• 内部および外部のサブネット：VPC およびサブネットの名前を入力します。

• インターネットゲートウェイ：インターネットゲートウェイの名前を入力します。これにより、インターネットを介した直接接続が可能になります。

• 外部テーブル：インターネットへの発信トラフィックを有効にするためのエントリを追加します（インターネットゲートウェイに 0.0.0.0/0 を追加します）。

• AMI（Ubuntu Server 14.04 LTS など）を選択します。

  イメージ配信通知で識別された AMI を使用します。

• ASA 仮想 でサポートされるインスタンスタイプ（c3.large など）を選択します。

• インスタンスを設定します（CPU とメモリは固定です）。

• [高度な詳細（Advanced Details）] セクションを展開し、オプションの [ユーザーデータ（User data）] フィールドに第 0 日用構成を入力できます。これは、ASA 仮想 の起動時に適用される ASA 仮想 構成を含むテキスト入力です。スマートライセンスなどの詳細情報を持つ第 0 日用構成の詳細については、「第 0 日のコンフィギュレーション ファイルの準備」を参照してください。

  • 管理インターフェイス：第 0 日用構成の詳細を指定することを選択する場合は、管理インターフェイスの詳細を指定する必要があります。これは DHCP を使用するように設定する必要があります。

  • データインターフェイス：データインターフェイスの IP アドレスは、その情報を第 0 日用構成の一部として指定した場合にのみ割り当てられ、設定されます。データインターフェイスは、DHCP を使用するように設定できます。または、接続するネットワーク インターフェイスがすでに作成されていて、IP アドレスがわかっている場合は、第 0 日用構成で IP アドレスの詳細を指定できます。

  • 第 0 日用構成なし：第 0 日用構成を指定せずに ASA 仮想 を導入すると、ASA 仮想 はデフォルトの ASA 仮想 構成を適用し、AWS メタデータサーバーから接続されたインターフェイスの IP アドレスを取得し、IP アドレスを割り当てます（データインターフェイスに IP アドレスは割り当てられますが、ENI はダウンします）。Management0/0 インターフェイスが起動し、DHCP アドレスで設定された IP アドレスを取得します。Amazon EC2 および Amazon VPC の IP アドレッシングについては、「VPC での IP アドレッシング」を参照してください。

    第 0 日用構成の例：

    
    ! ASA Version 9.x.1.200
    !
    interface management0/0
    management-only
    nameif management
    security-level 100
    ip address dhcp setroute
    ipv6 enable
    ipv6 address dhcp default
    no shutdown
    !
    !
    GWLB facing VTEP interface
    interface TenGigabitEthernet0/0
    nameif data-interface-in
    security-level 100
    ip address dhcp
    no shut
    
    !
    Internet-facing outside interface 
    interface TenGigabitEthernet0/1
    nameif data-interface-out
    security-level 0
    ip address dhcp
    no shut
    
    nve 1
    encapsulation geneve
    source-interface data-interface-in
    interface vni1
    proxy dual-arm
    nameif vni-in
    security-level 0
    vtep-nve 1
    ! NAT for internet-bound traffic
    nat (vni-in, data-interface-out) source dynamic any interface
    !Default route to internet gateway= 10.1.200.1 (Outside gateway)
    !Route East-West traffic (Application subnet CIDR) back to vni interface (U-turn)
    route data-interface-out 0.0.0.0 0.0.0.0 10.1.200.1 
    route vni-in 192.168.1.0 255.255.255.0 10.1.100.1 1
    !
    mtu data-interface-in 1826
    jumbo-frame reservation
    same-security-traffic permit inter-interface
    same-security-traffic permit intra-interface
    
    
    crypto key generate rsa modulus 2048
    ssh 0 0 management
    ssh ::/0 management
    ssh timeout 60
    ssh version 2
    username admin password Q1w2e3r4 privilege 15
    username admin attributes
    service-type admin
    aaa authentication ssh console LOCAL
    !
    same-security-traffic permit inter-interface
    same-security-traffic permit intra-interface
    access-list allow-all extended permit ip any any
    access-list allow-all extended permit ip any6 any6
    access-group allow-all global
    !
    interface G0/0
    nameif outside
    ip address dhcp setroute
    ipv6 enable
    ipv6 address dhcp default
    no shutdown
    !
    interface G0/1
    nameif inside
    ip address dhcp
    ipv6 enable
    ipv6 address dhcp default
    no shutdown
    !

• ストレージ：デフォルト値を保持します。

• タグインスタンス：デバイスを分類するため、多数のタグを作成できます。デバイスに名前を付けると、デバイスを容易に特定できます。

• セキュリティグループ：セキュリティグループを作成して名前を付けます。セキュリティ グループは、着信および発信トラフィックを制御するためのインスタンスの仮想ファイアウォールです。

  デフォルトでは、セキュリティ グループはすべてのアドレスに対して開かれています。ASA 仮想 のアクセスに使用するアドレスからの SSH 接続だけを許可するように、ルールを変更します。

  セキュリティグループでトラフィックを制御する方法については、AWS のドキュメント『Control traffic to your AWS resources using security groups』を参照してください。

• [高度な詳細（Advanced Details）] セクションを導入し、[ユーザーデータ（User data）] フィールドに、オプションで第 0 日用構成を入力できます。これは、ASA 仮想 の起動時に適用される ASA 仮想 構成を含むテキスト入力です。第 0 日用構成にスマート ライセンスなどの詳細情報を設定する方法の詳細については、「第 0 日のコンフィギュレーション ファイルの準備」を参照してください。

  • 管理インターフェイス：第 0 日用構成を選択する場合は、管理インターフェイスの詳細を指定する必要があります。これは DHCP を使用するように設定する必要があります。

  • データインターフェイス：データインターフェイスの IP アドレスは、その情報を第 0 日用構成の一部として指定した場合にのみ割り当てられ、設定されます。データインターフェイスは、DHCP を使用するように設定できます。または、接続するネットワーク インターフェイスがすでに作成されていて、IP アドレスがわかっている場合は、第 0 日用構成で IP の詳細を指定できます。

  • 第 0 日用構成なし：第 0 日用構成を指定せずに ASA 仮想 を導入すると、ASA 仮想 はデフォルトの ASA 仮想 構成を適用し、AWS メタデータサーバーから接続されたインターフェイスの IP を取得し、IP アドレスを割り当てます（データインターフェイスに IP は割り当てられますが、ENI はダウンします）。Management0/0 インターフェイスが起動し、DHCP アドレスで設定された IP を取得します。Amazon EC2 および Amazon VPC の IP アドレッシングについては、「VPC での IP アドレッシング」を参照してください。

  • [高度な詳細（Advanced Details）] の下で、デフォルトのログイン情報を追加します。デバイス名とパスワードの要件に合わせて、以下の例を変更してください。

  • [高度な詳細（Advanced Details）] で、IMDSv2 メタデータを有効にします。

    1. [メタデータにアクセス可能（Metadata accessible）] ドロップダウンリストから [有効化（Enabled）] を選択します。

    2. [メタデータバージョン（Metadata version）] ドロップダウンリストから [V2のみ（トークンが必要）（V2 only (token required)）] を選択します。

    次の手順を実行して、AWS CLI から IMDSv2 を有効にすることもできます。

  • AWS CLI コンソールを開き、次の引数を追加して IMDSv2 必須モードを有効にします。--metadata-options "HttpEndpoint=enabled,HttpTokens=required”

    IMDSv2 の設定例：

    
    aws ec2 run-instances \,
    --image-id ami-0abcdef1234567890 \
    --instance-type c5x.large \
    ...	
    --metadata-options "HttpEndpoint=enabled,HttpTokens=required"
    

• 設定を確認し、[Launch] をクリックします。

AWS のデフォルト設定では、インスタンスはその IP アドレス（IPv4 および IPv6）のトラフィックのみを受信でき、インスタンスは独自の IP アドレス（IPv4 および IPv6）からのみトラフィックを送信できます。ASA 仮想 のルーテッドホップとしての動作を有効にするには、ASA 仮想 の各トラフィック インターフェイス（内部、外部、および DMZ）の [送信元または宛先の確認（Source/Destination Check）] を無効にする必要があります。

• Cisco Secure Firewall ASA virtual構成ファイル：asav-config-input.ini

• Lambda レイヤ zip ファイル：asav-gd-lambda-layer.zip

• Lambda 関数 zip ファイル：asav-gd-lambda.zip

• Output レポートファイル：<deployment-name>-report.txt