Didacticiel : créer un IPAM et des groupes à l'aide de la console

Dans ce didacticiel, vous créez un IPAM, l'intégrez à AWS Organizations, créez des groupes d'adresses IP et créez un VPC avec un CIDR à partir d'un groupe IPAM.

Ce didacticiel explique comment utiliser IPAM pour organiser l'espace d'adressage IP en fonction de différents besoins de développement. Une fois ce didacticiel terminé, vous disposerez d'un groupe d'adresses IP pour les ressources de pré-production. Vous pouvez ensuite créer d'autres groupes en fonction de vos besoins en matière de routage et de sécurité, par exemple un groupe pour les ressources de production.

Bien que vous puissiez utiliser IPAM en tant qu'utilisateur unique, l'intégration avec AWS Organizations vous permet de gérer les adresses IP des différents comptes de votre organisation. Ce didacticiel traite de l'intégration d'IPAM avec les comptes d'une organisation. Il n'explique pas comment faire l'opération suivante : Intégration d'IPAM à des comptes extérieurs à votre organisation.

Note

Dans le cadre de ce didacticiel, les instructions vous indiqueront de nommer les ressources IPAM d'une manière particulière, de créer des ressources IPAM dans des Régions spécifiques et d'utiliser des plages d'adresses IP CIDR spécifiques pour vos groupes. L'objectif est de rationaliser les choix disponibles dans IPAM et de vous permettre de démarrer rapidement avec IPAM. Une fois ce didacticiel terminé, vous pouvez décider de créer un nouvel IPAM et de le configurer différemment.

Prérequis

Avant de commencer, vous devez avoir configuré un compte AWS Organizations avec au moins un compte membre. Pour obtenir des instructions pratiques, veuillez consulter Création et gestion d'une organisation dans le Guide de l'utilisateur AWS Organizations.

Comment AWS Organizations s'intègre à IPAM

Cette section présente un exemple des comptes AWS Organizations que vous utilisez dans ce didacticiel. Dans ce didacticiel, trois comptes de votre organisation sont utilisés pour l'intégration IPAM :

• Le compte de gestion (appelé example-management-account dans l'image suivante) pour se connecter à la console IPAM et déléguer un administrateur IPAM. Vous ne pouvez pas utiliser le compte de gestion de l'organisation en tant qu'administrateur IPAM.

• Un compte membre (appelé example-member-account-1 dans l'image suivante) en tant que compte administrateur IPAM. Le compte administrateur IPAM est responsable de la création d'un IPAM et de son utilisation pour gérer et contrôler l'utilisation des adresses IP au sein de l'organisation. Tout compte membre de votre organisation peut être délégué en tant qu'administrateur IPAM.

• Un compte membre (appelé example-member-account-2 ci-dessus) en tant que compte de développeur. Ce compte crée un VPC avec un CIDR alloué à partir d'un groupe IPAM.

En plus des comptes, vous aurez besoin de l'identifiant de l'unité d'organisation (ou-fssg-q5brfv9c dans l'image précédente) qui contient le compte membre que vous utiliserez en tant que compte de développeur. Vous avez besoin de cet identifiant pour pouvoir, dans une étape ultérieure, partager votre groupe IPAM avec cette UO.

Note

Pour plus d'informations sur les types de comptes AWS Organizations tels que les comptes de gestion et les comptes de membres, consultez les concepts et la terminologie AWS Organizations.

Étape 1 : délégation d'un administrateur IPAM

Au cours de cette étape, vous allez déléguer un compte membre AWS Organizations en tant qu'administrateur IPAM. Lorsque vous déléguez un administrateur IPAM, un rôle lié au service est automatiquement créé dans chacun de vos comptes membres AWS Organizations. IPAM contrôle l'utilisation des adresses IP dans ces comptes en assumant le rôle lié au service dans chaque compte membre. Il peut alors découvrir les ressources et leurs CIDR, quelle que soit leur unité d'organisation.

Vous ne pouvez effectuer cette étape que si vous disposez des autorisations AWS Identity and Access Management (IAM) requises. Pour de plus amples informations, veuillez consulter Intégrer l'IPAM aux comptes d'une organisation AWS.

Pour déléguer un compte administrateur IPAM

1. À l'aide du compte de gestion AWS Organizations, ouvrez la console IPAM à l'adresse suivante : https://console.aws.amazon.com/ipam/.

2. Dans la console de gestion AWS, sélectionnez la Région AWS dans laquelle vous souhaitez travailler avec IPAM.

3. Dans le panneau de navigation, choisissez Organization settings (Paramètres de l'organisation).

4. Sélectionnez Delegate (Déléguer). L'option Déléguer n'est disponible que si vous vous êtes connecté à la console en tant que compte de gestion AWS Organizations.

5. Saisissez l'identifiant du compte AWS d'un compte membre de l'organisation. L'administrateur IPAM doit être un compte membre AWS Organizations et non le compte de gestion.

   

6. Choisissez Enregistrer les modifications. Les informations relatives à l'administrateur délégué sont renseignées avec les détails liés au compte membre.

Étape 2 : création d'un IPAM

Au cours de cette étape, vous allez créer un IPAM. Lorsque vous créez un IPAM, celui-ci crée automatiquement deux portées pour l'IPAM : la portée privée qui est destinée à tout l'espace privé, et la portée publique qui est destinée à tout l'espace public. Les portées, ainsi que les groupes et les allocations, sont des composants clés de votre IPAM. Pour de plus amples informations, veuillez consulter Comment IPAM fonctionne.

Création d'un IPAM

1. À l'aide du compte membre AWS Organizations délégué en tant qu'administrateur IPAM à l'étape précédente, ouvrez la console IPAM à l'adresse suivante :https://console.aws.amazon.com/ipam/.

2. Dans la Console de gestion AWS, sélectionnez la Région AWS dans laquelle vous souhaitez créer l'IPAM. Créez IPAM dans votre Région d'opérations principale.

3. Sur la page d'accueil, sélectionnez Create IPAM (Créer un IPAM).

4. Sélectionnez Allow Amazon VPC IP Address Manager to replicate data from source account(s) into an IPAM Delegate account (Autoriser Amazon VPC IP Address Manager à répliquer les données du ou des comptes source dans le compte IPAM délégué). Si vous ne sélectionnez pas cette option, vous ne pouvez pas créer d'IPAM.

   

5. Sous Régions d'exploitation, sélectionnez les Régions AWS dans lesquelles cet IPAM peut gérer et découvrir des ressources. La Région AWS dans laquelle vous créez votre IPAM est automatiquement sélectionnée comme l'une des Régions d'exploitation. Dans ce didacticiel, la Région d'origine de notre IPAM est us-east-1, nous choisirons donc us-west-1 et us-west-2 comme Régions d'exploitation supplémentaires. Si vous oubliez une Région d'exploitation, vous pouvez modifier vos paramètres IPAM ultérieurement et ajouter ou supprimer des Régions.

   

6. Sélectionnez Create IPAM (Créer un IPAM).

   

Étape 3 : Création d'un groupe IPAM de niveau supérieur

Dans ce didacticiel, vous créez une hiérarchie de groupes en commençant par le groupe IPAM de niveau supérieur. Dans les étapes suivantes, vous créerez une paire de groupes régionaux et un groupe de développement de pré-production dans l'un des groupes régionaux.

Pour plus d'informations sur les hiérarchies de groupes que vous pouvez créer avec IPAM, consultez Exemples de plans de IPAM piscine.

Pour créer un groupe de niveau supérieur

1. À l'aide du compte administrateur IPAM, ouvrez la console IPAM à l'adresse suivante : https://console.aws.amazon.com/ipam/.

2. Dans le panneau de navigation, choisissez Pools (Groupes).

3. Choisissez la portée privée.

   

4. Sélectionnez Create pool (Créer un groupe).

5. Sous Portée IPAM, laissez la portée privée sélectionnée.

6. (Facultatif) Ajoutez une valeur Balise de nom pour le groupe et une description du groupe, par exemple « Groupe global ».

7. Sous Source, choisissez Portée IPAM. Comme il s'agit de notre groupe de niveau supérieur, il n'aura pas de groupe source.

8. SousAddress family (Famille d'adresses), choisissezIPv4.

9. Sous Planification des ressources, laissez sélectionné Planifier l'espace IP dans la portée. Pour plus d'informations sur l'utilisation de cette option pour planifier l'espace IP de sous-réseau dans un VPC, consultez Tutoriel : Planifier l'espace d'adressage VPC IP pour les allocations IP de sous-réseau.

10. Pour Locale (Paramètres régionaux), sélectionnez None (Aucun). Les paramètres locaux dans les Régions AWS dans laquelle vous souhaitez que ce groupe IPAM soit disponible pour les allocations. Vous définirez les paramètres régionaux pour les groupes régionaux que vous créez dans la section suivante de ce didacticiel.

    

11. Choisissez un CIDR à provisionner pour le groupe. Dans cet exemple, nous provisionnons 10.0.0.0/16.

    

12. Laissez l'option Configurer les paramètres des règles d'allocation de ce groupe désactivées. Il s'agit de notre groupe de niveau supérieur, et vous n'allouerez pas de CIDR aux VPC directement à partir de ce groupe. Au lieu de cela, vous les allouerez à partir d'un sous-groupe que vous créerez à partir de ce groupe.

    

13. Sélectionnez Create pool (Créer un groupe). Le groupe est créé et le CIDR est dans un état de provision en attente :

    

14. Attendez que l'état soit Provisionné avant de passer à l'étape suivante.

    

Maintenant que vous avez créé votre groupe de niveau supérieur, vous allez créer des groupes régionaux dans us-west-1 et us-west-2.

Étape 4 : création de groupes IPAM régionaux

Cette section vous montre comment organiser vos adresses IP à l'aide de deux groupes régionaux. Dans ce didacticiel, nous suivons l'un des exemples de plans de groupe IPAM et créons deux groupes régionaux qui peuvent être utilisés par les comptes membres de votre organisation pour allouer des CIDR à leurs VPC.

Pour créer un groupe régional

1. À l'aide du compte administrateur IPAM, ouvrez la console IPAM à l'adresse suivante : https://console.aws.amazon.com/ipam/.

2. Dans le panneau de navigation, choisissez Pools (Groupes).

3. Choisissez la portée privée.

   

4. Sélectionnez Create pool (Créer un groupe).

5. Sous Portée IPAM, laissez la portée privée sélectionnée.

6. (Facultatif) Ajoutez une valeur Balise de nom du groupe et une description pour le groupe, tel que Groupe régional us-west-1.

   

7. Sous Source, sélectionnez Groupe IPAM puis le groupe de niveau supérieur (« Groupe global ») que vous avez créé dans Étape 3 : Création d'un groupe IPAM de niveau supérieur. Ensuite, sous Régions, choisissez us-west-1.

   

8. Sous Planification des ressources, laissez sélectionné Planifier l'espace IP dans la portée. Pour plus d'informations sur l'utilisation de cette option pour planifier l'espace IP de sous-réseau dans un VPC, consultez Tutoriel : Planifier l'espace d'adressage VPC IP pour les allocations IP de sous-réseau.

9. Sous CIDR à provisionner, saisissez 10.0.0.0/18, ce qui donnera à ce groupe environ 16 000 adresses IP disponibles.

   

10. Laissez l'option Configurer les paramètres des règles d'allocation de ce groupe désactivées. Vous n'allouerez pas de CIDR aux VPC directement à partir de ce groupe. Au lieu de cela, vous les allouerez à partir d'un sous-groupe que vous créerez à partir de ce groupe.

    

11. Sélectionnez Create pool (Créer un groupe).

12. Revenez à la vue Groupes pour voir la hiérarchie des groupes IPAM que vous avez créés.

    

13. Répétez les étapes de cette section et créez un deuxième groupe régional dans la Région us-west-2 avec le CIDR 10.0.64.0/18 provisionné. À l'issue de ce processus, vous disposerez de trois groupes dans une hiérarchie similaire à celle-ci :

    

Étape 5 : création d'un groupe de développement de pré-production

Suivez les étapes de cette section pour créer un groupe de développement pour les ressources de pré-production au sein de l'un de vos groupes régionaux.

Pour créer un groupe de développement de pré-production

1. De la même manière que dans la section précédente, à l'aide du compte administrateur IPAM, créez un groupe appelé Groupe pre-prod, mais cette fois, utilisez le groupe régional us-west-1 comme groupe source.

   

2. Spécifiez un CIDR 10.0.0.0/20 à provisionner, ce qui donnera à ce groupe environ 4 000 adresses IP.

   

3. Activez l'option Configurer les paramètres des règles d'allocation de ce groupe. Procédez comme suit :

   1. Sous Gestion du CIDR, pour Importer automatiquement les ressources découvertes, laissez l'option par défaut Ne pas autoriser sélectionnée. Cette option permet à IPAM d'importer automatiquement les CIDR de ressources qu'il découvre dans la région du groupe. Une description détaillée de cette option n'entre pas dans le cadre de ce didacticiel, mais vous pouvez en savoir plus sur cette option dans Création d'un groupe IPv4 de niveau supérieur.

   2. Sous Conformité du masque réseau, choisissez /24 pour la longueur minimale, par défaut et maximale du masque réseau. Une description détaillée de cette option n'entre pas dans le cadre de ce didacticiel, mais vous pouvez en savoir plus sur cette option dans Création d'un groupe IPv4 de niveau supérieur. Il est important de noter que le VPC que vous créerez ultérieurement avec un CIDR à partir de ce groupe sera limité à /24 en fonction de ce que nous avons défini ici.

   3. Sous Conformité des balises, saisissez environment/pre-prod. Cette balise sera nécessaire pour que les VPC puissent allouer de l'espace à partir du groupe. Nous vous montrerons plus tard comment cela fonctionne.

   

4. Sélectionnez Create pool (Créer un groupe).

5. La hiérarchie des groupes inclut désormais un sous-groupe supplémentaire sous le groupe régional us-west-1 :

   

Vous êtes maintenant prêt à partager le groupe IPAM avec un autre compte membre de votre organisation et à permettre à ce compte d'allouer un CIDR à partir du groupe afin de créer un VPC.

Étape 6 : partage du groupe IPAM

Suivez les étapes de cette section pour partager le groupe IPAM de pré-production en utilisant AWS Resource Access Manager (RAM).

Cette section comprend deux sous-sections :

• Étape 6.1. Activer le partage des ressources dans AWS RAM : cette étape doit être réalisée par le compte de gestion AWS Organizations.

• Étape 6.2. Partager d'un groupe IPAM à l'aide deAWS RAM : cette étape doit être réalisée par l'administrateur IPAM.

Étape 6.1. Activer le partage des ressources dans AWS RAM

Après avoir créé votre IPAM, vous souhaiterez partager des groupes d'adresses IP avec d'autres comptes de votre organisation. Avant de partager un groupe IPAM, suivez les étapes de cette section pour activer le partage des ressources avec AWS RAM.

Pour activer le partage des ressources

1. À l'aide du compte de gestion AWS Organizations, ouvrez la console AWS RAM à l'adresse suivante : https://console.aws.amazon.com/ram/.

2. Dans le volet de navigation de gauche, choisissez Paramètres, choisissez Activer le partage avec AWS Organizations, puis choisissez Enregistrer les paramètres.

   

Vous pouvez désormais partager un groupe IPAM avec d'autres membres de l'organisation.

Étape 6.2. Partager d'un groupe IPAM à l'aide deAWS RAM

Dans cette section, vous partagerez le groupe de développement de pré-production avec un autre compte membre AWS Organizations. Pour obtenir des instructions complètes sur le partage de groupes IPAM, y compris des informations sur les autorisations IAM requises, consultez Partage d'un groupe IPAM à l'aide d'AWS RAM.

Pour partager un groupe IPAM à l'aide de AWS RAM

1. À l'aide du compte administrateur IPAM, ouvrez la console IPAM à l'adresse suivante : https://console.aws.amazon.com/ipam/.

2. Dans le panneau de navigation, choisissez Pools (Groupes).

3. Choisissez la portée privée, choisissez le groupe IPAM de pré-production, puis choisissez Actions > Afficher les détails.

4. Sous Resource sharing (Partage de ressources), sélectionnez Create resource share (Créer un partage de ressources). La console AWS RAM s'ouvre. Vous partagerez le groupe en utilisant AWS RAM.

5. Sélectionnez Create a resource share (Créer un partage de ressources).

   

   La console AWS RAM s'ouvre.

6. Dans la console AWS RAM, sélectionnez à nouveau Créer un partage de ressources.

7. Ajoutez un Nom pour la ressource partagée.

8. Sous Sélectionner le type de ressource, choisissez Groupes IPAM, puis choisissez l'ARN du groupe de développement de pré-production.

   

9. Choisissez Next (Suivant).

10. Laissez l'autorisation AWSRAMDefaultPermissionsIpamPool sélectionnée par défaut. Les détails des options d'autorisation ne sont pas abordés dans ce didacticiel, mais vous pouvez en savoir plus sur ces options dans Partage d'un groupe IPAM à l'aide d'AWS RAM.

    

11. Choisissez Next (Suivant).

12. Sous Principaux, sélectionnez Autoriser le partage uniquement au sein de votre organisation. Saisissez l'identifiant de votre unité d'organisation AWS Organizations (comme indiqué dans Comment AWS Organizations s'intègre à IPAM), puis choisissez Ajouter.

    

13. Choisissez Next (Suivant).

14. Examinez les options de partage de ressources et les principaux avec lesquels vous procéderez au partage, puis sélectionnez Créer.

Maintenant que le groupe a été partagé, passez à l'étape suivante pour créer un VPC avec un CIDR alloué à partir d'un groupe IPAM.

Étape 7 : création d'un VPC avec un CIDR alloué à partir d'un groupe IPAM

Suivez les étapes de cette section pour créer un VPC avec un CIDR alloué à partir du groupe de pré-production. Cette étape doit être effectuée par le compte membre de l'UO avec laquelle le groupe IPAM a été partagé dans la section précédente (appelée example-member-account-2 dans Comment AWS Organizations s'intègre à IPAM). Pour plus d'informations sur les autorisations IAM requises pour créer des VPC, consultez les exemples de politiques Amazon VPC dans le Guide de l'utilisateur Amazon VPC.

Pour créer un VPC avec un CIDR alloué à partir d'un groupe IPAM

1. En utilisant le compte membre, ouvrez la console VPC à l'adresse https://console.aws.amazon.com/vpc/ en tant que compte membre que vous utiliserez comme compte de développeur.

2. Sélectionnez Create VPC (Créer un VPC).

3. Procédez comme suit :

   1. Saisissez un nom, tel que Exemple VPC.

   2. Choisissez le bloc d'adresse CIDR IPv4 alloué à IPAM.

   3. Sous groupe IPAM IPv4, choisissez l'identifiant du groupe de pré-production.

   4. Choisissez la longueur du masque réseau. Comme vous avez limité la longueur du masque réseau disponible pour ce groupe à /24 (dans Étape 5 : création d'un groupe de développement de pré-production), la seule option de masque réseau disponible est /24.

      

4. À des fins de démonstration, sous Balises, n'ajoutez aucune balise supplémentaire pour le moment. Lorsque vous avez créé le groupe de pré-production (dans 5. Créer un groupe de développement de pré-production), vous avez ajouté une règle d'allocation qui exigeait que tous les VPC créés avec des CIDR issus de ce groupe soient dotés d'une balise environment/pre-prod. Laissez la balise environment/pre-prod désactivée pour le moment afin de voir qu'un message d'erreur apparaît vous indiquant qu'une balise requise n'a pas été ajoutée.

5. Sélectionnez Create VPC (Créer un VPC).

6. Un message d'erreur s'affiche vous indiquant qu'une balise obligatoire n'a pas été ajoutée. L'erreur apparaît parce que vous avez défini une règle d'allocation lorsque vous avez créé le groupe de pré-production (in Étape 5 : création d'un groupe de développement de pré-production). La règle d'allocation exigeait que tous les VPC créés avec des CIDR à partir de ce groupe soient dotés d'une balise environment/pre-prod.

   

7. Maintenant, sous Balises, ajoutez la balise environment/pre-prod et sélectionnez à nouveau Créer un VPC.

   

8. Le VPC est correctement créé et il est conforme à la règle de balisage du groupe de pré-production :

   

Dans le volet Ressources de la console IPAM, l'administrateur IPAM pourra voir et gérer le VPC et le CIDR qui lui est alloué. Notez qu'il faut un certain temps pour que le VPC apparaisse dans le volet Ressources.

Étape 8 : nettoyage

Dans ce didacticiel, vous avez créé un IPAM avec un administrateur délégué, créé plusieurs groupes et autorisé un compte membre de votre organisation à allouer un CIDR VPC à partir d'un groupe.

Suivez les étapes de cette section pour nettoyer les ressources que vous avez créées dans ce didacticiel.

Pour nettoyer les ressources créées dans ce didacticiel

1. En utilisant le compte membre qui a créé le VPC d'exemple, supprimez le VPC. Pour des instructions détaillées, veuillez consulter Supprimer votre VPC dans le Guide de l'utilisateur Amazon Virtual Private Cloud.

2. En utilisant le compte administrateur IPAM, supprimez le partage de ressources de l'exemple dans la console AWS RAM. Pour obtenir des instructions détaillées, consultez Supprimer un partage de ressources dans AWSAWS RAM dans le Guide de l'utilisateur AWS Resource Access Manager.

3. En utilisant le compte administrateur IPAM, connectez-vous à la console RAM et désactivez le partage avec AWS Organizations que vous avez activé dans Étape 6.1. Activer le partage des ressources dans AWS RAM.

4. En utilisant le compte administrateur IPAM, supprimez l'exemple d'IPAM en le sélectionnant dans la console IPAM, puis en choisissant Actions > Supprimer. Pour obtenir des instructions complètes, veuillez consulter Suppression d'un IPAM.

5. Lorsque vous êtes invité à supprimer l'IPAM, choisissez Supprimer en cascade. Cela supprimera toutes les portées et tous les groupes de l'IPAM avant de le supprimer.

   

6. Saisissez supprimer et choisissez Supprimer.

7. À l'aide du compte de gestion AWS Organizations, connectez-vous à la console IPAM, choisissez Paramètres et supprimez le compte de l'administrateur délégué.

8. (Facultatif) Lorsque vous intégrez IPAM à AWS Organizations, IPAM crée automatiquement un rôle lié au service dans chaque compte membre. En utilisant chaque compte membre AWS Organizations, connectez-vous à IAM et supprimez le rôle lié au service AWSServiceRoleForIPAM dans chaque compte membre.

9. Le nettoyage est terminé.