ある大企業はAWS Organizationsを使用して80以上のAWSアカウントを管理しており、各チームが独立してVPCを作成しています。
次のような運用上の問題が発生しています：
・VPC間でCIDRブロックの重複が

Question

ある大企業はAWS Organizationsを使用して80以上のAWSアカウントを管理しており、各チームが独立してVPCを作成しています。
次のような運用上の問題が発生しています：
・VPC間でCIDRブロックの重複が生じ、Transit Gatewayへのアタッチやピアリング設定が失敗するケースが増加している
・IPアドレス空間の使用状況を組織横断で把握できておらず、重複を事前に防ぐ仕組みがない
・新しいVPCへのCIDR割り当てが属人的な管理スプレッドシートに依存している

この問題を最も効果的に解決するアプローチはどれですか？

Accepted Answer

正解: AWS IPAM（VPC IP Address Manager）を導入し、組織レベルで階層的なIPAMプールを構成してVPC作成時にCIDRを自動割り当て、重複を防止する。AWS IPAMはVPCのIPアドレス空間を組織・OU・アカウント単位で階層的に管理する専用サービスです。AWS Organizationsと統合し、複数アカウントにまたがるIPアドレス使用状況を一元可視化するとともに、VPC作成時にIPAMプールからCIDRを自動割り当てすることで重複をプロアクティブに防止します。

選択肢AのAWS ConfigはCIDR重複を事後検出できますが、割り当て自体を管理する機能はなくリアクティブな対応にとどまる。

選択肢CのService CatalogはVPCテンプレートの標準配布に有効ですが、動的なIPアドレス割り当てや組織横断の使用状況追跡は実現できない。

選択肢DのStackSetsによる標準化は可能ですが、CIDRのハードコードは柔軟性を欠き、既存リソースとの重複検出機能もない。

Answer

AWS Configのカスタムルールを作成してVPC CIDRの重複を検出し、EventBridgeとSNSで管理者に通知する — AWS ConfigはCIDR重複を事後検出できますが、割り当て自体を管理する機能はなくリアクティブな対応にとどまる。

Answer

AWS Service Catalogを使用してVPC作成ポートフォリオを整備し、承認済みCIDR範囲を含むテンプレートを各チームに配布する — Service CatalogはVPCテンプレートの標準配布に有効ですが、動的なIPアドレス割り当てや組織横断の使用状況追跡は実現できない。

Answer

AWS CloudFormation StackSetsを使用してVPC作成を標準化し、各リージョンで使用するCIDRブロックをテンプレートにハードコードする — StackSetsによる標準化は可能ですが、CIDRのハードコードは柔軟性を欠き、既存リソースとの重複検出機能もない。

解説

解説