脱・手動 CIDR 管理 ! インシデントから学んだ Amazon VPC IP Address Manager による NetDevOps の実践 ~ みずほ銀行が AWS CDK で実装したマルチアカウント管理の仕組み 第 5 回

network-repo/
├── bin/
│   └── app.ts           # CDK アプリケーションのエントリーポイント
├── lib/
│   ├── ipamStack.ts     # IPAM スタック定義
│   └── pipelineStack.ts # CI/CD パイプラインスタック定義
├── test/
│   └── ipamStack.test.ts # 単体テスト
├── parameter.ts          # CIDR 定義などのパラメータファイル
├── cdk.json              # CDK 設定ファイル
├── package.json
└── tsconfig.json

export const TenantCidrDefinition = [
  {
    accountName: 'ProdTenant', // テナント識別名
    cidr: '10.0.224.0/24',     // 割り当てる CIDR
    accountId: '123456789012', // テナントの AWS アカウント ID
  },
  {
    accountName: 'DevTestTenant',
    cidr: '10.0.225.0/24',
    accountId: '222233334444',
  },
  // 新規 CIDR 追加時はここに追記
];

export class IpamStack extends Stack {
  readonly operatingRegions = [{ regionName: 'ap-northeast-1' }];

  constructor(scope: Construct, id: string, props?: StackProps) {
    super(scope, id, props);
    
    // IPAM 本体
    const ipam = new ec2.CfnIPAM(this, 'Ipam', {
      operatingRegions: this.operatingRegions,
      tier: 'advanced', // AWS Organizations 連携・監査機能を利用
      // IP 追跡対象外の OU を指定 (コスト抑制のため)
      defaultResourceDiscoveryOrganizationalUnitExclusions: [{
        organizationsEntityPath: 'o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-ghi0-awsccccc/*',
      }],
    });
    
    // 最上位プール（第1階層） 
    const overallPool = new ec2.CfnIPAMPool(this, 'OverallPool', {
      addressFamily: 'ipv4',
      ipamScopeId: ipam.attrPrivateDefaultScopeId,
      provisionedCidrs: [{ cidr: '10.0.0.0/16' }],
      tags: [{ key: 'Layer', value: '1' }], // タグで階層を可視化
    });
    
    // テナント個別払い出し用プール（第2階層） ※実際は第2階層も繰り返し処理で定義しているが省略
    const tenantPool = new ec2.CfnIPAMPool(this, 'TenantPool', {
      addressFamily: 'ipv4',
      ipamScopeId: ipam.attrPrivateDefaultScopeId,
      sourceIpamPoolId: overallPool.attrIpamPoolId,
      provisionedCidrs: [{ cidr: '10.0.224.0/20' }],
      autoImport: false, 
      tags: [{ key: 'Layer', value: '2' }],
    });
    
    // パラメータファイルから各テナント用プール（第3階層）を生成
    TenantCidrDefinition.forEach((tenant) => {
      const individualPool = new ec2.CfnIPAMPool(this, `${tenant.accountName}Pool`, {
        addressFamily: 'ipv4',
        ipamScopeId: ipam.attrPrivateDefaultScopeId,
        sourceIpamPoolId: tenantPool.attrIpamPoolId,
        provisionedCidrs: [{ cidr: tenant.cidr }],
        autoImport: true, // 第3階層は特定テナントアカウント専用のため自動インポート有効
        allocationDefaultNetmaskLength: 24,
        allocationMinNetmaskLength: 24,
        allocationMaxNetmaskLength: 28,
        tags: [{ key: 'Layer', value: '3' }],
      });
      
      // AWS RAM 共有設定
      new CfnResourceShare(this, `${tenant.accountName}Share`, {
        name: tenant.accountName,
        allowExternalPrincipals: false,
        principals: [tenant.accountId], // 特定テナントアカウントに共有
        resourceArns: [individualPool.attrArn],
        permissionArns: ['arn:aws:ram::aws:permission/AWSRAMDefaultPermissionsIpamPool'],
      });
    });
  }
}

FAIL  test/ipamStack.test.ts
  ● IpamStackのテスト › スナップショットテスト:ipam

    - Snapshot  -  0
    + Received  + 55

    +     "RamResourceShareDevTestTenant": {
    +       "Properties": {
    +         "AllowExternalPrincipals": false,
    +         "Name": "DevTestTenant",
    +         "PermissionArns": [
    +           "arn:aws:ram::aws:permission/AWSRAMDefaultPermissionsIpamPool",
    +         ],
    +         "Principals": [
    +           "222233334444",
    +         ],
    +         "ResourceArns": [
    +           {
    +             "Fn::GetAtt": [
    +               "TenantIpamPoolDevTestTenant",
    +               "Arn",
    +             ],
    +           },
    +         ],
    +       },
    +       "Type": "AWS::RAM::ResourceShare",
    +     },
    +     "TenantIpamPoolDevTestTenant": {
    +       "Properties": {
    +         "AddressFamily": "ipv4",
    +         "AllocationDefaultNetmaskLength": 24,
    +         "AllocationMaxNetmaskLength": 28,
    +         "AllocationMinNetmaskLength": 24,
    +         "AutoImport": true,
    +         "ProvisionedCidrs": [
    +           { "Cidr": "10.0.225.0/24" },
    +         ],
    +       },
    +       "Type": "AWS::EC2::IPAMPool",
    +     },

export class PipelineStack extends cdk.Stack {
  constructor(scope: Construct, id: string, props: PipelineProps) {
    super(scope, id, props);
    // 省略

    const ipamPipeline = new CodePipeline(this, 'Pipeline', {
      pipelineName: 'IpamPipeline',
      synth: new ShellStep('Synth', {
        input: CodePipelineSource.connection('sample/network-repo', 'main', {connectionArn: 'xx'}),
        installCommands: ['npm ci'],
        commands: [
          'npx cdk --version',
          'npm run build && npm test',
          'npx cdk synth',
        ],
        crossAccountKeys: true,
      }),
    });

    ipamPipeline.addStage(new PipelineStage(this, 'Deploy', {
      env: { account: '111122223333', region: 'ap-northeast-1' },
    }));
    ipamPipeline.buildPipeline();

    // パイプライン実行失敗時に通知
    new NotificationRule(this, 'NotificationRule', {
      source: ipamPipeline.pipeline,
      events: ['codepipeline-pipeline-pipeline-execution-failed'],
      targets: [new Topic(this, 'IpamPipelineExecutionFailedTopic', {
        displayName: 'IPAM Pipeline Execution Failed',
      })],
    });
  }
}

// IPAM スタックのデプロイステージ
export class PipelineStage extends Stage {
  constructor(scope: Construct, id: string, props?: StageProps) {
    super(scope, id, props);

    // cdk-nag のカスタムルールパックを適用
    cdk.Aspects.of(this).add(new CommonParametersChecks({ verbose: true }));

    new IpamStack(this, 'Ipam');
  }
}