Cisco Cloud APIC とは

Cisco Cloud APIC は、クラウド ベースの仮想マシン（VM）に導入できる Cisco APIC のソフトウェア コンポーネントです。Cisco Cloud APICは次の機能を提供します。

• Amazon AWSまたはMicrosoft Azureパブリッククラウドと対話するための既存のインターフェイスと同様のインターフェイスを提供します。Cisco APIC

• クラウド接続の展開と設定を自動化します。

• クラウド ルータ コントロール プレーンを設定します。

• オンプレミス Cisco ACI ファブリックとクラウドサイト間のデータ パスを設定します。

• Cisco ACI ポリシーをクラウド ネイティブ ポリシーに変換します。

• エンドポイントを検出します。

Cisco ACI Extension からパブリック クラウドへのメリットを享受するには

Cisco Cloud APIC はパブリック クラウドへの Cisco ACI 拡張の重要な部分です。Cisco Cloud APICは、オンプレミスのデータセンターまたはパブリック クラウドの両方またはいずれかに展開されたワークロードに対して一貫したポリシー、セキュリティ、および分析を提供します。

パブリック クラウドへの Cisco ACI 拡張は、オンプレミスのデータセンターとパブリック クラウド間の自動接続を提供し、プロビジョニングとモニタリングを容易にします。また、オンプレミスのデータセンターとパブリック クラウド間、またはクラウド サイト間でポリシーを管理、監視、およびトラブルシューティングするための単一のポイントを提供します。

Azureガバメントサポート

リリース4.2（3）以降では、オンプレミスからクラウドへの接続（ハイブリッドクラウドおよびハイブリッドマルチクラウド）、クラウドサイトからクラウドへの接続（マルチクラウド）、およびシングルクラウドの設定について、Azure Governmentをサポートしています。 （クラウドファースト）。Cisco Cloud APIC

Cisco Cloud APIC 次のAzure政府リージョンをサポートします。

• US DoD セントラル

• US DoD 東部

• 米国政府、アリゾナ州

• 米国政府、テキサス州

• 米国政府、バージニア州

オンプレミスデータセンターコンポーネント

Cisco ACI ファブリックおよび Cisco APIC

Cisco ACI では、アプリケーション要件でネットワークを定義できます。このアーキテクチャにより、アプリケーションの導入ライフサイクル全体がシンプルになって最適化され、短時間で完了します。Cisco Application Policy Infrastructure Controller（APIC）の主要コンポーネントです。Cisco ACIこれにより、アプリケーションは、ネットワーク、コンピューティング、およびストレージ機能を含むセキュアで共有された高性能リソース プールに直接接続できます。

マルチサイト およびマルチサイト オーケストレータ/Cisco Nexus Dashboard Orchestrator

マルチサイト は、プログラムを利用してアプリケーションがネットワーク要件を定義することを可能にするアーキテクチャです。このアーキテクチャにより、アプリケーションの展開が簡素化・最適化され、そして促進されます。Cisco Cloud APIC を使用してファブリックをパブリック クラウドに拡張するには、マルチサイト をインストールする必要があります。

詳細については、Cisco.com の マルチサイトのマニュアルおよびこのガイドの マルチサイト の構成情報を参照してください。

Cisco Nexus Dashboard Orchestrator （NDO）は、複数のファブリック（サイト）で複数の Cisco Application Policy Infrastructure Controller（APIC）のインスタンスを管理します。

Cisco ACI ファブリックをパブリック クラウドに拡張すると、Cisco Nexus Dashboard Orchestrator はオンプレミスのデータセンターとパブリック クラウド間の接続を作成します。マルチサイト を使用して、オンプレミスのデータセンターとパブリック クラウド全体にテナントを作成します。

（注）	オンプレミス Cisco ACI ファブリックを設定する必要があります。ファブリック外部接続ポリシーを作成し、マルチサイト に必要なオーバーレイTEPおよびその他の情報を定義します。また、マルチサイト アーキテクチャにオンプレミス Cisco ACI ファブリックを追加する必要があります。Cisco.com で『Cisco ACI マルチサイト構成ガイド』を参照してください。

詳細については、Cisco.com の マルチサイトのマニュアルおよびこのガイドの マルチサイト の構成情報を参照してください。

IP セキュリティ（IPSec）ルータ

Microsoft Azureのオンプレミスサイトとクラウドサイトの間でIPsec接続を確立するには、インターネットプロトコルセキュリティ（IPsec）対応のルータが必要です。

Azureパブリッククラウドコンポーネント

Cisco Cloud APIC

Cisco Cloud APIC は次のアクションを実行します。

• パブリッククラウド上のサイトを定義し、クラウドインフラ仮想ネットワーク（VNET）をプロビジョニングし、すべてのリージョンで CCR を管理します。

• パブリッククラウドでポリシーモデルをレンダリングし、クラウドの健全性を管理します。Cisco ACI

詳細については、 『Cisco Cloud APIC Release Notes』を参照してください。

CCR

CCR は、仮想およびクラウド環境で包括的な WAN ゲートウェイとネットワークサービスを提供します。CCR により、企業はWANをプロバイダーがホストするクラウドに拡張できます。Cisco Cloud APIC ソリューションには 2 つの CCR が必要です。

Cisco Cloud APIC で使用する CCR のタイプは、リリースによって異なります。

• 25.0(3) までのリリースでは、Cisco Cloud APIC は CSR 1000v をクラウド サービス ルータとして使用します。このCCRの詳細については、Cisco CSR 1000v のマニュアル を参照してください。

• リリース 25.0(3) 以降、Cisco Cloud APIC では Cisco Catalyst 8000V をクラウド サービス ルータとして使用します。この CCR の詳細については、Cisco CSR 8000v のマニュアル を参照してください。

Microsoft Azure パブリック クラウド

Microsoft Azureは、コンピューティング、ストレージ、ネットワーク、データベースなどのオンデマンドサービスを提供するクラウドベースのプラットフォームです。Azureのサブスクライバは、ワークロードを実行できる仮想コンピュータにインターネット経由でアクセスできます。

詳細については、Microsoft Azure の Web サイトのマニュアルを参照してください。

オンプレミスデータセンターとパブリッククラウド間の接続

IPsec VPN

パブリックにルーティング可能なIPアドレスを含み、Microsoft Azure接続に十分な帯域幅を持つ、IPsecルータからのVPNとのインターネット接続が必要です。

管理接続

オンプレミスのデータ センターの Nexus Dashboard Orchestrator と Microsoft Azure パブリック クラウドの Cisco Cloud APIC の間に管理接続が必要です。

Azure とコンポーネントのマッピングCloud APIC

Cloud APIC では、各 Azure リソース グループは 1 つのテナントにマッピングされ、1 つのテナントが複数の Azure リソースグループを持つことができます。Cloud APICCloud APIC

特定のコンポーネント間の関係は次のとおりです。Cloud APIC

テナントVRFリージョン > >

でVRFを作成すると、新しいリソースグループもAzureに作成されます。Cloud APIC

Azureサブスクリプションについて

Azureサブスクリプションは、Azureクラウドサービスの支払いに使用されます。Azureサブスクリプションには、Azure Active Directory（Azure AD）との信頼関係があり、Azure ADを使用してユーザ、サービス、およびデバイスを認証します。複数のサブスクリプションは同じAzure ADを信頼できますが、各サブスクリプションは1つのAzure ADのみを信頼できます。

Azureでは、同じAzureサブスクリプションIDを複数のACIファブリックテナントに使用できます。これは、1つのAzureサブスクリプションを使用してインフラテナントを設定し、同じサブスクリプションで複数のユーザテナントを設定できることを意味します。ACIテナントはAzureサブスクリプションに関連付けられています。

テナントとアイデンティティについて

Azureおよびで使用できるさまざまなタイプのテナントとIDを次に示します。Cloud APIC

（注）	リリース5.2（1）より前のリリースでは、管理対象アイデンティティのみがインフラテナントのアクセスタイプとしてサポートされ、管理対象アイデンティティとサービスプリンシパルの両方がユーザテナントのアクセスタイプとしてサポートされていました。 リリース5.2（1）以降、マネージドアイデンティティとサービスプリンシパルの両方が、インフラテナントとユーザテナントのアクセスタイプとしてサポートされるようになりました。

マネージドアイデンティティ

マネージドアイデンティティは、Azure AD認証をサポートするリソースに接続するときに使用するアプリケーションのアイデンティティを提供します。アプリケーションは管理対象IDを使用してAzure ADトークンを取得できます。たとえば、開発者が安全な方法でクレデンシャルを保存したり、ストレージアカウントにアクセスしたりするために、アプリケーションでマネージドアイデンティティを使用してAzure KeyVaultなどのリソースにアクセスできます。https://docs.microsoft.com/en-us/azure/key-vault/general/overview

管理対象IDを使用する利点は次のとおりです。

• クレデンシャルにはアクセスできないため、クレデンシャルを管理する必要はありません。

• マネージドIDを使用して、独自のアプリケーションを含むAzure AD認証をサポートする任意のリソースを認証できます。

• マネージドIDは追加コストなしで使用できます。

Azureの管理対象アイデンティティの詳細については、以下を参照してください。

https://docs.microsoft.com/en-us/azure/active-directory/managed-identities-azure-resources/overview

管理対象アイデンティティを使用してでテナントを設定する場合は、Azureポータルとで次の設定を行います。Cloud APICCloud APIC

1. Azureポータルで、仮想マシンのロール割り当てを追加します。このオプションは、Azureサブスクリプションが（同じ組織の）同じAzureディレクトリにある場合に使用します。

   （注）	Azureサブスクリプションが異なるディレクトリにあり、マネージドIDを使用してテナントを設定する場合は、Azureコンソールに移動し、各サブスクリプションをクリックして同じAzureディレクトリの下にサブスクリプションを移動できます。これは、（異なるサブスクリプションを含む）ディレクトリが同じ親組織の子である場合にのみ実行できます。

   仮想マシンのAzureにロール割り当てを追加する手順については、を参照してください。仮想マシンへのロール割り当ての追加

2. では、でテナントを設定するときに[Create Your Own Managed Identity]オプションを選択します。Cloud APICCloud APICこのオプションは、の手順を使用してGUIで設定します。Cloud APICテナントの設定

サービス プリンシパル（Service Principal）

Azureサービスプリンシパルは、Azureリソースにアクセスするためのアプリケーション、ホステッドサービス、および自動化ツールで使用するために作成されたIDです。異なるサブスクリプションでテナントを設定する場合は、サービスプリンシパルIDを使用します。サブスクリプションが同じ組織内の異なる Azure ディレクトリ（Azure テナント）にあるか、サブスクリプションが異なる組織にある可能性があります。

サービスプリンシパルを使用してでテナントを設定する場合は、Azureポータルとで次の設定を行います。Cloud APICCloud APIC

1. Azureポータルで、アプリケーションのロール割り当てを追加します。この場合、クラウドリソースは特定のアプリケーションを介して管理されます。

   アプリにAzureのロール割り当てを追加する手順については、を参照してください。アプリへのロール割り当ての追加

2. では、テナントを設定するときに [サービスプリンシパル（Service Principal）] オプションを選択します。Cloud APICCloud APICこのページに入力するサブスクリプションは、同じ組織内の異なるAzureディレクトリ（Azureテナント）に配置することも、異なる組織に配置することもできます。このオプションは、Cloud APIC の手順を使用して テナントの設定 GUI で設定します。

共有テナント

Azureサブスクリプションを上記の2つの方法のいずれかにすでに関連付けており、そのサブスクリプションにさらにテナントを作成する場合は、このオプションを選択します。

でテナントを共有テナントとして設定する場合は、Azureポータルとで次の設定を行います。Cloud APICCloud APIC

1. 上記の2つの方法のいずれかでAzureサブスクリプションをすでに関連付けているため、Azureで共有テナント専用の設定を行う必要はありません。共有テナントでは、既存のサブスクリプションにさらにテナントを作成します。

2. では、テナントを設定するときに[共有（Shared）]オプションを選択します。Cloud APICCloud APICこのオプションは、Cloud APIC の手順を使用して テナントの設定 GUI で設定します。

Cisco Cloud APIC と Cisco Cloud ルータ

（注）	このセクションのライセンス情報は、リリース 25.0(3) より前のリリースで使用されていた Cisco Cloud Services Router 1000v に特に適用されます。リリース 25.0(3) 以降で使用される Cisco Catalyst 8000V のライセンス情報については、Cisco Catalyst 8000V を参照してください。

シスコが管理する各仮想マシン（VM）インスタンスごとのシスコライセンス。Cisco Cloud APICバイナリイメージはMicrosoft Azureポータルで利用可能で、Bring Your Own License（BYOL）モデルをサポートしています。Cisco Cloud APIC

Essentials Cloud 階層には、パブリック クラウド上の単一のポリシー ドメイン用または単一の Cisco Cloud APIC インスタンス用のライセンスが含まれています。の複数のインスタンスを展開する場合は、管理するVMインスタンスごとにAdvantage Cloudライセンスを購入します。Cisco Cloud APICCisco Cloud APIC

ライセンスの詳細は、『Cisco Application Centric Infrastructure Ordering Guide』を参照してください。

1 つ以上の Cisco Cloud APIC ライセンスを取得することに加えて、Cisco Smart Software Licensing に Cisco Cloud APIC および CCR を登録する必要があります。

シスコのスマート ライセンスは、複数のシスコ製品間でソフトウェア ライセンスを管理する統合ライセンス管理システムです。スマートソフトウェアライセンシングの詳細については、https：//www.cisco.com/go/smartlicensingを参照してください。

Cisco Cloud APIC および CCR を登録するためのステップは以下のとおりです。

1. 製品がインターネットにアクセスできること、またはネットワーク上にインストールされた Smart Software Manager サテライトにアクセスできることを確認してください。

2. スマートアカウントにログインします。

   1. Smart Software Manager : https://software.cisco.com/

   2. Smart Software Manager サテライト: https://www.cisco.com/c/en/us/buy/smart-accounts/software-manager-satellite.html

3. この製品インスタンスで使用するライセンスが含まれている仮想アカウントに移動します。

4. 製品インスタンスの登録トークン（これによりスマート アカウントを識別）を生成し、そのトークンをコピーするか、または保存します。

（注）	Cisco Cloud APIC は、Cisco Cloud APIC セットアップ ウィザードの [ルータのスループット（Throughput of the routers）] フィールドで選択した設定に基づいて、適切なサイズの CCR を展開します。詳細については、Azure パブリック クラウドの要件およびセットアップ ウィザードを使用した Cisco Cloud APIC の設定を参照してください。

（注）	将来のある時点で展開から CCR を削除すると（GUI またはクラウド コンソールまたはポータルを使用して CCR を削除することにより）、CCR スマート ライセンス サーバーがその CCR から切断されます。Cisco Cloud APIC削除された CCR インスタンスは 90 日間は失効としてマークされ、その期間は他の新しい CCR によってライセンスを再利用できません。 この状況を回避するには、「Cisco CSR 1000v ライセンスの再ホスト」の手順を使用して、CSR 1000v ライセンスを再ホストします。

Cisco Catalyst 8000V

リリース 25.0(4) 以降、Cisco Cloud APIC 上の Cisco Catalyst 8000V は次のライセンス モデルをサポートしています。

1. 所有ライセンス持ち込み（BYOL）ライセンス モデル

2. ペイアズユーゴー（PAYG）ライセンス モデル

（注）	25.0(4) より前のリリースの場合、Cisco Cloud APIC 上の Cisco Catalyst 8000V は、所有ライセンス持ち込み（BYOL）ライセンス モデルのみをサポートします。

BYOL ライセンス モデル

Cisco Catalyst 8000V は、サブスクリプション ベースのライセンスをサポートしています。

• ティアベースの Cisco Catalyst 8000V ライセンスの 1 つにサブスクライブする手順については、Cisco Catalyst 8000V Edge ソフトウェアを参照してください。

• 階層に基づくさまざまなスループットの詳細については、Cisco Cloud APIC for Azure User Guide、リリース 25.0(1)-25.0(4) 以降を参照してください。

Cisco Cloud APIC は「Cisco DNA Advantage」サブスクリプションを利用します。「Cisco DNA Advantage」サブスクリプションでサポートされる機能については、Cisco DNA ソフトウェア SD-WAN およびルーティング マトリックスを参照してください。

PAYGライセンス モデル

25.0(4) リリース以降、Cisco Cloud APIC は Cisco Catalyst 8000V でのペイアズユーゴー（PAYG）ライセンス モデルをサポートしています。これにより、ユーザは VM サイズに基づいてクラウドに Catalyst 8000V インスタンスを展開し、時間単位で使用料を購入できます。

スループットを得るために VM サイズに完全に依存しているため、PAYG ライセンス モデルを有効にするには、まず現在の Cisco Catalyst 8000V の展開を解除してから、新しい VM サイズでの初回セットアップを使用して再度展開します。詳細については、セットアップ ウィザードを使用した Cisco Cloud APIC の設定を参照してください。

（注）	使用可能な 2 つのライセンス タイプを切り替える場合は、PAYG ライセンスを有効にする手順も使用できます。

（注）	Azure Marketplace でライセンスを消費するための 2 つの PAYG オプションがあります。Catalyst 8000V Cisco DNA Essentials と Catalyst 8000V Cisco DNA Advantage です。Cisco Cloud APIC は、Catalyst 8000V Cisco DNA Advantage を利用します。「Cisco DNA Advantage」サブスクリプションでサポートされる機能については、Cisco DNA ソフトウェア SD-WAN およびルーティング マトリックスを参照してください。

Cisco Cloud APIC およびオンプレミス ACI ライセンスの概要

• オンプレミス Cisco ACI サイトのすべてのリーフスイッチのライセンス要件：

  • Cisco ACI オンプレミス サイトが単一サイトの場合、オンプレミス リーフスイッチには Essentials ライセンス階層（またはそれ以上）を使用します。

  • Cisco ACI オンプレミス サイトがマルチサイトの場合、オンプレミス リーフスイッチには Advantage ライセンス階層（またはそれ以上）を使用します。

• Cloud APIC インスタンスによって管理されるすべての VM インスタンスのライセンス要件：

  • クラウド上の Cisco ACI に Cloud APIC が 1 つしかない場合は、Cloud ACI に Essentials クラウド ライセンス層（またはそれ以上）を使用します。

  • クラウド上の Cisco ACI に Cloud APIC が 1 つ以上ある場合は、Cloud ACI に Advantage クラウド ライセンス階層（またはそれ以上）を使用します。

Microsoft Azure

リリースに応じて、Microsoft Azure Marketplace から登録する必要があります。

• リリース 25.0(3) までのリリースでは、Cisco Cloud Services Router（CSR）1000V-BYOL for Maximum Performance に登録します。

• リリース 25.0(3) 以降では、 Cisco Catalyst 8000V Edge Software - BYOL に登録します。

• リリース 25.0(4) 以降では、 Cisco Catalyst 8000V Edge Software - PAYG に登録します。

Microsoft Azure Marketplaceからサブスクライブするには、の手順に従ってください。CCR のサブスクライブ