使用 AWS 管理主控台和 CLI 將您自己的 IPv4 CIDR 帶到 IPAM AWS - Amazon Virtual Private Cloud

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

使用 AWS 管理主控台和 CLI 將您自己的 IPv4 CIDR 帶到 IPAM AWS

請依照下列步驟將 IPv4 CIDR 帶到 IPAM,並使用 AWS 管理主控台和 CLI 配置彈性 IP 位址 (EIP)。 AWS

重要
  • 您目前無法在 Local Zones 中佈建或公告 BYOIP 地址範圍。

  • 此教學課程假設您已完成下列各節中的步驟:

  • 本教學課程的每個步驟都必須由三個「Organ AWS izations」帳戶中的其中一個完成:

    • 管理帳戶。

    • 將 IPAM 與組 AWS 織中的帳戶整合 中設定為您 IPAM 管理員的成員帳戶。在本教學課程中,此帳戶將稱為 IPAM 帳戶。

    • 您組織中的成員帳戶將會從 IPAM 集區分配 CIDR。在本教學課程中,此帳戶將稱為成員帳戶。

步驟 1:建立 AWS CLI 命名的設定檔和 IAM 角色

若要以單一使用 AWS 者的身分完成本教學課程,您可以使用 AWS CLI 具名設定檔從一個 IAM 角色切換到另一個 IAM 角色。具名設定檔是您在搭配 AWS CLI使用 --profile 選項時所參考的設定和憑證的集合。有關如何為 AWS 帳戶建立 IAM 角色和具名設定檔的詳細資訊,請參閱 AWS Identity and Access Management 使用者指南中的 AWS CLI 中的使用 IAM 角色。

為您將在本教學課程中使用的三個 AWS 帳戶中,每個建立一個角色和一個具名的設定檔:

  • management-account求 Organ AWS izations 管理帳戶的設定檔。

  • 設定ipam-account為 IPAM 管理員的 Organ AWS izations 成員帳戶所呼叫的設定檔。

  • member-account求組織中組 Organ AWS izations 成員帳戶的設定檔,此設定檔將從 IPAM 集區配置 CIDR。

建立 IAM 角色和具名設定檔後,請返回此頁面並繼續下一個步驟。在本自學課程的其餘部分中,您會注意到範例 AWS CLI 指令將--profile選項與其中一個具名的設定檔搭配使用,以指示哪個帳戶必須執行命令。

步驟 2:建立最上層 IPAM 集區

完成本節中的步驟來建立最上層 IPAM 集區。

此步驟必須由 IPAM 帳戶完成。

建立集區
  1. 請在 https://console.aws.amazon.com/ipam/ 開啟 IPAM 主控台。

  2. 在導覽窗格中選擇 Pools (集區)。

  3. 根據預設,建立集區時,系統會選取私有範圍。選擇公有範圍。如需有關範圍的詳細資訊,請參閱 IPAM 的運作方式

  4. 選擇建立集區

  5. (選用) 新增集區的 Name tag (名稱標籤) 和集區的 Description (說明)。

  6. Source (來源) 下,選擇 IPAM scope (IPAM 範圍)。

  7. Address family (地址系列) 下,選擇 IPv4

  8. Resource planning (資源規劃) 下,將 Plan IP space within the scope (規劃範圍內的 IP 空間) 保留選取狀態。如需使用此選項規劃 VPC 內子網路 IP 空間的詳細資訊,請參閱 教學課程:為子網路 IP 配置規劃 VPC IP 地址空間

  9. Locale (地區設定) 下,選擇 None (無)。

    AWS 地區設定是您希望此 IPAM 集區可供配置使用的區域。例如,您只能從與 VPC 區域共用地區設定的 IPAM 集區為 VPC 配置 CIDR。請注意,當您為集區選擇地區時,您無法對其進行修改。如果 IPAM 的主區域因中斷而無法使用,且集區的地區設定與 IPAM 的主區域不同,則仍然可以使用集區來配置 IP 地址。

    IPAM 與 BYOIP 整合需要在 BYOIP CIDR 使用的任何集區上設定地區設定。由於我們將要建立內含區域集區的最上層 IPAM 集區,且要從區域集區分配空間給彈性 IP 地址,因此您必須在區域集區 (而非最上層集區) 上設定地區設定。在稍後的步驟中建立區域集區時,您會新增區域集區的地區設定。

    注意

    如果您只建立單一集區,而不是在其中包含區域集區的頂層集區,則會想要為此區域選擇地區設定,以便集區可供配置使用。

  10. 公有 IP 來源下,選擇以下其中一個選項:

    • BYOIP:您正在將自己的 IPv4 或 IPv6 地址範圍 (BYOIP) 帶到此集區。

    • Amazon 擁有:您希望 Amazon 將此 IPv6 地址範圍佈建到此集區。

  11. 執行以下任意一項:

    • 如果您在上一個步驟中選擇 BYOIP,則在要佈建的 CIDR 下,選擇要為集區佈建的 CIDR。請注意,在最上層集區內的某集區佈建 IPv4 CIDR 時,您可佈建的最小 IPv4 CIDR 為 /24;不得佈建更明確的 CIDR (例如 /25)。請求中需內含 CIDR 和 BYOIP 訊息和憑證簽章,以便我們確認您擁有該公有空間。如需 BYOIP 必要條件清單,包括如何獲取此 BYOIP 訊息和憑證簽章,請參閱 使用 AWS 管理主控台和 CLI 將您自己的公用 IPv4 CIDR 帶到 IPAM AWS

      重要

      雖然大部分佈建都會在兩小時內完成,但最多可能需要一週的時間才能完成可公開廣告範圍的佈建程序。

    • 如果選擇了 Amazon 擁有,則請在網路遮罩長度下選擇從 /40/52 的網路遮罩長度。預設值為 /52

  12. 調整此集區的分配規則設定保持在未選取的狀態。

  13. (選用) 為集區選擇 Tags (標籤)。

  14. 選擇建立集區

請先確定此 CIDR 已佈建,然後再繼續。您可在集區詳細資訊頁面的 CIDRs (CIDR) 索引標籤中看到佈建狀態。

步驟 3。在最上層集區內建立一個區域集區

在最上層集區內建立一個區域集區。IPAM 與 BYOIP 整合需要在 BYOIP CIDR 使用的任何集區上設定地區設定。於本節中建立區域集區時,您會新增區域集區的地區設定。當您建立了 IPAM,Locale 必須是您設定的其中一個作業區域。

此步驟必須由 IPAM 帳戶完成。

在頂層集區內建立一個區域集區
  1. 請在 https://console.aws.amazon.com/ipam/ 開啟 IPAM 主控台。

  2. 在導覽窗格中選擇 Pools (集區)。

  3. 根據預設,建立集區時,系統會選取私有範圍。如果不想使用預設的私有範圍,請從內容窗格最上方的下拉式選單中選擇您要使用的範圍。如需有關範圍的詳細資訊,請參閱 IPAM 的運作方式

  4. 選擇建立集區

  5. (選用) 新增集區的 Name tag (名稱標籤) 和集區的 Description (說明)。

  6. Source (來源) 下,選擇您在上一節建立的頂層集區。

  7. Resource planning (資源規劃) 下,將 Plan IP space within the scope (規劃範圍內的 IP 空間) 保留選取狀態。如需使用此選項規劃 VPC 內子網路 IP 空間的詳細資訊,請參閱 教學課程:為子網路 IP 配置規劃 VPC IP 地址空間

  8. Locale (區域設定) 下,選擇該集區的區域設定。在本教學課程中,我們將會使用 us-east-2 作為區域集區的地區設定。可用選項來自您在建立 IPAM 時選擇的作業區域。

    AWS 地區設定是您希望此 IPAM 集區可供配置使用的區域。例如,您只能從與 VPC 區域共用地區設定的 IPAM 集區為 VPC 配置 CIDR。請注意,當您為集區選擇地區時,您無法對其進行修改。如果 IPAM 的主區域因中斷而無法使用,且集區的地區設定與 IPAM 的主區域不同,則仍然可以使用集區來配置 IP 地址。選擇地區設定可確保您的集區和從中分配的資源之間沒有跨區域的依賴關係。

  9. Service (服務) 下,選擇 EC2 (EIP/VPC)。您選擇的服務決定了 CIDR 將廣告的 AWS 服務。目前,唯一的選項是 EC2 (EIP/VPC),這意味著從此集區配置的 CIDR 可針對 Amazon EC2 服務 (適用於彈性 IP 地址) 和 Amazon VPC 服務 (適用於與 VPC 關聯的 CIDR) 進行公告。

  10. CIDRs to provision (要佈建的 CIDR) 下,選擇一個要為集區佈建的 CIDR。請注意,在最上層集區內的某集區佈建 CIDR 時,您可佈建的最小 IPv4 CIDR 為 /24;不得佈建更明確的 CIDR (例如 /25)。建立第一個地區集區後,您可以在區域集區內建立較小的集區 (例如/25)。

  11. 啟用調整此集區的分配規則設定。您在此處具有與建立頂層集區時相同的配置規則選項。請參閱 建立頂層 IPv4 集區,以取得建立集區時可用選項的說明。區域集區的配置規則不是繼承自頂層集區。如果您未在此處套用任何規則,則不會為集區設定配置規則。

  12. (選用) 為集區選擇 Tags (標籤)。

  13. 當您完成集區的設定後,請選擇 Create pool (建立集區)。

請先確定此 CIDR 已佈建,然後再繼續。您可在集區詳細資訊頁面的 CIDRs (CIDR) 索引標籤中看到佈建狀態。

步驟 4. 共用區域集區

請依照本節中的步驟,使用 AWS Resource Access Manager (RAM) 共用 IPAM 集區。

在 AWS RAM啟用資源共用

建立 IPAM 之後,您會想要與組織中的其他帳戶共用區域集區。在共用 IPAM 集區之前,請先完成本節中的步驟,以啟用與 AWS RAM資源共用。如果您使用啟 AWS CLI 用資源共用,請使用選--profile management-account項。

啟用資源共用
  1. 使用 AWS Organizations 管理帳戶,請在 https://console.aws.amazon.com/ram/ 開啟 AWS RAM 主控台。

  2. 在左側導覽窗格中,選擇 [設定],選擇 [啟用共用對象] AWS Organizations,然後選擇 [儲存設定]。

您現在可以與組織的其他成員共用 IPAM 集區。

使用以下方式共用 IPAM 集區 AWS RAM

在本節中,您將與另一個 AWS Organizations 成員帳戶共享區域集區。如需共用 IPAM 集區的完整說明 (包括所需 IAM 許可的相關資訊),請參閱 透過 AWS RAM 共用 IPAM 集區。如果您使用啟 AWS CLI 用資源共用,請使用選--profile ipam-account項。

若要使用共用 IPAM 集區 AWS RAM
  1. 使用 IPAM 管理員帳戶,在 https://console.aws.amazon.com/ipam/ 中開啟 IPAM 主控台。

  2. 在導覽窗格中選擇 Pools (集區)。

  3. 選擇專用範圍,選擇 IPAM 集區,然後選擇「動作」 >「檢視詳細資料」。

  4. Resource sharing (資源共用) 底下,選擇 Create resource share (建立資源共用)。 AWS RAM 主控台隨即開啟。您可以使用共用集區 AWS RAM。

  5. 選擇 Create a resource share (建立資源共用)。

  6. 在 AWS RAM 主控台中,再次選擇 [建立資源共用]。

  7. 新增共用集區的名稱

  8. [選取資源類型] 下,選擇 IPAM 集區,然後選擇您要共用的集區的 ARN。

  9. 選擇下一步

  10. 選擇AWSRAMPermissionIpamPoolByoipCidrImport權限。許可選項的詳細資料未涵蓋在本教學課程的範圍,但您可以在 透過 AWS RAM 共用 IPAM 集區 中了解有關這些選項的詳細資訊。

  11. 選擇下一步

  12. 主體 > 選取主體類型下,選擇 AWS  帳戶並輸入要將 IP 地址範圍帶入 IPAM 之帳戶的帳戶 ID,然後選擇新增

  13. 選擇下一步

  14. 檢閱資源共用選項,以及您要與其共用的主體,然後選擇建立

  15. 若要允許 member-account 帳戶從 IPAM 集區配置 IP 地址 CIDRS,請使用 AWSRAMDefaultPermissionsIpamPool 建立第二個資源共用。--resource-arns 值為您在上一節建立之 IPAM 集區的 ARN。的值--principals是的帳戶 ID member-account--permission-arns 值為 AWSRAMDefaultPermissionsIpamPool 許可的 ARN。

步驟 5:建立公有 IPv4 集區

建立公有 IPv4 集區是將公有 IPv4 地址攜至 AWS 以便透過 IPAM 進行管理的必要步驟。此步驟應由將佈建彈性 IP 地址的成員帳戶完成。

重要
  • 此步驟必須使用 AWS CLI,由該成員帳戶完成。

  • 公用 IPv4 集區和 IPAM 集區由中的不同資源管理。 AWS公有 IPv4 集區是單一帳戶資源,可讓您將公有的 CIDR 轉換為彈性 IP 地址。使用 IPAM 集區可將公有空間配置給公有 IPv4 集區。

若要使用建立公用 IPv4 集區 AWS CLI
  • 執行下列命令以佈建 CIDR。當您執行本節中的命令時,--region 的值必須與您在建立 BYOIP CIDR 即將使用的集區時所選擇的 Locale 選項相符。

    aws ec2 create-public-ipv4-pool --region us-east-2 --profile member-account

    您會在輸出結果中看到公有 IPv4 集區 ID。下一個步驟需要用到此 ID。

    { "PoolId": "ipv4pool-ec2-09037ce61cf068f9a" }

步驟 6:在公有 IPv4 集區佈建公有 IPv4 CIDR

在公有 IPv4 集區佈建公有 IPv4 CIDR。--region 的值必須與您在建立 BYOIP CIDR 即將使用的集區時所選擇的 Locale 值相符。--netmask-length 是您要帶入公用集區的 IPAM 集區空間量。數值不能大於 IPAM 集區的網路遮罩長度。您可以使用的最不特定 IPv4 字首為 /24

注意

如果您要將 /24 CIDR 範圍帶入 IPAM 以便跨 AWS Organization 共用,則可以將較小的字首佈建至多個 IPAM 集區,例如 /27 (使用 -- netmask-length 27),而不用如本教學課程所示佈建整個 /24 CIDR (使用 -- netmask-length 24)。

重要

此步驟必須使用 AWS CLI,由該成員帳戶完成。

若要使用建立公用 IPv4 集區 AWS CLI
  1. 執行下列命令以佈建 CIDR。

    aws ec2 provision-public-ipv4-pool-cidr --region us-east-2 --ipam-pool-id ipam-pool-04d8e2d9670eeab21 --pool-id ipv4pool-ec2-09037ce61cf068f9a --netmask-length 24 --profile member-account

    輸出結果會顯示已佈建的 CIDR。

    { "PoolId": "ipv4pool-ec2-09037ce61cf068f9a", "PoolAddressRange": { "FirstAddress": "130.137.245.0", "LastAddress": "130.137.245.255", "AddressCount": 256, "AvailableAddressCount": 256 } }
  2. 執行下列命令以檢視公有 IPv4 集區中佈建的 CIDR。

    aws ec2 describe-public-ipv4-pools --region us-east-2 --max-results 10 --profile member-account

    輸出結果會顯示已佈建的 CIDR。預設情況下不會公告 CIDR,亦即,不能透過網際網路公開存取它。透過本教學課程的最後一個步驟可設定此 CIDR,使其公告在網路上。

    { "PublicIpv4Pools": [ { "PoolId": "ipv4pool-ec2-09037ce61cf068f9a", "Description": "", "PoolAddressRanges": [ { "FirstAddress": "130.137.245.0", "LastAddress": "130.137.245.255", "AddressCount": 256, "AvailableAddressCount": 255 } ], "TotalAddressCount": 256, "TotalAvailableAddressCount": 255, "NetworkBorderGroup": "us-east-2", "Tags": [] } ] }

建立公有 IPv4 集區後,如要檢視配置於 IPAM 區域集區中的公有 IPv4 集區,請於 Allocations (分配) 或 Resources (資源)下,開啟 IPAM 主控台並檢視區域集區中分配。

步驟 7:在公有 IPv4 集區中建立彈性 IP 地址

完成 Amazon EC2 使用者指南分配彈性 IP 地址中的步驟,以從公用 IPv4 集區建立彈性 IP 地址 (EIP)。當您在 AWS 管理主控台中開啟 EC2 時,配置 EIP 所在的 AWS 區域必須與您在建立用於 BYOIP CIDR 的集區時選擇的Locale選項相符。

此步驟必須由該成員帳戶完成。如果您使用的是 AWS CLI,請使用--profile member-account選項。

步驟 8:建立彈性 IP 地址與 EC2 執行個體的關聯

完成將彈性 IP 地址與 Amazon EC2 使用者指南中的執行個體或網路界面建立關聯中的步驟,以將 EIP 與 EC2 執行個體建立關聯。當您在 AWS 管理主控台中開啟 EC2 時,關聯 EIP 所在的 AWS 區域必須與您在建立用於 BYOIP CIDR 的集區時選擇的Locale選項相符。在本教學課程中,集區為區域集區。

此步驟必須由該成員帳戶完成。如果您使用的是 AWS CLI,請使用--profile member-account選項。

步驟 9:公告 CIDR

本節中的步驟必須由 IPAM 帳戶完成。將彈性 IP 地址 (EIP) 與執行個體或 Elastic Load Balancer 產生關聯後,您就可以在已設定服務 EC2 (EIP/ VPC) AWS 的集區中開始廣告您帶到的 CIDR。在本教學課程中是指您的區域集區。預設情況下不會公告 CIDR,亦即,不能透過網際網路公開存取它。

此步驟必須由 IPAM 帳戶完成。

如要公告 CIDR
  1. 請在 https://console.aws.amazon.com/ipam/ 開啟 IPAM 主控台。

  2. 在導覽窗格中選擇 Pools (集區)。

  3. 根據預設,建立集區時,系統會選取私有範圍。選擇公有範圍。如需有關範圍的詳細資訊,請參閱 IPAM 的運作方式

  4. 選擇您在本教學課程中建立的區域集區。

  5. 選擇 CIDRs 索引標籤。

  6. 選取 BYOIP CIDR,然後選擇 Actions (動作) > Advertise (公告)。

  7. 選擇 Advertise CIDR (公告 CIDR)。

因此,BYOIP CIDR 會進行公告,並將 Advertising (公告) 欄位中的值從 Withdrawn (已撤回) 變更為 Advertised (已公告)。

步驟 10:清除

請依照本節中的步驟清除您在本教學課程中佈建和建立的資源。

步驟 1:從公告中撤回 CIDR

此步驟必須由 IPAM 帳戶完成。

  1. 請在 https://console.aws.amazon.com/ipam/ 開啟 IPAM 主控台。

  2. 在導覽窗格中選擇 Pools (集區)。

  3. 根據預設,建立集區時,系統會選取私有範圍。選擇公有範圍。

  4. 選擇您在本教學課程中建立的區域集區。

  5. 選擇 CIDRs 索引標籤。

  6. 選取 BYOIP CIDR,然後選擇 Actions (動作) > Withdraw from advertising (從公告中撤回)。

  7. 選擇 Withdraw CIDR (撤回 CIDR)。

因此,BYOIP CIDR 不再進行公告,並將 Advertising (公告) 欄位中的值從 Advertised (已公告) 變更為 Withdrawn (已撤回)。

步驟 2:取消與彈性 IP 地址的關聯

此步驟必須由該成員帳戶完成。如果您使用的是 AWS CLI,請使用--profile member-account選項。

  • 完成 Amazon EC2 使用者指南取消彈性 IP 地址關聯中的步驟,以取消 EIP 的關聯。當您在 AWS 管理主控台中開啟 EC2 時,取消 EIP 關聯的 AWS 區域必須與您在建立用於 BYOIP CIDR 的集區時選擇的Locale選項相符。在本教學課程中,集區為區域集區。

步驟 3:釋出彈性 IP 地址

此步驟必須由該成員帳戶完成。如果您使用的是 AWS CLI,請使用--profile member-account選項。

  • 完成 Amazon EC2 使用者指南釋出彈性 IP 地址中的步驟,以從公有 IPv4 集區釋放彈性 IP 地址 (EIP)。當您在 AWS 管理主控台中開啟 EC2 時,配置 EIP 所在的 AWS 區域必須與您在建立用於 BYOIP CIDR 的集區時選擇的Locale選項相符。

步驟 4:從公有 IPv4 集區解除佈建公有 IPv4 CIDR
重要

此步驟必須使用 AWS CLI,由該成員帳戶完成。

  1. 檢視您的 BYOIP CIDR。

    aws ec2 describe-public-ipv4-pools --region us-east-2 --profile member-account

    輸出結果會顯示 BYOIP CIDR 中的 IP 地址。

    { "PublicIpv4Pools": [ { "PoolId": "ipv4pool-ec2-09037ce61cf068f9a", "Description": "", "PoolAddressRanges": [ { "FirstAddress": "130.137.245.0", "LastAddress": "130.137.245.255", "AddressCount": 256, "AvailableAddressCount": 256 } ], "TotalAddressCount": 256, "TotalAvailableAddressCount": 256, "NetworkBorderGroup": "us-east-2", "Tags": [] } ] }
  2. 執行下列命令以釋出公有 IPv4 集區的 CIDR 中的最後一個 IP 地址。輸入網路遮罩為 /32 的 IP 地址。

    aws ec2 deprovision-public-ipv4-pool-cidr --region us-east-2 --pool-id ipv4pool-ec2-09037ce61cf068f9a --cidr 130.137.245.255/32 --profile member-account

    輸出結果會顯示已解除佈建的 CIDR。

    { "PoolId": "ipv4pool-ec2-09037ce61cf068f9a", "DeprovisionedAddresses": [ "130.137.245.255" ] }
    重要

    必須針對 CIDR 範圍中的每個 IP 地址重新執行此命令。若 CIDR 是 /24,則必須執行此命令才能解除佈建 /24 CIDR 中的全部 256 個 IP 地址。

  3. 再次檢視您的 BYOIP CIDR,並確保其中不再有已佈建的地址。當您執行本節中的命令時,--region 的值必須與 IPAM 的區域相符。

    aws ec2 describe-public-ipv4-pools --region us-east-2 --profile member-account

    您會在輸出結果的公有 IPv4 集區中看到 IP 地址計數。

    { "PublicIpv4Pools": [ { "PoolId": "ipv4pool-ec2-09037ce61cf068f9a", "Description": "", "PoolAddressRanges": [], "TotalAddressCount": 0, "TotalAvailableAddressCount": 0, "NetworkBorderGroup": "us-east-2", "Tags": [] } ] }
注意

IPAM 可能需要一些時間才能發現公有 IPv4 集區分配已遭刪除。您無法繼續清除和解除佈建 IPAM 集區的 CIDR,直到您發現配置已從 IPAM 移除為止。

步驟 5:刪除公有 IPv4 集區

此步驟必須由該成員帳戶完成。

  • 執行下列命令以刪除公有 IPv4 集區 CIDR。當您執行本節中的命令時,--region 的值必須與您在建立 BYOIP CIDR 即將使用的集區時所選擇的 Locale 選項相符。在本教學課程中,集區為區域集區。必須使用 AWS CLI 完成此步驟。

    aws ec2 delete-public-ipv4-pool --region us-east-2 --pool-id ipv4pool-ec2-09037ce61cf068f9a --profile member-account

    在輸出中,您將會看到傳回值為 true

    { "ReturnValue": true }

    刪除集區後,如要檢視未由 IPAM 管理的分配,請開啟 IPAM 主控台,然後檢視 Allocations (分配) 下的區域集區詳細資訊。

步驟 6:刪除 RAM 共用並停用與 AWS Organizations 整合的 RAM。

此步驟必須各自由 IPAM 帳戶和管理帳戶完成。如果您使用刪 AWS CLI 除 RAM 共用並停用 RAM 整合,請使用 --profile ipam-account --profile management-account選項。

步驟 7:從區域集區和最上層集區解除佈建 CIDR

此步驟必須由 IPAM 帳戶完成。如果您使用 AWS CLI 來共用集區,請使用選--profile ipam-account項。

步驟 8:刪除區域集區和最上層集區

此步驟必須由 IPAM 帳戶完成。如果您使用 AWS CLI 來共用集區,請使用選--profile ipam-account項。

  • 完成 刪除集區 中的步驟,依順序刪除區域集區和最上層集區。