Virtual Private Cloud:アドレスリソース管理

IPAM アドレスプールからの VPC CIDR ブロック割り当ての制限

マルチアカウント環境では、ビジネスアカウントが独立して VPC を作成し、プライベート CIDR ブロックをランダムに割り当てると、CIDR ブロックの競合が接続性の問題を引き起こす可能性があります。これを防ぐために、管理アカウントを使用してコントロールポリシーを作成し、それをフォルダまたはメンバーにアタッチできます。このポリシーは、ビジネスアカウントが VPC CIDR ブロックを共有 IPAM プールからのみ割り当てるように制限します。IPAM は、割り当てられた CIDR ブロックが重複しないことを保証し、VPC が相互接続される際のアドレス競合を防ぎます。

コントロールポリシーは、リソースディレクトリ内のメンバーのすべての Resource Access Management (RAM) ユーザーおよび RAM ロールに適用されますが、メンバーのルートユーザーには適用されません。リソースディレクトリの管理アカウントは、リソースディレクトリの外部にあります。したがって、コントロールポリシーは管理アカウント内のどの ID にも適用されません。

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "StringNotEquals": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    },
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    }
  ],
  "Version": "1"
}

リソース検出を使用したアドレス管理

リソース検出は、[適用範囲] 内の VPC および vSwitch の CIDR ブロックの IP アドレス使用状況を継続的に検出し、追跡します。リソース検出を IPAM インスタンスに関連付けると、IPAM インスタンスは検出された CIDR ブロックを一元的に管理します。

1. デフォルトのリソース検出の適用範囲は、IPAM インスタンスの適用範囲と同じであり、変更することはできません。

2. リソース検出は 5 分ごとに更新されます。

• IPAM インスタンスを作成すると、システムはデフォルトのリソース検出を作成し、それを IPAM インスタンスに関連付けます。以下のルールを満たす VPC CIDR ブロックは、統一管理のために対応するアドレスプールに自動的にインポートされます。

  • アドレスプールのプロビジョニングされた CIDR ブロック内にある未割り当ての CIDR ブロックのみがインポートされます。

  • CIDR ブロックは、デフォルトスコープで [リソースの自動インポート] が有効になっているアドレスプールにのみインポートされます。

  • 複数の検出された CIDR ブロックが重複する場合、IPAM は最大の CIDR ブロックのみをインポートします。

  • 複数の同一の CIDR ブロックが検出された場合、IPAM はそのうちの 1 つをランダムにインポートします。

• IPAM インスタンスが作成されていない場合、カスタムリソース検出を作成して VPC および vSwitch の CIDR ブロックの IP アドレス使用状況を追跡できます。後で管理対象リージョンに IPAM インスタンスが作成されると、カスタムリソース検出は自動的にデフォルトリソース検出に変換されます。

# IPAM インスタンスが作成されておらず、カスタムリソース検出を作成できるリージョンを指定します。
provider "alicloud" {
  region = "cn-shanghai"
}

resource "alicloud_vpc_ipam_ipam_resource_discovery" "example_ipam_resource_discovery" {
  operating_region_list               = ["cn-shanghai"]     # IPAM リソース検出の適用範囲を指定します。
  ipam_resource_discovery_name        = "example_ipam_resource_discovery_name"
}

共有リソース検出を使用した統合アドレス管理

ビジネスアカウントが計画外の CIDR ブロックを使用してリソースを作成すると、アドレス競合が発生する可能性があります。ネットワーク管理者は、ビジネスアカウントによって共有されたリソース検出に IPAM インスタンスを関連付けることで、複数のアカウントにまたがるリソースを一元的に管理し、アドレス競合を解決できます。

デフォルトおよびカスタムの両方のリソース検出を共有できます。

共有リソース検出の適用範囲とネットワーク管理者の IPAM インスタンスの適用範囲は異なる場合がありますが、それらの管理対象リージョン (作成リージョン) は同じでなければなりません。適用範囲が異なる場合:

• リソース所有者 (この例ではビジネスアカウント) とネットワーク管理者は、リソース検出の適用範囲内のすべてのリソースを管理および表示できます。

• ネットワーク管理者がリソース検出を IPAM インスタンスに関連付けた後、管理者は IPAM インスタンスの適用範囲内のリソースのみを管理できます。

アドレス使用率のモニタリング

アドレス使用率をモニタリングして、使用率の高いリソースをタイムリーにスケールアウトします。

• アドレスプールのアドレス使用率のモニタリング: [IPAM コンソール] - [IPAM プール] ページに移動し、対象のアドレスプールの ID をクリックします。

  • [詳細] タブでは、アドレスプールで利用可能な IP アドレスの数と、リソースおよびサブプールに割り当てられた IP アドレスの数を表示できます。対象のアドレスプールがサブプールの場合、サブプールとそのソースプールの両方のアドレス使用率も表示できます。

  • [IP 空間の可視化] および [割り当て] タブでは、アドレスプールの具体的な割り当て詳細を表示できます。

• VPC および vSwitch のアドレス使用率のモニタリング:

  • [IPAM コンソール] - [リソース検出] ページに移動します。対象のリソース検出の ID をクリックして、適用範囲内のすべての VPC および vSwitch の CIDR ブロックと IP アドレス使用状況を表示します。

  • [IPAM コンソール] - [IPAM スコープ] ページに移動し、対象のスコープの ID をクリックします。

    • [リソース管理] タブでは、このスコープ内の VPC および vSwitch の CIDR ブロックとアドレス使用率を表示できます。対象の VPC または vSwitch の ID をクリックして、その IP アドレス使用状況を表示します。

    • [モニタリングチャート] タブでは、このスコープ内の VPC および vSwitch のアドレス使用率を折れ線グラフで時系列にモニタリングできます。

アドレスの重複のモニタリング

アドレスの重複をモニタリングして、アドレス競合を事前に発見し解決することで、ネットワーク相互接続時のアクセス競合を防ぎます。

[IPAM コンソール] - [IPAM スコープ] ページに移動し、対象のスコープの ID をクリックします。

• [リソース管理] タブでは、このスコープ内の VPC および vSwitch の CIDR ブロックの重複ステータスを表示できます。CIDR ブロックが重複している場合、[重複ステータス] 列の [表示] をクリックして、現在のリソースと競合する具体的なインスタンスを確認できます。

• [モニタリングチャート] タブでは、このスコープ内の重複する CIDR ブロックの数を折れ線グラフで時系列にモニタリングできます。

CIDR ブロックの管理ステータスとコンプライアンスのモニタリング

[IPAM コンソール] - [IPAM スコープ] ページに移動します。対象のスコープの ID をクリックします。[概要]、[リソース管理]、および [モニタリングチャート] タブで、リソースの CIDR ブロックが管理されているか (IPAM プールから割り当てられているか)、およびコンプライアンスに準拠しているか (IPAM プールの割り当てルールに準拠しているか) を確認できます。

課金

IPAM (IP Address Manager) はパブリックプレビュー中です。パブリックプレビュー期間中は無料でご利用いただけます。

クォータ