。
プールに CIDR がプロビジョニングされた後、その下にサブプールを作成するか、IPAM 計画を使用して VPC を作成できます。
CIDR のプロビジョニング解除
プロビジョニングを解除する前に、CIDR が VPC、IPAM プール、またはカスタム割り当てに割り当てられていないことを確認してください。ターゲットのプール ID をクリックするか、操作 > 管理 をクリックします。CIDR タブで、ターゲット CIDR を見つけ、操作 列の プロビジョニングをキャンセル をクリックします。
IPAM プールの削除
削除する前に、プールにサブプールまたはプールアロケーションがないことを確認してください。これらの条件が満たされている場合、CIDR を手動でプロビジョニング解除しなくても、プールを直接削除できます。操作 列または詳細ページで、削除 をクリックします。
サブプールが存在する場合、サブプール > 関連サブプール に移動し、サブプールを削除します。
VPC の割り当てがある場合は、割り当て済み VPC > 関連する割り当て済み VPC に移動し、対応する VPC を削除します。
IPv4 プールの VPC のみ、ダイアログから直接削除できます。IPv6 プールの場合、ビジネスへの影響がないことを確認した後、VPC の詳細ページに移動して VPC を削除し、割り当てを解放します。
カスタム割り当てが存在する場合は、カスタムアドレス割り当て > 関連するカスタムアドレス割り当て に移動し、カスタム割り当てを削除します。
IPAM スコープの削除
2 つのデフォルトのスコープは削除できません。カスタムスコープの場合は、操作 列または詳細ページで 削除 をクリックします。削除する前に、スコープ配下のすべての IPAM プールが削除されていることを確認してください。
IPAM の削除
削除する前に、すべての IPAM プールとカスタム範囲が削除されていることを確認してください。操作 列または詳細ページで、削除 をクリックします。
API
IPAM スコープを使用した独立したアドレス空間の計画
OpenVpcIpamService を呼び出して IPAM を有効化します。
CreateIpam を呼び出して IPAM を作成します。
CreateIpamScope を呼び出してプライベート IPAM スコープを作成します。
IPAM プールの作成と CIDR のプロビジョニング
CreateIpamPool を呼び出して IPAM プールを作成します。
AddIpamPoolCidr を呼び出してプールに CIDR ブロックをプロビジョニングします。
リソースのクリーンアップ
DeleteIpamPoolCidr を呼び出してプールから CIDR ブロックのプロビジョニングを解除します。
DeleteIpamPool を呼び出して IPAM プールを削除します。
DeleteIpamScope を呼び出してカスタム IPAM スコープを削除します。
DeleteIpam を呼び出して IPAM を削除します。
Terraform
リソース： alicloud_vpc_ipam_service、alicloud_vpc_ipam_ipam、alicloud_vpc_ipam_ipam_scope、alicloud_vpc_ipam_ipam_pool、alicloud_vpc_ipam_ipam_pool_cidr
# IPAM を作成するリージョンを指定します
provider "alicloud" {
region = "cn-hangzhou"
}
# IPAM サービスを有効化します (初回使用時に必須)
resource "alicloud_vpc_ipam_service" "example_ipam_service" {
}
# IPAM を作成します
resource "alicloud_vpc_ipam_ipam" "example_ipam" {
ipam_name = "example_ipam_name"
operating_region_list = ["cn-hangzhou"] # IPAM の有効なリージョンを指定します
}
# IPAM スコープを作成します
resource "alicloud_vpc_ipam_ipam_scope" "example_ipam_scope" {
ipam_scope_name = "example_ipam_scope_name"
ipam_id = alicloud_vpc_ipam_ipam.example_ipam.id
ipam_scope_type = "private" # プライベートスコープ
}
# IPAM プールを作成します
resource "alicloud_vpc_ipam_ipam_pool" "example_parentIpamPool" {
ipam_scope_id = alicloud_vpc_ipam_ipam_scope.example_ipam_scope.id # IPAM スコープを指定します
ipam_pool_name = "example_parentIpamPool_name"
pool_region_id = alicloud_vpc_ipam_ipam.example_ipam.region_id # プールの有効なリージョンを指定します
ip_version = "IPv4" # IP バージョンを指定します
}
# プールに CIDR ブロックをプロビジョニングします
resource "alicloud_vpc_ipam_ipam_pool_cidr" "example_ipamPoolCidr" {
cidr = "10.0.0.0/16" # CIDR を指定します
ipam_pool_id = alicloud_vpc_ipam_ipam_pool.example_parentIpamPool.id # プール ID を指定します
}
# IPAM サブプールを作成します
resource "alicloud_vpc_ipam_ipam_pool" "example_childIpamPool" {
ipam_pool_name = "example_childIpamPool_name"
ipam_scope_id = alicloud_vpc_ipam_ipam_scope.example_ipam_scope.id # IPAM スコープを指定します
pool_region_id = alicloud_vpc_ipam_ipam.example_ipam.region_id # プールの有効なリージョンを指定します
source_ipam_pool_id = alicloud_vpc_ipam_ipam_pool.example_parentIpamPool.id # ソースプール ID を指定します
ip_version = "IPv4" # IP バージョンを指定します
}
# サブプールに CIDR ブロックをプロビジョニングします
resource "alicloud_vpc_ipam_ipam_pool_cidr" "example_childIpamPoolCidr" {
cidr = "10.0.0.0/24" # CIDR を指定します
ipam_pool_id = alicloud_vpc_ipam_ipam_pool.example_childIpamPool.id # プール ID を指定します
}計画済みプールの複数アカウント間での共有
ネットワーク管理者は、作成したプールをビジネスアカウント (プールコンシューマー) と共有できます。ビジネスアカウントは、共有プールを使用して VPC のアドレスを割り当てたり、カスタム割り当てを作成したりできます。
任意の Alibaba Cloud アカウントと共有：コンシューマーはリソース共有の招待に同意する必要があります。
リソースディレクトリ内で共有：コンシューマーは確認する必要がなく、招待は自動的に承諾されます。
コンソール
このセクションでは、任意の Alibaba Cloud アカウントとプールを共有する方法について説明します。リソースディレクトリ内で共有するには、「リソースディレクトリ内のオブジェクトとリソースを共有する」をご参照ください。
IPAM プールの共有
プールの所有者としてログインします。IPAM コンソール - IPAM プール ページに移動し、ページ上部で対象プールのリージョンを選択します。対象のプール ID をクリックするか、操作 > 管理 の順にクリックします。共有管理 タブで、リソース共有の作成 をクリックします。
リソース共有の作成 ページで、ウィザードに従ってリソース共有を設定します。
リソース を IPAM アドレスプール に設定し、共有する IPAM プール を選択します。
IPAM プールリソースに関連付けられた権限は
AliyunRSDefaultPermissionIpamPoolです。依頼人のスコープ を 任意のアカウントへの共有を許可します に、追加方法 を 手動で追加 に設定します。プールのコンシューマーの Alibaba Cloud アカウント ID を入力し、追加 をクリックします。
構成を確認して、確認する をクリックします。
プールコンシューマーとしてログインし、共有の招待に同意します：
Resource Management コンソールの [リソース共有] - [自分と共有] ページに移動します。
上部のメニューバーで、共有リソースが配置されているリージョンを選択します。 対象の共有ユニットのステータス列で、承認をクリックします。
共有が承諾されると、コンシューマーは IPAM アドレスプール ページの 共有プール タブでプールを表示でき、そのプールを使用して IPAM を使用して VPC を計画および作成することや IPAM を使用して VPC を計画および作成することができます。
共有の停止
プールの所有者としてログインします。IPAM アドレスプール 詳細ページで、共有管理 タブに移動し、対象の共有ユニットをクリックして詳細ページを開き、リソース共有の削除 を選択します。
共有が停止されると、コンシューマーはプールを表示できなくなります。ただし、共有プールから作成された既存のアドレス割り当ては影響を受けません。コンシューマーが VPC を削除すると、対応するプールの割り当てが解放されます。
プール所有者は、コンシューマーが作成した VPC タイプの割り当てやカスタム割り当ての解放を含む、プールの割り当てを管理し続けることができます。
API
IPAM プールの共有
方法 1：任意のアカウントと共有
プール所有者の認証情報を使用して、CreateResourceShare を呼び出してリソース共有を作成します。
AllowExternalTargetsをTrueに設定します。コンシューマーの認証情報を使用して、ListResourceShareInvitations を呼び出してリソース共有の招待を取得し、次に AcceptResourceShareInvitation を呼び出して同意します。
方法 2：リソースディレクトリ内でのみ共有
リソースディレクトリの管理アカウントの認証情報を使用して、EnableSharingWithResourceDirectory を呼び出してディレクトリ内でのリソース共有を有効にします。
プールコンシューマーの認証情報を使用して、CreateResourceShare を呼び出してリソース共有を作成します。
AllowExternalTargetsをTrueに設定します。
共有の停止
プール所有者の認証情報を使用して、DeleteResourceShare を呼び出してリソース共有を削除します。
Terraform
現在、Terraform は IPAM プールの共有をサポートしていません。
詳細情報
課金
IPAM はパブリックプレビュー期間中であり、この期間中は無料で使用できます。
クォータ制限
クォータ名 | 説明 | デフォルトの制限 | 調整可能 |
ipam_quota_per_region | ユーザーごと、リージョンごとの IPAM 数 | 1 | いいえ |
ipam_scope_quota_per_ipam | IPAM ごとの IPAM スコープ数 | 5 | |
ipam_pool_quota_depth | プールの最大階層深度 | 10 | |
ipam_cidr_quota_per_ipam_pool | プールごとのプロビジョニング済み CIDR 数 | 50 | |
ipam_sub_pool_quota_per_ipam_pool | プールごとのサブプール数 | 50 | |
ipam_pool_quota_per_scope | プライベート IPAM スコープごとのプール数 | 500 | |
resource_share_quota_per_ipam_pool | プールごとのリソース共有 | 100 | |
shared_ipam_pool_quota_per_user | ユーザーごとの共有プール数 | 100 | |
ipam_public_ipv6_top_pool_quota_per_region_isp | リージョンごと、ISP タイプごとのパブリック IPv6 トップレベルプール数 | 1 | |
ipam_cidr_quota_per_public_ipv6_top_pool | リージョンごと、パブリック IPv6 トップレベルプールごとのプロビジョニング済み CIDR 数 | 1 |