AWS VPCピアリング接続

本トピックでは、iDoperation Cloudとお客様のAWS環境をAWS VPCピアリングで接続するための具体的な設定方法について説明します。
iDoperation Cloudとお客様のネットワーク環境との接続に関する全体概要は、「お客様環境と接続する」トピックを確認してください。

概要

iDoperation Cloudでは、お客様のAWS環境とAWS VPCピアリングによる接続機能を提供しています。
本接続はManagement Outbound通信として利用され、iDoperation Cloudからお客様AWS環境内のターゲットへ安全に接続するために使用されます。
テクニカルサポートより提供されるAWSアカウントID情報をもとに、お客様側のAWS環境にVPCピアリング接続に必要なIAMロールを作成することで、iDoperation Cloud側のAWS環境との間でVPCピアリングが確立されます。

前提条件

お客様側では、以下の条件を満たしている必要があります。

・VPCピアリング接続を行うAWS環境およびVPCが用意されていること。
・接続対象となるVPCのAWSアカウントID、リージョン、VPC IDおよびVPC CIDRを確認できること。
・接続対象となるVPCのCIDRが、iDoperation Cloud側のVPCのCIDRと重複していないこと。
・iDoperation Cloudから接続する対象サーバおよびネットワークへの通信について、ルートテーブル、ファイアウォール、セキュリティグループ等で許可できること。
・テクニカルサポートより提供されるAWSアカウントID情報を使用して、VPCピアリング接続に必要なIAMロールを作成できること。

接続設定の流れ

VPCピアリング接続は、以下の手順で設定します。

VPCピアリング自動承認の設定

VPCピアリング接続を自動承認するために、お客様側のAWS環境でIAMポリシーおよびIAMロールを作成します。

ポリシーの作成

1．AWSマネジメントコンソールでIAMサービスを開きます。

2．左ペインの「ポリシー」をクリックします。

3．「ポリシーを作成」をクリックします。

4．以下の内容を選択し、「次へ」をクリックします。
・サービス：「EC2」
・アクションの許可：「AcceptVpcPeeringConnection」
・リソース：「すべて」

5．ポリシー名を入力（例：AcceptVpcPeering）し、「ポリシーを作成」をクリックします。

ロールの作成

6．左ペインの「ロール」をクリックします。

7．「ロールを作成」をクリックします。

8．以下の内容を選択します。
・信頼されたエンティティ：「AWSアカウント」
・アカウント：「別のAWSアカウント」

9．アカウントIDに「＜iDoperation Cloud側のAWSアカウントID＞」を入力し、「次へ」をクリックします。

10．許可ポリシーで、手順5で作成したポリシーにチェックを入れ、「次へ」をクリックします。

11．ロール名を入力（例：VPCPeeringRole）し、「ロールを作成」をクリックします。

12．ロールの一覧から、手順11で作成したロール名を選択します。

13．「概要」に表示されている「ARN」を控えてください。

お客様AWS VPC情報

iDoperation CloudとVPCピアリング接続を行うAWS環境側の情報をテクニカルサポートへ連絡してください。
※iDoperation CloudとのVPCピアリング接続は、最大4つのVPC環境まで接続できます。
※複数環境と接続する場合は、すべてのVPC情報を連絡してください。

テクニカルサポートへ連絡する情報

クリップボードにコピー

(1)AWSアカウント情報

お客様側のAWSアカウントID：＜12桁のAWSアカウントID＞

(2)AWS VPC情報

リージョン：＜利用しているリージョン＞

VPC ID：＜iDoperation Cloudと接続をするVPCのID＞

VPC CIDR：＜iDoperation Cloudと接続をするVPCのIPアドレス（CIDR形式）＞

(3)ロール情報

ロールのARN：＜iDoperation CloudとVPCピアリング接続を許可するために作成したロールのARN＞

※VPC IDは「vpc-xxxxxxxxxxxxxxxxx」の形式です。

※ロールのARNは「arn:aws:iam::123456789000:role/VPCPeeringRole」の形式です。

接続確認

以下の手順により、お客様側のAWS環境で、iDoperation Cloud側のAWS環境とのVPCピアリング接続および通信状態を確認します。

接続確認は以下の観点で実施します。
・VPCピアリング接続が確立していること
・VPCピアリング経由の通信に必要なネットワーク設定が行われていること
・VPCピアリング経由でiDoperation Cloudからターゲットへアクセスできること

上記のすべてを満たす場合、VPCピアリング接続は正常に構成されています。

VPCピアリングの状態確認

VPCピアリング接続が正常に確立していることを確認します。
確認方法は以下のとおりです。

1．お客様側のAWSマネジメントコンソールでVPCサービスを開きます。

2．左ペインの「ピアリング接続」をクリックします。

3．iDoperation Cloud側のAWS環境とのVPCピアリング接続を選択します。

4．VPCピアリング接続の状態が「アクティブ（Active）」であることを確認します。

ネットワーク設定の確認

VPCピアリング経由の通信に必要なネットワーク設定が行われていることを確認します。
確認方法は以下のとおりです。

1．接続対象となるサーバーが所属するサブネットのルートテーブルを確認します。

2．iDoperation Cloud側のVPC CIDR宛てのルートが、対象のVPCピアリング接続を経由する設定になっていることを確認します。

3．ターゲットのセキュリティグループ、ネットワークACLおよびファイアウォール等で、iDoperation Cloudからの必要な通信が許可されていることを確認します。

ターゲットへの接続確認

VPCピアリング経由でiDoperation Cloudからお客様環境内のターゲットへアクセスできることを確認します。以下を参考に、ターゲットの登録状況に応じてアクセスを確認してください。 

・iDoperation PAM Cloudに、お客様のAWS環境内にあるターゲットが登録されている場合
  ターゲットとの接続テストを行い、成功することを確認してください。 「ターゲットの詳細」の接続テストから行えます。

・iDoperation PAM Cloudに、お客様のAWS環境内にあるターゲットが登録されていない場合
  ターゲットの追加を行い、アカウントの同期「する」を選択して、接続テストに成功することを確認してください。