ANSネットワーク設計
ある企業のネットワークチームは、AWS Organizationsで管理する複数アカウント・複数リージョンにわたるVPCのIPアドレス管理を改善しようとしています。現状の課題は以下の通りです。
・各チームが独自にCIDRを選定しているため、一部のVPC間でIPアドレスが重複している
・将来的にTransit Gateway接続やVPCピアリングを導入する際にルーティング問題が発生する懸念がある
・現在割り当て済みのIPアドレス範囲の全体像を把握できるツールがない
最小限の運用オーバーヘッドで、IPアドレスの重複防止・可視化・ガバナンスを一元的に実現するAWSネイティブのソリューションはどれですか？
AAWS Configカスタムルールを作成してVPC作成イベントを検知し、既存CIDRとの重複をLambdaでチェックしてSNS通知とSystems Manager Automationによる自動削除を実行する
AWS Config + SSM Automationの自動削除方式は、本番VPCに誤って適用されるリスクが高く破壊的です。また、組織全体のIPアドレス利用状況の可視化機能を提供しません。
BAmazon VPC IPAMを組織の管理アカウントで有効化し、階層プール（組織→リージョン→チーム）でCIDRを管理してSCPでIPAMプールからの割り当てを強制する
✓ 正解
VPC IPAMは組織レベルでIPアドレス空間を一元管理でき、組織プール→リージョンプール→チームプールの階層構造でCIDRを分割管理できます。SCPとの組み合わせでIPAMプールからのみVPC作成を強制でき、重複を根本的に防止できます。
CAWS Service CatalogでVPCテンプレートを作成し、承認済みCIDRリストから順番に割り当てるカスタムロジックをLambda関数で実装する
Service Catalog + Lambdaはカスタムロジック実装の開発・保守コストが高く、既存VPCのCIDRを自動検出・一元可視化する機能がないため、組織全体管理に適しません。
DAWS CloudFormationスタックセットで標準化されたVPCテンプレートを各アカウントに展開し、テンプレート内でCIDRブロックを事前定義して重複を防止する
CloudFormationのテンプレート内でCIDRを静的定義する方式は、将来の動的割り当てに対応できず、既存VPCのCIDR管理とも連携できないため、組織全体での統一管理に不適切です。
解説
Amazon VPC IPAMは、組織全体のIPアドレス空間を一元管理するAWSネイティブのマネージドサービスです。組織の管理アカウントで有効化し、組織プール・リージョンプール・チームプールという階層構造でCIDRブロックを分割管理します。SCPと組み合わせてIPAMプールからのみVPCを作成できるよう強制することで重複を根本的に防止できます。既存のVPCのCIDRも自動的に検出・表示され、IPAMコンソールから組織全体の利用状況を可視化できます。
選択肢AのAWS Config + SSM Automationは、自動削除が本番VPCに適用されると破壊的なリスクがあり、組織全体の可視化機能もない。
選択肢CのService Catalog + Lambdaは、カスタム実装の開発・保守コストが高く、既存VPCの自動検出・可視化機能がない。
選択肢DのCloudFormationスタックセットは、CIDRが静的定義のため将来の動的割り当てに対応できず、既存VPCのCIDR管理にも対応していない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →