Virtual Private Cloud：地址資源管理

限制從IPAM位址集區為VPC分配網段

多帳號企業中，各業務帳號獨立建立 VPC 時若隨意分配私網網段，VPC互連時易因網段衝突無法連通。使用管理帳號建立管控策略，與資源夾或成員綁定，限制業務帳號只能從共用的IPAM位址集區中為 VPC 分配網段。IPAM 確保分配的網段不重疊，避免VPC互連時出現地址衝突。

管控策略對所有資來源目錄成員中的RAM使用者和RAM角色生效，但對成員的根使用者不生效。同時，資來源目錄的管理帳號位於資來源目錄外部，不歸屬於資來源目錄，所以管控策略對管理帳號內的所有身份也不生效。

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "StringNotEquals": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    },
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    }
  ],
  "Version": "1"
}

使用資摘要搜索納管地址

資摘要搜索會持續尋找並跟蹤生效地區內VPC和交換器網段的IP利用率。關聯 IPAM 後，IPAM 統一管理被發現的位址區段。

1、預設資摘要搜索的生效地區與IPAM保持一致，無法修改。

2、資摘要搜索更新頻率為5分鐘。

• 建立 IPAM 時，系統建立預設資摘要搜索並與 IPAM 關聯。符合以下規則的 VPC 網段會被自動匯入到對應位址集區進行統一管理。規則如下：

  • 僅匯入在位址集區預置 CIDR 範圍內且未分配的位址區段。

  • 僅匯入到預設作用範圍下開啟自动导入发现的资源的位址集區。

  • 發現的多個 CIDR 存在重疊關係時，IPAM 僅匯入範圍最大的 CIDR。

  • 發現多個相同的 CIDR 時，IPAM 將隨機匯入其中一個。

• 未建立IPAM時，可建立自訂資摘要搜索，跟蹤VPC和交換器網段的IP使用率。在託管地區建立IPAM後，將自動轉換為預設資摘要搜索。

# 指定未建立IPAM、可建立自訂資摘要搜索的地區
provider "alicloud" {
  region = "cn-shanghai"
}

resource "alicloud_vpc_ipam_ipam_resource_discovery" "example_ipam_resource_discovery" {
  operating_region_list               = ["cn-shanghai"]     # 指定IPAM資摘要搜索的生效地區
  ipam_resource_discovery_name        = "example_ipam_resource_discovery_name"
}

共用資源發現統一管理地址使用

業務帳號使用非規劃網段建立資源容易引發地址衝突。網路系統管理員可以關聯IPAM和業務帳號共用的資摘要搜索，統一管理多帳號下的資源，解決地址衝突。

預設資摘要搜索和自訂資摘要搜索均支援共用。

共用資源發現的生效地區和網路系統管理員的IPAM生效地區允許存在不一致，但託管地區（即建立地區）必須保持一致。生效地區存在不一致時：

• 資源所有者（即本例中的業務帳號）和網路系統管理員可以管理和查看資摘要搜索的生效地區內的全部資源。

• 網路系統管理員將資摘要搜索與IPAM關聯後，只能管理IPAM生效地區內的資源。

適用範圍

IPAM 可信服務只支援資來源目錄的 IPAM 委派管理員操作，不允許組織管理員或其他成員進行操作。

• 添加委派：資來源目錄僅支援添加一個 IPAM 可信服務委派管理員，且委派管理員帳號只能是資來源目錄的成員，不能是組織管理帳號。

• 管理成員： 

  • IPAM 委派管理員新增成員後，將啟用所在資來源目錄的 IPAM 可信服務；移除全部成員時，將關閉 IPAM 可信服務。

  • IPAM 委派管理員只能選定一個地區的 IPAM 執行個體管理資來源目錄成員，如果想更換其他地區的 IPAM 執行個體進行多帳號管理，需要將當前地區的 IPAM 管理成員全部移除後，在其他地區的 IPAM 多帳號管理頁面新增成員。

  • 不允許 IPAM 委派管理員將資來源目錄根節點或資來源目錄根資源夾作為成員進行管理。

  • 不允許 IPAM 所管理的成員帳號將自己的資摘要搜索共用給 IPAM 委派管理員。

  • 當 IPAM 可信服務管理的成員帳號和配額相等時，如果資來源目錄中納管的資源夾成員增加成員帳號，IPAM 可信服務的管理範圍將不包括超出配額的成員帳號。

• 取消委派：當 IPAM 委派管理員移除全部納管成員時，即可刪除 IPAM 委派管理員帳號，或取消委派。

監控地址利用率

監控地址利用率，便於對高利用率資源及時進行擴容。

• 監控位址集區的地址利用率：前往IPAM控制台 - IPAM位址集區，單擊目標位址集區ID。

  • 详细信息頁簽下，可查看位址集區的可用 IP 數與分配給資源和子位址集區的 IP 數。若目標位址集區為子位址集區，可同時查看本池與源位址集區的地址利用率。

  • IP空间可视化和分配頁簽下，可查看位址集區的具體分配情況。

• 監控 VPC 和交換器的地址利用率：

  • 前往IPAM 控制台 - 資摘要搜索，單擊目標資摘要搜索ID，可查看生效地區下全部 VPC 和交換器的 CIDR 和 IP 使用方式。

  • 前往IPAM 控制台 - IPAM作用範圍，單擊目標作用範圍ID。

    • 资源管理頁簽下，可查看該作用範圍內 VPC 和交換器的 CIDR 和地址利用率。單擊目標 VPC 或交換器 ID，可查看 IP 使用方式。

    • 監控圖表頁簽下，可以從時間維度以折線圖形式監控該作用範圍內 VPC 和交換器的地址利用率。

監控地址重疊情況

監控地址重疊，可以主動發現並解決網路連接中的地址衝突，確保實現網路互連時不會引起存取違規。

前往IPAM 控制台 - IPAM作用範圍，單擊目標作用範圍ID。

• 资源管理頁簽下，可查看該作用範圍內 VPC 和交換器網段的重疊情況。存在網段重疊時，可以單擊重叠状态(重叠)>查看，查看與當前資源存在衝突的具體執行個體。

• 監控圖表頁簽下，可以從時間維度以折線圖形式監控該作用範圍內 CIDR 的重疊數量。

監控位址區段管理狀態和合規性

前往IPAM 控制台 - IPAM作用範圍，單擊目標作用範圍ID，可以在概览、资源管理、監控圖表頁簽，查看資源的 CIDR 是否通過 IPAM 位址集區分配（即是否託管）以及是否符合 IPAM 位址集區的分配規則（即是否合規）。

計費說明

IP地址管理（IPAM）功能進行中公測，公測期間免費使用。

配額限制