Virtual Private Cloud:アドレスリソースの管理

IPAM プールからの CIDR ブロック割り当ての制限

マルチアカウント環境では、ビジネスアカウントがプライベート CIDR ブロックを使用して VPC を個別に作成する際に、CIDR ブロックの競合が頻繁に発生します。任意の割り当てを防ぐために、管理アカウントを使用してコントロールポリシーを作成し、それをフォルダまたはメンバーにアタッチできます。このポリシーは、ビジネスアカウントが 共有 IPAM プールからのみ VPC CIDR ブロックを割り当てるように制限します。IPAM は、割り当てられた CIDR ブロックが重複しないようにし、VPC を接続する際のアドレス競合を防ぎます。

コントロールポリシーは、リソースディレクトリ内のメンバーのすべての RAM ユーザーおよび RAM ロールに適用されますが、メンバーアカウントの root ユーザーには適用されません。さらに、リソースディレクトリの管理アカウントはリソースディレクトリの外部にあり、それに属していません。

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "StringNotEquals": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    },
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    }
  ],
  "Version": "1"
}

リソース検出によるアドレス管理

リソース検出は、対象リージョン 内の VPC および vSwitch CIDR ブロックのアドレス使用率を継続的に検出し、追跡します。リソース検出を IPAM インスタンスに関連付けると、IPAM インスタンスは検出された CIDR ブロックを一元的に管理します。

1. デフォルトでは、リソース検出の有効なリージョンは IPAM インスタンスのリージョンと同じであり、変更できません。

2. リソース検出は 5 分ごとに更新されます。

• IPAM インスタンスを作成すると、システムはデフォルトのリソース検出を作成し、それを IPAM インスタンスに関連付けます。以下のルールを満たす VPC CIDR ブロックは、対応する IPAM プールに自動的にインポートされ、集中管理されます。

  • IPAM プールのプロビジョニング済み CIDR 範囲内にある未割り当ての CIDR ブロックのみがインポートされます。

  • CIDR ブロックは、デフォルトのスコープで発見したリソースの自動導入が有効になっている IPAM プールにのみインポートされます。

  • 複数の検出された CIDR ブロックが重複する場合、IPAM は最大の CIDR ブロックのみをインポートします。

  • 複数の同一の CIDR ブロックが検出された場合、IPAM はそのうちの 1 つをランダムにインポートします。

• IPAM インスタンスが作成されていない場合、カスタムリソースディスカバリーを作成して、VPC および vSwitch の CIDR ブロックのアドレス使用率を追跡できます。マネージドリージョンに IPAM インスタンスを作成すると、カスタムリソースディスカバリーは自動的にデフォルトリソースディスカバリーに変換されます。

# IPAM インスタンスが作成されておらず、カスタムリソースディスカバリーを作成できるリージョンを指定します。
provider "alicloud" {
  region = "cn-shanghai"
}

resource "alicloud_vpc_ipam_ipam_resource_discovery" "example_ipam_resource_discovery" {
  operating_region_list               = ["cn-shanghai"]     # IPAM リソース検出の有効なリージョンを指定します。
  ipam_resource_discovery_name        = "example_ipam_resource_discovery_name"
}

共有リソース検出による集中管理

ビジネスアカウントが計画外の CIDR ブロックを使用してリソースを作成すると、アドレス競合が発生する可能性があります。ネットワーク管理者は、IPAM インスタンスをビジネスアカウントによって共有されたリソース検出に関連付けることで、複数のアカウントにまたがるリソースを集中管理し、アドレス競合を解決できます。

デフォルトとカスタムの両方のリソース検出を共有できます。

共有リソース検出の有効なリージョンとネットワーク管理者の IPAM インスタンスのリージョンは異なる場合がありますが、それらのマネージドリージョン (作成リージョン) は同じでなければなりません。有効なリージョンが異なる場合、以下のルールが適用されます：

• リソース所有者 (この例ではビジネスアカウント) とネットワーク管理者は、リソース検出の有効なリージョン内のすべてのリソースを管理および表示できます。

• ネットワーク管理者がリソース検出を IPAM インスタンスに関連付けた後、管理者は IPAM インスタンスの有効なリージョン内のリソースのみを管理できます。

検出されたリソースの IP 情報の表示

リソース検出を使用して、検出された VPC および vSwitch 内で使用されているすべてのプライベート IPv4 アドレスの詳細を表示できます。詳細には、IP アドレス、リソース ID、リソースが属するリージョン、およびクラウドサービスのタイプが含まれます。これにより、ネットワークのアドレス使用率を包括的に理解することができます。

リソース検出によって管理されている VPC および vSwitch の IP 情報のみをクエリできます。

• VPC ID、vSwitch ID、または CIDR ブロックでフィルタリングできます。特定の IP アドレスに一致させるための /32 CIDR ブロックを含む、任意の有効な IPv4 CIDR ブロックを指定できます。CIDR ブロックは、VPC ID または vSwitch ID と組み合わせて使用する必要があります。

• 次のクエリの組み合わせがサポートされています：VPC ID のみ、vSwitch ID のみ、VPC ID + CIDR、vSwitch ID + CIDR、および VPC ID + vSwitch ID + CIDR。

注意事項

リソースディレクトリの IPAM 委任された管理者のみが IPAM 信頼できるサービスの操作を実行できます。組織の管理者や他のメンバーはこれらの操作を実行できません。

• 管理者の委任：リソースディレクトリは、IPAM 信頼できるサービスに対して 1 人の委任された管理者のみをサポートします。委任された管理者アカウントは、リソースディレクトリのメンバーアカウントである必要があり、組織の管理アカウントであってはなりません。

• メンバーの管理：

  • IPAM の委任された管理者がメンバーを追加すると、リソースディレクトリに対して IPAM 信頼できるサービスが有効になります。すべてのメンバーが削除されると、IPAM 信頼できるサービスは無効になります。

  • 異なるリージョンの IPAM インスタンスを使用してメンバーを管理するには、まず現在のインスタンスからすべてのメンバーを削除し、次に新しいインスタンスに追加する必要があります。

  • IPAM の委任された管理者は、リソースディレクトリのルートノードまたは Root フォルダをメンバーとして管理することはできません。

  • IPAM インスタンスによって管理されているメンバーアカウントは、自身のリソース検出を IPAM の委任された管理者と共有することはできません。

  • IPAM 信頼できるサービスのメンバーアカウントのクォータに達した場合、リソースディレクトリの管理対象フォルダに追加された新しいアカウントは、このサービスによって管理されません。

• 委任の取り消し：IPAM の委任された管理者がすべての管理対象メンバーを削除すると、委任された管理者アカウントを削除するか、委任を取り消すことができます。

アドレス使用率のモニタリング

アドレス使用率を監視して、使用率の高いリソースを迅速にスケールアップします。

• IPAM プールのアドレス使用率を監視するには、IPAM コンソール - IPAM プール ページに移動し、対象の IPAM プールの ID をクリックします。

  • 詳細情報 タブでは、IPAM プール内の利用可能な IP アドレス数と、リソースおよびサブプールに割り当てられている IP アドレス数を表示できます。IPAM プールがサブプールである場合、サブプールとそのソースプールの両方のアドレス使用率も表示できます。

  • IP スペースの可視化 および 割り当て タブで、IPAM プールの割り当て詳細を表示できます。

• VPC および vSwitch のアドレス使用率を監視するには：

  • IPAM コンソール - リソース検出 ページに移動します。対象のリソース検出の ID をクリックして、有効なリージョン内のすべての VPC および vSwitch の CIDR ブロックとアドレス使用率を表示します。

  • IPAM コンソール - IPAM スコープ ページに移動し、対象のスコープの ID をクリックします。

    • リソース管理 タブでは、この範囲内の VPC と vSwitch の CIDR ブロックとアドレス使用率を表示できます。VPC または vSwitch の ID をクリックすると、そのアドレス使用率を表示できます。

    • モニタリングチャート タブでは、折れ線グラフを使用して、この範囲内の VPC と vSwitch のアドレス使用率を時系列で監視できます。

アドレス重複のモニタリング

アドレスの重複を監視して、ネットワーク内のアドレス競合を事前に特定し、解決します。これにより、ネットワークの相互接続時のアクセス競合を防ぎます。

IPAM コンソール - IPAM スコープ ページに移動し、対象のスコープの ID をクリックします。

• リソース管理 タブでは、現在の範囲内の VPC および vSwitch CIDR ブロックの重複ステータスを確認できます。CIDR ブロックが重複している場合は、重複ステータス (重複) 列の 表示 をクリックすると、競合するインスタンスの詳細を表示できます。

• モニタリングチャート タブでは、折れ線グラフを使用して、この範囲で重複する CIDR ブロックの数を時系列でモニターできます。

CIDR ブロックの管理とコンプライアンスのモニタリング

IPAM コンソール - IPAM スコープページに移動して目的のスコープの ID をクリックすると、概要、リソース管理、およびモニタリングチャート タブで、リソースの CIDR ブロックが IPAM プールによって管理されているかどうか、およびプールの割り当てルールに準拠しているかどうかを確認できます。

課金

IPAM (IP Address Manager) はパブリックプレビュー中であり、プレビュー期間中は無料でご利用いただけます。

クォータ