ステップ 1

有効な AWS アカウントを用意します。

ステップ 2

GovCloud にアクセスするための有効な AWS Government アカウントを用意します。

ステップ 3

AWS Marketplace 内で、使用しているアカウントで Cisco CSR1000V、Cisco Catalyst 8000V デバイスの Amazon マシンイメージ（AMI）に登録します。AWS Marketplace 内で、使用しているアカウントで Amazon マシンイメージ（AMI）に登録するには、次の手順を実行します。

1. Amazon Web Services Marketplace にログインします。

2. AWS Marketplace で「Cisco CSR1000V または Cisco Catalyst 8000V デバイス」を検索します。

   AMI のリストが表示されます。

3. リストから、展開する予定の Cisco CSR1000V または Cisco Catalyst 8000V デバイスのリンクをクリックします。

   サブスクリプション画面が表示され、Cisco CSR1000V または Cisco Catalyst 8000V デバイスの AMI に登録できます。

4. [引き続きサブスクライブする（Continue to Subscribe）] をクリックして登録します。

5. [条件に同意する（Accept Terms）] をクリックします。

   しばらくすると、Cisco CSR1000V または Cisco Catalyst 8000V デバイスの AMI を使用するために登録されたことを示すメッセージが表示されます。

   （注）	Cisco Catalyst SD-WAN Cloud OnRamp for IaaS はトランジット VPC の作成時に Cisco Catalyst SD-WAN クラウドデバイスを自動的に設定するため、[Continue to Configuration] はクリックしないでください。

6. AWS Marketplace からログアウトします。

ステップ 1

Cisco SD-WAN Manager のメニューから、[Configuration] > [Cloud OnRamp for IaaS] を選択します。

ステップ 2

[Add New Cloud Instance] をクリックします。

ステップ 3

[Amazon Web Services (AWS)] オプションボタンをクリックします。

ステップ 4

次のポップアップウィンドウで、次の手順を実行します。

1. クラウドサーバーにログインするために、[IAM Role] または [Key] をクリックします。[IAM Role] を使用することを推奨します。

2. [IAM Role] をクリックした場合は、Cisco SD-WAN Manager が提供する [External ID] を使用して IAM ロールを作成します。ウィンドウに表示された外部 ID をメモして、IAM ロールの作成時に使用できる [Role ARN] 値を指定します。

   Cisco IOS XE Catalyst SD-WAN リリース 17.4.1a 以降では、IAM ロールを作成するには、AWS 管理コンソールを使用して Cisco SD-WAN Manager から提供された外部 ID をポリシーに入力する必要があります。次の手順を実行します。

   1. 既存の Cisco SD-WAN Manager EC2 インスタンスに IAM ロールをアタッチします。

      1. ポリシーを作成するには、AWS ドキュメントの IAM ロールの作成（コンソール）のトピックを参照してください。AWS の [Create policy] ウィザードで、[JSON] をクリックし、次の JSON ポリシードキュメントを入力します。

         {
           
"Version": "2012-10-17",

           "Statement": [{

             "Sid": "VisualEditor0",
             
"Effect": "Allow",

             "Action": "sts:AssumeRole",
             
"Resource": "*"

             }
]
         
}

         

      2. IAM ロールを作成し、ステップ 1 で作成したポリシーに基づいて Cisco SD-WAN Manager EC2 インスタンスにアタッチする方法については、AWS Security Blog の「Easily Replace or Attach an IAM Role to an Existing EC2 Instance by Using the EC2 Console」ブログを参照してください。

         （注）	[Attach permissions policy] ウィンドウで、ステップ 1 で作成した AWS 管理ポリシーを選択します。

   2. Cisco Catalyst SD-WAN Cloud OnRamp for IaaS に使用する AWS アカウントで IAM ロールを作成します。

      1. AWS ドキュメントの IAM ロールの作成（コンソール）のトピックを参照して、[Require external ID] をオンにし、ステップ 4（b）でメモした外部 ID を貼り付けて、IAM ロールを作成します。

      2. ロールを担当できるユーザーを変更するには、AWS ドキュメント のロール信頼ポリシーの変更（コンソール）のトピックを参照してください。

         [IAM Roles] ウィンドウで、下にスクロールして、前の手順で作成したロールをクリックします。

         [Summary] ウィンドウで、[Role ARN] をメモします。

         （注）	ステップ 4（b）で IAM ロールを選択した場合は、このロール ARN 値を入力できます。

      3. 信頼関係を変更したら、[JSON] をクリックし、次の JSON ドキュメントを入力します。変更内容を保存します。

         （注）	次の JSON ドキュメントのアカウント ID は、Cisco SD-WAN Manager EC2 インスタンスです。

         {
           "Version": "2012-10-17",
           "Statement": [
             {
               "Effect": "Allow",
               "Principal": {
                 "AWS": "arn:aws:iam::[Account ID from Part 1]:root"
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                 "StringEquals": {
                   "sts:ExternalId": "[vManage provided External ID]"
                }
               }
             }
           ]
         }
         

3. [Key] オプションボタンをクリックした場合は、次の手順を実行します。

   1. [API Key] フィールドに、Amazon API キーを入力します。

   2. [Secret Key] フィールドに、API キーに関連付けられたパスワードを入力します。

   3. [Environment] ドロップダウンリストから、[commercial] または [govcloud] を選択します。

      デフォルトでは、[commercial] 環境が選択されています。環境の仕様に基づいて地理的なリージョンを選択できます。

ステップ 5

[Login] をクリックして、クラウドサーバーにログインします。

ステップ 6

リージョンを選択します。

ステップ 7

トランジット VPC を追加します。

1. [Transit VPC Name] フィールドに、トランジット VPC 名を入力します。

   名前には、128 文字の英数字、ハイフン（–）、および下線（_）を含めることができます。スペースやその他の文字を含めることはできません。

2. [Device Information] で、トランジット VPC に関する情報を入力します。

   1. [WAN Edge Version] ドロップダウンリストで、トランジット VPC で実行する Cisco Catalyst SD-WAN クラウドデバイスのソフトウェアバージョンを選択します。

   2. [Size of Transit WAN Edge] ドロップダウンリストで、トランジット VPC で実行される各 Cisco Catalyst SD-WAN クラウドデバイスに使用できるメモリと CPU を決定するオプションを選択します。

      • 『Cisco CSR 1000v Series Cloud Services Router Deployment Guide for Amazon Web Services』の Cisco CSR1000V デバイスの「Supported Instance Types」のトピックを参照してください。

      • 「Deploying Cisco Catalyst 8000V on Amazon Web Services」の Cisco Catalyst 8000V の「Supported Instance Types」のトピックを参照してください。

      （注）	次のサイズを選択することを推奨します。 Cisco CSR1000V および Cisco Catalyst 8000V には、4 つ以上の vCPU を持つ c5 インスタンスタイプを選択します（[c5.xlarge (4 vCPU)] など）。

   3. [Max. Host VPCs per Device Pair] フィールドで、トランジット VPC の各デバイスペアにマッピングできるホスト VPC の最大数を選択します。有効な値は 1 ～ 32 です。

   4. ダイレクト インターネット アクセス（DIA）用にトランジット VPC デバイスを設定するには、次のいずれかをクリックします。

      • [Disabled]：インターネットアクセスなし。

      • [Enabled via Transport]：デバイスの WAN インターフェイスに対して NAT を設定または有効化します。

      • [Enabled via Umbrella SIG]：デバイスでセキュアな DIA を有効にするように Cisco Umbrella を設定します。

   5. [Device Pair 1#] フィールドで、ペアの各デバイスのシリアル番号を選択します。デバイスのシリアル番号を削除するには、フィールドに表示される [X] をクリックします。

      表示されるデバイスのシリアル番号は設定テンプレートに関連付けられていて、ステップ 1 で選択した Cisco Catalyst SD-WAN WAN エッジバージョンをサポートしています。

   6. デバイスペアをさらに追加するには、 をクリックします。

      デバイスペアを削除するには、 をクリックします。

      トランジット VPC は、1 ～ 4 つのデバイスペアに関連付けることができます。AWS で自動スケール機能を有効にするには、少なくとも 2 つのデバイスペアをトランジット VPC に関連付けます。

   7. より具体的な設定オプションを入力する場合は、[Advanced] をクリックします。

      1. [Transit VPC CIDR] フィールドに、16 ～ 25 の範囲のネットワークマスクを持つカスタム CIDR を入力します。このフィールドを空のままにすると、トランジット VPC はデフォルト CIDR の 10.0.0.0/16 を使用して作成されます。CIDR ブロック内に 6 つのサブネットを作成するために十分なアドレス空間が必要です。

      2. （オプション）[SSH PEM Key] ドロップダウンリストで、インスタンスにログインするための PEM キーペアを選択します。このキーペアはリージョン固有です。キーペアの作成手順については、AWS のドキュメントを参照してください。

   8. [Save and Finish] をクリックしてトランジット VPC の設定を完了するか、必要に応じて [Proceed to Discovery and Mapping] をクリックしてウィザードを続行します。

      このクラウドインスタンスでは、2 つの Cisco Catalyst SD-WAN クラウドデバイスがある単一のトランジット VPC が作成されています。単一のクラウドインスタンス（リージョン内の AWS アカウント）内に複数のトランジット VPC を設定できます。クラウドインスタンス内に複数のトランジット VPC が存在する場合は、ホスト VPC をいずれかのトランジット VPC にマッピングすることができます。

   9. ホスト VPC を検出します。

      1. [Select an account to discover] フィールドで、ホスト VPC を検出する AWS アカウントを選択します。

         または、ホスト VPC を検出する新しい AWS アカウントを追加するには、[New Account] をクリックします。

      2. [Discover Host VPCs] をクリックします。

         トランジット VPC にマッピングできる VPC を示すテーブルが表示されます。選択した AWS アカウント内の、トランジット VPC と同じ AWS リージョン内のホスト VPC のみが表示されます。

      3. 表示されたテーブルで、トランジット VPC にマッピングする 1 つ以上のホストのチェックボックスをオンにします。

         検索結果をフィルタリングするには、検索バーの [Filter] オプションを使用して、特定の検索条件に一致するホスト VPC のみを表示します。

         [Refresh] アイコンをクリックすると、テーブルが最新の情報で更新されます。

         テーブルに表示される列を指定するには、[Show Table Columns] アイコンをクリックします。

   10. ホスト VPC をトランジット VPC にマッピングします。

       1. すべてのホスト VPC のテーブルで、目的のホスト VPC を選択します。

       2. [Map VPCs] をクリックします。[Map Host VPCs] ポップアップが開きます。

       3. [Transit VPC] ドロップダウンリストで、ホスト VPC にマッピングするトランジット VPC を選択します。

       4. [VPN] ドロップダウンリストで、マッピングを配置するオーバーレイネットワーク内のサービス VPN を選択します。

       5. Cisco SD-WAN Manager がホスト VPC ルートテーブルにルートを自動的に伝達する場合は、[Route Propagation] オプションを有効にします。

          デフォルトでは、[Route Propagation] は無効になっています。

       6. [Map VPCs] をクリックします。

   数分後に [Task View] 画面が表示されるので、ホスト VPC がトランジット VPC にマッピングされたことを確認します。

ステップ 1

Cisco SD-WAN Manager のメニューから、[Configuration] > [Cloud OnRamp for IaaS] を選択します。

ステップ 2

[Add New Cloud Instance] をクリックします

ステップ 3

[Microsoft Azure] オプションボタンをクリックします。

ステップ 4

次のポップアップ画面で、次の手順を実行します。

1. [Subscription ID] フィールドに、Cisco Catalyst SD-WAN Cloud OnRamp for IaaS ワークフローの一環として使用する Microsoft Azure サブスクリプションの ID を入力します。

2. [Client ID] フィールドに既存のアプリケーションの ID を入力するか、新しいアプリケーションを作成します。アプリケーションを作成するには、[Azure Active Directory] > [App Registrations] > [New registration] に移動します。アプリケーションの作成の詳細については、Microsoft Azure のドキュメントを参照してください。

3. [Tenant ID] フィールドに、アカウントの ID を入力します。テナント ID を見つけるには、Microsoft Azure Active Directory に移動し、[Properties] をクリックします。

4. [Secret Key] フィールドに、クライアント ID に関連付けられたパスワードを入力します。

5. [Environment] フィールドで、[commercial] または [GovCloud] を選択します。

   デフォルトでは、[commercial] 環境が選択されています。環境の仕様に基づいて地理的な場所を選択できます。

6. [ログイン（Login）] をクリックします。

ステップ 5

[Choose Location] ドロップダウンリストから、トランジット VNet を作成する場所を選択します。

ステップ 6

トランジット VNet を追加します。

1. [Transit VNet Name] フィールドに、トランジット VNet の名前を入力します。

   名前には、32 文字の英数字、ハイフン（–）、および下線（_）を含めることができます。スペースやその他の文字を含めることはできません。

2. [Device Information] で、トランジット VNet に関する情報を入力します。

   1. [WAN Edge Version] ドロップダウンリストで、トランジット VNet で実行するソフトウェアバージョンを選択します。このドロップダウンリストには、Microsoft Azure マーケットプレイスで公開されているデバイスソフトウェアのバージョンが含まれています。

   2. [Size of Transit WAN Edge] ドロップダウンリストで、トランジット VNet で実行される各 Cisco Catalyst SD-WAN クラウドデバイスに使用できるメモリと CPU を決定するオプションを選択します。

      • 『Cisco CSR 1000v Deployment Guide for Microsoft Azure』の Cisco CSR1000V の「Supported Instance Types」を参照してください。

      • 「Deploying Cisco Catalyst 8000V on Microsoft Azure」の Cisco Catalyst 8000V の「Supported Instance Types」を参照してください。

      （注）	次のサイズを選択することを推奨します。 Cisco CSR1000V および Cisco Catalyst 8000V には、4 つ以上の vCPU を持つ DS3 インスタンスタイプを選択します（[Standard DS3 v2 (4vCPU)] など）。

   3. ダイレクト インターネット アクセス（DIA）用にトランジット VNet デバイスを設定するには、次のいずれかをクリックします。

      • [Disabled]：インターネットアクセスなし。

      • [Enabled via Transport]：デバイスの WAN インターフェイスに対して NAT を設定または有効化します。

      • [Enabled via Umbrella SIG]：デバイスでセキュアな DIA を有効にするように Cisco Umbrella を設定します。

   4. [Device 1] ドロップダウンリストで、最初のデバイスのシリアル番号を選択します。

   5. [Device 2] ドロップダウンリストで、デバイスペアの 2 番目のデバイスのシリアル番号を選択します。

   6. より具体的な設定オプションを入力する場合は、[Advanced] をクリックします。

   7. [Transit VNet CIDR] フィールドに、16 ～ 25 の範囲のネットワークマスクを持つカスタム CIDR を入力します。このフィールドを空のままにすると、トランジット VNet はデフォルト CIDR の 10.0.0.0/16 を使用して作成されます。

3. [Save and Finish] をクリックしてトランジット VNet の設定を完了するか、必要に応じて [Proceed to Discovery and Mapping] をクリックしてウィザードを続行します。

ステップ 7

ホスト VNet をトランジット VNet にマッピングします。

1. [Select an account to discover] ドロップダウンリストで、Azure サブスクリプション ID を選択します。

   または、ホスト VNet を検出する新しい Azure アカウントを追加するには、[New Account] をクリックします。

2. [Discover Host VNets] をクリックします。

3. [Select a VNet] ドロップダウンリストで、目的のホスト VNet を選択します。

4. [Next] をクリックします。

5. ホスト VNet のテーブルから、目的のホスト VNet を選択します。

6. [Map VNets] をクリックします。[Map Host VNets] ポップアップが表示されます。

7. [Transit VNet] ドロップダウンリストで、ホスト VNet にマッピングするトランジット VNet を選択します。

8. [VPN] ドロップダウンリストで、マッピングを配置するオーバーレイネットワーク内の VPN を選択します。

9. [IPSec Tunnel CIDR] セクションで、Azure Virtual Network トランジットに到達するように IPSec トンネルを設定するには、Cisco CSR1000V または Cisco Catalyst 8000V デバイスのそれぞれに対して、インターフェイス IP アドレスの 2 つのペアと、ループバック IP アドレスのペアを入力します。IP アドレスが /30 サブネット内のネットワークアドレスであり、オーバーレイネットワーク全体で一意であり、ホスト VNet CIDR の一部ではないことを確認します。ホスト VNet CIDR の一部である場合、トランジット VNet への VPN 接続を作成しようとすると、Microsoft Azure からエラーが返されます。

   （注）	IP アドレスは、ホスト VNet およびトランジット VPC CIDR の一部ではありません。

   Microsoft Azure は、IPSec トンネルを介した単一の仮想プライベートゲートウェイ（VGW）の設定をサポートし、単一のトンネルを介して冗長性を提供します。そのため、Cisco Catalyst SD-WAN Cloud OnRamp for IaaS は冗長性のために 2 つの VGW をサポートしています。VGW の計画的なメンテナンスまたは計画外のイベント中に、VGW からクラウドデバイスへの IPSec トンネルが切断されます。この接続が失われると、クラウドデバイスは IPSec トンネルを介した Cisco SD-WAN Manager との BGP ピアリングを失います。IPSec トンネルの IP アドレスではなくクラウドルータとの BGP ピアリングを有効にするには、各クラウドデバイスにループバックアドレスを指定します。

   （注）	BGP ピアリングのループバックオプションは、Azure クラウドでの単一および複数の仮想ゲートウェイ、カスタマーゲートウェイ、またはその両方の設定をサポートしています。ループバックオプションは、トランジット VNet にマッピングされた新しいホスト VNet にのみ適用され、既存の VNet には適用されません。

10. [Azure Information] セクションで、次の手順を実行します。

    1. [BGP ASN] フィールドに、ホスト VNet 内で起動される Azure Virtual Network ゲートウェイで設定する ASN を入力します。Azure の既存の設定に含まれていない ASN を使用します。許容可能な ASN 値については、Microsoft Azure のドキュメントを参照してください。

    2. [Host VNet Gateway Subnet] フィールドに、仮想ネットワークゲートウェイを配置できるホスト VNet サブネットを入力します。/28 以上のサブネットを使用することを推奨します。VNet 内にすでに作成されているサブネットは指定しないでください。

       （注）	ホスト VNet CIDR 内に未使用の CIDR があることを確認します。

11. [Map VNets] をクリックします。

12. [Save and Complete] をクリックします。