地址资源管理

限制从IPAM地址池为VPC分配网段

多账号企业中，各业务账号独立创建 VPC 时若随意分配私网网段，VPC互连时易因网段冲突无法连通。使用管理账号创建管控策略，与资源夹或成员绑定，限制业务账号只能从共享的IPAM地址池中为 VPC 分配网段。IPAM 确保分配的网段不重叠，避免VPC互连时出现地址冲突。

管控策略对所有资源目录成员中的RAM用户和RAM角色生效，但对成员的根用户不生效。同时，资源目录的管理账号位于资源目录外部，不归属于资源目录，所以管控策略对管理账号内的所有身份也不生效。

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "StringNotEquals": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    },
    {
      "Action": [
        "vpc:CreateVpc"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "Null": {
          "vpc:Ipv4IpamPoolId": "true"
        }
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "vpc:CreateVpc",
        "vpc:AssociateVpcCidrBlock"
      ],
      "Resource": "*",
      "Effect": "Deny",
      "Condition": {
        "ForAllValues:StringNotLikeIfExists": {
          "vpc:Ipv4IpamPoolId": "ipam-pool-0123456789abcdefg"
        }
      }
    }
  ],
  "Version": "1"
}

使用资源发现纳管地址

资源发现会持续查找并跟踪生效地域内VPC和交换机网段的IP利用率。关联 IPAM 后，IPAM 统一管理被发现的地址段。

1、默认资源发现的生效地域与IPAM保持一致，无法修改。

2、资源发现更新频率为5分钟。

• 创建 IPAM 时，系统创建默认资源发现并与 IPAM 关联。符合以下规则的 VPC 网段会被自动导入到对应地址池进行统一管理。规则如下：

  • 仅导入在地址池预置 CIDR 范围内且未分配的地址段。

  • 仅导入到默认作用范围下开启自动导入发现的资源的地址池。

  • 发现的多个 CIDR 存在重叠关系时，IPAM 仅导入范围最大的 CIDR。

  • 发现多个相同的 CIDR 时，IPAM 将随机导入其中一个。

• 未创建IPAM时，可创建自定义资源发现，跟踪VPC和交换机网段的IP使用率。在托管地域创建IPAM后，将自动转换为默认资源发现。

# 指定未创建IPAM、可创建自定义资源发现的地域
provider "alicloud" {
  region = "cn-shanghai"
}

resource "alicloud_vpc_ipam_ipam_resource_discovery" "example_ipam_resource_discovery" {
  operating_region_list               = ["cn-shanghai"]     # 指定IPAM资源发现的生效地域
  ipam_resource_discovery_name        = "example_ipam_resource_discovery_name"
}

共享资源发现统一管理地址使用

业务账号使用非规划网段创建资源容易引发地址冲突。网络管理员可以关联IPAM和业务账号共享的资源发现，统一管理多账号下的资源，解决地址冲突。

默认资源发现和自定义资源发现均支持共享。

共享资源发现的生效地域和网络管理员的IPAM生效地域允许存在不一致，但托管地域（即创建地域）必须保持一致。生效地域存在不一致时：

• 资源所有者（即本例中的业务账号）和网络管理员可以管理和查看资源发现的生效地域内的全部资源。

• 网络管理员将资源发现与IPAM关联后，只能管理IPAM生效地域内的资源。

监控地址利用率

监控地址利用率，便于对高利用率资源及时进行扩容。

• 监控地址池的地址利用率：前往IPAM控制台 - IPAM地址池，单击目标地址池ID。

  • 详细信息页签下，可查看地址池的可用 IP 数与分配给资源和子地址池的 IP 数。若目标地址池为子地址池，可同时查看本池与源地址池的地址利用率。

  • IP空间可视化和分配页签下，可查看地址池的具体分配情况。

• 监控 VPC 和交换机的地址利用率：

  • 前往IPAM 控制台 - 资源发现，单击目标资源发现ID，可查看生效地域下全部 VPC 和交换机的 CIDR 和 IP 使用情况。

  • 前往IPAM 控制台 - IPAM作用范围，单击目标作用范围ID。

    • 资源管理页签下，可查看该作用范围内 VPC 和交换机的 CIDR 和地址利用率。单击目标 VPC 或交换机 ID，可查看 IP 使用情况。

    • 监控图表页签下，可以从时间维度以折线图形式监控该作用范围内 VPC 和交换机的地址利用率。

监控地址重叠情况

监控地址重叠，可以主动发现并解决网络连接中的地址冲突，确保实现网络互连时不会引起访问冲突。

前往IPAM 控制台 - IPAM作用范围，单击目标作用范围ID。

• 资源管理页签下，可查看该作用范围内 VPC 和交换机网段的重叠情况。存在网段重叠时，可以单击重叠状态>查看，查看与当前资源存在冲突的具体实例。

• 监控图表页签下，可以从时间维度以折线图形式监控该作用范围内 CIDR 的重叠数量。

监控地址段管理状态和合规性

前往IPAM 控制台 - IPAM作用范围，单击目标作用范围ID，可以在概览、资源管理、监控图表页签，查看资源的 CIDR 是否通过 IPAM 地址池分配（即是否托管）以及是否符合 IPAM 地址池的分配规则（即是否合规）。

计费说明

IP地址管理（IPAM）功能正在进行公测，公测期间免费使用。

配额限制