Beheben von ACI-Zugriffsrichtlinien: "übergeordnetes Element ist ein vom System generiertes Profil" Fehler

Einleitung

Hintergrundinformationen

In Version 5.2.4 und späteren Versionen wurde die Option "Per-Port-Konfiguration" (auch als "Schnittstellenkonfiguration" oder infraPortConfig bezeichnet) zur Vereinfachung der Zugriffsrichtlinien eingeführt.

Bisher verwendet die ACI vier Objekte (Switch-Profil, Switch-Auswahl, Schnittstellenprofil und Schnittstellenauswahl), um eine bestimmte Schnittstelle auf einem bestimmten Switch-Knoten auszuwählen. 

In diesem Dokument wird dieser Betriebsmodus als "Profil- und Selektorenkonfiguration" bezeichnet. Dieses Bild zeigt die Konfiguration:

Die Option für die Schnittstellenkonfiguration stellt die vier Objekte als ein einzelnes Objekt dar. Daher müssen Sie keine Switch-Profile, Switch-Selektoren, Schnittstellen-Profile und Schnittstellen-Selektoren verwenden oder warten.

Die Details sind im Konfigurationsleitfaden dokumentiert. Die neuesten Updates finden Sie im Konfigurationsleitfaden.
https://www.cisco.com/c/en/us/td/docs/dcn/aci/apic/6x/l2-configuration/cisco-apic-layer-2-networking-configuration-guide-60x/access-interfaces-60x.html

Wichtig ist, dass der Cisco APIC bei Verwendung der neuen Option "Schnittstellenkonfiguration" Switch-Profile und -Selektoren sowie Schnittstellenprofile und -Selektoren mit möglichst wenigen Objekten schreibgeschützt erstellt und verwaltet.

Diese Objekte, die der Cisco APIC automatisch erstellt, werden als "systemgenerierte Profile" bezeichnet.

Wenn Sie versuchen, die Systemprofilrichtlinie auf andere Weise zu bearbeiten, wird ein Fehler angezeigt. Es ist nicht möglich, <> zu löschen, da das übergeordnete Element ein vom System generiertes Profil ist. Es ist nicht möglich, <> zu löschen, da es sich um ein vom System generiertes MO handelt.

Spezifische Fehlerbeispiele:

Fehler 1. Fehler beim Löschen des Objekts:
Es ist nicht möglich, infraPortBlk uni/infra/accportprof-system-port-profile-node-600/hports-system-port-Selector-accbundle-DstSympo-typ-range/portblk-portblock1 unter infraAccPortP uni/infra/accportprof-system-port-profile-node-6 zu löschen. 00, da das übergeordnete Element ein vom System generiertes Profil ist.

Fehler 2. Fehler: 400:

Es ist nicht möglich, infraPortBlk uni/infra/accportprof-system-port-profile-node-600/hports-system-port-Selector-accbundle-DstSympo-typ-range/portblk-portblock1 unter infraAccPortP uni/infra/accportprof-system-port-profile-node-6 zu ändern. 00, da das übergeordnete Element ein vom System generiertes Profil ist.

Fehler 3. Fehler beim Löschen des Objekts:
Es ist nicht möglich, infraAccPortP uni/infra/accportprof-system-port-profile-node-600 zu löschen, da es sich um eine vom System generierte MO handelt.

Bearbeiten der vom System generierten Objekte

Die Bearbeitung dieser Nur-Lese-Schalterprofile und -Selektoren sowie Schnittstellenprofile und -Selektoren kann nur über den  Fabric > Access Policies > Interface Configurations.

Auf einem Lab-APIC mit 6.0.2h sind noch keine systemdefinierten Profile vorhanden. Bei einer Konfiguration kann es sich um eine "Green Field"-Bereitstellung handeln, oder Sie haben ein Upgrade von einer älteren Version auf Version 5.2.4 oder höher durchgeführt.

Schnittstelle auf Leaf 101 konfigurieren

Weisen Sie die Schnittstelle e1/8 auf Leaf 101 zu, um eine Schnittstellenrichtlinie mit 10 Gig zu verwenden.

Sie können die Schnittstelle entweder manuell zu einem vorhandenen Schnittstellenprofil hinzufügen, falls dieses bereits erstellt wurde, oder für diese Übung verwenden Sie den Schnellstart-Assistenten, wie in der Abbildung dargestellt.

Nach dem Speichern der Konfiguration werden, wie in diesem Bild dargestellt, andere Systemrichtlinien erstellt.

Sie sehen, dass der oben genannte Schritt erstellt wurde:
1. Switch-Profil > System-Node-Profil-101
2. Schnittstellenprofil > system-port-profile-node-101
3. Portauswahl > system-port-Selector-accportgrp-10gig_policy

Wenn Sie der Richtlinie mithilfe des Schnellstart-Assistenten eine weitere Schnittstelle E1/9 hinzufügen, enthalten die Systemblöcke "system-port-Selector-accportgrp-10gig_policy" auch E1/9.

Der Unterschied zwischen der mit dem Assistenten erstellten Richtlinie und einer benutzerdefinierten Richtlinie besteht darin, dass die Systemrichtlinie schreibgeschützt ist.

Sie können mit der rechten Maustaste auf eine Richtlinie klicken, um den Objektspeicherbrowser anzuzeigen und den Ersteller des Objekts anzuzeigen, wie im Bild dargestellt.

So bearbeiten Sie eine Systemprofilrichtlinie

Wenn Sie beispielsweise versuchen, den System-Port-Selektor e1/8 aus dem System-Port-Profil zu löschen, sehen Sie einen Fehler, wie in der Abbildung dargestellt:

Navigieren Sie zum Ändern eines systemgenerierten Profils zu  Fabric > Access Policies > Interface Configuration. 

Hier können Sie die Konfiguration für E1/8 löschen oder bearbeiten.

Wenn Sie die Richtlinie löschen, die dem Port e1/8 auf Leaf 101 zugeordnet ist, werden Sie zur Bestätigung aufgefordert, und die Systemrichtlinie wird entsprechend aktualisiert.

API-Ansatz zum Hinzufügen/Löschen der Schnittstellenkonfiguration

Schnittstellenrichtlinie "10gig_policy" zu Leaf 101 hinzufügen - E1/8

echo '{"infraInfra":{"attributes":{},"children":[{"infraPortConfig":{"attributes":{"assocGrp":"uni/infra/funcprof/accportgrp-10gig_policy","description":"","node":"101","card":"1","port":"8","role":"leaf","brkoutMap":"none","connectedFex":"unspecified","pcMember":""},"children":[]}}]}}' > interfaceconfig.json
icurl -X POST http://localhost:7777/api/mo/uni/infra.json -d @interfaceconfig.json

Schnittstellenrichtlinie "bcg1-3k" zu Leaf 101 - E1/10 hinzufügen

echo '{"infraInfra":{"attributes":{},"children":[{"infraPortConfig":{"attributes":{"assocGrp":"uni/infra/funcprof/accportgrp-bcg1-3k","description":"","node":"101","card":"1","port":"10","role":"leaf","brkoutMap":"none","connectedFex":"unspecified","pcMember":""},"children":[]}}]}}' > interfaceconfig1.json
icurl -X POST http://localhost:7777/api/mo/uni/infra.json -d @interfaceconfig1.json

Mit Leaf 101 verknüpfte Schnittstellenkonfiguration löschen - E1/10

echo '{"infraInfra":{"attributes":{},"children":[{"infraPortConfig":{"attributes":{"dn":"uni/infra/portconfnode-101-card-1-port-10-sub-0","status":"deleted"},"children":[]}}]}}' > interfaceconfig_delete1.json
icurl -X POST http://localhost:7777/api/mo/uni/infra.json -d @interfaceconfig_delete1.json

Schnittstellenrichtlinie "bcg1-3k" zu Leaf 102 hinzufügen - E1/14

Vor dieser Hinzufügung existiert weder ein System-Knoten-Profil für Switch 102 noch ein System-Port-Profil. In diesem Beitrag werden beide Richtlinien erstellt.

echo '{"infraInfra":{"attributes":{},"children":[{"infraPortConfig":{"attributes":{"assocGrp":"uni/infra/funcprof/accportgrp-bcg1-3k","description":"","node":"102","card":"1","port":"14","role":"leaf","brkoutMap":"none","connectedFex":"unspecified","pcMember":""},"children":[]}}]}}' > interfaceconfig2.json
icurl -X POST http://localhost:7777/api/mo/uni/infra.json -d @interfaceconfig2.json

Zusammenfassung

Die Option "Per-Port-Konfiguration" vereinfacht die Verwaltung von Zugriffsrichtlinien, ohne dass verschiedene Profile und Selektoren erstellt werden müssen.

Bekannte Probleme/Fehler

Cisco Bug-ID CSCwd83295 - ACI: VLANs werden nach der Migration zu infraPortConfig unbegrenzt von Leaf-Schnittstellen entfernt