Virtual Private Cloud:アドレスの管理

VPC CIDR ブロック割り当ての制限

マルチアカウント環境では、ビジネスアカウントがプライベート CIDR ブロックを使用して独立して VPC を作成すると、CIDR ブロックの競合が頻繁に発生します。任意の割り当てを制限するために、管理アカウントを使用してコントロールポリシーを作成し、それをフォルダまたはメンバーにアタッチできます。このポリシーは、ビジネスアカウントが VPC CIDR ブロックを共有 IPAM プールからのみ割り当てるように制限します。IPAM は、割り当てられた CIDR ブロックが重複しないことを保証し、VPC を接続する際のアドレス競合を防ぎます。

コントロールポリシーは、リソースディレクトリ内のメンバーのすべての Resource Access Management (RAM) ユーザーおよび RAM ロールに適用されますが、メンバーアカウントの root ユーザーには適用されません。管理アカウントはリソースディレクトリのメンバーではないため、コントロールポリシーは管理アカウント内のどのアイデンティティにも適用されません。

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "StringNotEquals": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    },
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    }
  ],
  "Version": "1"
}

リソース検出を使用したアドレス管理

リソース検出は、対象リージョン 内の VPC および vSwitch CIDR ブロックの IP アドレス使用率を継続的に監視します。リソース検出を IPAM インスタンスに関連付けると、インスタンスは検出された CIDR ブロックを集中管理します。

1. デフォルトリソースディスカバリーの有効なリージョンは、IPAM インスタンスのリージョンと同じであり、変更できません。

2. リソース検出は 5 分ごとに更新されます。

• IPAM インスタンスを作成すると、システムはデフォルトリソースディスカバリーを作成し、それを IPAM インスタンスに関連付けます。以下のルールを満たす VPC CIDR ブロックは、統一管理のために対応するアドレスプールに自動的にインポートされます。

  • アドレスプールのプロビジョニング済み CIDR ブロック内にある未割り当ての CIDR ブロックのみがインポートされます。

  • CIDR ブロックは、発見したリソースの自動導入 が有効になっているデフォルトのスコープ内のアドレスプールにのみインポートされます。

  • 複数の検出された CIDR ブロックが重複する場合、IPAM は最大の CIDR ブロックのみをインポートします。

  • 複数の同一の CIDR ブロックが検出された場合、IPAM はそのうちの 1 つをランダムにインポートします。

• IPAM インスタンスが作成されていない場合、カスタムリソースディスカバリーを作成して VPC および vSwitch CIDR ブロックの IP アドレス使用率を追跡できます。後でマネージドリージョンに IPAM インスタンスが作成されると、カスタムリソースディスカバリーは自動的にデフォルトリソースディスカバリーに変換されます。

# IPAM インスタンスが作成されておらず、カスタムリソースディスカバリーを作成できるリージョンを指定します。
provider "alicloud" {
  region = "cn-shanghai"
}

resource "alicloud_vpc_ipam_ipam_resource_discovery" "example_ipam_resource_discovery" {
  operating_region_list               = ["cn-shanghai"]     # IPAM リソース検出のスコープリージョンを指定します。
  ipam_resource_discovery_name        = "example_ipam_resource_discovery_name"
}

共有リソース検出を使用した統合アドレス管理

ビジネスアカウントが計画外の CIDR ブロックを使用してリソースを作成すると、アドレス競合が発生する可能性があります。ネットワーク管理者は、IPAM インスタンスをビジネスアカウントと共有されたリソース検出に関連付けることで、複数のアカウントにまたがるリソースを集中管理し、アドレス競合を解決できます。

デフォルトとカスタムの両方のリソース検出を共有できます。

共有リソース検出のスコープリージョンと、ネットワーク管理者の IPAM インスタンスのスコープリージョンは異なっていてもかまいませんが、それらのマネージドリージョンは同じでなければなりません。スコープリージョンが異なる場合：

• リソース所有者 (この例ではビジネスアカウント) とネットワーク管理者は、リソース検出のスコープリージョン内のすべてのリソースを管理および表示できます。

• ネットワーク管理者がリソース検出を IPAM インスタンスに関連付けた後、管理者は IPAM インスタンスのスコープリージョン内のリソースのみを管理できます。

スコープ

IPAM 信頼できるサービスは、リソースディレクトリの IPAM 委任された管理者による操作のみをサポートします。組織の管理者や他のメンバーはこれらの操作を実行できません。

• 管理者の委任：リソースディレクトリは、IPAM 信頼できるサービスに対して 1 人の委任された管理者のみをサポートします。委任された管理者アカウントは、リソースディレクトリのメンバーでなければならず、組織の管理アカウントであってはなりません。

• メンバーの管理：

  • IPAM の委任された管理者がメンバーを追加すると、リソースディレクトリに対して IPAM 信頼できるサービスが有効になります。すべてのメンバーが削除されると、IPAM 信頼できるサービスは無効になります。

  • IPAM の委任された管理者は、1 つのリージョン内の IPAM インスタンスのみを使用してリソースディレクトリのメンバーを管理できます。別のリージョン内の IPAM インスタンスを使用するには、まず現在の IPAM インスタンスからすべてのメンバーを削除する必要があります。その後、新しいリージョン内の IPAM インスタンスにメンバーを追加する必要があります。

  • IPAM の委任された管理者は、リソースディレクトリのルートノードまたは Root フォルダをメンバーとして管理することはできません。

  • IPAM によって管理されるメンバーアカウントは、自身のリソース検出を IPAM の委任された管理者と共有することはできません。

  • IPAM 信頼できるサービスによって管理されるメンバーアカウントの数がクォータに達し、管理対象のフォルダにさらにメンバーアカウントを追加した場合、クォータを超える新しいアカウントは IPAM 信頼できるサービスによって管理されません。

• 委任の取り消し：IPAM の委任された管理者がすべての管理対象メンバーを削除すると、委任された管理者アカウントを削除するか、委任を取り消すことができます。

アドレス使用率の監視

アドレス使用率を監視して、使用率が高いリソースを迅速にスケールアウトします。

• IPAM プールのアドレス使用率を監視するには、IPAM コンソール - IPAM プールページに移動し、対象の IPAM プールの ID をクリックします。

  • 詳細 タブでは、IPAM プールで利用可能な IP アドレスの数と、リソースおよびサブプールに割り当てられた IP アドレスの数を表示できます。IPAM プールがサブプールの場合、サブプールとそのソースプールの両方のアドレス使用率も表示できます。

  • IP スペースの可視化 および [割り当て] タブでは、IPAM プールの割り当て詳細を表示できます。

• VPC および vSwitch のアドレス使用率を監視する：

  • IPAM コンソール - リソース検出ページに移動します。対象のリソース検出の ID をクリックして、スコープ内のすべての VPC および vSwitch の CIDR ブロックと IP アドレス使用率を表示します。

  • IPAM コンソール - IPAM スコープページに移動し、対象のスコープの ID をクリックします。

    • リソース管理 タブでは、このスコープ内の VPC および vSwitch の CIDR ブロックと IP アドレス使用率を表示できます。VPC または vSwitch の ID をクリックして、その IP アドレス使用率を表示します。

    • モニタリングチャート タブでは、折れ線グラフを使用して、このスコープ内の VPC および vSwitch のアドレス使用率を時系列で監視できます。

アドレスの重複の監視

アドレスの重複を監視して、ネットワーク内のアドレス競合を事前に特定し、解決します。これにより、ネットワーク相互接続時のアクセス競合を防ぎます。

IPAM コンソール - IPAM スコープページに移動し、対象のスコープの ID をクリックします。

• リソース管理 タブでは、現在のスコープ内の VPC および vSwitch CIDR ブロックの重複ステータスを表示できます。CIDR ブロックが重複している場合は、重複状況 列の 表示 をクリックして、競合するインスタンスの詳細を表示します。

• モニタリングチャート タブでは、折れ線グラフを使用して、このスコープ内の重複する CIDR ブロックの数を時系列で監視できます。

CIDR ブロックの管理ステータスとコンプライアンスの監視

IPAM コンソール - IPAM スコープページに移動し、対象のスコープの ID をクリックします。概要、リソース管理、および モニタリングチャート タブで、リソースの CIDR ブロックが IPAM プールによって管理されているか、またプールの割り当てルールに準拠しているかを確認します。

課金

IPAM はパブリックプレビュー中です。パブリックプレビュー期間中は無料でご利用いただけます。

クォータ