チュートリアル: コンソールを使用して IPAM とプールを作成する - Amazon Virtual Private Cloud
前提条件AWS Organizations を IPAM と統合する方法ステップ 1: IPAM の管理者を委任するステップ 2: IPAM を作成するステップ 3: 最上位の IPAM プールの作成するステップ 4: リージョンの IPAM プールを作成するステップ 5: 本番稼働前の開発プールを作成するステップ 6: IPAM プールを共有するステップ 7: IPAM プールから割り当てられた CIDR を使用して VPC を作成するステップ 8: クリーンアップ

チュートリアル: コンソールを使用して IPAM とプールを作成する

このチュートリアルでは、IPAM を作成し、AWS Organizations を統合し、IP アドレスプールを作成して、IPAM プールの CIDR を使って VPC を作成します。

このチュートリアルでは、IPAM を使用して、さまざまな開発ニーズに基づき IP アドレス空間を整理する方法について説明します。このチュートリアルを終了すると、本番稼働前のリソース用の IP アドレスプールが 1 つ完成します。その後、ルーティングとセキュリティのニーズに基づき、本番稼働用リソースのプールなど他のプールを作成することができます。

IPAM は単一のユーザーとしても使用できますが、AWS Organizations と統合すれば、組織内のアカウント全体の IP アドレスを管理できます。このチュートリアルでは、IPAM を組織内のアカウントと統合する方法も説明します。「IPAM を組織外のアカウントに統合する」方法については取り上げません。

注記

このチュートリアルでは、IPAM リソースに名前を付ける方法、特定のリージョンに IPAM リソースを作成する方法、プールに特定の IP アドレス CIDR 範囲を使用する方法を、説明します。これは、IPAM で利用できる選択肢を簡素化し、IPAM をすぐに開始できるようにすることを意図しています。このチュートリアルを終了すると、新しい IPAM を作成してその設定を変更できます。

前提条件

開始する前に、1 つ以上のメンバーアカウントを持つ AWS Organizations アカウントを、セットアップする必要があります。手順については、「AWS Organizations ユーザーガイド」の「組織の作成と管理」を参照してください。

AWS Organizations を IPAM と統合する方法

このセクションでは、このチュートリアルで使用する AWS Organizations アカウントの例を紹介します。このチュートリアルで、IPAM と統合する際に使用する組織内のアカウントは、次の 3 つです。

  • 管理アカウント (以下の図の example-management-account)。IPAM コンソールにログインして IPAM の管理者を委任するときに使用します。組織の管理アカウントを IPAM の管理者として使用することはできません。

  • メンバーアカウント (以下の図の example-member-account-1)。IPAM の管理者アカウントとして使用します。IPAM の管理者アカウントは、IPAM の作成と、組織全体における IP アドレスの使用状況の、IPAM を使用した管理およびモニタリングを行います。組織内のメンバーアカウントは、いずれも IPAM の管理者として委任することが可能です。

  • メンバーアカウント (以下の図の example-member-account-2)。デベロッパーアカウントとして使用します。このアカウントは、IPAM プールから割り当てられた CIDR を使って VPC を作成します。

管理アカウントとメンバーアカウントを含む AWS Organizations 組織の例です。

これらのアカウントに加え、デベロッパーアカウントとして使用するメンバーアカウントが含まれる、組織単位の ID が必要になります (上の図の ou-fssg-q5brfv9c)。この ID は、後ほど、IPAM プールを共有するときに必要になります。こちらは OU と共有できます。

注記

管理アカウントやメンバーアカウントなど、AWS Organizations アカウントの種類の詳細については、「AWS Organizations の用語と概念」を参照してください。

ステップ 1: IPAM の管理者を委任する

このステップでは、AWS Organizations メンバーアカウントを IPAM の管理者として委任します。IPAM の管理者として委任すると、サービスリンクロールが各 AWS Organizations メンバーアカウントに自動的に作成されます。IPAM は、各メンバーアカウントのサービスリンクロールを継承し、これらのアカウントにおける IP アドレスの使用状況をモニタリングします。それにより、組織単位に関係なく、リソースとその CIDR を検出することができます。

必要な AWS Identity and Access Management (IAM) アクセス許可がないと、このステップを完了できません。詳細については、「IPAM を AWS Organizations 内のアカウントと統合する」を参照してください。

IPAM の管理者アカウントとして委任するには

  1. AWS Organizations 管理アカウントを使って IPAM コンソール (https://console.aws.amazon.com/ipam/) を開きます。

  2. AWS マネジメントコンソールで、IPAM を使用する AWS リージョンを選択します。

  3. ナビゲーションペインで [組織の設定] を選択します。

  4. [委任] を選択します。[委任] オプションは、コンソールに AWS Organizations 管理アカウントとしてログインしている場合のみ使用できます。

  5. 組織のメンバーアカウントの AWS アカウント ID を入力します。IPAM の管理者は、AWS Organizations の管理アカウントではなく、メンバーアカウントでなければなりません。

    IPAM の管理者として委任する IPAM コンソールの、設定編集オプションです。

  6. [Save changes] (変更の保存) をクリックします。[委任された管理者] の情報に、そのメンバーアカウントに関する詳細が入力されます。

ステップ 2: IPAM を作成する

このセクションでは、IPAM を作成します。IPAM を作成するときは、IPAM が、IPAM 用に 2 つのスコープを自動作成します。すべてのプライベートスペース用のプライベートスコープと、すべてのパブリックスペース用のパブリックスコープです。スコープは、プールおよび割り当てとともに、IPAM の主要なコンポーネントです。詳細については、「IPAM の仕組み」を参照してください。

IPAM を作成するには

  1. 前のステップで IPAM の管理者として委任した AWS Organizations メンバーアカウントを使用して、IPAM コンソール (https://console.aws.amazon.com/ipam/) を開きます。

  2. AWS マネジメントコンソールで、IPAM を作成する AWS リージョンを選択します。オペレーションの主要リージョンに IPAM を作成します。

  3. サービスホームページで [IPAM の作成] を選択します。

  4. [Allow Amazon VPC IP Address Manager to replicate data from source account(s) into the IPAM delegate account] (Amazon VPC IP Address Manager がソースアカウントから IPAM 委任アカウントにデータをレプリケートするのを許可する) を選択します。このオプションを選択しないと、IPAM を作成できません。

    IPAM コンソールに、[Amazon VPC IP Address Manager にソースアカウントから IPAM 委任アカウントへのデータのレプリケートを許可する] チェックボックスが表示された IPAM ページを作成します。

  5. [運用リージョン] で、この IPAM がリソースを管理および検出できる AWS リージョンを選択します。IPAM を作成している AWS リージョンは、運用リージョンの 1 つとして自動的に選択されます。このチュートリアルでは、IPAM のホームリージョンは us-east-1 です。したがって、追加の運用リージョンとして us-west-1 と us-west-2 を選択します。運用リージョンを忘れた場合は、後で IPAM の設定を編集し、リージョンを追加または削除することができます。

    IPAM コンソールの IPAM 設定セクションです。

  6. [Create IPAM] (IPAM を作成) を選択します。

    IPAM が正常に作成された場合に表示される IPAM コンソールのページです。

ステップ 3: 最上位の IPAM プールの作成する

このチュートリアルでは、最上位の IPAM プールから始まるプールの階層を作成します。これ以降のステップでは、リージョンプールのペアと、そのうちの 1 つに含まれる本番稼働前開発プールを作成します。

IPAM を使って構築するプール階層の詳細については、「IPAM プール計画の例」を参照してください。

最上位のプールを作成するには

  1. IPAM の管理者アカウントを使って IPAM コンソール (https://console.aws.amazon.com/ipam/) を開きます。

  2. ナビゲーションペインで、[プール] を選択します。

  3. プライベートスコープを選択します。

    IPAM コンソールのプライベートスコープを選択します。

  4. [プールを作成] を選択します。

  5. [IPAM スコープ] では、プライベートスコープを選択したままにします。

  6. (オプション) プールの [名前タグ] とプールの説明 (「グローバルプール」など) を追加します。

  7. [ソース]で [IPAM 範囲] を選択します。こちらは最上位のプールであるためソースプールはありません。

  8. [アドレスファミリー] には [IPv4] を選択します。

  9. [リソース計画] で、[範囲内のIP 空間計画] は選択したままにしておきます。このオプションを使用して VPC 内のサブネット IP スペースを計画する方法の詳細については、「チュートリアル: サブネット IP 割り当て用の VPC IP アドレス空間を計画する」を参照してください。

  10. [Locale] (ロケール) で、[None] (なし) を選択します。ロケールは、この IPAM プールを割り当て可能にしようとしている AWS リージョンです。作成するリージョンプールのロケールは、本チュートリアルの次のセクションで設定します。

    IPAM コンソールでファイルを作成します。

  11. (オプション) プール用にプロビジョニングする CIDR を選択します。こちらの例では、10.0.0.0/16 をプロビジョニングします。

    どの CIDR を IPAM コンソールのプール用にプロビジョニングするかを定義します。

  12. [このプールの割り当てルールを設定する] は無効のままにします。こちらは最上位のプールであり、このプールから VPC へ CIDR を直接割り当てることはできません。代わりに、このプールから作成したサブプールから、割り当てを行います。

    IPAM コンソールでプール用の割り当てルール設定を選択します。

  13. [プールを作成] を選択します。プールが作成され、CIDR が [保留中のプロビジョン] 状態になります。

    プールを作成すると、IPAM コンソールに「プロビジョニング保留中」を知らせるメッセージが表示されます。

  14. 状態が [プロビジョニング済み] に変わったら、次のステップに進みます。

    プールの作成後に IPAM コンソールに表示される [プロビジョニング済み] というメッセージです。

最上位のプールが作成されたので、次に、us-west-1 と us-west-2 にリージョンプールを作成します。

ステップ 4: リージョンの IPAM プールを作成する

このセクションでは、2 つのリージョンプールを使用して IP アドレスを整理する方法について説明します。このチュートリアルでは、IPAM プールプラン例の 1 つに従い、組織内のメンバーアカウントが VPC に CIDR を割り当てるときに使用できる、2 つのリージョンプールを作成します。

リージョンプールを作成するには

  1. IPAM の管理者アカウントを使って IPAM コンソール (https://console.aws.amazon.com/ipam/) を開きます。

  2. ナビゲーションペインで、[プール] を選択します。

  3. プライベートスコープを選択します。

    IPAM コンソールのプライベートスコープを選択します。

  4. [プールを作成] を選択します。

  5. [IPAM スコープ] では、プライベートスコープを選択したままにします。

  6. (オプション) プールの [名前タグ] と、プールの説明 (Regional pool us-west-1 など) を追加します。

    IPAM コンソールにプールの名前を追加します。

  7. [ソース] で、[IPAM プール] を選択し、「ステップ 3: 最上位の IPAM プールの作成する」で作成した最上位のプール (「グローバルプール」) を選択します。次に、[ロケール] で us-west-1 を選択します。

    IPAM コンソールでソースプールを選択します。

  8. [リソース計画] で、[範囲内の IP スペースを計画] は選択したままにしておきます。このオプションを使用して VPC 内のサブネット IP スペースを計画する方法の詳細については、「チュートリアル: サブネット IP 割り当て用の VPC IP アドレス空間を計画する」を参照してください。

  9. [プロビジョニングする CIDR] に 10.0.0.0/18 と入力します。これにより、このプールで約 16,000 の IP アドレスが利用できるようになります。

    IPAM コンソールでプール用にプロビジョニングする CIDR を選択します。

  10. [このプールの割り当てルールを設定する] は無効のままにします。このプールから VPC へ CIDR を直接割り当てることはできません。代わりに、このプールから作成したサブプールから、割り当てを行います。

    IPAM コンソールの [このプールの割り当てルールを設定する] 切り替えボタンです。

  11. [プールを作成] を選択します。

  12. [プール] 画面に戻ると、作成した IPAM プールの階層を確認できます。

    2 つのプールが表示されている IPAM コンソールのプール画面です。

  13. このセクションのステップを繰り返し、us-west-2 ロケールに、それのためにプロビジョニングされた CIDR 10.0.64.0/18 を使って、2 つ目のリージョンプールを作成します。このプロセスを完了すると、次のように、階層に 3 つのプールが完成しています。

    3 つのプールが表示されている IPAM コンソールのプール画面です。

ステップ 5: 本番稼働前の開発プールを作成する

このセクションのステップに従って、いずれかのリージョンプールに、本番稼働前のリソース用の開発プールを作成します。

本番稼働前の開発プールを作成するには

  1. 前のセクションで行った方法と同じ方法で、IPAM の管理者アカウントを使用して Pre-prod pool という名前のプールを作成します。ただし、ここではソースプールに Regional pool us-west-1 を使用します。

    IPAM コンソールでファイルを作成します。

  2. プロビジョニングする CIDR を 10.0.0.0/20 に指定します。これで、このプールに約 4,000 の IP アドレスが付与されます。

    IPAM コンソールでプールの CIDR を選択します。

  3. [このプールの割り当てルールを設定する] のオプションを切り替えます。以下の操作を実行します。

    1. [CIDR 管理] の [検出されたリソースを自動的にインポート] は、デフォルトの [許可しない] を選択したままにします。これを選択しておくことで、IPAM は、プールのロケールで検出したリソース CIDR を、自動的にインポートすることができます。このオプションの詳しい説明は本チュートリアルの対象外ですが、詳細は「トップレベル IPv4 プールを作成する」でご覧いただけます。

    2. [ネットマスクのコンプライアンス] で、最小、デフォルト、最大のネットマスクの長さとして、[/24] を選択します。このオプションの詳しい説明は本チュートリアルの対象外ですが、詳細は「トップレベル IPv4 プールを作成する」でご覧いただけます。注意すべき点は、後ほどこのプールの CIDR を使用して作成する VPC は、ここでの設定に基づき、/24 に制限されるということです。

    3. [タグコンプライアンス] に environment/pre-prod と入力します。このタグは、VPC がプールからスペースを割り当てるときに必要になります。この仕組みについては、後ほど説明します。

    IPAM コンソールでプールを作成するときに、すべてのプール設定を表示します。

  4. [プールを作成] を選択します。

  5. プール階層の Regional pool us-west-1 の下に、新たにサブプールが追加されました。

    4 つのプールが表示されている IPAM コンソールのプール画面です。

これで、組織内の別のメンバーアカウントと IPAM プールを共有し、そのアカウントでプールから CIDR を割り当て、VPC を作成する準備が整いました。

ステップ 6: IPAM プールを共有する

このセクションのステップに従って、AWS Resource Access Manager (RAM) を使用して本番稼働前の IPAM プールを共有します。

このセクションは 2 つのサブセクションから構成されています。

ステップ 6.1. AWS RAM 内でリソース共有を有効にする

IPAM を作成したら、IP アドレスプールを組織内の他のアカウントと共有する必要があります。IPAM プールを共有する前に、このセクションのステップを完了し、AWS RAM とのリソース共有を有効にします。

リソース共有を有効にするには

  1. AWS Organizations 管理アカウントを使って AWS RAM コンソール (https://console.aws.amazon.com/ram/) を開きます。

  2. ナビゲーションペインで [設定] を選択し、[AWS Organizations との共有を有効にする] を選択し、[設定の保存] を選択します。

    AWS RAM コンソールで組織共有を有効にします。

これで、IPAM プールを組織の他のメンバーと共有できるようになりました。

ステップ 6.2. AWS RAM を使用して IPAM プールを共有する

このセクションでは、本番稼働前開発プールを他の AWS Organizations メンバーアカウントと共有します。必要な IAM アクセス許可に関する情報を含め、IPAM プールの共有に関する詳細な手順については、「AWS RAM を使用して IPAM プールを共有する」を参照してください。

AWS RAM を使用して IPAM プールを共有するには

  1. IPAM の管理者アカウントを使って IPAM コンソール (https://console.aws.amazon.com/ipam/) を開きます。

  2. ナビゲーションペインで、[プール] を選択します。

  3. プライベートスコープを選択し、本番稼働前の IPAM プールを選択して、[アクション] > [詳細を表示] の順に選択します。

  4. [Resource sharing] (リソース共有) で [Create resource share] (リソース共有の作成) を選択します。AWS RAM コンソールが開きます。AWS RAM を使用してプールを共有します。

  5. [リソースの共有の作成] を選択します。

    IPAM コンソールでリソース共有を作成します。

    AWS RAM コンソールが開きます。

  6. AWS RAM コンソールで、[リソースの共有を作成] を再度選択します。

  7. 共有リソースの [名前] を追加します。

  8. [リソースタイプを選択] で [IPAM プール] を選択し、次に、本番稼働前開発プールの ARN を選択します。

    AWS RAM コンソールでリソース共有を作成します。

  9. [Next] を選択します。

  10. デフォルトの AWSRAMDefaultPermissionsIpamPool アクセス許可を選択したままにしておきます。アクセス許可オプションの詳細は本チュートリアルの対象外ですが、このオプションの詳細は「AWS RAM を使用して IPAM プールを共有する」にてご覧いただけます。

    AWS RAM コンソールでリソース共有のアクセス許可を関連付けます。

  11. [Next] を選択します。

  12. [プリンシパル] で [自分の組織内でのみ共有を許可] を選択します。AWS Organizations 組織単位 ID を入力し (「AWS Organizations を IPAM と統合する方法」の説明のとおり)、[追加] を選択します。

    AWS RAM コンソールでリソース共有へのアクセスを許可します。

  13. [Next] を選択します。

  14. リソース共有オプションと共有先のプリンシパルを確認し、[作成] を選択します。

プールが共有されたので、次のステップで、IPAM プールから割り当てられた CIDR を使って VPC を作成します。

ステップ 7: IPAM プールから割り当てられた CIDR を使用して VPC を作成する

このセクションのステップに従って、本番稼働前のプールから割り当てられた CIDR を使って VPC を作成します。このステップは、前のセクションで IPAM プールが共有された、OU のメンバーアカウント (「AWS Organizations を IPAM と統合する方法」の example-member-account-2) が実行する必要があります。VPC の作成に必要な IAM アクセス許可の詳細については、「Amazon VPC ユーザーガイド」の「Amazon VPC ポリシーの例」を参照してください。

IPAM プールから割り当てられた CIDR を使って VPC を作成するには

  1. メンバーアカウントを使用して、デベロッパーアカウントとして使用するメンバーアカウントとして VPC コンソール (https://console.aws.amazon.com/vpc/) を開きます。

  2. [Create VPC (VPC の作成)] を選択します。

  3. 以下の操作を実行します。

    1. 名前 (Example VPC など) を入力します。

    2. [IPAM が割り当てられた IPv4 CIDR ブロック] を選択します。

    3. [IPv4 IPAM プール] で本番稼働前プールの ID を選択します。

    4. [ネットマスク] の長さを選択します。このプールで使用できるネットマスクの長さは (「ステップ 5: 本番稼働前の開発プールを作成する」で) /24 に制限されているため、選択可能なオプションは /24 のみです。

      Amazon VPC コンソールで VPC を作成します。

  4. 例として示すため、この時点では、[タグ] 下にいずれのタグも追加しません。(「ステップ 5: 本番稼働前の開発プールを作成する」で) 本番稼働前のプールを作成した際に、このプールの CIDR を使って作成した VPC には environment/pre-prod タグを付けなければならない、という割り当てルールを追加しました。ここでは、必要なタグが付いていないことを示すエラーを確認できるようにするため、environment/pre-prod タグは付けずに次へ進みます。

  5. [Create VPC (VPC の作成)] を選択します。

  6. 必要なタグが追加されていないことを示すエラーが表示されます。このエラーは、本番稼働前プールを作成したとき (「ステップ 5: 本番稼働前の開発プールを作成する」) に割り当てルールを設定したため、表示されています。この割り当てルールは、このプールの CIDR を使って作成されるすべての VPC に、environment/pre-prod タグを付けることを要求していました。

    Amazon VPC コンソールで VPC エラーを作成します。

  7. 次に、[タグ] で、タグ environment/pre-prod を追加し、[VPC を作成] を再度選択します。

    Amazon VPC コンソールで VPC にタグを追加します。

  8. VPC が正常に作成されました。この VPC は、本番稼働前プールのタグルールに準拠しています。

    Amazon VPC コンソールで VPC を正常に作成します。

IPAM コンソールの [リソース] ペインでは、IPAM の管理者は、VPC とそこに割り当てられた CIDR を閲覧し、管理することができます。VPC が [リソース] ペインに表示されるまで、しばらく時間がかかる場合があります。

ステップ 8: クリーンアップ

このチュートリアルでは、委任された管理者を含む IPAM を作成し、複数のプールを作成して、プールから VPC CIDR を割り当てることを組織のメンバーアカウントに許可しました。

このセクションのステップに従って、このチュートリアルで作成したリソースをクリーンアップします。

このチュートリアルで作成したリソースをクリーンアップするには

  1. サンプルの VPC を作成したメンバーアカウントを使用して、VPC を削除します。詳細な手順については、「Amazon Virtual Private Cloud ユーザーガイド」の「VPC の削除」を参照してください。

  2. IPAM の管理者アカウントを使用して、AWS RAM コンソールのサンプルのリソース共有を削除します。詳細な手順については、「AWS Resource Access Manager ユーザーガイド」にアクセスし、「AWSAWS RAM のリソース共有の削除」を参照してください。

  3. IPAM の管理者アカウントを使用して RAM コンソールにログインし、「ステップ 6.1. AWS RAM 内でリソース共有を有効にする」で有効にした AWS Organizations との共有を、無効にします。

  4. IPAM の管理者アカウントを使用して、IPAM コンソールで IPAM を選択し、[アクション] > [削除] の順に選択してサンプルの IPAM を削除します。詳細な手順については、「IPAM を削除する」を参照してください。

  5. IPAM の削除を求めるメッセージが表示されたら、[カスケード削除] を選択します。これで、IPAM を削除する前に、IPAM 内のすべてのスコープとプールが削除されます。

    IPAM コンソールで IPAM を削除します。

  6. delete と入力し、[削除] を選択します。

  7. AWS Organizations 管理アカウントを使用して IPAM コンソールにログインし、[設定] を選択して、委任された管理者アカウントを削除します。

  8. (オプション) IPAM を AWS Organizations と統合すると、IPAM は、サービスリンクロールを各メンバーアカウントに自動的に作成します。各 AWS Organizations メンバーアカウントを使用して IAM にログインし、各メンバーアカウントの AWSServiceRoleForIPAM サービスにリンクされたロールを削除します。

  9. これで、クリーンアップは完了です。