AWS 使用 Terraform 在 上建立階層式多區域 IPAM 架構

Donny Schreiber，Amazon Web Services

總結

IP 地址管理 (IPAM) 是網路管理的關鍵元件，隨著組織擴展其雲端基礎設施而變得越來越複雜。如果沒有適當的 IPAM，組織會面臨 IP 地址衝突、地址空間浪費，以及可能導致中斷和應用程式停機的複雜故障診斷的風險。此模式示範如何使用 HashiCorp Terraform 為 AWS 企業環境實作全面的 IPAM 解決方案。它可協助組織建立階層式多區域 IPAM 架構，以促進組織中所有 AWS 帳戶 的集中式 IP 地址管理AWS。

此模式可協助您使用複雜的四層集區階層實作 Amazon VPC IP Address Manager：頂層集區、區域集區、業務單位集區和環境特定集區。此結構支援適當的 IP 地址控管，同時啟用將 IP 管理委派給組織內適當的團隊。解決方案使用 AWS Resource Access Manager (AWS RAM) 在整個組織中無縫共用 IP Address Manager 集區。 AWS RAM 集中和標準化 IPAM 規格，團隊可以在所有受管帳戶中建置這些規格。

此模式可協助您達成下列目標：

先決條件和限制

先決條件

限制

Architecture

目標架構

IP Address Manager 組態和集區階層

下圖顯示目標架構的邏輯建構。範圍是 IP Address Manager 中的最高層級容器。每個範圍代表單一網路的 IP 地址空間。集區是範圍內連續 IP 地址範圍 （或 CIDR 範圍） 的集合。集區可協助您根據您的路由和安全需求組織 IP 地址。此圖表顯示四個層級的集區：頂層集區、區域集區、業務單位集區和環境集區。

此解決方案會建立清晰的 IP Address Manager 集區階層：

此部署拓撲會在地理上分配 IP Address Manager 資源，同時維持集中式控制。以下是其功能：

進階 CIDR 範圍驗證

此解決方案旨在防止部署無效的組態。當您透過 Terraform 部署集區時，會在 Terraform 計劃階段驗證下列項目：

CIDR 範圍配置

下圖顯示開發人員或管理員如何建立新的 VPCs 並從集區層級配置 IP 地址的範例。

該圖顯示以下工作流程：

自動化和擴展

此解決方案專為可擴展性而設計，如下所示：

階層結構也允許不同規模的委派和控制，如下所示：

工具

AWS 服務

其他工具

程式碼儲存庫

此模式的程式碼可在 GitHub 上儲存庫的階層式 IPAM 實作範例 AWS 中取得。儲存庫結構包括：

最佳實務

請考慮下列網路規劃的最佳實務：

請考慮下列部署最佳實務：

請考慮下列操作最佳實務：

請考慮下列安全最佳實務：

史詩

aws ram enable-sharing-with-aws-organization

aws ec2 enable-ipam-organization-admin-account \
    --delegated-admin-account-id 123456789012

疑難排解

相關資源

AWS 服務 文件

AWS 部落格文章

影片和教學課程

其他資訊

與 AFT 整合

您可以將此解決方案與 AWS Control Tower Account Factory for Terraform (AFT) 整合，以確保新佈建的帳戶自動接收適當的網路組態。透過在網路中樞帳戶中部署此 IPAM 解決方案，透過 AFT 建立的新帳戶可以在建立 VPCs 時參考共用 IP Address Manager 集區。

下列程式碼範例示範使用 AWS Systems Manager 參數存放區在帳戶自訂中的 AFT 整合：

# Get the IP Address Manager pool ID from Parameter Store
data "aws_ssm_parameter" "dev_ipam_pool_id" {
  name = "/org/network/ipam/finance/dev/pool-id"
}

# Create a VPC using the IP Address Manager pool
resource "aws_vpc" "this" {
  ipv4_ipam_pool_id   = data.aws_ssm_parameter.dev_ipam_pool_id.value
  ipv4_netmask_length = 24
  
  tags = {
    Name = "aft-account-vpc"
  }
}

標記策略

解決方案實作全方位的標記策略，以促進資源管理。下列程式碼範例示範如何使用：

# Example tag configuration
module "tags" {
  source = "./modules/tags"
  
  # Required tags
  product_name  = "enterprise-network"
  feature_name  = "ipam"
  org_id        = "finance"
  business_unit = "network-operations"
  owner         = "network-team"
  environment   = "prod"
  repo          = "https://github.com/myorg/ipam-terraform"
  branch        = "main"
  cost_center   = "123456"
  dr_tier       = "tier1"
  
  # Optional tags
  optional_tags = {
    "project"    = "network-modernization"
    "stack_role" = "infrastructure"
  }
}

這些標籤會自動套用至所有 IP Address Manager 資源。這有助於一致的控管、成本分配和資源管理。