Erzwingen Sie die IPAM-Verwendung für die VPC-Erstellung mit SCPs

Fokusmodus

Erzwingen Sie die IPAM-Verwendung für die VPC-Erstellung mit SCPs - Amazon Virtual Private Cloud

Erzwingen Sie IPAM bei der Erstellung VPCs Erzwingen Sie bei der Erstellung einen IPAM-Pool VPCs Erzwingen Sie IPAM für alle außer einer bestimmten Liste von OUs

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Anmerkung

Dieser Abschnitt gilt nur für Sie, wenn Sie die Integration mit IPAM aktiviert haben. AWS Organizations Weitere Informationen finden Sie unter Integrieren Sie IPAM mit Konten in einer Organisation AWS.

In diesem Abschnitt wird beschrieben, wie Sie eine Dienststeuerungsrichtlinie erstellen AWS Organizations , nach der Mitglieder in Ihrer Organisation IPAM verwenden müssen, wenn sie eine VPC erstellen. Dienststeuerungsrichtlinien (SCPs) sind eine Art von Organisationsrichtlinie, mit der Sie Berechtigungen in Ihrer Organisation verwalten können. Weitere Informationen finden Sie unter Service-Kontrollrichtlinien im AWS Organizations -Benutzerhandbuch.

Erzwingen Sie IPAM bei der Erstellung VPCs

Folgen Sie den Schritten in diesem Abschnitt, um zu verlangen, dass Mitglieder in Ihrer Organisation beim Erstellen IPAM verwenden. VPCs

So erstellen Sie einen SCP und beschränken die VPC-Erstellung auf IPAM

Folgen Sie den Schritten unter Erstellen einer Dienststeuerungsrichtlinie im AWS Organizations Benutzerhandbuch und geben Sie den folgenden Text in den JSON-Editor ein:


{
    "Version": "2012-10-17",
    "Statement": [{
       "Effect": "Deny",
        "Action": ["ec2:CreateVpc", "ec2:AssociateVpcCidrBlock"],
        "Resource": "arn:aws:ec2:*:*:vpc/*",
        "Condition": {
            "Null": {
                "ec2:Ipv4IpamPoolId": "true"
            }
        }
     }]
}

Fügen Sie die Richtlinie einer oder mehreren Organisationseinheiten in Ihrem Unternehmen zu. Weitere Informationen finden Sie unter Richtlinien anhängen und Richtlinien trennen im AWS Organizations Benutzerhandbuch.

Erzwingen Sie bei der Erstellung einen IPAM-Pool VPCs

Folgen Sie den Schritten in diesem Abschnitt, um zu verlangen, dass Mitglieder in Ihrer Organisation bei der Erstellung einen bestimmten IPAM-Pool verwenden. VPCs

So erstellen Sie einen SCP und beschränken die VPC-Erstellung auf einen IPAM-Pool

Folgen Sie den Schritten unter Erstellen einer Dienststeuerungsrichtlinie im AWS Organizations Benutzerhandbuch und geben Sie den folgenden Text in den JSON-Editor ein:


{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Deny",
        "Action": ["ec2:CreateVpc", "ec2:AssociateVpcCidrBlock"],
        "Resource": "arn:aws:ec2:*:*:vpc/*",
        "Condition": {
            "StringNotEquals": {
                "ec2:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
            }
          }
    }]
}

Ändern Sie den ipam-pool-0123456789abcdefg Beispielwert in die IPv4 Pool-ID, auf die Sie Benutzer beschränken möchten.
Fügen Sie die Richtlinie einer oder mehreren Organisationseinheiten in Ihrem Unternehmen zu. Weitere Informationen finden Sie unter Richtlinien anhängen und Richtlinien trennen im AWS Organizations Benutzerhandbuch.

Erzwingen Sie IPAM für alle außer einer bestimmten Liste von OUs

Folgen Sie den Schritten in diesem Abschnitt, um IPAM für alle außer einer bestimmten Liste von Organisationseinheiten durchzusetzen ()OUs. Die in diesem Abschnitt beschriebene Richtlinie erfordert OUs in der Organisation, mit Ausnahme der OUs , die Sie in angeben, dass IPAM aws:PrincipalOrgPaths zum Erstellen und Erweitern verwendet werden soll. VPCs Die aufgelisteten OUs können entweder IPAM beim Erstellen verwenden VPCs oder einen IP-Adressbereich manuell angeben.

Um ein SCP zu erstellen und IPAM für alle außer einer bestimmten Liste von durchzusetzen OUs

Folgen Sie den Schritten unter Erstellen einer Dienststeuerungsrichtlinie im AWS Organizations Benutzerhandbuch und geben Sie den folgenden Text in den JSON-Editor ein:


{
    "Version": "2012-10-17",
    "Statement": [{
	"Effect": "Deny",
	    "Action": ["ec2:CreateVpc", "ec2:AssociateVpcCidrBlock"],
	    "Resource": "arn:aws:ec2:*:*:vpc/*",
	    "Condition": {
	        "Null": {
		      "ec2:Ipv4IpamPoolId": "true"
                },
	        "ForAllValues:StringNotLike": {
	            "aws:PrincipalOrgPaths": [
	                "o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/",
	                "o-a1b2c3d4e5/r-ab12/ou-ab13-22222222/ou-ab13-33333333/"
	            ]
                }
            }
     }]
}

Entfernen Sie die Beispielwerte (likeo-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/) und fügen Sie die AWS Organisations-Entitätspfade der Entitäten hinzu, für OUs die Sie die Option (aber nicht erforderlich) zur Verwendung von IPAM haben möchten. Weitere Informationen zum Entitätspfad finden Sie unter AWS Understand the Organizations entity path und aws: PrincipalOrgPaths im IAM-Benutzerhandbuch.
Fügen Sie die Richtlinie zum Organisations-Root hinzu. Weitere Informationen finden Sie unter Richtlinien anhängen und Richtlinien trennen im AWS Organizations Benutzerhandbuch.