内容

はじめに

問題

解決方法

関連情報

はじめに

このドキュメントでは、vManage Cloud on RampからAzureにクラウドゲートウェイを導入する際の一般的な問題の一部について説明します。

問題

Microsoft Azure用にCisco SD-WAN Cloud OnRampを構成すると、vManageグローバル設定でcEdgeデバイスのソフトウェアイメージ選択フィールドが空になり、Azure CloudにcEdgeインスタンスをデプロイできなくなります。

症状：

- vManage > Cloud OnRamp For Multicloud > Cloud Global SettingsのAzure Cloudフィールドで将来の実装が予定されているcEdgeのソフトウェアリリースは空白です。

- admin-techの初期ログに「Azure Error: "AuthorizationFailed"」と表示され、クライアントがMicrosoft.Network/networkVirtualApplianceSku/readアクションを実行するための承認を得ていないことを示すメッセージが表示されることがあります。

- vManageがNetwork Virtual Appliance(NVA)SKUを取得しようとしたとき、Admin-techログにはRetryError: HTTPSConnectionPool(...) Max retries exceeded with url: ... (Caused by Response Error “too many 502 error responses”)と表示されます。from management.azure.com

このログはパス/var/log/nms/containers/cloudagent-v2/cloudagent.log にあり、Azureアカウントで権限レベルが正しくないことが示されています。

[2025-07-18T04:14:53UTC+0000:140226169132800:ERROR:ca-v2:azure_resource_helper.py:351] {

"cloudType": "AZURE",

"accountId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",

"accountName": "<account_name>",

"region": "eastus2",

「タイプ」:「NVA_SKU」

}:Azureエラー： AuthorizationFailed

メッセージ：クライアント「yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyy」はオブジェクトID「yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyy」を持つが、アクション<<<<を実行する権限を持っていない。権限が十分でないことを確認する。

スコープ'/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Network/networkVirtualApplianceSkus/ciscosdwan'に対する'Microsoft.Network/networkVirtualApplianceSkus/read'またはスコープが無効です。アクセスが最近許可された場合は、資格情報を更新してください。

[2025-07-18T04:14:53UTC+0000:140226169132800:INFO:ca-v2:grpc_service.py:1011] GetAzureResourceInfo応答を返す： {

"mcCtxt": {

"tenantId": "<tenan name>",

"ctxId": "zzzzzzzz-zzzz-zzzz-zzzzzzzzzz"

},

「ステータス」: {

「コード」: 「OK」

}

}

このログは同じパス/var/log/nms/containers/cloudagent-v2/cloudagent.logにあります。これは、Azureで複数のリソースグループが構成されていることを示します。

[2025-09-01T04:07:35UTC+0000:140226169132800:ERROR:ca-v2:azure_resource_helper.py:351] {

"cloudType": "AZURE",

"accountId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",

"accountName": "<account_name>",

"region": "eastus2",

「タイプ」:「NVA_SKU」

}：要求でエラーが発生しました。RetryError: HTTPSConnectionPool(host='management.azure.com', port=443): Max retries exceeded with url: /subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Network/networkVirtualApplianceSkus/ciscosdwan?api-version=2020-05-01 (ResponseError('too many 502 error responses')が原因)

[2025-09-01T04:07:35UTC+0000:140226169132800:INFO:ca-v2:grpc_service.py:1011] GetAzureResourceInfo応答を返しています： {

"mcCtxt": {

"tenantId": "<tenan name>",

"ctxId": "zzzzzzzz-zzzz-zzzz-zzzzzzzzzz"

},

「ステータス」: {

「コード」: 「OK」

}

}

これは、vManageから、Azureのアカウントに特権レベルが割り当てられた後でタスクが配置されたときに表示される一般的なログの1つです。ただし、アカウントのタイプはエンタープライズではありません。

[2025年8月27日19:46:46 UTC]マルチクラウドゲートウェイの作成： <account name>

[2025年8月27日19:46:47 UTC]リソースグループ<account name>をクラウドから正常にフェッチしました

[2025年8月27日19:46:47 UTC]クラウド内のリソースグループ： <アカウント名>の下にストレージアカウントを作成しています

[2025年8月27日19:46:49 UTC]リソースグループの下のストレージアカウント： <アカウント名>がクラウドで作成できませんでした

[2025年8月27日19:46:49 UTC]追加情報： Azureエラー： RequestDisallowedByPolicy

メッセージ：リソース'lcoix7mu7rcrswtdkyj0jsyw'はポリシーによって許可されていません。ポリシー識別子： '[{"policyAssignment":{"name":"ASC Default （サブスクリプション： xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxx）","id":"/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Authorization/policyAssignments/SecurityCenterBuiltIn"},

"policyDefinition":{"name":"ストレージアカウントのパブリックアクセスは許可されません","id":"/providers/Microsoft.Authorization/policyDefinitions/yyyyyy-yyyy-yyyy-yyyyyyyy","version":"3.1.1"}, <<<<< Azureのアカウントタイプが正しくありません。サブスクリプションはエンタープライズである必要があります

"policySetDefinition":{"name":"Microsoft cloud security benchmark","id":"/providers/Microsoft.Authorization/policySetDefinitions/zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzz","version":"57.53.0"}}]'。

ターゲット： lcoix7mu7rcrswtdkyj0jsyw

Additional Information:

タイプ：PolicyViolation

情報： {

「evaluationDetails」: {

"evaluatedExpressions": [

{

"result": "True",

"expressionKind": "フィールド",

"式": "型",

"path": "type",

"expressionValue": "Microsoft.Storage/storageAccounts",

"targetValue": "Microsoft.Storage/storageAccounts",

「演算子」: 「等しい」

},

{

"result": "False",

"expressionKind": "フィールド",

"式": "id",

"path": "id",

"expressionValue": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxx/resourceGroups/<account name>/providers/Microsoft.Storage/storageAccounts/lcoix7mu7rcrswtdkyj0jsyw",

"targetValue": "/resourceGroups/aro-",

「演算子」: 「含む」

},

{

"result": "False",

"expressionKind": "フィールド",

"式": "Microsoft.Storage/storageAccounts/allowBlobPublicAccess",

"path": "properties.allowBlobPublicAccess",

"targetValue": "false",

「演算子」: 「等しい」

}

]

},

「policyDefinitionId」:「/providers/Microsoft.Authorization/policyDefinitions/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyy」

"policySetDefinitionId": "/providers/Microsoft.Authorization/policySetDefinitions/zzzzzzzz-zzzz-zzzz-zzzzzzzzzzzz",

"policyDefinitionReferenceId": "StorageDisallowPublicAccess",

"policySetDefinitionName": "zzzzzz-zzzz-zzzz-zzzz-zzzzzzzz",

"policySetDefinitionDisplayName": "Microsoftクラウドセキュリティベンチマーク",

"policySetDefinitionVersion": "57.53.0",

"policyDefinitionName": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyy",

"policyDefinitionDisplayName": "ストレージアカウントのパブリックアクセスは許可されません",

"policyDefinitionVersion": "3.1.1",

"policyDefinitionEffect": "deny",

"policyAssignmentId": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Authorization/policyAssignments/SecurityCenterBuiltIn",

"policyAssignmentName": "SecurityCenterBuiltIn",

"policyAssignmentDisplayName": "ASCデフォルト（サブスクリプション：xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxx）",

「policyAssignmentScope」:「/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx」、

"policyAssignmentParameters": {

"disallowPublicBlobAccessEffect": "deny"

},

"policyExemptionIds": [],

"policyEnrollmentIds": []

}

[2025年8月27日19:46:49 UTC]変更をロールバックしています…

[2025年8月27日19:46:49 UTC]ロールバック完了

[2025年8月27日19:46:49 UTC]ストレージアカウントの作成またはフェッチで内部エラーが発生しました

考えられる原因：

1. Azure権限が不足しています： Azureアカウントが正常にリンクされ、共同作成者の権限を持っている場合でも、vManageには特定の権限が必要です。ネットワーク仮想アプライアンスのSKUを読み取るには、SKUが欠落しているか、設定が正しくない可能性があります。

2. 複数のAzureリソースグループ： Azure vWAN統合に関するシスコのドキュメントでは、Cloud OnRampのセットアップで許可されるリソースグループは1つのみと指定されています。複数の古いリソースグループまたは冗長なリソースグループがあると、vManageが使用可能なSKUを照会しようとするときにAzureから502エラー応答が多すぎる可能性があります。

解決方法

1. Azureのアクセス許可を確認します：

- vManageにリンクされているAzureアプリケーションまたはサービスプリンシパルに、Network Virtual Appliance SKUを読み取るために必要なアクセス許可があることを確認してください。具体的なアクションは、Microsoft.Network/networkVirtualApplianceSku/readです。

- アクセス許可が最近付与または変更された場合は、vManageまたはAzure内の資格情報を更新します。

- これらの手順については、「Cisco Cloud onRamp for Multi-Cloud Azure Version2 Solution Guide」の「Check Azure Subscription Permissions」の項に記載されています。

2. Azureリソースグループの管理：

- Cisco SD-WAN Cloud OnRampに関連する古いリソースグループまたは冗長リソースグループのAzureサブスクリプションを確認します。

- シスコのドキュメントによると、Azure vWAN統合に許可されるリソースグループは1つだけです。古いリソースグループをすべて削除し、アクティブで必要なリソースグループだけが残るようにします。この操作は、エラーを解決するために確認されています。502エラー応答が多すぎます。

関連情報

- Cisco Catalyst SD-WAN Cloud OnRamp Configuration Guide, Cisco IOS XE Catalyst SD-WAN Release 17.x：このドキュメントでは、Azure vWAN統合の単一リソースグループ要件を含む、制限事項について詳しく説明します。

- Cisco Cloud onRamp for Multi-Cloudを使用してCisco SD-WAN FabricをAzureに拡張する：このガイドでは、Azureサブスクリプションの確認と統合のためのアクセス許可の詳細について説明します。

- 関連するAzure CLIの問題（502エラーに関するコンテキスト用）：シスコの直接のドキュメントではありませんが、このGitHubの問題はAzure APIからの同様の502エラー応答に関する洞察を提供します。これは、基礎となるAzureの動作に関連している可能性があります。