Virtual Private Cloud:Gerenciar recursos de endereços

Restringir a alocação de CIDR de pools do IPAM

Em uma empresa multiconta, se as contas de negócios puderem alocar blocos CIDR privados aleatoriamente ao criar VPCs, poderão ocorrer conflitos de endereços quando essas VPCs forem interconectadas. Para evitar esse problema, use uma conta de gerenciamento para criar uma política de controle e anexe-a a uma pasta ou a um membro. Dessa forma, as contas de negócios só poderão alocar blocos CIDR para VPCs a partir de pools do IPAM compartilhados. O IPAM garante que os blocos CIDR alocados não se sobreponham, prevenindo conflitos de endereços na interconexão de VPCs.

As políticas de controle entram em vigor para todos os usuários ram e funções ram dentro dos membros de um Resource Directory, mas não para os usuários root desses membros. A conta de gerenciamento de um Resource Directory não é considerada um membro dele. Portanto, as políticas de controle não se aplicam a nenhuma identidade da conta de gerenciamento.

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "StringNotEquals": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    },
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    }
  ],
  "Version": "1"
}

Gerenciar endereços com a descoberta de recursos

A descoberta de recursos identifica e rastreia continuamente a utilização de IPs dos blocos CIDR de VPCs e VSwitches na Effective Region. Após a associação dos intervalos de endereços descobertos ao IPAM, este passa a gerenciá-los centralizadamente.

1. Por padrão, as regiões aplicáveis de uma descoberta de recursos são as mesmas da instância do IPAM associada e não podem ser modificadas.

2. As descobertas de recursos são atualizadas a cada 5 minutos.

• Ao criar uma instância do IPAM, uma descoberta de recursos padrão é gerada e associada a ela. Blocos CIDR de VPC que atendem às seguintes regras são importados automaticamente para os pools correspondentes visando o gerenciamento centralizado:

  • Somente blocos CIDR não alocados, situados dentro do intervalo dos blocos provisionados para um pool, são importados.

  • Apenas pools do IPAM com a opção Automatically Import Discovered Resource ativada no escopo padrão realizam a importação.

  • Caso múltiplos blocos CIDR descobertos se sobreponham, o IPAM importa apenas o maior deles.

  • Se forem encontrados vários blocos CIDR idênticos, o IPAM importa aleatoriamente apenas um.

• Se nenhuma instância do IPAM existir, crie uma descoberta de recursos personalizada para rastrear a utilização de IPs dos blocos CIDR de VPCs e vSwitches. Quando uma instância do IPAM for criada na região inicial, a descoberta personalizada será convertida automaticamente em uma descoberta padrão.

# Specify a region where no IPAM instance is created and you can create a custom resource discovery.
provider "alicloud" {
  region = "cn-shanghai"
}

resource "alicloud_vpc_ipam_ipam_resource_discovery" "example_ipam_resource_discovery" {
  operating_region_list               = ["cn-shanghai"]     # Specify the applicable regions of the IPAM resource discovery.
  ipam_resource_discovery_name        = "example_ipam_resource_discovery_name"
}

Gerenciamento centralizado com descoberta de recursos compartilhados

Conflitos de endereços podem surgir caso uma conta de negócios utilize blocos CIDR não planejados para criar recursos. Para resolver tais conflitos, um administrador de rede pode associar uma instância do IPAM a uma descoberta de recursos compartilhada pela conta de negócios, permitindo o gerenciamento centralizado de recursos entre múltiplas contas.

Tanto descobertas de recursos padrão quanto personalizadas podem ser compartilhadas.

As regiões aplicáveis de uma descoberta de recursos compartilhada e da instância do IPAM associada podem diferir, porém suas regiões iniciais (regiões de criação) devem ser idênticas. Se as regiões aplicáveis forem diferentes:

• O proprietário do recurso (neste exemplo, a conta de negócios) e o administrador de rede conseguem gerenciar e visualizar todos os recursos nas regiões aplicáveis da descoberta.

• Após associar a descoberta de recursos a uma instância do IPAM, o administrador de rede poderá gerenciar somente os recursos localizados nas regiões aplicáveis dessa instância.

Escopo

Somente o administrador delegado do IPAM tem permissão para executar operações no serviço confiável do IPAM. Nem o administrador do Resource Directory nem outros membros podem realizar ações nesse serviço.

• Delegar um administrador: Apenas um membro do Resource Directory pode ser designado como administrador delegado para o serviço confiável do IPAM. A conta de gerenciamento do Resource Directory não pode assumir essa função.

• Gerenciar membros:

  • Quando o administrador delegado do IPAM adiciona membros, o serviço confiável é ativado para o Resource Directory. Caso todos os membros sejam removidos, o serviço confiável do IPAM é desativado.

  • O administrador delegado pode selecionar uma instância do IPAM em apenas uma região para gerenciar os membros de um Resource Directory. Para utilizar uma instância em outra região, remova todos os membros da instância atual, acesse a página de gerenciamento multiconta da instância na nova região e adicione os membros novamente.

  • O administrador delegado do IPAM não pode gerenciar a pasta raiz de um Resource Directory nem os recursos nela contidos atuando como membro.

  • Contas-membro gerenciadas pelo IPAM não podem compartilhar suas descobertas de recursos com o administrador delegado do IPAM.

  • Se o número de contas-membro gerenciadas pelo serviço confiável do IPAM atingir a cota e uma nova conta for adicionada a uma pasta gerenciada no Resource Directory, essa nova conta não será administrada pelo serviço confiável.

• Remover um administrador delegado: Após o administrador delegado do IPAM remover todos os membros gerenciados, exclua a conta do administrador delegado ou revogue a delegação.

Monitorar a utilização de endereços

Monitore a utilização de endereços para dimensionar recursos com alta demanda de maneira oportuna.

• Monitorar a utilização de endereços de um pool do IPAM: Acesse a página IPAM console - IPAM Pools e clique no id do pool desejado.

  • Na aba Details, visualize a quantidade de endereços ip disponíveis no pool, bem como o total alocado para recursos e sub-pools. Se o pool for um sub-pool, também é possível ver a utilização de endereços do pool atual e do pool de source.

  • Nas abas IP Usage e Allocate, consulte os detalhes de alocação do pool do IPAM.

• Monitorar a utilização de endereços de VPCs e vSwitches:

  • Acesse a página IPAM console - Resource Discovery e clique no id da descoberta de recursos desejada. Visualize os blocos CIDR e a utilização de IPs de todas as VPCs e vSwitches nas regiões aplicáveis.

  • Acesse a página IPAM console - IPAM Scopes e clique no id do escopo desejado.

    • Na aba Resource Management, visualize o CIDR e a utilização de endereços das VPCs e VSwitches dentro deste escopo. Clique no id da VPC ou VSwitch alvo para verificar o uso de IPs.

    • Na aba Monitoring Chart, utilize um gráfico de linhas para acompanhar a evolução da utilização de endereços das VPCs e VSwitches no escopo especificado ao longo do tempo.

Monitorar sobreposições de endereços

Monitore sobreposições de endereços para identificar e resolver proativamente conflitos em conexões de rede, evitando problemas de acesso durante interconexões.

Acesse a página IPAM console - IPAM Scopes e clique no id do escopo desejado.

• Na aba Resource Management, verifique as sobreposições entre blocos CIDR de VPCs e VSwitches dentro do escopo. Caso existam sobreposições, clique em Overlap Status (Overlapping) > View para identificar as instâncias específicas em conflito com o recurso atual.

• Na aba Monitoring Chart, visualize um gráfico de linhas que exibe a quantidade de CIDRs sobrepostos no escopo especificado ao longo do tempo.

Monitorar status de gerenciamento e conformidade

Acesse a página IPAM console - IPAM scope e clique no id do escopo desejado. Nas abas Overview, Resource Management e Monitoring Chart, verifique se o bloco CIDR de um recurso foi alocado a partir de um pool do IPAM (ou seja, se é gerenciado) e se está em conformidade com as regras de alocação do pool (ou seja, se é compatível).

Faturamento

O recurso IP Address Manager (IPAM) está em preview público. Utilize-o gratuitamente durante esta fase.

Cotas