この項では、Cisco Cloud APIC のガイドラインと制限事項について説明します。

• VRF の 1 つが別の VRF グループ (ハブ ネットワーク) の接続として存在する場合、サイト間 (VRF から VRF) トラフィックはサポートされません。たとえば、次のシナリオを考えてください。

  • VRF-1 は、さまざまなサイト (Azure と AWS) にまたがっています。AWS サイトでは、VRF-1 は VRF グループ 1 にあります。

  • VRF-2 は、別の VRF グループ (VRF グループ 2) に存在します。

  このシナリオでは、VRF 間のコントラクトにより異なる VRF グループ間のトラフィックも暗黙的に許可されるため、サイト間の VRF-2 から VRF-1 へのトラフィックはサポートされません。異なる VRF グループ (ハブ ネットワーク) 間のトラフィックはサポートされていません。

• You cannot stretch more than one VRF between on-prem and the cloud while using inter-VRF route leaking in the CCRs (cloud routers). たとえば、EPG1 を持つ VRF1 が拡張され、EPG2 を持つ VRF2 も拡張される状況では、EPG1 は EPG2 とコントラクトできません。ただし、クラウド内に複数の VRF を設定して、1 つのオンプレミス VRF と 1 つ以上のコントラクトを共有することができます。

• クラウド上の CSR にアドバタイズするために、外部でアドバタイズされたオンプレミス サイトのブリッジ ドメイン サブネットを設定します。

• The default AWS security group (SG) rules limit only permits 2 CCRs per region and only 2 regions can deploy CCRs (a total maximum of 4 CCRs). To deploy more CCRs, increase the AWS SG rule limit to 120 or more. ルールの制限を 500 に増やすことをお勧めします。

• テナントのオブジェクトを設定するときに、AWS の古いクラウド リソースを確認します。古い構成は、アカウントを管理していた以前の Cisco Cloud APIC から適切に消去されなかった場合に存在する可能性があります。

  （注）	テナント アカウント ID の追加後、Cisco Cloud APIC が古いクラウド リソースを検出するまでに時間がかかります。

  古いクラウド リソースを確認し、クリーンアップするには、次の手順を実行します。

  1. [ナビゲーション（Navigation）] メニュー > [アプリケーション管理（Application Management）] > [テナント（Tenants）]の順にクリックします。[テナント（Tenants）] サマリー テーブルは、テナントのリストとともに、サマリー テーブルの行として作業ペインに表示されます。

  2. オブジェクトを作成するテナントをダブルクリックします。[概要（Overview）]、[クラウド リソース（Cloud Resources）]、[アプリケーション管理（Application Management）]、[統計（Statistics）]、および [イベント分析（Event Analytics）] タブが表示されます。

  3. [クラウド リソース（Cloud Resources）] > [アクション（Actions）] > [古いクラウド リソースの表示（View Stale Cloud Objects）] の順にクリックします。[古いクラウド オブジェクト（Stale Cloud Objects）] ダイアログボックスが表示されます。

  4. 古いオブジェクトが見つかった場合は、[古いクラウド オブジェクトを自動的にクリーンアップする] チェック ボックスをクリックしてチェック マークを付けます。

  5. [Save（保存）] をクリックします。Cisco Cloud APIC は、古いクラウド オブジェクトを自動的にクリーンアップします。

     （注）	自動クリーンアップを無効にするには、手順 1 ～ 4 に従って、[古いクラウド オブジェクトを自動的にクリーンアップする] チェック ボックスをクリックしてチェック マークを外します。

• Cisco Cloud APIC は、作成した AWS リソースの管理を試してみます。既存のリソースをインベントリとしてリストするのではなく、他のアプリケーションによって作成されたリソースの管理を試みません。同時に、AWS インフラ テナント アカウントの AWS IAM ユーザー、および他のテナント アカウントが、Cisco Cloud APIC が作成するリソースを妨害しないことも期待されます。この目的のために、AWS で作成されるすべてのリソースCisco Cloud APICには、次の 2 つのタグの少なくとも 1 つが含まれます。

  • AciDnTag

  • AciOwnerTag

  Cisco Cloud APIC はEC2、またはその他のリソースを作成、削除、または更新する権限を持つ AWS IAM ユーザが Cisco Cloud APIC によって作成および管理されるリソースへアクセスすることや変更することを防止する必要があります。このような制限は、インフラとその他のユーザのテナント アカウントの両方に適用する必要があります。AWS アカウント管理者は、上記の 2 つのタグを使用して、意図しないアクセスや変更を防ぐ必要があります。たとえば、次のようなアクセス ポリシーがある場合、Cloud APIC によって管理されているリソースへのアクセスを防止することができます。

  {
    "Effect": "Deny",
    "Action": [
      "ec2:*"
    ],
    "Resource": "*",
    "Condition": {
      "StringLike": {"ec2:ResourceTag/AciDnTag": "*"}
    }
  }

• 共有 L3Out を構成する場合:

  • オンプレミスの L3Out とクラウド EPG をテナント共通にすることはできません。

  • オンプレミスの L3Out とクラウド EPG が異なるテナントにある場合は、テナント共通でコントラクトを定義します。オンプレミス サイトまたはクラウド テナントでコントラクトすることはできません。

  • オンプレミスの L3Out 外部 EPG（l3extInstP）でクラウド EPG の CIDR を指定します。

  • オンプレミスの L3Out が別の VRF のクラウド EPG とコントラクトしている場合、クラウド EPG が存在する VRF をオンプレミス サイトに拡張することはできず、オンプレミス サイトの他の VRF とコントラクトすることはできません。 。

  • オンプレミスの外部 EPG で外部サブネットを構成する場合:

    • 外部サブネットをゼロ以外のサブネットとして指定します。

    • 外部サブネットは、別の外部サブネットと重複できません。

    • クラウド EPG とコントラクトするには、共有ルート制御フラグを使用して外部サブネットをマークします。

  • オンプレミスの外部 EPG でマークされている外部サブネットは、L3Out のルーティング プロトコルを介して学習されているか、静的ルートとして作成されている必要があります。

• アベイラビリティーゾーンをマッピングするときは、Cisco Cloud APIC で a または b のみを選択します。内部的には、ゾーン マッピング機能により、これが AWS の実際のアベイラビリティ ゾーンにマッピングされます。

  （注）	マッピングがアルファベット順になっていない可能性があります。アベイラビリティーゾーンはアルファベット順に並べ替えられ、関数は最初の 2 つを選択し、それらを Cisco Cloud APIC のゾーン a と b に関連付けます。

• クラウド ルーターに ASN 64512 を設定すると、クラウド ルーターと AWS 仮想プライベート ゲートウェイの間で BGP セッションが機能しなくなります。

• サポートされているスケールの合計については、次のサポートされているスケールの表を参照してください。

  （注）	サポートされているスケールの表で指定されているスケールを使用する場合: 合計で 4 つの管理対象リージョンのみを持つことができます。 You can have only CCRs in 2 regions, 2 * 2 CCRs. これは、AWS SG ルールの制限に関係ありません。

Cisco Cloud APIC GUI は、関連するウィンドウのグループに分類されます。各ウィンドウでは、特定のコンポーネントにアクセスして管理できます。GUIの左側にある [ナビゲーション（Navigation）] メニューを使用して、ウィンドウ間を移動します。メニューのいずれかの部分にマウスを移動すると、[ダッシュボード（Dashboard）]、[トポロジ（Topology）]、[アプリケーション管理（Application Management）]、[クラウドリソース（Cloud Resources）]、[操作（Operations）]、[インフラストラクチャ（Infrastructure）]、および [管理（Administrative）] タブのリストが表示されます。

各タブには異なるサブタブのリストが含まれており、各サブタブから異なるコンポーネント固有のウィンドウにアクセスできます。たとえば、テナント固有のウィンドウを表示するには、マウスを[ナビゲーション（Navigation）] メニューに合わせ、[アプリケーション管理（Application Management）] > [テナント（Tenants）] をクリックします。そこから、[ナビゲーション（Navigation）] メニューを使用して別のコンポーネントの詳細を表示できます。たとえば、[クラウド リソース（Cloud Resources）][アベイラビリティ ゾーン（Availability Zones）] をクリックすると、[テナント（Tenants）]から [アベイラビリティ ゾーン（Availability Zones）] ウィンドウに移動できます。

[インテント（Intent）] メニュー バー アイコンを使用すると、GUI の任意の場所からコンポーネントを作成できます。たとえば、[アベイラビリティ ゾーン（Availability Zones）] ウィンドウの表示中にテナントを作成するには、[インテント（Intent）] アイコンをクリックします。検索ボックスとドロップダウン リストを含むダイアログが表示されます。ドロップダウン リストをクリックして [アプリケーション管理（Application Management）] を選択すると、[テナント（Tenant）] オプションを含むオプションのリストが表示されます。[テナント（Tenant）] オプションをクリックすると、テナントの作成に必要なフィールドのグループを示す [テナントの作成（Create Tenant）] ダイアログが表示されます。

GUI アイコンの詳細については、Cisco Cloud APIC GUI アイコンについて を参照してください。

Cisco Cloud APIC コンポーネントの構成の詳細については、Cisco Cloud APIC コンポーネントの設定 を参照してください。