使用 Terraform 在上 AWS 面创建分层的多区域 IPAM 架构

Donny Schreiber，Amazon Web Services

Summary

IP 地址管理（IPAM）是网络管理的重要组成部分，随着组织不断扩大云基础设施规模，其复杂性也日益增加。若缺乏完善的 IP 地址管理（IPAM），组织将面临 IP 地址冲突、地址空间浪费、问题排查难度大等风险，进而导致系统中断和应用程序停机。此模式演示了如何使用 HashiCorp Terraform 为 AWS 企业环境实施全面的 IPAM 解决方案。它可以帮助组织创建分层、多区域 IPAM 架构，从而促进组织 AWS 账户 内所有部门的 IP 地址集中管理。AWS

此模式可帮助您使用复杂的四层池层次结构实施 Amazon VPC IP 地址管理器：顶层池、区域池、业务部门池和环境特定池。此结构在支持规范的 IP 地址治理的同时，允许将 IP 管理权限委派给组织内部相应的团队。该解决方案使用 AWS Resource Access Manager (AWS RAM) 在整个组织中无缝共享 IP 地址管理器池。 AWS RAM 集中和标准化 IPAM 规范，团队可以在所有托管账户中建立这些规范。

此模式可助您实现以下目标：

先决条件和限制

先决条件

限制

架构

目标架构

IP 地址管理器配置和池层次结构

下图显示了目标架构的逻辑构造。范围是 IP 地址管理器中最高级别的容器。每个范围代表单个网络的 IP 地址空间。池是范围内连续 IP 地址范围（或 CIDR 范围）的集合。通过池，您可以根据路由和安全需求分类管理 IP 地址。此图展示了四个层级的池：顶层池、区域池、业务部门池和环境池。

此解决方案建立了 IP 地址管理器池的清晰层次结构：

此部署拓扑按地理位置分配 IP 地址管理器资源，同时保持集中控制。以下是其特性：

高级 CIDR 范围验证

此解决方案旨在防止部署无效的配置。当您通过 Terraform 部署池时，将在 Terraform 规划阶段验证以下事项：

CIDR 范围分配

下图显示了开发人员或管理员如何从池级别创建新的 IP 地址 VPCs 和分配 IP 地址的示例。

下图显示了如下工作流：

自动化和扩展

此解决方案专为提升可扩展性而设计，如下所示：

分层结构还允许不同的授权和控制等级，例如：

工具

AWS 服务

其他工具

代码存储库

此模式的代码可在存储库上的 “分层 IPAM 的 Terraform 实现示例” 中找到。 AWS GitHub存储库结构包括：

最佳实践

考虑下面有关网络规划的最佳实践：

考虑采用下面的部署最佳实践：

考虑采用下面的操作最佳实践：

考虑采用下面的安全最佳实践：

操作说明

aws ram enable-sharing-with-aws-organization

aws ec2 enable-ipam-organization-admin-account \
    --delegated-admin-account-id 123456789012

问题排查

相关资源

AWS 服务 文档

AWS 博客文章

视频和教程

附加信息

与 AFT 集成

您可以将此解决方案与 AWS Control Tower Account Factory for Terraform (AFT) 集成，以确保新配置的账户自动接收正确的网络配置。通过在您的网络中心帐户中部署此 IPAM 解决方案，通过 AFT 创建的新帐户可以在创建时引用共享的 IP 地址管理器池。 VPCs

以下代码示例演示了使用 P AWS Systems Manager arameter Store 在账户自定义中集成 AFT：

# Get the IP Address Manager pool ID from Parameter Store
data "aws_ssm_parameter" "dev_ipam_pool_id" {
  name = "/org/network/ipam/finance/dev/pool-id"
}

# Create a VPC using the IP Address Manager pool
resource "aws_vpc" "this" {
  ipv4_ipam_pool_id   = data.aws_ssm_parameter.dev_ipam_pool_id.value
  ipv4_netmask_length = 24
  
  tags = {
    Name = "aft-account-vpc"
  }
}

标记策略

此解决方案实施了全面的标记策略，可促进资源管理。以下代码示例演示了如何使用此策略：

# Example tag configuration
module "tags" {
  source = "./modules/tags"
  
  # Required tags
  product_name  = "enterprise-network"
  feature_name  = "ipam"
  org_id        = "finance"
  business_unit = "network-operations"
  owner         = "network-team"
  environment   = "prod"
  repo          = "https://github.com/myorg/ipam-terraform"
  branch        = "main"
  cost_center   = "123456"
  dr_tier       = "tier1"
  
  # Optional tags
  optional_tags = {
    "project"    = "network-modernization"
    "stack_role" = "infrastructure"
  }
}

这些标签会自动应用于所有 IP 地址管理器资源。这有助于实现一致的治理、成本分摊和资源管理。