チュートリアル: BYOIP プレフィックスの委任 RPKI を設定する

すべての検出結果を一覧表示します。

aws ec2 get-ipam-route-protection-findings \
    --ipam-id ipam-0a1b2c3d4e5f6g7h8

無効な ROA または欠落している ROA をフィルタリングします。

aws ec2 get-ipam-route-protection-findings \
    --ipam-id ipam-0a1b2c3d4e5f6g7h8 \
    --filters "Name=rpki-status,Values=invalid,unknown"

特定のリージョンのステータスでフィルタリングします。

aws ec2 get-ipam-route-protection-findings \
    --ipam-id ipam-0a1b2c3d4e5f6g7h8 \
    --filters "Name=rpki-status,Values=invalid" "Name=resource-region,Values=us-west-2"

インターネットレジストリの関連付けを作成します。

aws ec2 create-ipam-internet-registry-association --region us-east-1 \
    --ipam-id ipam-0de83dba6694560a9 \
    --rir ARIN --org-handle my-arin-org

以下は出力の例です。

{
    "IpamInternetRegistryAssociation": {
        "IpamInternetRegistryAssociationId": "ipam-internet-registry-assoc-036486dfa6af58ee0",
        "State": "create-in-progress"
    }
}

状態が pending-enable に達するまで、次のコマンドを実行します。

aws ec2 describe-ipam-internet-registry-associations --region us-east-1 \
    --ipam-internet-registry-association-ids ipam-internet-registry-assoc-036486dfa6af58ee0

ChildRequestXml は RIR に送信する準備が整ったら状態が pending-enable になります。IPAM は、パブリック VRP (Validated ROA Payload) データに基づいて ROA をステージングします。これらは保留中で、インターネットレジストリの関連付けが有効になるとアクティブ化されます。

ステージングされた ROA を確認します。

aws ec2 get-ipam-route-origin-authorizations --region us-east-1 \
    --ipam-internet-registry-association-id ipam-internet-registry-assoc-036486dfa6af58ee0

以下は出力の例です。

{
    "Roas": [
        {
            "prefix": "18.96.0.0/14",
            "asn": "77221",
            "maxLength": "24",
            "state": "pending-activate"
        }
    ]
}

インターネットレジストリの関連付けを有効化します。

ChildRequestXml を RIR ポータルに持ち込み、委任リクエストを送信します。RIR は親レスポンス XML を返します。そのレスポンスからRpkiVersion、ServiceUri、ChildHandle、ParentHandle、ParentBpkiTa の各フィールドを抽出します。次に、以下のコマンドを呼び出します。

aws ec2 enable-ipam-internet-registry-association --region us-east-1 \
    --ipam-internet-registry-association-id ipam-internet-registry-assoc-036486dfa6af58ee0 \
    --rpki-version "..." \
    --service-uri "..." \
    --child-handle "..." \
    --parent-handle "..." \
    --parent-bpki-ta "..."

以下は出力の例です。

{
    "IpamInternetRegistryAssociation": {
        "IpamInternetRegistryAssociationId": "ipam-internet-registry-assoc-036486dfa6af58ee0",
        "State": "enable-in-progress"
    }
}

状態が enable-complete に達するまで、次のコマンドを実行します。

aws ec2 describe-ipam-internet-registry-associations --region us-east-1 \
    --ipam-internet-registry-association-ids ipam-internet-registry-assoc-036486dfa6af58ee0

状態が enable-complete になると、ステージングされた ROA は create-complete に移行します。AWS は、この関連付けの下にあるすべての CIDR の ROA ライフサイクルを管理するようになります。

関連付けられた CIDR を表示します。

aws ec2 get-ipam-internet-registry-association-cidrs --region us-east-1 \
    --ipam-internet-registry-association-id ipam-internet-registry-assoc-036486dfa6af58ee0

以下は出力の例です。

{
    "IpamInternetRegistryAssociationCidrs": [
        {
            "Cidr": "18.96.0.0/14",
            "LastObservedAt": "2026-07-30T18:00:00.000Z"
        }
    ]
}

関連付けられた ASN を表示します。

aws ec2 get-ipam-internet-registry-association-asns --region us-east-1 \
    --ipam-internet-registry-association-id ipam-internet-registry-assoc-036486dfa6af58ee0

以下は出力の例です。

{
    "IpamInternetRegistryAssociationAsns": [
        {
            "Asn": "77221",
            "LastObservedAt": "2026-07-30T18:00:00.000Z"
        }
    ]
}

RPR を作成します。

aws ec2 create-ipam-routing-policy-registration --region us-east-1 \
    --ipam-id ipam-0de83dba6694560a9 \
    --ipam-internet-registry-association-id ipam-internet-registry-assoc-036486dfa6af58ee0 \
    --cidr 18.96.0.0/14 --asns 77221,13446 \
    --permit-more-specific-announcements

以下は出力の例です。

{
    "deltaId": "0130c368-1f8c-4283-8f16-66e67e633086",
    "state": "PENDING"
}

デルタステータスをチェックします。変更によって既存のルートが無効になる場合、エラーで失敗します。--force を使用して上書きします。

aws ec2 get-ipam-routing-policy-registration-deltas --region us-east-1 \
    --ipam-id ipam-0de83dba6694560a9 \
    --ipam-internet-registry-association-id ipam-internet-registry-assoc-036486dfa6af58ee0 \
    --delta-id 0130c368-1f8c-4283-8f16-66e67e633086

バッチ更新 (アトミック) を実行します。バッチ更新はアトミックに成功または失敗します。部分的な適用はありません。

aws ec2 batch-modify-ipam-routing-policy-registrations --region us-east-1 \
    --ipam-id ipam-0de83dba6694560a9 \
    --ipam-internet-registry-association-id ipam-internet-registry-assoc-036486dfa6af58ee0 \
    --delta-json file://delta.json

delta.json には以下が含まれています。

{
    "Add": [
        {
            "prefix": "18.96.0.0/14",
            "asns": ["77221", "13446"],
            "permit-more-specific-announcements": "false"
        }
    ],
    "Delete": [
        {
            "prefix": "18.97.16.0/24",
            "asns": ["77221", "13446"],
            "permit-more-specific-announcements": "false"
        }
    ]
}

関連付けのすべての登録を表示します。

aws ec2 get-ipam-routing-policy-registrations --region us-east-1 \
    --ipam-internet-registry-association-id ipam-internet-registry-assoc-036486dfa6af58ee0

以下は出力の例です。

{
    "IpamRoutingPolicyRegistrations": [
        {
            "Cidr": "18.96.0.0/14",
            "Asns": ["77221", "13446"],
            "PermitMoreSpecificAnnouncements": false,
            "MaxLength": 14,
            "LatestDeltaId": "0130c368-1f8c-4283-8f16-66e67e633086",
            "State": "create-complete"
        },
        {
            "Cidr": "18.97.16.0/24",
            "Asns": ["77221", "13446"],
            "PermitMoreSpecificAnnouncements": false,
            "MaxLength": 24,
            "LatestDeltaId": "0130c368-1f8c-4283-8f16-66e67e633086",
            "State": "create-complete"
        }
    ]
}

特定のプレフィックスにフィルタリングします。

aws ec2 get-ipam-routing-policy-registrations --region us-east-1 \
    --ipam-internet-registry-association-id ipam-internet-registry-assoc-036486dfa6af58ee0 \
    --cidr 18.96.0.0/14

すべてのルーティングポリシー登録を削除します。

インターネットレジストリの関連付けを解除します。

(オプション) RIR ポータルでの認可を削除します。