ステップ 1

テンプレートを準備します。

1. GitHub リポジトリをローカルフォルダに複製します。https://github.com/CiscoDevNet/cisco-ftdv/tree/master/cluster/aws を参照してください。

2. 必要なパラメーターを使用して、infrastructure.yaml および deploy_ngfw_cluster.yaml を変更します。

3. cluster/aws/lambda-python-files/Configuration.json を初期設定に変更します。

   次に例を示します。

   
   {
     "licenseCaps": ["BASE", "MALWARE", "THREAT"],
     "performanceTier": "FTDv50",
     "fmcIpforDeviceReg": "DONTRESOLVE",
     "RegistrationId": "cisco",
     "NatId": "cisco",
     "fmcAccessPolicyName": "AWS-ACL"
   }
   

   • fmcIpforDeviceReg 設定は DONTRESOLVE のままにします。

   • fmcAccessPolicyName は、Firewall Management Center のアクセスポリシーと一致している必要があります。

   （注）	FTDv5 および FTDv10 階層はサポートされていません。

4. cluster_layer.zip という名前のファイルを作成して、重要な Python ライブラリを Lambda 関数に提供します。

   cluster_layer.zip ファイルを作成するには、Python 3.9 がインストールされた Amazon Linux を使用することをお勧めします。

   （注）	Amazon Linux 環境が必要な場合は、Amazon Linux 2023 AMI を使用して EC2 インスタンスを作成するか、Amazon Linux の最新バージョンを実行する AWS Cloudshell を使用できます。

   cluster-layer.zip ファイルを作成するには、最初に Python ライブラリパッケージの詳細で構成される requirements.txt ファイルを作成してから、シェルスクリプトを実行する必要があります。

   1. Python パッケージの詳細を指定して、requirements.txt ファイルを作成します。

      以下は、requirements.txt ファイルで指定するサンプルパッケージの詳細です。

      $ cat requirements.txt 
      pycryptodome
      paramiko
      requests
      scp
      jsonschema
      cffi
      zipp
      importlib-metadata

   2. 次のシェルスクリプトを実行して、cluster_layer.zip ファイルを作成します。

      $ pip3 install --platform manylinux2014_x86_64 
      --target=./python/lib/python3.9/site-packages 
      --implementation cp --python-version 3.9 --only-binary=:all: 
      --upgrade -r requirements.txt
      $ zip -r cluster_layer.zip ./python

   （注）	インストール中に urllib3 や暗号化などの依存関係の競合エラーが発生した場合は、競合するパッケージを推奨バージョンと一緒に requirements.txt ファイルに含めることをお勧めします。その後、インストールを再度実行して競合を解決できます。

5. 結果の cluster_layer.zip ファイルを Lambda Python ファイルフォルダ（cluster/aws/lambda-python-files）にコピーします。

6. cluster_layer.zip、custom_metrics_publisher.zip、 cluster_manger.zip、および lifecycle_ftdv.zip ファイルを作成します。

   make.py ファイルは、複製されたリポジトリ（cluster/aws/make.py）内にあります。これにより、python ファイルが Zip ファイルに圧縮され、ターゲットフォルダにコピーされます。

   python3 make.py build

   （注）	Management Center Virtual の登録にプライベート IP アドレスを使用している場合は、 cisco-ftdv/cluster/aws/lambda-python-files/constant.py ファイルで USE_PUBLIC_IP_FOR_FMC_CONN を False に設定していることを確認します。

ステップ 2

Infrastructure.yaml を展開し、クラスタ展開の出力値をメモします。インフラストラクチャ スタックを展開する前に、使用する AWS リージョンと可用性ゾーンを特定することが重要です。各 AWS リージョンには異なる可用性ゾーンと VPC インフラストラクチャのセットがあるため、展開に適したリージョンと可用性ゾーンを選択することが不可欠です。

1. AWS コンソールで、[CloudFormation] に移動し、[新しいリソース（標準）を使用（With new resources(standard)）] を選択して、[スタックの作成（Create stack）] をクリックします。

2. [テンプレートファイルのアップロード（Upload a template file）] を選択し、[ファイルの選択（Choose file）] をクリックして、ターゲットフォルダから infrastructure.yaml を選択します。

3. [次へ（Next）] をクリックして、必要な情報を入力します。

4. クラスタの一意のクラスタ名とクラスタ番号を入力します。

5. [可用性ゾーン（Availability Zone）] リストから可用性ゾーンを選択します。このフィールドには、ClusterFormation テンプレートを使用してインフラストラクチャ スタックを展開するために選択した AWS リージョンに基づく可用性ゾーンのみが表示されます。

6. [次へ（Next）]、[スタックの作成（Create stack）] の順にクリックします。

7. 展開が完了したら、[出力（Outputs）] に移動し、S3 の BucketName を書き留めます。

ステップ 3

cluster_layer.zip、cluster_manager.zip、custom_metrics_publisher.zip、および cluster_lifecycle.zip を infrastructure.yaml で作成した S3 バケットにアップロードします。

（注）	Lambda NAT ゲートウェイのエラスチック IP アドレスが Management Center Virtual に関連付けられたセキュリティグループに追加されていることを確認してください。

ステップ 4

deploy_ngfw_cluster.yaml を展開します。

1. [CloudFormation] に移動し、[新しいリソース（標準）を使用（With new resources(standard)）] を選択して、[スタックの作成（Create stack）] をクリックします。

2. [テンプレートファイルのアップロード（Upload a template file）] を選択し、[ファイルの選択（Choose file）] をクリックして、ターゲットフォルダから deploy_ngfw_cluster.yaml を選択します。

3. [次へ（Next）] をクリックして、必要な情報を入力します。

4. 次のクラスタとインフラストラクチャの設定情報を入力します。

   パラメータ	使用できる値/タイプ	説明
   クラスタの設定
   ClusterGrpNamePrefix	文字列	これはクラスタ名のプレフィックスです。クラスタ番号がサフィックスとして追加されます。
   ClusterNumber	文字列	これはクラスタ番号であり、クラスタ名（msa-ftdv-infra）のサフィックスとして追加されます。たとえば、この値が「1」の場合、グループ名は msa-ftdv-infra-1 になります。 1 桁以上 3 桁以下である必要があります。デフォルト：1。
   ClusterSize	番号	これは、クラスタ内の Firewall Threat Defense Virtual ノードの総数です。 最小値：1 最大値：16
   インフラストラクチャの詳細
   NoOfAZs	文字列	これは、Firewall Threat Defense Virtual が展開される可用性ゾーンの合計数です（可用性ゾーンの数は 1 ～ 3 でリージョンによって異なります）。 サブネットは、これらの可用性ゾーンに作成されます。 このリストで使用可能な可用性ゾーンは、クラスタの展開用に選択されたリージョンに基づいています。 （注）     管理、内部、およびクラスタ制御リンク（CCL）のサブネットは、このパラメータに基づいて 3 つの可用性ゾーンにわたって作成されます。
   AZ	文字列	可用性ゾーンリストは、展開するリージョンに基づきます。 [可用性ゾーン（Availability Zone）] リストで、有効な可用性ゾーン（1 つの可用性ゾーン、2 つの可用性ゾーン、または 3 つの可用性ゾーン）を選択します。 カウントは、可用性ゾーン数のパラメータの値と一致する必要があります。
   NotifyEmailID	文字列	クラスタイベントの電子メールの送信先となる電子メールアドレス。この電子メール通告を受信するには、サブスクリプション電子メール要求を承認する必要があります。 例：admin@company.com
   VpcId	文字列	クラスタグループの VPC ID。 タイプ：AWS::EC2::VPC::Id
   S3BktName	文字列	アップロードされた Lambda zip ファイルを含む S3 バケット。正しいバケット名を指定する必要があります。
   MgmtSubnetIds	リスト	可用性ゾーンごとに「1 つ」の サブネットのみを入力します。 同じ可用性ゾーンから複数のサブネットを選択する場合、間違ったサブネットを選択すると、Firewall Threat Defense Virtual インスタンスの展開中に問題が発生する可能性があります。 タイプ：List<AWS::EC2::Subnet::Id>
   InsideSubnetIds	リスト	可用性ゾーンごとに少なくとも「1 つ」の サブネットを入力します。 同じ可用性ゾーンから複数のサブネットを選択する場合、間違ったサブネットを選択すると、Firewall Threat Defense Virtual インスタンスの展開中に問題が発生する可能性があります。 タイプ：List<AWS::EC2::Subnet::Id>
   LambdaSubnets	リスト	Lambda 関数用に少なくとも「2 つ」のサブネットを入力します。Lambda 関数が、パブリック DNS である AWS サービスと通信できるようにするには、入力する「2 つ」のサブネットに NAT ゲートウェイが必要です。 タイプ：List<AWS::EC2::Subnet::Id>
   CCLSubnetIds	文字列	可用性ゾーンごとに少なくとも「1 つ」の サブネットを入力します。 同じ可用性ゾーンから複数のサブネットを選択する場合、間違ったサブネットを選択すると、Firewall Threat Defense Virtual インスタンスの展開中に問題が発生する可能性があります。 タイプ：List<AWS::EC2::Subnet::Id>
   CCLSubnetRanges	文字列	さまざまな可用性ゾーンの CCL サブネットの IP アドレス範囲を入力します。 最初の 4 つの予約済み IP アドレスを除外します。クラスタ制御リンク（CCL）の IP アドレスプール。 IP アドレスは、CCL IP アドレスプールから Firewall Threat Defense Virtual インスタンスの CCL インターフェイスに割り当てられます。
   MgmtInterfaceSG	リスト	Firewall Threat Defense Virtual インスタンスのセキュリティグループ ID を選択します。 タイプ：List<AWS::EC2::SecurityGroup::Id>
   InsideInterfaceSG	リスト	Firewall Threat Defense Virtual インスタンスの内部インターフェイスのセキュリティグループ ID を選択します。 タイプ：List<AWS::EC2::SecurityGroup::Id>
   LambdaSG	リスト	Lambda 関数のセキュリティグループを選択します。 発信接続が [ANYWHERE] に設定されていることを確認します。 タイプ：List<AWS::EC2::SecurityGroup::Id>
   CCLInterfaceSG	リスト	Firewall Threat Defense Virtual インスタンスの CCL インターフェイスのセキュリティグループ ID を選択します。
   GWLB の設定
   DeployGWLBE	文字列	[はい（Yes）] をクリックして GWLB エンドポイントを展開します。 デフォルトでは、この値は [いいえ（No）] に設定されています。
   VpcIdLBE	文字列	ゲートウェイロードバランサのエンドポイントを展開する VPC を入力します。 （注）     GWLB エンドポイントを展開しない場合は、このフィールドに値を入力しないでください。
   GWLBESubnetId	文字列	サブネット ID を 1 つだけ入力します。 （注）     GWLB エンドポイントを展開しない場合は、このフィールドに値を入力しないでください。 サブネットが正しい VPC および指定した可用性ゾーンに属していることを確認します。
   TargetFailover	文字列	ターゲットに障害が発生した場合または登録解除された場合のターゲット フェールオーバー サポートを有効にします（このパラメータの値はデフォルトで [再調整（rebalance）] に設定されています）。 [再調整なし（no_rebalance）]：既存のフローを障害が発生したターゲットに送信し、新しいフローを正常なターゲットに送信し、後方互換性を確保します。 [再調整（rebalance）]：新しいフローが正常なターゲットに送られるようにしながら、既存のフローを再配布します。 [再調整（rebalance）] は、Firewall Threat Defense Virtual バージョン 7.4.1 以降でサポートされています。
   TgHealthPort	文字列	GWLB の正常性チェックポートを入力します。 （注）     デフォルトでは、このポートはトラフィックに使用されません。 指定した値が有効な TCP ポートであることを確認します。デフォルト：8080
   Cisco NGFWv インスタンスの設定
   InstanceType	文字列	Cisco Firewall Threat Defense Virtual EC2 インスタンスタイプ。 選択したインスタンスタイプが AWS リージョンでサポートされていることを確認します。 デフォルトでは、c5.xlarge が選択されています。
   LicenseType	文字列	Cisco Firewall Threat Defense Virtual EC2 インスタンス ライセンス タイプを選択します。AMI-ID パラメータに入力する AMI ID が同じライセンスタイプであることを確認します。 デフォルトでは、[BYOL] が選択されています。
   AssignPublicIP	文字列	AWS IP アドレスプールから Firewall Threat Defense Virtual のパブリック IP アドレスを割り当てるには、値を [はい（true）] に設定します。
   AmiID	文字列	リージョン、バージョン、およびライセンスタイプ（BYOL または PAYG）に従って正しい AMI ID を選択します。 Firewall Threat Defense Virtual 7.2 以降ではクラスタリングがサポートされ、Firewall Threat Defense Virtual バージョン 7.6 以降では自動スケーリングと複数の可用性ゾーンの機能拡張がサポートされています。 タイプ：AWS::EC2::Image::Id
   ngfwPassword	文字列	Firewall Threat Defense Virtual インスタンスのパスワード。 すべての Firewall Threat Defense Virtual インスタンスには、起動テンプレート（クラスタグループ）の [ユーザーデータ（Userdata）] フィールドにあるデフォルトのパスワードが設定されています。 Firewall Threat Defense Virtual にアクセスできるようになると、パスワードがアクティブになります。 文字数は 8 文字以上にする必要があります。パスワードには、プレーンテキストのパスワードまたは KMS 暗号化パスワードを使用できます。
   KmsArn	文字列	既存の KMS の ARN（保存時に暗号化するための AWS KMS キー）を入力します。 このフィールドに値を指定する場合、Firewall Threat Defense Virtual インスタンスの管理者パスワードは暗号化されたパスワードである必要があります。 暗号化パスワードの生成例："aws kms encrypt --key-id <KMS ARN> --plaintext <password> " パスワードの暗号化は、指定された ARN のみを使用して実行する必要があります。
   FMC 自動化の設定
   fmcDeviceGrpName	文字列	Management Center でクラスタグループの一意の名前を入力します。
   fmcPublishMetrics	文字列	Management Center をポーリングし、特定のデバイスグループメトリックを AWS CloudWatch にパブリッシュする Lambda 関数を作成するには、true を選択します。 使用可能な値： true false デフォルトでは、この値は true に設定されています。
   fmcMetricsUsername	文字列	Management Center からメモリメトリックをポーリングするための一意の内部ユーザー名を入力します。 ユーザーには、ネットワーク管理者およびメンテナンスユーザー以上の権限が必要です。
   fmcMetricsPassword	文字列	パスワードを入力します。 KMS マスターキー ARN パラメータを指定した場合は、必ず、暗号化されたパスワードを入力してください。 間違ったパスワードを入力するとメトリック収集が失敗する可能性があるため、必ず、正しいパスワードを入力してください。
   fmcServer	文字列	IP アドレスには、外部 IP アドレス、または VPC の Firewall Threat Defense Virtual 管理サブネットで到達可能な IP アドレスを指定できます。 最小長：7 最大長：15
   fmcOperationsUsername	文字列	CloudWatch 用の Firewall Management Center Virtual に使用する一意の内部ユーザー名を入力します。 ユーザーには管理者権限が必要です。
   fmcOperationsPassword	文字列	パスワードを入力します。 KMS マスターキー ARN パラメータを指定した場合は、必ず、暗号化されたパスワードを入力してください。
   スケーリングの設定
   CpuThresholds	カンマ区切りリスト	（任意）ゼロ以外の下限しきい値と上限しきい値を指定すると、スケールポリシーが作成されます。(0,0) を選択すると、CPU スケーリングアラームまたはポリシーは作成されません。評価ポイントとデータポイントは、デフォルト値または推奨値にします。 デフォルトでは、このテンプレートでは自動スケールが有効になっています。自動スケールは展開後に無効にできます。
   MemoryThresholds	カンマ区切りリスト	ゼロ以外の下限しきい値と上限しきい値を指定すると、スケールポリシーが作成されます。(0,0) を選択すると、メモリスケーリングアラームまたはポリシーは作成されません。評価ポイントとデータポイントは、デフォルト値または推奨値にします。

5. [次へ（Next）] をクリックします。

6. クリックしてすべての AWS CloudFormation オプションを確認します。

7. [送信（Submit）] をクリックしてクラスタを展開します。

8. [次へ（Next）]、[スタックの作成（Create stack）] の順にクリックします。

   Lambda 関数が残りのプロセスを管理し、Firewall Threat Defense Virtual が自動的に Firewall Management Center に登録されます。

ステップ 5

いずれかのノードにログインし、show cluster info コマンドを使用して、クラスタの展開を確認します。

ステップ 1

AWS コンソールで、[サービス（Services）] > [EC2] に移動します。

ステップ 2

[ターゲットグループ（Target Groups）] をクリックして、ターゲットグループのページを表示します。

ステップ 3

Firewall Threat Defense Virtual データインターフェイス IP を登録するターゲットグループを選択します。ターゲットグループの詳細ページが表示され、ターゲットフェールオーバー属性を有効にできます。

ステップ 4

[属性（Attributes）] メニューに移動します。

ステップ 5

[編集（Edit）] をクリックして属性を編集します。

ステップ 6

[フローの再調整（Rebalance flows）] スライダのボタンを右に切り替えてターゲットフェールオーバーを有効にし、ターゲットフェールオーバーや登録解除の際に既存のネットワークパケットを再調整して正常なターゲットノードに転送するように GWLB を設定します。

ステップ 1

テンプレートを準備します。

1. GitHub リポジトリをローカルフォルダに複製します。https://github.com/CiscoDevNet/cisco-ftdv/tree/master/cluster/azure を参照してください。

2. azure_ftdv_gwlb_cluster.json と azure_ftdv_gwlb_cluster_parameters.json を必要なパラメータで変更します。

   または

   診断インターフェイスなしでクラスタを展開するために必要なパラメータを使用して、withoutDiagnostic テンプレート（azure_withoutDiagnostic_ftdv_gwlb_cluster_parameters.json、azure_withoutDiagnostic_ftdv_gwlb_cluster.json）を変更します。

ステップ 2

Azure ポータルにログイン：https://portal.azure.com。

ステップ 3

リソース グループを作成します。

1. [基本（Basics）] タブで、ドロップダウンリストから [サブスクリプション（Subscription）] および [リソースグループ（Resource group）] を選択します。

2. 必須の [リージョン（Region）] を選択します。

ステップ 4

管理、診断、外部、クラスタ制御リンク（CCL）の 4 つのサブネットを持つ仮想ネットワークを作成します。

1. 仮想ネットワークを作成します。

   1. [基本（Basics）] タブで、ドロップダウンリストから [サブスクリプション（Subscription）] および [リソースグループ（Resource group）] を選択します。

   2. 必須の [リージョン（Region）] を選択します。[次へ：IPアドレス（Next: IP addresses）] をクリックします。

   [IPアドレス（IP Addresses）] タブで、[サブネットの追加（Add subnet）] をクリックし、管理、診断、データ、およびクラスタ制御リンクのサブネットを追加します。

   Firewall Threat Defense Virtual 7.4.1 クラスタを診断インターフェイスなしで展開する場合は、診断サブネットの作成をスキップする必要があります。

2. サブネットを追加します。

ステップ 5

カスタムテンプレートを展開します。

1. [作成（Create）] > [テンプレートの展開（Template deployment）]（カスタムテンプレートを使用して展開）をクリックします。

2. [エディタで独自のテンプレートを構築する（Build your own template in the editor）] をクリックします。

3. [ファイルのロード（Load File）] をクリックし、azure_ftdv_gwlb_cluster.json または azure_withoutDiagnostic_ftdv_gwlb_cluster.jsonをアップロードします（診断インターフェイスなしでの展開を選択した場合）。

4. [保存（Save）] をクリックします。

ステップ 6

インスタンスの詳細を設定します。

1. 必要な値を入力し、[確認して作成（Review + create）] をクリックします。

2. 検証に合格したら、[作成（Create）] をクリックします。

ステップ 7

インスタンスの実行後、いずれかのノードにログインし、show cluster info コマンドを入力して、クラスタの展開を確認します。

ステップ 8

Azure ポータルで、Function アプリをクリックしてクラスタを Firewall Management Center に登録します。

ステップ 9

[展開センター（Deployment Center）] > [FTPSのログイン情報（FTPS credentials）] > [ユーザースコープ（User scope）] > [ユーザー名とパスワードの設定（Configure Username and Password）]をクリックして FTPS のログイン情報を作成し、[保存（Save）] をクリックします。

ステップ 10

ローカルの端末で次の curl コマンドを実行し、Cluster_Function.zip ファイルを Function アプリにアップロードします。

curl -X POST -u ユーザー名 --data-binary @"Cluster_Function.zip" https:// Function_App_Name.scm.azurewebsites.net/api/zipdeploy

（注）	curl コマンドは、実行が完了するまでに数分（2 分未満～ 3 分）かかる場合があります。

関数が Function アプリにアップロードされます。関数が開始され、ストレージアカウントのアウトキューにログが表示されます。Management Center へのデバイス登録が開始されます。

ステップ 1

テンプレートを準備します。

1. GitHub リポジトリをローカルフォルダに複製します。https://github.com/CiscoDevNet/cisco-ftdv/tree/master/cluster/azure を参照してください。

2. azure_ftdv_nlb_cluster.json と azure_ftdv_nlb_cluster_parameters.json を必要なパラメータで変更します。

   診断インターフェイスなしでクラスタを展開するために必要なパラメータを使用して、withoutDiagnostic テンプレート azure_withoutDiagnostic_ftdv_nlb_cluster_parameters.json と azure_withoutDiagnostic_ftdv_nlb_cluster.json を変更します。

ステップ 2

Azure ポータルにログイン：https://portal.azure.com。

ステップ 3

リソース グループを作成します。

1. [基本（Basics）] タブで、ドロップダウンリストから [サブスクリプション（Subscription）] および [リソースグループ（Resource group）] を選択します。

2. 必須の [リージョン（Region）] を選択します。

ステップ 4

管理、診断、内部、外部、クラスタ制御リンクの 5 つのサブネットを持つ仮想ネットワークを作成します。

1. 仮想ネットワークを作成します。

   1. [基本（Basics）] タブで、ドロップダウンリストから [サブスクリプション（Subscription）] および [リソースグループ（Resource group）] を選択します。

   2. b）必須の [リージョン（Region）] を選択します。[次へ：IPアドレス（Next: IP addresses）] をクリックします。

2. サブネットを追加します。

   [IPアドレス（IP Addresses）] タブで、[サブネットの追加（Add subnet）] をクリックし、管理、診断、内部、外部、およびクラスタ制御リンクのサブネットを追加します。

   Firewall Threat Defense Virtual 7.4.1 クラスタを診断インターフェイスなしで展開する場合は、診断サブネットの作成をスキップする必要があります。

ステップ 5

カスタムテンプレートを展開します。

1. [作成（Create）] > [テンプレートの展開（Template deployment）]（カスタムテンプレートを使用して展開）をクリックします。

2. [エディタで独自のテンプレートを構築する（Build your own template in the editor）] をクリックします。

3. [ファイルのロード（Load File）] をクリックし、azure_ftdv_nlb_cluster.json または azure_withoutDiagnostic_ftdv_nlb_cluster.json をアップロードします（診断インターフェイスなしでの展開を選択した場合）。

4. [保存（Save）] をクリックします。

ステップ 6

インスタンスの詳細を設定します。

1. 必要な値を入力し、[確認して作成（Review + create）] をクリックします。

   （注）	クラスタ制御リンクの開始アドレスと終了アドレスは、必要な数だけ指定してください（最大 16 個）。範囲を大きくすると、パフォーマンスに影響する可能性があります。

2. 検証に合格したら、[作成（Create）] をクリックします。

ステップ 7

インスタンスの実行後、いずれかのノードにログインし、show cluster info コマンドを使用して、クラスタの展開を確認します。

ステップ 8

Azure ポータルで、Function アプリをクリックしてクラスタを Firewall Management Center に登録します。

ステップ 9

[展開センター（Deployment Center）] > [FTPSのログイン情報（FTPS credentials）] > [ユーザースコープ（User scope）] > [ユーザー名とパスワードの設定（Configure Username and Password）]をクリックして FTPS のログイン情報を作成し、[保存（Save）] をクリックします。

ステップ 10

ローカルの端末で次の curl コマンドを実行し、Cluster_Function.zip ファイルを Function アプリにアップロードします。

ステップ 1

az vmss create CLI を使用して、インスタンス数が 0 の Marketplace イメージから仮想マシンスケールセットを作成します。

ステップ 2

4 つのインターフェイス（診断、内部、外部、およびクラスタ制御リンク）を接続します。

ステップ 3

作成した仮想マシンスケールセットに移動し、次の手順を実行します。

1. [オペレーティングシステム（Operating system）] セクションで、[customData] フィールドに Day 0 構成を追加します。

2. [保存（Save）] をクリックします。

3. [スケーリング（Scaling）] セクションで、インスタンス数を必要なクラスタノードで更新します。インスタンス数は、最小 1、最大 16 の範囲に設定できます。

ステップ 4

Management Center に制御ノードを追加します。「Management Center へのクラスタの追加（手動展開）」を参照してください。

ステップ 1

Microsoft アカウントのユーザー名とパスワードを使用して、Microsoft Azure ポータル（https://portal.azure.com）にログインします。

ステップ 2

[リソースグループ（Resource Groups）] ブレードにアクセスするには、サービスのメニューから [リソースグループ（Resource groups）] をクリックします。サブスクリプション内のすべてのリソースグループがブレードに一覧表示されます。新しいリソース グループを作成するか、既存の空のリソース グループを選択します。たとえば、 threat Defense virtual_AutoScale です。

ステップ 3

[リソースの作成（+）（Create a resource (+)）] をクリックして、テンプレート展開用の新しいリソースを作成します。[リソース グループの作成（Create Resource Group）] ブレードが表示されます。

ステップ 4

4. サービスのメニューから [仮想ネットワーク（Virtual Network）] をクリックして、[仮想ネットワーク（Virtual network）] ブレードにアクセスします。サブネットを含む仮想ネットワークを作成します。

• GWLB 展開の場合、管理、データ、CCL サブネット、および関数アプリを持つ仮想ネットワークを作成します。

• NLB 展開の場合、管理、内部、外部、CCL のサブネットおよび関数アプリを持つ仮想ネットワークを作成します。

ステップ 5

[マーケットプレイスの検索（Search the Marketplace）] で、[テンプレート展開（Template deployment）]（カスタム テンプレートを使用した展開）と入力し、Enter を押します。

ステップ 6

[作成（Create）] をクリックします。テンプレートを作成するためのオプションは複数あります。[エディタで独自のテンプレートを作成する（Build your own template in editor）] を選択します。

ステップ 7

[テンプレートの編集（Edit template） ] ウィンドウで、すべてのデフォルトコンテンツを削除し、更新した azure_ftdv_gwlb_cluster_custom_image.json または azure_ftdv_nlb_cluster_custom_image.json から（Azure に展開するオートスケール ソリューションのタイプに応じて）コンテンツをコピーして、[保存（Save）] をクリックします。または、 [ファイルの読み込み（Load file）] をクリックし、コンピュータからこのファイルを参照してアップロードします。

ステップ 8

パラメータ フィールド セクションで、すべてのパラメータを入力します。各パラメータの詳細については、「入力パラメータ」を参照してください。次に、[レビューと作成（Review+Create）] をクリックします。

ステップ 9

テンプレートの展開が成功すると、Azure 向けの脅威防御仮想オートスケール ソリューションに必要なすべてのリソースが作成されます。次の図のリソースを参照してください。[タイプ（Type）] 列には、論理アプリ、VMSS、ロード バランサ、パブリック IP アドレスなどの各リソースが示されます。

ステップ 1

ARM テンプレートを展開したときに作成した関数アプリに移動し、次の手順を実行します。

az functionapp deployment source config-zip -g <Resource Group Name> 
-n <Function App Name> --src  <cluster_functions.zip> --build-remote true

ステップ 2

Azure 関数の展開後、関数アプリケーションの概要セクションにアップロードされた関数を表示できます。

ステップ 1

From the repository, retrieve the file LogicApp.txt to the local system and edit as shown below.

1. Find and replace all the occurrences of “SUBSCRIPTION_ID” with your subscription ID information.

2. Find and replace all the occurrences of “RG_NAME” with your resource group name.

3. Find and replace all of the occurrences of “FUNCTIONAPPNAME” to your function app name.

   The following example shows a few of these lines in the LogicApp.txt file:

   
     "AutoScaleManager": {
         "inputs": {
             "function": {
                 "id": "/subscriptions/SUBSCRIPTION_ID/resourceGroups/RG_NAME/providers/Microsoft.Web/sites/FUNCTIONAPPNAME/functions/AutoScaleManager"
             }
   .
   .
                         },
                         "Deploy_Changes_to_FTD": {
                             "inputs": {
                                 "body": "@body('AutoScaleManager')",
                                 "function": {
                                     "id": "/subscriptions/SUBSCRIPTION_ID/resourceGroups/RG_NAME/providers/Microsoft.Web/sites/FUNCTIONAPPNAME/functions/DeployConfiguration"
                                 }
   .
   .
                         "DeviceDeRegister": {
                             "inputs": {
                                 "body": "@body('AutoScaleManager')",
                                 "function": {
                                     "id": "/subscriptions/SUBSCRIPTION_ID/resourceGroups/RG_NAME/providers/Microsoft.Web/sites/FUNCTIONAPPNAME/functions/DeviceDeRegister"
                                 }
                             },
                             "runAfter": {
                                 "Delay_For_connection_Draining": [
   
   

4. （任意） Edit the trigger interval, or leave the default value (5). This is the time interval at which the Autoscale functionality is periodically triggered. The following example shows these lines in the LogicApp.txt file:

   
           "triggers": {
               "Recurrence": {
                   "conditions": [],
                   "inputs": {},
                   "recurrence": {
                       "frequency": "Minute",
                       "interval": 5
                   },
   
   

5. （任意） Edit the time to drain, or leave the default value (5). This is the time interval to drain existing connections from the Firewall Threat Defense Virtual before deleting the device during the Scale-In operation. The following example shows these lines in the LogicApp.txt file:

   
            "actions": {
                 "Branch_based_on_Scale-In_or_Scale-Out_condition": {
                     "actions": {
                         "Delay_For_connection_Draining": {
                             "inputs": {
                                 "interval": {
                                     "count": 5,
                                     "unit": "Minute"
                                 }
   
   

6. （任意） Edit the cool down time, or leave the default value (10). This is the time to perform NO ACTION after the Scale-Out is complete. The following example shows these lines in the LogicApp.txt file:

   
                    "actions": {
                        "Branch_based_on_Scale-Out_or_Invalid_condition": {
                            "actions": {
                                "Cooldown_time": {
                                    "inputs": {
                                        "interval": {
                                            "count": 10,
                                            "unit": "Second"
                                     }
   
   

ステップ 2

Go to the Logic App code view, delete the default contents and paste the contents from the edited LogicApp.txt file, and click Save.

ステップ 3

When you save the Logic App, it is in a 'Disabled' state. Click Enable when you want to start the Auto Scale Manager.

ステップ 4

Once enabled, the tasks start running. Click the 'Running' status to see the activity.

ステップ 5

Once the Logic App starts, all the deployment-related steps are complete.

ステップ 6

Verify in the VMSS that Firewall Threat Defense Virtual instances are being created.

ステップ 1

テンプレートを GitHub からローカルフォルダにダウンロードします。

ステップ 2

必要な resourceNamePrefix パラメータ（ngfwvcls など）と他の必要なユーザー入力を使用して、infrastructure.yaml、cluster_function_infra.yaml、および deploy_ngfw_cluster.yaml を編集します。

ステップ 3

Google Cloud Shell を使用してバケットを作成し、Google Cloud 関数ソースアーカイブファイル ftdv_cluster_function.zip をアップロードします。

ステップ 4

クラスタ インフラストラクチャのアーカイブファイルを作成します。

zip -j ftdv_cluster_function.zip ./cluster-function/*

ステップ 5

前に作成した Google ソースアーカイブをアップロードします。

ステップ 6

クラスタのインフラストラクチャを展開します。

ステップ 7

プライベート IP アドレスを使用している場合は、次の手順を実行します。

1. Threat Defense Virtual 管理 VPC を使用して、Management Center Virtual を起動してセットアップします。

2. VPC コネクタを作成して、Google Cloud 関数を Threat Defense Virtual 管理 VPC に接続します。

   gcloud compute networks vpc-access connectors create vpc-connector-name --region us-central1 --subnet resourceNamePrefix-ftdv-mgmt-subnet28

ステップ 8

Management Center が Threat Defense Virtual からリモートに配置され、Threat Defense Virtual に外部 IP アドレスが必要な場合は、必ず cluster_function_infra.yaml で deployWithExternalIP を True に設定してください。

ステップ 9

クラスタ機能インフラストラクチャを展開します。

ステップ 10

クラスタを展開します。

ステップ 1

無効にするユニットに対して、[デバイス（Devices）] > [デバイス管理（Device Management）] の順に選択して More () をクリックし、[ノードのクラスタリングを無効にする（Disable Node Clustering）] を選択します。

ステップ 2

ノードのクラスタリングを無効にすることを確認します。

ステップ 3

クラスタリングを再び有効にするには、クラスタへの再参加を参照してください。

ステップ 1

再度有効にするユニットに対して、[デバイス（Devices）] > [デバイス管理（Device Management）] の順に選択して More () をクリックし、[ノードのクラスタリングを有効にする（Enable Node Clustering）] を選択します。 >

ステップ 2

ノードのクラスタリングを有効にすることを確認します。

ステップ 1

クラスタの [Devices] > [Device Management] > More () を選択し、次に [Cluster Live Status] を選択して [Cluster Status] ダイアログボックスを開きます。

ステップ 2

[すべてを照合（Reconcile All）] をクリックします。

クラスタ ステータスの詳細については、クラスタのモニタリングを参照してください。

ステップ 1

[デバイス（Devices）] > [デバイス管理（Device Management）] の順に選択し、クラスタかノードの More () をクリックして [登録解除] [削除（Delete）] を選択します。 >

ステップ 2

クラスタかノードを登録解除するよう求められたら、[はい（Yes）] をクリックします。

ステップ 3

クラスタメンバーの 1 つを新しいデバイスとして追加することにより、クラスタを新しい（または同じ）Firewall Management Center に登録できます。

1. 1 つのクラスタノードの CLI に接続し、configure manager add コマンドを使用して新しい Firewall Management Center を識別します。

2. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、[デバイスの追加（Add Device）] をクリックします。

ステップ 4

削除したノードを再度追加する方法については、「クラスタノードの照合」を参照してください。