從 IPAM 排除組織單位

PDF

焦點模式

從 IPAM 排除組織單位 - Amazon Virtual Private Cloud

OU 排除的運作方式新增或移除 OU 排除

如果您的 IPAM 已與 AWS Organizations 整合，您可以排除由 IPAM 管理的組織單位 (OU)。當您排除 OU 時，IPAM 不會管理該 OU 帳戶中的 IP 地址。此功能可讓您更靈活地使用 IPAM。

您可以透過以下方式使用 OU 排除：

為業務的特定部分啟用 IPAM：如果您在 AWS Organizations 中多個業務部門或子公司，您現在可以只為需要的部門使用 IPAM。
保持沙盒帳戶分離：您可以將沙盒帳戶排除在 IPAM 之外，只專注於對 IP 管理真正重要的帳戶。

OU 排除的運作方式

本節中的圖表示範在 IPAM 中新增 OU 排除的兩個使用案例。

第一個圖表顯示僅在父級 OU 上新增組織單位 (OU) 排除的影響。結果是，IPAM 不會管理父級 OU 中帳戶的 IP 位址。IPAM 會管理其他不在排除範圍內的 OU 中帳戶的 IP 位址。

第二個圖表顯示在父級 OU 和所有子級 OU 上新增組織單位 (OU) 排除的影響。結果是，IPAM 不會管理父級 OU 中帳戶的 IP 位址，也不會管理任何子級 OU 中帳戶的 IP 位址。IPAM 仍然會管理不在排除範圍內的其他 OU 中帳戶的 IP 位址。

新增或移除 OU 排除

完成本節中的步驟，以新增或移除 OU 排除。

注意

即使委派的 IPAM 管理帳戶位於已排除的 OU 中，也不會被排除。
您的 IPAM 必須與整合， AWS Organizations 才能新增 OU 排除。組織中必須有 OU。
您必須是委派 IPAM 管理員，才能檢視、新增或移除 OU 排除。
IPAM 需要一些時間來發現最近建立的組織單位。
每次資源發現會有一個預設配額，限制您能夠新增的排除數量。如需詳細資訊，請參閱 IPAM 的配額中每個資源發現的組織單位排除。
如果您與其他帳戶共用資源探索，該帳戶可以查看其中的 OU 排除，其中包含資源探索擁有者的組織 ID、根 ID 和組織單位 IDs 等資訊。

AWS Management Console

新增或移除 OU 排除

請在 https://console.aws.amazon.com/ipam/ 開啟 IPAM 主控台。
在導覽窗格中，選擇尋找探索。
選擇預設資源發現。
選擇編輯。
在 組織單位排除 下，執行以下操作：
- 新增 OU 排除：
  - 如果要排除 OU 及其所有子級 OU：
    
    在資料表中尋找 OU，然後選取核取方塊。系統會自動選取所有子級 OU。
  - 如果只想要排除父級 OU 帳戶：
    
    在資料表中尋找 OU，然後選取核取方塊。系統會自動選取所有子級 OU。取消選取所有子級 OU。
  - 或者，您可以使用動作欄來僅選取父級 OU，或父級和子級 OU：
    
    選取所有子級 OU：在排除範圍中包含所有子級 OU。選擇一個 OU 之後，該 OU 會被顯示在畫面上。每個 OU 都包含該 OU 排除的 ID 和實體路徑。
    
    僅選取此 OU：在排除範圍中僅包含此 OU。選擇一個 OU 之後，該 OU 會被顯示在畫面上。每個 OU 都包含該 OU 排除的 ID 和實體路徑。
    
    複製 OU 實體路徑：視需要複製要使用的 AWS Organizations 實體路徑。
  - 如果您已經知道 AWS Organizations 實體路徑，或想要建置它：
    
    選擇 輸入組織單位排除，然後輸入 OU 排除的實體路徑。使用 AWS Organizations ID 建立 OU 路徑，並以 / 分隔。若要包含所有子級 OU，請將路徑結尾加上 /*。
    
    範例 1
    
    子級 OU 的路徑：o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-ghi0-awsccccc/ou-jkl0-awsddddd/
    
    在此範例中， o-a1b2c3d4e5 是組織 ID、 r-f6g7h8i9j0example 是根 ID、 ou-ghi0-awsccccc 是 OU ID， ou-jkl0-awsddddd是子 OU ID。
    
    IPAM 不會管理子級 OU 中帳戶的 IP 位址。
    
    範例 2
    
    所有子級 OU 都包含在排除範圍內的路徑：o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-ghi0-awsccccc/*
    
    在此範例中，IPAM 不會管理 OU (ou-ghi0-awsccccc) 中帳戶的 IP 位址，也不會管理任何其子級 OU 中帳戶的 IP 位址。
- 移除 OU 排除：
  - 選擇已新增的 OU 旁的 X。OU ID 後的 /* 表示它是父級 OU，並且其子級 OU 在排除範圍內。
選擇 Save changes (儲存變更)。

Command line

本節中的命令連結至 CLI AWS 參考文件。本文件旨在詳細說明執行命令時可使用的選項。

使用 describe-ipam-resource-discoveries 查看資源發現詳細資訊，以取得預設資源發現的 ID 供後續步驟使用。

輸入:


aws ec2 describe-ipam-resource-discoveries

輸出：


{                                                                                                                              
    "IpamResourceDiscoveries": [                                                                                               
        {                                                                                                                      
            "OwnerId": "111122223333",                                                                                         
            "IpamResourceDiscoveryId": "ipam-res-disco-1234567890abcdef0",                                                     
            "IpamResourceDiscoveryArn": "arn:aws:ec2::111122223333:ipam-resource-discovery/ipam-res-disco-1234567890abcdef0",  
            "IpamResourceDiscoveryRegion": "us-east-1",                                                                        
            "OperatingRegions": [                                                                                              
                {                                                                                                              
                    "RegionName": "us-east-1"                                                                                  
                },                                                                                                             
                {                                                                                                              
                    "RegionName": "us-west-1"                                                                                  
                },                                                                                                             
                {                                                                                                              
                    "RegionName": "us-west-2"                                                                                  
                }                                                                                                              
            ],                                                                                                                 
            "IsDefault": true,                                                                                                 
            "State": "modify-complete",                                                                                        
            "Tags": []                                                                                                         
        }                                                                                                                      
    ]                                                                                                                          
}

使用 modify-ipam-resource-discovery 以及 --add-organizational-unit-exclusions 或 --remove-organizational-unit-exclusions 選項，在資源發現中新增或移除組織單位排除。您需要輸入 AWS Organizations 實體路徑。使用以分隔 AWS 的組織 IDs建置 OU 的路徑 (OU)/。若要包含所有子級 OU，請將路徑結尾加上 /*。您無法在新增或移除參數中多次包含相同的實體路徑。
- 範例 1
  - 子級 OU 的路徑：o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-ghi0-awsccccc/ou-jkl0-awsddddd/
  - 在此範例中， o-a1b2c3d4e5 是組織 ID、 r-f6g7h8i9j0example 是根 ID、 ou-ghi0-awsccccc 是 OU ID， ou-jkl0-awsddddd是子 OU ID。
  - IPAM 不會管理子級 OU 中帳戶的 IP 位址。
- 範例 2
  - 所有子級 OU 都包含在排除範圍內的路徑：o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-ghi0-awsccccc/*
  - 在此範例中，IPAM 不會管理 OU (ou-ghi0-awsccccc) 中帳戶的 IP 位址，也不會管理任何其子級 OU 中帳戶的 IP 位址。
注意
產生的排除集不得「重疊」，這表示兩個或多個 OU 排除不得排除相同的 OU。
非重疊實體路徑的範例：
- 路徑 1 ="o-1/r-1/ou-1/"
- 路徑 2 ="o-1/r-1/ou-1/ou-2/"
這些路徑不會重疊，因為路徑 1 僅排除 ou-1 下的帳戶，而路徑 2 僅排除 ou-2 下的帳戶。
重疊實體路徑的範例：
- 路徑 1 ="o-1/r-1/ou-1/*"
- 路徑 2 ="o-1/r-1/ou-1/ou-2/"
這些路徑重疊，因為路徑 1 同時代表 "o-1/r-1/ou-1/" 和 "o-1/r-1/ou-1/ou-2/"，而 "o-1/r-1/ou-1/ou-2/" 與路徑 2 重疊。
輸入:
```
aws ec2 modify-ipam-resource-discovery \
    --ipam-resource-discovery-id ipam-res-disco-1234567890abcdef0 \
    --add-organizational-unit-exclusions OrganizationsEntityPath='o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-ghi0-awsccccc/*' \
    --remove-organizational-unit-exclusions OrganizationsEntityPath='o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-ghi0-awsccccc/ou-jkl0-awsddddd/' \
    --region us-east-1                    
```
輸出：
```
{
    "IpamResourceDiscovery": {
        "OwnerId": "111122223333",
        "IpamResourceDiscoveryId": "ipam-res-disco-1234567890abcdef0",
        "IpamResourceDiscoveryArn": "arn:aws:ec2::111122223333:ipam-resource-discovery/ipam-res-disco-1234567890abcdef0",
        "IpamResourceDiscoveryRegion": "us-east-1",
        "OperatingRegions": [
            {
                "RegionName": "us-east-1"
            }
        ],
        "IsDefault": false,
        "State": "modify-in-progress",
        "OrganizationalUnitExclusions": [
            {
                "OrganizationsEntityPath": "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-ghi0-awsccccc/*"
            }
        ]
    }
}
```

anchor anchor

新增或移除 OU 排除

請在 https://console.aws.amazon.com/ipam/ 開啟 IPAM 主控台。
在導覽窗格中，選擇尋找探索。
選擇預設資源發現。
選擇編輯。
在 組織單位排除 下，執行以下操作：
- 新增 OU 排除：
  - 如果要排除 OU 及其所有子級 OU：
    
    在資料表中尋找 OU，然後選取核取方塊。系統會自動選取所有子級 OU。
  - 如果只想要排除父級 OU 帳戶：
    
    在資料表中尋找 OU，然後選取核取方塊。系統會自動選取所有子級 OU。取消選取所有子級 OU。
  - 或者，您可以使用動作欄來僅選取父級 OU，或父級和子級 OU：
    
    選取所有子級 OU：在排除範圍中包含所有子級 OU。選擇一個 OU 之後，該 OU 會被顯示在畫面上。每個 OU 都包含該 OU 排除的 ID 和實體路徑。
    
    僅選取此 OU：在排除範圍中僅包含此 OU。選擇一個 OU 之後，該 OU 會被顯示在畫面上。每個 OU 都包含該 OU 排除的 ID 和實體路徑。
    
    複製 OU 實體路徑：視需要複製要使用的 AWS Organizations 實體路徑。
  - 如果您已經知道 AWS Organizations 實體路徑，或想要建置它：
    
    選擇 輸入組織單位排除，然後輸入 OU 排除的實體路徑。使用 AWS Organizations ID 建立 OU 路徑，並以 / 分隔。若要包含所有子級 OU，請將路徑結尾加上 /*。
    
    範例 1
    
    子級 OU 的路徑：o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-ghi0-awsccccc/ou-jkl0-awsddddd/
    
    在此範例中， o-a1b2c3d4e5 是組織 ID、 r-f6g7h8i9j0example 是根 ID、 ou-ghi0-awsccccc 是 OU ID， ou-jkl0-awsddddd是子 OU ID。
    
    IPAM 不會管理子級 OU 中帳戶的 IP 位址。
    
    範例 2
    
    所有子級 OU 都包含在排除範圍內的路徑：o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-ghi0-awsccccc/*
    
    在此範例中，IPAM 不會管理 OU (ou-ghi0-awsccccc) 中帳戶的 IP 位址，也不會管理任何其子級 OU 中帳戶的 IP 位址。
- 移除 OU 排除：
  - 選擇已新增的 OU 旁的 X。OU ID 後的 /* 表示它是父級 OU，並且其子級 OU 在排除範圍內。
選擇 Save changes (儲存變更)。