Menegakkan penggunaan IPAM untuk pembuatan VPC dengan SCPs

Mode fokus

Menegakkan penggunaan IPAM untuk pembuatan VPC dengan SCPs - Amazon Virtual Private Cloud

Menegakkan IPAM saat membuat VPCs Menegakkan kolam IPAM saat membuat VPCs Menegakkan IPAM untuk semua kecuali daftar yang diberikan OUs

catatan

Bagian ini hanya berlaku untuk Anda jika Anda telah mengaktifkan IPAM untuk diintegrasikan. AWS Organizations Untuk informasi selengkapnya, lihat Integrasikan IPAM dengan akun di Organisasi AWS.

Bagian ini menjelaskan cara membuat kebijakan kontrol layanan AWS Organizations yang mengharuskan anggota di organisasi Anda untuk menggunakan IPAM saat mereka membuat VPC. Kebijakan kontrol layanan (SCPs) adalah jenis kebijakan organisasi yang memungkinkan Anda mengelola izin di organisasi Anda. Untuk informasi selengkapnya, lihat Kebijakan kontrol layanan di Panduan Pengguna AWS Organizations .

Menegakkan IPAM saat membuat VPCs

Ikuti langkah-langkah di bagian ini untuk meminta anggota di organisasi Anda menggunakan IPAM saat membuat VPCs.

Untuk membuat SCP dan membatasi pembuatan VPC ke IPAM

Ikuti langkah-langkah dalam Membuat kebijakan kontrol layanan di Panduan AWS Organizations Pengguna dan masukkan teks berikut di editor JSON:


{
    "Version": "2012-10-17",
    "Statement": [{
       "Effect": "Deny",
        "Action": ["ec2:CreateVpc", "ec2:AssociateVpcCidrBlock"],
        "Resource": "arn:aws:ec2:*:*:vpc/*",
        "Condition": {
            "Null": {
                "ec2:Ipv4IpamPoolId": "true"
            }
        }
     }]
}

Lampirkan kebijakan ke satu atau lebih unit organisasi di organisasi Anda. Untuk informasi selengkapnya, lihat Melampirkan kebijakan dan Melepaskan kebijakan di Panduan AWS Organizations Pengguna.

Menegakkan kolam IPAM saat membuat VPCs

Ikuti langkah-langkah di bagian ini untuk meminta anggota di organisasi Anda menggunakan kumpulan IPAM tertentu saat membuat VPCs.

Untuk membuat SCP dan membatasi pembuatan VPC ke kolam IPAM

Ikuti langkah-langkah dalam Membuat kebijakan kontrol layanan di Panduan AWS Organizations Pengguna dan masukkan teks berikut di editor JSON:


{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Deny",
        "Action": ["ec2:CreateVpc", "ec2:AssociateVpcCidrBlock"],
        "Resource": "arn:aws:ec2:*:*:vpc/*",
        "Condition": {
            "StringNotEquals": {
                "ec2:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
            }
          }
    }]
}

Ubah nilai ipam-pool-0123456789abcdefg contoh ke ID IPv4 kumpulan yang ingin Anda batasi pengguna.
Lampirkan kebijakan ke satu atau lebih unit organisasi di organisasi Anda. Untuk informasi selengkapnya, lihat Melampirkan kebijakan dan Melepaskan kebijakan di Panduan AWS Organizations Pengguna.

Menegakkan IPAM untuk semua kecuali daftar yang diberikan OUs

Ikuti langkah-langkah di bagian ini untuk menegakkan IPAM untuk semua kecuali daftar Unit Organisasi () OUs yang diberikan. Kebijakan yang dijelaskan dalam bagian ini diperlukan OUs dalam organisasi kecuali OUs yang Anda tentukan aws:PrincipalOrgPaths untuk menggunakan IPAM untuk membuat dan memperluas VPCs. Yang terdaftar OUs dapat menggunakan IPAM saat membuat VPCs atau menentukan rentang alamat IP secara manual.

Untuk membuat SCP dan menegakkan IPAM untuk semua kecuali daftar yang diberikan OUs

Ikuti langkah-langkah dalam Membuat kebijakan kontrol layanan di Panduan AWS Organizations Pengguna dan masukkan teks berikut di editor JSON:


{
    "Version": "2012-10-17",
    "Statement": [{
	"Effect": "Deny",
	    "Action": ["ec2:CreateVpc", "ec2:AssociateVpcCidrBlock"],
	    "Resource": "arn:aws:ec2:*:*:vpc/*",
	    "Condition": {
	        "Null": {
		      "ec2:Ipv4IpamPoolId": "true"
                },
	        "ForAllValues:StringNotLike": {
	            "aws:PrincipalOrgPaths": [
	                "o-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/",
	                "o-a1b2c3d4e5/r-ab12/ou-ab13-22222222/ou-ab13-33333333/"
	            ]
                }
            }
     }]
}

Hapus nilai contoh (sepertio-a1b2c3d4e5/r-ab12/ou-ab12-11111111/ou-ab12-22222222/) dan tambahkan jalur entitas AWS Organizations dari opsi OUs yang ingin Anda miliki (tetapi tidak memerlukan) untuk menggunakan IPAM. Untuk informasi selengkapnya tentang jalur entitas, lihat Memahami jalur entitas AWS Organizations dan aws: PrincipalOrgPaths di Panduan Pengguna IAM.
Lampirkan kebijakan ke root organisasi Anda. Untuk informasi selengkapnya, lihat Melampirkan kebijakan dan Melepaskan kebijakan di Panduan AWS Organizations Pengguna.