Skip to main content
NetApp Console setup and administration
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

Azure Marketplace からコンソール エージェントを作成する

共同作成者 netapp-tonias
PDF

Azure Marketplace から直接、Azure にコンソール エージェントを作成できます。 Azure Marketplace からコンソール エージェントを作成するには、ネットワークを設定し、Azure のアクセス許可を準備し、インスタンスの要件を確認してから、コンソール エージェントを作成する必要があります。

開始する前に

ステップ1: ネットワークを設定する

コンソール エージェントをインストールする予定のネットワークの場所が次の要件をサポートしていることを確認します。これらの要件により、コンソール エージェントはハイブリッド クラウド内のリソースを管理できるようになります。

Azureリージョン

Cloud Volumes ONTAPを使用する場合、コンソールエージェントは、管理するCloud Volumes ONTAPシステムと同じAzureリージョン、または "Azure リージョン ペア"Cloud Volumes ONTAPシステム用。この要件により、 Cloud Volumes ONTAPとそれに関連付けられたストレージ アカウント間で Azure Private Link 接続が使用されるようになります。

"Cloud Volumes ONTAP がAzure Private Link を使用する方法を学ぶ"

VNetとサブネット

コンソール エージェントを作成するときは、そのエージェントが存在する VNet とサブネットを指定する必要があります。

ターゲットネットワークへの接続

コンソール エージェントには、システムを作成および管理する予定の場所へのネットワーク接続が必要です。たとえば、オンプレミス環境にCloud Volumes ONTAPシステムまたはストレージ システムを作成する予定のネットワークなどです。

アウトバウンドインターネットアクセス

コンソール エージェントを展開するネットワークの場所には、特定のエンドポイントに接続するための送信インターネット接続が必要です。

コンソールエージェントから接続されたエンドポイント

コンソール エージェントは、日常業務でパブリック クラウド環境内のリソースとプロセスを管理するために、次のエンドポイントに接続するために、送信インターネット アクセスを必要とします。

以下にリストされているエンドポイントはすべて CNAME エントリです。

エンドポイント 目的

https://management.azure.com https://login.microsoftonline.com https://blob.core.windows.net https://core.windows.net

Azure パブリック リージョン内のリソースを管理します。

https://management.chinacloudapi.cn https://login.chinacloudapi.cn https://blob.core.chinacloudapi.cn https://core.chinacloudapi.cn

Azure China リージョンのリソースを管理します。

https://mysupport.netapp.com

ライセンス情報を取得し、 AutoSupportメッセージをNetAppサポートに送信します。

https://support.netapp.com

ライセンス情報を取得し、 AutoSupportメッセージをNetAppサポートに送信します。

https://signin.b2c.netapp.com

NetAppサポート サイト (NSS) の資格情報を更新するか、 NetAppコンソールに新しい NSS 資格情報を追加します。

https://api.bluexp.netapp.com https://netapp-cloud-account.auth0.com https://netapp-cloud-account.us.auth0.com https://console.netapp.com https://components.console.bluexp.netapp.com https://cdn.auth0.com

NetAppコンソール内で機能とサービスを提供します。

https://bluexpinfraprod.eastus2.data.azurecr.io https://bluexpinfraprod.azurecr.io

コンソール エージェントのアップグレード用のイメージを取得します。

  • 新しいエージェントを展開すると、検証チェックによって現在のエンドポイントへの接続がテストされます。使用する場合"以前のエンドポイント"、検証チェックは失敗します。この失敗を回避するには、検証チェックをスキップします。

    以前のエンドポイントも引き続きサポートされますが、 NetApp、ファイアウォール ルールをできるだけ早く現在のエンドポイントに更新することをお勧めします。"エンドポイントリストを更新する方法を学ぶ" 。

  • ファイアウォールの現在のエンドポイントに更新すると、既存のエージェントは引き続き動作します。
プロキシ サーバ

NetApp は明示的プロキシ構成と透過的プロキシ構成の両方をサポートしています。透過プロキシを使用している場合は、プロキシ サーバーの証明書のみを提供する必要があります。明示的なプロキシを使用している場合は、IP アドレスと資格情報も必要になります。

  • IPアドレス

  • Credentials

  • HTTPS証明書

ポート

ユーザーが開始した場合、またはCloud Volumes ONTAPからNetAppサポートにAutoSupportメッセージを送信するためのプロキシとして使用された場合を除いて、コンソール エージェントへの着信トラフィックはありません。

  • HTTP (80) と HTTPS (443) は、まれに使用するローカル UI へのアクセスを提供します。

  • SSH（22）は、トラブルシューティングのためにホストに接続する必要がある場合にのみ必要です。

  • アウトバウンド インターネット接続が利用できないサブネットにCloud Volumes ONTAPシステムを展開する場合は、ポート 3128 経由のインバウンド接続が必要です。

    Cloud Volumes ONTAPシステムにAutoSupportメッセージを送信するためのアウトバウンド インターネット接続がない場合、コンソールは、コンソール エージェントに含まれているプロキシ サーバーを使用するようにそれらのシステムを自動的に構成します。唯一の要件は、コンソール エージェントのセキュリティ グループがポート 3128 経由の受信接続を許可していることを確認することです。コンソール エージェントを展開した後、このポートを開く必要があります。

NTP を有効にする

NetApp Data Classification を使用して企業のデータ ソースをスキャンする予定の場合は、システム間で時刻が同期されるように、コンソール エージェントとNetApp Data Classification システムの両方で Network Time Protocol (NTP) サービスを有効にする必要があります。 "NetAppデータ分類の詳細"

コンソール エージェントを作成した後、ネットワーク要件を実装します。

ステップ2: VMの要件を確認する

コンソール エージェントを作成するときは、次の要件を満たす仮想マシンの種類を選択します。

CPU

8コアまたは8vCPU

RAM

32 GB

Azure VM サイズ

上記の CPU および RAM の要件を満たすインスタンス タイプ。 Standard_D8s_v3 をお勧めします。

ステップ3: 権限を設定する

権限は次の方法で付与できます。

  • オプション 1: システム割り当てマネージド ID を使用して、Azure VM にカスタム ロールを割り当てます。

  • オプション 2: 必要な権限を持つ Azure サービス プリンシパルの資格情報をコンソールに提供します。

コンソールの権限を設定するには、次の手順に従います。

カスタムロール

Azure ポータル、Azure PowerShell、Azure CLI、または REST API を使用して、Azure カスタム ロールを作成できます。次の手順は、Azure CLI を使用してロールを作成する方法を示しています。別の方法をご希望の場合は、 "Azureドキュメント"

手順

  1. 独自のホストにソフトウェアを手動でインストールする予定の場合は、カスタム ロールを通じて必要な Azure アクセス許可を提供できるように、VM でシステム割り当てマネージド ID を有効にします。

    "Microsoft Azure ドキュメント: Azure ポータルを使用して VM 上の Azure リソースのマネージド ID を構成する"

  2. の内容をコピーします"コネクタのカスタムロール権限"JSON ファイルに保存します。

  3. 割り当て可能なスコープに Azure サブスクリプション ID を追加して、JSON ファイルを変更します。

    NetAppコンソールで使用する各 Azure サブスクリプションの ID を追加する必要があります。

    例

    "AssignableScopes": [
"/subscriptions/d333af45-0d07-4154-943d-c25fbzzzzzzz",
"/subscriptions/54b91999-b3e6-4599-908e-416e0zzzzzzz",
"/subscriptions/398e471c-3b42-4ae7-9b59-ce5bbzzzzzzz"

  4. JSON ファイルを使用して、Azure でカスタム ロールを作成します。

    次の手順では、Azure Cloud Shell で Bash を使用してロールを作成する方法について説明します。

    1. 始める "Azure クラウド シェル"Bash 環境を選択します。

    2. JSON ファイルをアップロードします。

      ファイルをアップロードするオプションを選択できる Azure Cloud Shell のスクリーンショット。

    3. Azure CLI を使用してカスタム ロールを作成します。

      az role definition create --role-definition Connector_Policy.json
サービスプリンシパル

Microsoft Entra ID でサービス プリンシパルを作成して設定し、コンソールに必要な Azure 資格情報を取得します。

ロールベースのアクセス制御用の Microsoft Entra アプリケーションを作成する

  1. Azure で Active Directory アプリケーションを作成し、そのアプリケーションをロールに割り当てるためのアクセス許可があることを確認します。

    詳細については、 "Microsoft Azure ドキュメント: 必要な権限"

  2. Azure ポータルから、Microsoft Entra ID サービスを開きます。

    Microsoft Azure の Active Directory サービスを表示します。

  3. メニューで*アプリ登録*を選択します。

  4. *新規登録*を選択します。

  5. アプリケーションの詳細を指定します。

    • 名前: アプリケーションの名前を入力します。

    • アカウント タイプ: アカウント タイプを選択します (いずれのタイプでもNetAppコンソールで使用できます)。

    • リダイレクト URI: このフィールドは空白のままにすることができます。

  6. *登録*を選択します。

    AD アプリケーションとサービス プリンシパルを作成しました。

アプリケーションをロールに割り当てる

  1. カスタム ロールを作成します。

    Azure ポータル、Azure PowerShell、Azure CLI、または REST API を使用して、Azure カスタム ロールを作成できます。次の手順は、Azure CLI を使用してロールを作成する方法を示しています。別の方法をご希望の場合は、 "Azureドキュメント"

    1. の内容をコピーします"コンソールエージェントのカスタムロール権限"JSON ファイルに保存します。

    2. 割り当て可能なスコープに Azure サブスクリプション ID を追加して、JSON ファイルを変更します。

      ユーザーがCloud Volumes ONTAPシステムを作成する各 Azure サブスクリプションの ID を追加する必要があります。

      例

      "AssignableScopes": [
"/subscriptions/d333af45-0d07-4154-943d-c25fbzzzzzzz",
"/subscriptions/54b91999-b3e6-4599-908e-416e0zzzzzzz",
"/subscriptions/398e471c-3b42-4ae7-9b59-ce5bbzzzzzzz"

    3. JSON ファイルを使用して、Azure でカスタム ロールを作成します。

      次の手順では、Azure Cloud Shell で Bash を使用してロールを作成する方法について説明します。

      • 始める "Azure クラウド シェル"Bash 環境を選択します。

      • JSON ファイルをアップロードします。

        ファイルをアップロードするオプションを選択できる Azure Cloud Shell のスクリーンショット。

      • Azure CLI を使用してカスタム ロールを作成します。

        az role definition create --role-definition Connector_Policy.json

        これで、コンソール エージェント仮想マシンに割り当てることができる、コンソール オペレーターと呼ばれるカスタム ロールが作成されます。

  2. アプリケーションをロールに割り当てます。

    1. Azure ポータルから、サブスクリプション サービスを開きます。

    2. サブスクリプションを選択します。

    3. アクセス制御 (IAM) > 追加 > ロール割り当ての追加 を選択します。

    4. *役割*タブで、*コンソールオペレーター*役割を選択し、*次へ*を選択します。

    5. *メンバー*タブで、次の手順を実行します。

      • *ユーザー、グループ、またはサービス プリンシパル*を選択したままにします。

      • *メンバーを選択*を選択します。

        アプリケーションにロールを追加するときにメンバー ページを表示する Azure ポータルのスクリーンショット。

      • アプリケーションの名前を検索します。

        次に例を示します。

      Azure ポータルの「ロールの割り当ての追加」フォームが表示された Azure ポータルのスクリーンショット。

      • アプリケーションを選択し、[選択] を選択します。

      • *次へ*を選択します。

    6. *レビュー + 割り当て*を選択します。

      これで、サービス プリンシパルに、コンソール エージェントをデプロイするために必要な Azure アクセス許可が付与されました。

    複数の Azure サブスクリプションからCloud Volumes ONTAPをデプロイする場合は、サービス プリンシパルを各サブスクリプションにバインドする必要があります。 NetAppコンソールでは、 Cloud Volumes ONTAP をデプロイするときに使用するサブスクリプションを選択できます。

Windows Azure サービス管理 API 権限を追加する

  1. Microsoft Entra ID サービスで、アプリの登録 を選択し、アプリケーションを選択します。

  2. API 権限 > 権限の追加 を選択します。

  3. Microsoft API の下で、Azure Service Management を選択します。

    Azure サービス管理 API のアクセス許可を示す Azure ポータルのスクリーンショット。

  4. 組織ユーザーとして Azure サービス管理にアクセスする を選択し、権限の追加 を選択します。

    Azure サービス管理 API の追加を示す Azure ポータルのスクリーンショット。

アプリケーションのアプリケーションIDとディレクトリIDを取得します

  1. Microsoft Entra ID サービスで、アプリの登録 を選択し、アプリケーションを選択します。

  2. アプリケーション (クライアント) ID と ディレクトリ (テナント) ID をコピーします。

    Microsoft Entra IDy 内のアプリケーションのアプリケーション (クライアント) ID とディレクトリ (テナント) ID を示すスクリーンショット。

    Azure アカウントをコンソールに追加するときは、アプリケーションのアプリケーション (クライアント) ID とディレクトリ (テナント) ID を指定する必要があります。コンソールは ID を使用してプログラムでサインインします。

クライアントシークレットを作成する

  1. Microsoft Entra ID サービスを開きます。

  2. *アプリ登録*を選択し、アプリケーションを選択します。

  3. *証明書とシークレット > 新しいクライアント シークレット*を選択します。

  4. シークレットの説明と期間を指定します。

  5. *追加*を選択します。

  6. クライアント シークレットの値をコピーします。

    Microsoft Entra サービス プリンシパルのクライアント シークレットを表示する Azure ポータルのスクリーンショット。

ステップ4: コンソールエージェントを作成する

Azure Marketplace からコンソール エージェントを直接起動します。

タスク概要

Azure Marketplace からコンソール エージェントを作成すると、既定の構成で仮想マシンが設定されます。"コンソールエージェントのデフォルト構成について学習します" 。

開始する前に

次のものが必要です:

  • Azure サブスクリプション。

  • 選択した Azure リージョン内の VNet とサブネット。

  • 組織ですべての送信インターネット トラフィックにプロキシが必要な場合のプロキシ サーバーの詳細:

    • IPアドレス

    • Credentials

    • HTTPS証明書

  • コンソール エージェント仮想マシンにその認証方法を使用する場合は、SSH 公開キー。認証方法のもう 1 つのオプションは、パスワードを使用することです。

    "Azure の Linux VM への接続について学習します"

  • コンソールエージェント用のAzureロールをコンソールが自動的に作成しないようにするには、独自のロールを作成する必要があります。"このページのポリシーを使用する" 。

    これらの権限は、コンソール エージェント インスタンス自体に適用されます。これは、コンソール エージェント VM を展開するために以前に設定した権限セットとは異なります。

手順

  1. Azure Marketplace のNetAppコンソール エージェント VM ページに移動します。

    "商用リージョン向けの Azure Marketplace ページ"

  2. *今すぐ入手*を選択し、*続行*を選択します。

  3. Azure ポータルから [作成] を選択し、手順に従って仮想マシンを構成します。

    VM を構成する際には、次の点に注意してください。

    • VM サイズ: CPU と RAM の要件を満たす VM サイズを選択します。 Standard_D8s_v3 をお勧めします。

    • ディスク: コンソール エージェントは、HDD ディスクまたは SSD ディスクのいずれでも最適に動作します。

    • ネットワーク セキュリティ グループ: コンソール エージェントには、SSH、HTTP、および HTTPS を使用した受信接続が必要です。

      "Azure のセキュリティ グループ ルールを表示する" 。

    • ID*: 管理 の下で、システム割り当てマネージド ID を有効にする を選択します。

      この設定は重要です。マネージド ID を使用すると、コンソール エージェント仮想マシンは資格情報を提供せずに Microsoft Entra ID に対して自身を識別できるためです。 "Azure リソースのマネージド ID の詳細" 。

  4. 確認 + 作成 ページで選択内容を確認し、作成 を選択してデプロイを開始します。

    Azure は指定された設定で仮想マシンをデプロイします。約 10 分以内に仮想マシンとコンソール エージェント ソフトウェアが実行されるはずです。

    メモ インストールが失敗した場合は、トラブルシューティングに役立つログとレポートを表示できます。"インストールの問題をトラブルシューティングする方法を学びます。"

  5. コンソール エージェント仮想マシンに接続しているホストから Web ブラウザを開き、次の URL を入力します。

    https://ipaddress

  6. ログイン後、コンソール エージェントを設定します。

    1. コンソール エージェントに関連付けるコンソール組織を指定します。

    2. システムの名前を入力します。

    3. 安全な環境で実行していますか? の下で、制限モードを無効のままにします。

      コンソールを標準モードで使用するには、制限モードを無効にしておきます。安全な環境があり、このアカウントをコンソールのバックエンド サービスから切断する場合にのみ、制限モードを有効にする必要があります。もしそうなら、"制限モードでコンソールを開始するには、以下の手順に従ってください。" 。

    4. *始めましょう*を選択します。

結果

これで、コンソール エージェントがインストールされ、コンソール組織で設定されました。

コンソール エージェントを作成したのと同じ Azure サブスクリプションに Azure Blob ストレージがある場合は、システム ページに Azure Blob ストレージ システムが自動的に表示されます。 "コンソールから Azure Blob ストレージを管理する方法を学びます"

ステップ5: コンソールエージェントに権限を付与する

コンソール エージェントを作成したので、以前に設定した権限をエージェントに付与する必要があります。権限を付与すると、コンソール エージェントは Azure 内のデータとストレージ インフラストラクチャを管理できるようになります。

カスタムロール

Azure ポータルに移動し、1 つ以上のサブスクリプションのコンソール エージェント仮想マシンに Azure カスタム ロールを割り当てます。

手順

  1. Azure ポータルから サブスクリプション サービスを開き、サブスクリプションを選択します。

    サブスクリプション サービスからロールを割り当てることが重要です。これは、サブスクリプション レベルでのロール割り当ての範囲を指定するためです。 scope は、アクセスが適用されるリソースのセットを定義します。別のレベル (たとえば、仮想マシン レベル) でスコープを指定すると、 NetAppコンソール内からアクションを完了する機能に影響します。

    "Microsoft Azure ドキュメント: Azure RBAC のスコープを理解する"

  2. アクセス制御 (IAM) > 追加 > ロール割り当ての追加 を選択します。

  3. *役割*タブで、*コンソールオペレーター*役割を選択し、*次へ*を選択します。

    メモ コンソール オペレーターは、ポリシーで提供されるデフォルト名です。ロールに別の名前を選択した場合は、代わりにその名前を選択します。

  4. *メンバー*タブで、次の手順を実行します。

    1. マネージド ID へのアクセスを割り当てます。

    2. *メンバーの選択*を選択し、コンソール エージェント仮想マシンが作成されたサブスクリプションを選択し、*マネージド ID*の下で*仮想マシン*を選択して、コンソール エージェント仮想マシンを選択します。

    3. *選択*を選択します。

    4. *次へ*を選択します。

    5. *レビュー + 割り当て*を選択します。

    6. 追加の Azure サブスクリプションのリソースを管理する場合は、そのサブスクリプションに切り替えて、これらの手順を繰り返します。

次の手順

に行く "NetAppコンソール"コンソール エージェントの使用を開始します。

サービスプリンシパル
手順

  1. *管理 > 資格情報*を選択します。

  2. *資格情報の追加*を選択し、ウィザードの手順に従います。

    1. 資格情報の場所: Microsoft Azure > エージェント を選択します。

    2. 資格情報の定義: 必要な権限を付与する Microsoft Entra サービス プリンシパルに関する情報を入力します。

      • アプリケーション（クライアント）ID

      • ディレクトリ（テナント）ID

      • クライアントシークレット

    3. マーケットプレイス サブスクリプション: 今すぐサブスクライブするか、既存のサブスクリプションを選択して、マーケットプレイス サブスクリプションをこれらの資格情報に関連付けます。

    4. 確認: 新しい資格情報の詳細を確認し、[追加] を選択します。

結果

これで、コンソールに、ユーザーに代わって Azure でアクションを実行するために必要なアクセス許可が付与されました。