Virtual Private Cloud:アドレスリソースの管理

VPC CIDR ブロック割り当ての制限

マルチアカウント環境では、ビジネスアカウントがプライベート CIDR ブロックを独自に使用して VPC を作成することが多く、アドレス競合が発生する可能性があります。管理アカウントを使用してコントロールポリシーを作成し、フォルダまたはメンバーアカウントにアタッチします。このポリシーにより、ビジネスアカウントは共有 IPAM プールからのみ VPC CIDR ブロックを割り当てられるようになり、IPAM が一意性を強制します。

コントロールポリシーは、リソースディレクトリ内のメンバーアカウントの Resource Access Management (RAM) ユーザーおよび RAM ロールに適用されますが、メンバーアカウントの root ユーザーには適用されません。管理アカウントはリソースディレクトリのメンバーではないため、コントロールポリシーは管理アカウント内のいかなるアイデンティティにも適用されません。

以下の 3 つのポリシーは、異なる強制シナリオに対応しています。ご要件に合ったものを選択してください。

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "StringNotEquals": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    },
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    }
  ],
  "Version": "1"
}

リソース検出の仕組み

IPAM インスタンスを作成すると、システムは自動的にデフォルトリソースディスカバリーを作成し、当該インスタンスに関連付けます。デフォルトリソースディスカバリーの有効なリージョンは IPAM インスタンスのリージョンと一致し、変更できません。

デフォルトリソースディスカバリーによって検出された VPC CIDR ブロックは、以下のすべての条件を満たす場合に、対応するアドレスプールに自動的にインポートされます。

• CIDR ブロックがプールのプロビジョニング済み CIDR ブロックの範囲内にあり、かつ未割り当てであること。

• プールがデフォルトのスコープにあり、「検出されたリソースの自動インポート」が有効になっていること。

• 複数の検出された CIDR ブロックが重複している場合、最大の CIDR ブロックのみがインポートされること。

• 複数の同一 CIDR ブロックが検出された場合、ランダムに 1 つがインポートされること。

IPAM インスタンスを作成していない場合、VPC および vSwitch の IP アドレス使用状況を追跡するためにカスタムリソースディスカバリーを作成します。その後、同じマネージドリージョンに IPAM インスタンスが作成された場合、カスタムリソースディスカバリーは自動的にデフォルトリソースディスカバリーに変換されます。

リソース検出のデータは 5 分ごとに更新されます。

マルチアカウント向けアドレス管理のためのリソース検出の共有

ビジネスアカウントが計画外の CIDR ブロックを使用してリソースを作成すると、アドレス競合が検出されないままになる可能性があります。ネットワーク管理者は、ビジネスアカウントが共有するリソース検出を IPAM インスタンスに関連付けることで、アカウント間のリソースを一元管理し、競合を特定できます。

デフォルトおよびカスタムの両方のリソース検出を共有できます。

共有リソース検出の有効なリージョンと、ネットワーク管理者の IPAM インスタンスの有効なリージョンは異なっていても構いませんが、マネージドリージョンは同一である必要があります。有効なリージョンが異なる場合：

• リソース所有者およびネットワーク管理者の両方が、リソース検出の有効なリージョン内のすべてのリソースを閲覧できます。

• ネットワーク管理者がリソース検出を IPAM インスタンスに関連付けた後、管理者が管理できるのは IPAM インスタンスの有効なリージョン内のリソースのみです。

スコープ

IPAM 信頼サービスは、IPAM 委任管理者による操作のみをサポートします。組織管理者およびその他のメンバーは、これらの操作を実行できません。

管理者の委任：

• リソースディレクトリでは、IPAM 委任管理者は 1 名のみ指定可能です。

• 委任管理者は、組織の管理アカウントではなく、リソースディレクトリのメンバーである必要があります。

メンバーの管理：

• IPAM 委任管理者がメンバーを追加すると、リソースディレクトリに対して IPAM 信頼サービスが有効になります。すべてのメンバーが削除されると、IPAM 信頼サービスは無効になります。

• IPAM 委任管理者は、1 つのリージョンに配置された IPAM インスタンスのみを使用してリソースディレクトリのメンバーを管理できます。別のリージョンの IPAM インスタンスに切り替えるには、まず現在のインスタンスからすべてのメンバーを削除し、その後新しいリージョンのインスタンスにメンバーを追加します。

• IPAM 委任管理者は、リソースディレクトリのルートノードおよびルートフォルダを管理できません。

• IPAM で管理されるメンバーアカウントは、自身のリソース検出を IPAM 委任管理者と共有できません。

• 管理対象のメンバーアカウント数がクォータに達した場合、管理対象のフォルダに新しいアカウントを追加しても、クォータを超えたアカウントは IPAM 信頼サービスで管理されません。

委任の取り消し：

IPAM 委任管理者アカウントは、すべての管理対象メンバーが削除された後にのみ、削除または委任を取り消すことができます。

アドレス使用率のモニタリング

IPAM コンソール - IPAM プールページに移動し、対象の IPAM プール ID をクリックします。

• 詳細 タブでは、利用可能な IP アドレス数、リソースおよびサブプールに割り当てられたアドレス数、およびサブプールの場合にはサブプールおよびそのソースプールの使用率を確認できます。

• IP 使用率 タブおよび 割り当て タブでは、割り当ての詳細を確認できます。

VPC および vSwitch の使用率をモニタリングするには、以下の 2 つのビューが利用可能です。

• IPAM コンソール - リソース検出ページに移動し、対象のリソース検出 ID をクリックして、有効なリージョン内のすべての VPC および vSwitch の CIDR ブロックおよび IP アドレス使用率を確認します。

• IPAM コンソール - IPAM スコープページに移動し、対象のスコープ ID をクリックします。リソース管理 タブで、VPC または vSwitch ごとの CIDR ブロックおよび使用率を確認できます。モニタリングチャート タブでは、時間経過に伴う使用率の傾向を折れ線グラフで確認できます。

アドレス重複のモニタリング

IPAM コンソール - IPAM スコープページに移動し、対象のスコープ ID をクリックします。

• リソース管理 タブでは、VPC および vSwitch の CIDR ブロックの重複状況を確認できます。重複が存在する場合、表示 をクリックします（重複状況 列）して、競合しているインスタンスを確認します。

• モニタリングチャート タブでは、時間経過に伴う重複 CIDR ブロック数を折れ線グラフで確認できます。

管理ステータスおよびコンプライアンスのモニタリング

各リソースの CIDR ブロックが IPAM プールによって管理されており、プールの割り当てルールに準拠しているかどうかを確認します。

IPAM コンソール - IPAM スコープページに移動し、対象のスコープ ID をクリックします。概要、リソース管理、および モニタリングチャート タブのすべてで、スコープ内のリソースの管理およびコンプライアンス状況を確認できます。

課金

IPAM はパブリックプレビュー段階であり、プレビュー期間中は無料です。

クォータ