Chapter1. 新機能および変更された機能に関する情報

- 新機能および変更された機能に関する情報

新機能および変更された機能に関する情報

次の表は、現行リリースに至るまでにガイドの編成と特徴に加えられた主な変更点の概要を示しています。ただし、今リリースまでのガイドにおける変更点や新機能の一部は表に記載されていません。

Cisco クラウド APIC リリース 5.2(3) の新機能と変更された動作

機能または変更

説明

参照先

サイトあたりのリージョン数の増加。

Cisco Cloud APIC リリース 25.0(2) 以降、サイトごとに最大 16 のリージョンを持つことができます。

Cisco クラウド APIC リリース 25.0(1) の新機能と変更された動作

機能または変更

説明

参照先

Cisco Cloud APIC のリリース番号の変更

リリース 25.0(1) 以降では、Cisco Cloud APIC のリリース番号が変更されています。Cisco Cloud APIC のリリース順序は次のとおりです。

- 4.1(x)（AWS のみのサポート）

- 4.2(x)

- 5.0(x)

- 5.1(x)

- 5.2(x)

- 25.0(x)（このリリース）

外部接続オプションの更新

リリース 25.0(1) 以降、インフラ VPC/VNet CSR およびクラウド ネイティブ ルータから任意の外部デバイス (別のクラウド ネイティブ ルータを含む) への IPv4 接続がサポートされるようになりました。さらに、同じクラウド内のクラウド ネイティブ ルータ間、または 2 つの異なるクラウド ベンダー間の外部接続のサポートも利用できます。

ルーティングとセキュリティ ポリシーを個別に構成するためのサポート

リリース 25.0(1) より前のリリースでは、ルーティング ポリシーとセキュリティ ポリシーはコントラクトによって緊密に結合されていました。リリース 25.0(1) 以降、ルーティングとセキュリティ ポリシーを個別に構成するためのサポートが利用できるようになりました。

Chapter2. 概要

- Extending the Cisco ACI Fabric to the Public Cloud

- Components of Extending Cisco ACI Fabric to the Public Cloud

- Changes in APIC Release 4.2(1)

- AWS Organizations と組織のユーザ テナントのサポート

- ポリシーの用語

- Cisco Cloud APIC Licensing

- Cisco Cloud APIC-Related Documentation

Extending the Cisco ACI Fabric to the Public Cloud

Cisco Application Centric Infrastructure (ACI) customers who own a private cloud sometimes may run part of their workload on a public cloud. However, migrating workload to the public cloud requires working with a different interface and learning different ways to set up connectivity and define security policies. Meeting these challenges can result in increased operational cost and loss of consistency.

However, beginning in Cisco Application Policy Infrastructure Controller (APIC) Release 4.1(1), Cisco ACI can use Cisco Cloud APIC to extend a Cisco ACI multi-site fabric to Amazon Web Services (AWS) public clouds.

Beginning in APIC Release 4.2(1), Cisco ACI can also use Cisco Cloud APIC to extend a Cisco ACI multi-site fabric to Microsoft Azure public clouds.

What Cisco Cloud APIC Is

Cisco Cloud APIC is a software deployment of Cisco APIC that can be deployed on a cloud-based virtual machine (VM). Cisco Cloud APIC provides the following features:

- Provides an interface that is similar to the existing Cisco APIC to interact with the Amazon AWS or Microsoft Azure public clouds.

- Automates the deployment and configuration of cloud deployment.

- Configures the cloud router control plane.

- Configures the data path between the on-premises Cisco ACI fabric and the cloud site.

- Translates Cisco ACI policies to cloud native policies.

- Discovers endpoints.

How Users Can Benefit from Cisco ACI Extension to the Public Cloud

Cisco Cloud APIC is a key part of Cisco ACI extension to the public cloud. Cisco Cloud APIC provides consistent policy, security, and analytics for workloads deployed either on or across on-premises data centers and the public cloud.

Cisco ACI extension to the public cloud also provides an automated connection between on-premises data centers and the public cloud with easy provisioning and monitoring. It also provides a single point for managing, monitoring, and troubleshooting policies across on-premises data centers and the public cloud.

AWS GovCloud Support

Support for GovCloud varies on Cisco Cloud APIC, depending on the release:

- For release 4.1(2) up to release 5.0(1), Cisco Cloud APIC supports AWS GovCloud only for the us-gov-west region. The us-gov-east region is not supported in these releases.

- For release 5.0(1) up to release 5.2(1), Cisco Cloud APIC supports AWS GovCloud in the us-gov-west and us-gov-east regions. However, Cisco Cloud Service routers (CSRs) can only be deployed in the us-gov-west region. If you want to have intersite connectivity, we recommend that you deploy the Cisco Cloud APIC in the us-gov-west region only.

- For release 5.2(1), Cisco Cloud APIC continues to support AWS GovCloud in the us-gov-west and us-gov-east regions, as it did previously. However, beginning with release 5.2(1), Cisco CSRs can also be deployed in the us-gov-east region in addition to the previous support for deployment in the us-gov-west region.

Note that these areas have a unique configuration when you deploy a Cisco Cloud APIC on AWS GovCloud:

- You will subscribe to the CSR on the commercial account.

- You will subscribe to the Cisco Cloud APIC on the commercial account.

- You will launch the Cloud Formation template from the commercial account, which redirects the request to AWS GovCloud for the login.

Components of Extending Cisco ACI Fabric to the Public Cloud

Several components—each with its specific role—are required to extend the Cisco Application Centric Infrastructure (ACI) Multi-Site fabric to the public cloud.

The following illustration shows the architecture of Cisco Cloud APIC.

Cisco Cloud APIC Architecture

On-Premises Data Center Components

Cisco ACI Fabric and Cisco APIC

The Cisco ACI allows application requirements to define the network. This architecture simplifies, optimizes, and accelerates the entire application deployment life cycle. Cisco Application Policy Infrastructure Controller (APIC) is a key component of Cisco ACI. It enables applications to directly connect with a secure, shared, high-performance resource pool that includes network, compute, and storage capabilities.

Cisco ACI Multi-Site and Cisco ACI Multi-Site Orchestrator

Cisco ACI Multi-Site is an architecture that allows the application to define the networking requirements in a programmatic way. This architecture simplifies, optimizes, and accelerates application deployment. You must have Cisco ACI Multi-Site installed to use Cisco Cloud APIC to extend the fabric into the public cloud.

For more information, see the Cisco ACI Multi-Site documentation on Cisco.com and the section Cisco ACI マルチサイトを介した Cisco Cloud APIC の管理 in this guide.

Cisco ACI Multi-Site Orchestrator (MSO) manages multiple instances of Cisco Application Policy Infrastructure Controller (APICs) in multiple fabrics (sites).

When extending the Cisco ACI fabric to the public cloud, Cisco ACI Multi-Site Orchestrator creates connectivity between the on-premises data center and the public cloud. Use Cisco ACI Multi-Site to create tenants across the on-premises data center and the public cloud.

Note

You must configure the on-premises Cisco ACI fabric: Create a Fabric Ext Connection Policy and define the overlay TEP and other information required for Multi-Site. You also must add the on-premises Cisco ACI fabric to the Multi-Site architecture. See the Cisco ACI Multi-Site Configuration Guide on Cisco.com.

For more information, see the Cisco ACI Multi-Site documentation on Cisco.com and the section Cisco ACI マルチサイトを介した Cisco Cloud APIC の管理 in this guide.

IP Security (IPsec) Router

A router capable of Internet Protocol Security (IPsec) is required to establish IPsec connections between the on-premises site and the public cloud site.

AWS Public Cloud Components

Cisco Cloud APIC

Cisco Cloud APIC performs the following actions:

- Defines a site on the public cloud, provisions the cloud infra virtual private clouds (VPCs) or virtual networks (VNETs) and manages the Cisco Cloud Services Router (CSR) across all regions.

- Renders the Cisco ACI policy model in the public cloud, and manages cloud health.

For more information, see Cisco Cloud APIC Release Notes. Also see the sections AWS で Cloud APIC を導入する and セットアップ ウィザードを使用した Cisco Cloud APIC の設定 in this guide.

Cisco Cloud Services Router

The Cisco Cloud Services Router (CSR) is a virtual router that delivers comprehensive WAN gateway and network services into virtual and cloud environments. The CSR enables enterprises to extend their WANs into provider-hosted clouds. Two CSRs are required for Cisco Cloud APIC solution.

The type of CSR that you will use with Cisco Cloud APIC varies depending on the release:

- For releases up to 25.0(3), Cisco Cloud APIC uses the Cisco Cloud Services Router 1000v as the cloud services router. For more information on this CSR, see the Cisco CSR 1000v documentation.

- For release 25.0(3) and later, Cisco Cloud APIC uses the Cisco Catalyst 8000V as the cloud services router. For more information on this CSR, see the Cisco CSR 8000v documentation.

AWS public cloud

AWS is a cloud-based platform that provides on-demand services such as compute, storage, network, and databases. Subscribers to AWS have access through the Internet to virtual computers where they can run their workloads.

For more information, see the documentation on the AWS website.

Connections Between the On-Premises Data Center and the Public Cloud

IPsec VPN

You need Internet connectivity with a VPN from the IPsec router, including a publicly routable IP address and with sufficient bandwidth for AWS or Microsoft Azure connectivity.

Management Connection

You need a management connection between the Multi-Site Orchestrator in the on-premises data center and Cisco Cloud APIC in the public cloud.

Changes in APIC Release 4.2(1)

As part of the initial release of the Cisco Cloud APIC in APIC Release 4.1(1), support was provided for the initial release of on-premises-to-cloud connectivity, or Hybrid-Cloud, where you could use the Cisco ACI マルチサイト オーケストレータ to extend an on-premises Cisco ACI site to Amazon AWS public clouds.

Beginning in APIC Release 4.2(1), you can now use the Cisco ACI マルチサイト オーケストレータ to extend an on-premises Cisco ACI site to Microsoft Azure public clouds.

With the expanded functionality available in this release, you can also use the Cisco ACI マルチサイト オーケストレータ to establish connectivity between the following components:

- On-premises-to-cloud connectivity:

- Connectivity for these public cloud sites:

- On-premises Cisco ACI and Amazon AWS public cloud sites (available previously in APIC Release 4.1[1])

- On-premises Cisco ACI and Microsoft Azure public cloud sites

- On-premises-to-single cloud site connectivity (Hybrid-Cloud)

- On-premises-to-multiple cloud sites connectivity (Hybrid Multi-Cloud)

- Cloud site-to-cloud site connectivity (Multi-Cloud):

- Between Amazon AWS public cloud sites and Microsoft Azure public cloud sites

- Between Amazon AWS public cloud sites (Amazon AWS public cloud site-to-Amazon AWS public cloud site)

- Between Microsoft Azure public cloud sites (Microsoft Azure public cloud site-to-Microsoft Azure public cloud site)

In addition, support is also available for the single-cloud configuration (Cloud First).

AWS Organizations と組織のユーザ テナントのサポート

組織内の複数のアカウントを使用すると、さまざまなアカウントのアクセスポリシーとアクセス許可を個別に制御するのは簡単ではありませんが、組織内の組織レベルまたは組織内のサブ組織レベルで簡単に行うことができます。

企業では、AWS Organizations を使用して、次に説明するように、組織内で複数の AWS アカウントを管理することができます。

https://aws.amazon.com/organizations/

組織内のアカウント (またはサブアカウント) のアクセスポリシーの管理は、組織内のアカウント階層のルートにある組織のマスターアカウントによって行われます。次の図は、組織におけるアカウントの設定例を示しています。

AWS アカウントが AWS Organizations の一部になる方法は 2 つあります。

- 作成: マスターアカウント内の既存の組織内では、AWS GUI または AWS API を使用して、AWS Organizations に自動的に含まれる AWS アカウントを作成できます。

- 招待: 組織の外部で作成されたが、組織に参加する必要があるアカウントの場合は、マスター アカウントからアカウント所有者に招待を送信する必要があります。招待状に同意すると、招待されたアカウントは組織内のサブアカウントになります。

AWS Organizations を使用して AWS アカウントを統合および管理する場合は、通常のように、AWS Organizations を使用して組織を設定し、作成されたまたは招待されたアカウントを追加します。詳細については、「組織の作成」を参照してください。

作成済みまたは招待されたアカウントを AWS を介して組織に追加したら、Cloud APIC が AWS を通じてCloud APIC行った AWS Organizations の設定を認識するように、必要な設定を行います。

- を使用して AWS Organizations アカウントのポリシーを管理するCloud APIC場合はCloud APIC 、をマスターアカウントに展開する必要があります。にCloud APICAWS で Cloud APIC を導入する記載されている手順を使用してを AWS に展開する場合はCloud APIC 、このCloud APIC AWS 組織のマスターアカウントに (インフラテナント) を導入していることを確認してください。

- Cloud APIC は、AWS Organizations テナントのポリシーを管理するために、OrganizationAccountAccessRole IAM ロールを使用します。

- マスター アカウント内の既存の組織内で AWS アカウントを作成した場合は、その作成した AWS アカウントに組織の OrganizationAccountAccessRole IAM ロールが自動的に割り当てられます。この場合、AWS のOrganizationAccountAccessRole の IAM ロールを手動で設定する必要はありません。

- マスター アカウントが組織に参加するために既存の AWS アカウントを招待した場合は、AWS でOrganizationAccountAccessRole IAM ロールを手動で設定する必要があります。組織テナントの AWS で OrganizationAccountAccessRole IAM ロールを設定し、Cloud APIC に関連する権限があることを確認します。

OrganizationAccountAccessRole IAM ロールは、組織またはアカウントに使用される SCP (サービス制御ポリシー) とともに、組織またはアカウントに対して、組織またはアカウントに使用する SCP (サービス制御ポリシー) とともに、組織のポリシーを管理するために Cloud APIC に必要な最小限の権限が付与されている必要があります。アクセス ポリシーの要件は、信頼できるテナントまたは信頼できないテナントの要件と同じです。

詳細については、次の URLl にある『 Cisco Cloud APIC for AWS ユーザ ガイド, Version 4.2 (x) 以降 』の「テナント AWS プロバイダの設定」の項を参照してください。

https://www.cisco.com/c/en/us/support/cloud-systems-management/cloud-application-policy-infrastructure-controller/products-installation-and-configuration-guides-list.html

- その後、共有テナントの設定で説明されている手順を使用して、Cloud APIC GUI を介してテナントに組織タグを割り当てることができます。

ポリシーの用語

Cisco Cloud APIC の主要な機能は、パブリック クラウドのネイティブ コンストラクトへの Cisco Application Centric Infrastructure（ACI）ポリシーの変換です。

次の表に、Amazon Web Services（AWS）のポリシー用語と同等の用語を示します。Cisco ACI

Cisco ACI

AWS

テナント

ユーザー アカウント

AAA ユーザ、セキュリティ ドメイン

Identity and Access Management（IAM）

Virtual Routing and Forwarding（VRF）

VPC

BD サブネット

Virtual Private Cloud（VPC）のサブネット CIDR

ACI インフラ（または ACI インフラ テナント）

VPC（名前は Infra VPC）Cloud APIC

契約、フィルタ

セキュリティ グループ ルールの作成

タブー

ネットワーク アクセス リスト

EPG

セキュリティ グループ

EP から EPG へのマッピング

タグ、ラベル

エンドポイント

EC2 インスタンスのネットワーク アダプタ

Cisco Cloud APIC Licensing

This section lists the licensing requirements to use Cisco Cloud Application Policy Infrastructure Controller (APIC).

Cisco Cloud APIC and Cisco Cloud Services Router

Cisco licenses Cisco Cloud APIC by each virtual machine (VM) instance that it manages. The Cisco Cloud APIC binary images are available on Amazon Web Services (AWS) Marketplace and support the Bring Your Own License (BYOL) model.

The Essential Cloud tier includes licenses for a single policy domain or a single instance of Cisco Cloud APIC on a public cloud. If you deploy multiple instances of Cisco Cloud APIC, buy an Advantage Cloud license for each VM instance that Cisco Cloud APIC manages.

For licensing details, see the Cisco Application Centric Infrastructure Ordering Guide .

In addition to obtaining one or more Cisco Cloud APIC licenses, you must register your Cisco Cloud APIC and Cisco Cloud Services Router (CSR) with Cisco Smart Software Licensing.

Cisco Smart Licensing is a unified license management system that manages software licenses across Cisco products. To learn more about Smart Software Licensing, visit https://www.cisco.com/go/smartlicensing.

Complete the following steps to register Cisco Cloud APIC and CSR:

1. Ensure that this product has access to the internet or a Smart Software Manager satellite that is installed on your network.

2. Log in to Smart Account:

1. Smart Software Manager: https://software.cisco.com/

2. Smart Software Manager Satellite: https://www.cisco.com/c/en/us/buy/smart-accounts/software-manager-satellite.html

3. Navigate to the Virtual Account containing the licenses to be used by this Product Instance.

4. Generate a Product Instance Registration Token (this identifies your Smart Account) and copy or save it.

Note

Cisco Cloud APIC deploys the appropriate size of CSRs based on the setting chosen in the Throughput of the routers field in the Cisco Cloud APIC setup wizard. See AWS パブリック クラウドの要件 and セットアップ ウィザードを使用した Cisco Cloud APIC の設定 for more information.

Note

If you remove a CSR from deployment at some point in the future (by deleting the CSR through the Cisco Cloud APIC GUI or through the cloud console or portal), this results in the CSR smart license server getting severed from that CSR. The CSR instance that got deleted will get marked as stale for 90 days and the license cannot be reused by any other new CSRs for that period of time.

To avoid this situation, rehost the CSR license depending on the release:

- For releases up to 25.0(3), rehost the CSR 1000v license using the instructions in Rehosting the Cisco CSR 1000v License

- For release 25.0(3) and later, rehost the CSR 8000v license using the instructions in ???

On-Premises Cisco ACI Licenses

If you have a single on-premises Cisco ACI site with one or more cloud sites, you can run your on-premises Cisco ACI fabric in either the Essential, Advantage, or Premier license tier.

Amazon Web Services (AWS)

You must subscribe to the CSR license through the AWS Marketplace depending on the release:

- For releases up to release 25.0(3), subscribe to Cisco Cloud Services Router (CSR) 1000V - BYOL for Maximum Performance.

- For release 25.0(3) and later, subscribe to Cisco Catalyst 8000V Edge Software - BYOL.

Cisco Cloud APIC-Related Documentation

You can find information about Cisco Cloud Application Policy Infrastructure Controller (APIC), Cisco ACI Multi-Site, and Amazon Web Services (AWS) from different resources.

Cisco Documentation

You can find documentation for Cisco products on Cisco.com:

- Cisco Cloud Application Policy Infrastructure Controller Release Notes, Release 4.1(1)

Includes list of other Cisco Cloud APIC documents.

- Cisco ACI and Cisco APIC documentation

Includes videos, release notes, fundamentals, installation, configuration, and user guides.

- Cisco ACI Multi-Site documentation

Includes videos, release notes, installation, configuration, and user guides.

- Cisco Cloud Services Router documentation

Includes release notes, command reference, data sheets, installation, upgrade, and configuration guides.

AWS Documentation

You can find documentation, including user guides, FAQs, case studies, and white papers, on the AWS website.

Chapter3. Cisco Cloud APIC のインストールの準備

- Cisco ACI ファブリックをパブリック クラウドに拡張するための要件

- Cloud APIC 通信ポート

- Cisco Cloud APIC のインストール ワークフロー

Cisco ACI ファブリックをパブリック クラウドに拡張するための要件

Cisco Application Centric Infrastructure (ACI) をパブリッククラウドに拡張するには、その前に、Cisco ACI オンプレミスのデータセンターと AMAZON Web Services (AWS) の展開要件を満たす必要があります。

- オンプレミス データ センターの要件

- AWS パブリック クラウドの要件

オンプレミス データ センターの要件

このセクションでは、（ACI）ファブリックをパブリッククラウドに拡張するためのオンプレミスデータセンター要件を示します。Cisco Application Centric Infrastructure

- ファブリックに次のコンポーネントが取り付けられていることを確認します。Cisco ACI

- Cisco Nexus 9000シリーズACIモードスイッチソフトウェアリリース14.1以降を実行している、少なくとも2つのCisco Nexus EXまたはFXスパインスイッチ、またはNexus 9332Cおよび9364Cスパインスイッチ。

- Cisco Nexus 9000シリーズACIモードスイッチソフトウェアリリース14.1以降を実行している少なくとも2台のCisco Nexus pre-EX、EX、またはFXリーフスイッチ。

- リリース 4.1 以降および Cisco ACI Multi-Site Orchestrator（MSO）リリース 2.2(x) 以降を実行している 1 つ（APIC）。Cisco Application Policy Infrastructure Controller

- 基本設定で展開された Cisco ACI Multi-Site Orchestrator 2.2(x)。

- インターネット プロトコル セキュリティ（IPsec）を終端できるルータ。

- オンプレミスとクラウドサイト間のテナントトラフィックに十分な帯域幅があることを確認する必要があります。

- Cisco SMART LicensingアカウントとLeaf Advantageライセンス。Cisco ACI

オンプレミスサイト上のすべてのリーフには、リーフライセンスが必要です。Cisco ACI

- ファブリックに接続されているワークロード。Cisco ACI

- ファブリック（スパイン）とIPセキュリティ（IPsec）終端デバイス間で設定されるサイト間ネットワーク（ISN）。Cisco ACI

ISN の作成については、 『Cisco APIC Layer 3 Networking Configuration Guide』の「Multipod」の章を参照してください。https://www.cisco.com/c/en/us/support/cloud-systems-management/application-policy-infrastructure-controller-apic/tsd-products-support-series-home.html

- オンプレミス展開と AWS 展開の間にファイアウォールを展開する場合は、特定のファイアウォール ポートを許可する必要があります。これには、Cisco Cloud APIC の HTTPS アクセス、各 AWS CSR の Ipsec ポート、AWS CSR リモート管理の SSH 接続が含まれます。

これらのファイアウォールポートについては、このガイドで詳しく説明します。Cloud APIC 通信ポート

AWS パブリック クラウドの要件

このセクションでは、パブリック クラウドに（ACI）ファブリックを拡張するための Amazon Web Services（AWS）の要件を示します。Cisco Application Centric Infrastructure

AWSアカウント

インフラ テナント用に 1 つの AWS アカウントが必要であり、ユーザ テナントごとに 1 つの AWS アカウントが必要です。

たとえば、2 つのユーザ テナントを作成する場合は、3 つの AWS アカウントが必要です。各ユーザ テナントに 1 つのアカウントと、インフラ テナントに 1 つのアカウントが必要です。ユーザ テナントは、信頼できる場合と信頼できない場合があります。詳細は、このガイドのユーザ テナントの AWS アカウントのセットアップを参照してください。

AWS リソース

AWS 展開の一部として次のリソースが必要です。

- Cisco APIC 5.0 Amazon マシン イメージ（AMI）にアクセスします。

（注）

AMI にアクセスするには、Amazon マーケット プレイスで Cisco Cloud APIC に登録する必要があります。

- クラウドで実行されるアプリケーションの仮想マシン（VM）として機能する Elastic Cloud Computer（EC2）の 2 つのインスタンス。

- バーチャル プライベート クラウド（VPC）、サブネット、バーチャル プライベート ゲートウェイ（VGW）、インターネット ゲートウェイ（IGW）、セキュリティ グループ、および実行予定のタスクに基づくリソース。

Cisco Cloud Services Router（CSR）

AWS マーケット プレイスから Cisco Cloud Services Router（CSR）Bring Your Own License（BYOL）に登録します。詳細については、「Cisco Cloud APIC Licensing」を参照してください。

セットアップ時に定義した帯域幅要件に応じて、適切なサイズでCSRを展開します。Cisco Cloud APIC

ルータのスループットの値によって、展開するCSRインスタンスのサイズが決まります。スループットの値を大きくすると、より大きなVMが展開されます。CSRライセンスは、Cisco Cloud APICセットアッププロセスの一部として設定したスループット設定に基づきます。コンプライアンスのために、Smartアカウントに同等以上のライセンスとAXフィーチャセットが必要です。

次の表に、さまざまなルータ スループット設定に使用される AWS EC2 インスタンスを示します。

CSR スループット

AWS EC2 インスタンス

10 MB

c4.large

50 MB

c4.large

100 BM

c4.large

250 MB

c4.large

500 MB

c4.large

1 GB

c4.2xlarge

2.5 GB

c4.4xlarge

5 GB

c4.8xlarge

10 GB

c4.8xlarge

AWS アカウントに、インスタンスを展開するための許可された制限があることを確認します。アカウント インスタンスの制限は、AWS Management Console：Services EC2 Limits で確認できます。

Elastic IP アドレス

インフラ VPC が展開されているリージョンに少なくとも 9 つの Elastic IP アドレスがあることを確認します。

Cisco Cloud APIC には 1 つの Elastic IP アドレスが必要で、CSR ごとに 4 つ必要です。導入地域のアカウントに 9 つ以上の Elastic IP アドレスが許可されていることを確認します。そうでない場合は、AWS のケースを上げて Elastic IP アドレスの数を増やします。10 以上を推奨します。

（注）

アドレスは、関連付け解除された Elastic IP アドレスであってはなりません。9 つの新しい Elastic IP アドレスに十分なリソースが必要です。未使用の Elastic IP アドレスがある場合は、それらを解放できます。

Cisco Cloud APIC

導入に使用される AWS インスタンスのタイプは、リリースによって異なります。Cisco Cloud APIC

- リリース 5.0(x) より前のリリースでは、Cisco Cloud APIC は M4.2xlarge インスタンスを使用して展開されます。

- リリース 5.0(x) 以降では、Cisco Cloud APIC は M5.2xlarge インスタンスを使用して展開されます。

アカウントに、このインスタンスを展開できる制限があることを確認します。AWS Management Console：Services EC2 Limitsで制限を確認できます。

また、AWS Management Console：Services EC2 NETWORK＆SECURITY Elastic IPs で使用されている Elastic IP アドレスの数も確認できます。

Cloud APIC 通信ポート

Cloud APIC 環境を設定する際は、下記のポートがネットワーク通信に必要であることに注意してください。

- ACI マルチサイト オーケストレータ と Cloud APIC の間の通信用：HTTPS（TCP ポート 443 インバウンド/アウトバウンド）

Cloud APIC には、セットアップ ウィザードを使用した Cisco Cloud APIC の設定 の開始時に Cloud APIC にログインするために使用するものと同じ Cloud APIC 管理IPアドレスを使用します。

- AWS で導入されたオンプレミス IPsec デバイスと CSR 間の通信：標準 IPsec ポート（UDP ポート 500 および許可 IP プロトコル番号 50 および 51 のインバウンド/アウトバウンド）Cloud APIC

2 つの Amazon Web Services CSR の場合、で説明されているように、またはの手順に従ってISNデバイス設定ファイルをダウンロードした場合に提供されているように、パブリック IPsec ピアリング IP は 3 番目のネットワーク インターフェイスの Elastic IP アドレスを使用します。CSR およびテナント情報の検索サイト間インフラストラクチャの設定

- AWS で Cloud APIC によって導入された CSR を接続して管理する場合は、各 CSR のパブリック IP アドレスへのポートTCP 22 インバウンド/アウトバウンドを許可します。

- ライセンス登録の場合（tools.cisco.com へ）：ポート 443（アウトバウンド）が必要です。

- DNS の場合：UDP ポート 53 アウトバウンド

- NTP の場合：UDP ポート 123 アウトバウンド

- リモート認証（LDAP、Radius、TACACS +、SAML）を使用する場合は、適切なポートを開きます。

- 認証局を使用する場合は、適切なポートを開きます。

Cisco Cloud APIC のインストール ワークフロー

このセクションでは、Cisco Cloud APIC をインストールして展開するために必要なタスクの概要について説明します。インストール タスクは、AWS マネジメント コンソール、AWS クラウド形成テンプレート、クラウド APIC セットアップ ウィザード、および（ACI）マルチサイトを使用して実行します。Cisco Application Centric Infrastructure

1. オンプレミスデータセンターとパブリッククラウドのタスクを含む、すべての前提条件を満たします。

セクション「Cisco ACI ファブリックをパブリック クラウドに拡張するための要件」を参照してください。

2. AWS クラウド形成テンプレートを使用して展開します。Cisco Cloud APIC

このタスクには、スタックの作成、テンプレートのアップロード（または AWS テンプレート URL の提供）、テンプレート パラメータの設定、およびテンプレートの送信が含まれます。次に、IP アドレスをキャプチャします。Cisco Cloud APIC

また、Amazon EC2 SSH キーペアを作成し、AWS Marketplace でサブスクライブする必要があります。Cisco Cloud APIC

セクション「AWS で Cloud APIC を導入する」を参照してください。

3. セットアップ ウィザードを使用して Cisco Cloud APIC を設定します。

このタスクには、パブリッククラウドに接続するためのCisco Cloud ACIファブリックへのログインと設定が含まれます。Cisco Cloud APICAWS リージョンの選択も追加します。サイト間ネットワーク（ISN）ピアリング用のボーダーゲートウェイプロトコル（BGP）自律システム番号（ASN）とOSPFエリアIDを指定し、外部サブネットを追加します。次に、IPsecピアアドレスを追加します。

セクション「セットアップ ウィザードを使用した Cisco Cloud APIC の設定」を参照してください。

4. Cisco ACI マルチサイトを使用して Cisco Cloud APIC を設定します。

このタスクには、Multi-Site GUI へのログイン、オンプレミスとクラウド サイトの追加、インフラストラクチャ ファブリック接続の設定、およびオンプレミス サイトのプロパティの設定が含まれます。Cisco ACI次に、スパイン、BGP ピアリングを設定し、オンプレミス サイトと AWS クラウド APIC サイト間の接続を有効にします。Cisco ACI

セクション「Cisco ACI マルチサイトを介した Cisco Cloud APIC の管理」を参照してください。

5. AWS パブリック クラウドにポリシーを拡張するために使用します。Cisco Cloud APICCisco ACI

「Cisco Cloud APIC GUI の操作」および「Cisco Cloud APIC コンポーネントの設定」の項を参照してください。

Chapter4. Cisco Cloud APIC のクラウド形成テンプレート情報の設定

- AWS で Cloud APIC を導入する

- ユーザ テナントの AWS アカウントのセットアップ

AWS で Cloud APIC を導入する

始める前に

- このセクションのタスクに進む前に、Cisco ACI ファブリックをパブリック クラウドに拡張するための要件 に示されている要件を満たしていることを確認します。たとえば、エラスティック IP アドレスの数が正しいこと、およびインスタンス展開の許可の制限をチェックしたことを確認します。

- Cisco Cloud APIC のインストールと操作には、特定の AWS IAM ロールおよび権限が必要であるため、AWS で完全な管理者アクセス権を持っていることを確認します。

CloudFormation テンプレート (CFT) を使用して Cloud APIC をインストールする場合は、AWS に完全な管理者アクセス権を持つユーザ (たとえば、権限ポリシー ARN arn:aws:iam::aws:policy/AdministratorAccessが、直接、ロール ポリシーにより、またはユーザ グループにより接続されているユーザ) によってインストールすることを推奨します。ただし、使用可能な AWS 管理者アクセス権がない場合は、Cloud APIC をインストールするユーザに最低限の権限セットが必要です。これらの AWS IAM ロールと権限の詳細については、AWS の IAM ロールと権限 を参照してください。

- AWS 組織を使用してさまざまなアカウントのアクセス ポリシーと権限を制御し、Cloud APIC を使用して様々なアカウントを行う場合は、これらの手順で Cloud APIC を展開する AWS アカウント (Cloud APICインフラ テナント) が、その AWS 組織のマスター アカウントであることを確認します。Cloud APIC が AWS 組織のマスターアカウントに展開されている場合は、 Cloud APIC GUI を使用して、組織の一部である任意の AWS アカウントをテナントとして追加できます。詳細については、AWS Organizations と組織のユーザ テナントのサポートおよび共有テナントの設定を参照してください。

- AWS GovCloudに展開する場合は、「AWS GovCloudサポート」のセクションに記載されている情報を参照して、それらの展開に固有の情報を確認してください。Cloud APICExtending the Cisco ACI Fabric to the Public Cloud

手順

ステップ 1

まだログインしていない場合は、Cloud APIC インフラテナントの Amazon Web Services アカウントにログインし、AWS 管理コンソールに移動します。

https://signin.aws.amazon.com/

https://console.aws.amazon.com/

ステップ 2

[AWS 管理コンソール (AWS Management Console)] 画面の右上隅で、リージョンが表示されている領域を見つけ、Cloud APIC で管理する AWS のリージョン (Cloud APIC AMI イメージが起動するリージョン) を選択します 。

ステップ 3

Amazon EC2 SSH キーペアを作成します。

1. 画面の左上の領域にある [サービス (Services)] リンクをクリックし、[EC2] リンクをクリックします。

[EC2 ダッシュボード (EC2 Dashboard)] 画面が表示されます。

2. [EC2 ダッシュボード (EC2 Dashboard)] 画面で、[キー ペア (Key Pair)] リンクをクリックします。

[キー ペアの作成 (Create Key Pair)] 画面が表示されます。

3. [キー ペアの作成 (Create Key Pair)] をクリックします。

4. このキーペアの一意の名前 (たとえば、 CloudAPICKeyPairペア) を入力し、[作成 (Create)] をクリックします。

AWS に保存されている公開キーを示す画面が表示されます。さらに、プライバシー強化メール (PEM) ファイルが、秘密キーとともにシステムにローカルにダウンロードされます。

5. 秘密キー PEM ファイルをシステム上の安全な場所に移動し、場所をメモします。

これらの手順の後の部分で、この場所に置かれた秘密キー PEM ファイルに戻ります。

ステップ 4

AWS Marketplace の Cloud APIC ページに移動します。

http://cs.co/capic-aws

ステップ 5

[登録 (Subscribe)] をクリックします。

ステップ 6

エンド ユーザ ライセンス契約（EULA）を確認して、[契約に同意 (Accept Terms)] ボタンをクリックして同意します。

ステップ 7

1分後に、[サブスクリプションが処理されます (Subscription shoulde be processed) というメッセージが表示されます。[設定を続行 (Continue to Configuration)] ボタンをクリックします。

[このソフトウェアを設定 (Configure this software)] ページが表示されます。

ステップ 8

以下のパラメータを選択します。

- [履行オプション (Fulfillment Option):]Cisco Cloud APIC クラウド形成テンプレート (デフォルトで選択)

- ソフトウェアバージョン：クラウドAPICソフトウェアの適切なバージョンを選択します。

- [リージョン (Region):] クラウド APIC が展開されるリージョン

ステップ 9

[続行して起動 (Continue to Launch)] ボタンをクリックします。

[このソフトウェアの起動 (Launch this software )] ページが表示され、設定の概要が表示され、クラウド形成テンプレートを起動できます。

ステップ 10

[起動 (Launch)] をクリックして、正しい Amazon S3 テンプレート URL がすでに入力されている状態で、正しいリージョンの CloudFormation サービスに直接移動します。

ステップ 11

画面の下部にある[次へ（Next）] をクリックします。

[詳細の指定 (Specify Details)] ページが、[スタックの作成 (Create stack)] ページ内に表示されます。

ステップ 12

[詳細の指定 (Specify Details)] ページに、以下の情報を入力します。

- [スタック名 (Stack name):] この Cloud APIC 設定の名前を入力します。

- [ファブリック名 (Fabric name):]デフォルト値のままにしておくか、ファブリック名を入力します。このエントリは、この Cloud APIC の名前になります。

- [インフラ VPC プール(Infra VPC Pool):]VPC (仮想プライベートクラウド) CIDR です。このフィールドには、デフォルト値の 10.10.0.0/24 が、CFT から自動的に入力されます。デフォルト値がオンプレミス ファブリックからのインフラ プールと重複している場合は、このフィールドの値を変更します。このエントリは /24 サブネットである必要があります。

- [可用性ゾーン (Availability Zone):]スクロールダウン メニューから、 Cloud APICサブネットのアベイラビリティ ゾーンを選択します。

表示されるアベイラビリティ ゾーンのオプションは、ステップ 2 で選択したリージョンに基づいています。アベイラビリティ ゾーンをリストから選択します。アベイラビリティ ゾーンのオプションとして west-1a と us-west-1b と表示されている場合は、たとえば、us-west-1a を選択します。

- [パスワード/パスワードの確認 (Password/Confirm Password):] 管理者パスワードを入力し、確認入力します。このエントリは、 SSH アクセスを有効にした後に Cloud APICにログインするために使用するパスワードです。

- [SSH キーペア (SSH Key Pair):] ステップ 3 で作成した SSH キーペアの名前を選択します。

Cloud APIC には、この SSH キーペアを使用してログインします。

- [アクセス制御 (Access Control):] Cloud APIC への接続を許可する外部ネットワークの IP アドレスとサブネットを入力します (たとえば、192.0.2.0/24)。このサブネットからの IP アドレスだけが、Cloud APIC への接続を許可されます。値 0.0.0.0/0 を入力すると、誰でも Cloud APIC への接続が許可されます。

- その他のパラメータ：パブリックIPアドレスの割り当て：パブリックIPアドレスをアウトオブバンド（OOB）管理インターフェイスに割り当てるかどうかを選択します。Cloud APIC

リリース5.2（1）よりも前は、の管理インターフェイスにパブリックIPアドレスとプライベートIPアドレスが割り当てられていました。Cloud APICリリース5.2（1）以降、プライベートIPアドレスはの管理インターフェイスに割り当てられ、パブリックIPアドレスの割り当てはオプションです。Cloud APIC詳細については、 『Cisco Cloud APIC for AWS User Guide、Release 5.2（1）』の「Private IP Address Support for Cisco Cloud APIC and Cisco Cloud Services Router」を参照してください。

- true：パブリックIPアドレスをのアウトオブバンド（OOB）管理インターフェイスに割り当てます。Cloud APIC

- false：パブリックIPアドレスを無効にし、プライベートIPアドレスをのアウトオブバンド（OOB）管理インターフェイスに割り当てます。Cloud APIC

ステップ 13

画面の下部にある [次へ（Next）] をクリックします。

[オプション (Option)] ページが、[スタックの作成 (Create stack)] ページ内に表示されます。

ステップ 14

[オプション (Options)] 画面で、すべてのデフォルト値を受け入れます。

このページには、[権限: IAM ロール (Permissions : IAM Role)] 領域があります。IAM ロールは、Amazon Web Services にサービス リクエストを行うための一連の権限を定義する IAM エンティティです。ロールを使用しれば、通常は Amazon Web Services リソースにアクセスできないユーザ、アプリケーション、またはサービスに、アクセスを委任することができます。

Cloud APIC に関しては IAM ロール情報は必要ありませんが、別の理由で IAM ロールを割り当てる場合は、[IAM ロール (IAM role)] フィールドで適切なロールを選択します。

ステップ 15

[次へ（Next）] をクリックします (画面の下部にある [オプション (Options)]画面)。

[レビュー (Review)] ページが、[スタックの作成 (Create stack)] ページ内に表示されます。

ステップ 16

[レビュー (Review)] ページのすべての情報が正しいことを確認します。

[レビュー (Review)] ページにエラーが表示された場合は、[前へ (Previous)] ボタンをクリックして、誤った情報を含むページに戻ります。

ステップ 17

[レビュー (Review)] ページのすべての情報が正しいことを確認したら、 [AWS CloudFormation が IAM リソースをカスタム名で作成することを認める (I acknowledge that AWS CloudFormation might create IAM resources with custom names)] の隣にあるボックスをオンにします。

ステップ 18

ページ下部にある [作成 (Create)] ボタンをクリックします。

[Cloudformation] ページが再び表示され、Cloud APIC作成したテンプレートが [ステータス (Status)] 列に CREATE_IN_PROGRESS というテキストとともに表示されます。

システムは、テンプレートに指定された情報を使用して Cisco Cloud APIC インスタンスを作成するようになりました。プロセスが完了するのに 5 ～ 10 分かかります。作成プロセスの進行状況をモニタするには、Cisco Cloud APIC テンプレートの名前の横にあるボックスをオンにし、[イベント (Events)] タブをクリックします。[イベント (Events)] タブの下の [ステータス (Status)] 列には、CREATE_IN_PROGRESS というテキストが表示されます。

ステップ 19

CREATE_COMPLETEメッセージが表示されたら、続行する前にインスタンスの準備が整っていることを確認します。

1. 画面の上部にある [サービス (Services)] リンクをクリックし、[EC2] リンクをクリックします。

[EC2 ダッシュボード (EC2 Dashboard)] 画面が表示されます。

2. [EC2 ダッシュボード (EC2 Dashboard)] 画面の [リソース (Resources)] 領域には、実行中のインスタンスの数を示すテキストが表示されます (たとえば、 [1 つの実行インスタンス (1 Running Instances)]) 。この実行中のインスタンスのリンクをクリックします。

[インスタンス (Instances)] 画面が表示されます。

3. 続行する前に、そのインスタンスの準備ができるまで待ちます。

[スタータス チェック (Status Checks)] の下で、新しいインスタンスが [初期化 (Initializing)] ステージを経過するのを確認できます。続行する前に、[スタータス チェック (Status Checks)]の下で、[2/2 のチェックをパス (Check Passed)] というメッセージが表示されるまで待ちます。

次のタスク

ユーザ テナントの AWS アカウントのセットアップ に移動して、ユーザ テナントの AWS アカウントをセットアップします。

ユーザ テナントの AWS アカウントのセットアップ

次のいずれかの方法を使用して、ユーザ テナントの AWS アカウントを設定できます。

- CFT を使用して、Cloud APIC のユーザテナントが信頼されている場所。「CFT を使用した、信頼済みユーザ テナントのための AWS アカウントのセットアップ」を参照してください。

- ここでは、AWS アクセス キー ID とシークレットアクセスキーを使用して、Cloud APIC のユーザテナントが信頼されていません。「AWS アクセス キー ID とシークレット アクセス キーを使用して、信頼されていないユーザ テナントの AWS アカウントをセットアップする」を参照してください。

- ここでは、Cloud APIC を使用して AWS 組織アカウントのポリシーを管理できます。「組織のユーザ テナントの AWS アカウントのセットアップ」を参照してください。

- CFT を使用した、信頼済みユーザ テナントのための AWS アカウントのセットアップ

- AWS アクセス キー ID とシークレット アクセス キーを使用して、信頼されていないユーザ テナントの AWS アカウントをセットアップする

- 組織のユーザ テナントの AWS アカウントのセットアップ

CFT を使用した、信頼済みユーザ テナントのための AWS アカウントのセットアップ

テナント アカウントでテナント ロール クラウド形成テンプレート (CFT) を使用すると、Cloud APIC が展開されるテナントとアカウントの間に信頼関係が確立されます。

テナントロール CFT を使用してユーザテナントの AWS アカウントをセットアップするには、次の手順を使用します。

始める前に

Cloud APIC ユーザ テナントを構成するためのルールと制限は次のとおりです。

- インフラ テナントとユーザ テナントに同じ AWS アカウントを使用することはできません。

- ユーザ テナントごとに 1 つの AWS アカウントが必要です。

手順

ステップ 1

ユーザ テナントの Amazon Web Services アカウントにログインします。

https://signin.aws.amazon.com/

（注）

ユーザ テナントのインフラ テナント アカウントを使用することはできません。

ステップ 2

画面の上部にある [サービス (Services)] リンクをクリックし、[CloudFormation] リンクをクリックします。

[CloudFormation] 画面が表示されます。

ステップ 3

[スタックの作成（Create Stack）] ボタンをクリックします。

（注）

[スタックの作成 (Create Stack)] ボタンの横にあるドロップダウン リストからオプションを選択しないでください。代わりに、[スタックの作成（Create Stack）] ボタンを直接クリックします。

[テンプレートの選択 (Select Template)] ページが、[スタックの作成 (Create stack)] ページ内に表示されます。

ステップ 4

ユーザ テナント設定の IAM ロールに使用するテンプレートをどのように選択するかを決定します。

- AWS アカウントからテナント ロール CFT をダウンロードする場合、または cisco.com アカウント (以前の CCO) からダウンロードした場合は、次の手順を実行します。

1. AWS アカウントからテナント ロール CFT をダウンロードする場合は、テナント ロール CFT を見つけます。テナントロール CFT は、Cisco Cloud APIC インフラ テナントの AWS アカウントの S3 バケットにあります。S3 バケットの名前は「capic-common-[capicAccountId]-data」で、テナント ロールの CFT オブジェクトはそのバケット内の tenant-cft.json です。CapicAccountId は、Cisco Cloud APIC インフラ テナントの AWS アカウント番号です。これは、クラウド APIC が展開されているアカウントです。

2. テナント ロール CFT をコンピュータ上の場所にダウンロードします。

セキュリティ上の理由から、AWS でのこの S3 バケットへのパブリック アクセスは許可されていないため、このファイルをダウンロードしてテナント アカウントで使用する必要があります。

3. AWS で、[テンプレートの選択 (Choose a template)] 領域で、[テンプレートを Amazon S3 にアップロード (Upload a Template to Amazon S3)]] の横にある円をクリックし、[ファイルの選択 (Choose File)] ボタンをクリックします。

4. Cisco から受け取った JSON 形式のテナント ロール CFT (たとえば、 tenant-cft.json) を保存したコンピュータ上の場所に移動し、そのテンプレートファイルを選択します。

- Cisco からのテナント ロール CFT URL を指定した場合は、[テンプレートの選択 (Choose a template)] 領域で、Amazon S3 テンプレートの URL を指定 (Specify an Amazon S3 template URL)] の横にある円をクリックし、Cisco から受け取ったテナント ロールの CFT URL をテキストの下のフィールドに入力します。

ステップ 5

画面の下部にある[次へ（Next）] をクリックします。

[詳細の指定 (Specify Details)] ページが、[スタックの作成 (Create stack)] ページ内に表示されます。

ステップ 6

[詳細の指定 (Specify Details)] ページに、以下の情報を入力します。

- [スタック名 (Stack name):] ユーザ テナント設定のためのこの IAM ロールの名前を入力します (たとえば IAM-Role) 。

- [infraAccountId:]このフィールドが表示された場合は、AWS で Cloud APIC を導入する の説明に従って、インフラ テナントの AWS アカウントを入力します。

このフィールドは、cisco.com アカウントからテナント　ロール CFT をダウンロードして使用した場合に表示されることに注意してください。AWS アカウントからテナント ロール CFT をダウンロードして使用した場合は表示されません。これは、インフラ AWS アカウントの S3 バケットからダウンロードした場合には、この infraAccountID 情報が CFT にあらかじめ入力されているためです。

ステップ 7

画面の下部にある [次へ（Next）] をクリックします。

[オプション (Option)] ページが、[スタックの作成 (Create stack)] ページ内に表示されます。

ステップ 8

適切であれば、[オプション (Options)] 画面ですべてのデフォルト値を受け入れ、画面の下部にある [次へ (Next)] をクリックします。

[レビュー (Review)] ページが、[スタックの作成 (Create stack)] ページ内に表示されます。

ステップ 9

[レビュー (Review)] ページで、 [AWS cloudformation がカスタムの名前を持つ IAM リソースを作成することを認める (I acknowledge that AWS CloudFormation might create IAM resources with custom names)]の横にあるボックスをオンにし、ページの下部にある [作成 (create)] ボタンをクリックします。

[Cloudformation] ページが再び表示され、作成したテンプレートが [ステータス (Status)] 列に CREATE_IN_PROGRESS というテキストとともに表示されます。

システムは、テンプレートに指定された情報を使用して、ユーザ テナントの IAM ロールを作成するようになりました。プロセスが完了するのに 5 ～ 10 分かかります。作成プロセスの進行状況をモニタするには、テンプレートの名前の横にあるボックスをオンにし、[イベント (Events)] タブをクリックします。[イベント (Events)] タブの下の [ステータス (Status)] 列には、CREATE_IN_PROGRESS というテキストが表示されます。

CREATE_COMPLETEは、プロセスが完了したときに表示されます。

ステップ 10

CREATE_COMPLETEが表示されたら、適切な領域に移動して、ユーザテナントの IAM ロールが正常に作成されたことを確認します。

1. 画面の上部にある [サービス (Services)] リンクをクリックし、 IAMリンクをクリックします。

2. [ロール (Roles)]をクリックします。

Apictenantroleという名前のエントリがロール名の下に表示されます。

次のタスク

セットアップ ウィザードを使用した Cisco Cloud APIC の設定 に移動して、Cisco Cloud APIC のセットアップを続行します。

AWS アクセス キー ID とシークレット アクセス キーを使用して、信頼されていないユーザ テナントの AWS アカウントをセットアップする

AWS アクセス キー ID とシークレットアクセス キーを使用して信頼できないユーザの AWS アカウントを設定する場合は、次の手順を使用します。この場合、信頼されていないユーザのテナントの AWS アカウントを手動で設定し、AWS IAM を使用して適切な権限を割り当てます。

始める前に

Cloud APIC ユーザ テナントを構成するためのルールと制限は次のとおりです。

- インフラ テナントとユーザ テナントに同じ AWS アカウントを使用することはできません。

- ユーザ テナントごとに 1 つの AWS アカウントが必要です。

手順

ステップ 1

ユーザ テナントの Amazon Web Services アカウントにログインします。

https://signin.aws.amazon.com/

（注）

ユーザ テナントのインフラ テナント アカウントを使用することはできません。

ステップ 2

AWS 管理コンソールに進みます。

https://console.aws.amazon.com/

ステップ 3

画面の一番上の [サービス] リンクをクリックし、IAM リンクをクリックします。

ステップ 4

左側のペインで、[ユーザ] をクリックし、[ [ユーザの追加] ボタンをクリックします。

[ユーザの追加] ページが表示されます。

ステップ 5

[ユーザ名] フィールドに、user1 などの AWS ユーザ アカウントの固有の名前を入力します。

ステップ 6

[アクセス タイプ] フィールドで、プログラムによるアクセスをオンにします。

ステップ 7

ページの下部にある [新規 (New)] ボタンをクリックします。

ステップ 8

[アクセス許可の設定 (Set permissions)] エリアで、[既存のポリシーのアタッチ (Attach existing policies)] を直接選択します。

画面が展開され、フィルタ ポリシー情報が表示されます。

ステップ 9

[管理者アクセス (Administrator Access)] の横にあるボックスをオンにし、ページの下部にある [Next: Tags] ボタンをクリックします。

ステップ 10

[タグの追加 (Add tags)] ページの情報をそのままにして、ページの下部にある [確認 (Review)] ボタンをクリックします。

ステップ 11

ページ下部にある [ユーザの作成 (Create User)] ボタンをクリックします。

警告が表示さる場合は、[このユーザに権限がない]ことを示す警告を無視します。

この時点で、アクセス キーが作成されます。

ステップ 12

この AWS アカウントのアクセス キー ID とシークレット アクセス キーの情報をメモしておきます。

- ユーザ テナントのアクセス キー ID とシークレット アクセス キー情報を、CSR とテナント情報の検索 の適切な行にコピーします。

- .csv ファイルをダウンロードするか、または [アクセス キー ID] フィールドと [シークレット アクセス キー] フィールドからファイルに情報をコピーします。

ステップ 13

ページ下部にある [閉じる (Close)]ボタンをクリックします。

ステップ 14

必要に応じて、このトピックの手順を追加のユーザアカウントに対して繰り返します。

次のタスク

セットアップ ウィザードを使用した Cisco Cloud APIC の設定 に移動して、Cisco Cloud APIC のセットアップを続行します。

組織のユーザ テナントの AWS アカウントのセットアップ

AWS Organizations と組織のユーザ テナントのサポート の説明に従って、リリース 4.2(3) 以降では、Cloud APIC を介して AWS 組織アカウントのポリシーを管理できるようになりました。

組織テナントの AWS アカウントを設定するには、この機能を使用するために次の設定が必要です。

- Cloud APIC は、マスター アカウントに導入する必要があります。このドキュメントでは、AWS で Cloud APIC を導入するに記載されている手順を使用して Cloud APIC を AWS に展開するときに、この AWS 組織のマスターアカウントに Cloud APIC (Cloud APICインフラ テナント) を導入したことを確認します。

- このドキュメントの後半では、共有テナントの設定 で説明されている手順を使用して、Cloud APIC GUI を介してテナントに組織タグを割り当てます。

Chapter5. セットアップ ウィザードを使用した Cisco Cloud APIC の設定

- サイト間接続の設定と展開

- オンプレミス設定情報の収集

- サイト、リージョン、および CSR の数の制限について

- クラウド APIC IP アドレスの特定

- セットアップ ウィザードを使用した Cisco Cloud APIC の設定

- Cisco Cloud APIC セットアップ ウィザードの設定の確認

サイト間接続の設定と展開

の設定と展開を開始する前に、オンプレミスサイトをクラウドサイトに接続する場合は、とをオンプレミスで設定して展開する必要があります。Cloud APICCisco ACI マルチサイトCisco ACIそれぞれの実際の設定は、要件と設定によって異なります。オンプレミス サイトをクラウド サイトに接続する場合は、AWS で Cloud APIC によって展開された Cisco Cloud Services Router 1000V に接続するために、オンプレミスの Ipsec 終端デバイスを設定して展開する必要もあります。詳細については、「Components of Extending Cisco ACI Fabric to the Public Cloud」を参照してください。

次に、これらのコンポーネントの設定と展開のプロセスを支援するドキュメントを示します。

- ドキュメンテーション： 『Cisco Application Policy Infrastructure Controller（APIC）』のドキュメント（ 『Operating Cisco Application Centric Infrastructure』および 『Cisco APIC Basic Configuration Guide、Release 4.0（1）』など）で入手できます。Cisco ACIhttps://www.cisco.com/c/en/us/support/cloud-systems-management/application-policy-infrastructure-controller-apic/tsd-products-support-series-home.htmlhttps://www.cisco.com/c/en/us/td/docs/switches/datacenter/aci/apic/sw/1-x/Operating_ACI/guide/b_Cisco_Operating_ACI.htmlhttps://www.cisco.com/c/en/us/td/docs/switches/datacenter/aci/apic/sw/4-x/basic-configuration/Cisco-APIC-Basic-Configuration-Guide-401.html

- ： 『Cisco ACI Multi-Site Orchestrator Installation and Upgrade Guide、Release 2.0（1）』などのCisco ACI Multi-Siteのマニュアルを参照してください。Cisco ACI マルチサイトhttps://www.cisco.com/c/en/us/support/cloud-systems-management/application-policy-infrastructure-controller-apic/tsd-products-support-series-home.html#ACI_Multi-Sitehttps://www.cisco.com/c/en/us/td/docs/switches/datacenter/aci/aci_multi-site/sw/2x/installation/Cisco-ACI-Multi-Site-Installation-Upgrade-Guide-201.html

- Cisco Cloud Services Router 1000v: Cisco CSR 1000v のマニュアルで入手できます。

- Cisco Catalyst 8000v Edgeソフトウェア：Cisco Catalyst 8000v Edgeソフトウェアのマニュアルで入手できます。https://www.cisco.com/c/en/us/support/routers/catalyst-8000v-edge-software/series.html

オンプレミス設定情報の収集

（注）

Cisco Cloud APIC のクラウドサイト間接続のみを設定する場合は、このセクションの情報を収集する必要はありません。

次のリストを使用して、Cisco Cloud APIC をセットアップするためにこれらの手順全体で必要なオンプレミスの設定情報を収集し、記録します。

必要なオンプレミス情報

入力する値

オンプレミスの IPsec デバイスのパブリック IP アドレス

IPsec 終端デバイスから CSR への OSPF エリア

オンプレミス APIC IP アドレス

Cisco Cloud APIC の IP アドレス

サイト、リージョン、および CSR の数の制限について

このドキュメントでは、サイト、リージョン、およびCSRのさまざまな設定を決定するよう求められます。次に、それぞれの設定を決定する際に留意すべき制限事項のリストを示します。

サイト

使用できるサイトの合計数は、設定する設定のタイプによって異なります。Cloud APIC

- オンプレミスのACIサイト間設定（AWSまたはAzure）：ACI Multi-Siteマルチクラウド導入は、1つまたは2つのクラウドサイト（AWSまたはAzure）と最大1つまたは2つのオンプレミスサイトの任意の組み合わせをサポートします。合計4つのサイトがあります。接続オプションは次のとおりです。

- Hybrid-Cloud：オンプレミスから単一のクラウドサイトへの接続

- Hybrid Multi-Cloud：オンプレミスから複数のクラウドサイトへの接続

- マルチクラウド：クラウドサイト間接続（AWS または Azure）：ACI マルチサイト マルチクラウド展開は次の組み合わせをサポートします。

- EVPN 展開モードの 2 つのクラウド サイト（AWS と Azure のみ）

- リリース 25.0(2) 以降、BGP IPv4 展開モードの 3 つのクラウド（AWS、Azure、および GCP）

GCP から GCP へは、BGP IPv4 または BGP EVPN のいずれでもまだサポートされていません。

- クラウド ファースト：単一クラウド設定：ACIマルチサイトマルチクラウド導入は、単一のクラウドサイト（AWS または Azure）をサポートします。

地域

Cisco Cloud APIC リリース 25.0(1) でサポートされるリージョン制限は次のとおりです。

- AWS および Azure クラウドで 4 つのリージョンを管理できます。4 つのリージョンはすべて、ワークロードの展開と外部接続に使用できます。

- すべてのリージョンを GCP クラウドで管理できます。4 つのリージョンをワークロードの展開と外部接続に使用できます。

Cisco Cloud APIC リリース 25.0(2) 以降では、サポートされるリージョン制限は次のとおりです。

- AWS および Azure クラウドで 16 のリージョンを管理できます。16 のリージョンのうち、4 つのリージョンのみが外部接続可能です。16 のリージョンすべてをワークロードのデプロイに使用できます。

- すべてのリージョンを GCP クラウドで管理できます。ワークロードの展開には 16 のリージョンを使用できますが、外部接続に使用できるのは 4 つのリージョンのみです。

CSR

一部のリージョン内には一定数のCSRを含めることができますが、次の制限があります。

- VNET間（Azure）、VPC間（AWS）、またはVRF間通信を行うには、少なくとも1つのリージョンにCSRを展開する必要があります。

- すべての地域にCSRを配置する必要はありません。

- 接続を有効にするためにCSRが展開されているリージョンの場合：

- CSRは、4つの管理対象リージョンすべてに導入できます。

- 管理対象リージョンごとに最大 4 つの CSR がサポートされ、クラウド サイトごとに合計 16 の CSR がサポートされます。

（注）

管理対象リージョンあたりの CSR の数は、AWS と Azure で異なります。AWS ではリージョンごとに 4 つの CSR がサポートされ（クラウド サイトごとに合計 16 の CSR）、リリース5.1(2) 以降の場合は Azure で 8 つの CSR がサポートされます。 （クラウド サイトあたり合計 32 の CSR）。

- Cloud APIC による GCP での CSR 展開はまだサポートされていません。

クラウド APIC IP アドレスの特定

次の手順では、AWS サイトからの IP アドレスを見つける方法について説明します。Cloud APIC

手順

ステップ 1

インフラ テナントの AWS アカウントに移動します。Cloud APIC

ステップ 2

画面の上部にある [サービス (Services)] リンクをクリックし、[EC2] リンクをクリックします。

[EC2 ダッシュボード (EC2 Dashboard)] 画面が表示されます。

ステップ 3

[EC2 ダッシュボード (EC2 Dashboard)] 画面の [リソース (Resources)] 領域には、実行中のインスタンスの数を示すテキストが表示されます (たとえば、 [1 つの実行インスタンス (1 Running Instances)]) 。この実行中のインスタンスのリンクをクリックします。

[インスタンス (Instances)] 画面が表示されます。

ステップ 4

[Capic-1] という名前のインスタンスを選択し、IPv4 パブリック IP 列に表示されている IP アドレスをコピーします。Cloud APIC

これは、Cloud APIC にログインするために使用する IP アドレスです。Cloud APIC

（注）

また、CloudFormation ページに戻り、Cisco Cloud APIC の横にあるボックスをクリックして [出力（Outputs）] タブをクリックすることでも、IP アドレスを取得できます。Cloud APIC[値（Value）] 列に Cisco Cloud APIC の IP アドレスが表示されます。

セットアップ ウィザードを使用した Cisco Cloud APIC の設定

Cloud APIC のクラウド インフラストラクチャ設定をセットアップするには、このトピックの手順に従います。Cloud APIC は、必要な AWS コンストラクトと必要な CSR を自動的に展開します。

始める前に

このタスクの前提条件は次のとおりです。

- このセクションのタスクに進む前に、Cisco ACI ファブリックをパブリック クラウドに拡張するための要件 に示されている要件を満たしています。

- Cisco Cloud APIC のクラウド形成テンプレート情報の設定 に記載されている手順を正常に完了しました。

手順

ステップ 1

AWS サイトで IP アドレスを取得します。Cloud APIC

手順については、クラウド APIC IP アドレスの特定 を参照してください。

ステップ 2

ブラウザ ウィンドウを開き、セキュア バージョンの HTTP (https://) を使用して、URL フィールドに IP アドレスを貼り付け、Return を押してこの Cloud APIC にアクセスします。

たとえば、https://192.168.0.0 と入力します。

[リスクを無視して証明書を受け入れる（Ignore Risk and Accept Certificate）] というメッセージが表示された場合は、証明書を受け入れて続行します。

ステップ 3

Cloud APIC のログイン ページに次の情報を入力します。

- ユーザ名：このフィールドに admin と入力します。

- [パスワード（Password）]：手順の [詳細の指定（Specify Details）] ページで指定したパスワードを入力します。ステップ 12AWS で Cloud APIC を導入する

- ドメイン：[ドメイン（Domain）] フィールドが表示された場合は、デフォルトの [ドメイン（Domain）] エントリをそのままにします。

ステップ 4

ページの下部にある [ログイン] をクリックします。

（注）

ログインしようとしたときに、REST エンドポイントのユーザ認証データストアが初期化されていないなどのエラー メッセージが表示された場合は、このファブリック ノードのファブリック メンバーシップ ステータスを確認し、数分待ってから数分後に再試行してください。また、ログインするためにページを更新する必要があります。

[クラウド APIC へようこそ（Welcome to Cloud APIC）] セットアップ ウィザードのページが表示されます。

ステップ 5

[セットアップの開始（Begin Set Up）] をクリックします。

[基本設定（Let's Configure the Basics）] ページが表示され、次の領域が設定されます。

- DNS サーバー

- リージョン管理

- スマート ライセンス

ステップ 6

[DNS Servers] 行で、[Edit Configuration] をクリックします。

[DNS と NTP サーバ（DNS and NTP Servers）] ページが表示されます。

ステップ 7

[DNS と NTP サーバ（DNS and NTP Servers）] ページで、必要に応じて DNS サーバと NTP サーバを追加します。

- DNS サーバはデフォルトですでに設定されています。特定の DNS サーバを使用する場合は、DNS サーバを追加します。

- NTP サーバはデフォルトでは設定されないため、NTP サーバを設定することを推奨します。NTP サーバを設定し、DNS サーバを設定しない場合は、7.d に進みます。

1. 特定の DNS サーバを使用する場合は、[DNS サーバ（DNS Servers）] 領域で [+ DNS プロバイダの追加（+ Add DNS Provider）] をクリックします。

2. DNS サーバの IP アドレスを入力し、必要に応じて [優先 DNS プロバイダー（Preferred DNS Provider）] の横にあるボックスをオンにします。

3. DNS サーバの横にあるチェックマークをクリックし、追加する追加の DNS サーバについて繰り返します。

4. [NTP サーバ（NTP Servers）] 領域で、[+ プロバイダの追加（+ Add Provider）] をクリックします。

5. NTPサーバのIPアドレスを入力し、必要に応じて[優先NTPプロバイダー（Preferred NTP Provider）]の横にあるボックスをオンにします。

6. NTP サーバの横にあるチェックマークをクリックし、追加する NTP サーバを繰り返します。

ステップ 8

DNS サーバと NTP サーバの追加が完了したら、[保存して続行（Save and Continue）] をクリックします。

[Let's Configure the Basics] ページが再び表示されます。

ステップ 9

[リージョン管理（Region Management）] 行で、[開始（Begin）] をクリックします。

[地域管理（Region Management）] ページが表示されます。

ステップ 10

AWS Transit Gateway を使用するかどうかを決定します。

Transit Gateway を使用して、リージョン内および TGW ピアリングがサポートされているリージョン間の接続に VPN トンネルを使用しないようにします。詳細については、ドキュメント「AWS トランジット ゲートウェイまたは AWS トランジット ゲートウェイ コネクトを使用した VPC 間の帯域幅の増加」を参照してください。

AWS Transit Gateway を使用する場合は、[Transit Gateway の使用（Use Transit Gateway）] 領域で、[有効（Enable）] の横にあるチェックボックスをクリックします。

ステップ 11

[管理するリージョン（Regions to Manage）] 領域で、Cloud APIC ホーム リージョンが選択されていることを確認します。

ステップ 2 で選択したリージョンがホーム リージョンであり、このページですでに選択されている必要があります。AWS で Cloud APIC を導入するこれは、Cloud APIC が展開されている地域（によって管理される地域）であり、[地域（Region）] 列にテキスト cAPICが表示されます。Cloud APIC

ステップ 12

Cloud APIC で追加のリージョンを管理し、場合によっては、他のリージョンで VPC 間通信と Hybrid-Cloud、Hybrid Multi-Cloud、または Multi-Cloud 接続を持つように CSR を展開する場合は、追加のリージョンを選択します。

CSR は、展開されているホームリージョンを含む 4 つのリージョンを管理できます。Cloud APIC

は、複数のクラウドリージョンを単一のサイトとして管理できます。Cloud APIC一般的な設定では、サイトはAPICクラスタで管理できるすべてのものを表します。Cisco ACIクラスタが 2 つのリージョンを管理する場合、これらの 2 つのリージョンは単一のサイトと見なされます。Cloud APICCisco ACI

ステップ 13

クラウド ルータをこのリージョンにローカルに展開するには、そのリージョンの [Cloud Routers] チェック ボックスをオンにします。

VPC 間または VNET 間通信を行うには、少なくとも 1 つのリージョンに CSR が展開されている必要があります。ただし、このページで複数のリージョンを選択した場合は、選択したすべてのリージョンにCSRを設定する必要はありません。詳細については、「サイト、リージョン、および CSR の数の制限について」を参照してください。

ステップ 14

適切なリージョンをすべて選択したら、ページの下部にある[Next]をクリックします。

[General Connectivity]ページが表示されます。

ステップ 15

[General Connectivity]ページで次の情報を入力します。

- ステップ 10 で AWS Transit Gateway Connect 機能を有効にした場合、このウィンドウで [ハブ ネットワーク（Hub Network）] フィールドを使用できます。「15.a」に進みます。

- ステップ 10 で AWS Transit Gateway Connect 機能を有効にしていない場合は、15.e にスキップしてください。

1. [ハブ ネットワーク（Hub Network）] 領域で、[ハブ ネットワークの追加（Add Hub Network）] をクリックします。

[ハブ ネットワークの追加（Add Hub Network）] ウィンドウが表示されます。

2. [名前（Name）] フィールドにハブ ネットワークの名前を入力します。

3. [BGP Autonomous System Number] フィールドに、AWS でゼロを入力して番号を選択するか、各ハブネットワークの値を 64512 〜 65534 の範囲で入力し、フィールドの横にあるチェック マークをクリックします。

独自の BGP 自律番号を設定するには、各ハブネットワークに 64512 〜 65534 の値を入力します。

AWS トランジット ゲートウェイのインスタンスごとに異なる番号を使用することをお勧めします。

4. [CIDR] 領域で、[Add CIDR] をクリックします。

これは、AWS トランジット ゲートウェイ接続 CIDR ブロックで、トランジット ゲートウェイ側の接続ピア IP アドレス（GRE 外部ピア IP アドレス）として使用されます。

1. [Region] フィールドで、適切な地域を選択します。

2. [CIDR Block Range] フィールドに、中継ゲートウェイ側の接続ピア IP アドレスとして使用される CIDR ブロックを入力します。

3. この CIDR ブロックのこれらの値を受け入れるには、チェック マークをクリックします。

4. AWS トランジット ゲートウェイ接続機能を使用するすべての管理対象リージョンに対して、これらの管理対象リージョンのそれぞれに使用する CIDR ブロックを追加します。

5. CSR のサブネット プールを追加するには、[クラウド ルータのサブネット プールを追加する（Add Subnet Pool for Cloud Router）] をクリックし、テキスト ボックスにサブネットを入力します。

最初の 2 つのリージョンの最初のサブネット プールが自動的に入力されます。3 つ以上のリージョンを選択した場合は、追加の 2 つのリージョンのリストにクラウド ルータのサブネットを追加する必要があります。このサブネット プールからのアドレスは、最初の 2 つのリージョンの後にクラウド APIC で管理する必要がある追加のリージョンのリージョン間接続に使用されます。これはマスク /24 の有効な Ipv4 サブネットである必要があります。

（注）

クラウド APIC の導入時に提供される /24 サブネットは、最大 2 つのクラウド サイトに十分です。3 つ以上のクラウド サイトを管理する必要がある場合は、さらにサブネットを追加する必要があります。

6. [IPSec トンネル サブネット プール（IPSec Tunnel Subnet Pool）] 領域で、[IPSec トンネル サブネット ツールの追加（Add IPSec Tunnel Subnet Pools）] をクリックします。

[IPSec トンネル サブネット ツールの追加（Add IPSec Tunnel Subnet Pools）] ウィンドウが表示されます。

7. 必要に応じて、IPSec トンネルに使用するサブネットプールを入力します。

このサブネット プールは、クラウド ルータとブランチ オフィスまたは外部ネットワーク上のルーターとの間に IPSec トンネルを作成するために使用されます。このサブネットは、外部接続のため、IPsec トンネル インターフェイスとクラウド ルータのループバックに対処するように使用されます。

このエリアの IPSec トンネルに使用するサブネットをさらに追加できます。サブネットがどのトンネルでも使用されていない場合は、このエリアのエントリを削除できます。

適切なサブネット プールを入力したら、チェックマークをクリックします。

8. [CSR] 領域では、 [CSR の BGP 自律システム番号（BGP Autonomous System Number for CSRs）] フィールドに値を入力します。

BGP ASN の範囲は 1 〜 65534 です。

（注）

このフィールドでは、自律システム番号として 64512 を使用しないでください。

9. [Assign Public IP to CSR Interface] フィールドで、CSR インターフェイスにパブリック IP アドレスまたはプライベート IP アドレスを割り当てるかどうかを決定します。

- パブリック IP アドレスを CSR インターフェイスに割り当てるには、[有効（Enabled）] チェック ボックスをオンのままにします。デフォルトでは、この [有効] チェック ボックスはオンになっています。

- パブリック IP アドレスを CSR インターフェイスに割り当てるには、[有効] チェック ボックスをオンのままにします。この場合、接続にはプライベート IP アドレスが使用されます。

（注）

パブリック IP アドレスの無効化または有効化は中断を伴う操作であり、トラフィック損失の原因となる可能性があります。

リリース 5.2(1) 以降では、CSR に割り当てられたパブリック IP アドレスとプライベート IP アドレスの両方が、[Cloud Resources] 領域にルータの他の詳細とともに表示されます。パブリック IP が CSR に割り当てられていない場合は、プライベート IP だけが表示されます。

10. [リージョンごとのルータ数（Number of Routers Per Region）]フィールドで、各リージョンで使用する Cisco クラウド サービス ルータ（CSR）の数を選択します。

リージョンごとのCSR数の制限の詳細については、を参照してください。サイト、リージョン、および CSR の数の制限について

11. [Username]に、Cisco Cloud Services Routerのユーザ名を入力します。

12. [Password] に、Cisco Cloud Services Router のパスワードを入力します。

13. [Throughput of the routers]フィールドで、Cisco Cloud Services Routerのスループットを選択します。

このフィールドの値を変更すると、展開されるCSRインスタンスのサイズが変更されます。スループットの値を高くすると、導入されるVMのサイズが大きくなります。

（注）

将来のある時点でこの値を変更する場合は、CSR を削除してから、この章のプロセスを再度繰り返し、同じ [ルータのスループット（Throughput of the routers）] フィールドで新しい値を選択する必要があります。

また、CSR のライセンスはこの設定に基づきます。準拠するには、Smartアカウントに同等以上のライセンスが必要です。詳細については、「AWS パブリック クラウドの要件」を参照してください。

（注）

クラウドルータは、ルータのスループットまたはログインクレデンシャルを変更する前に、すべてのリージョンから展開解除する必要があります。

14. 必要に応じて、[TCP MSS] フィールドに必要な情報を入力します。

リリース 5.0(2l) 以降では、TCP 最大セグメントサイズ（MSS）を設定するために TCP MSS オプションを使用できます。この値は、クラウドへの VPN トンネルとオンプレミス サイトまたは他のクラウド サイトへの外部トンネルを含む、すべてのクラウド ルータ インターフェイスに適用されます。クラウドへのVPNトンネルの場合、クラウドプロバイダーのMSS値がこのフィールドに入力した値よりも小さい場合は、低い方の値が使用されます。それ以外の場合は、このフィールドに入力した値が使用されます。

MSS値はTCPトラフィックにのみ影響し、pingトラフィックなどの他のタイプのトラフィックには影響しません。

15. [License Token]フィールドに、Cisco Cloud Services Routerのライセンストークンを入力します。

これは、シスコスマートソフトウェアライセンシングアカウントからの製品インスタンス登録トークンです。このライセンストークンを取得するには、に移動し、[Smart Software Licensing Inventory Virtual Account]に移動して、製品インスタンス登録トークンを見つけます。http://software.cisco.com > >

（注）

プライベート IP アドレスを使用して CSR のスマート ライセンスを登録する場合、パブリック IP アドレスが CSR に対して無効になっている場合、サポートされる唯一のオプションは、AWS Direct Connect または Azure Express Route to Cisco Smart Software Manager（CSSM）です（Administrative Smart Licensing に移動して使用可能） ）。15.iこの場合、AWS Direct Connect または Azure Express Route を介して CSSM への到達可能性を提供する必要があります。パブリック IP アドレスが無効になっている場合、プライベート IP アドレスが使用されているため、パブリック インターネットは使用できません。したがって、接続には AWS Direct Connect または Azure Express Route であるプライベート接続を使用する必要があります。

ステップ 16

[保存して続行（Save and Continue）] をクリックします。

[Let's Configure the Basics] ページが再度表示されます。

ステップ 17

[スマート ライセンシング] 行で、[登録]をクリックします。

[スマート ライセンシング] ページが表示されます。

ステップ 18

[スマート ライセンシング] ページに必要な情報を入力します。

Cisco Smart Licensing は、複数のシスコ製品間でソフトウェア ライセンスを管理する統合ライセンス管理システムです。お使いの Cloud APIC を Cisco Smart Licensing に登録するには、以下のようにします。

- 製品がインターネットにアクセスできること、またはネットワーク上にインストールされた Smart Software Manager サテライトにアクセスできることを確認してください。

- スマート アカウントにログインします。

- Smart Software Manager: https://software.cisco.com/

- Smart Software Manager サテライト: https://www.cisco.com/c/en/us/buy/smart-accounts/software-manager-satellite.html

- この製品インスタンスで使用するライセンスが含まれている仮想アカウントに移動します。

- 製品インスタンスの登録トークン（これによりスマート アカウントを識別）を生成し、そのトークンをコピーするか、または保存します。

スマート ソフトウェア ライセンシングの詳細については、https://www.cisco.com/go/smartlicensing を参照してください。

ステップ 19

このページに必要なライセンス情報を入力した場合は、ページの下部にある [登録（Register）] をクリックします。評価モードで続行する場合は、[評価モードで続行（Continue in Evaluation Mode）] をクリックします。

[概要（Summary）] ページが表示されます。

ステップ 20

[Summary] ページで情報を確認し、[Close] をクリックします。

この時点で、Cloud APIC の内部ネットワーク接続の設定は完了です。

Cloud APIC を初めて展開する場合は、このプロセスが正常に完了するまでにかなりの時間（30 分程度）がかかることがあります。

次のタスク

Cisco Cloud APIC サイトとともに追加のサイトを管理するかどうかを決定します。

- Cisco Cloud APIC サイトとともに追加サイト（オンプレミス サイトまたはクラウド サイト）をマッピングしている場合、Cisco ACI マルチサイトを介した Cisco Cloud APIC の管理 に移動します。

- Cisco Cloud APIC サイトとともに他のサイトを管理していないクラウド ファースト設定を設定する場合は、追加の設定に Cisco ACI マルチサイト オーケストレータ を使用する必要はありません。ただし、この場合、Cisco Cloud APIC GUI で追加の設定を実行する必要があります。Cisco Cloud APIC GUIの[Global Create]オプションを使用して、次のコンポーネントを設定します。

- テナント

- アプリケーション プロファイル

- EPG

詳細については、「Cisco Cloud APIC GUI の操作」と「Cisco Cloud APIC コンポーネントの設定」を参照してください。

Cisco Cloud APIC セットアップ ウィザードの設定の確認

このトピックの手順を使用して、 Cloud APIC セットアップ ウィザードに入力した設定情報が正しく適用されていることを確認します。

手順

Cisco Cloud APIC で、次の設定を確認します。

- [Cloud Resources]で、[Regions]をクリックし、選択したリージョンが[Admin State]列に管理対象として表示されていることを確認します。

- [Infrastructure]で[Inter-Region Connectivity]をクリックし、この画面の情報が正しいことを確認します。

- [インフラストラクチャ（Infrastructure）] で、[オンプレミス接続（On Premises Connectivity）] をクリックし、この画面の情報が正しいことを確認します。

- [ダッシュボード (Dashboard)] をクリックし、オンプレミス接続ステータスおよびリージョン間接続ステータス ボックスの情報を使用してセットアップ ウィザードとトンネル設定が適切であることを確認します。

次のタスク

に示す手順を使用して、マルチサイト設定を完了します。Cisco ACI マルチサイトを介した Cisco Cloud APIC の管理

Chapter6. Cisco ACI マルチサイトを介した Cisco Cloud APIC の管理

- Cisco Cloud APIC と Cisco ACI マルチサイトについて

- Cisco ACI マルチサイトへの Cisco Cloud APIC サイトの追加

- サイト間インフラストラクチャの設定

- Cisco Cloud APIC と ISN デバイス間の接続の有効化

- 共有テナントの設定

- スキーマの作成

- アプリケーション プロファイルと EPG の設定

- Creating and Associating a Bridge Domain with a VRF

- コントラクトのフィルタの作成

- Creating a Contract

- サイトをスキーマに追加する

- AWS でのインスタンスの設定

- エンド ポイント セレクタの追加

- Cisco ACI Multi-Site 設定の検証

Cisco Cloud APIC と Cisco ACI マルチサイトについて

セットアップウィザードを使用して Cisco Cloud APIC を設定するときに [サイト間接続 (Inter-Site Connectivity)] オプションを [リージョン管理 (Region Management)] ページで選択した場合は、Cisco ACI マルチサイトを使用して、オンプレミス サイトやクラウド サイトなどの別のサイトを、Cisco Cloud APIC サイトとともに管理します。Cisco Cloud APIC のセットアップウィザードで、[クラウド ルータ (Cloud Routesr)] オプションだけを [リージョン管理 (Region Management)] ページで選択した場合は、Cisco ACI マルチサイトは必要ありません。

Cisco Cloud APIC の管理専用に使用される、いくつかの新しいページが ACI マルチサイト オーケストレータに導入されています。この章のトピックでは、これらの新しい Cisco Cloud APIC 管理ページについて説明します。これらの Cisco Cloud APIC 管理ページに必要な情報を入力すると、Cisco Cloud APIC は、実質的に、Cisco ACI マルチサイトを介して管理する別のサイトになります。

Cisco Cloud APIC サイトとともにオンプレミス サイトを管理している場合は、まだ設定していなければ、これらの手順を開始する前にオンプレミス サイトを設定しておくことを推奨します。これらの手順については、次の URL にある CISCO ACI Multi Site Orchestrator Installation And Upgrade Guide を参照してください。https://www.cisco.com/c/en/us/support/cloud-systems-management/application-policy-infrastructure-controller-apic/tsd-products-support-series-home.html

Cisco ACI マルチサイトへの Cisco Cloud APIC サイトの追加

手順

ステップ 1

まだログインしていない場合は、ACI マルチサイト オーケストレータ にログインします。

ステップ 2

メイン メニューで [サイト] をクリックします。

ステップ 3

[サイト リスト] ページで、[サイトの追加 (ADD SITES)] をクリックします。

ステップ 4

[接続設定] ページで、次の操作を実行します。

1. [名前 (NAME)] フィールドに、サイト名を入力します。

たとえば、 cloudsite1です。

2. （任意） [ラベル (LABELS)] フィールドで、ラベルを選択するか作成します。

3. [APIC CONTROLLER URL] フィールドに、Cloud APIC の URL を入力します。これは、Amazon Web Services によって割り当てられるパブリック IP アドレスです。これは、セットアップウィザードを使用してCloud APIC設定Cisco Cloud APICする手順の開始時ににログインするために使用したのと同じパブリック IP アドレスです。

たとえば、 https://192.0.2.1です。

4. [ユーザ名 (USERNAME)]フィールドにユーザ名を入力します。

たとえば、adminとします。admin と同じ権限を持つ任意のアカウントに登録することもできます。

5. [パスワード (PASSWORD)] フィールドに、パスワードを入力します。

6. このフィールドが自動的に入力されていない場合は、[APIC SITE ID] フィールドに、一意のサイト ID を入力します。

サイト ID は、Cloud APIC サイトの固有識別子である必要があります。範囲は 1 ～ 127 です。

7. [保存 (SAVE)] をクリックします。

ステップ 5

Cloud APIC サイトが正しく追加されたことを確認します。

複数のサイトを管理している場合は、ACI マルチサイト オーケストレータ の [サイト (Sites)] 画面にすべてのサイトを表示する必要があります。ACI マルチサイト オーケストレータ は、サイトがオンプレミスであるか、Cloud APIC サイトであるかを自動的に検出します。

次のタスク

「サイト間インフラストラクチャの設定」に進みます。

サイト間インフラストラクチャの設定

手順

ステップ 1

[サイト (Sites)] ビューで、[インフラの構築 (CONFIGURE INFRA)] をクリックします。

[ファブリック接続インフラ (Fabric Connectivity Infra)] ページが表示されます。

ステップ 2

左側のペインの [サイト (SITES)] の下で、クラウド サイトをクリックします。

クラウド サイト領域のほとんどすべての情報は自動的に入力され、次のステップで説明する [BGP パスワード (BGP Password)] フィールドを除き、変更できません。

ステップ 3

オンプレミス サイトとクラウド サイト間でパスワードを設定するかどうかを決定します。

- オンプレミス サイトとクラウド サイトの間でパスワードを設定しない場合は、ステップ 4に進みます。

- オンプレミス サイトとクラウド サイト間でパスワードを設定するには、次のようにします。

1. 右側のペインで、[BGP パスワード (BGP password)] フィールドをクリックして、パスワードを入力します。

2. [CloudSite] ウィンドウの右上隅にある [更新 (Refresh)] アイコンをクリックします。

すべてのクラウド プロパティは、 Cloud APICから自動的に取得されます。サイトが正常に更新されたことを示すメッセージが表示され、すべてのクラウドプロパティが Cloud APIC から正常に取得されたことを確認します。

ステップ 4

クラウド サイトでマルチサイト接続を有効にするには、 [ACI マルチサイト (ACI Multi-Site)]ボタンをクリックします。

ステップ 5

サイト間インフラストラクチャを設定するために使用する展開のタイプを選択します。

画面の右上にある [展開 (Deploy)] ボタンをクリックすると、次のスクロールダウンメニューオプションが表示されます。

- [展開のみ (Deploy Only):] マルチクラウド (クラウドサイトからクラウドサイト) への接続を設定する場合は、このオプションを選択します。

このオプションは、クラウドサイトとCloud APICサイトに設定をプッシュし、クラウド サイト間のエンドツーエンド インターコネクト接続を有効にします。

- [展開 & IPN デバイス設定ファイルをダウンロード (Deploy & Download IPN Device config files:):] オンプレミスの APIC サイトと Cloud APIC サイトの両方に設定をプッシュし、オンプレミスとクラウド サイト間のエンドツーエンド インターコネクト接続を有効にします。さらに、このオプションでは、AWS に導入された Cisco クラウド サービス ルータ（CSR）とオンプレミスの IPsec 終端 デバイスとの間の接続を有効にするための設定情報を含む zip ファイルをダウンロードします。すべてまたは一部の設定ファイルのどちらをダウンロードするかを選択できるようにするための、フォローアップ画面が表示されます。

- [IPN デバイス設定ファイルのみをダウンロード (Download IPN Device config files only):] AWS に展開された CSR とオンプレミスの IPsec 終端デバイス間の接続を有効にするために使用する、設定情報を含む zip ファイルをダウンロードします。すべてまたは一部の設定ファイルのどちらをダウンロードするかを選択できるようにするための、フォローアップ画面が表示されます。

Cisco Cloud APIC と ISN デバイス間の接続の有効化

（注）

このセクションの手順は、オンプレミス サイトとクラウド サイト間の接続を有効にしている場合にのみ実行してください。オンプレミス サイトがない場合は、これらの手順をスキップして、 共有テナントの設定 に進みます。

Amazon Web Services に展開された Cisco Cloud Services Router（CSR）とオンプレミスの IPsec ターミネーション デバイス間の接続を手動で有効にするには、次の手順に従います。

デフォルトでは、Cisco Cloud APIC は冗長 CSR のペアを展開します。このセクションの手順では、2 つのトンネルを作成します。1 つはオンプレミスの IPsec デバイスからこれらの各 CSR に対する IPsec トンネルです。

次の情報は、オンプレミスの IPsec ターミネーション デバイスとして CSR のコマンドを提供します。別のデバイスまたはプラットフォームを使用している場合は、同様のコマンドを使用します。

手順

ステップ 1

AWS に導入された Csr とオンプレミスの IPsec ターミネーション デバイスとの間の接続を有効にするために必要な必要な情報を収集します。

- サイト間インフラストラクチャの設定で示されている手順の一部として ACI マルチサイト オーケストレータで、IPN デバイス設定ファイルを展開してダウンロードするか、IPN デバイス設定ファイルのみをダウンロードするように選択した場合、ISN デバイスの設定ファイルが含まれている zip ファイルを見つけます。

- AWS に展開された CSR とオンプレミスの IPsec ターミネーション デバイスとの間の接続を有効にするために必要な情報を手動で検索する場合は、『Cisco Cloud APIC インストール ガイド』の付録で説明されているように、CSR とテナントの情報を収集します。

ステップ 2

オンプレミスの IPsec デバイスにログインします。

ステップ 3

最初の CSR のトンネルを設定します。

ACI マルチサイト オーケストレータ を使用して、ISN デバイスの設定ファイルをダウンロードした場合は、最初の CSR の設定情報を見つけて、その設定情報を入力します。

次に、最初の CSR の設定情報がどのように表示されるかの例を示します。

crypto isakmp policy 1
encryption  aes
authentication pre-share
group  2
lifetime 86400
hash sha
exit

crypto keyring infra:overlay-1-<first-CSR-tunnel-ID>
pre-shared-key address <first-CSR-elastic-IP-address> key <first-CSR-preshared-key>
exit

crypto isakmp profile infra:overlay-1-<first-CSR-tunnel-ID>
local-address <interface>
match identity address <first-CSR-elastic-IP-address>
keyring infra:overlay-1-<first-CSR-tunnel-ID>
exit

crypto ipsec transform-set infra:overlay-1-<first-CSR-tunnel-ID> esp-aes esp-sha-hmac
mode tunnel
exit

crypto ipsec profile infra:overlay-1-<first-CSR-tunnel-ID>
set pfs group2
set security-association lifetime seconds 86400
exit

interface tunnel <first-CSR-tunnel-ID>
ip address <peer-tunnel-for-onprem-IPsec-to-first-CSR> 255.255.255.252
ip virtual-reassembly
tunnel source <interface>
tunnel destination <first-CSR-elastic-IP-address>
tunnel mode ipsec ipv4
tunnel protection ipsec profile infra:overlay-1-<first-CSR-tunnel-ID>
ip mtu 1476
ip tcp adjust-mss 1460
ip ospf <process-id> area <area-id>
no shut
exit

それぞれの説明は次のとおりです。

- <first-CSR-tunnel-ID> は、このトンネルに割り当てる一意のトンネル ID です。

- <first-CSR-tunnel-ID> は、最初の CSR の 3 番目のネットワーク インターフェイスの柔軟な IP アドレスです。

- <first-CSR-preshared-key> は、最初の CSR の事前共有キーです。

- <interface> は、Amazon Web サービスに導入された CSR への接続に使用されるインターフェイスです。

- <peer-tunnel-for-onprem-IPsec-to-first-CSR> は、最初のクラウド CSR に対してオンプレミスの IPsec デバイスのピア トンネル IP アドレスとして使用されます。

- <process-id> は OSPF プロセス ID です。

- <area-id> は、OSPF エリア ID です。

次に例を示します。

crypto isakmp policy 1
encryption  aes
authentication pre-share
group  2
lifetime 86400
hash sha
exit

crypto keyring infra:overlay-1-1000
pre-shared-key address 192.0.2.20 key 123456789009876543211234567890
exit

crypto isakmp profile infra:overlay-1-1000
local-address GigabitEthernet1
match identity address 192.0.2.20
keyring infra:overlay-1-1000
exit

crypto ipsec transform-set infra:overlay-1-1000 esp-aes esp-sha-hmac
mode tunnel
exit

crypto ipsec profile infra:overlay-1-1000
set pfs group2
set security-association lifetime seconds 86400
exit

interface tunnel 1000
ip address 30.29.1.2 255.255.255.252
ip virtual-reassembly
tunnel source GigabitEthernet1
tunnel destination 192.0.2.20
tunnel mode ipsec ipv4
tunnel protection ipsec profile infra:overlay-1-1000
ip mtu 1476
ip tcp adjust-mss 1460
ip ospf 1 area 1
no shut
exit

ステップ 4

2 番目の CSR のトンネルを設定します。

ACI マルチサイト オーケストレータ を使用して、ISN デバイスの設定ファイルをダウンロードした場合は、2 番目の CSR の設定情報を見つけて、その設定情報を入力します。

次に、2 番目の CSR の設定情報がどのように見えるかの例を示します。

crypto isakmp policy 1
encryption  aes
authentication pre-share
group  2
lifetime 86400
hash sha
exit

crypto keyring infra:overlay-1-<second-CSR-tunnel-ID>
pre-shared-key address <second-CSR-elastic-IP-address> key <second-CSR-preshared-key>
exit

crypto isakmp profile infra:overlay-1-<second-CSR-tunnel-ID>
local-address <interface>
match identity address <second-CSR-elastic-IP-address>
keyring infra:overlay-1-<second-CSR-tunnel-ID>
exit

crypto ipsec transform-set infra:overlay-1-<second-CSR-tunnel-ID> esp-aes esp-sha-hmac
mode tunnel
exit

crypto ipsec profile infra:overlay-1-<second-CSR-tunnel-ID>
set pfs group2
set security-association lifetime seconds 86400
exit

interface tunnel <second-CSR-tunnel-ID>
ip address <peer-tunnel-for-onprem-IPsec-to-second-CSR> 255.255.255.252
ip virtual-reassembly
tunnel source <interface>
tunnel destination <second-CSR-elastic-IP-address>
tunnel mode ipsec ipv4
tunnel protection ipsec profile infra:overlay-1-<second-CSR-tunnel-ID>
ip mtu 1476
ip tcp adjust-mss 1460
ip ospf <process-id> area <area-id>
no shut
exit

次に例を示します。

crypto isakmp policy 1
encryption  aes
authentication pre-share
group  2
lifetime 86400
hash sha
exit

crypto keyring infra:overlay-1-1001
pre-shared-key address 192.0.2.21 key 123456789009876543211234567891
exit

crypto isakmp profile infra:overlay-1-1001
local-address GigabitEthernet1
match identity address 192.0.2.21
keyring infra:overlay-1-1001
exit

crypto ipsec transform-set infra:overlay-1-1001 esp-aes esp-sha-hmac
mode tunnel
exit

crypto ipsec profile infra:overlay-1-1001
set pfs group2
set security-association lifetime seconds 86400
exit

interface tunnel 1001
ip address 30.29.1.6 255.255.255.252
ip virtual-reassembly
tunnel source GigabitEthernet1
tunnel destination 192.0.2.21
tunnel mode ipsec ipv4
tunnel protection ipsec profile infra:overlay-1-1001
ip mtu 1476
ip tcp adjust-mss 1460
ip ospf 1 area 1
no shut
exit

ステップ 5

設定する必要があるその他の CSR について、これらの手順を繰り返します。

ステップ 6

オンプレミスの IPsec デバイスでトンネルがアップしていることを確認します。

次に例を示します。

ISN_CSR# show ip interface brief | include Tunnel
Interface              IP-Address      OK? Method Status                Protocol
Tunnel1000             30.29.1.2         YES manual up                    up
Tunnel1001             30.29.1.4         YES manual up                    up

両方のトンネルがアップとして表示されていない場合は、この項の手順で入力した情報を確認して、問題が発生している可能性がある場所を確認します。両方のトンネルがアップとして表示されるまで、次のセクションに進まないでください。

共有テナントの設定

オンプレミスサイトと Cloud APIC サイト間で共有されるテナントを設定するには、この項の手順に従います。

手順

ステップ 1

ACI マルチサイト オーケストレータで、次の手順を実行します。

1. メイン メニューで、[テナント (Tenants)] をクリックします。

2. [テナント リスト (Tenants List)] エリアで、[テナントの追加 (ADD TENANT)] をクリックします。

3. [テナントの詳細 (Tenant Details)] ペインで、次の手順を実行します。

- [表示名 (DISPLAY NAME)] フィールドに、テナント名を入力します。

- オプション: [説明 (DESCRIPTION)] フィールドに、テナントについての簡潔な説明を入力します。

- [関連するサイト (Associated Sites)] セクションで、オンプレミスとクラウドのサイトを選択します。

- まだ選択していなければ、[関連するユーザ (Associated Users)] セクションで、ユーザを選択します。

- [保存 (SAVE)] をクリックします。

ステップ 2

Cloud APICサイトにログインし、このテナントの Amazon Web Services アカウントの詳細を設定します。

1. メインの Cloud APIC ページの [アプリケーション管理 (Application Management)] の下で、[テナント (Tenant)] をクリックします。

2. [テナント (Tenant)] ページで、前の手順の ACI マルチサイト オーケストレータ で作成したテナントをクリックします。

3. 画面の右上にある展開ボタンをクリックします。

これは、[閉じる (X)] ボタンの横にある、正方形と上向きの矢印が付いたボタンです。

4. [テナント (Tenant)] ページで、画面の右上にある編集ボタンをクリックします。これは、[アクション (Actions)] フィールドの横にある、鉛筆のアイコンが付いたボタンです。

5. [テナントの編集 (Edit Tenant)] ページで、[設定 (Settings)] 領域までスクロールし、 ユーザ テナントのアクセス タイプに応じて必要な情報を入力します。

- Cloud APIC のユーザ テナントが信頼されている場合 (CFT を使用して信頼できるテナントの AWS アカウントを設定した場合) は、このページに次の情報を入力します。

- [AWS アカウント ID (AWS Account ID):] ユーザ テナントの AWS アカウント番号 (CFT を使用して、信頼できるテナントの AWS アカウントをセットアップしたときにログインした AWS アカウント) を入力します。

- [アクセスタイプ（Access Type）]：このフィールドで[信頼（Trusted）]を選択します。

（注）

[クラウド アクセス キー ID (Cloud Access KEY ID)] フィールドと [クラウド秘密アクセス キー (Cloud Secret Access Key)] フィールドは、[アクセス タイプ（Access Type）] として [信頼済み（Trusted）] を選択している場合、 表示されません。これらのフィールドは、信頼できるテナントには必要ありません。

- Cloud APICのユーザ テナントが信頼されていない場合 (AWS アクセスキー ID と秘密アクセス キーを使用して、信頼できないユーザ テナントの AWS アカウントをセットアップした場合) は、このページで次の情報を入力します。

- [AWS アカウント ID (AWS Account ID):] このフィールドには、ユーザ テナントの AWS アカウント番号を入力します。

- Access Type：このフィールドで[Untrusted]を選択します。

- [クラウド アクセス キー ID (Cloud Access KEY ID):] このフィールドには、ユーザ テナントの AWS アクセスキー ID 情報を入力します。

- [クラウド秘密アクセス キー (Cloud Secret Access Key):] このフィールドには、ユーザ テナントの AWS 秘密アクセス キー情報を入力します。

- のユーザテナントがAWS組織のメンバーである場合（AWS組織を使用して組織を設定し、組織内にアカウントを作成するか、組織にアカウントを招待することでアカウントを追加した場合）、組織のマスターアカウントの場合は、次の情報を入力して組織タグをこのテナントに割り当てます。Cloud APICCloud APIC

- [AWS アカウント ID (AWS Account ID):] このフィールドには、ユーザ テナントの AWS アカウント番号を入力します。

- [アクセスタイプ（Access Type）]：このフィールドで[組織（Organization）]を選択します。

（注）

このテナントに組織タグを割り当てる場合は、以下が適用されます。

- このフィールドで[組織（Organization）]オプションがグレー表示されている場合は、AWS組織のマスターアカウント（インフラストラクチャテナント）を展開していません。Cloud APIC（インフラテナント）がAWS組織のマスターアカウントに展開されていない場合、テナントに組織タグを割り当てることはできません。Cloud APIC詳細については、「AWS で Cloud APIC を導入する」を参照してください。

- 既存の AWS アカウントに招待されたマスター アカウントが組織に加わる場合、組織テナント用の AWS に設定された OrganizationAccountAccessRole IAM ロールがあり、Cloud APIC 関連の許可を使用可能であることを確認してください。詳細については、「AWS Organizations と組織のユーザ テナントのサポート」を参照してください。

（注）

[クラウド アクセス キー ID (Cloud Access KEY ID)] フィールドと [クラウド秘密アクセス キー (Cloud Secret Access Key)] フィールドは、[アクセス タイプ（Access Type）] として [信頼済み（Trusted）] を選択している場合、 表示されません。これらのフィールドは、組織テナントには必要ありません。

6. 画面の下部にある[保存（Save）] をクリックします。

次のタスク

「スキーマの作成」に進みます。

スキーマの作成

Cisco Cloud APIC に固有ではない一般的な Cisco ACI Multi-Site 手順がいくつかありますが、Cisco ACI Multi-Site を介してオンプレミスサイトと Cisco Cloud APIC サイトを管理している場合は Cisco Cloud APIC の全体的なセットアップの一部として実行する必要があります。ここでは、APIC の Cisco Cloud 全体的なセットアップの一部である Cisco ACI Multi-Site の一般的な手順について説明します。

Cisco Cloud APIC サイトの新しいスキーマを作成する場合は、この項の手順に従ってください。

Cisco Cloud APIC サイトに使用するスキーマがすでにある場合は、これらの手順をスキップして、サイトをスキーマに追加する に移動することができます。

手順

ステップ 1

メイン メニューで [スキーマ] をクリックします。

ステップ 2

[スキーマ] ページで、[スキーマの追加] をクリックします。

ステップ 3

[無題スキーマ] ページで、ページの上部にあるテキスト 無題スキーマを、作成するスキーマの名前 (たとえば、 Cloudbursting スキーマ に置き換えます。

ステップ 4

左側のペインで [ロール (Roles)] をクリックします。

ステップ 5

中央のペインで、スキーマを作成するエリアをクリックしてテナントを選択してください をクリックしてください。

ステップ 6

[テナントの選択] ダイアログ ボックスにアクセスし、ドロップダウン メニューから 共有テナントの設定 で作成したテナントを選択します。

アプリケーション プロファイルと EPG の設定

この手順では、アプリケーション プロファイルを設定し、2 つの EPG を追加する方法について説明します。1 つはクラウド サイト用、もう 1 つは、プロバイダ コントラクトが 1 つの EPG に関連付けられており、コンシューマ コントラクトが他の EPG に関連付けられている場合です。

手順

ステップ 1

中央のペインで、[アプリケーション プロファイル (Application Profile)] エリアを見つけて、[+ アプリケーション プロファイル (+ Application profile)] をクリックします。

ステップ 2

右側のペインで、[表示名 (DISPLAY NAME)] フィールドにアプリケーション プロファイルの名前を入力します。

ステップ 3

中央のペインで、[+ EPG の追加 (+ ADD EPG)] をクリックして、クラウド サイトの EPG を作成します。

ステップ 4

右側のペインで、[表示名 (DISPLAY NAME)] フィールドに EPG の名前を入力します (たとえば epg1)。

ステップ 5

オンプレミス サイトの EPG を作成する場合には、中央のペインで、[+ EPG の追加 (+ ADD EPG)] をクリックします。

ステップ 6

右側のペインで、[表示名 (DISPLAY NAME)] フィールドに EPG の名前を入力します (たとえば epg2)。

ステップ 7

VRF を作成します。

1. 中央のペインで、[VRF] エリアが表示されるまで下方にスクロールし、点線で囲まれたボックスの + をクリックします。

2. 右側のペインで、[表示名 (DISPLAY NAME)] フィールドに EPG の名前を入力します (たとえば vrf1)。

ステップ 8

[保存 (SAVE)] をクリックします。

Creating and Associating a Bridge Domain with a VRF

Follow the procedures in this section to create a bridge domain for the on-premises site and associate it with the VRF. Note that these procedures are not necessary for a cloud-only schema.

Procedure

Step 1

In the middle pane, scroll back up to EPG and click on the EPG that you created earlier for the on-premises site.

Step 2

In the right pane, in the ON-PREM PROPERTIES area, under BRIDGE DOMAIN, create a new bridge domain by typing a name in the field (for example, bd1), then click the Create area.

Step 3

In the middle pane, click the bridge domain that you just created.

Step 4

In the Virtual Routing & Forwarding field, select the VRF that you created in アプリケーション プロファイルと EPG の設定.

Step 5

Scroll down to the SUBNETS area and click on the + next to SUBNET under the GATEWAY heading.

Step 6

On the Add Subnet dialog, enter the Gateway IP address and a description for the subnet you plan to add. The Gateway IP address is the on-premises subnet.

Step 7

In the Scope field, select Advertised Externally.

Step 8

Click SAVE.

コントラクトのフィルタの作成

手順

ステップ 1

中央のペインで、[コントラクト (Contract)] エリアが表示されるまで下方にスクロールし、点線で囲まれたボックスの + をクリックします。

ステップ 2

右側のペインで、[表示名 (DISPLAY NAME)] フィールドにフィルタの名前を入力します。

ステップ 3

[+ 入力(+ Entry)] をクリックして、[エントリの追加 (Add Entry)] ディスプレイ上のスキーマ フィルタについての情報を入力します。

1. Name フィールド (Add Entry ダイアログ) のスキーマ フィルタ エントリの名前を入力します。

2. オプション。Description フィールドにフィルタの説明を入力します。

3. EPG の通信のフィルタ処理を行うために、必要に応じて詳細を入力します。

たとえば、フィルタを通過する HTTPS トラフィックを許可するエントリを追加するには、次のように選択します。

TYPE: IP、IP PROTOCOL: TCP、および DESTINATION PORT RANGE FROM および DESTINATION PORT range TO: https。

4. [保存 (SAVE)] をクリックします。

Creating a Contract

Procedure

Step 1

In the middle pane, scroll down until you see the Contract area, then click + in the dotted box.

Step 2

In the right pane, enter a name for the contract in the DISPLAY NAME field.

Step 3

In the SCOPE area, leave the selection at VRF.

Step 4

In the FILTER CHAIN area, click + FILTER.

The Add Filter Chain screen appears.

Step 5

In the NAME field, select the filter that you created in コントラクトのフィルタの作成.

Step 6

In the middle pane, scroll back up to EPG and click on the EPG that you created for the cloud site.

Step 7

In the right pane, click + CONTRACT.

The Add Contract screen appears.

Step 8

In the CONTRACT field, select the contract that you created earlier in this procedure.

Step 9

In the TYPE field, select either CONSUMER or PROVIDER.

Step 10

Scroll to the CLOUD PROPERTIES area, then, in the VIRTUAL ROUTING & FORWARDING area, choose the VRF that you created in アプリケーション プロファイルと EPG の設定.

Step 11

Click SAVE.

Step 12

In the middle pane, scroll back up to EPG and click on the EPG that you created for the on-premises site.

Step 13

In the right pane, click + CONTRACT.

The Add Contract screen appears.

Step 14

In the CONTRACT field, select the same contract that you created earlier in this procedure.

Step 15

In the TYPE field, select either CONSUMER or PROVIDER, whatever you did not select for the previous EPG.

For example, if you selected PROVIDER for the first EPG, select CONSUMER for the second EPG.

Step 16

Scroll to the CLOUD PROPERTIES area, then, in the VIRTUAL ROUTING & FORWARDING area, choose the same VRF that you created in アプリケーション プロファイルと EPG の設定.

サイトをスキーマに追加する

手順

ステップ 1

左側のペインで、[サイト (Sites)] の横にある + をクリックします。

ステップ 2

[サイトの追加 (Add Sites)] ページで、それぞれの横にあるボックスをオンにして、オンプレミスおよびクラウド サイトをスキーマに追加し、[保存 (Save)] をクリックします。

ステップ 3

左側のペインのクラウド サイトの下にあるテンプレートをクリックして、テンプレートのサイト ローカル プロパティを設定します。

ステップ 4

中央のペインで、VRF をクリックします。

ステップ 5

右側のペインの [サイト ローカル プロパティ (SITE LOCAL PROPERITES)] 領域で、次の情報を入力します。

1. [リージョン (region)] フィールドで、この VRF を導入する Amazon Web サービスのリージョンを選択します。

2. CIDRフィールドで、+CIDR をクリックします。

[クラウド CIDR の追加（ADD CLOUD CIDR）]ダイアログボックスが表示されます。次の情報を入力します。

- CIDR: VPC CIDR 情報を入力します。たとえば、 11.11.0.0/16とします。

CIDR には、Amazon Web Services VPC で使用可能になるすべてのサブネットの範囲が含まれています。

（注）

このフィールドに入力した VPC CIDR 情報は、インフラ VPC CIDR と重複させることはできません。このフィールドに入力した CIDR 情報が、AWS で Cloud APIC を導入する の ステップ 12 の [インフラ VPC プール (Infra VPC Pool)] フィールドに入力したインフラ VPC CIDR 情報と重複していないことを確認します。

- [CIDR タイプ (CIDR TYPE)]: [プライマリ (Primary)] または [セカンダリ (Secondary)] を選択します。これが最初の CIDR の場合は、CIDR タイプとして [プライマリ (Primary)] を選択します。

- [サブネット追加 (ADD SUBNETS)]: サブネット情報を入力し、ゾーンを選択してから、チェックマークをクリックします。たとえば、 11.11.1.0/24 とします。

サブネットは、各アベイラビリティ ゾーンの CIDR ブロックの範囲内に割り当てます。

3. ウィンドウで [保存 (Save)] をクリックします。

AWS でのインスタンスの設定

Cloud APIC のためのエンドポイント セレクタを、Cloud APICGUI または ACI マルチサイト オーケストレータ GUI のいずれか使用して設定する場合には、Cloud APIC のために設定するエンドポイント セレクタに対応し、AWS 内で必要なインスタンスについても、設定することが必要になります。

このトピックでは、AWS でインスタンスを設定する手順について説明します。Cloud APIC のためのエンドポイント セレクタを設定する前に、または後で、これらの手順を使用して AWS のインスタンスを設定することができます。たとえば、先に AWS のアカウントに移動し、AWS のカスタム タグまたはラベルを作成してから、ACI マルチサイト オーケストレータ のカスタム タグまたはラベルを使用して、エンドポイント セレクタを作成することができます。または、ACI マルチサイト オーケストレータ でカスタムタグまたはラベルを使用してエンドポイント セレクタを作成してから、AWS のアカウントに移動し、AWS のカスタム タグまたはラベルを作成することもできます。

手順

ステップ 1

ACI マルチサイト オーケストレータ GUI または Cisco Cloud APIC GUI を使用してクラウド コンテキスト プロファイルを設定したかどうかを確認します。

クラウド コンテキスト プロファイルは、AWS インスタンス設定プロセスの一部として設定する必要があります。ここで、クラウド コンテキスト プロファイルは、VRF およびリージョンと組なって、そのリージョン内の AWS VPC を表します。Cisco Cloud APIC GUI を使用してクラウド コンテキスト プロファイルを設定すると、VRF やリージョンの設定などの設定情報は、AWS にプッシュされます。同様のアクションは、Cisco Cloud APIC を ACI マルチサイト オーケストレータ GUI を使用して設定した場合にも生じます。ここで、これらのクラウド コンテキスト プロファイル設定は、Cisco Cloud APIC 設定プロセスの一部として ACI マルチサイト オーケストレータ GUI によって設定され、AWS にプッシュされます。

- Cisco Cloud APIC を ACI マルチサイト オーケストレータ GUI を使用して設定する場合は、クラウド コンテキスト プロファイルを手動で設定する必要はありません。VRF やリージョン設定など、特定のクラウド コンテキスト プロファイル設定は、Cisco Cloud APIC 設定プロセスの一部として、前のセクションで実行した ACI マルチサイト オーケストレータ GUI により設定され、AWS にプッシュされます。

- クラウド コンテキスト プロファイルを Cisco Cloud APIC GUI を使用して設定する場合には、『Cisco Cloud APIC User Guide, Release 4.1(x)』で説明されている手順に従い、GUI または REST API を使用して、クラウド コンテキスト プロファイルを設定してください。

ステップ 2

クラウド コンテキスト プロファイルの設定を確認し、AWS インスタンスで使用する設定を決定します。

1. まだログインしていない場合は、Cisco Cloud APIC にログインします。

2. [ナビゲーション (Navigation)] メニューで、[アプリケーション管理 (Application Management)] タブを選択します。

[アプリケーション管理 (Application Management)] タブを展開すると、サブタブ オプションのリストが表示されます。

3. [クラウド コンテキスト プロファイル (Cloud Context Profiles)] サブタブ オプションを選択します。

Cisco Cloud APIC 用に作成したクラウド コンテキスト プロファイルのリストが表示されます。

4. この AWS インスタンス設定プロセスの一部として使用するクラウド コンテキスト プロファイルを選択します。

リージョン、VRF、IP アドレス、サブネットなど、このクラウド コンテキスト プロファイルのさまざまな設定パラメータが表示されます。AWS インスタンスを設定するときには、このウィンドウに表示される情報を使用します。

ステップ 3

まだログインしていない場合は、 Cisco Cloud APICユーザテナントの Amazon Web Services アカウントにログインします。

ステップ 4

[サービス (Services)] > EC2 > インスタンス (Instances)] > [インスタンスの起動 (Launch Instance)] に移動します。

ステップ 5

[Amazon マシン イメージ (AMI )の選択 (Choose Amazon Machine Image (AMI))] ページで、Amazon マシン イメージ (AMI) を選択します。

ステップ 6

[インスタンス タイプの選択 (Choose An Instance type)] ページで、インスタンス タイプを選択し、[インスタンスの詳細の設定 (Configure instance Detail)] をクリックします。

ステップ 7

[インスタンスの詳細の設定 (Configure instance Detail)] ページで、該当するフィールドに必要な情報を入力します。

- [ネットワーク (Network)] フィールドで、Cloud APIC VRF を選択します。

これは、この AWS インスタンス設定プロセスの一部として使用しているクラウド コンテキスト プロファイルに関連付けられている VRF です。

- [サブネット (Subnet)] フィールドに、サブネットを入力します。

- パブリック IP を使用する場合は、[パブリック IP の自動割り当て (Auto Assign public IP)] フィールドで、スクロールダウンメニューから [有効 (Enable)] を選択します。

ステップ 8

[インスタンスの詳細の設定 (Configure Instance Details)] ページに必要な情報を入力したら、[ストレージを追加 (Add Storage)] をクリックします。

ステップ 9

[ストレージの追加 (Add Storage)] ページで、デフォルト値を受け入れるか、必要に応じてこのページでストレージを設定し、[タグの追加 (add Tags)] をクリックします。

ステップ 10

[タグの追加 (Add Tags)] ページで、[タグの追加 (add Tag)] をクリックし、このページの該当するフィールドに必要な情報を入力します。

（注）

これらの手順の後の部分で、エンドポイント セレクタのタイプに対して IP アドレス、リージョン、またはゾーンを使用する場合は、このページに情報を入力する必要はありません。このような状況では、AWS でインスタンスを開始すると、Cloud APIC によって IP アドレス、リージョン、またはゾーンが検出され、エンドポイントが EPG に割り当てられます。

- [キー (Key):] これらの手順で後で追加するエンドポイント セレクタのタイプのカスタム タグを作成するときに使用するキーを入力します。

- [値 (Value):] このキーで使用する値を入力します。

- [インスタンス (Instance):] このフィールドのチェックボックスをオンにします。

- [ボリューム (Volume):]このフィールドのチェックボックスをオンにします。

たとえば、これらの手順で後ほど、エンドポイント セレクタの特定のビルディングのカスタム タグを作成する予定の場合 (building6 など) は、このページの次のフィールドに次の値を入力できます。

- [キー (Key):] ロケーション

- [値 (value):] building6

ステップ 11

[確認して起動する（Review and Launch） をクリックします。

既存のキー ペアを選択するか、新しいキー ペアを作成します。キーペアの ページが表示されます。後ほどインスタンスに ssh 接続する場合は、このページの情報を使用します。

エンド ポイント セレクタの追加

Cisco Cloud APICでは、クラウド EPG は、同じセキュリティ ポリシーを共有するエンドポイントの集合です。クラウド EPG は、1 つまたは複数のサブネット内にエンドポイントを持つことができ、VRF に関連付けられます。

Cisco Cloud APIC には、エンドポイントをクラウド EPG に割り当てるために使用される、エンドポイント セレクタと呼ばれる機能があります。エンドポイント セレクタは、基本的に言って、Cisco ACI によって管理される AWS VPC に割り当てられたクラウド インスタンスに対して実行される一連のルールです。エンドポイント インスタンスに一致するエンドポイント セレクタ ルールは、そのエンドポイントをクラウド EPG に割り当てます。エンドポイント セレクタは、Cisco ACI で使用可能な属性ベースのマイクロセグメンテーションに似ています。

エンドポイント セレクタは、 Cisco Cloud APIC GUI またはACI マルチサイト オーケストレータ GUI のいずれかを使用して設定できます。2 つの GUI 間で使用可能なオプションにはわずかな違いがありますが、エンドポイント セレクタを追加するための一般的な概念と全体的な手順は、基本的にこの 2 つの間で同じです。

このセクションの手順では、 ACI マルチサイト オーケストレータ GUI を使用してエンドポイント セレクタを設定する方法について説明します。Cisco Cloud APIC GUI を使用したエンドポイント セレクタの設定の詳細については、『Cisco Cloud APIC User Guide, Release 4.1 (x)』を参照してください。

手順

ステップ 1

Cisco Cloud APIC のエンドポイント セレクタに使用できる Amazon Web Services サイトから、必要な情報を収集します。

手順については、AWS でのインスタンスの設定を参照してください。

（注）

これらの手順は、最初に AWS でインスタンスを設定してから、その後に Cisco Cloud APIC のエンドポイント セレクタを追加することを前提としています。ただし、AWS でのインスタンスの設定 で説明されているように、最初に Cisco Cloud APIC のエンドポイント セレクタを追加してから、この AWS インスタンスの設定手順を、これらのエンドポイント セレクタの手順の最後で実行することもできます。

ステップ 2

ログインしていない場合は、ACI マルチサイト オーケストレータ にログインします。

ステップ 3

左側のペインで、[スキーマ (schema)] をクリックし、以前に作成したスキーマを選択します。

ステップ 4

エンドポイント セレクタを作成する方法を決定します。

- 今後追加される、任意のクラウド サイトに適用できるエンドポイント セレクタを作成するには、次の手順を実行します。

1. 左側のペインで、テンプレートを選択したままにします。

これらの手順で特定のサイトを選択しないでください。

2. 中央のペインで、クラウド サイト用に作成した EPG を選択します。

3. 右側のペインの [クラウドのプロパティ (CLOUD PROPERITES)] 領域で、+ ([セレクタ (SELECTORS)] の横にあるもの) をクリックして、エンドポイント セレクタを設定します。

4. [新しいエンドポイント セレクタの追加 (Add New End Point selector)] ダイアログで、[エンドポイント セレクタ名 (END POINT SELECTOR NAME)] フィールドに、このエンドポイント セレクタで使用する分類に基づいて名前を入力します。

5. [+ 式 (Expression)] をクリックし、エンドポイント セレクタのタイプを選択します。

このように作成されたエンドポイント セレクタの場合、[キー (Key)] フィールドで使用できるオプションは [EPG] のみです。

6. ステップ 5 に進みます。

- このクラウド サイト専用のエンドポイント セレクタを作成するには、次の手順を実行します。

1. 左ペインで、クラウド サイトを選択します。

2. 中央のペインで、クラウド サイト用に作成した EPG を選択します。

3. 右側のペインの [サイトのローカルのプロパティ (SITE LOCAL PROPERITES)] 領域の [セレクタ (SELECTOR)]領域で、+ ([セレクタ （SELECTOR)] の横にあるもの) をクリックして、エンドポイント セレクタを設定します。

4. [新しいエンドポイント セレクタの追加 (Add New End Point selector)] ダイアログで、[エンドポイント セレクタ名 (END POINT SELECTOR NAME)] フィールドに、このエンドポイント セレクタで使用する分類に基づいて名前を入力します。

たとえば、IP サブネット分類のエンドポイント セレクタの場合は、 [IP-Subnet-EPSelector]などの名前を使用できます。

5. [+ 式 (Expression)] をクリックし、エンドポイント セレクタで使用するキーを選択します。

- [IP アドレス (IP Address)]): IP アドレスまたはサブネットによって選択するために使用されます。

- [リージョン (Region)]: エンドポイントの AWS リージョンで選択するために使用されます。

- [ゾーン (Zone)]: エンドポイントの AWS アベイラビリティ ゾーンによって選択するために使用されます。

- エンドポイント セレクタのカスタム タグを作成する場合は、[検索または作成のために入力 (Type to search or create)] フィールドで入力を開始してカスタム タグまたはラベルを入力し、新しいフィールドで [作成 (Create)] をクリックして、新しいカスタム タグまたはラベルを作成します。

AWS にタグを追加するときに、これらの手順の前の例を使用すると、以前に AWS で追加したロケーション タグと一致するように、このフィールドにカスタム タグのロケーションを作成できます。

ステップ 5

[演算子 (Operator)] フィールドで、エンドポイント セレクタに使用する演算子を選択します。

（注）

4.2 (1) より前のリリースでは、オプションとして [キーが存在 (Key Exist]] と [キーが存在しない (Key Not Exist)] を使用していましたが、現在では[キーを持つ (Has Key)] と [キーを持たない (Does Not Have Key)] になっています。異なるのはオプションの名前だけで、機能はどちらのオプションのセットでも同じです。

次のオプションがあります。

- [等しい (Equals)]: [値 (value)] フィールドに 1 つの値がある場合に使用します。

- [等しくない (Not Equals)]: 値フィールドに 1 つの値がある場合に使用されます。

- [の中にある (In)]: [値 (Value)] フィールドに複数のカンマ区切り値がある場合に使用します。

- [の中にない (Not In)]: 値フィールドに複数のカンマ区切り値がある場合に使用されます。

- [キーを持つ (Has Key)]: 式にキーのみが含まれている場合に使用されます。

- [キーを持たない (Does Not Have Key)]: 式にキーのみが含まれている場合に使用されます。

ステップ 6

[値 (value)] フィールドで、2 つ前のフィールドに対して行った選択に基づいて、エンドポイント セレクタに使用する値を選択します。[値 (Value)] フィールドには、複数のカンマ区切りのエントリを含めることができます。このフィールドのエントリの間には論理 OR があるものとみなされます。

（注）

[キーを持つ (Has Key)] または [キーを持たない (Does Not Have Key)]を選択していない場合には、[演算子 (Operator)] フィールドは表示されません。

たとえば、エンドポイント セレクタに、us-west-1a など特定の Amazon Web サービスのアベイラビリティ ゾーンを設定する場合には、この画面で次の項目を選択します。

- [キー (Key):] Zone

- [演算子 (Operator):] Equals

- [値 (Value):] us-west-1a

別の例として、これらのフィールドで次の値を使用したとします。

- [キー (Key):] IP

- [演算子 (Operator):] Has Key

- [値 (Valuse):]は、演算子 (Operator)] フィールドで [Has Key] が使用されているため、使用できません。

EPG ルールは、この状況で IP アドレスを持つすべてのエンドポイントに適用されます。

最後の例として、これらのフィールドで次の値を使用したとします。

- [キー (Key):] custom tag: Location

- [演算子 (Operator):] Has Key

- [値 (Valuse):]は、演算子 (Operator)] フィールドで [Has Key] が使用されているため、使用できません。

この場合、EPG ルールは、AWS タグキーとして Location を持つすべてのエンドポイントに、ロケーションの値に関係なく適用されます。

ステップ 7

このエンドポイント セレクタ式の作成が完了したら、チェックマークをクリックします。

ステップ 8

追加のエンドポイント セレクタ式を作成するかどうかを決定します。

単一のエンドポイント セレクタで複数の式を作成した場合、それらの式の間には論理 AND があるものとみなされます。たとえば、1つのエンドポイントセレクタで2つの式セットを作成したとします。

- エンドポイント セレクタ 1、式 1:

- [キー (Key):] Zone

- [演算子 (Operator):] Equals

- [値 (Value):] us-west-1a

- エンドポイント セレクタ1、式 2:

- [キー (Key):] IP

- [演算子 (Operator):] Equals

- [値 (Value):] 192.0.2.1/24

この場合、これらの式の両方が真になる場合 (アベイラビリティ ゾーンが us-west-1a で、IP アドレスがサブネット 192.0.2.1/24 に属している場合) に、そのエンドポイントはクラウド EPG に割り当てられます。

このエンドポイント セレクタで作成するすべての式を追加した後で、チェックマークをクリックします。

ステップ 9

このエンドポイント セレクタの式の作成が完了したら、[保存 (SAVE)] をクリックします。これは [新しいエンドポイント セレクタの追加 (Add New End Point selector)] の右下隅にあります。

EPG の下で複数のエンドポイント セレクタを作成した場合は、それらのエンドポイント セレクタの間には論理 OR があるものとみなされます。たとえば、前のステップで説明したようにエンドポイント セレクタ 1 を作成し、次に、次に示すように 2 番目のエンドポイント セレクタを作成したとします。

- エンドポイント セレクタ 2、式 1:

- [キー (Key):] Region

- [演算子 (Operator):] In

- [値 (Value):] us-east-1a, us-east-2

その場合、次のようになります。

- アベイラビリティ ゾーンが us-west-1a で、IP アドレスが 192.0.2.1/24 サブネットに属している (エンドポイント セレクタ 1 の式)

または

- リージョンが us-east-1a または us-east-2 (エンドポイント セレクタ 2 の式) のいずれかである

その場合、エンドポイントがクラウド EPG に割り当てられます。

ステップ 10

エンドポイント セレクタの作成が完了したら、右上隅の [保存 (SAVE)] をクリックします。

ステップ 11

画面の右上隅にある [サイトに展開 (DEPLOY TO SITES)] ボタンをクリックして、スキーマをサイトに展開します。

[正常に展開 (Successfully Deployed)]されたというメッセージが表示されます。

次のタスク

Cisco ACI Multi-Site 設定の検証 の手順を使用して、Cisco ACI マルチサイト エリアが正しく設定されていることを確認します。

Cisco ACI Multi-Site 設定の検証

このトピックの手順を使用して、ACI マルチサイト オーケストレータ に入力した設定が正しく適用されていることを確認します。

手順

ステップ 1

Cloud APIC にログインし、次のことを確認します。

1. [ダッシュボード (Dashboard)] をクリックし、オンプレミス接続ステータスおよびリージョン間接続ステータスボックスの情報を使用して、次のことを確認します。

- トンネルは、AWS 上の Cisco Cloud Services Router 1000V から、オンプレミスの ISN (IPsec ターミネーションポイント)、およびユーザ VPC の VGW に対して動作しています。

- OSPF ネイバーが Cisco Cloud サービス ルータと ISN オンプレミス デバイスの間で起動していることを示します。

- VRF の BGP EVPN ルートにはクラウドとオンプレミスのルートが表示され、クラウドルートは ACI スパイン スイッチの BGP EVPN を介して入力されます。

2. [アプリケーション管理 (Application Management)] → [テナント] をクリックし、テナントが正しく設定されていることを確認します。

3. [アプリケーション管理 (Application Management)] → [アプリケーション プロファイル] をクリックし、アプリケーションプロファイルが正しく設定されていることを確認します。

4. [アプリケーション管理 (Application Management)] → [EPG] をクリックし、EPG が正しく設定されていることを確認します。

5. [アプリケーション管理 (Application Management)] → [コントラクト] をクリックし、契約が正しく設定されていることを確認します。

6. [アプリケーション管理 (Application Management)] → [VRF] をクリックし、VRF が正しく設定されていることを確認します。

7. [アプリケーション管理 (Application Management)] → [クラウド コンテキスト Cloudプロファイル] をクリックし、クラウド コンテキスト プロファイルが正しく設定されていることを確認します。

8. [クラウド リソース (Cloud Resources)] → [リージョン] をクリックし、リージョンが正しく設定されていることを確認します。

9. [クラウド リソース (Cloud Resources)] → [VPC] をクリックし、VPC が正しく設定されていることを確認します。

10. [クラウド リソース (Cloud Resources)] → [クラウド エンドポイント] をクリックし、クラウド エンドポイントが正しく設定されていることを確認します。

11. [クラウド リソース (Cloud Resources)] → [ルータ] をクリックし、CSR が正しく設定されていることを確認します。

ステップ 2

オンプレミスの APIC サイトにログインし、APIC のスキーマを確認します。

ACI マルチサイト オーケストレータ で設定した共有テナントが APIC のテナントエリアに表示され、 ACI マルチサイト オーケストレータ スキーマから展開された VRF と EPG がオンプレミス APIC で設定されていることが確認できます。

ステップ 3

コマンド ラインから、AWS の Cisco Cloud サービス ルータ 1000V で VRF が 正しく作成されていることを確認します。

show vrf

テナントt1と VRF v1が ACI マルチサイト オーケストレータ から展開されている場合、CSR の出力は次のようになります。

Name                             Default RD            Protocols   Interfaces
t1:v1                            64514:3080192         ipv4        BD1
Tu4
Tu5

ステップ 4

コマンド ラインから、AWS サービス ルータ 1000V と ISN オンプレミス デバイスの間 Cisco Cloud でトンネルがアップしていることを確認します。

AWS または ISN オンプレミスのデバイスで、Cisco Cloud サービス ルータ 1000V で次のコマンドを実行できます。

show ip interface brief | inc Tunnel

以下のような出力が表示されます。

Interface        IP-Address        OK?        Method        Status        Protocol
Tunnel1          1.2.3.22          YES        manual        up            up
Tunnel2          1.2.3.30          YES        manual        up            up
Tunnel3          1.2.3.6           YES        manual        up            up
Tunnel4          1.2.3.14          YES        manual        up            up

ステップ 5

コマンド ラインから、OSPF ネイバーが AWS 上の Cisco Cloud サービス ルータ 1000V と ISN オンプレミス デバイスの間でアップしていることを確認します。

show ip ospf neighbor

以下のような出力が表示されます。

Neighbor ID      Pri               State      Dead Time     Address       Interface
10.200.10.201    0                 FULL/ -    00:00:36      1.2.3.13      Tunnel4
20.30.40.50      0                 FULL/ -    00:00:36      1.2.3.29      Tunnel2
10.202.101.202   0                 FULL/ -    00:00:38      1.2.3.5       Tunnel3

ステップ 6

コマンド ラインから、オンプレミスの BGP EVPN ネイバーが Cisco Cloud サービス ルータ 1000V に存在することを確認します。

show bgp l2vpn evpn summary

以下のような出力が表示されます。

Neighbor     V     AS    MsgRcvd   MsgSent   TblVer   InQ    OutQ   Up/Down   State/PfxRcd
10.1.1.2     4     100   139       137       99       0      0      01:30:36  6

ステップ 7

コマンド ラインから、VRF の BGP ルートにクラウドとオンプレミスの両方のルートが表示されていることを確認します。

（注）

現在 Cloud APIC のワークフローでは、VRF は、対応する VPC が AWS で作成されるまで、Cisco Cloud サービスルータ 1000V で設定されません。

show ip route vrf t1:v1

以下のような出力が表示されます。

B     129.1.1.5/32[20/0] via 10.11.0.34, 01:12:41, BD|1
B     130.1.0.0/16[20/100] via 131.254.4.5, 01:09:55

Chapter7. Cisco Cloud APIC GUI について

- Cisco Cloud APIC GUI の操作

- Cisco Cloud APIC コンポーネントの設定

Cisco Cloud APIC GUI の操作

インストール後、これを使用してAmazon Web Services（AWS）またはMicrosoft Azureパブリッククラウドに拡張（ACI）ポリシーを適用できます。Cisco Cloud APICCisco Application Centric Infrastructureこれは Cisco Cloud APIC GUI を使用して行います。

Cisco Cloud APIC GUI では、テナントを作成し、アプリケーション プロファイル、エンドポイント グループ（EPG）、コントラクト、フィルタ、および VRF を設定できます。Cisco Cloud APIC トポロジ、設定、およびリソースを表示することもできます。

を使用して設定手順を実行します。インテント機能。インテント機能の使用方法については、Cisco Cloud APIC コンポーネントの設定 を参照してください。『Cisco Cloud APIC User Guide』の「Understanding the Cisco Cloud APIC GUIアイコン」の項も参照してください。

Cisco Cloud APICの基本的なタスクを実行する手順は、通常のCisco APIC の手順とは異なります。ただし、テナントの機能、アプリケーションプロファイル、および Cisco APIC のその他の要素は同じです。詳細については、Cisco.com の『Cisco Application Centric Infrastructure Fundamentals Guide』を参照してください。

左側のナビゲーションペインで設定やその他の情報を表示します。[Dashboard]（デフォルト ビュー）、[Topology]、[Application Management]、[Cloud Resources]、[Operations]、[Infrastructure]、および [Administrative] を選択できます。

アイコンの詳細については、Cisco.comの 『Cisco Cisco Cloud APIC User Guide』の「Understanding the Cisco Cloud APICGUIアイコン」の項を参照してください。

Cisco Cloud APIC コンポーネントの設定

このセクションでは、テナント、アプリケーションプロファイル、およびエンドポイントグループ（EPG）の作成を含む、Cisco Cloud APIC で主要なタスクの実行の概要について説明します。

始める前に

Cisco Cloud APIC がインストールされている必要があります。このガイドの前のインストールの項を参照してください。

手順

ステップ 1

Cisco Cloud APIC にログインします。

ステップ 2

[ダッシュボード（Dashboard）] ペインの右上で、ブルズアイを指す矢印の付いたアイコンをクリックします。

このアイコンは、インテント アイコンまたは機能と呼ばれることがあります。

ステップ 3

[何をしますか] ウィンドウに用語を入力して、オプションのリストを表示します。

たとえば、テナントを設定する場合は、検索ウィンドウにtenantと入力します。検索は、テナントの作成と設定に関連するタスクのリストを返します。

ステップ 4

タスクをクリックし、開いたウィンドウで設定手順を実行します。

次のタスク

左側のナビゲーションペインで設定を確認できます。[ダッシュボード（Dashboard）]ペインの左上にあるハンバーガーアイコンをクリックして、ペインを展開します。該当する見出しを展開して設定を表示します。

たとえば、テナントを設定した場合は、[アプリケーション管理（Application Management）]を展開し、[テナント（Tenants）]をクリックします。中央の作業ウィンドウにテナントに関する情報が表示されます。

Chapter8. システムのアップグレード、ダウングレード、またはリカバリの実行

- 特記事項

- ソフトウェアのアップグレード

- ソフトウェアのダウングレード

- システム リカバリの実行

- クラウド サービス ルータのアップグレードのトリガー

特記事項

のインストール、アップグレード、またはダウングレード手順に関する重要な注意事項を次に示します。Cisco Cloud APIC

- Cisco Cloud APIC は、次のアップグレード パスのポリシーベースのアップグレードをサポートしています。

- リリース 5.2(1) から 25.0(2)

- リリース 25.0(1) ～ 25.0(2)

- リリース 5.0（x）から以前のリリースにダウングレードすると、CSR が下位のリリースにダウングレードされるため、CSR で一部のトンネルが「ダウン」状態になることがあります。これは、AWS アカウントの古い VPN リソースがクリーンアップされなかったために発生する可能性があります。

この問題を修正するには、古い VPN 接続を手動でクリーンアップします。

- に記載されているように、リリース 5.0（x）以降では、導入でサポートされるインスタンスタイプが変更されています。AWS パブリック クラウドの要件Cisco Cloud APIC

- リリース 5.0(x) より前のリリースでは、Cisco Cloud APIC は M4.2xlarge インスタンスを使用して展開されます。

- リリース 5.0(x) 以降では、Cisco Cloud APIC は M5.2xlarge インスタンスを使用して展開されます。

4.2（x）リリースからリリース 5.0（x）以降にアップグレードする場合、ポリシーベースのアップグレードはサポートされません。これは、ポリシーベースのアップグレードではインスタンス タイプを変更できないためです。代わりに、これらのアップグレードでは、に示す移行手順を使用してアップグレードする必要があります。移行ベースのアップグレード

- 4.2（x）リリースからリリース 5.0（x）以降にアップグレードする場合、atomic での replace オプションを使用した設定のインポートはサポートされません。手順のこの時点で、[復元設定（Restore Configuration）]領域で次のように選択します。

- [復元タイプ（Restore Type）] フィールドで、[結合（Merge）] を選択します。

- [Restore Mode]フィールドで、[Best Effort]を選択します。

この制限は、4.2（x）リリースからリリース 5.0（x）以降へのアップグレードにのみ適用されます。リリース 5.0（x）から以降のリリースにアップグレードする場合、これらの制限は適用されません。

- アップグレード プロセスには、リリース 5.2(1g) からそれ以降のリリースへのアップグレードが失敗するという問題があります。

この問題を回避するには、[互換性チェックを無視（Ignore Compatibility Check）] オプションを有効にします。

1. [アップグレードのスケジュール（Ignore Compatibility Check）] ウィンドウの [互換性チェックを無視（Schedule Upgrade）] 手順に到達するまで、 ポリシーベースのアップグレードプロセスを使用したソフトウェアのアップグレード に示されている通常のアップグレード手順に従います。

2. [互換性チェックを無視（Ignore Compatibility Check）] フィールドの隣のボックスにチェック マークを入力して、[互換性チェックを無視（Ignore Compatibility Check）] オプションを有効にします。

[互換性チェックを無視（Ignore Compatibility Check）] オプションを有効にすると、この特定のアップグレードを正常に続行できます。

3. 5.2(1g) 以降のリリースへのアップグレードを完了します。

4. 5.2(1g) 以降のリリースへのアップグレードが完了したら、[アップグレードのスケジュール（Schedule Upgrade）] ウィンドウに戻り、[互換性チェックを無視する（Ignore Compatibility Check）] フィールドの横にあるボックスのチェック マークを外します。

これにより、このフィールドのデフォルト設定である [互換性チェックを無視する（Ignore Compatibility Check）] オプションが無効になります。

- 前の箇条書きで説明した問題のため、リリース 5.2(1) より前のリリースから 5.2(1) リリースにアップグレードする場合は、リリース 5.2(1 h) に直接アップグレードすることをお勧めします（リリース 5.2(1 g) ではない）。

ソフトウェアのアップグレード

次のセクションでは、ポリシーベースのアップグレードまたは移行ベースのアップグレードを使用した Cisco Cloud APIC ソフトウェアのアップグレードについて説明します。

Cisco Cloud APIC は、次のアップグレード パスのポリシー ベースのアップグレードをサポートします。

- リリース 5.2(1) から 25.0(2)

- リリース 25.0(1) ～ 25.0(2)

（注）

ポリシーベースのアップグレードが何らかの理由で機能しない場合は、移行ベースのアップグレード で説明されている移行ベースのプロセスを使用してアップグレードできます。

CSRのアップグレード

Cisco Cloud APICソフトウェアのアップグレードに使用する方法に関係なく、クラウドAPICソフトウェアをアップグレードするたびに、クラウドサービスルータ（CSR）もアップグレードする必要があります。

- リリース 5.2(1) より前は、Cisco Cloud APIC のアップグレードをトリガするたびに CSR が自動的にアップグレードされました。

- リリース 5.2(1) 以降では、CSR のアップグレードをトリガーし、Cisco Cloud APIC アップグレードとは無関係に CSR のアップグレードをモニタできます。これは、管理プレーン（）とデータプレーン（CSR）のアップグレードを分割できるため、トラフィック損失を減らすのに役立ちます。Cisco Cloud APIC

詳細については、「クラウド サービス ルータのアップグレードのトリガー」を参照してください。

- ポリシーベースのアップグレード

- 移行ベースのアップグレード

ポリシーベースのアップグレード

以下のシナリオの手順を使用して、Cisco Cloud APIC ソフトウェアのポリシーベース アップグレードを実行します。

- 既存設定のバックアップ

- イメージのダウンロード中

- ポリシーベースのアップグレードプロセスを使用したソフトウェアのアップグレード

既存設定のバックアップ

次のポリシーベースのアップグレードを実行する前に、既存の設定をバックアップすることをお勧めします。

- リリース 5.2(1) からリリース 25.0(1) または 25.0(2) へのアップグレード

- リリース 25.0(1) からリリース 25.0(2) へのアップグレード

ソフトウェアのダウングレード で提供されている手順を使用して、その後のある時点で以前のリリースにダウングレードすることにした場合、ダウングレードを正常に実行するためにバックアップされた設定ファイルが必要になります。

手順

ステップ 1

バックアップを実行する前に、グローバル AES 暗号化を有効にします。

1. Cisco Cloud APIC GUIで、[インフラストラクチャ]システム設定 > （Infrastructure System Configuration）] に移動します。

デフォルトでは、[一般（General）] タブが表示されます。そうでない場合は、[一般（General）] タブをクリックします。

2. [Global AES Encryption]領域の右上にある鉛筆アイコンをクリックします。

[Global AES 暗号 Settings] ウィンドウが表示されます。

3. [Encryption：Enabled]領域の横にあるボックスをクリックし、[Passphrase / Confirm Passphrase]フィールドにパスフレーズを入力して、ウィンドウの下部にある[Save]をクリックします。

バックアップの復元プロセスの一部として必要になるため、この手順で入力したパスフレーズを書き留めておきます。

ステップ 2

スタックの展開中に設定したインフラ VPC プールを書き留めます。

インフラ VPC プールの場合、複数のインフラ サブネットプールがある可能性があるため、手順の一部として、ARM テンプレートを使用して元の Cisco Cloud APIC を起動したときに使用したインフラ サブネットの情報を確認してください。

1. インフラ テナントの AWS アカウントに移動します。

https://signin.aws.amazon.com/

2. 画面の上部にある [サービス (Services)] リンクをクリックし、[CloudFormation] リンクをクリックします。

[CloudFormation] 画面が表示されます。

3. AWS CloudFormation ダッシュボードで、既存のCloud APICスタックをクリックします。

Cloud APIC スタックの [スタックの詳細（Stack details）] ウィンドウが表示されます。

4. [スタックの詳細（Stack details）] ウィンドウの [パラメータ（Parameters）] タブをクリックします。

5. [パラメータ（Parameters）] テーブルで pInfraVPCPool 行を見つけます。

pInfraVPCPool 行のエントリを書き留めます。これは、スタックの展開中に設定したインフラ VPC プールです。

ステップ 3

既存の設定をバックアップします。

1. [操作（Operations）] > [バックアップと復元（Backup & Restore）]に移動します。

2. [バックアップ プロファイル（Backup Profiles）] タブをクリックします。

3. [アクション（Actions）] > [バックアップ設定の作成（Create Backup Configuration）] をクリックします。

4. 既存の設定をバックアップします。

バックアップの設定作成で使用できるオプションの詳細については、『AWS ユーザ ガイド用 Cisco Cloud APIC』の「Cisco Cloud APIC GUI を使用してバックアップの設定を作成する」の手順を参照してください。

イメージのダウンロード中

手順

ステップ 1

ログインしていない場合は、Cisco Cloud APIC にログインします。

ステップ 2

[Navigation]メニューから、[Operations] [Firmware Management]を選択します。 >

[ファームウェア管理] ウィンドウが表示されます。

ステップ 3

[ファームウェア管理] ウィンドウの [イメージ（Images）] タブをクリックします。

ステップ 4

[Actions]をクリックし、スクロールダウンメニューから[Add Firmware Image]を選択します。

[ファームウェア イメージを追加] ポップアップが表示されます。

ステップ 5

ファームウェア イメージをローカルまたはリモート ロケーションから追加するかを決めます。

- ローカル ロケーションからファームウェア イメージを追加する場合は、[イメージの場所（Image Location）] フィールドの [ローカル] ラジオ ボタンをクリックします。[ファイルの選択（Choose File）] ボタンをクリックし、インポートするファームウェア イメージがあるローカル システムのフォルダに移動します。「ステップ 6」に進みます。

- リモート ロケーションからファームウェア イメージをインポートする場合は、[イメージの場所（Image Location）] フィールドの [リモート（Remote）] オプション ボタンをクリックし、次の操作を実行します。

1. [プロトコル（Protocol）] フィールドで、[HTTP] または [SCP] のどちらかのオプション ボタンをクリックします。

2. [URL] フィールドに、イメージのダウンロード元の URL を入力します。

- 前の手順で [HTTP] オプション ボタンを選択した場合は、ソフトウェア イメージのダウンロードに使用する http ソースを入力します。URL の例は 10.67.82.87:/home/<username>/ACI/aci-apic-dk9.1.0.2j.iso です。「ステップ 6」に進みます。

- 前の手順で [SCP] オプション ボタンを選択した場合は、<SCP サーバ>:/<パス> の形式を使用して、ソフトウェア イメージのダウンロードに使用する Secure Copy Protocol（SCP）ソースを入力します。URL の例は 10.67.82.87:/home/<username>/ACI/aci-apic-dk9.1.0.2j.iso です。

3. [Username] フィールドに、セキュア コピーのユーザー名を入力します。

4. [認証タイプ（Authentication Type）] フィールドで、ダウンロードの認証タイプを選択します。次のタイプを選択できます。

- [Password]

- SSH キー（SSH Key）

デフォルトは、「Password」です。

5. [パスワード（Password）] を選択した場合は、[パスワード（Password）] フィールドにセキュア コピーのパスワードを入力します。「ステップ 6」に進みます。

6. [SSH 公開/秘密キー ファイルを使用（Use SSH Public/Private Key Files）] を選択した場合は、次の情報を入力します。

- [SSH キー コンテンツ（SSH Key Contents）]：SSH キー コンテンツを使用して SSH キー ファイルを作成します。SSH キー ファイルは、ダウンロード用のリモート ロケーションの作成時に必要です。

（注）

公開キーは、転送時に生成されます。転送後、バックグラウンドで生成されたキー ファイルは削除されます。一時的なキー ファイルは、Cisco Cloud APIC の dataexport ディレクトリに保存されます。

- [SSH キー パスフレーズ（SSH Key Passphrase）]：SSH キー パスフレーズを使用して SSH キー ファイルを作成します。SSH キー ファイルは、ダウンロード用のリモート ロケーションの作成時に必要です。

（注）

[パスフレーズ（Passphrase）] フィールドは空白にしておくことができます。

ステップ 6

[選択（Select）] をクリックします。

Cisco Cloud APIC のファームウェア イメージがダウンロードされるのを待ちます。

ポリシーベースのアップグレードプロセスを使用したソフトウェアのアップグレード

以下のセクションの手順を使用して、Cisco Cloud APIC ソフトウェアのポリシーベース アップグレードを実行します。

始める前に

イメージのダウンロード中 で説明された手順を使用して、イメージをダウンロードしたことを確認します。

手順

ステップ 1

ポリシーベースのアップグレードを実行する前に、既存の設定をバックアップしてください。

ポリシーベースのアップグレードを実行する前に、既存設定のバックアップ で提供されている情報を使用して、既存のリリースの設定をバックアップすることをお勧めします。

ポリシーベースのアップグレードが完了した後、ソフトウェアのダウングレード で説明されている手順を使用して、ある時点で以前のリリースにダウングレードする場合は、ダウングレードを正常に実行するために、以前のリリースからバックアップされた設定ファイルが必要になります。

ステップ 2

GUI で、[移動（Navigation）] メニューから [ファームウェア管理のオペレーション（Operations Firmware Management）] を選択します。 conref="../../../../../../../commoncollectionfiles/g_common_names_and_phrases.xml#ditaVar/Cloud_APIC_ShortName"

[ファームウェア管理] ウィンドウが表示されます。

ステップ 3

[アップグレードのスケジュール設定] をクリックします。

[アップグレードのスケジュール設定] ポップアップが表示されます。

ファブリックに障害があることを示すメッセージが表示された場合は、アップグレードを実行する前にこれらの障害を解決することを推奨します。詳細については、『Cisco Cloud APIC for AWS User Guide』の「Viewing Health Details Using the Cisco Cloud APIC GUI」を参照してください。

ステップ 4

[ターゲット ファームウェア（Target Firmware）] フィールドで、スクロールダウン メニューからファームウェア イメージを選択します。

ステップ 5

[Upgrade Start Time]フィールドで、アップグレードを今すぐ開始するか、後で開始するかを決定します。

- 今すぐアップグレードをスケジュールする場合は、[Now]をクリックします。「ステップ 6」に進みます。

- 後で日付または時刻にアップグレードをスケジュールする場合は、[後で（Later）]をクリックし、スケジュールされたアップグレードの日時をポップアップカレンダーから選択します。

ステップ 6

互換性チェック機能を無効にするように特に指示されている場合を除き、[互換性チェックを無視 (Ignore Compatibility check)] フィールドでは設定をデフォルトの [オフ (off)] のままにします。

クラウド APIC 内では、システムの現在稼働中のバージョンから特定の新しいバージョンへのアップグレード パスがサポートされているか否かを確認する互換性チェック機能が存在します。[互換性チェックを無視] 設定はデフォルトでは [オフ] に設定されているため、システムは可能なアップグレードの互換性をデフォルトで自動的にチェックします。

（注）

[互換性チェックを無視] フィールドの隣のボックスにチェック マークを入力して互換性チェック機能を無効に設定することを選択する場合、システム内でサポートされていないアップグレードを発生させるリスクを生じ、これにより使用不能な状態を引き起こす可能性があります。

ステップ 7

[アップグレードをスケジュール（Schedule Upgrade）] をクリックします。

[Upgrade Status]領域のメインの[Firmware Management]ウィンドウで、アップグレードの進行状況をモニタできます。

移行ベースのアップグレード

次のセクションは、トラフィック フローがなくなることなくアップグレードが可能な移行ベース アップグレード手順を提供します。

- 移行手順を使用したクラウドAPICソフトウェアのアップグレード

移行手順を使用したクラウドAPICソフトウェアのアップグレード

このセクションでは、Cisco Cloud APIC の移行ベースのアップグレード手順について説明します。この移行によるトラフィックへの影響はありません。

手順

ステップ 1

暗号化パスフレーズ制御が有効になっていない場合は、有効にします。

1. クラウド APIC GUIで、[インフラストラクチャ システム設定（Infrastructure System Configuration）] に移動します。

デフォルトでは、[一般（General）]タブが表示されます。そうでない場合は、[一般（General）] タブをクリックします。

2. 暗号化されたパスフレーズ制御がすでに有効になっているかどうかを確認します。

- [Global AES Encryption]領域で、[Encryption]フィールドと[Key Configured]フィールドの下に[Yes]と表示されている場合は、暗号化されたパスフレーズ制御がすでに有効になっています。「ステップ 2」に進みます。

- [Encryption]フィールドと[Key Configured]フィールドの下に[Yes]が表示されない場合は、次の手順を実行します。

1. [Global AES Encryption]領域の右上にある鉛筆アイコンをクリックします。

[Global AES 暗号 Settings] ウィンドウが表示されます。

2. [Encryption：Enabled]領域の横にあるボックスをクリックし、[Passphrase / Confirm Passphrase]フィールドにパスフレーズを入力して、ウィンドウの下部にある[Save]をクリックします。

ステップ 2

既存の Cloud APIC 設定をバックアップします。

クラウドAPICの設定をバックアップするには、さまざまな方法があります。詳細については、 『Cloud APIC for AWS Users Guide』を参照してください。https://www.cisco.com/c/en/us/support/cloud-systems-management/cloud-application-policy-infrastructure-controller/products-installation-and-configuration-guides-list.htmlリモートバックアップを使用する場合は、最初にリモートロケーションを追加する必要があることに注意してください。

ステップ 3

AWS infraアカウントからCloud APIC EC2インスタンスを終了します。

1. まだログインしていない場合は、Cloud APIC インフラ テナントの Amazon Web Services アカウントにログインし、AWS 管理コンソールに移動します。

https://signin.aws.amazon.com/

https://console.aws.amazon.com/

2. AWS 管理コンソールの EC2 ダッシュボードのインスタンスに移動します。

3. クラウドAPICインスタンスを見つけます。

クラウドAPICのインスタンスタイプとして m4.2xlarge が表示されます。これは 5.0(1) より前のリリースでは正しいインスタンスタイプです。

4. Cloud APICインスタンスの横にあるチェックボックスをオンにして選択し、[Actions Instance State Terminate]をクリックします。

[Terminate Instances]ポップアップウィンドウで、[Yes、Terminate]を選択してこのインスタンスを終了します。

[Instances]ウィンドウが再表示され、クラウドAPICインスタンスの[Instance State]行のステータスが「shutting-down」に変わります。ここでCloud APICインスタンスを終了しても、Cloud APICのトラフィックはドロップされません。

ステップ 4

AWS Marketplace の Cloud APIC ページに移動します。

http://cs.co/capic-aws

ステップ 5

[引き続きサブスクライブする（Continue to Subscribe）] をクリックして登録します。

ステップ 6

[Subscribe to this software]ページで、[Continue to Configuration]ボタンをクリックします。

[このソフトウェアを設定 (Configure this software)] ページが表示されます。

ステップ 7

以下のパラメータを選択します。

- [デリバリー方法（Delivery Method）:] Cisco Cloud APIC クラウド形成テンプレート (デフォルトで選択)

- ソフトウェア バージョン：クラウド APIC ソフトウェアの適切なバージョンを選択します。

- [リージョン (Region):] クラウド APIC が展開されるリージョン

ステップ 8

[続行して起動 (Continue to Launch)] ボタンをクリックします。

[このソフトウェアの起動 (Launch this software )] ページが表示され、設定の概要が表示され、クラウド形成テンプレートを起動できます。

ステップ 9

[アクションの選択（Choose Action）] フィールドで、[CloudFormation の起動（Launch CloudFormation）] を選択し、[起動（Launch）] をクリックすると、すでに正しい Amazon S3 テンプレート URL が入力されている適切なリージョン内の [CloudFormation サービス] にダイレクトに移動します。[テンプレートの指定（Specify Details）] ページが、[スタックの作成（Create stack）] ページ内に表示されます。

ステップ 10

[テンプレートの指定（Specify template）]ページで、次の選択を行います。

- 前提条件-[テンプレートの準備（Prepare template）]フィールド：デフォルトの[テンプレートの準備（Template is ready）]オプションを選択したままにします。

- テンプレート領域の指定：

- [テンプレートソース（Template source）]フィールドで、デフォルトのAmazon S3 URLオプションを選択したままにします。

- [Amazon S3 URL]フィールドで、自動的に生成されたエントリをそのままにします。

- [デザイナーで表示（View in Designer）]をクリックします。

ステップ 11

画面の下半分のtemplate1領域：

- [テンプレート言語の選択]を[JSON]のままにします。

- 1行目のテキスト文字列の先頭にカーソルを置き、Shiftキーを押しながらウィンドウの一番下までスクロールして、ウィンドウ内のテキスト文字列全体を選択し、このウィンドウ内のすべてのテキストをコピーします（Ctrl + Cを押すか、右クリックして [コピー（Copy）] を選択します）。

ステップ 12

ローカルコンピュータで、適切なフォルダに移動し、一意の名前を付けてテキストファイルを作成し、コピーしたテキスト文字列をテキストファイルに貼り付けます。

これは、Cloud APIC CFT で、M5.2xlarge インスタンス タイプがあります。

ステップ 13

テキストファイルを保存してテキストエディタを終了します。

ステップ 14

Cloud APIC CFT を AWS にアップロードします。

1. AWS CloudFormation コンソールにログインします。

https://console.aws.amazon.com/cloudformation

2. AWS CloudFormationダッシュボードで、既存のCloud APICスタックをクリックし、[Update]をクリックします。

3. Update Stackウィザードの [Prepare template] 画面で、[Replace current template] を選択します。

[テンプレート領域の指定（Specify template area）] が表示されます。

4. Update Stackウィザードの[Specify template]領域で、[Upload a template file] を選択します。

[テンプレート ファイルのアップロード（Upload a template file）] のオプションが表示されます。

5. [テンプレート ファイルのアップロード（Upload a template file）] オプションの下にある [ファイルの選択（Choose file）] をクリックし、Cloud APIC CFT を作成した領域に移動します。

6. Cloud APIC CFT を選択し、[次へ（Next）] をクリックします。

7. [スタックの詳細の指定（Specify stack details）]画面で、画面下部の[その他のパラメータ（Other parameters）]領域に表示されるインスタンスタイプがm5.2xlargeに正しく設定されていることを確認し、[次へ（Next）]をクリックします。

この手順では、インスタンスタイプをm4.2xlargeに変更しないでください。

8. [スタック オプションの設定（Configure stack options）] 画面で、[次へ（Next）] をクリックします。

9. [Review]画面で、[Update stack]をクリックします。

この時点で、次のアクションが実行されます。

- AWS infraは、更新される3つのIAMリソースを検出します（[Replacement]列に[False]と表示されます）。

- AWS infraは、置き換えられるEC2インスタンスを1つ検出します（[Replacement]列に[True]と表示されます）。

これにより、以前と同じパブリック IP アドレスを使用して、リリース イメージの新しい Cloud APIC インスタンスが起動します。AWS Management ConsoleのEC2ダッシュボードで[インスタンス（Instances）]に戻ることで、新しいクラウドAPICインスタンスの起動の進行状況を確認できます。

ステップ 15

インスタンスの状態が[実行中（Running）]に変化した場合は、以前に行ったようにクラウドAPICにログインできます。

クラウドAPICは、この時点で設定なしで起動します。

（注）

ログインしようとしたときに、REST エンドポイントのユーザ認証データストアが初期化されていないなどのエラー メッセージが表示された場合は、このファブリック ノードのファブリック メンバーシップ ステータスを確認し、数分待ってから数分後に再試行してください。また、ログインするためにページを更新する必要があります。

ステップ 16

同じ暗号化パスフレーズが使用可能です。

1. クラウド APIC GUIで、[インフラストラクチャ システム設定（Infrastructure System Configuration）] に移動します。

デフォルトでは、[一般（General）]タブが表示されます。そうでない場合は、[一般（General）] タブをクリックします。

2. [Global AES Encryption]領域で、[Global AES Encryption]領域の右上にある鉛筆アイコンをクリックします。

[Global AES 暗号 Settings] ウィンドウが表示されます。

3. [Encryption：Enabled]領域の横にあるボックスをクリックし、[Passphrase / Confirm Passphrase]フィールドに同じパスフレーズを入力してから、ウィンドウの下部にある[Save]をクリックします。ステップ 1

ステップ 17

バックアップした設定をインポートします。ステップ 2

設定のバックアップ時にリモートロケーションを設定した場合は、バックアップにアクセスするためにリモートロケーションを再度作成する必要があります。

1. クラウドAPIC GUIで、[Operations Backup＆Restore]に移動します。

2. [Backup＆Restore]ウィンドウで、[Backups]タブをクリックします。

3. [Actions]スクロールダウンメニューをクリックし、[Restore Configuration]を選択します。

[復元の設定（Restore Configuration）] ウィンドウが表示されます。

4. バックアップした設定を復元するために必要な情報を入力します。ステップ 2

次の設定を使用します。

- [復元タイプ（Restore Type）] フィールドで、[結合（Merge）] を選択します。

- [Restore Mode]フィールドで、[Best Effort]を選択します。

このウィンドウに必要な情報を入力したら、[Restore Configuration]をクリックします。[バックアップと復元（Backup＆Restore）]ウィンドウの[ジョブステータス（Job Status）]タブをクリックして、バックアップ復元のステータスを取得します。

ステップ 18

CapicTenantRole更新を実行して、すべての信頼できるテナントのセットを変更します。

1. テナントロールCFTを見つけます。

テナントロール CFT は、Cisco Cloud APIC インフラ テナントの AWS アカウントの S3 バケットにあります。S3 バケットの名前は「capic-common-[capicAccountId]-data」で、テナント ロールの CFT オブジェクトはそのバケット内の tenant-cft.json です。CapicAccountId は、Cisco Cloud APIC インフラ テナントの AWS アカウント番号です。これは、クラウド APIC が展開されているアカウントです。

2. テナントロールCFTリンクをクリックします。

このテナントロールCFTの[概要（Overview）]ページが表示されます。

3. [Overview]ページのtenant-cft.jsonエントリの横にあるボックスをクリックします。

このJSON形式のテナントロールCFTのスライドインペインが表示されます。

4. [ダウンロード] をクリックしてテナント ロール CFT をコンピュータ上の場所にダウンロードします。

セキュリティ上の理由から、AWS でのこの S3 バケットへのパブリック アクセスは許可されていないため、このファイルをダウンロードしてテナント アカウントで使用する必要があります。

5. AWSで、信頼できるテナントのユーザアカウントに移動し、[CloudFormation]をクリックします。

6. AWS CloudFormationダッシュボードで、信頼できるテナントスタックを見つけ、その信頼できるテナントのスタック名をクリックします。

この特定のスタックのスタックプロパティページが表示されます。

7. [Change set] タブをクリックします。

8. [Change set]領域で、[Create change set]をクリックします。

9. このスタックの[Create change set]ウィンドウで、[Replace current template]をクリックします。

10. [テンプレートの指定（Specify template）] 領域で、[テンプレート ファイルにアップロード（Upload a Template File）] の横にある円をクリックし、[ファイルの選択（Choose File）] ボタンをクリックします。

11. テナントロールCFTをダウンロードしたコンピュータ上の場所に移動し、そのテンプレートファイルを選択します。

12. このスタックの[Change set set]ウィンドウで[Next]をクリックします。

[Create Change Set]ポップアップが表示されます。

13. [Create Change Set]ポップアップウィンドウで[Create Change Set]をクリックします。

ステータスは、しばらくの間、CREATE_PENDINGと表示され、その後、CREATE_COMPLETEに変わります。

14. 信頼できるテナントごとにこれらの手順を繰り返します。

信頼できる各テナントで、このtenant-cft.jsonファイルを使用して変更セットを作成し、その変更セットを実行します。

ステップ 19

クラウドAPIC GUIで、移行前にクラウドAPICに対して行ったすべての設定が存在することを確認します。

5.2（1）より前のリリースでは、CSRも16.xバージョンから17.xバージョンに自動的にアップグレードされます。これを確認するには、AWS Management ConsoleのEC2ダッシュボードで[インスタンス（Instances）]に移動し、CSRインスタンスを見つけて、それらもアップグレードされていることを確認します。

リリース5.2（1）以降では、のアップグレード時にCSRが自動的にアップグレードされないため、のアップグレードが完了した後にCSRアップグレードを個別にトリガーする必要があります。Cisco Cloud APICCisco Cloud APIC詳細については、「クラウド サービス ルータのアップグレードのトリガー」を参照してください。

ソフトウェアのダウングレード

次の項では、Cisco Cloud APIC ソフトウェアを正常にダウングレードするために必要な情報を提供します。

- ソフトウェアのダウングレード：リリース 25.0(1) から 5.2(1)

- ソフトウェアのダウングレード：リリース 25.0(2) から 25.0(1) または 5.2(1)

ソフトウェアのダウングレード：リリース 25.0(1) から 5.2(1)

これらの手順では、ソフトウェアをリリース 25.0(1) からリリース 5.2(1) にダウングレードする方法について説明します。

これの手順により、次のシナリオを想定しています。

1. 以前のある時点で、リリース 5.2(1) を実行していて、リリース 25.0(1) にアップグレードすることにしました。ただし、そのアップグレードを実行する前に、リリース 5.2(1) の設定をバックアップし、そのバックアップした設定ファイルを保存しました。

2. 次に、リリース 25.0(1) へのポリシーベースのアップグレードを実行し、その後ある時点で、リリース 5.2(1) に戻すことにしました。

これらの手順では、リリース 5.2(1) に戻す方法について説明していますが、これらのダウングレード手順を機能させるには、バックアップしたリリース 5.2(1) 設定ファイルが必要です。

手順

ステップ 1

既存設定のバックアップ の説明に従って、バックアップされたリリース 5.2(1) 設定ファイルがあることを確認します。

バックアップされたリリース 5.2(1) の設定ファイルがない場合は、これらの手順を使用してリリース 25.0(1) からダウングレードしないでください。これらのダウングレード手順のバックアップ設定ファイルが必要になります。

ステップ 2

非ホーム リージョン CSR が構成されていることを確認します。

ステップ 3

ホーム リージョンから CSR を削除します。

ホーム リージョンの CSR が削除され、トラフィック フローが非ホーム リージョンの CSR に切り替わる間、約 3 ～ 5 分間サイト間トラフィックが失われます。

1. クラウド APIC GUI で、[インテント（Intent）] アイコン（複数の円を指す矢印の付いたアイコン）をクリックし、[クラウド APIC 設定（Cloud APIC Setup）] を選択します。

2. [リージョン管理（Region Management）] エリアで、[設定の編集（Edit Configuration）] をクリックします。

[管理するリージョン（Regions to Manage）] ウィンドウが表示されます。

3. ホーム リージョンの [クラウド ルータ（Cloud Routers）] 列で選択解除（ボックスからチェックをオフにする）します（テキスト「Cloud APIC 展開済み」があるリージョン）。

4. [次へ（Next）] をクリックし、次のページに必要な情報を入力して、[保存して続行（Save and Continue）] をクリックします。

CSR の削除プロセスには約 5 ～ 10 分かかる場合があります。AWS ポータルの仮想マシンを確認することで、CSR 削除プロセスをモニタできます。

（注）

ホーム リージョンの CSR が完全に削除されるまで、次の手順に進まないでください。

ステップ 4

AWS ポータルのインフラ アカウントから、ホーム リージョン VPC とリモート リージョン VPC 間のすべてのインフラ VPC ピアリング接続を手動で削除します。

1. ナビゲーション ペインで、[ピアリング接続（Peering connections）] を選択します。

2. VPC ピアリング接続を選択し、[アクション（Actions）] > [VPC ピアリング接続の削除（Delete VPC peering connection）] の順に選択します。

3. [VPC ピアリング接続の削除（Delete VPC peering connection）] ダイアログ ボックス内で接続の詳細を確認し、[関連するルート テーブル エントリを削除する（Delete related route table entries）] チェックボックスをオンにして必要なルートを削除し、[はい、削除します（Yes, Delete）] を選択して選択した VPC ピアリング接続を削除します。

リモート リージョン VPC から他のリモート リージョン VPC への VPC ピアリング接続を変更しないでください。

ステップ 5

残りの設定が自動的に削除されるまで 10 ～ 15 分待ちます。

次の設定は、10 ～ 15 分後に自動的に削除されます。

- トランジット ゲートウェイの接続ピアは、ホーム リージョンのアタッチメントを接続します。

- トランジットゲートウェイ接続アタッチメント

- インフラ VPC へのトランジット ゲートウェイのアタッチメント

自動的に削除されない場合は、次のように手動で削除してください。

1. ホーム リージョンのトランジット ゲートウェイ接続アタッチメントの場合、接続ピアを削除します。

1. ナビゲーションペインで、[Transit Gateway の添付ファイル（Transit Gateway Attachments）] を選択します。

2. [接続（Connect）] 添付ファイルを選択します。

3. [ピアに接続（Connect peers）] タブで、Transit Gateway Connect ピアを選択し、[アクション（Actions）] > [接続ピアの削除（Delete Connect peer）] を選択します。

4. 確認のダイアログボックスで [はい、削除します（Yes, Delete）] をクリックします。

5. これらの手順を繰り返して、ホーム リージョンのトランジット ゲートウェイ接続アタッチメントの追加の接続ピアを削除します。

2. トランジット ゲートウェイ接続の添付ファイルを削除します。

1. ナビゲーションペインで、[Transit Gateway の添付ファイル（Transit Gateway Attachments）] を選択します。

2. [接続（Connect）] 添付ファイルを選択します。

3. [アクション（Actions）] > [削除（Delete）] を選択します。

4. 確認を求められたら、[削除（Delete）] を選択します。

3. インフラ VPC へのトランジット ゲートウェイのアタッチメントを削除します。

1. ナビゲーションペインで、[Transit Gateway の添付ファイル（Transit Gateway Attachments）] を選択します。

2. インフラ VPC アタッチメントのみを選択します。

他のユーザ VPC アタッチメントがある可能性があるため、この手順ではインフラ VPC アタッチメントを選択していることを確認してください。

3. [アクション（Actions）] > [削除（Delete）] を選択します。

4. 確認を求められたら、[削除（Delete）] を選択します。

ステップ 6

スタックを削除します。

1. AWS コンソールで、[サービス（Services）] > [CloudFormation] > [スタック（Stacks）]に移動します。

2. 削除するスタックを選択します。

3. [スタックの削除（Delete Stack）] をクリックします。

これにより、Cisco Cloud APIC VM が削除され、他のリソースの削除が試行されます。

ステップ 7

スタックが削除されるまで 15 ～ 20 分待ちます。

スタックの削除が [削除中（Delete in Progress）] のままになっている場合は、ホーム リージョンでインフラ VPC を手動で削除します。

1. AWS コンソールで、[サービス（Services）] > [仮想プライベート クラウド（Virtual Private Cloud）] > [VPC（Your VPCs）] に移動します。

2. インフラ VPC を選択します。

3. [アクション（Actions）] > [VPC の削除（Delete VPC）] を選択します。

[VPC の削除（Delete VPC）] ウィンドウが表示されます。

4. 削除を確認するには、フィールド領域に delete と入力し、[削除（Delete）] をクリックします。

ステップ 8

ダウンロード先のリリース イメージのクラウド形成テンプレートを使用して、新しいスタックを再作成します。

（注）

または、以下の手順の代わりに AWS Marketplace からクラウド形成テンプレートをデプロイできます。

1. AWS コンソールで、[サービス（Services）] > [CloudFormation] > [スタック（Stacks）]に移動します。

2. [新しいリソースで > スタックを作成（標準）（Create Stack With new resources (standard)）] をクリックします。

[スタックの作成（Create stack）] ウィンドウが表示されます。

3. [テンプレートの指定（Specify template）] 領域で、[テンプレート ファイルにアップロード（Upload a Template File）] の横にある円をクリックし、[ファイルの選択（Choose File）] ボタンをクリックします。

4. 適切な JSON 形式テナント ロール CFT を使用してコントピュータの場所に移動して、テンプレート ファイルを選択し、[次へ（Next）] をクリックします。

[詳細の指定 (Specify Details)] ページが、[スタックの作成 (Create stack)] ページ内に表示されます。

5. [詳細の指定 (Specify Details)] ページに、必要な情報を入力します。

- [スタック名 (Stack name):] この Cloud APIC 設定の名前を入力します。

- [ファブリック名 (Fabric name):]デフォルト値のままにしておくか、ファブリック名を入力します。このエントリは、この Cloud APIC の名前になります。

- インフラ VPC プール：最初に Cloud APIC を展開したときと同じインフラ VPC プール情報を使用します。

既存設定のバックアップ の手順の一部として、このインフラ VPC プール情報を書き留めておく必要があります。

- [可用性ゾーン (Availability Zone):]スクロールダウン メニューから、 Cloud APICサブネットのアベイラビリティ ゾーンを選択します。

- [インスタンス タイプ（Instance Type）]：EC2 インスタンス タイプを選択します。

- [パスワード/パスワードの確認 (Password/Confirm Password):] 管理者パスワードを入力し、確認入力します。このエントリは、 SSH アクセスを有効にした後に Cloud APICにログインするために使用するパスワードです。

- [SSH キー ペア（SSH Key Pair）]：SSH キーペアの名前を選択します。

Cloud APIC には、この SSH キーペアを使用してログインします。

- [アクセス制御 (Access Control):] Cloud APIC への接続を許可する外部ネットワークの IP アドレスとサブネットを入力します (たとえば、192.0.2.0/24)。このサブネットからの IP アドレスだけが、Cloud APIC への接続を許可されます。値 0.0.0.0/0 を入力すると、誰でも Cloud APIC への接続が許可されます。

- パブリックIPアドレスの割り当て：パブリック IP アドレスを Cloud APIC にアウトオブバンド（OOB）管理インターフェイスに割り当てるかどうかを選択します。

リリース5.2（1）よりも前は、の管理インターフェイスにパブリックIPアドレスとプライベートIPアドレスが割り当てられていました。Cloud APICリリース5.2（1）以降、プライベートIPアドレスはの管理インターフェイスに割り当てられ、パブリックIPアドレスの割り当てはオプションです。Cloud APIC詳細については、 『Cisco Cloud APIC for AWS User Guide、Release 5.2（1）』の「Private IP Address Support for Cisco Cloud APIC and Cisco Cloud Services Router」を参照してください。

- true：パブリックIPアドレスをのアウトオブバンド（OOB）管理インターフェイスに割り当てます。Cloud APIC

- false：パブリックIPアドレスを無効にし、プライベートIPアドレスをのアウトオブバンド（OOB）管理インターフェイスに割り当てます。Cloud APIC

6. 画面の下部にある [次へ（Next）] をクリックします。

[オプション (Option)] ページが、[スタックの作成 (Create stack)] ページ内に表示されます。

7. [オプション (Options)] 画面ですべてのデフォルト値を受け入れ、[オプション（Options）] 画面の下部にある [次へ（Next）] をクリックします。

[レビュー (Review)] ページが、[スタックの作成 (Create stack)] ページ内に表示されます。

8. [レビュー (Review)] ページのすべての情報が正しいことを確認します。

[レビュー (Review)] ページにエラーが表示された場合は、[前へ (Previous)] ボタンをクリックして、誤った情報を含むページに戻ります。

9. [レビュー (Review)] ページのすべての情報が正しいことを確認したら、 [AWS CloudFormation が IAM リソースをカスタム名で作成することを認める (I acknowledge that AWS CloudFormation might create IAM resources with custom names)] の隣にあるボックスをオンにします。

10. ページ下部にある [スタックの作成 (Create stack)] ボタンをクリックします。

[Cloudformation] ページが再び表示され、Cloud APIC作成したテンプレートが [ステータス (Status)] 列に CREATE_IN_PROGRESS というテキストとともに表示されます。

システムは、テンプレートに指定された情報を使用して Cisco Cloud APIC インスタンスを作成するようになりました。プロセスが完了するのに 5 ～ 10 分かかります。作成プロセスの進行状況をモニタするには、Cisco Cloud APIC テンプレートの名前の横にあるボックスをオンにし、[イベント (Events)] タブをクリックします。[イベント (Events)] タブの下の [ステータス (Status)] 列には、CREATE_IN_PROGRESS というテキストが表示されます。

11. CREATE_COMPLETEメッセージが表示されたら、続行する前にインスタンスの準備が整っていることを確認します。

1. 画面の上部にある [サービス (Services)] リンクをクリックし、[EC2] リンクをクリックします。

[EC2 ダッシュボード (EC2 Dashboard)] 画面が表示されます。

2. [EC2 ダッシュボード (EC2 Dashboard)] 画面の [リソース (Resources)] 領域には、実行中のインスタンスの数を示すテキストが表示されます (たとえば、 [1 つの実行インスタンス (1 Running Instances)]) 。この実行中のインスタンスのリンクをクリックします。

[インスタンス (Instances)] 画面が表示されます。

3. 続行する前に、そのインスタンスの準備ができるまで待ちます。

[スタータス チェック (Status Checks)] の下で、新しいインスタンスが [初期化 (Initializing)] ステージを経過するのを確認できます。続行する前に、[スタータス チェック (Status Checks)] の下で、[2/2 のチェックをパス (Check Passed)] というメッセージが表示されるまで待ちます。

ステップ 9

既存設定のバックアップ で設定をバックアップしたときに書き留めたのと同じパスフレーズを使用して、グローバル AES 暗号化を有効にします。

1. Cisco Cloud APIC GUIで、[インフラストラクチャ > システム設定（Infrastructure System Configuration）] に移動します。

デフォルトでは、[General] タブの下にあります。そうでない場合は、[General] タブをクリックします。

2. [Global AES Encryption]領域の右上にある鉛筆アイコンをクリックします。

[Global AES 暗号 Settings] ウィンドウが表示されます。

3. [暗号化：有効（Encryption: Enabled）] 領域の隣にあるボックスをクリックして、既存設定のバックアップ（[パスフレーズ/確認/パスフレーズの確認（Passphrase/Confirm Passphrase）] で記載されているパスフレーズを入力します。

4. ウィンドウの下部にある [保存（Save）] をクリックします。

ステップ 10

リリース 25.0(1) にアップグレードする前にバックアップしたリリース 5.2(1) の設定をインポートし、以前の設定が収束することを確認します。

バックアップしたリリース 5.2(1) 設定をインポートするときは、次の設定を使用します。

- [復元タイプ（Restore Type）] フィールドで、[結合（Merge）] を選択します。

- [Restore Mode]フィールドで、[Best Effort]を選択します。

ホーム リージョン CSR 作成は、このステップの後に自動的に開始します。

ステップ 11

サイトが ACI マルチサイト オーケストレータ/Nexus ダッシュボード オーケストレータによって管理されている場合は、新しいCloud APIC VM の IP アドレスを更新します。

1. ACI マルチサイト オーケストレータ/Nexus ダッシュボードにログインします

2. サイトを編集し、登録します。

1. Nexus ダッシュボード オーケストレータで、[サイト（Sites）] に移動し、適切なサイトをクリックします。

2. [詳細（Details）] アイコンをクリックし、[概要（Overview）] ウィンドウを起動します。

3. 鉛筆アイコンをクリックし、このサイトの情報を編集します。

4. [サイトの再登録（Re-register Site）] の横にあるボックスをクリックし、必要な情報を入力して、新しい Cloud APIC VM の IP アドレスで更新します。

5. [保存（Save）] をクリックします。

3. ACI マルチサイト オーケストレータ/Nexus ダッシュボード オーケストレータに移動し、サイトが引き続き管理されていることを確認します。

1. Nexus ダッシュボード オーケストレータで、[サイト（Sites）] に移動します。

2. サイトに移動し、[管理（Managed）] が [状態（State）] 列に表示されていることを確認します。

4. クラウド サイト更新を実行します。

1. Nexus ダッシュボード オーケストレータで、[インフラストラクチャ（Infrastructure）] > [インフラ設定（Infra Configuration）] に移動し、[インフラの設定（Configure Infra）] をクリックします。

2. 左側のナビゲーション バーでサイトを選択し、[更新（Refresh）] をクリックします。

確認ウィンドウで [はい（Yes）] をクリックして、クラウド サイトの更新を続行します。

5. [展開（DEPLOY）] > [展開のみ（Deploy Only）] をクリックして、インフラ設定を展開します。

ソフトウェアのダウングレード：リリース 25.0(2) から 25.0(1) または 5.2(1)

これらの手順では、ソフトウェアをリリース 25.0(2) から 25.0(1) または 5.2(1) にダウングレードする方法について説明します。

これの手順により、次のシナリオを想定しています。

1. 以前のある時点で、リリース 25.0(1) または 5.2(1) を実行していて、リリース 25.0(2) にアップグレードすることにしました。ただし、そのアップグレードを実行する前に、既存設定のバックアップ で説明されているようにリリース 25.0(1) または 5.2(1) の設定をバックアップし、バックアップした設定ファイルを保存しました。

2. 次に、リリース 25.0(2) へのポリシー ベースのアップグレードを実行し、その後、ある時点で、リリース 25.0(1) または 5.2(1) に戻すことを決定しました。

これらの手順では、以前のリリースに戻す方法について説明していますが、これらのダウングレード手順を機能させるには、その以前のリリース用にバックアップした設定ファイルが必要です。

手順

ステップ 1

既存設定のバックアップ で説明されているように、以前のリリースからバックアップされた設定ファイルがあることを確認します。

以前のリリースからバックアップされた設定ファイルがない場合は、これらの手順を使用してリリース 25.0(2) からダウングレードしないでください。これらのダウングレード手順では、そのバックアップ設定ファイルが必要になります。

ステップ 2

同じ内容 (同じ公開鍵または秘密鍵) で SSH キーの複製を作成します。

1. https://console.aws.amazon.com/ec2/ で Amazon EC2 コンソールを開きます。

2. ナビゲーション ペインで、[キー ペア（Key Pairs）] を選択します。

3. [キー ペアのインポート（Import key pair）] を選択します。

4. [名前（Name）] に、公開鍵のわかりやすい名前を入力します。名前には、最大 255 文字の ASCII 文字を含めることができます。先頭または末尾のスペースを含めることはできません。

（注）

EC2 コンソールからインスタンスに接続すると、コンソールは秘密鍵ファイルの名前としてこの名前を提案します。

5. [参照（Browse）] を選択して公開鍵に移動して選択するか、公開鍵の内容を [公開鍵の内容（Public key contents）] フィールドに貼り付けます。

6. [キー ペアのインポート（Import key pair）] を選択します。

7. インポートした公開鍵が鍵ペアのリストに表示されていることを確認します。

（注）

何らかの理由でキー ペアのインポート プロセスが機能しない場合は、[キー ペアの作成（Create key pair）] オプションを使用して新しいキー ペアを作成し、必要に応じて ステップ 7 でそれを使用できます。

ステップ 3

EC2 インスタンス領域に移動し、Cloud APIC VM インスタンスを終了します。

1. ナビゲーション ペインで、[インスタンス（Instances）] を選択します。

2. Cloud APIC VM インスタンスの横にあるチェックボックスをオンにします。

3. Cloud APIC VM インスタンスの行を右クリックし、[インスタンス状態（Instance State）] > [端末（Terminate）]を選択します。

Cloud APIC VM インスタンスが終了するまで数分かかります。

Cloud APIC VM インスタンスが終了すると、VM に関連付けられた 2 つのインターフェースがこの時点でハングします。アップグレードの一部として新しい VM が起動すると、同じインターフェイスに再接続されます。

Cloud APIC VM の終了プロセスが完了すると、VPC やその他のネットワーク リソース (CIDR やサブネットなど) がそのまま残っていることがわかります。

ステップ 4

Cloud APIC VM の終了プロセスが完了したら、スタックに戻り、まだ実行状態であることを確認します。

CloudFormation エリアに移動し、Cloud APIC スタックがまだ実行状態であることを確認します。

ステップ 5

Cloud APIC スタックの横にある円をクリックし、[更新（Update）] をクリックします。

[スタックの更新（Update stack）] ウィンドウが表示されます。

ステップ 6

[現在のテンプレートを使用（Use current template）] をクリックし、[次へ（Next）] をクリックします。

テンプレートでは何も変更しないため、このウィンドウで [現在のテンプレートを使用（Use current template）] オプションを選択します。

[スタック詳細の指定（Specify stack details）] ウィンドウが表示されます。

ステップ 7

[スタックの詳細を指定（Specify stack details）] ウィンドウで、[SSH キー ペア（SSH Key Pair）] フィールドを除くすべてのフィールドをそのままにします。

[SSH キー ペア（SSH Key Pair）] フィールドで、ステップ 2 で設定した新しい SSH キー ファイル名を選択します。

ステップ 8

[スタックの詳細を指定（Specify stack details）] ウィンドウの下部にある [次へ（Next）] をクリックし、[スタックの更新（Update stack）] ウィンドウの残りのウィンドウに移動し、それらのウィンドウのフィールドに新しい SSH キー ファイル名が表示されていることを確認します。

ステップ 9

プロセスの最後にある [スタックの更新（Update stack）] をクリックします。

スタックの更新が開始されます。

ステップ 10

スタックの更新の進行状況を監視します。

スタックの更新は、次の段階を経ます。

- AWS は最初に新しい Cloud APIC VM を作成します。

- スタック更新の一環として、手動ですでに削除されている古い Cloud APIC VM の削除を試みます。

- Cisco Cloud APIC はスタックに投稿されます。

ステップ 11

[スタック（Stacks）] ウィンドウに UPDATE_COMPLETE メッセージが表示されるまで待ってから、[インスタンス（Instances）] ウィンドウに戻ります。

- Cloud APIC インスタンスは新しいインスタンス ID を持ち、新しい SSH キーを使用します。

- 古いインターフェースは新しいインスタンスに再接続され、CIDR とサブネットはすべて同じままです。

- Cloud APIC の管理 IP アドレスも同じになります。

ステップ 12

約 5 ～ 10 分後、Cloud APIC でバージョンが正しいことを確認します。

管理 IP アドレスを使用して Cloud APIC にログインします。リリース 25.0(2) にアップグレードする前に、以前に実行されていたリリースのバージョンが表示されます。

ステップ 13

既存設定のバックアップ で設定をバックアップしたときに書き留めたのと同じパスフレーズを使用して、グローバル AES 暗号化を有効にします。

1. Cisco Cloud APIC GUIで、[インフラストラクチャ > システム設定（Infrastructure System Configuration）] に移動します。

デフォルトでは、[General] タブの下にあります。そうでない場合は、[General] タブをクリックします。

2. [Global AES Encryption]領域の右上にある鉛筆アイコンをクリックします。

[Global AES 暗号 Settings] ウィンドウが表示されます。

3. [暗号化：有効（Encryption: Enabled）] 領域の隣にあるボックスをクリックして、既存設定のバックアップ（[パスフレーズ/確認/パスフレーズの確認（Passphrase/Confirm Passphrase）] で記載されているパスフレーズを入力します。

4. ウィンドウの下部にある [保存（Save）] をクリックします。

ステップ 14

リリース 25.0(2) にアップグレードする前にバックアップした以前のリリースの設定をインポートし、以前の設定が収束することを確認します。

バックアップした以前のリリースの設定をインポートするときは、次の設定を使用します。

- [復元タイプ（Restore Type）] フィールドで、[結合（Merge）] を選択します。

- [Restore Mode]フィールドで、[Best Effort]を選択します。

この手順の後、ホーム リージョン CSR の作成が自動的に開始されます。

ステップ 15

サイトが ACI マルチサイト オーケストレータ/Nexus ダッシュボード オーケストレータによって管理されている場合は、新しいCloud APIC VM の IP アドレスを更新します。

1. ACI マルチサイト オーケストレータ/Nexus ダッシュボードにログインします

2. サイトを編集して再登録します。

1. Nexus ダッシュボードで、[サイト（Sites）] に移動し、正しいサイトをクリックします。

2. 「詳細」アイコンをクリックして、「概要」ウィンドウを表示します。

3. 鉛筆アイコンをクリックして、このサイトの情報を編集します。

4. [サイトの再登録（Re-register Site）] の横にあるボックスをクリックし、必要な情報を入力して、新しい Cloud APIC VM の IP アドレスで更新します。

5. [保存（Save）] をクリックします。

3. ACI マルチサイト オーケストレータ/Nexus ダッシュボード オーケストレータに移動し、サイトが引き続き管理されていることを確認します。

1. Nexus ダッシュボード オーケストレータで、[サイト（Sites）] に移動します。

2. サイトを見つけて、[状態（State）] 列に [管理（Managed）] が表示されていることを確認します。

4. クラウド サイトの更新を実行します。

1. Nexus ダッシュボード オーケストレータで、[インフラストラクチャ（Infrastructure）] > [インフラ設定（Infra Configuration）] に移動し、[インフラの設定（Configure Infra）] をクリックします。

2. 左側のナビゲーション バーでサイトを選択し、[更新（Refresh）] をクリックします。

確認ウィンドウで [はい（Yes）] をクリックして、クラウド サイトの更新を続行します。

5. [展開（DEPLOY）] > [展開のみ（Deploy Only）] をクリックして、インフラ設定を展開します。

システム リカバリの実行

システム リカバリを実行する手順は、移行ベースのアップグレードを実行する手順と同じです。これらの手順については、セクション 移行ベースのアップグレード を参照してください。

クラウド サービス ルータのアップグレードのトリガー

次のトピックでは、クラウドサービスルータ（CSR）のアップグレードをトリガーするための情報と手順について説明します。

- クラウド サービス ルータのアップグレードのトリガー

- GUI を使用したクラウド サービス ルータのアップグレードのトリガーCisco Cloud APIC

- REST APIを使用したクラウドサービスルータのアップグレードのトリガー

クラウド サービス ルータのアップグレードのトリガー

リリース5.2（1）より前は、のアップグレードをトリガーするたびに、クラウドサービスルータ（CSR）が自動的にアップグレードされます。Cisco Cloud APICリリース5.2（1）以降では、CSRのアップグレードをトリガーし、アップグレードとは無関係にCSRのアップグレードをモニタできます。Cisco Cloud APICこれは、管理プレーン（）とデータプレーン（CSR）のアップグレードを分割できるため、トラフィック損失を減らすのに役立ちます。Cisco Cloud APIC

リリース5.2（1）以降、この機能はデフォルトで有効になっています。デフォルトの前提は、へのアップグレードをトリガーした後にCSRへのアップグレードをトリガーすることです。Cisco Cloud APICこの機能を有効にすると、無効にすることはできません。

この機能を有効にすると、とCSRの適切なアップグレードシーケンスは次のようになります。Cisco Cloud APIC

（注）

次に、CSRへのアップグレードをトリガーするための全体的なプロセスを説明する上位レベルの手順を示します。具体的な手順については、を参照してください。GUI を使用したクラウド サービス ルータのアップグレードのトリガーCisco Cloud APIC

1. この章の手順に従ってアップグレードします。Cisco Cloud APIC

2. Cisco Cloud APIC のアップグレードが完了するまで待ちます。そのアップグレードが完了すると、システムはCSRがと互換性がなくなったことを認識します。Cisco Cloud APICその後、CSRとに互換性がなく、に設定された新しいポリシーはCSRをアップグレードするまでCSRに適用されないことを示すメッセージが表示されます。Cisco Cloud APICCisco Cloud APIC

3. AWS ポータルで CSR の利用規約を確認し、同意します。

4. CSRアップグレードをトリガーして、の互換バージョンになるようにします。Cisco Cloud APIC

次の 2 つの方法のいずれかを使用して、CSR アップグレードのトリガープロセスを開始できます。

- 画面上部のバナーで、[CSR のアップグレード（Upgrade CSRs）] リンクをクリックします。

- [ファームウェアの管理（Firmware Management）] ページの [CSRs] 領域を使用します。次の順に選択：

[オペレーション（Operations）] > [ファームウェア管理]

[CSR］ タブをクリックし、［CSR のアップグレード（Upgrade CSRs）］ を選択します。

また、REST APIを使用してCSRのアップグレードをトリガーすることもできます。手順については、REST APIを使用したクラウドサービスルータのアップグレードのトリガー を参照してください。

ガイドラインと制約事項

- をアップグレードした後、CSRとに互換性がないことを示すメッセージが表示されない場合は、そのメッセージを表示するためにブラウザを更新する必要があります。Cisco Cloud APICCisco Cloud APIC

- をアップグレードした後、CSRへのアップグレードをトリガーします。Cisco Cloud APICをアップグレードする前に、CSRへのアップグレードをトリガーしないでください。Cisco Cloud APIC

- CSRへのアップグレードをトリガーすると、停止することはできません。

- CSRへのアップグレードをトリガーした後にエラーが表示された場合は、それらのエラーを確認して解決します。これらのCSRアップグレードエラーが解決されると、CSRアップグレードが自動的に続行されます。

GUI を使用したクラウド サービス ルータのアップグレードのトリガーCisco Cloud APIC

ここでは、GUIを使用してクラウドサービスルータ（CSR）へのアップグレードをトリガーする方法について説明します。Cisco Cloud APIC詳細については、「クラウド サービス ルータのアップグレードのトリガー」を参照してください。

手順

ステップ 1

互換性のあるCSRバージョンへのCSRアップグレードをトリガーするプロセスを開始します。

次の 2 つの方法のいずれかを使用して、CSR アップグレードのトリガープロセスを開始できます。

- 画面上部のバナーで、[CSR のアップグレード（Upgrade CSRs）] リンクをクリックします。

- [ファームウェアの管理（Firmware Management）] ページの [CSRs] 領域を使用します。次の順に選択：

[オペレーション（Operations）] > [ファームウェア管理]

[CSR］ タブをクリックし、［CSR のアップグレード（Upgrade CSRs）］ を選択します。

[CSRのアップグレード（Upgrade CSRs）]をクリックすると、CSRをアップグレードするとCSRがリブートし、トラフィックが一時的に中断する可能性があることを示す警告が表示されます。

ステップ 2

この時点でCSRをアップグレードし、トラフィックが一時的に中断された場合は、警告メッセージで[Confirm Upgrade]をクリックします。

CSR ソフトウェアのアップグレードが開始されます。CSRのアップグレードが進行中であることを示すバナーが画面の上部に表示されます。メッセージ内の[View CSR upgrade status]をクリックして、CSRアップグレードのステータスを表示します。

ステップ 3

CSRのアップグレード中に発生する可能性のある障害を修正します。

アップグレード中に障害が発生した場合は、次の場所に移動して障害の詳細情報を取得できます。

Operations Event Analytics Faults > >

REST APIを使用したクラウドサービスルータのアップグレードのトリガー

ここでは、REST APIを使用してクラウドサービスルータ（CSR）へのアップグレードをトリガーする方法について説明します。詳細については、「クラウド サービス ルータのアップグレードのトリガー」を参照してください。

手順

クラウドテンプレートでrouterUpgradeフィールドの値を「true」に設定し、REST APIを介してCSRへのアップグレードをトリガーします（routerUpgrade = "true"）。

<polUni>
<fvTenant name="infra">
<cloudtemplateInfraNetwork name="default" vrfName="overlay-1">
<cloudtemplateProfile name="defaultxyz" routerUsername="SomeFirstName" routerPassword="SomePass" routerUpgrade="true">
</cloudtemplateProfile>
<cloudtemplateExtSubnetPool subnetpool="10.20.0.0/16"/>
<cloudtemplateIntNetwork name="default">
<cloudRegionName provider="aws" region="us-west-1"/>
<cloudRegionName provider="aws" region="us-west-2"/>
</cloudtemplateIntNetwork>
<cloudtemplateExtNetwork name="default">
<cloudRegionName provider="aws" region="us-west-2"/>
<cloudtemplateVpnNetwork name="default">
<cloudtemplateIpSecTunnel peeraddr="23.2.1.1/32" />
<cloudtemplateIpSecTunnel peeraddr="23.0.1.1/32" />
<cloudtemplateIpSecTunnel peeraddr="23.1.1.1/32" />
<cloudtemplateOspf area="0.0.0.1"/>
</cloudtemplateVpnNetwork>
<cloudtemplateBgpEvpn peeraddr="34.1.1.1/32" asn="63000" siteId="123" password="abcd1234" />
</cloudtemplateExtNetwork>
</cloudtemplateInfraNetwork>
</fvTenant>
</polUni>

AWS リソースと命名規則

- AWS リソースと命名規則

AWS リソースと命名規則

以下は、のインストール時にによって作成される AWS リソースと、で使用される命名規則のリストです。Cloud APICCloud APICこれらの AWS リソースをよりよく理解し、同様の名前を使用しないようにするには、このリストの情報を使用してください。

項目

使用されるアイテム数

アイテムの命名ルール

S3 バケット

- 1 つのグローバル（CFT テンプレートの保存に使用）

- リージョンごとに 1 つ（CloudTrail ログの保存に使用）

Cloud APIC S3 バケットはプレフィックス capic で始まります。このプレフィックスで始まるバケットは使用しないでください。

タグ

最小 2、最大 8

使用されるタグ キーは次のとおりです。

- AciDnTag

- AciOwnerTag

- 名前（タグ値にはオブジェクトの相対名または RN が含まれます）

- AciStaleTag（によってリソースが古いと見なされる場合にのみ表示）Cloud APIC

- AciResolvedObjDnTag（VPC のみ）：解決されたオブジェクトの識別名（DN）を保持します。

- AciPeerDnTag（VPC ピアリング専用）：ピア VPC の DN を伝送します。

Aci または Capic で始まるタグは作成しないでください。

CloudTrails

リージョンにつき 1 つ

トレイル名はプレフィックス capic で始まります。このプレフィックスで始まる証跡は作成しないでください。

CloudWatch イベント

リージョンごとに 3 つ

ルールはプレフィックス capic で始まります。このプレフィックスで始まるルールは作成しないでください。

Simple Queue Service（SQS）キュー

リージョンにつき 1 つ

キュー名はプレフィックス capic で始まります。このプレフィックスで始まるキューは作成しないでください。

AWS の IAM ロールと権限

- AWS の IAM ロールと権限

AWS の IAM ロールと権限

（注）

AWS IAM の役割と権限の詳細についてはAWS ユーザ ガイドの Cisco Cloud APIC、次のいずれかのタイプのテナントとして AWS プロバイダを設定する方法などを参照してください。

- 信頼できるテナント

- 信頼できないテナント

- 組織テナント、リリース 4.2(3) 以降でサポートされています。

AWS ユーザ ガイドの Cisco Cloud APIC は、次の ＵＲＬ から入手できます。
https://www.cisco.com/c/en/us/support/cloud-systems-management/cloud-application-policy-infrastructure-controller/tsd-products-support-series-home.html

Cisco Cloud APIC のインストールと操作には、特定の AWS IAM の役割と権限が必要です。

CloudFormation テンプレート (CFT) を使用して Cisco Cloud APIC をインストールする場合は、AWS に完全な管理者アクセス権を持つユーザ (たとえば、権限ポリシー ARN arn:aws:iam::aws:policy/AdministratorAccessが、直接、ロール ポリシーにより、またはユーザ グループにより接続されているユーザ) によってインストールすることを推奨します。ただし、使用可能な AWS 管理者アクセス権を持つユーザがいない場合は、Cisco Cloud APIC をインストールするユーザに次の最小権限セットが必要です。

{
"Version": "2012-10-17",
"Statement": [{
"Effect": "Allow",
"Action": "iam:*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "ec2:*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "cloudformation:*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "s3:*",
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "sns:*",
"Resource": "*"
}
]
}

上記の権限セットは、CFT を使用して Cisco Cloud APIC をインストールするユーザに必要です。次に、[アクション (Action)]行に示すように、上記の必要な権限の詳細について説明します。

- iam権限: Cisco Cloud APICインスタンスは、 ApicAdminという名前の AWS ロールで実行される AWS EC2 インスタンスです。このロールは、CloudFormation スタックによって作成される必要があります。ApicAdminロールを使用して Cisco Cloud APIC インスタンスを実行すると、Cisco Cloud APIC インスタンスは AWS メタデータ サービスを使用して一時的なクレデンシャルを取得できます。これにより、Cisco Cloud APIC インスタンスは、AWS API コールを行うために、固定のアクセス キー ID と秘密アクセス キーを使用する必要がなくなります。

- ec2権限:スタックが必要な VPC、サブネット、セキュリティグループなどを作成できるようにするために必要です。スタックによって、 Cisco Cloud APIC インスタンスが展開されるインフラ VPC が作成されます。

- cloudformationの権限: CFT 自体を実行するために必要です。

- s3権限: CFT が AWS CloudFormation スタックのニーズに基づいて S3 バケットに保存されるようにするために必要です。

- sns権限: CloudFormation スタックを実行するための通知を取得するために必要です。

操作の場合、Cisco Cloud APIC は ApicAdmin ロールで実行されます。このロールには 2 つのポリシーが付加されており、CloudFormation テンプレートの起動の一環として作成されます。

- ApicAdminFullAccessポリシー: このポリシーにリストされている権限によって、Cisco Cloud APIC は EC2 および VPC リソース、S3 バケット、リソースグループ、アカウント通知、およびログを作成および管理できます。Cisco Cloud APIC は、作成したリソースの管理のみを試行することに注意してください。他のアプリケーションによって作成されたリソースには処理しません。

このポリシーには、次の権限が必要です。

{
"Version": "2012-10-17",
"Statement": [{
"Action": "organizations:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ec2:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "s3:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "sqs:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "elasticloadbalancing:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "acm:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "cloudtrail:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "cloudwatch:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "logs:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "resource-groups:*",
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "events:*",
"Resource": "*",
"Effect": "Allow",
"Sid": "CloudWatchEventsFullAccess"
},
{
"Action": "autoscaling:*",
"Resource": "*",
"Effect": "Allow"
}
]
}

- ApicTenantsAccessポリシー:このポリシーにリストされている権限によって、Cisco Cloud APIC は、テナント アカウントのロールと、それらのテナント AWS アカウントのコール AWS API を引き受けることができます。これにより、Cisco Cloud APIC は、テナント アカウントのハード クレデンシャルを使用せずにテナント アカウントにアクセスすることができます。

このポリシーには、次の権限が必要です。

{
"Version": "2012-10-17",
"Statement": [{
"Action": "sts:AssumeRole",
"Resource": "*",
"Effect": "Allow"
}]
}

Cisco Cloud APIC 自体は、操作のために IAM 権限を必要としません。これは、インストール後に IAM ポリシーやロールが作成されないためです。

Cisco Cloud APIC は、それによって作成された AWS リソースの管理を試みますが、既存のリソースをインベントリとしてリストするのではなく、他のアプリケーションによって作成されたリソースの管理を試みません。同時に、これらのアカウント (インフラ アカウントと他のテナント アカウントの両方) の IAM ユーザは、Cisco Cloud APIC によって作成されたリソースに干渉しないようにする必要があります。したがって、AWS で Cisco Cloud APIC により作成されたすべてのリソースには、次の 2 つのタグのうち少なくとも 1 つが適用されます。

- AciDnTag

- AciOwnerTag

したがって、EC2、VPC、およびその他のリソースを作成、削除、または更新する権限を持つ AWS IAM ユーザを作成する場合、これらのユーザが Cisco Cloud APIC によって作成および管理されるリソースへアクセスすることや変更することを防止する必要があります。このような制限は、インフラとその他のユーザのテナント アカウントの両方に適用する必要があります。AWS アカウント管理者は、上記の2つのタグを使用して、ユーザが Cisco Cloud APIC によって作成および管理されるリソースへのアクセスや変更を防止する必要があります。

たとえば、次のようなアクセス ポリシーがある場合、Cisco Cloud APIC によって管理されているリソースへの意図しないアクセスを防止するために、IAM ユーザのアクセス ポリシーを設定することができます。

{
"Effect": "Deny",
"Action": [
"ec2:*"
],
"Resource": "*",
"Condition": {
"StringLike": {
"ec2:ResourceTag/AciDnTag": "*"
}
}
}

テナントリージョン管理

- テナントリージョン管理

テナントリージョン管理

異なるリージョンでのテナント ポリシーの展開

Cisco Cloud APIC 所有権チェックを適用して、意図的にまたは誤って行われた同じテナントとリージョンの組み合わせでポリシーが展開されないようにします。たとえば、1 つ（CAPIC1）がリージョン R1 の AWS アカウント IA1 に展開されており、テナントをリージョン R2 のアカウント TA1 に展開するとします。Cisco Cloud APICこのテナント展開（TA1-R2 のアカウントとリージョンの組み合わせ）は、IA1-R1（CAPIC1）によって所有されています。別の（CAPIC2）が将来のある時点で TA1-R2 の同じテナントとリージョンの組み合わせを管理しようとした場合（たとえば、CAPIC2 がリージョン R3 の AWS アカウント IA2 に導入されている場合）、展開 TA1-R2 の所有者は IA1-R1（CAPIC1）です。Cisco Cloud APIC

これらの制限は、AWS リソース グループを使用して実現されます。次の例は、有効な展開と無効な展開の組み合わせを示しています。

Cisco Cloud APIC

テナント

有効性

理由

IA1-R1(CAPIC1)

TA1-R1

有効

テナント TA1-R1 は IA1-R1（CAPIC1）によって所有されています。

IA1-R1(CAPIC1)

TA1-R2

有効

テナント TA1-R2 は IA1-R1（CAPIC1）によって所有されています。

IA1-R2(CAPIC2)

TA1-R1

無効

テナント TA1-R1 はすでに IA1-R1（CAPIC1）によって所有されています。

IA1-R2(CAPIC2)

TA1-R3

有効

テナント TA1-R3 は IA1-R2（CAPIC2）によって所有されています。

IA2-R1(CAPIC3)

TA1-R1

無効

テナント TA1-R1 はすでに IA1-R1（CAPIC1）によって所有されています。

IA2-R1(CAPIC3)

TA1-R4

有効

テナント TA1-R4 は IA2-R1（CAPIC3）によって所有されています。

IA2-R1(CAPIC3)

TA2-R4

有効

テナント TA2-R4 は IA2-R1（CAPIC3）によって所有されています。

展開の適用は、インフラ テナントとユーザ テナントに対して実行されます。CAPIC1 がリージョン R1 のアカウント IA1 に導入されており、リージョン R2 と R3 を管理しようとしている場合、リージョン R1、R2、および R3 の同じアカウント IA1 を管理しようとする別のアカウント（たとえば、CAPIC2）は許可されません。Cisco Cloud APIC

テナント リージョンの所有権の検証は、AWS リソース グループを使用して行われます。テナントとリージョンの組み合わせごとに、構文 CloudAPIC_TenantName_Regionを使用してリソース グループが作成されます（たとえば、リージョン R2 の アカウント TA1 に CAPIC_TA1_R2 という名前が展開されている場合）。また、Cisco Cloud APIC がリージョン R1 のアカウント IA1 に導入されている場合は、IA1_R1_TA1_R2 の所有権タグがあります。

次に、AciOwnerTag の不一致が発生し、既存のテナント リージョンの導入が失敗する状況の例を示します。

- Cisco Cloud APIC が最初に 1 つのアカウントにインストールされた場合、破棄され、Cisco Cloud APIC は別のアカウントにインストールされました。この場合、同じテナントとリージョンの組み合わせを再度管理しようとすると、既存のすべてのテナントとリージョンの展開が失敗します。

- Cisco Cloud APIC が 1 つの地域に最初にインストールされた場合、その後切断され、Cisco Cloud APIC は別の地域にインストールされます。この場合、既存のすべてのテナント リージョンの展開が失敗します。

- 別のテナントが同じテナント リージョンを管理している場合。Cisco Cloud APIC

所有権が一致しない場合、Cisco Cloud APIC はテナント領域のセットアップの再試行を再度実行しません。所有権の不一致のケースを解決するには、他のテナントが同じテナントとリージョンの組み合わせを管理していない場合は、テナントの AWS アカウントにログインし、影響を受けるリソース グループ（CAPIC_123456789012_us-east-2など）を手動で削除します。Cisco Cloud APIC次に、Cisco Cloud APIC インスタンスをリロードするか、Cisco Cloud APIC からテナントを削除して再度追加します。

CSR およびテナント情報の検索

- CSR とテナント情報の検索

CSR とテナント情報の検索

Cloud APIC と ISN デバイス間の接続を有効にするために必要な Cisco Cloud サービスルータ (CSR) とテナント情報には、いくつかの部分があります。この情報は、ACI マルチサイト オーケストレータ から取得できるようにする必要があります ([サイト] > [インフラの構成] > [IPN デバイス設定ファイルのみのダウンロード])。ただし、CSR とテナントの情報を手動で収集する必要があることが判明した場合は、次の項でこの情報を特定する手順を説明します。

- クラウド CSR の情報

- インフラ テナントの情報

- ユーザ テナントの情報

クラウド CSR の情報

必要な AWS 情報

入力する値

AWS サイトでのこの情報の検索方法

クラウド CSR の 3 番目のネットワーク インターフェイスの柔軟な IP アドレス

1. AWS 管理コンソールの EC2 ダッシュボードのインスタンスに移動します。

2. CSR インスタンスを選択します (CSR インスタンスの横にあるボックスをクリックします)。

3. 右側にネットワークインターフェイスが表示されるまで下にスクロールし、[eth2] リンクをクリックして、[パブリック IP アドレス] フィールドに表示されている IP アドレスを見つけます。

クラウド CSR のパブリック IP アドレス

1. AWS 管理コンソールの EC2 ダッシュボードのインスタンスに移動します。

2. CSR インスタンスを検索します。

3. その CSR インスタンスの [IPv4 パブリック IP (IPv4 Public IP)] 列に表示されている IP アドレスをコピーします。

クラウド CSR の事前共有キー

1. クラウド CSR にログインします。

ssh ip-address

ここで、 ip アドレスはクラウド CSR のパブリック IP アドレスです。

2. 暗号キーリング情報を取得します。

show running-config | include pre-shared-key

事前共有キーが強調表示されている次のような出力が表示されます。

pre-shared-key address 192.0.2.15 key 123456789009876543211234567890

クラウド CSR へのオンプレミス IPsec デバイスのピア トンネル IP アドレス

1. クラウド CSR にログインします。

ssh ip-address

ここで、 ip アドレスはクラウド CSR のパブリック IP アドレスです。

2. 次のコマンドを入力します。

show ip interface brief | include Tunnel2

次のような出力が表示されます。

Tunnel2              30.29.1.1      YES  NVRAM   up       down

3. このトンネルの IP アドレスを取得し、アドレスを1つずつ増やして、オンプレミスの IPsec デバイスのピアトンネル IP アドレスをクラウド CSR に取得します。

たとえば、出力に表示されている IP アドレスが 30.29.1.1 の場合、クラウド CSR に対してオンプレミスの IPsec デバイスのピア トンネル IP アドレスが 30.29.1.2 ます。

インフラ テナントの情報

必要な AWS 情報

入力する値

AWS サイトでのこの情報の検索方法

インフラ テナントのクラウド アカウント ID

AWS で Cloud APIC を導入する の説明に従って、インフラ テナントに AWS アカウントを使用します。

インフラ テナントのクラウド アクセスキー ID とクラウド シークレット アクセス キー

1. インフラ テナントの Amazon Web Services アカウントにログインします。

2. [IAM] に移動します。

3. 左側のペインで、[ユーザ] を選択します。

4. 管理アカウントのリンクをクリックします。

5. [サマリ] ページで、[セキュリティ資格情報 (Security credentials)] タブをクリックします。

6. Amazon Web Services アクセスキー ID をまだ持っていない場合は、[アクセス キーの作成 (Create access key)] をクリックします。

7. [アクセス キー ID (Access KEY ID)] フィールドと [シークレット アクセス キー (Secret access key)] フィールドから情報を見つけます。

ユーザ テナントの情報

必要な AWS 情報

入力する値

AWS サイトでのこの情報の検索方法

Cisco Cloud APIC ユーザ テナントのクラウド アカウント ID

ユーザ テナントの AWS アカウントのセットアップ の説明に従って、ユーザ テナントに AWS アカウントを使用します。

Cisco Cloud APIC ユーザ テナントのクラウド アクセスキー ID とクラウド シークレット アクセス キー

1. ユーザ アカウントの Amazon Web Services アカウントにログインします。

2. [IAM] に移動します。

3. 左側のペインで、[ユーザ] を選択します。

4. クラウド APIC ユーザ テナント アカウントのリンクをクリックします。

5. [サマリ] ページで、[セキュリティ資格情報 (Security credentials)] タブをクリックします。

6. Amazon Web Services アクセスキー ID をまだ持っていない場合は、[アクセス キーの作成 (Create access key)] をクリックします。

7. [アクセス キー ID (Access KEY ID)] フィールドと [シークレット アクセス キー (Secret access key)] フィールドから情報を見つけます。