Cisco Secure Workload との Application Centric Infrastructure の統合

Application Centric Infrastructure（ACI）は、シスコのデータセンター向け主要ネットワーク ファブリック ソリューションです。ユーザーインターフェイスを介してプログラムで自動化されたネットワーク構築には独自の利点があり、ユーザーはアプリケーション ワークロードをより迅速にプロビジョニングおよび拡張できます。

Cisco Secure Workload は Cisco ACI と統合して、マイクロセグメンテーションおよびゼロトラスト セキュリティ モデルを有効にします。この統合により、Secure Workload は ACI エンドポイントをインベントリとして取り込み、Integration with Application Centric Infrastructure（APIC）クラスタの正常性、ポリシーの逸脱、および TCAM の利用超過が推定される場合のポリシー適用の一時停止をモニターできます。


注目

最近の GUI の更新により、ユーザーガイドで使用されているイメージやスクリーンショットの一部に、製品の現在の設計が完全に反映されていない可能性があります。最も正確に視覚的に参照するには、このガイドを最新バージョンのソフトウェアと組み合わせて使用することを推奨します。
表 1. 機能の履歴

機能名

リリース

機能説明

どこにあるか

Application Centric Infrastructure（ACI）との統合 Secure Workload

リリース 4.0

Application Centric Infrastructure（ACI）は、シスコのデータセンター向け主要なネットワーク ファブリック ソリューションです。

統合の主な機能は次のとおりです。

  • ダイナミックポリシー更新：環境の変化に合わせてポリシーを自動的に調整します。

  • 可視性の強化：ワークロードの動作とトラフィックに関する詳細なインサイトを提供します。

    ​

Secure Workload と Application Centric Infrastructure（ACI）の統合

Cisco Secure Workload と ACI の統合の概要

Secure Workload は Application Centric Infrastructure（ACI）と統合することで、ACI 環境におけるワークロードの可視性、ポリシー適用、およびセグメンテーションを強化します。​この統合により、ACI ファブリックでのダイナミックなポリシーの最適化、テレメトリの収集、およびセグメンテーションポリシーの直接的な適用が可能になります。

この統合には以下の機能および利点があります。

より強固なセキュリティを実現：ACI ファブリックを活用すると、ネットワーク中心のセグメンテーションからより細かなアプリケーション中心のセグメンテーションに簡単に移行して、重要なビジネスリソースを保護できます。

ACI ファブリックの正常性のモニター：スイッチメモリ（TCAM）の正常性の可視性を実現します。

既存のインフラストラクチャの保護：ロケーションにある既存の ACI の実装を活用し、これらの機能をより広範な Cisco Hybrid Mesh ファイアウォール エコシステムに拡張します。

セグメンテーション制御の適用：AI/ML を活用して、ビジネスオペレーションを中断することなく、セグメンテーションポリシーを検出、検証、分析、および適用できます。

時間管理ポリシーの保存：ポリシーライフサイクルを自動化すると、セグメンテーションポリシーの手動展開の必要がなくなり、運用オーバーヘッドが大幅に削減されます。

Secure Workload を ACI と統合することで、ユーザーはデータセンター全体で統合されたセグメンテーション、可視性の向上、およびダイナミックなポリシーの適用を実現できます。

Cisco Secure Workload と ACI の統合の前提条件

統合を続行する前に、次の項目が設定されていることを確認してください。

  • Cisco Secure Workload の設定：

    • Cisco Secure Workload（クラスタおよびエージェント）、バージョン 4.0 以降。

    • ACI にマッピングする Secure Workload 内の範囲を特定します。

    • 可視性モードでデータを収集するためのソフトウェアエージェントをインストールして設定します。

  • ACI 環境：

    • ACI ファブリックが、設定されている Application Policy Infrastructure Controller（APIC）で動作していることを確認します。

    • ACI の最小要件：

      • Secure Workload 統合では、ポリシー適用に ACI エンドポイント セキュリティ グループ（ESG）の構造を使用します。

      • ACI バージョン 5.0.1 以降（East-West/VRF 内トラフィックの適用）。

      • ACI バージョン 6.1 （4）以降（North-South/外部トラフィックの適用）。


        （注）  

        L3Out 外部エンドポイントを必要とする適用は、ACI リリース 6.1（4）より前および ACI リリース 5.0 以降のリリースでは失敗することに注意してください。

      • Secure Workload での Cisco ACI ファブリック管理者ログイン情報のワンタイム設定。これらのログイン情報はテナント単位で設定され、特定のテナントへのアクセスを提供します。

      • トラフィックフローの可視性または学習のために、いずれかの ACI ソフトウェアリリースを使用することを推奨します。

      • アップグレード時またはポリシー適用の段階で、ACI コネクタの設定を行えるようにします。

  • ACI コネクタのデプロイメント：

    • Secure Workload ACI コネクタで、APIC の IP アドレスと管理者ログイン情報を設定します。

    • Secure Workload 上で ACI コネクタを構成します。

    • Secure Workload 範囲を ACI の VRF にマッピングします。


    （注）  

    ACI ファブリックには複数のコネクタを設定できます。ただし、未知のポリシーの問題を回避するため、ファブリックごとに単一のコネクタを使用することをお勧めします。

既知の制限事項

  • 1 つの ACI VRF は、Secure Workload 上で 1 つの範囲にしかマッピングできません。

  • Secure Workload は ACI のポリシーモデルが許可リストに基づいているため、拒否ポリシーまたはブロックポリシーを適用しません。また、キャッチオールの許可ポリシーもレンダリングされません。

  • Secure Workload で適用を有効にすると、エージェントが展開されていないワークロードを含め、該当する VRF のすべてのポリシーは Secure Workload によって管理されます。

  • Secure Workload は、必要なすべてのネットワーク設定が ACI ファブリックに存在することを前提としています。

  • ACI は、ルール単位の統計やポリシーヒット数などのポリシーの適用統計情報を提供しません。

  • FQDN およびプロセスベースポリシーはサポートされていません。

  • ポリシーの二重管理（Secure Workload 所有ポリシーと ACI 所有ポリシー）はサポートされていません。

  • マルチサイト ACI ファブリック デプロイメント アーキテクチャはサポートされていません。

Cisco Secure Workload と Cisco ACI の統合

Cisco Secure Workload SaaS は、Cisco Security Cloud Control 内で一元管理されます。Secure Workload は、 ACI コネクタを介して ACI ファブリックと統合します。ACI コネクタを使用すると、Secure Workload はアプリケーション ポリシー インフラストラクチャ コントローラ（APIC）からタグやファブリックの正常性などの情報を共有および受信できます。Secure Workload では、AI を活用して、適用前にアプリケーションポリシーとセグメンテーションポリシーを検出します。


（注）  

ACI ファブリックには複数のコネクタを設定できます。ただし、未知のポリシーの問題を回避するため、ファブリックごとに単一のコネクタを使用することをお勧めします。ACI コネクタで APIC の IP アドレスと管理者ログイン情報を設定します。

Cisco Secure Workload と ACI の統合は、Cisco Secure Workload をバージョン 4.0 へ適切にアップグレードした後、Secure Workload オンプレミスから利用できます。

ACI でのワークロードの導入と管理

図 1. ACI でワークロードを導入および管理するワークフロー
ACI でワークロードを導入して管理するワークフロー図（連続した手順を示しています）。

手順

ステップ 1

前提条件と接続：

  1. Secure Workload 環境から APIC への到達可能性を確認します。Cisco Secure Workload、SSH、または ping APIC の場合： 

    -ping <APIC_OOB_IP>
-ssh admin@<APIC_OOB_IP>

  2. APIC クラスタの正常性を（APIC CLI から）確認します。

    -ssh admin@<APIC_OOB_IP>
-cluster_health

  3. ACI ファブリックの詳細を確認します。

    • APIC UI で、ACI ファブリックのインベントリ、VRF を検出し、EPG が存在していて動作していることを確認します。​

    • VRF と範囲のマッピング：Cisco Secure Workload UI で、各 VRF を範囲に関連付けます。検出された各 VRF を Cisco Secure Workload の範囲にマッピングして、ポリシー適用のための 1 対 1 の境界を作成します。

ステップ 2

Secure Workload ACI コネクタの ACI を準備します。

  1. Secure Workload の専用 ACI ユーザーを作成または確認します。

  2. ACI コネクタの設定については、次の点に注意してください。

    • APIC URL（例：https://<APIC_OOB_IP>）。

    • ACI ユーザー名/パスワード（証明書ベースの承認を使用している場合は証明書）。

ステップ 3

Secure Workload の準備を確認します。

  • Secure Workload クラスタが展開され、アクティブであることを確認します（クラスタに GUI または SSH）。

  • エージェントがインストールされ、関連するワークロードでテレメトリを送信していることを確認します。

  • Secure Workload UI で、クラスタの '正常性' ステータスについてインベントリとソフトウェアエージェントを確認し、最近のフローデータを確認します。

  • VRF または ESG が Secure Workload 範囲にどのようにマッピングされるかについて、ラベルと範囲の戦略が定義されていることを確認します。

ステップ 4

Secure Workloadで ACI コネクタを作成および設定します。

  1. ナビゲーションウィンドウから、[管理（Manage）] > [ワークロード（Workloads）] > [コネクタ（Connectors）]を選択します。

  2. UI で[ACI コネクタ（ACI Connector）] > [新しいコネクタの設定（Configure your New Connector）] をクリックし、設定を行います。

    属性

    説明

    Connector Name

    ACI コネクタに関連付けられているコネクタの名前。

    説明

    コネクタの簡単な説明。

    APIC ノード

    このコネクタの APIC ノードの IP アドレスとポート番号。

    （注）  

     

    コネクタには 7 つの APICノードのみを追加できることに注意してください。

    資格情報

    ユーザー名とパスワードを入力します。自己署名証明書のチェックボックスをオンまたはオフにします。

    No proxy

    Secure Workload は接続先システムに直接接続できます。

    セキュアコネクタ

    セキュアコネクタを使用して Secure Workload からの接続をトンネリングする場合に有効にします。

    このオプションを有効にする前に、セキュアコネクタを展開しておく必要があります。

    詳細については、「Secure Connector」を参照してください。

    HTTP プロキシ

    APIC に到達するために Secure Workload に必要なプロキシ。サポートされるプロキシポート：80、8080、443、および 3128。

ステップ 5

[保存（Save）] をクリックします。

ステップ 6

ACI ファブリックの詳細を入力します。

  • APIC URL：https://<APIC_OOB_IP>

  • ユーザー名：secureworkload （または専用ユーザー）

  • パスワードまたは証明書。

  • 必要な SSL/TLS オプション（たとえば、特定の APIC 証明書を受け入れるなど）。

ステップ 7

ACI ファブリック検出を検証します。

  1. Secure Workload ACI コネクタが接続されたら、Secure Workload で ACI ファブリックを検出します。

  2. ラベルとして表示されるテナント、VRF、BD、およびエンドポイントを確認します。たとえば、 vrf_dn、vrf、bridge_domain_dn、bridge_domain、fabric_path_dn、fabric_path、application_profile_dn、application_profile、endpoint_group_dn、endpoint_group、tenant、l3out_dn、l3out、l3out_subnet_dn などです。

ステップ 8

セグメンテーションまたは VRF 範囲のマッピング：

  1. Secure Workload で、ACI コネクタの [セグメンテーション（Segmentation）] タブを開きます。各 ACI VRF を単一の Secure Workload 範囲にマッピングします。

  2. マッピングされた VRF ごと：フェーズの必要に応じて適用を有効化または無効化します（可視性/学習から開始）。

    （注）  

     

    この手順では、特定の ACI CLI コマンドは必要ありません。主に Secure Workload での設定です。

ステップ 9

Secure Workload でのポリシーの設定：

  1. ACI がポリシーを適用するときに、ホストエージェントにポリシーが適用されないように、ACI ワークロードのエージェントのエージェントプロファイルに適用が '無効' になっていることを確認します。

  2. 自動ポリシー検出を実行し、提案されたマイクロセグメンテーション ポリシーを確認します。

  3. 適用を有効にする前に、サービスポート、トラフィックフロー、および範囲のメンバーシップに対して推奨されるポリシーを検証します。

ステップ 10

ACI でポリシーの適用を有効にします。

Cisco Secure Workload で

  • ACI ワークロードを含むアプリケーション ワークスペースで適用を有効にします。

  • ACI コネクタで適用を有効にします。

APIC で契約と ESG を確認します。

  • APIC GUI：テナント > アプリケーション プロファイルを確認し、secureworkload-<connectorid> のような名前で作成されていることを確認します。また、契約、ESG、およびフィルタが存在し、正しく関連付けられていることを確認します。

ステップ 11

リソースとステータスまたは TCAM チェック：

Secure Workload ACI コネクタの [ステータス（Status）] タブで

  • ポリシー更新を適用する前に、TCAM 使用率が参加しているすべてのスイッチについて安全な制限内であることを確認します。

（注）  

 

ポリシーは、TCAM が十分な場合にのみプッシュされます。それ以外の場合、適用は一時停止されます。

ステップ 12

モニタリングとトラブルシューティング

  • Secure Workload では、ACI コネクタのポリシーヒット数、アラート、および適用ステータスをモニターします。

  • APIC ファブリックで、ファブリック、テナント、およびアプリケーション プロファイルの正常性スコアをモニターします。

Cisco ACI での VMM 統合

Cisco ACI では、仮想マシンマネージャ（VMM）の統合により、ファブリックで ACI ポリシーをハイパーバイザレイヤまで拡張し、仮想スイッチとポートグループを APIC から直接作成および管理できます。VMM ドメインは、VMware vCenter、Microsoft SCVMM、Kubernetes などの仮想化プラットフォームと ACI の関係を表します。

Cisco Secure Workload 統合では、どのエンドポイントがどのエンドポイントグループ（EPG）、VRF、およびブリッジドメインに属しており、それらが ACI ファブリックでどのように接続されているかが、Cisco Secure Workload でポリシーと整合した正確な形で把握できるようになるため、これは重要です。Cisco Secure Workload は、このトポロジ情報とラベル情報を使用して、インテントベースのマイクロセグメンテーションが ACI ファブリックとホストレベルのエージェントの両方で一貫して適用されるようにします。

異なるシナリオを以下に説明します。

リーフスイッチに直接接続されているホストとの VMM の統合

ハイパーバイザホストが ACI リーフスイッチに直接接続されている場合、VMM 統合により、APIC と仮想化プラットフォーム間に密結合の自動ワークフローが提供されます。VMM ドメインを定義し、ハイパーバイザ マネージャ（たとえば、VMware vCenter または Nutanix）との接続が確立すると、APIC は分散仮想スイッチを作成または既定のものに接続し、ACI エンドポイントグループ（EPG）にマッピングするポートグループを自動的に生成します。ESXi または Hyper-V ホストに面するリーフポートは、アクセスポリシーを使用して設定され、VMM ドメインにバインドされた AEP に関連付けられます。

Cisco Secure Workload の場合、このモデルでは、ホストセンサーからのテレメトリが ACI エンドポイントの場所や EPG メンバーシップと正確に対応一致付けられます。その結果、一貫したセグメンテーションが適用され、ネットワークポリシーとホストポリシーとの間で発生しがちなばらつきのリスクが軽減されます。

図 2. ドメイン（仮想マシンとベアメタルサーバ）

間接的に接続されたホストとの VMM 統合

ACI の設定は次のとおりです。

特定の導入モデルでは、ハイパーバイザまたはコンテナノードが ACI リーフスイッチに直接接続されず、中間ネットワークレイヤ、リモートリーフサイト、または L2 拡張テクノロジーを介して接続される場合があります。たとえば、コンピューティングホストと ACI リーフスイッチの間に配置された Cisco UCS ファブリック インターコネクト（FI）などがあります。これらのシナリオでも VMM 統合は機能しますが、仮想スイッチのアップリンクから ACI ファブリックまでのパスは、エンドポイントの検出とポリシー適用のための可視性を保持する必要があります。

Cisco Secure Workload の観点では、間接的に接続されたホストであっても、同期されたラベルや EPG マッピングの恩恵を受けることができますが、その精度はエンドポイントが ACI で適切に検出され、正しい EPG に一貫してマッピングされていることに依存します。これらのトポロジでは、マイクロセグメンテーションとポリシー適用が ACI ファブリックと中間レイヤの両方で正しく機能するように、特定の設定手順が必要となります。

図 3. ドメイン（仮想マシンとベアメタルサーバ）
図 4. 間接的に接続されたホストとの VMM 統合

手順

ステップ 1

エンドポイントグループ（EPG）を編集し、[マイクロセグメンテーションを許可（allow micro-segmentation）] オプションをオンにします。使用する PVLAN を指定します。これにより、リーフスイッチでプロキシ ARP が有効になり、VDS で PVLAN を使用するようにポートグループが設定されます。

ステップ 2

中間スイッチで、一致する PVLAN（PVLANs）を設定します。

リーフスイッチに直接接続されているホスト（VMM 統合なし）

ホストが VMM 統合なしで ACI リーフスイッチに直接接続されている場合、セットアップは個別に管理されるベアメタルサーバーまたはハイパーバイザに適用され、vCenter や SCVMM などの仮想化マネージャの同期をバイパスします。管理者は、ACI リーフインターフェイスで静的パスまたはアクセスポートを手動で設定し、ダイナミック VMM ドメインではなく物理ドメインを介して特定のエンドポイントグループに関連付けます。エンドポイントの学習はブリッジドメイン内のデータプレーントラフィックを使用して行われ、VLAN カプセル化や IP サブネットルールによって決定される EPG メンバーシップに基づいて、契約などのポリシーが適用されます。

Cisco Secure Workload の統合において、この方法は、エンドポイントがポリシー相関のために ACI ファブリック上で引き続き可視化されますが、仮想マシンマネージャ（VMM）ドメイン統合は有効化することはできず、代わりに物理ドメインに依存します。これには、EPG の手動割り当てが必要となり、ACI ファブリック内でラベル同期を行う際に運用オーバーヘッドが増大します。

ACI ファブリックでのワークフローは次のとおりです。

手順

ステップ 1

EPG を編集して EPG 内分離を有効にし、プロキシ ARP を有効にします。

ステップ 2

EPG スタティックバインディングを設定または更新して PVLAN を使用します。スケールのために、AAEP の下で EPG を設定し、AAEP の下で PVLAN を有効にします。

ステップ 3

新しい PVLAN を使用するように VDS ポートグループを再設定します。

中間スイッチに直接接続されているホスト（VMM 統合なし）

このデプロイメント方法は、ハイパーバイザホストが中間スイッチを介して ACI ファブリックに接続される環境に適しています。たとえば、top-of-rack スイッチやアクセススイッチ経由で接続される構成では、VMM 統合は使用できません。そのため、ダイナミック VMM ドメイン同期の代わりに、ACI は静的バインディングを持つ物理ドメインを使用して、プライベート VLAN（PVLAN）によるセグメンテーションを実施します。これにより、ハイパーバイザマネージャを介さずに分離を確保できます。さらに、EPG 内分離により、同じエンドポイントグループ（EPG）内のエンドポイント間での直接通信が防止されます。これに対し、L2 解決はプロキシ ARP によって中間層を介して処理されます。これにより、Cisco Secure Workload はマイクロセグメンテーションに関してホストテレメトリを EPG ラベルと関連付けることができます。

ACI ファブリックでのワークフローは次のとおりです。

手順

ステップ 1

EPG を編集して EPG 内分離を有効にして、プロキシ ARP を有効にします。

ステップ 2

EPG スタティックバインディングを設定または更新して PVLAN を使用します。スケールのために、AAEP の下で EPG を設定し、AAEP の下で PVLAN を有効にします。

ステップ 3

中間スイッチで、一致する PVLAN（PVLANs）を設定します。

ステップ 4

新しい PVLAN を使用するように VDS ポートグループを再設定します。

ACI ファブリックへのポリシーの適用

Cisco Secure Workload エージェントが展開された ACI ファブリック内のすべてのワークロードは、Cisco Secure Workload テナントにテレメトリデータを継続的に送信します。Cisco Secure Workload 側では、事前定義された期間後に AI ベースのポリシー検出が自動的に実行され、推奨されるマイクロセグメンテーションポリシーが生成されます。初回は、エージェントがローカルにポリシーを適用しないように、これらのワークロードのエージェントプロファイルで適用を無効にする必要があります。ポリシー分析が完了すると、アプリケーションに関連付けられたワークスペースで適用が有効になります。ACI ファブリックにポリシーを適用するには、Cisco Secure Workload ワークスペースと ACI コネクタの両方で適用をアクティブ化する必要があります。

検出されたポリシーに基づいて、Cisco Secure Workload は、それらのポリシーを ACI コントラクトおよび対応するエンドポイントセキュリティグループ（ESG）とそのメンバーシップへ変換するアプリケーション プロファイルを作成します。現在のバージョンでは、Cisco Secure Workload は ESG メンバーシップを自動的にサブネットセレクタで定義するため、手動介入は必要ありません。ACI コネクタ側で適用を有効にすると、システムはマイクロセグメンテーション ポリシーを APIC に動的にプッシュし、ファブリック内へ展開を開始します。

図 5. ESG メンバーシップ定義の APIC UI
Cisco Secure Workload + ACI フローでは、これは、Cisco Secure Workload が ESG メンバーシップをどのようにプログラムするかを表しています。Cisco Secure Workload は、手動で静的メンバーシップを設定する代わりに、このような IP サブネットセレクタを APIC テナントにプッシュすることによって、ESG に属するエンドポイントを定義します。

Cisco Secure Workload によって検出されたポリシーは、対応するアプリケーションプロファイル内の ACI コントラクトに変換されます。Cisco Secure Workload が作成する各アプリケーション プロファイルには、Cisco Secure Workload <番号> という形式で生成された名前が割り当てられます。これらのオブジェクトは Cisco Secure Workload によってのみ管理され、ACI で手動で編集または変更することはできません。ポリシーの適用が有効化され、プッシュされると、その結果生成された契約が ACI 側に表示されます。

図 6. 自動生成された Cisco Secure Workload アプリケーションプロファイルのトポロジビュー
この APIC 画面は、自動生成された Cisco Secure Workload アプリケーションプロファイルのトポロジビューを表示します。 図では、EPG と ESG がそれらの間の契約とともに可視化され、色付きの線は Cisco Secure Workload テナントのコンシューマ、プロバイダー、および EPG 内の関係を示しています。

ACI 統合のこのフェーズでは、ACI ワークロード上の Cisco Secure Workload エージェントがテレメトリを収集し、そのデータを Cisco Secure Workload AI エンジンに送信します。Cisco Secure Workload は、アプリケーションの依存関係を検出し、セグメンテーションのインテントを導出したうえで、ESG ベースの構成を使用して ACI ファブリックでの適用を含むポリシーライフサイクル全体を自動化します。これにより、ACI で一貫性のあるアプリケーション中心のポリシーモデルが実現し、ネットワーク中心の設計から、アプリケーションの実際の動作に合わせたインテント主導のセグメンテーションに移行できます。