# Amazon EC2 で使用するアドレス範囲をオンボードする
BYOIP のオンボーディングプロセスにはニーズに応じて次のタスクが含まれます。
**Topics**
+ [AWS でパブリックにアドバタイズ可能なアドレス範囲をプロビジョニングする](#byoip-provision)
+ [パブリックにアドバタイズ可能でない IPv6 アドレス範囲をプロビジョニングする](#byoip-provision-non-public)
+ [AWS を通じてアドレス範囲をアドバタイズする](#byoip-advertise)
+ [アドレス範囲のプロビジョニング解除](#byoip-deprovision)
+ [BYOIP を検証する](#byoip-validation)
## AWS でパブリックにアドバタイズ可能なアドレス範囲をプロビジョニングする
AWS で使用するアドレス範囲をプロビジョニングする場合は当該範囲の管理者であることを証明し、Amazon による当該範囲のアドバタイズを承認します。また、署名済みの認可メッセージを使用して、アドレス範囲を管理していることを確認します。このメッセージはX.509 証明書で RDAP レコードを更新するときに使用した自己署名 X.509 キーペアで署名されます。AWS にはRIR に提示する暗号署名付き認可メッセージが必要です。RIR はRDAP に追加した証明書に対して署名を認証し、ROA に対して認可の詳細をチェックします。
**アドレス範囲をプロビジョニングするには**
1.
**メッセージを構成する**
プレーンテキスト認可メッセージを作成します。メッセージの形式は以下のとおりです。日付はメッセージの有効期限日になります。
```
1|aws|{{account}}|{{cidr}}|{{YYYYMMDD}}|SHA256|RSAPSS
```
アカウント番号、アドレス範囲、および有効期限日を独自の値に置き換え、次のようなメッセージを作成します。
```
text_message="1|aws|0123456789AB|198.51.100.0/24|20211231|SHA256|RSAPSS"
```
これは ROA メッセージと外観が似ているので、混同しないでください。
1.
**メッセージに署名する**
以前に作成したプライベートキーを使用して、プレーンテキストメッセージに署名します。このコマンドが返す署名は長い文字列となります。また、次の手順で使用する必要があります。
**重要**
このコマンドをコピーして貼り付けることをお勧めします。メッセージの内容を除いて、いずれの値も変更または置換しないでください。
```
signed_message=$( echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")
```
1.
**アドレスのプロビジョニング**
AWS CLI[provision-byoip-cidr](https://docs.aws.amazon.com/cli/latest/reference/ec2/provision-byoip-cidr.html) コマンドを使用して、アドレス範囲をプロビジョニングします。`--cidr-authorization-context` オプションは以前に作成したメッセージと署名の文字列を使用します。
**重要**
「[Configure the AWS CLI](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-configure.html)」で設定した `Default region name` とは異なるリージョンに BYOIP 範囲をプロビジョニングする場合はプロビジョニング先の AWS リージョンを指定する必要があります。
```
aws ec2 provision-byoip-cidr --cidr {{address-range}} --cidr-authorization-context Message="$text_message",Signature="$signed_message" --region {{us-east-1}}
```
アドレス範囲のプロビジョニングは非同期オペレーションであるため、呼び出しはすぐに戻りますが、アドレスの範囲はそのステータスが `pending-provision` から `provisioned` に変わるまで使用できません。
1.
**進行状況をモニタリングする**
ほとんどのプロビジョニングは 2 時間以内に完了しますが、パブリックにアドバタイズ可能な範囲のプロビジョニングプロセスが完了するまでに最大 1 週間かかる場合があります。この例のように、[describe-byoip-cidrs](https://docs.aws.amazon.com/cli/latest/reference/ec2/describe-byoip-cidrs.html) コマンドを使用して進行状況をモニタリングします。
```
aws ec2 describe-byoip-cidrs --max-results 5 --region {{us-east-1}}
```
プロビジョニング中に問題が発生してステータスが `failed-provision` になった場合は問題の解決後に `provision-byoip-cidr` コマンドを再度実行する必要があります。
## パブリックにアドバタイズ可能でない IPv6 アドレス範囲をプロビジョニングする
デフォルトではアドレス範囲はインターネットにパブリックにアドバタイズ可能になるようにプロビジョニングされます。パブリックにアドバタイズ可能でない IPv6 アドレス範囲をプロビジョニングできます。パブリックにアドバタイズできないルートの場合、プロビジョニングプロセスは通常、数分以内に完了します。非パブリックアドレス範囲の IPv6 CIDR ブロックを VPC に関連付ける場合、IPv6 CIDR には[Direct Connect](https://docs.aws.amazon.com/directconnect/latest/UserGuide/Welcome.html)、[AWS Site-to-Site VPN](https://docs.aws.amazon.com/vpn/latest/s2svpn/VPC_VPN.html)、[Amazon VPC トランジットゲートウェイ](https://docs.aws.amazon.com/vpc/latest/tgw/what-is-transit-gateway.html)などの IPv6 をサポートするハイブリッド接続オプションを介してのみアクセスできます。
非パブリックアドレス範囲をプロビジョニングする場合、ROA は必要ありません。
**重要**
ユーザーはプロビジョニング中にアドレス範囲がパブリックにアドバタイズ可能かどうかのみ指定できます。アドバタイズ可能なステータスは後で変更できません。
Amazon VPC は[ユニークローカルアドレス](https://en.wikipedia.org/wiki/Unique_local_address) (ULA) CIDR をサポートしていません。すべての VPC には一意の IPv6 CIDR が必要です。2 つの VPC が同じ IPv6 CIDR 範囲を持つことはできません。
パブリックにアドバタイズ可能でない IPv6 アドレス範囲をプロビジョニングするには次の [provision-byoip-cidr](https://docs.aws.amazon.com/cli/latest/reference/ec2/provision-byoip-cidr.html) コマンドを使用します。
```
aws ec2 provision-byoip-cidr --cidr {{address-range}} --cidr-authorization-context Message="$text_message",Signature="$signed_message" --no-publicly-advertisable --region {{us-east-1}}
```
## AWS を通じてアドレス範囲をアドバタイズする
アドレス範囲をプロビジョニングすると、公開することができるようになります。プロビジョンした正確なアドレス範囲をアドバタイズする必要があります。プロビジョンしたアドレス範囲の一部のみアドバタイズすることはできません。
パブリックにアドバタイズされない IPv6 アドレス範囲をプロビジョニングした場合、このステップを実行する必要はありません。
AWS からアドバタイズする前に、アドレス範囲またはその範囲の一部を他の場所からアドバタイズするのを停止することをお勧めします。他の場所から IP アドレス範囲またはその一部をアドバタイズし続ける場合は当社でその IP アドレス範囲を高い信頼性でサポートしたり、問題をトラブルシューティングすることができなくなります。具体的にはそのアドレス範囲またはその範囲の一部へのトラフィックが当社のネットワークに入るのを保証できません。
ダウンタイムを最小限に抑えるにはアドレス範囲がアドバタイズされる前にご使用のアドレスプールからアドレスを使用するように AWS リソースを設定してから、同時に現在の場所からのアドバタイズを停止して、AWS からのアドバタイズを開始します。アドレスプールからの Elastic IP アドレスの割り当ての詳細については[Elastic IP アドレスを割り当てる](working-with-eips.md#using-instance-addressing-eips-allocating)を参照してください。
**制限事項**
+ アドレス範囲が毎回異なる場合でも、**advertise-byoip-cidr** コマンドは 10 秒ごとに最大 1 回しか実行できません。
+ アドレス範囲が毎回異なる場合でも、**withdraw-byoip-cidr** コマンドは 10 秒ごとに最大 1 回しか実行できません。
アドレス範囲を公開するには以下の[advertise-byoip-cidr](https://docs.aws.amazon.com/cli/latest/reference/ec2/advertise-byoip-cidr.html)コマンドを使用します。
```
aws ec2 advertise-byoip-cidr --cidr {{address-range}} --region {{us-east-1}}
```
アドレス範囲の公開を停止するには以下の[withdraw-byoip-cidr](https://docs.aws.amazon.com/cli/latest/reference/ec2/withdraw-byoip-cidr.html)コマンドを使用します。
```
aws ec2 withdraw-byoip-cidr --cidr {{address-range}} --region {{us-east-1}}
```
**注記**
`eu-central-1-ist-1` ローカルゾーンでは、アドバタイズと取り消しは非同期です。アドレス範囲は、オペレーションが完了する前に `pending-advertising` または `pending-withdrawal` の状態になります。詳細については、「[ローカルゾーンのアベイラビリティー](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ec2-byoip.html#byoip-zone-avail)」を参照してください。
## アドレス範囲のプロビジョニング解除
AWS でアドレス範囲の使用を停止するにはまず Elastic IP アドレスをリリースし、アドレスプールからまだ割り当てられている IPv6 CIDR ブロックの関連付けを解除します。次に、アドレス範囲のアドバタイズを停止し、最後にアドレス範囲のプロビジョニングを解除します。
アドレス範囲のプロビジョニングを部分的に解除することはできません。AWS でより具体的なアドレス範囲を使用する場合はアドレス範囲全体のプロビジョニングを解除し、より具体的なアドレス範囲をプロビジョニングします。
(IPv4) 各 Elastic IP アドレスをリリースするには以下の [release-address](https://docs.aws.amazon.com/cli/latest/reference/ec2/release-address.html) コマンドを使用します。
```
aws ec2 release-address --allocation-id {{eipalloc-12345678abcabcabc}} --region {{us-east-1}}
```
(IPv6) IPv6 CIDR ブロックの関連付けを解除するには次の [disassociate-vpc-cidr-block](https://docs.aws.amazon.com/cli/latest/reference/ec2/disassociate-vpc-cidr-block.html) コマンドを使用します。
```
aws ec2 disassociate-vpc-cidr-block --association-id {{vpc-cidr-assoc-12345abcd1234abc1}} --region {{us-east-1}}
```
アドレス範囲の公開を停止するには以下の[withdraw-byoip-cidr](https://docs.aws.amazon.com/cli/latest/reference/ec2/withdraw-byoip-cidr.html)コマンドを使用します。
```
aws ec2 withdraw-byoip-cidr --cidr {{address-range}} --region {{us-east-1}}
```
アドレス範囲のプロビジョニングを解除するには以下の[deprovision-byoip-cidr](https://docs.aws.amazon.com/cli/latest/reference/ec2/deprovision-byoip-cidr.html)コマンドを使用します。
```
aws ec2 deprovision-byoip-cidr --cidr {{address-range}} --region {{us-east-1}}
```
アドレス範囲のプロビジョニングを解除するには最長 1 日かかります。
## BYOIP を検証する
1. 自己署名 x.509 キーペアを検証する
whois コマンドで、証明書がアップロードされており、かつ、有効であることを確認します。
ARIN の場合、`whois -h whois.arin.net r + {{2001:0DB8:6172::/48}}` を使用してアドレス範囲の RDAP レコードを検索します。コマンド出力の `NetRange` (ネットワーク範囲) については「`Public Comments`」セクションを確認してください。証明書はアドレス範囲の「`Public Comments`」セクションに追加する必要があります。
次のコマンドを使用して、証明書を含む `Public Comments` を検査できます。
```
whois -h whois.arin.net r + {{2001:0DB8:6172::/48}} | grep Comments | grep BEGIN
```
これにより、キーの内容を含む出力が返されます。これは次のようになります。
```
Public Comments:
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
```
RIPE の場合、`whois -r -h whois.ripe.net {{2001:0DB8:7269::/48}}` を使用してアドレス範囲の RDAP レコードを検索します。コマンド出力の `inetnum` オブジェクト (ネットワーク範囲) については「`descr`」セクションを確認してください。証明書はアドレス範囲の新しい `descr` フィールドとして追加する必要があります。
次のコマンドを使用して、証明書を含む `descr` を検査できます。
```
whois -r -h whois.ripe.net {{2001:0DB8:7269::/48}} | grep descr | grep BEGIN
```
これにより、キーの内容を含む出力が返されます。これは次のようになります。
```
descr:
-----BEGIN CERTIFICATE-----MIID1zCCAr+gAwIBAgIUBkRPNSLrPqbRAFP8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-----END CERTIFICATE-----
```
APNIC の場合、`whois -h whois.apnic.net {{2001:0DB8:6170::/48}}` を使用して BYOIP アドレス範囲の RDAP レコードを検索します。コマンド出力の `inetnum` オブジェクト (ネットワーク範囲) については「`remarks`」セクションを確認してください。証明書はアドレス範囲の新しい `remarks` フィールドとして追加する必要があります。
次のコマンドを使用して、証明書を含む `remarks` を検査できます。
```
whois -h whois.apnic.net {{2001:0DB8:6170::/48}} | grep remarks | grep BEGIN
```
これにより、キーの内容を含む出力が返されます。これは次のようになります。
```
remarks:
-----BEGIN CERTIFICATE-----
MIID1zCCAr+gAwIBAgIUBkRPNSLrPqbRAFP8RDAHSP+I1TowDQYJKoZIhvcNAQE
LBQAwezELMAkGA1UEBhMCTloxETAPBgNVBAgMCEF1Y2tsYW5kMREwDwYDVQQHDA
hBdWNrbGFuZDEcMBoGA1UECgwTQW1hem9uIFdlYiBTZXJ2aWNlczETMBEGA1UEC
wwKQllPSVAgRGVtbzETMBEGA1UEAwwKQllPSVAgRGVtbzAeFw0yMTEyMDcyMDI0
NTRaFw0yMjEyMDcyMDI0NTRaMHsxCzAJBgNVBAYTAk5aMREwDwYDVQQIDAhBdWN
rbGFuZDERMA8GA1UEBwwIQXVja2xhbmQxHDAaBgNVBAoME0FtYXpvbiBXZWIgU2
VydmljZXMxEzARBgNVBAsMCkJZT0lQIERlbW8xEzARBgNVBAMMCkJZT0lQIERlb
W8wggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQCfmacvDp0wZ0ceiXXc
R/q27mHI/U5HKt7SST4X2eAqufR9wXkfNanAEskgAseyFypwEEQr4CJijI/5hp9
prh+jsWHWwkFRoBRR9FBtwcU/45XDXLga7D3stsI5QesHVRwOaXUdprAnndaTug
mDPkD0vrl475JWDSIm+PUxGWLy+60aBqiaZq35wU/x+wXlAqBXg4MZK2KoUu27k
Yt2zhmy0S7Ky+oRfRJ9QbAiSu/RwhQbh5Mkp1ZnVIc7NqnhdeIW48QaYjhMlUEf
xdaqYUinzz8KpjfADZ4Hvqj9jWZ/eXo/9b2rGlHWkJsbhr0VEUyAGu1bwkgcdww
3A7NjOxQbAgMBAAGjUzBRMB0GA1UdDgQWBBStFyujN6SYBr2glHpGt0XGF7GbGT
AfBgNVHSMEGDAWgBStFyujN6SYBr2glHpGt0XGF7GbGTAPBgNVHRMBAf8EBTADA
QH/MA0GCSqGSIb3DQEBCwUAA4IBAQBX6nn6YLhz521lfyVfxY0t6o3410bQAeAF
08ud+ICtmQ4IO4A4B7zV3zIVYr0clrOOaFyLxngwMYN0XY5tVhDQqk4/gmDNEKS
Zy2QkX4Eg0YUWVzOyt6fPzjOvJLcsqc1hcF9wySL507XQz76Uk5cFypBOzbnk35
UkWrzA9KK97cXckfIESgK/k1N4ecwxwG6VQ8mBGqVpPpey+dXpzzzv1iBKN/VY4
ydjgH/LBfdTsVarmmy2vtWBxwrqkFvpdhSGCvRDl/qdO/GIDJi77dmZWkh/ic90
MNk1f38gs1jrCj8lThoar17Uo9y/Q5qJIsoNPyQrJRzqFU9F3FBjiPJF
-----END CERTIFICATE-----
```
1. ROA オブジェクトの作成を検証する
RIPEstat データ API コマンドを使用して、ROA オブジェクトが正常に作成されたことを検証します。Amazon ASN 16509 および 14618、ならびにそのアドレス範囲をアドバタイズすることが現在承認されている ASN に対して、アドレス範囲をテストしてください。
次のコマンドを使用して、アドレス範囲で異なる Amazon ASN の ROA オブジェクトを検査できます。
```
curl --location --request GET "https://stat.ripe.net/data/rpki-validation/data.json?resource={{ASN}}&prefix={{CIDR}}
```
この出力例ではレスポンスには、Amazon ASN 16509 について `"status": "valid"` の結果があります。これはアドレス範囲についての ROA オブジェクトが正常に作成されたことを示します。
```
{
"messages": [],
"see_also": [],
"version": "0.3",
"data_call_name": "rpki-validation",
"data_call_status": "supported",
"cached": false,
"data": {
"validating_roas": [
{
"origin": "16509",
"prefix": "2001:0DB8::/32",
"max_length": 48,
"validity": "valid"
},
{
"origin": "14618",
"prefix": "2001:0DB8::/32",
"max_length": 48,
"validity": "invalid_asn"
},
{
"origin": "64496",
"prefix": "2001:0DB8::/32",
"max_length": 48,
"validity": "invalid_asn"
}
],
"status": "valid",
"validator": "routinator",
"resource": "16509",
"prefix": "2001:0DB8::/32"
},
"query_id": "20230224152430-81e6384e-21ba-4a86-852a-31850787105f",
"process_time": 58,
"server_id": "app116",
"build_version": "live.2023.2.1.142",
"status": "ok",
"status_code": 200,
"time": "2023-02-24T15:24:30.773654"
}
```
`“unknown”` の状態はアドレス範囲についての ROA オブジェクトが作成されていないことを示します。`“invalid_asn”` の状態はアドレス範囲についての ROA オブジェクトが正常に作成されなかったことを示します。