Traga seu próprio CIDR IPv4 para o IPAM usando o Console de Gerenciamento da AWS e a AWS CLI

Para criar um grupo

1. Abra o console do IPAM em https://console.aws.amazon.com/ipam/.

2. No painel de navegação, selecione Pools (Grupos).

3. Por padrão, quando você cria um grupo, o escopo privado padrão é selecionado. Escolha o escopo público. Para obter mais informações sobre escopos, consulte Como funciona o IPAM.

4. Selecione Criar.

5. (Opcional) Adicione uma Name tag (Etiqueta de nome) e uma Description (Descrição) para o grupo.

6. Em Tipo de origem, escolha Escopo do IPAM.

7. Em Address family (Família de endereços), escolha IPv4.

8. Em Planejamento de recursos, deixe a opção de Planejar espaço IP dentro do escopo selecionada. Para obter informações detalhadas sobre como utilizar essa opção para planejar o espaço IP de sub-redes em uma VPC, consulte Tutorial: Planejar o espaço de endereço IP da VPC para alocações IP de sub-rede.

9. Em Locale (Local), escolha None (Nenhum).

   A integração do IPAM com o BYOIP exige que a localidade seja definida em qualquer grupo que será usado para o CIDR do BYOIP. Como você vai criar um grupo do IPAM de nível superior com um grupo regional dentro dele, e vamos alocar espaço para um endereço IP elástico do grupo regional, você definirá o local no grupo regional e não no grupo de nível superior. Você adicionará a localidade ao grupo regional ao criá-lo em uma etapa posterior.

   nota

   Se você estiver criando apenas um único grupo e não um grupo de nível superior com grupos regionais nele, escolha uma localidade que disponibilize o grupo para alocações.

10. Em Origem de IP público, escolha BYOIP.

11. Em CIDRs para provisionar, faça um dos seguintes procedimentos:

    • Se você verificou seu controle do domínio com um certificado X.509, deverá incluir o CIDR, a mensagem de BYOIP e a assinatura do certificado que criou nessa etapa para que possamos confirmar que você controla o espaço público.

    • Se você verificou seu controle do domínio com um registro TXT do DNS, deverá incluir o CIDR e token de verificação do IPAM criado nessa etapa para que possamos confirmar que você controla o espaço público.

    Observe que, ao provisionar um CIDR IPv4 para um grupo dentro do grupo de nível superior, o CIDR IPv4 mínimo que você pode provisionar é /24. CIDRs mais específicos (como /25) não são permitidos.

    Importante

    Embora a maior parte do provisionamento seja concluída em até 2 horas, a conclusão do processo de provisionamento pode levar até 1 semana para intervalos que permitam anúncios públicos.

12. Desmarque a opção Definir as configurações da regra de alocação deste grupo.

13. (Opcional) Escolha Tags (Etiquetas) para o grupo.

14. Selecione Criar.

Para criar um grupo regional dentro de um grupo de nível superior

1. Abra o console do IPAM em https://console.aws.amazon.com/ipam/.

2. No painel de navegação, selecione Pools (Grupos).

3. Por padrão, quando você cria um grupo, o escopo privado padrão é selecionado. Se você não quiser usar o escopo privado padrão, no menu suspenso na parte superior do painel de conteúdo, escolha o escopo que deseja usar. Para obter mais informações sobre escopos, consulte Como funciona o IPAM.

4. Selecione Criar.

5. (Opcional) Adicione uma Name tag (Etiqueta de nome) e uma Description (Descrição) para o grupo.

6. Em Origem, escolha o grupo de nível superior que você criou na seção anterior.

7. Em Planejamento de recursos, deixe a opção de Planejar espaço IP dentro do escopo selecionada. Para obter informações detalhadas sobre como utilizar essa opção para planejar o espaço IP de sub-redes em uma VPC, consulte Tutorial: Planejar o espaço de endereço IP da VPC para alocações IP de sub-rede.

8. Em Locale (Local), escolha o local do grupo. Neste tutorial, usaremos us-east-2 como o local para o grupo regional. As opções disponíveis são provenientes das regiões operacionais que você escolheu ao criar seu IPAM.

   A localidade do grupo deve ser uma das seguintes opções:

   • Uma região da AWS em que você quer disponibilizar esse grupo do IPAM para alocações.

   • O grupo de borda de rede para uma Zona local da AWS em que você quer disponibilizar esse grupo do IPAM para alocações (Zonas locais com suporte). Essa opção está disponível somente para grupos IPv4 de IPAM no escopo público.

   • Uma Zona local dedicada da AWS. Para criar um grupo dentro de uma Zona local dedicada da AWS, insira a Zona local dedicada da AWS na entrada do seletor.

   Por exemplo, um CIDR pode ser alocado apenas para uma VPC de um grupo do IPAM que compartilhe uma localidade com a Região da VPC. Observe que, ao escolher uma localidade para um grupo, não será possível modificá-la. Se a região de origem do IPAM não estiver disponível devido a uma interrupção e o grupo tiver um local diferente da região de origem do IPAM, o grupo ainda poderá ser usado para alocar endereços IP.

   A escolha de uma localidade garante que não haja dependências inter-regionais entre seu grupo e os recursos alocados a partir dele.

9. Em Service (Serviço), escolha EC2 (EIP/VPC). O serviço selecionado determina o serviço da AWS no qual o CIDR poderá ser publicado. Atualmente, a única opção é EC2 (EIP/VPC), o que significa que os CIDRs alocados a partir desse pool poderão ser anunciados para o serviço Amazon EC2 (para endereços IP elásticos) e para o serviço Amazon VPC (para CIDRs associados a VPCs).

10. Em CIDRs to provision (CIDRs a provisionar), escolha a CIDR que será provisionada para o grupo.

    nota

    Quando um CIDR é provisionado para um grupo regional dentro do grupo de nível superior, o CIDR IPv4 mais específico que você pode provisionar é /24. CIDRs mais específicos (como /25) não são permitidos. Depois de criar o grupo regional, você poderá criar grupos menores (como /25) dentro do mesmo grupo regional. Observe que, se você compartilhar o pool regional ou os pools nele contidos, esses pools só poderão ser usados na localidade definida no mesmo pool regional.

11. Marque a opção Definir as configurações da regra de alocação deste grupo. Aqui, você tem as mesmas opções de regra de alocação que na criação do grupo de nível superior. Consulte Criar um grupo de IPv4 de nível superior para obter uma explicação das opções que estão disponíveis ao criar grupos. As regras de alocação para o grupo regional não são herdadas do grupo de nível superior. Se você não aplicar nenhuma regra aqui, nenhuma regra de alocação será definida para o grupo.

12. (Opcional) Escolha Tags (Etiquetas) para o grupo.

13. Ao terminar de configurar o grupo, escolha Create pool (Criar grupo).

Para anunciar o CIDR

1. Abra o console do IPAM em https://console.aws.amazon.com/ipam/.

2. No painel de navegação, selecione Pools (Grupos).

3. Por padrão, quando você cria um grupo, o escopo privado padrão é selecionado. Escolha o escopo público. Para obter mais informações sobre escopos, consulte Como funciona o IPAM.

4. Escolha o grupo regional que você criou neste tutorial.

5. Escolha a guia CIDRs.

6. Selecione o CIDR de BYOIP e escolha Actions (Ações) >Advertise (Anunciar).

7. Escolha Advertise CIDR (Anunciar CIDR).

Para habilitar o compartilhamento de recursos

1. Com a conta de gerenciamento do AWS Organizations, abra o console do AWS RAM em https://console.aws.amazon.com/ram/.

2. No painel de navegação esquerdo, escolha Configurações, depois Habilitar compartilhamento com o AWS Organizations e escolha Salvar configurações.

Para compartilhar um grupo do IPAM usando o AWS RAM

1. Use a conta de administrador do IPAM e abra o console do IPAM em https://console.aws.amazon.com/ipam/.

2. No painel de navegação, selecione Grupos.

3. Escolha o escopo privado, o grupo de IPAM e Ações > Visualizar detalhes.

4. Em Resource sharing (Compartilhamento de recursos), escolha Create resource share (Criar compartilhamento de recursos). O console do AWS RAM será aberto. Você compartilhará o grupo usando o AWS RAM.

5. Escolha Create a resource share (Criar um compartilhamento de recursos).

6. No console do AWS RAM, escolha Criar um compartilhamento de recursos novamente.

7. Adicione um Nome para o recurso compartilhado.

8. Em Selecionar tipo de recurso, escolha Grupos do IPAM e, em seguida, escolha o ARN do grupo que deseja compartilhar.

9. Escolha Próximo.

10. Escolha a permissão AWSRAMPermissionIpamPoolByoipCidrImport. Os detalhes das opções de permissão estão fora do escopo deste tutorial, mas você pode descobrir mais sobre essas opções em Compartilhar um grupo do IPAM usando o AWS RAM.

11. Escolha Próximo.

12. Em Entidades principais > Selecionar tipo de entidade principal, escolha Conta da AWS e insira o ID da conta que trará um intervalo de endereços IP para o IPAM e escolha Adicionar.

13. Escolha Próximo.

14. Revise as opções de compartilhamento de recursos e as entidades principais com as quais você compartilhará e escolha Criar.

15. Para permitir que a conta da member-account aloque o endereço IP CIDRS do grupo do IPAM, crie um segundo compartilhamento de recursos com AWSRAMDefaultPermissionsIpamPool. O valor para --resource-arns é o ARN do grupo do IPAM criado na seção anterior. O valor para --principals é o ID de member-account. O valor para --permission-arns é o ARN da permissão AWSRAMDefaultPermissionsIpamPool.

Etapa 1: retirar o CIDR da publicidade

Esta etapa deve ser executada pela conta do IPAM.

1. Abra o console do IPAM em https://console.aws.amazon.com/ipam/.

2. No painel de navegação, selecione Pools (Grupos).

3. Por padrão, quando você cria um grupo, o escopo privado padrão é selecionado. Escolha o escopo público.

4. Escolha o grupo regional que você criou neste tutorial.

5. Escolha a guia CIDRs.

6. Selecione o CIDR de BYOIP e escolha Actions (Ações) >Withdraw from advertising (Retirar da publicidade).

7. Selecione Withdraw CIDR (Retirar CIDR).

Etapa 2: desassociar o endereço IP elástico

Esta etapa deve ser executada pela conta de membro. Se você estiver usando a AWS CLI, use a opção --profile member-account.

• Conclua as etapas em Dissociar um endereço IP elástico no Guia do usuário do Amazon EC2 para remover a associação do EIP. Ao abrir o EC2 no Console de Gerenciamento da AWS, a região da AWS em que você desassocia a EIP deve corresponder à opção Locale escolhida ao criar o grupo que será usado para o CIDR de BYOIP. Neste tutorial, esse é o seu grupo regional.

Etapa 3: liberar o endereço IP elástico

Esta etapa deve ser executada pela conta de membro. Se você estiver usando a AWS CLI, use a opção --profile member-account.

• Conclua as etapas em Liberar um endereço IP elástico no Guia do usuário do Amazon EC2 para liberar um endereço IP elástico (EIP) do grupo IPv4 público. Ao abrir o EC2 no Console de Gerenciamento da AWS, a região da AWS em que você aloca a EIP deve corresponder à opção Locale escolhida ao criar o grupo que será usado para o CIDR de BYOIP.

Etapa 4: excluir qualquer compartilhamento do RAM e desabilitar a integração do RAM com o AWS Organizations

Esta etapa deve ser executada pela conta do IPAM e pela conta de gerenciamento, respectivamente. Se você estiver usando o AWS CLI para excluir os compartilhamentos do RAM e desabilitar a integração do RAM, use as opções --profile ipam-account e --profile management-account.

• Conclua as etapas em Excluir um compartilhamento de recursos no AWS RAM e Desabilitar o compartilhamento de recursos com o AWS Organizations no Guia do usuário do AWS RAM, nessa ordem, para excluir os compartilhamentos do RAM e desabilitar a integração do RAM com o AWS Organizations.

Etapa 5: desprovisionar os CIDRs do grupo regional e do grupo de nível superior

Esta etapa deve ser executada pela conta do IPAM. Se você estiver usando a AWS CLI para compartilhar o grupo, use a opção --profile ipam-account.

• Conclua as etapas em Desprovisionar CIDRs de um grupo para desprovisionar os CIDRs do grupo regional e, em seguida, do grupo de nível superior, nessa ordem.

Etapa 6: excluir o grupo regional e o grupo de nível superior

Esta etapa deve ser executada pela conta do IPAM. Se você estiver usando a AWS CLI para compartilhar o grupo, use a opção --profile ipam-account.

• Conclua as etapas em Excluir um grupo para excluir o grupo regional e, em seguida, o grupo de nível superior, nessa ordem.

Para criar um grupo IPv4 público usando a AWS CLI

• Execute o comando a seguir para provisionar o CIDR. Ao executar o comando nesta seção, o valor de --region deve corresponder à opção Locale escolhida ao criar o grupo que será usado para o CIDR de BYOIP.

  aws ec2 create-public-ipv4-pool --region us-east-2 --profile member-account

  Na saída, você verá o ID do grupo IPv4 público. Você precisará desse ID na próxima etapa.

  {
      "PoolId": "ipv4pool-ec2-09037ce61cf068f9a"
  }

Para criar um grupo IPv4 público usando a AWS CLI

1. Execute o comando a seguir para provisionar o CIDR.

   aws ec2 provision-public-ipv4-pool-cidr --region us-east-2 --ipam-pool-id ipam-pool-04d8e2d9670eeab21 --pool-id ipv4pool-ec2-09037ce61cf068f9a --netmask-length 24 --profile member-account

   Na saída, você verá o CIDR provisionado.

   {                                      
       "PoolId": "ipv4pool-ec2-09037ce61cf068f9a", 
       "PoolAddressRange": {                       
           "FirstAddress": "130.137.245.0",        
           "LastAddress": "130.137.245.255",       
           "AddressCount": 256,                    
           "AvailableAddressCount": 256            
       }                                           
   }

2. Execute o comando a seguir para exibir o CIDR provisionado no grupo IPv4 público.

   aws ec2 describe-public-ipv4-pools --region us-east-2 --max-results 10 --profile member-account

   Na saída, você verá o CIDR provisionado. Por padrão, o CIDR não é anunciado, o que significa que não é acessível publicamente pela Internet. Você terá a chance de definir esse CIDR como anunciado na última etapa deste tutorial.

   {
       "PublicIpv4Pools": [
           {
               "PoolId": "ipv4pool-ec2-09037ce61cf068f9a",
               "Description": "",
               "PoolAddressRanges": [
                   {
                       "FirstAddress": "130.137.245.0",
                       "LastAddress": "130.137.245.255",
                       "AddressCount": 256,
                       "AvailableAddressCount": 255
                   }
               ],
               "TotalAddressCount": 256,
               "TotalAvailableAddressCount": 255,
               "NetworkBorderGroup": "us-east-2",
               "Tags": []
           }
       ]
   }

Etapa 1: desprovisionar o CIDR IPv4 público do seu grupo IPv4 público

1. Veja seus CIDRs de BYOIP.

   aws ec2 describe-public-ipv4-pools --region us-east-2 --profile member-account

   Na saída, você verá os endereços IP em seu CIDR de BYOIP.

   {
       "PublicIpv4Pools": [
           {
               "PoolId": "ipv4pool-ec2-09037ce61cf068f9a",
               "Description": "",
               "PoolAddressRanges": [
                   {
                       "FirstAddress": "130.137.245.0",
                       "LastAddress": "130.137.245.255",
                       "AddressCount": 256,
                       "AvailableAddressCount": 256
                   }
               ],
               "TotalAddressCount": 256,
               "TotalAvailableAddressCount": 256,
               "NetworkBorderGroup": "us-east-2",
               "Tags": []
           }
       ]
   }

2. Execute o comando a seguir para liberar o último endereço IP no CIDR do grupo IPv4 público. Insira o endereço IP com uma máscara de rede de /32.

   aws ec2 deprovision-public-ipv4-pool-cidr --region us-east-2 --pool-id ipv4pool-ec2-09037ce61cf068f9a --cidr 130.137.245.255/32 --profile member-account

   Na saída, você verá o CIDR desprovisionado.

   {
       "PoolId": "ipv4pool-ec2-09037ce61cf068f9a",                                                                                       
       "DeprovisionedAddresses": [                                                                                                       
           "130.137.245.255"                                                                                                             
       ]                                                                                                                                 
   }

   Importante

   Você deve executar novamente esse comando para cada endereço IP no intervalo do CIDR. Se o seu CIDR for um /24, você terá que executar esse comando para desprovisionar cada um dos 256 endereços IP no CIDR /24.

3. Visualize seus CIDRs de BYOIP novamente e verifique se não há mais endereços provisionados. Ao executar o comando nesta seção, o valor de --region deve corresponder à região do seu IPAM.

   aws ec2 describe-public-ipv4-pools --region us-east-2 --profile member-account

   Na saída, você verá a contagem de endereços IP em seu grupo IPv4 público.

   {
       "PublicIpv4Pools": [
           {
               "PoolId": "ipv4pool-ec2-09037ce61cf068f9a",
               "Description": "",
               "PoolAddressRanges": [],
               "TotalAddressCount": 0,
               "TotalAvailableAddressCount": 0,
               "NetworkBorderGroup": "us-east-2",
               "Tags": []
           }
       ]
   }

Etapa 2: excluir o grupo IPv4 público

Esta etapa deve ser executada pela conta de membro.

• Execute o comando a seguir para excluir o grupo IPv4 público do CIDR. Ao executar o comando nesta seção, o valor de --region deve corresponder à opção Locale escolhida ao criar o grupo que será usado para o CIDR de BYOIP. Neste tutorial, esse é o seu grupo regional. Essa etapa deve ser concluída usando a AWS CLI.

  aws ec2 delete-public-ipv4-pool --region us-east-2 --pool-id ipv4pool-ec2-09037ce61cf068f9a --profile member-account

  Na saída, você verá o valor de retorno true (verdadeiro).

  {
  "ReturnValue": true
  }

  Depois que você excluir o grupo, para visualizar a alocação não gerenciada pelo IPAM, abra o console do IPAM e veja os detalhes do grupo regional em Allocations (Alocações).