Virtual Private Cloud:Gerenciamento de recursos de endereços

Restringir a alocação de blocos CIDR de um pool do IPAM

Em ambientes com várias contas, conflitos de blocos CIDR são comuns quando contas de negócios criam VPCs independentemente com blocos privados. Para evitar alocações arbitrárias, utilize uma conta de gerenciamento para criar uma control policy e anexá-la a uma pasta ou membro. Essa política restringe as contas de negócios a alocar blocos CIDR de VPC apenas a partir de shared IPAM pools. O IPAM garante que os blocos alocados não se sobreponham, prevenindo conflitos de endereços na interconexão de VPCs.

Uma política de controle aplica-se a todos os usuários RAM e funções RAM dos membros em um Resource Directory, mas não aos usuários raiz das contas-membro. Além disso, a conta de gerenciamento de um Resource Directory é externa a ele e não lhe pertence.

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "StringNotEquals": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    },
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    }
  ],
  "Version": "1"
}

Gerenciar endereços com a descoberta de recursos

A descoberta de recursos identifica e rastreia continuamente a utilização de endereços dos blocos CIDR de VPC e vSwitch dentro da Effective Region. Após associar uma descoberta de recursos a uma instância do IPAM, esta passa a gerenciar centralmente os blocos CIDR descobertos.

1. Por padrão, a região operacional de uma descoberta de recursos é igual à região da instância do IPAM e não pode ser modificada.

2. A descoberta de recursos é atualizada a cada 5 minutos.

• Ao criar uma instância do IPAM, o sistema gera uma descoberta de recursos padrão e a associa à instância. Blocos CIDR de VPC que atendem às seguintes regras são importados automaticamente para o pool correspondente do IPAM para gerenciamento centralizado.

  • Apenas blocos CIDR não alocados, situados dentro do intervalo provisionado de um pool do IPAM, são importados.

  • Blocos CIDR são importados somente para pools do IPAM nos quais a opção Automatically Import Discovered Resource esteja ativada no escopo padrão.

  • Se múltiplos blocos CIDR descobertos se sobrepuserem, o IPAM importará apenas o maior deles.

  • Caso sejam descobertos múltiplos blocos CIDR idênticos, o IPAM importará aleatoriamente apenas um.

• Se nenhuma instância do IPAM tiver sido criada, é possível criar uma descoberta de recursos personalizada para rastrear a utilização de endereços dos blocos CIDR de VPC e vSwitch. Ao criar uma instância do IPAM na região gerenciada posteriormente, a descoberta personalizada será convertida automaticamente em uma descoberta padrão.

# Specify a region where no IPAM instance is created and a custom resource discovery can be created.
provider "alicloud" {
  region = "cn-shanghai"
}

resource "alicloud_vpc_ipam_ipam_resource_discovery" "example_ipam_resource_discovery" {
  operating_region_list               = ["cn-shanghai"]     # Specify the operating region of the IPAM resource discovery.
  ipam_resource_discovery_name        = "example_ipam_resource_discovery_name"
}

Gerenciamento centralizado com descoberta de recursos compartilhada

Se contas de negócios utilizarem blocos CIDR não planejados para criar recursos, poderão ocorrer conflitos de endereços. Um administrador de rede pode associar uma instância do IPAM a uma descoberta de recursos compartilhada por uma conta de negócios para gerenciar centralmente os recursos em várias contas e resolver conflitos de endereçamento.

Tanto descobertas de recursos padrão quanto personalizadas podem ser compartilhadas.

As regiões operacionais de uma descoberta de recursos compartilhada e da instância do IPAM do administrador de rede podem ser diferentes, mas suas regiões gerenciadas (regiões de criação) devem ser iguais. Se as regiões operacionais forem diferentes, aplicam-se as seguintes regras:

• O proprietário do recurso (a conta de negócios neste exemplo) e o administrador de rede podem gerenciar e visualizar todos os recursos dentro das regiões operacionais da descoberta de recursos.

• Após o administrador de rede associar a descoberta de recursos a uma instância do IPAM, ele poderá gerenciar apenas os recursos dentro das regiões operacionais dessa instância do IPAM.

Visualizar informações de IP dos recursos descobertos

Utilize a descoberta de recursos para visualizar detalhes de todos os endereços IPv4 privados utilizados nas VPCs e vSwitches descobertos. Os detalhes incluem o endereço IP, o ID do recurso, a região à qual o recurso pertence e o tipo de service de cloud. Isso proporciona uma visão abrangente da utilização de endereços em sua rede.

É possível consultar informações de IP apenas para VPCs e vSwitches gerenciados por uma descoberta de recursos.

• Filtre por ID de VPC, ID de vSwitch ou bloco CIDR. Especifique qualquer bloco CIDR IPv4 válido, incluindo um bloco /32 para corresponder a um endereço IP específico. O bloco CIDR deve ser usado em combinação com um ID de VPC ou ID de vSwitch.

• As seguintes combinações de consulta são suportadas: apenas ID de VPC, apenas ID de vSwitch, ID de VPC + CIDR, ID de vSwitch + CIDR e ID de VPC + ID de vSwitch + CIDR.

Observações de uso

Somente o administrador delegado do IPAM do Resource Directory pode executar operações para o service confiável do IPAM. O administrador da organização ou outros membros não podem realizar essas operações.

• Delegar um administrador: um Resource Directory suporta apenas um administrador delegado para o service confiável do IPAM. A conta do administrador delegado deve ser uma conta-membro do Resource Directory e não pode ser a conta de gerenciamento da organização.

• Gerenciar membros:

  • Quando o administrador delegado do IPAM adiciona um membro, o service confiável do IPAM é ativado para o diretório de recursos. Quando todos os membros são removidos, o service é desativado.

  • Para gerenciar membros usando uma instância do IPAM em uma região diferente, remova primeiro todos os membros da instância atual e adicione-os à nova instância.

  • O administrador delegado do IPAM não pode gerenciar o nó raiz ou a pasta raiz do Resource Directory como membro.

  • Contas-membro gerenciadas por uma instância do IPAM não podem compartilhar suas próprias descobertas de recursos com o administrador delegado do IPAM.

  • Se a cota de contas-membro para o service confiável do IPAM for atingida, novas contas adicionadas a uma pasta gerenciada no Resource Directory não serão gerenciadas pelo service.

• Revogar delegação: quando o administrador delegado do IPAM remove todos os membros gerenciados, é possível excluir a conta do administrador delegado ou revogar a delegação.

Monitorar a utilização de endereços

Monitore a utilização de endereços para dimensionar proativamente recursos que apresentem alta utilização.

• Para monitorar a utilização de endereços de um pool do IPAM, acesse a página IPAM console - IPAM Pools e clique no ID do pool desejado.

  • Na aba Details, visualize o número de endereços IP disponíveis no pool e a quantidade de endereços alocados para recursos e subpools. Se o pool for um subpool, também é possível ver a utilização de endereços tanto do subpool quanto do pool de source.

  • Nas abas IP Usage e Allocate, visualize os detalhes de alocação do pool do IPAM.

• Para monitorar a utilização de endereços de VPCs e vSwitches:

  • Acesse a página IPAM console - Resource Discovery. Clique no ID da descoberta de recursos desejada para visualizar os blocos CIDR e a utilização de endereços de todas as VPCs e vSwitches nas regiões operacionais.

  • Acesse a página IPAM console - IPAM Scopes e clique no ID do escopo desejado.

    • Na aba Resource Management, visualize os blocos CIDR e a utilização de endereços de VPCs e vSwitches neste escopo. Clique no ID de uma VPC ou vSwitch para ver sua utilização específica.

    • Na aba Monitoring Chart, utilize gráficos de linhas para monitorar a evolução da utilização de endereços de VPCs e vSwitches neste escopo ao longo do tempo.

Monitorar sobreposições de endereços

Monitore sobreposições de endereços para identificar e resolver proativamente conflitos em sua rede. Isso previne conflitos de acesso durante a interconexão de redes.

Acesse a página IPAM console - IPAM Scopes e clique no ID do escopo desejado.

• Na aba Resource Management, visualize o status de sobreposição dos blocos CIDR de VPC e vSwitch no escopo atual. Se houver sobreposição, clique em View na coluna Overlap Status (Overlapping) para ver os detalhes das instâncias em conflito.

• Na aba Monitoring Chart, os gráficos de linhas permitem monitorar a quantidade de blocos CIDR sobrepostos neste escopo ao longo do tempo.

Monitorar gerenciamento e conformidade de blocos CIDR

Acesse a página IPAM console - IPAM Scopes e clique no ID do escopo desejado. Nas abas Overview, Resource Management e Monitoring Chart, verifique se o bloco CIDR de um recurso é gerenciado por um pool do IPAM e se está em conformidade com as regras de alocação do pool.

Faturamento

O IP Address Manager (IPAM) está em preview público e é gratuito durante o período de preview.

Cotas