Automatisieren Sie Amazon VPC IPAM IPv4 CIDR-Zuweisungen für neue mithilfe von AFT AWS-Konten

Öffnen Sie mithilfe des AWS Organizations Verwaltungskontos die IPAM-Konsole unter. https://console.aws.amazon.com/ipam/

Wählen Sie im die aus AWS-Managementkonsole, AWS-Region in der Sie mit IPAM arbeiten möchten.

Klicken Sie im Navigationsbereich auf Organization settings (Organisationseinstellungen).

Wählen Sie Delegieren. Die Option Delegieren ist nur verfügbar, wenn Sie sich als Verwaltungskonto bei der Konsole angemeldet haben. AWS Organizations

Geben Sie die AWS-Konto ID für ein IPAM-Konto ein. Der IPAM-Administrator muss in einem AWS Organizations Mitgliedskonto sein.

Wählen Sie Änderungen speichern aus.

Führen Sie die folgenden Befehle aus:

# Navigate to the IPAM module
cd ipam/terraform

# Initiate the IPAM module
terraform init

Öffnen Sie die main.tf Datei, ändern Sie den Code wie in den folgenden Kommentaren beschrieben, und speichern Sie die Datei.

terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = ">= 5.11.0, < 6.0.0"
    }
  }
}

provider "aws" {
  region = "us-east-1" # Replace with the region to create your top-level pool
}

module "ipam" {
  source  = "aws-ia/ipam/aws"
  version = ">= 2.1.0"

  top_name = "my-top-level-pool" # Replace with your desired top-level pool name
  top_description = "top-level pool" # Replace with your desired top-level level pool description
  top_cidr = ["10.0.0.0/16"] # Replace with your desired top-level pool CIDR

  pool_configurations = {
    my-regional-pool = { # (Optional) Replace with a different resource name
      name             = "my-regional-pool" # Replace with your desired pool name
      description      = "regional pool" # Replace with your desired pool description
      cidr             = ["10.0.0.0/23"] # Replace with your desired pool CIDR
      locale           = "us-east-1" # Replace with your desired pool locale
      ram_share_principals = ["arn:aws:organizations::012345678901:ou/ou-ab1c2de345/ou-ab1c2de345"] # Replace with your desired principal ARN to share with via Resource Access Manager (RAM)
    }
  }
}

output "my_regional_pool_id" {
  description = "The ID of the regional pool"
  value       = module.ipam.pools_level_1["my-regional-pool"].id # Replace with your desired resource name if changed above
}

# Create the IPAM top-level and resource pool
terraform apply

Erstellen Sie eine neue aft-providers.jinja Datei im Verzeichnis. terraform

Öffnen Sie die Datei, fügen Sie den folgenden Code hinzu und speichern Sie die Datei.

provider "aws" {
  region = "{{ provider_region }}"
  assume_role {
    role_arn    = "{{ target_admin_role_arn }}"
  }
  default_tags {
    tags = {
      managed_by                  = "AFT"
    }
  }
}

Erstellen Sie eine neue backend.jinja Datei im Verzeichnis. terraform

Öffnen Sie die Datei, fügen Sie den folgenden Code hinzu und speichern Sie die Datei.

## Auto generated backend.tf ##
## Updated on: {{ timestamp }} ##

{% if tf_distribution_type == "oss" -%}
terraform {
  required_version = ">= {{ tf_version }}"
  backend "s3" {
    region         = "{{ region }}"
    bucket         = "{{ bucket }}"
    key            = "{{ key }}"
    dynamodb_table = "{{ dynamodb_table }}"
    encrypt        = "true"
    kms_key_id     = "{{ kms_key_id }}"
    role_arn       = "{{ aft_admin_role_arn }}"
  }
}
{% else -%}
terraform {
    backend "remote" {
        organization = "{{ terraform_org_name }}"
        workspaces {
        name = "{{ terraform_workspace_name }}"
        }
    }
}
{% endif %}

Erstellen Sie eine neue main.tf Datei im terraform Verzeichnis.

Öffnen Sie die Datei, fügen Sie den folgenden Code hinzu und speichern Sie die Datei.

# Define data sources
data "aws_ssm_parameter" "vpc_ipam_id" {
  name = "/aft/account-request/custom-fields/vpc-ipam-id" # Value is defined in the account-request.tf file
}

data "aws_ssm_parameter" "vpc_netmask" {
  name = "/aft/account-request/custom-fields/vpc-ipam-netmask" # Value is defined in the account-request.tf file
}

# Create new VPC
resource "aws_vpc" "vpc1" {

  ipv4_ipam_pool_id   = data.aws_ssm_parameter.vpc_ipam_id.value # Retrieved from SSM - this is how we integrate with IPAM
  ipv4_netmask_length = data.aws_ssm_parameter.vpc_netmask.value # Retrieved from SSM

  assign_generated_ipv6_cidr_block     = var.enable_ipv6 ? true : null
  ipv6_cidr_block                      = var.ipv6_cidr
  ipv6_ipam_pool_id                    = var.ipv6_ipam_pool_id
  ipv6_netmask_length                  = var.ipv6_netmask_length
  ipv6_cidr_block_network_border_group = var.ipv6_cidr_block_network_border_group

  instance_tenancy                     = var.instance_tenancy
  enable_dns_hostnames                 = var.enable_dns_hostnames
  enable_dns_support                   = var.enable_dns_support
  enable_network_address_usage_metrics = var.enable_network_address_usage_metrics

  tags = var.tags

  lifecycle {
    ignore_changes = [
      tags, # Any changes made to VPC tags after creation will not be overwritten - remove to revert these changes during future 'terraform apply' operations
    ]
  }
}

Erstellen Sie eine neue variables.tf Datei im Verzeichnis. terraform

Öffnen Sie die Datei, fügen Sie den folgenden Code hinzu und speichern Sie die Datei.

# Copied from AWS VPC module
# https://github.com/terraform-aws-modules/terraform-aws-vpc/blob/master/variables.tf

variable "name" {
  description = "Name to be used on all the resources as identifier"
  type        = string
  default     = ""
}

variable "enable_ipv6" {
  description = "Requests an Amazon-provided IPv6 CIDR block with a /56 prefix length for the VPC. You cannot specify the range of IP addresses, or the size of the CIDR block"
  type        = bool
  default     = false
}

variable "ipv6_cidr" {
  description = "(Optional) IPv6 CIDR block to request from an IPAM Pool. Can be set explicitly or derived from IPAM using `ipv6_netmask_length`"
  type        = string
  default     = null
}

variable "ipv6_ipam_pool_id" {
  description = "(Optional) IPAM Pool ID for a IPv6 pool. Conflicts with `assign_generated_ipv6_cidr_block`"
  type        = string
  default     = null
}

variable "ipv6_netmask_length" {
  description = "(Optional) Netmask length to request from IPAM Pool. Conflicts with `ipv6_cidr_block`. This can be omitted if IPAM pool as a `allocation_default_netmask_length` set. Valid values: `56`"
  type        = number
  default     = null
}

variable "ipv6_cidr_block_network_border_group" {
  description = "By default when an IPv6 CIDR is assigned to a VPC a default ipv6_cidr_block_network_border_group will be set to the region of the VPC. This can be changed to restrict advertisement of public addresses to specific Network Border Groups such as LocalZones"
  type        = string
  default     = null
}

variable "instance_tenancy" {
  description = "A tenancy option for instances launched into the VPC"
  type        = string
  default     = "default"
}

variable "enable_dns_hostnames" {
  description = "Should be true to enable DNS hostnames in the VPC"
  type        = bool
  default     = true
}

variable "enable_dns_support" {
  description = "Should be true to enable DNS support in the VPC"
  type        = bool
  default     = true
}

variable "enable_network_address_usage_metrics" {
  description = "Determines whether network address usage metrics are enabled for the VPC"
  type        = bool
  default     = null
}

variable "tags" {
  description = "A map of tags to add to all resources"
  type        = map(string)
  default     = {}
}

Erstellen Sie eine neue terraform.tfvars Datei im terraform Verzeichnis.

Öffnen Sie die Datei, fügen Sie den folgenden Code hinzu und speichern Sie die Datei.

name = "demo-ipam"
enable_ipv6 = false
enable_dns_hostnames = true
enable_dns_support = true

Erstellen Sie eine neue outputs.tf Datei im terraform Verzeichnis.

Öffnen Sie die Datei, fügen Sie den folgenden Code hinzu und speichern Sie die Datei.

# Output VPC ID and ARN in CodeBuild
output "vpc1" {
  description = "VPC 1 information"
  value = {
    id  = try(aws_vpc.vpc1.id, null)
    arn = try(aws_vpc.vpc1.arn, null)
  }
}

Navigieren Sie von Ihrem Terminal aus zum Verzeichnis. aft-account-request/terraform

Öffnen Sie die account-requests.tf Datei, fügen Sie den folgenden Code hinzu, ändern Sie ihn mit Ihren Werten und speichern Sie die Datei.

module "sandbox_account_01" {
  source = "./modules/aft-account-request"

  control_tower_parameters = {
    AccountEmail = "john.doe@example.com"
    AccountName  = "sandbox-account-01"
    # Syntax for top-level OU
    ManagedOrganizationalUnit = "Sandbox"
    # Syntax for nested OU
    # ManagedOrganizationalUnit = "Sandbox (ou-xfe5-a8hb8ml8)"
    SSOUserEmail     = "john.doe@example.com"
    SSOUserFirstName = "John"
    SSOUserLastName  = "Doe"
  }

  account_tags = {
    "ABC:Owner"       = "john.doe@example.com"
    "ABC:Division"    = "ENT"
    "ABC:Environment" = "Dev"
    "ABC:CostCenter"  = "123456"
    "ABC:Vended"      = "true"
    "ABC:DivCode"     = "102"
    "ABC:BUCode"      = "ABC003"
    "ABC:Project"     = "123456"
  }

  change_management_parameters = {
    change_requested_by = "John Doe"
    change_reason       = "testing the account vending process"
  }

  custom_fields = {
    vpc-ipam-id = "ipam-pool-123456ab789041cd2"
    vpc-ipam-netmask = "24"
 
  }

  account_customizations_name = "APG-AFT-IPAM" # Do not change this value
}

Verwenden Sie die folgenden Befehle, um das neue Konto in das Repository für Kontoanfragen zu übernehmen:

git add .
git commit -m 'requested APG account'
git push origin

Öffnen Sie Ihre AWS IAM Identity Center Anmeldeseite und authentifizieren Sie sich als der Benutzer, den Sie in der Datei angegeben haben. account-requests.tf

Wählen Sie aus der IAM Identity Center-Kontoliste das Konto aus, das Sie zuvor verkauft haben, und melden Sie sich mit der Rolle an. AWS AdministratorAccess

Navigieren Sie zur VPC-Konsole und wählen Sie Ihr VPCs aus.

Wählen Sie die VPC-ID der VPC aus, die Sie gerade erstellt haben.

Wählen Sie die Registerkarte CIDRs aus. Sie sollten ein IPv4 IPAM-zugewiesenes CIDR sehen.

(Optional) Melden Sie sich bei Ihrem delegierten IPAM-Administratorkonto an und vergewissern Sie sich, dass die Zuweisung in der IPAM-Konsole angezeigt wird.