Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Commencer à utiliser Amazon VPC à l'aide de la CLI AWS

Ce didacticiel vous explique comment créer un Virtual Private Cloud (VPC) à l'aide de l'interface de ligne de AWS commande ().AWS CLI Vous apprendrez à configurer un VPC avec des sous-réseaux publics et privés, à configurer la connectivité Internet et à déployer des EC2 instances pour démontrer une architecture d'application Web commune.

Conditions préalables

Avant de démarrer ce tutoriel, assurez-vous de disposer des éléments suivants :

Considérations de coût

Ce didacticiel crée AWS des ressources susceptibles d'entraîner des coûts sur votre compte. Le coût principal provient de la passerelle NAT (0,045$ de l'heure plus les frais de traitement des données) et des EC2 instances (t2.micro, environ 0,0116$ de l'heure chacune). Si vous exécutez le tutoriel en une heure et que vous nettoyez ensuite toutes les ressources, le coût total s’élèvera à environ 0,07 USD. Pour optimiser les coûts dans les environnements de développement, vous pouvez utiliser une instance NAT plutôt qu’une passerelle NAT. Cela peut réduire considérablement les coûts.

Vérifions-nous que le vôtre AWS CLI est correctement configuré avant de continuer.

aws configure list

Vous devriez voir votre clé AWS d'accès, votre clé secrète et votre région par défaut. Vérifiez également que vous disposez des autorisations requises pour créer des ressources VPC.

aws sts get-caller-identity

Cette commande affiche votre identifiant de AWS compte, votre identifiant utilisateur et votre ARN pour confirmer que vos informations d'identification sont valides.

Création d’un VPC

Un Virtual Private Cloud (VPC) est un réseau virtuel dédié à votre compte. AWS Dans cette section, vous allez créer un VPC avec le bloc CIDR 10.0.0.0/16, qui fournit jusqu’à 65 536 adresses IP.

Création du VPC

La commande suivante crée un VPC et lui attribue une balise de nom.

aws ec2 create-vpc --cidr-block 10.0.0.0/16 --tag-specifications 'ResourceType=vpc,Tags=[{Key=Name,Value=MyVPC}]'

Notez l’ID de VPC indiqué dans la sortie. Vous en aurez besoin pour les commandes suivantes. Ce tutoriel utilise l’ID de VPC « vpc-0123456789abcdef0 » comme exemple. Remplacez-le par votre ID de VPC réel dans toutes les commandes.

Activation de la prise en charge du DNS et des noms d’hôte

Par défaut, la résolution DNS et les noms d’hôte DNS sont désactivés dans un nouveau VPC. Activez ces fonctionnalités pour permettre aux instances de votre VPC de résoudre les noms de domaine.

aws ec2 modify-vpc-attribute --vpc-id vpc-0123456789abcdef0 --enable-dns-support
aws ec2 modify-vpc-attribute --vpc-id vpc-0123456789abcdef0 --enable-dns-hostnames

Ces commandes ne génèrent aucune sortie lorsqu’elles aboutissent. La prise en charge du DNS et la résolution des noms d’hôte sont désormais activées pour votre VPC.

Création de sous-réseaux

Les sous-réseaux sont des segments d’une plage d’adresses IP d’un VPC dans lesquels vous pouvez placer des groupes de ressources isolées. Dans cette section, vous allez créer des sous-réseaux publics et privés dans deux zones de disponibilité pour assurer un haut niveau de disponibilité.

Accès aux zones de disponibilité disponibles

Commencez par récupérer les zones de disponibilité disponibles dans votre région.

aws ec2 describe-availability-zones

Dans ce tutoriel, vous utiliserez les deux premières zones de disponibilité. Notez leurs noms dans la sortie (par exemple, « us-east-1a » et « us-east-1b »).

Création de sous-réseaux publics

Les sous-réseaux publics sont utilisés pour les ressources qui doivent être accessibles depuis Internet, telles que les serveurs web.

aws ec2 create-subnet \
  --vpc-id vpc-0123456789abcdef0 \
  --cidr-block 10.0.0.0/24 \
  --availability-zone us-east-1a \
  --tag-specifications 'ResourceType=subnet,Tags=[{Key=Name,Value=Public-Subnet-AZ1}]'

Notez l’ID de sous-réseau indiqué dans la sortie. Ce tutoriel utilise « subnet-0123456789abcdef0 » comme exemple pour le premier sous-réseau public.

aws ec2 create-subnet \
  --vpc-id vpc-0123456789abcdef0 \
  --cidr-block 10.0.1.0/24 \
  --availability-zone us-east-1b \
  --tag-specifications 'ResourceType=subnet,Tags=[{Key=Name,Value=Public-Subnet-AZ2}]'

Notez l’ID de sous-réseau indiqué dans la sortie. Ce tutoriel utilise « subnet-0123456789abcdef1 » comme exemple pour le deuxième sous-réseau public.

Créer des sous-réseaux privés

Les sous-réseaux privés sont utilisés pour les ressources qui n’ont pas besoin d’être accessibles directement depuis Internet, comme les bases de données.

aws ec2 create-subnet \
  --vpc-id vpc-0123456789abcdef0 \
  --cidr-block 10.0.2.0/24 \
  --availability-zone us-east-1a \
  --tag-specifications 'ResourceType=subnet,Tags=[{Key=Name,Value=Private-Subnet-AZ1}]'

Notez l’ID de sous-réseau indiqué dans la sortie. Ce tutoriel utilise « subnet-0123456789abcdef2 » comme exemple pour le premier sous-réseau privé.

aws ec2 create-subnet \
  --vpc-id vpc-0123456789abcdef0 \
  --cidr-block 10.0.3.0/24 \
  --availability-zone us-east-1b \
  --tag-specifications 'ResourceType=subnet,Tags=[{Key=Name,Value=Private-Subnet-AZ2}]'

Notez l’ID de sous-réseau indiqué dans la sortie. Ce tutoriel utilise « subnet-0123456789abcdef3 » comme exemple pour le deuxième sous-réseau privé.

Vous disposez désormais de quatre sous-réseaux, deux publics et deux privés, répartis sur deux zones de disponibilité.

Conseil : lorsque vous planifiez vos blocs CIDR, assurez-vous qu’ils ne chevauchent pas vos réseaux existants. Pour les environnements de production, allouez suffisamment d’adresses IP pour anticiper la croissance future tout en conservant des sous-réseaux de taille raisonnable pour des questions de sécurité et de gestion.

Configuration de la connectivité Internet

Pour permettre aux ressources de votre VPC de communiquer avec Internet, vous devez créer et attacher une passerelle Internet. Dans cette section, vous allez configurer la connectivité Internet pour votre VPC.

Création d'une passerelle Internet

Une passerelle Internet permet la communication entre votre VPC et Internet.

aws ec2 create-internet-gateway \
  --tag-specifications 'ResourceType=internet-gateway,Tags=[{Key=Name,Value=MyIGW}]'

Notez l’ID de passerelle Internet indiqué dans la sortie. Ce tutoriel utilise « igw-0123456789abcdef0 » comme exemple.

Attachement de la passerelle Internet à votre VPC

Après avoir créé la passerelle Internet, vous devez l’attacher à votre VPC.

aws ec2 attach-internet-gateway --internet-gateway-id igw-0123456789abcdef0 --vpc-id vpc-0123456789abcdef0

Création et configuration de tables de routage

Les tables de routage contiennent des règles (routes) qui déterminent où le trafic réseau est dirigé. Commencez par créer une table de routage pour vos sous-réseaux publics.

aws ec2 create-route-table \
  --vpc-id vpc-0123456789abcdef0 \
  --tag-specifications 'ResourceType=route-table,Tags=[{Key=Name,Value=Public-RT}]'

Notez l’ID de table de routage indiqué dans la sortie. Ce tutoriel utilise « rtb-0123456789abcdef0 » comme exemple pour la table de routage publique.

Ajoutez à la table de routage publique une route vers la passerelle Internet.

aws ec2 create-route --route-table-id rtb-0123456789abcdef0 --destination-cidr-block 0.0.0.0/0 --gateway-id igw-0123456789abcdef0

Associez les sous-réseaux publics à la table de routage publique.

aws ec2 associate-route-table --route-table-id rtb-0123456789abcdef0 --subnet-id subnet-0123456789abcdef0
aws ec2 associate-route-table --route-table-id rtb-0123456789abcdef0 --subnet-id subnet-0123456789abcdef1

Créez à présent une table de routage pour vos sous-réseaux privés.

aws ec2 create-route-table \
  --vpc-id vpc-0123456789abcdef0 \
  --tag-specifications 'ResourceType=route-table,Tags=[{Key=Name,Value=Private-RT}]'

Notez l’ID de table de routage indiqué dans la sortie. Ce tutoriel utilise « rtb-0123456789abcdef1 » comme exemple pour la table de routage privée.

Associez les sous-réseaux privés à la table de routage privée.

aws ec2 associate-route-table --route-table-id rtb-0123456789abcdef1 --subnet-id subnet-0123456789abcdef2
aws ec2 associate-route-table --route-table-id rtb-0123456789abcdef1 --subnet-id subnet-0123456789abcdef3

Création d’une passerelle NAT

Une passerelle NAT permet aux instances des sous-réseaux privés d’envoyer le trafic sortant vers Internet tout en bloquant le trafic entrant en provenance d’Internet. Son rôle est essentiel pour les instances qui doivent télécharger des mises à jour ou accéder à des services externes.

Allocation d’une adresse IP Elastic

Commencez par allouer une adresse IP Elastic à votre passerelle NAT.

aws ec2 allocate-address --domain vpc

Notez l’ID d’allocation indiqué dans la sortie. Ce tutoriel utilise « eipalloc-0123456789abcdef0 » comme exemple.

Création de la passerelle NAT

Créez une passerelle NAT dans l’un de vos sous-réseaux publics à l’aide de l’adresse IP Elastic allouée.

aws ec2 create-nat-gateway \
  --subnet-id subnet-0123456789abcdef0 \
  --allocation-id eipalloc-0123456789abcdef0 \
  --tag-specifications 'ResourceType=natgateway,Tags=[{Key=Name,Value=MyNATGateway}]'

Notez l’ID de passerelle NAT indiqué dans la sortie. Ce tutoriel utilise « nat-0123456789abcdef0 » comme exemple.

Attendez que la passerelle NAT soit disponible pour poursuivre.

aws ec2 wait nat-gateway-available --nat-gateway-ids nat-0123456789abcdef0

Ajout d’une route vers la passerelle NAT

Ajoutez à la table de routage privée une route vers la passerelle NAT pour permettre aux instances des sous-réseaux privés d’accéder à Internet.

aws ec2 create-route --route-table-id rtb-0123456789abcdef1 --destination-cidr-block 0.0.0.0/0 --nat-gateway-id nat-0123456789abcdef0

Remarque : dans les environnements de production, il peut être utile de créer une passerelle NAT dans chaque zone de disponibilité comprenant des sous-réseaux privés pour éliminer les points de défaillance uniques.

Configuration des paramètres des sous-réseaux

Configurez vos sous-réseaux publics pour qu’ils attribuent automatiquement des adresses IP publiques aux instances qui y sont lancées.

aws ec2 modify-subnet-attribute --subnet-id subnet-0123456789abcdef0 --map-public-ip-on-launch
aws ec2 modify-subnet-attribute --subnet-id subnet-0123456789abcdef1 --map-public-ip-on-launch

Vous aurez ainsi la garantie que les instances lancées dans vos sous-réseaux publics reçoivent une adresse IP publique par défaut qui les rend accessibles depuis Internet.

Création de groupes de sécurité

Les groupes de sécurité agissent comme des pare-feu virtuels pour vos instances afin de contrôler le trafic entrant et sortant. Dans cette section, vous allez créer des groupes de sécurité pour les serveurs web et les serveurs de base de données.

Création d’un groupe de sécurité pour les serveurs web

aws ec2 create-security-group \
  --group-name WebServerSG \
  --description "Security group for web servers" \
  --vpc-id vpc-0123456789abcdef0

Notez l’ID de groupe de sécurité indiqué dans la sortie. Ce tutoriel utilise « sg-0123456789abcdef0 » comme exemple pour le groupe de sécurité des serveurs web.

Autorisez le trafic HTTP et HTTPS vers vos serveurs web.

aws ec2 authorize-security-group-ingress --group-id sg-0123456789abcdef0 --protocol tcp --port 80 --cidr 0.0.0.0/0
aws ec2 authorize-security-group-ingress --group-id sg-0123456789abcdef0 --protocol tcp --port 443 --cidr 0.0.0.0/0

Remarque : dans les environnements de production, limitez le trafic entrant à des plages d’adresses IP spécifiques au lieu d’autoriser le trafic provenant de 0.0.0.0/0 (n’importe quelle adresse IP).

Création d’un groupe de sécurité pour les serveurs de base de données

aws ec2 create-security-group \
  --group-name DBServerSG \
  --description "Security group for database servers" \
  --vpc-id vpc-0123456789abcdef0

Notez l’ID de groupe de sécurité indiqué dans la sortie. Ce tutoriel utilise « sg-0123456789abcdef1 » comme exemple pour le groupe de sécurité des serveurs de base de données.

Autoriser MySQL/Aurora le trafic provenant des serveurs Web uniquement.

aws ec2 authorize-security-group-ingress --group-id sg-0123456789abcdef1 --protocol tcp --port 3306 --source-group sg-0123456789abcdef0

Cette configuration garantit que seules les instances du groupe de sécurité des serveurs web peuvent se connecter à vos serveurs de base de données sur le port 3306, conformément au principe du moindre privilège.

Vérification de votre configuration VPC

Après avoir créé tous les composants nécessaires, vérifiez que la configuration de votre VPC est correcte.

Vérification de votre VPC

aws ec2 describe-vpcs --vpc-id vpc-0123456789abcdef0

Vérification de vos sous-réseaux

aws ec2 describe-subnets --filters "Name=vpc-id,Values=vpc-0123456789abcdef0"

Vérification de vos tables de routage

aws ec2 describe-route-tables --filters "Name=vpc-id,Values=vpc-0123456789abcdef0"

Vérification de votre passerelle Internet

aws ec2 describe-internet-gateways --filters "Name=attachment.vpc-id,Values=vpc-0123456789abcdef0"

Vérification de votre passerelle NAT

aws ec2 describe-nat-gateways --filter "Name=vpc-id,Values=vpc-0123456789abcdef0"

Vérification de vos groupes de sécurité

aws ec2 describe-security-groups --filters "Name=vpc-id,Values=vpc-0123456789abcdef0"

Ces commandes fournissent des informations détaillées sur chaque composant de votre VPC pour vous permettre de vérifier que tout est correctement configuré.

Déployer EC2 des instances

Maintenant que vous avez créé votre infrastructure VPC, vous pouvez déployer des EC2 instances pour démontrer le fonctionnement de l'architecture. Vous allez lancer un serveur web dans un sous-réseau public et un serveur de base de données dans un sous-réseau privé.

Création d’une paire de clés pour l’accès SSH

Commencez par créer une paire de clés pour vous connecter en toute sécurité à vos instances :

aws ec2 create-key-pair --key-name vpc-tutorial-key --query 'KeyMaterial' --output text > vpc-tutorial-key.pem
chmod 400 vpc-tutorial-key.pem

Cette commande crée une paire de clés et enregistre la clé privée dans un fichier sur lequel les autorisations sont restreintes.

Recherche de l’AMI Amazon Linux 2 la plus récente

Recherchez l’AMI Amazon Linux 2 la plus récente à utiliser pour vos instances :

aws ec2 describe-images --owners amazon \
  --filters "Name=name,Values=amzn2-ami-hvm-*-x86_64-gp2" "Name=state,Values=available" \
  --query "sort_by(Images, &CreationDate)[-1].ImageId" --output text

Notez l’ID d’AMI indiqué dans la sortie. Ce tutoriel utilise « ami-0123456789abcdef0 » comme exemple.

Lancement d’un serveur web dans le sous-réseau public

Maintenant, lancez une EC2 instance dans le sous-réseau public pour qu'elle serve de serveur Web :

aws ec2 run-instances \
  --image-id ami-0123456789abcdef0 \
  --count 1 \
  --instance-type t2.micro \
  --key-name vpc-tutorial-key \
  --security-group-ids sg-0123456789abcdef0 \
  --subnet-id subnet-0123456789abcdef0 \
  --associate-public-ip-address \
  --user-data '#!/bin/bash
                yum update -y
                yum install -y httpd
                systemctl start httpd
                systemctl enable httpd
                echo "<h1>Hello from $(hostname -f)</h1>" > /var/www/html/index.html' \
  --tag-specifications 'ResourceType=instance,Tags=[{Key=Name,Value=WebServer}]'

Notez l’ID d’instance indiqué dans la sortie. Ce tutoriel utilise « i-0123456789abcdef0 » comme exemple pour l’instance de serveur web.

Lancement d’un serveur de base de données dans le sous-réseau privé

Ensuite, lancez une EC2 instance dans le sous-réseau privé pour servir de serveur de base de données :

aws ec2 run-instances \
  --image-id ami-0123456789abcdef0 \
  --count 1 \
  --instance-type t2.micro \
  --key-name vpc-tutorial-key \
  --security-group-ids sg-0123456789abcdef1 \
  --subnet-id subnet-0123456789abcdef2 \
  --user-data '#!/bin/bash
                yum update -y
                yum install -y mariadb-server
                systemctl start mariadb
                systemctl enable mariadb' \
  --tag-specifications 'ResourceType=instance,Tags=[{Key=Name,Value=DBServer}]'

Notez l’ID d’instance indiqué dans la sortie. Ce tutoriel utilise « i-0123456789abcdef1 » comme exemple pour l’instance de serveur de base de données.

Accès à votre serveur web

Une fois que votre instance de serveur web est en cours d’exécution, vous pouvez y accéder à l’aide de son adresse IP publique :

aws ec2 describe-instances \
  --instance-ids i-0123456789abcdef0 \
  --query 'Reservations[0].Instances[0].PublicIpAddress' \
  --output text

Cette commande renvoie l’adresse IP publique de votre serveur web. Ce tutoriel utilise « 203.0.113.10 » comme exemple.

Vous pouvez désormais ouvrir cette URL dans votre navigateur web : http://203.0.113.10

Connexion à vos instances à l’aide de SSH

Pour vous connecter à votre serveur web :

ssh -i vpc-tutorial-key.pem ec2-user@203.0.113.10

Pour vous connecter à votre serveur de base de données, vous devez d’abord vous connecter en SSH à votre serveur web, puis à votre serveur de base de données :

# Get the private IP of the database server
aws ec2 describe-instances \
  --instance-ids i-0123456789abcdef1 \
  --query 'Reservations[0].Instances[0].PrivateIpAddress' \
  --output text

Cette commande renvoie l’adresse IP privée de votre serveur de base de données. Ce tutoriel utilise « 10.0.2.10 » comme exemple.

# First SSH to web server, then to database server
ssh -i vpc-tutorial-key.pem -A ec2-user@203.0.113.10
ssh ec2-user@10.0.2.10

Dans l’architecture réseau que vous avez créée, le serveur web est accessible publiquement tandis que le serveur de base de données n’est accessible que depuis le VPC.

Résolution des problèmes

Cette section présente des problèmes courants que vous pouvez rencontrer lors de la création d’un VPC et les solutions appropriées :

Chevauchements de blocs CIDR

Si vous recevez un message d'erreur concernant le chevauchement des blocs d'adresse CIDR, assurez-vous que les blocs d'adresse CIDR de votre VPC et de vos sous-réseaux ne se chevauchent pas avec les sous-réseaux existants VPCs ou les sous-réseaux de votre compte.

Erreurs d’autorisation

Si vous rencontrez des erreurs d’autorisation, vérifiez que votre utilisateur ou votre rôle IAM dispose des autorisations requises pour créer et gérer des ressources VPC. Vous devrez peut-être attacher la politique AmazonVPCFullAccess ou créer une politique personnalisée avec les autorisations requises.

Limites de ressources

AWS les comptes ont des limites par défaut quant au nombre de VPCs, de sous-réseaux et d'autres ressources que vous pouvez créer. Si vous atteignez ces limites, vous pouvez demander une augmentation par le biais du AWS Support Center.

Erreurs de dépendance pendant le nettoyage

Lors du nettoyage des ressources, vous risquez de rencontrer des erreurs de dépendance si vous ne supprimez pas les ressources dans l’ordre approprié. Supprimez toujours les ressources dans l’ordre inverse à celui de leur création, en commençant par les plus dépendantes.

nettoyer des ressources ;

Lorsque vous n’avez plus besoin de votre VPC, vous pouvez nettoyer les ressources pour éviter les frais associés. Supprimez-les dans l’ordre inverse à celui de leur création pour gérer correctement les dépendances.

Mettre fin à EC2 des instances

aws ec2 terminate-instances --instance-ids i-0123456789abcdef0 i-0123456789abcdef1
aws ec2 wait instance-terminated --instance-ids i-0123456789abcdef0 i-0123456789abcdef1

Suppression de la paire de clés

aws ec2 delete-key-pair --key-name vpc-tutorial-key
rm vpc-tutorial-key.pem

Suppression de la passerelle NAT

aws ec2 delete-nat-gateway --nat-gateway-id nat-0123456789abcdef0
aws ec2 wait nat-gateway-deleted --nat-gateway-ids nat-0123456789abcdef0

Libération de l’adresse IP Elastic

aws ec2 release-address --allocation-id eipalloc-0123456789abcdef0

Suppression des groupes de sécurité

aws ec2 delete-security-group --group-id sg-0123456789abcdef1
aws ec2 delete-security-group --group-id sg-0123456789abcdef0

Suppression des tables de routage

Tout d'abord, recherchez l'association de la table de routage IDs :

aws ec2 describe-route-tables --route-table-id rtb-0123456789abcdef0
aws ec2 describe-route-tables --route-table-id rtb-0123456789abcdef1

Dissociez ensuite les tables de routage des sous-réseaux (remplacez l'association IDs par celles de votre sortie) :

aws ec2 disassociate-route-table --association-id rtbassoc-0123456789abcdef0
aws ec2 disassociate-route-table --association-id rtbassoc-0123456789abcdef1
aws ec2 disassociate-route-table --association-id rtbassoc-0123456789abcdef2
aws ec2 disassociate-route-table --association-id rtbassoc-0123456789abcdef3

Pour terminer, supprimez les tables de routage :

aws ec2 delete-route-table --route-table-id rtb-0123456789abcdef1
aws ec2 delete-route-table --route-table-id rtb-0123456789abcdef0

Détachement et suppression de la passerelle Internet

aws ec2 detach-internet-gateway --internet-gateway-id igw-0123456789abcdef0 --vpc-id vpc-0123456789abcdef0
aws ec2 delete-internet-gateway --internet-gateway-id igw-0123456789abcdef0

Suppression des sous-réseaux

aws ec2 delete-subnet --subnet-id subnet-0123456789abcdef0
aws ec2 delete-subnet --subnet-id subnet-0123456789abcdef1
aws ec2 delete-subnet --subnet-id subnet-0123456789abcdef2
aws ec2 delete-subnet --subnet-id subnet-0123456789abcdef3

Suppression du VPC

aws ec2 delete-vpc --vpc-id vpc-0123456789abcdef0

Passage en production

Ce tutoriel vous explique comment créer un VPC à l’aide de l’ AWS CLI. Dans un environnement de production, respectez les bonnes pratiques de sécurité et d’architecture suivantes :

Pour plus d’informations sur la création d’architectures prêtes pour la production, consultez AWS Well-Architected Framework et AWS Security Best Practices.

Étapes suivantes

Maintenant que vous avez créé un VPC avec des sous-réseaux publics et privés, vous pouvez effectuer les opérations suivantes :