DNS共有計画の考慮事項

VPE ゲートウェイの DNS 共有を構成する前に、以下の考慮事項を確認してください。

VPCハブに関する考察

ハブ VPC の計画に関する以下の考慮事項を確認してください。

  • ハブ VPC と DNS 共有 VPC の間の接続を確立することが重要です。 IBM Cloud は、接続の管理も検証も行いません。
  • VPC の作成時または作成後の任意の時点で、VPC をハブとして指定できます。 VPC をハブとして指定する場合、その VPC に DNS 解決バインディングを含めることはできません。
  • 重複する DNS 共有 VPC がない限り、1 つのアカウント内に複数のハブ VPC を作成できます。
  • ハブVPCがDNS共有VPCへのDNS解決バインディングを持っている場合は、ハブVPCを削除できません。
  • DNS 共有 VPC から開始できるのは、DNS 解決バインディングの作成のみです。
  • 許可されたユーザーのみが、ハブ VPC および DNS 共有 VPC から DNS 解決バインディングを削除できます。 ハブ VPC から DNS 解決バインディングを削除するには、ユーザーに is.vpc.dns-resolution-binding.delete アクションと is.vpc.dns-resolution-binding.disconnect IAM アクションが割り当てられている必要があります。 DNSBindingConnector アクセス・ポリシーおよび管理者またはエディターのプラットフォーム役割を持つユーザーを割り当てることができます。

DNS 共有 VPC に関する考慮事項

DNS 共有 VPC に関する以下の計画上の考慮事項を確認してください。

  • ハブ VPC のリストから DNS 解決バインディングを選択するか (ハブ VPC が同じアカウントに存在する場合)、ハブ VPC のクラウド・リソース名 (CRN) を入力して (ハブ VPC が別のアカウントに存在する場合)、ハブ VPC に DNS 解決バインディングを割り当てることができます。

  • DNS共有VPCに、ハブVPCのVPEまたは既存のDNS共有VPCと共有されているVPEと競合するVPEゲートウェイが含まれている場合、DNS共有VPCは、そのVPEを作成する前に、そのVPEのDNS解決バインディングを無効にする必要があります。 DNS解決バインディングが作成された後に、競合するVPEを作成しようとすると、同様の問題が発生する。

  • DNS 共有 VPC 内の個々のエンドポイント・ゲートウェイで DNS 共有を有効または無効にすることができます。

  • DNS 解決バインディングの詳細を表示して、ハブ VPC に関する情報と、DNS 共有 VPC 内のどのエンドポイント・ゲートウェイで DNS 共有が有効になっているかを確認できます。

  • DNS 共有 VPC に対して複数の DNS 解決バインディングを作成することはできません。

  • DNS リゾルバー・タイプが「代行」に設定されている場合、DNS 共有 VPC 上の DNS 解決バインディングを削除することはできません。 最初に DNS リゾルバー・タイプを「システム」または「手動」に更新してから、DNS 解決バインディングを削除する必要があります。

  • DNS共有VPCがハブVPC上の委任DNSサーバーを使用するためには、ハブはそのネットワーク上でカスタムリゾルバを実行する必要があります。 DNS共有VPC認証ユーザは、そのDNSリゾルバをそのカスタムリゾルバに設定できる。

  • DNS 共有 VPC 内の個々のエンドポイント・ゲートウェイで DNS 共有を有効または無効にすることができます。

  • DNS 共有 VPC 許可ユーザーは、その DNS リゾルバーをハブ VPC 上のカスタム・リゾルバーに変更することができます。 これは、DNS 共有 VPC が、同じハブに対して DNS ネットワークを共有するハブ VPC またはその他の DNS 共有 VPC 上のエンドポイント・ゲートウェイへの接続を試行する場合に不可欠です。

    • DNS 共有 VPC 許可ユーザーは、DNS 解決バインディングを作成または削除できます。 ユーザーは両方のVPCで適切な権限レベルを持っている必要があります：

    • このユーザーには、DNS共有VPCの binding-create 権限が必要です。

    • このユーザーはDNS-hub VPC上で binding-connect 、読み取り権限を持っている必要があります。

      DNSハブとDNS共有VPCが異なるアカウントある場合、DNS共有VPCのDNSBindingサービスロールがDNSハブVPCにアクセスすることを許可するサービス間ポリシーを作成するために、委任プロセスが必要です。

    • DNS共有VPCのDNSリゾルバをカスタムリゾルバに変更するには、権限のあるユーザーは、DNS共有VPCでOperatorロール（最低）、DNSハブVPCでViewerロールを持つ必要があります。

  • ハブ VPC 上のカスタム・リゾルバー許可ユーザーは、個別にカスタム・リゾルバーを操作できます。 そのIPアドレスが変更されると、委任されたすべてのDNS共有VPCに自動的に伝搬されます。

  • IBM Cloud オンプレミスのDNSサーバーは管理しませんので、オンプレミスのDNSコンフィギュレーションはお客様ご自身で管理してください。

VPEゲートウェイにDNS共有を設定する際の制限事項

VPEゲートウェイにDNS共有を設定する前に、以下の制限事項を確認してください：

  • DNSハブVPCとDNS共有VPCは同じリージョン内にある必要があります。 リモートリージョンでのDNS共有VPCはサポートされていません。
  • DNSハブVPC上のVPEは、常に関連するDNS共有VPCと共有されます。 VPCをDNSハブとして有効にする前に、DNSハブ上のすべてのVPEで allow_dns_resolution。
  • IBM Cloud 顧客は、必要に応じて、オンプレミスのサーバーがハブまたはスポークカスタムリゾルバーを指すようにしなければならない。
  • ハブVPCにDNS共有VPCへのDNS解決バインディングがある場合、ハブVPCをDNSハブとして無効にしたり、VPCを削除したりすることはできません。
  • DNS共有VPCは、単一のハブにのみ関連付けることができます。
  • カスタムリゾルバが複数のアドレスを持つ場合、ゾーン・アフィニティはサポートされない。 1つのカスタムリゾルバーアドレスは、常にこのVPCのすべてのアベイラビリティゾーンのプライマリDNSアドレスになります。
  • DNSハブVPCのカスタムリゾルバは、それが使用されている限り、無効にしたり削除したりすることはできません。
  • バインディング操作のタイミング要件：エンドポイントゲートウェイバインディングの変更を含む、DNS解決バインディングの作成、削除、有効化、無効化は、操作が5分未満で完了すると失敗する可能性があります。 失敗を避けるため、これらの操作に6分以上かかるようにしてください。
  • 5分以内にハブまたはDNS共有VPCのいずれかの組み合わせで同じVPEを削除して再作成した場合、VPEの作成に失敗する可能性があります。

ローカルアクセスVPE計画における考慮事項

在庫状況を選択

DNS共有VPC内でローカルアクセスVPEsを展開する場合：

  • ローカルアクセス エンドポイント ゲートウェイを作成する前に、DNS 共有を設定してください。 DNS共有が既に設定されている場合、ローカルアクセスエンドポイントゲートウェイの使用を開始するために変更や移行は不要です。
  • サービスがVPEをサポートしていることを確認してください。 現在、のみがサポート Cloud Object Storage されています。
  • DNS共有VPCにローカルアクセスVPEを作成する前に、ハブVPC内に当該サービス用のVPEが存在することを確認してください。
  • DNS共有VPCがハブへのDNS解決バインディングを持っていることを確認してください。
  • 各ローカルアクセスVPEは、特定の資源バインディングで作成可能であり、それらはトポロジー全体で一意である必要がある。
  • 各DNS共有VPCは、サービスエンドポイント内のリソースごとにローカルアクセスVPEを1つだけ含むことができます。
  • 対象サービス上で、DNS共有VPC VPEのリソースバインディングが設定されていることを確認してください。
  • ローカルアクセスVPEにバインドされたリソース（例：バケット Object Storage ）へのトラフィックは、DNSハブVPCを経由せずに、共有VPCとリソース間で直接ルーティングされます。
  • 同じサービスエンドポイントに対してローカルアクセスVPEが存在する限り、ハブVPC VPEはそのまま維持される必要があります。
  • VPEで無効化 allow_dns_resolution_binding されている場合、ハブとDNS共有VPC間でDNSレコードは伝播されません。
  • 適切なDNS共有VPCからのトラフィックを許可するよう、CBRおよびセキュリティグループルールを更新してください。

VPEモードとリソースバインディング規則

在庫状況を選択

このセクションでは、さまざまなVPEモードと、各種VPC構成におけるリソースバインディングのルールについて概説します。 各VPEタイプには、VPEモードおよびリソースバインディングの許可可否に関して固有の要件が存在する。 これらのルールを理解することは、適切なネットワークアーキテクチャの確保とDNS共有ポリシーへの準拠に不可欠です。 以下の規則は、各VPEタイプで許可されるモードと、リソースバインディングを適用できる条件を明確にします。

注 ：「スタンドアロンVPC VPE」とは、DNSハブおよび共有VPCトポロジーの一部ではないVPC内のVPEを指します。

  • ハブVPC VPE
    • ハブVPCのVPEは常に primary モードのみであるべきです。 per_resource_binding モードと disabled モードは許可されません。
    • DNS共有VPC内でローカルアクセスVPEを作成する前に、サービスに対してハブVPC VPEが存在している必要があります。
    • 同じサービスエンドポイントに対してローカルアクセスVPEが存在する限り、ハブVPC VPEはそのまま維持される必要があります。
  • スタンドアロンVPC VPE
    • スタンドアロンVPC VPEはモードとして disabled 設定可能であり、リソースバインディングを持つことができます。
    • スタンドアロンVPC VPEはモードとして primary を持ち、リソースバインディングを持たない。
    • スタンドアロンVPC VPEは、モードおよびリソース per_resource_binding バインディングを許可できます。
  • DNS共有VPC VPE
    • DNS共有VPC VPEはモードとして primary を持ち、リソースバインディングを持たない。
    • DNS共有VPC VPEはモードとして disabled 設定でき、リソースバインディングを維持できます。
    • DNS共有VPC VPEは、モードとしておよびリソース per_resource_binding バインディングを許可することができます。