管理対象クレデンシャルを持つユーザ テナント

このタイプのユーザ テナントには、次の特性があります。

• このテナント アカウントは、Cisco Cloud APIC によって管理されます。

• このタイプのユーザー テナントのテナント設定プロセスの一環として、最初に Nexus Dashboard Orchestrator GUIで [管理対象アイデンティティ（Managed Identity）] を選択します。

• Nexus Dashboard Orchestrator で必要なパラメータを構成した後で、Google Cloud でこのテナントに必要な権限を設定する必要があります。クラウド APIC によって作成されたサービス アカウントを、次のルールを使用して IAM ユーザーとして追加します。

  • クラウド機能サービス エージェント

  • コンピューティング インスタンス管理（v1）

  • コンピューティング ネットワーク管理者

  • コンピューティング セキュリティ管理者

  • 管理者のログイン

  • パブ/サブ管理者

  • ストレージ管理者

管理対象外クレデンシャルを持つユーザ テナント

このタイプのユーザ テナントには、次の特性があります。

• このテナント アカウントは、Cisco Cloud APIC によって管理されません。

• このタイプのテナントの Cisco Cloud APIC に必要なパラメータを設定する前に、まず、このテナントに関連付けられたサービス アカウントの Google Cloud から必要な秘密キー情報を含む JSON ファイルをダウンロードする必要があります。

• 次に、このタイプのユーザー テナントのテナント設定プロセスの一環として、Nexus Dashboard Orchestrator GUI で [管理対象外アイデンティティ（Unmanaged Identity）] を選択します。Nexus Dashboard Orchestrator でこのタイプのテナントの構成プロセスの一環として、ダウンロードした JSON ファイルから次の情報を提供します。

  • キーID

  • RSA プライベート キー

  • クライアントID

  • E メール

注意事項および制約事項

VRF 間ルーティングを使用してルートマップを使用して VRF ペア間のルートをリークする場合は、次の注意事項が適用されます。

• ルートは常に 2 つの VRF 間で双方向にリークされます。あるテナント/VRF から別のテナント/VRF へのルート リーク エントリごとに、対応するルート リーク エントリが反対方向に存在する必要があります。

  たとえば、2 つのテナント（t1とt2）と 2 つの対応する VRF（v1 とv2）があるとします。VRF t2:v2 のすべてのルート リーク エントリ t1:v1 に対して、VRF t1:v1 の対応するルート リーク エントリ t2:v2 が必要です。

• 外部 VRF を外部ネットワークに関連付けた後、外部 VRF を変更する場合は、外部ネットワークを削除してから、新しい外部 VRF で外部ネットワークを再作成する必要があります。

• 「より大きな」プレフィックスがすでにリークされている間に、「より小さな」プレフィックスをリークするように設定することはできません。たとえば、10.10.0.0/16 プレフィックスがすでにリークされるように設定されている場合、10.10.10.0/24 プレフィックスの設定は拒否されます。同様に、0.0.0.0/0（すべてリーク）プレフィックスを設定した場合、他のプレフィックスは設定できません。

Cisco Cloud APIC が Google Cloud でファイアウォール ルールを実装する方法

次のリストは、Cisco Cloud APIC の Google Cloud を使用したファイアウォールルールの実装方法を示しています：

• グローバル 技術情報（Global resources）：Google Cloud の VPC とファイアウォールはグローバル リソースであるため、Cisco Cloud APIC は複数のリージョンにまたがるエンドポイントのファイアウォール ルールをプログラムする必要はありません。エンドポイントが存在するすべてのリージョンに同じファイアウォール ルールが適用されます。

• ファイアウォール出力ルールとネットワーク タグ：ファイアウォール出力ルールは、宛先フィールドとしてネットワーク タグをサポートしていないため、エンドポイントの個々の IP アドレスをリストする必要があります。

• ファイアウォール入力ルールおよびエイリアス IP 範囲の送信元タグ：ファイアウォール入力ルールには、送信元フィールドで使用されるネットワークタグに一致する VM のエイリアス IP 範囲は含まれません。

• ファイアウォール ルールの優先度フィールド（Priority fields in firewall rules）：Google Cloud は優先度の値に従ってファイアウォール ルールを評価します。

Google Cloud ファイアウォール ルールが優先順位リストの後に続く場合、Cisco Cloud APIC は VPC の作成時に、低プライオリティの deny-all 入力ルールと出力ルールのペアを構成します。その後、Cisco Cloud APIC は EPG の優先度の高い契約に従ってトラフィックを開くルールを構成します。したがって、EPGコントラクトの結果として特定のトラフィックを許可する明示的なルールがない場合は、優先順位の低いルールが一致し、デフォルトの動作はdeny-allになります。

エンドポイントおよびエンドポイント セレクタ

Cisco Cloud APIC では、クラウド EPG は、同じセキュリティ ポリシーを共有するエンドポイントの集合です。クラウド EPG は、1 つまたは複数のサブネット内にエンドポイントを持つことができ、VRF に関連付けられます。

Cisco Cloud APIC には、エンドポイントをクラウド EPG に割り当てるために使用される、エンドポイント セレクタと呼ばれる機能があります。エンドポイント セレクタは、基本的に言って、Cisco ACI によって管理される Google Cloud VPC に割り当てられたクラウド インスタンスに対して実行される一連のルールです。エンドポイント インスタンスに一致するエンドポイント セレクタ ルールは、そのエンドポイントをクラウド EPG に割り当てます。エンドポイント セレクタは、 Cisco ACI で使用可能な属性ベースのマイクロ セグメンテーションに似ています。

次に、2 種類のクラウド EPG で使用可能なエンドポイント セレクタのタイプを示します。

• アプリケーション EPG：

  • IP): IP アドレスまたはサブネットによって選択するために使用されます。

  • リージョン: エンドポイントのリージョンで選択するために使用されます。

  • カスタム：カスタム タグまたはラベルで選択するために使用されます。たとえば、Google Cloud のロケーション タグを追加する場合、Google Cloud で以前に追加したロケーション タグと一致するこのフィールドにカスタム タグのロケーションを作成できます。

• 外部 EPG：

  サブネット：サブネット セレクタはエンドポイント セレクタのタイプで、一致表現ではサブネットの IP アドレスが使用されるため、サブネット全体が EPG の一部として割り当てられます。基本的に、サブネット セレクタをエンドポイント セレクタとして使用する場合、そのサブネット内のすべてのエンドポイントは関連付けられたEPGに属します。

Google Cloud で Cisco Cloud APIC エンドポイント セレクタを使用する場合、Google Cloud の一致する VM に EPG を関連付けるネットワーク タグが適用されます。ネットワーク タグが VM で設定されると、Google Cloud は VM のトラフィックにファイアウォール ルールが適用されます。

Google Cloud 上の VM もラベルをサポートします。ラベルは、組織的なツールとなるキーと値のペアです。Cisco Cloud APIC のカスタムエンドポイントセレクタは、 Google Cloud の VM に割り当てられたラベルを認識します。

Cisco Cloud APIC は、EPG ごとに一意のネットワーク タグ文字列を予約します。Google Cloud では、この値が EPG 用に作成されたファイアウォール ルールのターゲット フィールドとして使用されます。新しい VM が EPG のエンドポイント セレクタに一致すると、Cisco Cloud APIC はこの値を既存の VM のネットワーク タグに追加します。さらに、EPG のネットワークタグは、Google Cloud ファイアウォール ルールの送信元フィールドで使用されます。

次の設定の VPC に 3 つのエンドポイントがあると仮定すると、Cisco Cloud APIC は次のネットワーク タグを構成します。Cisco Cloud APIC-configured ネットワーク タグは次のフォーマットです。

capic-<app-profile-name>-<epg-name>

Cisco Cloud APIC がネットワーク タグを設定するには、VMに対する管理者権限が必要です。この権限は、コンピューティング インスタンス管理者ロールによって付与されます。

Cisco Cloud APIC にこの権限がなく、VM のタグを管理できない場合があります。これらのシナリオでは、最初にVMでネットワークタグを設定し、その後で Cisco Cloud APIC に適切なエンドポイント セレクタ設定を指定できます。

ファイアウォール ルールを確認するには：

• Google Cloud の場合： Google Cloud アカウントで、[VPC ネットワーク（VPC Network）] > [ファイアウォール（Firewall）]に移動します。

  • VM が EPG の一部である場合は、ファイアウォール ルールを展開し、[フィルタ（Filters）] 列に表示される複数のエントリを表示することで、エンドポイントを検索できます。

  • [タイプ（Type）] 列のエントリを使用して、特定のファイアウォール ルールが入力ファイアウォール ルールか出力ファイアウォール ルールかを判別します。

    • ファイアウォール ルールが入力タイプの場合、トラフィックはこれらのエンドポイントに送信されます。

    • ファイアウォール ルールが出力タイプの場合、これらのエントリはトラフィックを受信できる場所を示します。

• Cisco Cloud APIC の場合：ファイアウォール ルールは VPC に関連付けられているため、[クラウド リソース（Cloud Resources）] > [VPC]に移動し、VPC をダブルクリックして詳細画面を表示します。次に、[クラウド リソース（Cloud Resources）] タブをクリックします。入力ルールと出力ルールが表示されます。