仮想デー タ ・ セ ン タ ーにおける
セキ ュ ア ・ マルチテナン ト 環境の設計
2009 年 12 月 7 日
は じ めに
本 ド キ ュ メ ン ト の概要
Cisco、 VMware、 NetApp は、 3 社共同で業界最高 レ ベルのセ キ ュ ア ・ ク ラ ウ ド ・ アーキ テ ク
チ ャ を設計 し 、 ラ ボ環境で検証 を行い ま し た。 本 ド キ ュ メ ン ト では、 こ のセ キ ュ ア ・ ク ラ ウ
ド ・ アーキ テ ク チ ャ の設計 と 、 背景 と な る デザ イ ン について説明 し ます。 導入環境は ど れ も す
べて異な る ため、 設計の説明では、 導入に先だ っ て解決が必要 と な る 問題について取 り 上げ ま
す。 ま た、 本 ド キ ュ メ ン ト では、 今回の アーキ テ ク チ ャ が解決す る 問題 と 、 セ キ ュ ア ・ ク ラ ウ
ド 環境の 4 つのポ イ ン ト につい て も 説明 し ま す。
対象読者
本 ド キ ュ メ ン ト が対象 と す る 主な読者は、 Cisco、 NetApp、 VMware が提供す る 最高のセ キ ュ
ア ・ マルチテナ ン ト 環境の導入 を検討す る セール ス ・ エ ン ジ ニ ア、 フ ィ ール ド ・ コ ン サル タ ン
ト 、 プ ロ フ ェ ッ シ ョ ナル ・ サー ビ ス 担当者、 IT マ ネージ ャ ー、 パー ト ナー ・ エ ン ジ ニ ア リ ン グ
部門、 お客様な ど です。
目的
本 ド キ ュ メ ン ト は、 セ キ ュ ア ・ マルチテナ ン ト 環境に対応 し た仮想 IT as a Service （ITaaS） に
ついて、 設計上の考慮事項 と 、 設計、 導入、 バ ッ ク ア ッ プ を実行す る う え で必要 と な る 検証作
業 を詳 し く 説明す る こ と を目的 と し てい ます。
米国本社：
Cisco Systems, Inc., 170 West Tasman Drive, San Jose, CA 95134-1706 USA
© 2009 Cisco Systems, Inc. All rights reserved.
はじ めに
具体的な問題点
現在、 従来型の IT モデルには、 互いに連携し な い別々のサイ ロ にリ ソ ース が配置さ れて いる こ
と から 、 利用率の低下や全体的な 非効率化を 招いて いる ほか、 変化する ビ ジ ネス ・ ニ ーズ にす
ばやく 対応でき な いと いう 問題が見ら れま す。 データ ・ セン タ ー内では、 サーバが設置さ れて
いる エリ ア と 、 ネッ ト ワ ーク ・ ス イ ッ チやス ト レ ージ ・ ア レ イ が設置さ れて いる エリ ア が分か
れて いま す。 多く の場合、 さ ま ざ ま な ビ ジ ネス ・ ユニ ッ ト がほぼ同じ 種類の機器を 所有し 、 そ
れを ほぼ同じ 方法で、 同じ データ ・ セン タ ー構成で使用し て いる にも かかわら ず、 他のグ ルー
プと プロ セス やデータ を 分け る た めに、 それぞれ独立し た 物理シ ス テ ム を 必要と し て いま す。
こ う し た分離は、 多 く の場合は非効率化 を招 く う え、 IT サー ビ ス の提供方法が複雑化 し て、 業
務 と の連動性が犠牲 と な る 原因にな っ てい ます。 IT を取 り 巻 く 環境は急速に変化 し てお り 、 企
業や IT プ ロ バ イ ダ では、 コ ス ト 削減への圧力、 製品開発期間の短縮、 従業員の生産性向上 と
い っ た課題 を解決す る ために、 革新的な戦略の展開が不可欠にな っ てい ます。
現在、 異な る ビ ジ ネ ス ・ ユニ ッ ト 間では、 物理的にサーバ ・ ラ ッ ク やネ ッ ト ワ ー ク を分け る こ
と に よ っ て、 サーバ、 ネ ッ ト ワ ー ク 、 ス ト レージ を分離す る のが一般的です。 セ キ ュ ア ・ マル
チテナ ン ト 型の仮想 ITaaS を導入す る と 、 ど の ビ ジ ネ ス ・ ユ ニ ッ ト で も 、 従来の物理 ト ポ ロ ジ
と ま っ た く 同 じ 「ル ッ ク ・ ア ン ド ・ フ ィ ール」 を保 っ た ま ま、 仮想環境 を通 じ て透過的に業務
を遂行す る こ と が可能 と な り ます。
エン ド ・ ユーザから は、 各シ ス テ ム には依然と し て 専用のネッ ト ワ ーク と ス ト レ ージ が備わり 、
分離さ れて いる よ う に見え ま す。 た だし こ の場合、 シ ス テ ム を 分けて いる のはサーバ・ ラ ッ ク
ではな く 、 セキ ュ ア ・ マルチテ ナン ト 環境です。 サーバ、 ネッ ト ワ ーク 、 ス ト レ ージ はすべて 、
引き 続き セキ ュ ア に分離さ れ、 場合によ っ て は従来の環境よ り も 厳密な 分離が可能です。
ま た、 ビ ジ ネ ス ・ ユニ ッ ト でサーバの増設が必要にな っ た場合は、 既存環境に追加の仮想マ シ
ン を い く つか 「す ぐ に用意」 す る よ う IT チー ム に依頼す る だけで済み、 導入のたびに新 し い
機器 を物理的に発注す る 必要が あ り ません。
設計の概要
ク ラ ウ ド ・ コ ン ピ ュ ーテ ィ ン グ を利用す る と 、 デー タ ・ セ ン タ ー内か ら 従来のサ イ ロ を排除す
る こ と がで き る ため、 一歩進んだ IT の柔軟性 と 拡張性が も た ら さ れ ます。 こ の柔軟性に よ り 、
IT を取 り 巻 く 環境の急速な変化、 コ ス ト 削減への圧力、 製品開発期間の短縮な ど、 企業や IT
サー ビ ス ・ プ ロ バ イ ダが直面す る 課題が解消 さ れ ます。 今必要 と さ れてい る のは、 Service
Level Agreement （SLA; サー ビ ス レベル契約） に基づいて、 IT 部門が新 し いサー ビ ス を迅速に
コ ス ト 効率良 く プ ロ ビ ジ ョ ニ ン グ で き る 、 拡張性、 柔軟性、 透過性 を備え た ク ラ ウ ド ・ アーキ
テ ク チ ャ で あ り 、 IT 要件 と ポ リ シーに準拠 し 、 求め ら れ る 高水準の利用率 を維持 し なが ら 変化
に動的に対応 し 、 同時にセ キ ュ リ テ ィ と 優れたパ フ ォ ーマ ン ス を提供す る 機能です。
National Institute of Standards and Technology （NIST） に よ れば、 ク ラ ウ ド ・ コ ン ピ ュ ーテ ィ ン グ
と は、 構成可能な コ ン ピ ュ ーテ ィ ン グ ・ リ ソ ー ス （ネ ッ ト ワ ー ク 、 サーバ、 ス ト レージ、 ア プ
リ ケーシ ョ ン、 サー ビ ス な ど） の共有プールに、 必要に応 じ て ネ ッ ト ワ ー ク 経由で簡単に ア ク
セ ス で き る モデルで あ り 、 迅速な プ ロ ビ ジ ョ ニ ン グ が可能で、 管理作業やサー ビ ス ・ プ ロ バ イ
ダ と のや り 取 り が最小限で済む も の、 と 定義 さ れてい ます。 こ の ク ラ ウ ド ・ モデルは可用性向
上に役立ち、 3 つのサー ビ ス ・ モデル と 4 つの導入モデルで構成 さ れてい ま す。
2
は じ めに
サービ ス ・ モデル
•
Software as a Service （SaaS） ク ラ ウ ド — 利用者は こ のサー ビ ス に よ り 、 ク ラ ウ ド ・ イ ン フ
ラ 上で実行 さ れ る プ ロ バ イ ダの ア プ リ ケーシ ョ ン を利用で き ます。 対象の ア プ リ ケーシ ョ
ン には、 さ ま ざ ま な ク ラ イ ア ン ト ・ デバ イ ス か ら 、 Web ブ ラ ウ ザな ど のシ ン ク ラ イ ア ン
ト ・ イ ン タ ー フ ェ イ ス を通 じ て ア ク セ ス で き ます。 利用者は、 ネ ッ ト ワ ー ク 、 サーバ、 オ
ペ レーテ ィ ン グ ・ シ ス テ ム、 ス ト レージ と い っ た基盤 と な る ク ラ ウ ド ・ イ ン フ ラ は も ち ろ
ん、 各ア プ リ ケーシ ョ ン機能について も 管理や制御 を行 う こ と はあ り ません （ただ し 、
ユーザ固有の ア プ リ ケーシ ョ ン構成については、 限 ら れた範囲で設定が必要 と な る 場合が
あ り ます）。 代表的な例 と し ては、 Microsoft、 Yahoo、 Google が提供 し てい る よ う な、 Web
ブ ラ ウ ザに よ る E メ ール閲覧が挙げ ら れ ます。
•
Platform as a Service （PaaS） ク ラ ウ ド — 利用者は こ のサー ビ ス に よ り 、 自身が作成 し た、
ま たは自身が所有す る ア プ リ ケーシ ョ ン を、 ク ラ ウ ド ・ イ ン フ ラ 上に導入で き ます。 対象
の ア プ リ ケーシ ョ ン は、 プ ロ バ イ ダがサポー ト す る プ ロ グ ラ ミ ン グ言語 と ツール を使用 し
て作成 さ れ る 必要が あ り ます。 利用者は、 ネ ッ ト ワ ー ク 、 サーバ、 オペ レーテ ィ ン グ ・ シ
ス テ ム、 ス ト レージ と い っ た基盤 と な る ク ラ ウ ド ・ イ ン フ ラ を管理 ま たは制御す る こ と は
あ り ません。 ただ し 、 導入 し た ア プ リ ケーシ ョ ン は自身で管理 し 、 ア プ リ ケーシ ョ ン の ホ
ス テ ィ ン グ環境の設定 も 自身で行 う 場合が あ り ます。 代表的な例 と し ては、 Rackspace や
GoDaddy な ど、 Web ページ用のサーバ ・ ス ペー ス を有償で提供す る ホ ス テ ィ ン グ ・ プ ロ バ
イ ダが挙げ ら れ ます。
•
Infrastructure as a Service （IaaS） ク ラ ウ ド — 利用者は こ のサー ビ ス に よ り 、 サーバ、 ス ト
レージ、 ネ ッ ト ワ ー ク な ど の基本的な コ ン ピ ュ ーテ ィ ン グ ・ リ ソ ー ス を プ ロ ビ ジ ョ ニ ン グ
で き る と と も に、 オペ レーテ ィ ン グ ・ シ ス テ ムやア プ リ ケーシ ョ ン も 含めて任意の ソ フ ト
ウ ェ ア を導入 し 、 実行で き ます。 利用者は、 基盤 と な る ク ラ ウ ド ・ イ ン フ ラ を管理 ま たは
制御す る こ と はあ り ません。 ただ し 、 オペ レーテ ィ ン グ ・ シ ス テ ム、 ス ト レージ、 導入 し
た ア プ リ ケーシ ョ ン は自身で管理 し 、 一部のネ ッ ト ワ ーキ ン グ ・ コ ン ポーネ ン ト （ホ ス ト
の フ ァ イ ア ウ ォ ールな ど） について も 、 限 ら れた範囲で制御で き る 場合が あ り ます。 本設
計ガ イ ド では、 特に こ のサー ビ ス について説明 し ます。
•
プ ラ イ ベー ト ・ ク ラ ウ ド — あ る 組織のためだけに運用 さ れ る ク ラ ウ ド ・ イ ン フ ラ 。 その組
織自身、 も し く はサー ド ・ パーテ ィ に よ っ て管理 さ れ、 設置場所は社内の場合 と 社外の場
合が あ り ます
•
コ ミ ュ ニ テ ィ ・ ク ラ ウ ド — 複数の組織で共有 さ れ る ク ラ ウ ド ・ イ ン フ ラ で、 共通の関心事
項 （ ミ ッ シ ョ ン、 セ キ ュ リ テ ィ 要件、 ポ リ シー、 コ ン プ ラ イ ア ン ス に関す る 考慮事項な ど）
を持つ特定の コ ミ ュ ニ テ ィ を サポー ト し ます。 共有す る 組織自身、 も し く はサー ド ・ パー
テ ィ に よ っ て管理 さ れ、 設置場所は社内の場合 と 社外の場合が あ り ます。
•
パブ リ ッ ク ・ ク ラ ウ ド — 一般の人々、 ま たは大規模な業界グループが利用で き る ク ラ ウ
ド ・ イ ン フ ラ で、 ク ラ ウ ド ・ サー ビ ス を有償で提供す る 組織に よ っ て所有 さ れてい ます。
•
ハ イ ブ リ ッ ド ・ ク ラ ウ ド — 2 つ以上の ク ラ ウ ド （プ ラ イ ベー ト 、 コ ミ ュ ニ テ ィ 、 パブ リ ッ
ク ） で構成 さ れた ク ラ ウ ド ・ イ ン フ ラ 。 各 ク ラ ウ ド は互いの独立性 を維持 し なが ら も 、
デー タ と ア プ リ ケーシ ョ ン の移行 を行 う 標準化 さ れた テ ク ノ ロ ジ ま たは独自仕様のテ ク ノ
ロ ジ （ ク ラ ウ ド 間で負荷 を分散す る ための ク ラ ウ ド ・ バー ス テ ィ ン グ な ど） に よ っ て連携
さ れてい ます。
導入モデル
現在、 多 く の企業 と IT サー ビ ス ・ プ ロ バ イ ダが、 パブ リ ッ ク 環境 と プ ラ イ ベー ト 環境向けの
さ ま ざ ま な ク ラ ウ ド ・ サー ビ ス を開発 し てい ます。 タ ーゲ ッ ト と す る ク ラ ウ ド ・ サー ビ ス がパ
ブ リ ッ ク で あ る かプ ラ イ ベー ト で あ る かにかかわ ら ず、 こ う し た取 り 組みには次の よ う な共通
の目的が あ り ます。
•
高価な イ ン フ ラ を コ ス ト 効率良 く 利用す る こ と で、 運用効率 を向上 さ せ る
•
リ ソ ー ス の共有に よ り 、 ス ケール ・ メ リ ッ ト を拡大す る
•
顧客環境 ま たはア プ リ ケーシ ョ ン を短時間ですばや く 導入す る
3
はじ めに
•
標準化に よ り 、 サー ビ ス 品質向上 と 迅速なサー ビ ス の提供 を実現す る
•
共有 リ ソ ー ス を最大限効率的に利用 し 、 エネルギー消費量 を抑え る こ と で、 グ リ ー ン ・ コ
ン ピ ュ ーテ ィ ン グ を推進す る
以上の目標の達成は、 収益性、 生産性、 製品品質に大 き な プ ラ ス 効果 を も た ら し ます。 ただ
し 、 ク ラ ウ ド サー ビ ス ・ アーキ テ ク チ ャ で共有の イ ン フ ラ と リ ソ ー ス を活用す る こ と に よ り 、
新た な課題 も 生 ま れ ます。 IT サー ビ ス ・ プ ロ バ イ ダでは、 管理面での柔軟性の高 さ が求め ら れ
る と 同時に、 顧客環境やア プ リ ケーシ ョ ン環境 を セ キ ュ ア に分離す る 必要 も あ る ため、 ク ラ ウ
ド ・ アーキ テ ク チ ャ が広 く 採用 さ れ る には至 っ てい ません。
企業の IT の規模、 複雑性、 サー ビ ス の多様性が大幅に拡大す る につれ、 ア プ リ ケーシ ョ ン環
境や顧客環境 を、 サ イ ロ 状の専用 イ ン フ ラ に導入す る こ と が多 く な っ てい ます。 こ う し たサ イ
ロ は、 特定の ア プ リ ケーシ ョ ン、 顧客環境、 事業組織、 運用要件、 コ ン プ ラ イ ア ン ス （SOX
法、 HIPAA、 PCI） な ど に基づい て構築 さ れ る か、 独自仕様の特定のデー タ につい て、 機密保
持要件 を満たす よ う に構築 さ れ ます。 こ れには、 次の よ う な場合が考え ら れ ます。
•
大規模な企業で、 人事情報、 財務情報、 顧客の ク レ ジ ッ ト ・ カー ド 情報な ど を他か ら 分離
す る 必要が あ る 場合
•
外部委託のプ ロ ジ ェ ク ト 向けに社外公開 し た リ ソ ー ス を、 企業内部の環境 と 分離す る 必要
が あ る 場合
•
医療関連機関で、 患者の記録の機密性 を確保す る 必要が あ る 場合
•
大学で、 学生ユーザ向けサー ビ ス と 、 業務運営情報、 学生管理シ ス テ ム、 営利目的 ま たは
機密性の高い研究プ ロ ジ ェ ク ト を分け る 必要が あ る 場合
•
通信業やサー ビ ス ・ プ ロ バ イ ダ で、 課金、 CRM、 支払いの各シ ス テ ムや、 代理店向け ポー
タ ル、 ホ ス テ ィ ン グ環境な ど を分離す る 必要が あ る 場合
•
金融機関で、 顧客情報 を、 投資、 ホールセール、 リ テールの各種バ ン キ ン グ ・ サー ビ ス か
ら セ キ ュ ア に分離す る 必要が あ る 場合
•
政府機関で、 歳入記録、 司法関連デー タ 、 社会事業情報、 運用シ ス テ ム な ど を分け る 必要
が あ る 場合
こ う し た環境 を ク ラ ウ ド ・ アーキ テ ク チ ャ に移行で き る よ う にす る には、 共有 リ ソ ー ス が も た
ら す管理面の利点や優れた柔軟性 を維持 し なが ら 、 セ キ ュ ア な分離 を実現す る こ と が必要にな
り ます。 プ ラ イ ベー ト ・ ク ラ ウ ド と パブ リ ッ ク ・ ク ラ ウ ド のプ ロ バ イ ダはいずれ も 、 すべての
顧客デー タ 、 通信、 ア プ リ ケーシ ョ ン環境 を、 他のテナ ン ト か ら セ キ ュ ア に分離、 保護で き な
く てはな り ません。 テナ ン ト 同士 を完全に分離 し て セ キ ュ リ テ ィ を徹底 し 、 各テナ ン ト か ら 別
のテナ ン ト の存在がわか ら ない よ う にす る 必要が あ り ます。 ま た、 プ ラ イ ベー ト ・ ク ラ ウ ド の
プ ロ バ イ ダは、 組織の構造、 ア プ リ ケーシ ョ ン要件、 コ ン プ ラ イ ア ン ス に応 じ て、 セ キ ュ ア な
分離 を実現す る 必要が あ り ます。
と こ ろ が、 耐障害性 を備え た柔軟な リ ソ ー ス 管理機能 を提供 し 、 同時に こ う し た セ キ ュ ア な分
離機能 も 提供で き る と い う 確証がないため、 それが ク ラ ウ ド ・ サー ビ ス ・ モデルの広範な普及
を妨げ る 大 き な要因 と な っ てい ます。 NetApp、 Cisco、 VMware は、 コ ン ピ ュ ーテ ィ ン グ、
ネ ッ ト ワ ー ク 、 ス ト レージに関す る 各種の包括的テ ク ノ ロ ジ を組み合わせた強力な イ ン フ ラ ・
ソ リ ュ ーシ ョ ン を共同で開発 し ま し た。 こ の ソ リ ュ ーシ ョ ン では、 共有 リ ソ ー ス の動的な管理
が容易に行え る だけで な く 、 セ キ ュ ア に分離 さ れた環境 を維持す る こ と も で き ます。
VMware® vSphere、 VMware® vShield、 Cisco Unified Computing System、 Cisco Nexus ス イ ッ チ、
Cisco MDS ス イ ッ チ、 NetApp Data Motion™ を統合 し た NetApp® MultiStore® を併用す る こ と
で、 ど ん な規模の ク ラ ウ ド 環境において も 、 セ キ ュ ア な分離 と 柔軟性 と い う 難 し い要件 を満た
す強力な ソ リ ュ ーシ ョ ン が実現 し ま し た。
従来の共有ホ ス テ ィ ン グ （社内、 社外） と 標準的な IaaS ク ラ ウ ド ・ サー ビ ス の主な相違点の 1
つに、 ユーザに許可 さ れ る 制御機能の レベルが挙げ ら れ ます。 従来の ホ ス テ ィ ン グ ・ サー ビ ス
では、 ア プ リ ケーシ ョ ンやプ ラ ッ ト フ ォ ー ム の一般的な管理権限が与え ら れ ますが、 IaaS 環境
では通常、 さ ま ざ ま な コ ン ピ ュ ーテ ィ ン グ ・ リ ソ ー ス を よ り 広範に制御で き ます。 セ キ ュ ア な
ク ラ ウ ド ・ アーキ テ ク チ ャ では、 さ ら にユーザの制御範囲が拡大 し て、 コ ン ピ ュ ーテ ィ ン グ ・
プ ラ ッ ト フ ォ ー ム、 ネ ッ ト ワ ー ク 接続、 ス ト レージ ・ リ ソ ー ス 、 デー タ 管理な ど、 環境全体 を
エ ン ド ツーエ ン ド で管理で き ます。 サー ビ ス ・ プ ロ バ イ ダ と 企業は、 こ の アーキ テ ク チ ャ を利
4
アーキテ ク チ ャ の概要
用す る こ と で、 ア プ リ ケーシ ョ ン環境全体 を カバーす る 、 一歩進んだ制御機能 を ユーザに対 し
て セ キ ュ ア に提供で き ます。 独自の分離テ ク ノ ロ ジ と 、 柔軟性に優れた広範な管理機能が組み
合わ さ れた こ と で、 IT プ ロ バ イ ダは ク ラ ウ ド ・ コ ン ピ ュ ーテ ィ ン グ のすべての利点 を活用 し 、
マルチテナ ン ト の顧客環境や統合 さ れた ア プ リ ケーシ ョ ン環境に対 し て、 自信 を持 っ てハ イ ・
レベルな セ キ ュ リ テ ィ と サー ビ ス を提供で き る よ う にな り ま し た。
アーキテ ク チ ャの概要
ク ラ ウ ド ・ アーキ テ ク チ ャ の基本的な特徴の 1 つに、 リ ソ ー ス のプール機能が あ り ま す。 プ ロ
バ イ ダのサーバ ・ リ ソ ー ス 、 ネ ッ ト ワ ー ク ・ リ ソ ー ス 、 ス ト レージ ・ リ ソ ー ス は、 マルチテナ
ン ト ・ モデル を使用す る 複数の利用者に提供す る ためにプール さ れ、 利用者の要求に応 じ て、
さ ま ざ ま な物理 リ ソ ー ス や仮想 リ ソ ー ス の割 り 当て と 再割 り 当てが動的に実行 さ れ ます。 ユー
ザには リ ソ ー ス がプール さ れてい る よ う には見え ないため、 通常、 提供 さ れ る リ ソ ー ス の正確
な場所 を指定 し た り 確認 し た り す る こ と はあ り ません。 ただ し 、 抽象化の高次の レベル （国、
州、 ま たはデー タ ・ セ ン タ ーな ど） では場所 を指定で き る こ と が あ り ます。 リ ソ ー ス には、 ス
ト レージ、 サーバ、 メ モ リ 、 ネ ッ ト ワ ー ク 帯域幅、 仮想マ シ ン な ど が あ り ます。
ク ラ ウ ド の コ ン ピ ュ ーテ ィ ン グ ・ リ ソ ー ス 、 ネ ッ ト ワ ー ク ・ リ ソ ー ス 、 ス ト レージ ・ リ ソ ー ス
の利用契約 を結んだ各テナ ン ト には、 所定の SLA が保証 さ れ ま す。 ビ ジ ネ ス ・ モデルや組織
の階層構造に よ っ ては、 あ る テナ ン ト の SLA 要件がほかのテナ ン ト よ り 高 く な る こ と も あ り
ます。 た と えば、 テナ ン ト A では、 コ ン ピ ュ ーテ ィ ン グ ・ リ ソ ー ス と ネ ッ ト ワ ー ク 帯域幅がテ
ナ ン ト B よ り も 要件が高 く な る のに対 し 、 テナ ン ト B では、 ス ト レージ容量に よ り 高い要件 を
抱え てい る 場合が あ り ます。 今回の アーキ テ ク チ ャ では、 こ の環境内のテナ ン ト に対 し て契約
済みの SLA が適切に満た さ れ、 同時に、 テナ ン ト のデー タ 、 通信、 ア プ リ ケーシ ョ ン と い っ
た環境が他のテナ ン ト か ら セ キ ュ ア に分離、 保護 さ れ る よ う 保証す る こ と を第一の目標 と し て
い ます。
図1
アーキテ ク チ ャの概要
5
ア ーキテ ク チャ の概要
4 つのポ イ ン ト について
堅牢なデザ イ ン • アーキ テ ク チ ャ の開発に あ た っ て鍵 と な る のは、 要件 を明確に定義 し 、 実績
の あ る テ ク ノ ロ ジ と デザ イ ン を適用す る こ と です。 次に示す 4 つの要件が、 セ キ ュ ア ・ ク ラ ウ
ド ・ アーキ テ ク チ ャ のポ イ ン ト と し て定義 さ れ ま し た。
6
•
可用性 ： 障害発生時に も 、 期待 さ れ る コ ン ピ ュ ーテ ィ ン グ、 ネ ッ ト ワ ー ク 、 ス ト レージの
機能 を イ ン フ ラ が常に提供 し ます。 「セ キ ュ ア な分離」 のポ イ ン ト と 同様に、 レ イ ヤ ご と に
固有の方法でハ イ ・ アベ イ ラ ビ リ テ ィ 構成 を実現 し ます。 こ の構成は、 隣接 レ イ ヤ と シー
ム レ ス に連携 し ます。 階層型ア プ ロ ーチ を使用す る と 、 セ キ ュ リ テ ィ と 可用性 を最 も 効果
的に導入で き ます。
•
セ キ ュ ア な分離 ： 各テナ ン ト が、 VM （仮想マ シ ン）、 ネ ッ ト ワ ー ク 帯域幅、 ス ト レージ な
ど、 他のテナ ン ト の リ ソ ー ス にはア ク セ ス で き ない よ う に し ます。 ア ク セ ス 制御、 VLAN
セ グ メ ン ト 化、 仮想 ス ト レージ ・ コ ン ト ロ ー ラ な ど の技術 を利用 し て、 各テナ ン ト がセ
キ ュ ア に分離 さ れてい る 必要が あ り ます。 ま た、 レ イ ヤ ご と にポ リ シー を適用す る ための
手法 を それぞれに用意 し ます。 こ のポ リ シーは、 隣接 レ イ ヤのポ リ シー を強化す る 役目 も
果た し ます。
•
サー ビ ス 保証 ： 状態が安定 し てい る か不安定かにかかわ ら ず、 コ ン ピ ュ ーテ ィ ン グ、 ネ ッ
ト ワ ー ク 、 ス ト レージ で、 他か ら の影響 を受け ない一定のパ フ ォ ーマ ン ス を実現 し ます。
た と えば、 ネ ッ ト ワ ー ク では、 Quality of Service （QoS; サー ビ ス 品質） に基づいて各テナ
ン ト に一定の帯域幅 を提供 し 、 VMware 内の リ ソ ー ス ・ プールでは、 CPU リ ソ ー ス や メ モ
リ ・ リ ソ ー ス の調整 と 保証 を可能に し ます。 同時に、 FlexShare で、 ス ト レージ ・ ボ リ ュ ー
ム間の リ ソ ー ス 競合 を調整 し ます。
•
マネ ジ メ ン ト ： リ ソ ー ス の迅速な プ ロ ビ ジ ョ ニ ン グ と 管理や、 リ ソ ー ス の可用性の確認に
必要です。 現行の構成では、 それぞれの レ イ ヤが、 VMware vCenter、 Cisco UCS Manager、
Cisco DC Network Manager、 NetApp Operations Manager を通 じ て管理 さ れ ま す。
アーキテ ク チ ャ の概要
アーキテ ク チ ャのコ ンポーネン ト
図2
アーキテ ク チ ャの コ ンポーネン ト
コ ン ピ ュ ーテ ィ ング
VMware vSphere と vCenter Server
VMware vSphere と vCenter Server は、 VMware vSphere 環境のすべての ア プ リ ケーシ ョ ン と
サー ビ ス に対 し て、 最高 レベルの可用性 と 応答性 を提供 し ます。 VMware vSphere は、 デー タ ・
セ ン タ ーの仮想化に対応 し たプ ラ ッ ト フ ォ ー ム と し て、 業界最高 レベルの信頼性 を誇 り ます。
ベー ス に あ る ハー ド ウ ェ ア か ら ビ ジ ネ ス ・ ク リ テ ィ カルな ア プ リ ケーシ ョ ン を切 り 離 し 、 従来
にない柔軟性 と 信頼性 を実現す る こ と に よ り 、 最適な IT サー ビ ス を提供 し 、 最高 レベルの ア
プ リ ケーシ ョ ン ・ サー ビ ス 契約 を実現 し つつ、 ア プ リ ケーシ ョ ン ・ ワ ー ク ロ ー ド ご と の総 コ ス
ト を最小限に抑え ます。
VMware vCenter Server は、 仮想化の管理基盤 を形成す る ス ケー ラ ブルで拡張可能なプ ラ ッ ト
フ ォ ー ム を提供 し ます （http://www.vmware.com/solutions/virtualization-management/）。 VMware
vCenter Server （旧称 VMware VirtualCenter） を使用す る と 、 VMware vSphere
（http://www.vmware.com/products/vsphere/） 環境 を集中管理で き る ため、 他の管理プ ラ ッ ト
7
ア ーキテ ク チャ の概要
フ ォ ー ム と 比べて、 仮想環境の管理作業が各段に容易にな り ます。 VMware vCenter Server には
次の特長が あ り ます。
•
仮想 イ ン フ ラ に対 し て、 すべての レベルでの集中管理 と 可視化 を実現
•
プ ロ ア ク テ ィ ブ ・ マネ ジ メ ン ト を通 じ て、 vSphere の機能 を最大限に活用
•
広範なパー ト ナー ・ エ コ シ ス テ ム に よ る ス ケー ラ ブルで拡張可能な管理プ ラ ッ ト フ ォ ー ム
詳細については、 http://www.vmware.com/products/ を参照 し て く だ さ い。
VMware vShield
VMware vShield Zones は、 集中管理 さ れた ス テー ト フ ルな分散型の仮想 フ ァ イ ア ウ ォ ールで
す。 vSphere 4.0 にバ ン ド ル さ れてお り 、 ESX ホ ス ト の近接性 と 仮想ネ ッ ト ワ ー ク の可視化 を利
用 し て セ キ ュ リ テ ィ ・ ゾー ン を構築 し ます。 vShield Zones は VMware vCenter に統合 さ れてお
り 、 vNIC、 ポー ト ・ グループ、 ク ラ ス タ 、 VLAN と い っ た仮想 イ ンベ ン ト リ の情報 を活用す る
こ と で、 フ ァ イ ア ウ ォ ールのルール管理 と ト ラ ス ト ・ ゾー ン のプ ロ ビ ジ ョ ニ ン グ を簡単に実行
で き ます。 vShield Zones では VMware の さ ま ざ ま な論理 コ ン テナ を利用す る こ と に よ り 、 マル
チテナ ン ト 環境のセ キ ュ リ テ ィ 保護に必要なルールの数 を大幅に減 ら す こ と がで き ます。 その
結果、 テナ ン ト 間やア プ リ ケーシ ョ ン間の分離 と セ グ メ ン ト 化に伴 う 運用負荷が軽減 さ れ ま
す。 こ の新 し い方法で作成 し た セ キ ュ リ テ ィ ・ ポ リ シーは、 仮想マ シ ン ・ オブジ ェ ク ト と 緊密
に関連付け ら れ る ため、 vMotion の実行時に VM を追跡 し て、 IP ア ド レ ス の変更 と ネ ッ ト ワ ー
ク の再番号割 り 当て を完全に透過的に実行で き ます。 Distributed Resource Scheduler （DRS） ク
ラ ス タ 内で vShield Zones を使用す る と 、 仮想マ シ ン に伴 っ て セ キ ュ リ テ ィ ・ ポ リ シー も 移動す
る ため、 パ フ ォ ーマ ン ス を損な う こ と な く 、 コ ン ピ ュ ーテ ィ ン グ負荷のセ キ ュ ア な分散処理が
行われ ます。
vShield Zones はエ ン ド ポ イ ン ト と IT 資産に対応 し た フ ァ イ ア ウ ォ ールで あ る だけで な く 、 仮
想ネ ッ ト ワ ー ク について マ イ ク ロ フ ロ ー レベルでの レ ポー ト 機能 も 備え てお り 、 仮想 ト ラ
フ ィ ッ ク ・ フ ロ ーの把握 と 監視に重要な役割 を果た し ます。 ま た、 セ キ ュ リ テ ィ 管理者やネ ッ
ト ワ ー ク 管理者が利用す る 豊富な情報に基づいて、 ゾーニ ン グ ・ ポ リ シー を実装 し ます。 こ の
フ ロ ー情報は、 許可 さ れた セ ッ シ ョ ン と ブ ロ ッ ク さ れた セ ッ シ ョ ン に分類 さ れ、 プ ロ ト コ ル、
ポー ト と ア プ リ ケーシ ョ ン、 フ ロ ーの方向 と い っ た さ ま ざ ま な観点か ら 分析 を行い、 イ ンベ ン
ト リ 階層の任意の レベルで確認で き ます。 こ の機能 を さ ら に活用す る と 、 不正なサー ビ ス や禁
止 さ れてい る 仮想マ シ ン の通信 を検出 し 、 コ ン プ ラ イ ア ン ス のための仮想化 ツール と し て利用
で き る ほか、 運用面では、 ア ク セ ス と フ ァ イ ア ウ ォ ール ・ ルール設定の ト ラ ブルシ ュ ーテ ィ ン
グ に役立ち ます。 ユーザ を柔軟に設定で き る ため、 ネ ッ ト ワ ー ク 、 セ キ ュ リ テ ィ 、 vSphere の
管理業務について、 ロ ールベー ス での職務分担が可能にな り ます。
詳細については、 http://www.vmware.com/products/vshield-zones/ を参照 し て く だ さ い。
Cisco UCS と UCSM
Cisco Unified Computing System™ （UCS） はブ レー ド ・ サーバ ・ コ ン ピ ュ ーテ ィ ン グ に対応 し
た画期的な新アーキ テ ク チ ャ です。 Cisco UCS は次世代のデー タ ・ セ ン タ ー ・ プ ラ ッ ト フ ォ ー
ム で あ り 、 コ ン ピ ュ ーテ ィ ン グ、 ネ ッ ト ワ ー ク 、 ス ト レージへの ア ク セ ス 、 仮想化 を統合す る
こ と に よ り 、 Total Cost of Ownership （TCO; 総所有 コ ス ト ） の削減 と 、 ビ ジ ネ ス 即応性の向上
に向け た連携シ ス テ ム を実現 し ます。 こ のシ ス テ ム では、 低遅延で低損失の、 10 ギ ガ ビ ッ ト ・
イ ーサーネ ッ ト ・ ユニ フ ァ イ ド ・ ネ ッ ト ワ ー ク ・ フ ァ ブ リ ッ ク と 、 エ ン タ ープ ラ イ ズ ク ラ ス の
x86 アーキ テ ク チ ャ ・ サーバが統合 さ れてい ま す。 ま た、 統合型の ス ケー ラ ブルな マルチ
シ ャ ーシ ・ プ ラ ッ ト フ ォ ー ム で あ る こ のシ ス テ ム では、 すべての リ ソ ー ス が統合 さ れた管理 ド
メ イ ン に参加 し ます。 Cisco Unified Computing System では、 サーバが 1 台のみの環境 も 、 320
台のサーバ と 数千の仮想マ シ ン を運用す る 環境 も 、 単一のシ ス テ ム と し て管理で き る ため、 規
模拡張に よ る 複雑化が軽減 さ れ ます。 Cisco Unified Computing System を使用す る と 、 仮想化シ
ス テ ム と 非仮想化シ ス テ ム の両方で、 エ ン ド ツーエ ン ド のプ ロ ビ ジ ョ ニ ン グ と 移行がサポー ト
さ れ る ため、 新 し いサー ビ ス の提供 をすばや く 開始 し て、 シ ン プルで信頼性の高い、 セ キ ュ ア
なサー ビ ス を実現で き ます。
8
アーキテ ク チ ャ の概要
UCS のコ ンポーネ ン ト
Cisco Unified Computing System は、 次の コ ン ポーネ ン ト で構成 さ れてい ま す。
•
Cisco UCS 6100 シ リ ーズ ・ フ ァ ブ リ ッ ク ・ イ ン タ ー コ ネ ク ト
（http://www.cisco.com/en/US/partner/products/ps10276/index.html） は、 ラ イ ン レー ト 、 低遅
延、 低損失の、 10 Gbps イ ーサネ ッ ト と Fibre Channel over Ethernet （FCoE） に対応 し た イ
ン タ ー コ ネ ク ト ・ ス イ ッ チ製品 フ ァ ミ リ ーです
•
Cisco UCS 5100 シ リ ーズ ・ ブ レー ド ・ サーバ ・ シ ャ ーシ
（http://www.cisco.com/en/US/partner/products/ps10279/index.html） は、 高 さ 6 RU （ ラ ッ ク ・
ユニ ッ ト ） のエ ン ク ロ ージ ャ で、 最大 8 基のブ レー ド ・ サーバ と 最大 2 基の フ ァ ブ リ ッ
ク ・ エ ク ス テ ン ダ を サポー ト し ます
•
Cisco UCS 2100 シ リ ーズ ・ フ ァ ブ リ ッ ク ・ エ ク ス テ ン ダ
（http://www.cisco.com/en/US/partner/products/ps10278/index.html） は、 ブ レー ド サーバ ・
シ ャ ーシ内でユニ フ ァ イ ド ・ フ ァ ブ リ ッ ク を構築す る 際に使用 し ます。 ブ レー ド ・ サーバ
と フ ァ ブ リ ッ ク ・ イ ン タ ー コ ネ ク ト 間で、 10 Gbps の接続 を それぞれ最大 4 本提供 し ま す。
•
Cisco UCS B シ リ ーズ ・ ブ レー ド ・ サーバ
（http://www.cisco.com/en/US/partner/products/ps10280/index.html） は、 ア プ リ ケーシ ョ ン の
要求に対応 し 、 電力消費量 を イ ン テ リ ジ ェ ン ト に調整す る ほか、 ク ラ ス 最高品質の仮想化
機能 を提供 し ます。
•
Cisco UCS B シ リ ーズ ・ ネ ッ ト ワ ー ク ・ ア ダ プ タ
（http://www.cisco.com/en/US/partner/products/ps10280/index.html） は、 さ ま ざ ま な オプ シ ョ
ン機能 を提供 し 、 仮想化向けに最適化 さ れた ア ダプ タ 、 既存の ド ラ イ バ ・ ス タ ッ ク と の互
換性、 効率的でハ イ パ フ ォ ーマ ン ス な イ ーサネ ッ ト な ど を実現 し ます。
•
Cisco UCS Manager （http://www.cisco.com/en/US/partner/products/ps10281/index.html） は、
Cisco Unified Computing System の集中管理機能 を提供 し ま す。
詳細については、 http://www.cisco.com/en/US/partner/netsol/ns944/index.html を 参照し て く ださ い。
ネ ッ ト ワー ク
Cisco Nexus 7000
Cisco の主要な ス イ ッ チ ン グ ・ プ ラ ッ ト フ ォ ー ム で あ る Cisco Nexus 7000 シ リ ーズは、 デー タ ・
セ ン タ ーに 10 ギ ガ ビ ッ ト ・ イ ーサネ ッ ト と ユ ニ フ ァ イ ド ・ フ ァ ブ リ ッ ク を提供す る ために設
計 さ れたモ ジ ュ ラ 型 ス イ ッ チ ン グ ・ シ ス テ ム です。 こ の新 し いプ ラ ッ ト フ ォ ー ム は、 優れた ス
ケー ラ ビ リ テ ィ 、 運用継続性、 柔軟な転送 を実現 し 、 主にデー タ ・ セ ン タ ーの コ ア ・ レ イ ヤ と
ア グ リ ゲーシ ョ ン ・ レ イ ヤ用 と し て設計 さ れた製品です。
Cisco Nexus 7000 プ ラ ッ ト フ ォ ー ム には、 強力な Cisco NX-OS
（http://www.cisco.com/en/US/products/ps9372/index.html） が搭載 さ れてい ま す。 Cisco NX-OS は
最先端のオペレ ーティ ン グ ・ シ ス テ ム であ り 、 特にネッ ト ワ ーク やデータ ・ セン タ ーの最も ミ ッ
シ ョ ン ク リ ティ カ ルな 場所で求めら れる 、 固有の機能や性能に対応する 設計と なっ て いま す。
詳細については、 http://www.cisco.com/en/US/products/ps9402/index.html を参照 し て く だ さ い。
Cisco Nexus 5000
Cisco Nexus 5000 シ リ ーズ （http://www.cisco.com/en/US/products/ps9670/index.html） は、 デー
タ ・ セ ン タ ー ・ ク ラ ス ・ ス イ ッ チの Cisco Nexus 製品 フ ァ ミ リ ーの 1 つで、 デー タ ・ セ ン タ ー
の変革 を容易にす る 革新的な アーキ テ ク チ ャ を提供 し ます。 こ の ス イ ッ チ を使用す る と 、 標準
ベー ス のハ イ パ フ ォ ーマ ン ス な イ ーサネ ッ ト と FCoE が実現 し 、 LAN 環境、 SAN 環境、 ク ラ
ス タ ・ ネ ッ ト ワ ー ク 環境 を単一のユニ フ ァ イ ド ・ フ ァ ブ リ ッ ク に統合で き ます。 Cisco Nexus
5000 シ リ ーズは、 補完テ ク ノ ロ ジ を提供す る 業界 ト ッ プ ク ラ ス の多数のベ ン ダーの協力 を得
9
ア ーキテ ク チャ の概要
て、 次世代デー タ ・ セ ン タ ーの課題に対応 し た設計 と な っ てい ます。 次世代デー タ ・ セ ン タ ー
が抱え る 課題には、 高密度のマルチ ソ ケ ッ ト 、 マルチ コ ア、 仮想マ シ ン向けの最適な環境な ど
が あ り 、 こ う し た環境では、 イ ン フ ラ の無秩序な拡大や負荷の増大が一般化 し てい ます。
Cisco Nexus 5000 シ リ ーズは、 ユニ フ ァ イ ド ・ ク ロ ス バー ・ フ ァ ブ リ ッ ク Application-Specific
Integrated Circuit （ASIC; 特定用途集積回路） と 、 ユ ニ フ ァ イ ド ・ ポー ト ・ コ ン ト ロ ー ラ ASIC
と い う 2 つの カ ス タ ム ・ コ ン ポーネ ン ト を中心に構成 さ れてい ま す。 Cisco Nexus 5000 シ リ ー
ズの各 ス イ ッ チには、 単一のユニ フ ァ イ ド ・ ク ロ ス バー ・ フ ァ ブ リ ッ ク ASIC と 、 複数のユニ
フ ァ イ ド ・ ポー ト ・ コ ン ト ロ ー ラ が組み込 ま れ、 ス イ ッ チ内の固定ポー ト と 拡張モ ジ ュ ールが
サポー ト さ れ ます。
ユニ フ ァ イ ド ・ ポー ト ・ コ ン ト ロ ー ラ はユニ フ ァ イ ド ・ ク ロ ス バー ・ フ ァ ブ リ ッ ク ASIC と
ネ ッ ト ワ ー ク ・ メ デ ィ ア ・ ア ダ プ タ の間の イ ン タ ー フ ェ イ ス を提供 し 、 イ ーサネ ッ ト ・ フ レー
ム、 フ ァ イ バ ・ チ ャ ネル ・ フ レー ム、 FCoE フ レー ム の フ ォ ワ ーデ ィ ン グ に関す る 決定 を行い
ます。 こ の ASIC は ス イ ッ チ全体での カ ッ ト ス ルー設計 を サポー ト し 、 ペ イ ロ ー ド をすべて受
信す る 前に、 パケ ッ ト を ユニ フ ァ イ ド ・ ク ロ ス バー ・ フ ァ ブ リ ッ ク に送信 し ます。 ユ ニ フ ァ イ
ド ・ ク ロ ス バー ・ フ ァ ブ リ ッ ク ASIC は、 シ ン グル ス テージの ノ ン ブ ロ ッ キ ン グ ・ ク ロ ス
バー ・ フ ァ ブ リ ッ ク で あ り 、 全ポー ト が ワ イ ヤ ・ ス ピー ド で メ ッ シ ュ 接続 さ れ ます。 ユ ニ フ ァ
イ ド ・ ク ロ ス バー ・ フ ァ ブ リ ッ ク には、 ユニ キ ャ ス ト ・ ト ラ フ ィ ッ ク と マルチキ ャ ス ト ・ ト ラ
フ ィ ッ ク に対す る QoS 対応の ス ケ ジ ュ ー リ ン グ機能が備わ っ てい る ため、 優れたパ フ ォ ーマ ン
ス が実現 し ます。 さ ら に、 ユニ フ ァ イ ド ・ ク ロ ス バー ・ フ ァ ブ リ ッ ク と ユ ニ フ ァ イ ド ・ ポー
ト ・ コ ン ト ロ ー ラ は緊密に統合 さ れてい る ため、 出力 イ ン タ ー フ ェ イ ス に ア ク セ ス を要求す る
入力 イ ン タ ー フ ェ イ ス に対 し て、 低遅延で低損失の フ ァ ブ リ ッ ク を確実に提供す る こ と が可能
です。
詳細については、 http://www.cisco.com/en/US/products/ps9670/index.html を参照 し て く だ さ い。
Cisco Nexus 1000V
Nexus 1000V （http://www.cisco.com/en/US/products/ps9902/index.html） ス イ ッ チはサーバ上の ソ
フ ト ウ ェ ア ・ ス イ ッ チで あ り 、 同 じ サーバで ホ ス ト さ れ る 仮想マ シ ン に Cisco VN-Link
（http://www.cisco.com/en/US/netsol/ns894/index.html） サー ビ ス を提供 し ま す。 こ の ス イ ッ チは
VMware vSphere （http://www.vmware.com/products/cisco-nexus-1000V/index.html） フ レ ー ム ワ ー
ク を利用 し てサーバ環境 と ネ ッ ト ワ ー ク 環境の緊密な統合 を実現す る ほか、 デー タ ・ セ ン タ ー
内のすべてのサーバに対 し て、 常に一貫 し た ポ リ シーベー ス のネ ッ ト ワ ー ク 機能 を提供 し ま
す。 Nexus 1000V を使用す る と 、 ラ イ ブ ・ マ イ グ レ ーシ ョ ン の際に仮想マ シ ン と 一緒にポ リ
シー も 移行す る こ と がで き る ため、 ネ ッ ト ワ ー ク 、 セ キ ュ リ テ ィ 、 ス ト レージの コ ン プ ラ イ ア
ン ス が永続的に維持 さ れ、 ビ ジ ネ ス 継続性、 パ フ ォ ーマ ン ス の管理性、 セ キ ュ リ テ ィ ・ コ ン プ
ラ イ ア ン ス が向上 し ます。 さ ら に ま た、 Nexus 1000V はデー タ ・ セ ン タ ー内の仮想マ シ ン と 物
理サーバ接続に関す る 運用環境のマネ ジ メ ン ト を連携 さ せ、 運用の一貫性 と ネ ッ ト ワ ー ク 全体
の可視性 を実現す る こ と で、 Total Cost of Ownership （TCO; 総所有 コ ス ト ） を削減 し ま す。
Nexus 1000V は、 サーバ、 ネ ッ ト ワ ー ク 、 セ キ ュ リ テ ィ 、 ス ト レ ージの各チー ム に よ る 柔軟な
コ ラ ボ レーシ ョ ン を可能にす る 一方で、 さ ま ざ ま な組織区分や、 各チー ム が独自に行 う 作業に
も 対応 し ます。
詳細については、 http://www.cisco.com/en/US/products/ps9902/index.html を参照 し て く だ さ い。
Cisco MDS 9124
Cisco MDS 9124 は、 24 個のポー ト を備え た、 優れた価値 を提供す る 4 Gbps、 2 Gbps、 ま たは 1
Gbps 対応の フ ァ ブ リ ッ ク ・ ス イ ッ チです。 操作の容易 さ 、 柔軟性、 高可用性、 業界 を リ ー ド
す る セ キ ュ リ テ ィ を、 手頃な価格の コ ン パ ク ト な 1 RU の フ ォ ー ム ・ フ ァ ク タ で実現 し ます。 8
ポー ト か ら 24 ポー ト ま で、 ポー ト を 8 つずつ柔軟に拡張で き る ため、 Cisco MDS 9124 を使用
すれば、 部門別 SAN 用の ス イ ッ チ と エ ン タ ープ ラ イ ズ ・ コ ア エ ッ ジ SAN 用のエ ッ ジ ・ ス イ ッ
チ両方で、 ポー ト 密度要件 を満たす こ と がで き ます。 Cisco MDS 9000 SAN-OS ソ フ ト ウ ェ ア を
搭載 し てい る ため、 Cisco MDS 9124 には高度な ス ト レージ ・ ネ ッ ト ワ ーキ ン グ機能が備わ っ て
お り 、 商用 SAN ソ リ ュ ーシ ョ ン に対応す る エ ン タ ープ ラ イ ズ ク ラ ス の機能 を提供 し ま す。 ま
10
アーキテ ク チ ャ の概要
た、 Cisco MDS 9500 シ リ ーズ ・ マルチ レ イ ヤ ・ デ ィ レ ク タ と Cisco MDS 9200 シ リ ーズ ・ マル
チ レ イ ヤ ・ フ ァ ブ リ ッ ク ・ ス イ ッ チ と の互換性が あ る ため、 エ ン タ ープ ラ イ ズ環境の コ ア エ ッ
ジに導入す る こ と で、 透過的な エ ン ド ツーエ ン ド のサー ビ ス を実現 し ます。
詳細については、 http://www.cisco.com/en/US/products/hw/ps4159/index.html を 参照し て く ださ い。
Cisco Data Center Network Manager （DCNM）
DCNM はデー タ ・ セ ン タ ー ・ イ ン フ ラ 全体の ア ッ プ タ イ ム と 信頼性 を最大化 し 、 ビ ジ ネ ス 継続
性 を向上 さ せ る マネ ジ メ ン ト ・ ソ リ ュ ーシ ョ ン です。 デー タ ・ セ ン タ ー ・ ネ ッ ト ワ ー ク の管理
要件に焦点 を当て た DCNM は、 デー タ ・ セ ン タ ーの現在 と 将来の ス イ ッ チ ン グ ・ ニーズ を満
たす堅牢な フ レー ム ワ ー ク と 豊富な フ ィ ーチ ャ ・ セ ッ ト を提供 し ます。 特に、 プ ロ ビ ジ ョ ニ ン
グ ・ プ ロ セ ス の自動化が図れ ます。
DCNM は、 Cisco NX-OS 対応のハー ド ウ ェ ア ・ プ ラ ッ ト フ ォ ー ム を対象に設計 さ れた ソ リ ュ ー
シ ョ ン です。 Cisco NX-OS は、 Cisco Nexus 7000 シ リ ーズ な ど の、 Cisco Nexus 製品 フ ァ ミ リ ー
の基盤 を提供 し ます。
詳細については、
http://www.cisco.com/en/US/docs/switches/datacenter/sw/4_1/dcnm/fundamentals/configuration/
guide/fund_overview.html を参照 し て く だ さ い。
ス ト レージ
NetApp 統合ス ト レージ
NetApp FAS コ ン ト ロ ー ラ は、 Data ONTAP® 7G オペ レ ーテ ィ ン グ ・ シ ス テ ム をベー ス と し た単
一の統合 ス ト レージ ・ アーキ テ ク チ ャ を共有 し 、 ア プ リ ケーシ ョ ン対応の統合マ ネージ ャ ビ リ
テ ィ ・ ソ フ ト ウ ェ ア ・ ス イ ー ト を利用 し ます。 こ れに よ り 、 単一のプ ラ ッ ト フ ォ ー ム上で、
SAN、 NAS、 プ ラ イ マ リ 、 セ カ ン ダ リ と い っ た ス ト レ ージ を効率 よ く 統合す る と と も に、 イ ー
サネ ッ ト ・ イ ン タ ー フ ェ イ ス と フ ァ イ バ ・ チ ャ ネル ・ イ ン タ ー フ ェ イ ス を利用 し て、 FCoE、
NFS、 CIFS、 iSCSI と い っ たブ ロ ッ ク ・ プ ロ ト コ ル と フ ァ イ ル ・ プ ロ ト コ ル を同時にサポー ト
し ます。 こ の共通アーキ テ ク チ ャ を使用すれば、 当初はエ ン ト リ ・ レベルの ス ト レージ ・ プ
ラ ッ ト フ ォ ー ム か ら 始め、 ス ト レージ要件の増大につれて、 よ り ハ イ エ ン ド のプ ラ ッ ト フ ォ ー
ムへ と 簡単に移行す る こ と がで き ます。 移行時に新 し い OS、 管理 ツール、 プ ロ ビ ジ ョ ニ ン グ ・
プ ロ セ ス について学習す る 必要はあ り ません。
耐障害性に優れた シ ス テ ム運用 と デー タ の高可用性 を実現す る ため、 Data ONTAP 7G はハー ド
ウ ェ ア ・ シ ス テ ム と 緊密に統合 さ れてい ます。 FAS シ ス テ ム には冗長化 さ れた ホ ッ ト ス ワ ッ プ
対応の コ ン ポーネ ン ト が搭載 さ れ、 特許取得済みのダ ブルパ リ テ ィ RAID-DP （ハ イ パ フ ォ ー
マ ン ス な RAID 6） が実装 さ れてい る ため、 パ フ ォ ーマ ン ス 損失のほ と ん ど ない、 優れたデー
タ 保護が実現 し ます。 ま た、 デー タ の可用性 を よ り 高め る ために、 Data ONTAP ではオプ シ ョ
ン で、 ミ ラ ー リ ン グ、 バ ッ ク ア ッ プ、 デ ィ ザ ス タ ・ リ カバ リ （災害復旧） の ソ リ ュ ーシ ョ ン を
提供 し てい ます。 詳細については、 http://www.netapp.com/jp/products/platform-os/data-ontap/ を
参照 し て く だ さ い。
NetApp Snapshot テ ク ノ ロ ジ を併用す る と 、 ス ト レ ージ を ほ と ん ど消費す る こ と な く 、 フ ァ イ
ル レベル ま たはデー タ ・ セ ッ ト 全体の リ カバ リ を ほぼ瞬時に実行す る こ と も で き る よ う にな り
ます。 Snapshot では、 デー タ ・ ブ ロ ッ ク を移動 さ せ る こ と な く 、 デー タ のポ イ ン ト イ ン タ イ
ム ・ イ メ ージ を ボ リ ュ ー ム あ た り 最大 255 個作成で き ます。 詳細については、
http://www.netapp.com/jp/products/platform-os/snapshot-ja.html を参照 し て く だ さ い。
重要な ア プ リ ケーシ ョ ン は、 た と え負荷の高い時間帯で あ っ て も 、 即座に応答で き な ければな
り ません。 複数の ア プ リ ケーシ ョ ン に対 し てデー タ を提供す る 場合、 応答時間 を短縮で き る よ
う 、 Data ONTAP オペ レーテ ィ ン グ ・ シ ス テ ム には機能の一部 と し て、 QoS ソ フ ト ウ ェ ア の
FlexShare™ が組み込 ま れてい ます。 FlexShare を利用す る と 、 ス ト レージ管理者は負荷に優先
順位 を設定 し て動的に調整 さ せ る こ と がで き ます。 詳細については、
http://www.netapp.com/jp/products/platform-os/flexshare-ja.html を参照 し て く だ さ い。
11
ア ーキテ ク チャ の概要
こ の ソ リ ュ ーシ ョ ン は FAS6080 な ど の特定のハー ド ウ ェ ア を主な対象に し てい ま すが、 サ イ ジ
ン グ要件 と 拡張ニーズに応 じ て FAS6040、 FAS3140、 FAS3170 と い っ たすべての FAS プ ラ ッ ト
フ ォ ー ム に対応 し 、 ま っ た く 同一の ソ フ ト ウ ェ ア機能 を提供 し ます。 同様に、 こ の環境で使用
す る デ ィ ス ク の数量、 サ イ ズ、 種類 も 、 ス ト レージ と パ フ ォ ーマ ン ス のニーズに応 じ て変え る
こ と が可能です。 こ の アーキ テ ク チ ャ に、 Performance Accelerator Module （PAM II） な ど の ア
ド オ ン ・ カー ド を追加で利用すれば、 さ ら にシ ス テ ム ・ キ ャ ッ シ ュ を増や し てデー タ への ア ク
セ ス 速度 を高め、 パ フ ォ ーマ ン ス を向上 さ せ る こ と がで き ます。 ただ し 、 こ う し た カー ド は、
セ キ ュ ア ・ ク ラ ウ ド 機能の必須要素ではあ り ません。 詳細については、
http://www.netapp.com/jp/products/ を参照 し て く だ さ い。
NetApp MultiStore
NetApp MultiStore を使用す る と 、 ク ラ ウ ド ・ プ ロ バ イ ダは、 単一の NetApp ス ト レージ ・ シ ス
テ ム上に分離 さ れた完全にプ ラ イ ベー ト な論理パーテ ィ シ ョ ン をすばや く 簡単に作成 し て、
vFiler ユ ニ ッ ト と 呼ばれ る 独立 し た管理 ド メ イ ン と し て利用で き ま す。 こ の vFiler ユ ニ ッ ト に
は、 単一の物理 ス ト レージ ・ コ ン ト ロ ー ラ を、 複数の論理 コ ン ト ロ ー ラ と し て見せ る 効果が あ
り ます。 vFiler ユ ニ ッ ト にはそれぞれ、 異な る パ フ ォ ーマ ン ス 特性やポ リ シー特性のセ ッ ト を
適用 し て個別に管理で き ます。 NetApp MultiStore に よ り 、 プ ロ バ イ ダはプ ラ イ バシーやセ キ ュ
リ テ ィ の侵害 を最低限に抑え なが ら 、 複数の顧客に同 じ ス ト レージ ・ リ ソ ー ス を共有 さ せ る こ
と が可能にな り ます。 対象の仮想 ス ト レージ ・ コ ン テナの管理制御 を、 テナ ン ト に直接委任す
る こ と も で き ます。 ま た、 NetApp の MultiStore テ ク ノ ロ ジ では、 ほ と ん ど の NetApp HA ペア
上に、 最大 130 の vFiler ユニ ッ ト を作成で き ま す。 詳細については、
http://www.netapp.com/jp/products/platform-os/multistore-ja.html を参照 し て く だ さ い。
イーサネ ッ ト ・ ス ト レージ
こ の アーキ テ ク チ ャ で最 も 重要な テ ク ノ ロ ジの 1 つに、 NFS を利用 し た イ ーサネ ッ ト ・ ス ト
レージが あ り ます。 こ の ス ト レージは、 効率面 と 機能面で優れた利点 を備え てい ます。 イ ーサ
ネ ッ ト ベー ス ・ ス ト レージには、 主に次の よ う な利点が あ り ます。
•
実装す る ハー ド ウ ェ ア ・ コ ス ト の削減
•
サポー ト 担当者の ト レーニ ン グ ・ コ ス ト の削減
•
社内の IT グループがサポー ト す る イ ン フ ラ の大幅な簡易化
初期の ソ リ ュ ーシ ョ ン では、 エ ン タ ープ ラ イ ズ ・ ク ラ ス の NetApp ス ト レ ージ ・ コ ン ト ロ ー ラ
の ク ラ ス タ ・ ペア を、 専用の仮想 イ ーサネ ッ ト ・ ス ト レージ ・ ネ ッ ト ワ ー ク に導入 し ます。 こ
の ス ト レージ ・ ネ ッ ト ワ ー ク は、 Cisco の コ ア IP ス イ ッ チのペア と 、 増設可能な複数のエ ッ
ジ ・ ス イ ッ チで ホ ス ト さ れ ます。 ま た、 こ の仮想 イ ーサネ ッ ト ・ ス ト レージ ・ ネ ッ ト ワ ー ク
は、 2 本の フ ァ ブ リ ッ ク ・ イ ン タ ー コ ネ ク ト を通 じ て各ホ ス ト ・ サーバに も 拡張 さ れ、 コ ン
ピ ュ ーテ ィ ン グ ・ レ イ ヤ内か ら IP を利用 し て直接 ス ト レージに ア ク セ ス で き ま す。 詳細につ
いては、 http://www.netapp.com/jp/company/leadership/ethernet-storage/ を参照 し て く だ さ い。
SAN ブー ト によ る ステー ト レ ス ・ コ ン ピ ュ ーテ ィ ング
物理 リ ソ ー ス を SAN 経由でブー ト す る アーキ テ ク チ ャ を導入す る と 、 マルチテナ ン ト ・ イ ン
フ ラ の柔軟性 と 耐障害性が大幅に向上 し ます。 SAN ブー ト 環境は、 フ ァ イ バ ・ チ ャ ネル ま たは
FCoE を介 し て SCSI コ マ ン ド を解釈可能な Converged Network Adapter （CNA; 統合ネ ッ ト ワ ー
ク ・ ア ダプ タ ） を搭載 し た、 複数の ホ ス ト で構成 さ れ ます。 各ホ ス ト は、 外部 ス ト レージ ・ ア
レ イ にマ ッ ピ ン グ さ れた Logical Unit Number （LUN; 論理ユ ニ ッ ト 番号）、 つ ま り ス ト レージ ・
コ ン テナ を通 じ て自身のブー ト OS に ア ク セ ス し ま す。 こ のブー ト 方式は、 ソ フ ト ウ ェ ア ・ イ
ニ シ エー タ ま たはハー ド ウ ェ ア ・ イ ニ シ エー タ に よ っ て実行 さ れ ます。 本 ド キ ュ メ ン ト では、
ロ ーカル HBA について説明 し ま す。
NetApp コ ン ト ロ ー ラ を使用す る と 、 従来の ロ ーカル ・ デ ィ ス ク ・ ア レ イ の場合 と 比較 し て、
SAN 経由でブー ト さ れた ホ ス ト に高度な RAID 保護が適用 さ れ、 パ フ ォ ーマ ン ス も 向上 し ま
す。 さ ら に、 SAN ブー ト の リ ソ ー ス は リ カバ リ が容易な う え に利用率向上に も 効果的で、 ロ ー
カルに配置 さ れたデ ィ ス ク よ り も は る かに迅速に拡張で き ます。 NetApp コ ン ト ロ ー ラ でプ ロ
ビ ジ ョ ニ ン グ さ れたオペ レーテ ィ ン グ ・ シ ス テ ム と ハ イ パーバ イ ザーでは、 NetApp 製品独自
12
アーキテ ク チ ャ の概要
の ス ト レージ効率化機能 を活用で き ます。 SAN ブー ト ・ アーキ テ ク チ ャ の も う 1 つ別の重要な
利点 と し て、 イ ン ス ト ール さ れ る OS に よ っ ては、 導入 と リ カバ リ を数分で実行で き る こ と が
挙げ ら れ ます。
SAN ブー ト 構成には、 プ ロ ビ ジ ョ ニ ン グ時間 を短縮 し 、 利用率 を向上 さ せ、 UCS 内のサー ビ
ス ・ プ ロ フ ァ イ ルの ス テー ト レ ス 特性 を促進す る 効果が あ り ます。 SAN ブー ト 環境は事前設定
が可能です。 さ ら に、 さ ま ざ ま な NetApp テ ク ノ ロ ジ を利用す る こ と で、 よ り 優れたパ フ ォ ー
マ ン ス や よ り 高度なデー タ 保護 を実現 し 、 よ り 簡単に リ ス ト ア を実行で き ます。
詳細については、 http://www.netapp.com/jp/products/ を参照 し て く だ さ い。
13
エ ン ド ツ ーエ ン ド のブ ロ ッ ク 図
エ ン ド ツーエ ン ド のブ ロ ッ ク図
ア プ リ ケーシ ョ ン か ら ス ト レージへの フ ロ ー を把握す る こ と は、 セ キ ュ ア ・ マルチテナ ン ト 環
境の構築に あ た っ て鍵 と な り ます。 図 3 に、 コ ン ピ ュ ーテ ィ ン グ ・ レ イ ヤの ESX VMkernel か
ら 、 ネ ッ ト ワ ー ク ・ レ イ ヤ を通 っ て ス ト レージ ・ レ イ ヤへ と 到達す る 、 ESX SAN ブー ト な ど
のエ ン ド ツーエ ン ド ・ パ ス を示 し ます。
図3
14
エ ン ド ツーエ ン ド のブ ロ ッ ク図
論理 ト ポロ ジ
論理 ト ポロ ジ
論理 ト ポ ロ ジ と は、 物理 ト ポ ロ ジ内に存在す る 基盤 と な る 仮想 コ ン ポーネ ン ト と 、 それ ら の仮
想接続の こ と です。
論理アーキ テ ク チ ャ は複数の仮想マ シ ン で構成 さ れ、 各仮想マ シ ン は イ ン フ ラ と テナ ン ト と い
う 2 つの カ テ ゴ リ に分け ら れ ま す。 イ ン フ ラ VM は環境の構築 と 維持のために使用 さ れ、 テナ
ン ト VM はテナ ン ト ・ ア プ リ ケーシ ョ ン と ユーザに よ っ て所有、 活用 さ れ ます。 すべての VM
の構成 フ ァ イ ル と デ ィ ス ク ・ フ ァ イ ルは、 イ ン フ ラ VM の場合 も テナ ン ト VM の場合 も 同様
に、 共有の NetApp 仮想 ス ト レ ージ ・ コ ン ト ロ ー ラ に保存 さ れ、 各 ESX ホ ス ト の VMkernel イ
ン タ ー フ ェ イ ス に対 し て NFS エ ク ス ポー ト と し て提供 さ れ ま す。
各種の VMware 仮想 イ ン タ ー フ ェ イ ス 、 サー ビ ス ・ コ ン ソ ール、 VMkernel、 個々の VM イ ン
タ ー フ ェ イ ス は、 Cisco Nexus 1000V ソ フ ト ウ ェ ア分散型仮想 ス イ ッ チに直接接続 し ま す。 こ の
レ イ ヤでは、 パケ ッ ト に適切な VLAN ヘ ッ ダーの タ グ が付加 さ れ、 すべての ア ウ ト バ ウ ン ド ・
ト ラ フ ィ ッ ク は、 ESX ホ ス ト ご と に 2 本用意 し た 10 Gb イ ーサネ ッ ト ・ ア ッ プ リ ン ク を通 じ て
Cisco 6100 に集約 さ れ ます。 イ ン バ ウ ン ド ・ ト ラ フ ィ ッ ク はすべて、 VLAN ヘ ッ ダー を取 り 除
いた あ と 、 該当す る 宛先仮想 イ ン タ ー フ ェ イ ス へ と 転送 さ れ ます。
各物理 NetApp ス ト レ ージ ・ コ ン ト ロ ー ラ に搭載 さ れた 10 Gb イ ーサネ ッ ト の 2 つの物理 イ ン
タ ー フ ェ イ ス は、 単一の仮想 イ ン タ ー フ ェ イ ス に集約 さ れてい ます。 こ の仮想 イ ン タ ー フ ェ イ
ス は さ ら に、 複数の VLAN イ ン タ ー フ ェ イ ス に分割 さ れ、 各 VLAN イ ン タ ー フ ェ イ ス には ト
ポ ロ ジ全体で使用 さ れ る 固有の VLAN ID が割 り 当て ら れ ま す。 それぞれの VLAN イ ン タ ー
フ ェ イ ス は管理上、 特定の IP space と vFiler ユ ニ ッ ト に関連付け ら れ ま す。 各 IP space には、
vFiler ユ ニ ッ ト ご と に独立 し た IP ルーテ ィ ン グ ・ テーブルが用意 さ れ ま す。 VLAN イ ン タ ー
フ ェ イ ス と vFiler ユニ ッ ト は関連付け ら れてい る ため、 それぞれの vFiler ユニ ッ ト か ら 送信 さ
れ る すべての ア ウ ト バ ウ ン ド ・ パケ ッ ト には、 対応す る VLAN イ ン タ ー フ ェ イ ス に固有の適切
な VLAN ID の タ グ が付加 さ れ ま す。 その結果、 特定の VLAN ID を埋め込 ま れた イ ン バ ウ ン
ド ・ ト ラ フ ィ ッ ク はすべて、 該当す る VLAN イ ン タ ー フ ェ イ ス へ と 送信 さ れ る ため、 イ ーサ
ネ ッ ト ・ ス ト レージ ・ プ ロ ト コ ルの種類に関係な く ス ト レージ ・ ト ラ フ ィ ッ ク を セ キ ュ リ テ ィ
保護で き ます。 ま た、 その VLAN イ ン タ ー フ ェ イ ス は関連付け ら れた vFiler ユニ ッ ト か ら で な
い と 見え ません。
15
論理ト ポロ ジ
図4
16
論理 ト ポロ ジ
設計上の考慮事項 — 4 つのポ イ ン ト
設計上の考慮事項 — 4 つのポ イ ン ト
こ こ では、 次の 4 つの主な ポ イ ン ト に関す る 設計上の考慮事項について説明 し ま す。
•
可用性
•
セ キ ュ ア な分離
•
サー ビ ス 保証
•
マネ ジ メ ン ト
可用性
可用性はセ キ ュ ア ・ マルチテナ ン ト 環境 を構築す る ための第 1 のポ イ ン ト で あ り 、 基礎 と な る
概念です。 計画的停止の排除 と 計画外停止の防止は、 マルチテナ ン ト 共有サー ビ ス イ ン フ ラ の
設計において重要な要素 と な り ます。 こ こ では、 可用性におけ る 設計上の考慮事項 を説明 し 、
コ ン ピ ュ ーテ ィ ン グ、 ネ ッ ト ワ ー ク 、 ス ト レージに関す る ベ ス ト ・ プ ラ ク テ ィ ス を紹介 し ま
す。 表 1 に、 可用性 を実現す る さ ま ざ ま な手段 を示 し ま す。
表1
可用性を実現する手段
コ ン ピ ュ ーテ ィ ン グ
•
UCS デ ュ アル ・ フ ァ ブ
リ ッ ク の冗長化
•
vCenter Heartbeat
•
VMware HA
•
vMotion
•
Storage vMotion
•
vShield Manager のバ ッ ク
ア ッ プ機能
ネ ッ ト ワー ク
ス ト レ ージ
•
EtherChannel
•
RAID-DP
•
vPC
•
•
デバ イ ス ま たは リ ン ク の
冗長化
仮想 イ ン タ ー フ ェ イ ス
（VIF）
•
NetApp HA
•
MAC ア ド レ ス の学習
•
Snapshot
•
ア ク テ ィ ブ / パ ッ シブ
VSM
•
SnapMirror と SnapVault
可用性に優れた物理 ト ポロ ジ
コ ン ピ ュ ーテ ィ ン グ ・ レ イ ヤでは、 Cisco UCS に よ っ て、 コ ン ピ ュ ーテ ィ ン グ ・ リ ソ ー ス を サ
ポー ト す る 管理機能 と ネ ッ ト ワ ーキ ン グ を統合 し たユ ニ フ ァ イ ド ・ コ ン ピ ュ ーテ ィ ン グ環境が
展開 さ れ ます。 UCS 内では、 VMware の vSphere、 vShield、 vCenter と 、 Cisco Nexus 1000V に
よ り 、 論理オーバー レ イ と し ての仮想化環境が構築 さ れてい ます。 すべての UCS B シ リ ーズ ・
ブ レー ド ・ サーバ を、 VMware HA を通 じ て単一の vSphere ESX ク ラ ス タ と し て構成すれば、
ハー ド ウ ェ ア障害や仮想マ シ ン のゲ ス ト ・ オペ レーテ ィ ン グ ・ シ ス テ ム の障害に備え た保護機
能 を提供で き ます。 vCenter Server Heartbeat では、 vCenter に よ っ て保護機能が提供 さ れ、 ハー
ド ウ ェ ア と ア プ リ ケーシ ョ ン の両方の停止に備え る こ と がで き ます。 vMotion と Storage
vMotion を使用す る と 、 計画的停止時に も 、 イ ン フ ラ と テナ ン ト の両方の仮想マ シ ン で継続 し
て可用性 を維持で き ます。 さ ら に ま た、 vShield Manager の組み込みのバ ッ ク ア ッ プ機能では、
イ ン フ ラ 全体について定義 さ れた セ キ ュ ア な分離ポ リ シーが保護 さ れ ます。
ネ ッ ト ワ ー ク ・ レ イ ヤでは、 統合ア ク セ ス ・ レ イ ヤの ス イ ッ チ と し て Nexus 5000 を、 仮想化 さ
れた ア グ リ ゲーシ ョ ン ・ レ イ ヤの ス イ ッ チ と し て Nexus 7000 を使用 し て、 3 階層のアーキ テ ク
チ ャ を構築 し てい ます。 2 つの UCS 6120 フ ァ ブ リ ッ ク ・ イ ン タ ー コ ネ ク ト と デ ュ アル フ ァ ブ
リ ッ ク ・ ト ポ ロ ジに よ り 、 10 G コ ン ピ ュ ーテ ィ ン グ ・ レ イ ヤが実現 し ま す。 エ ッ ジ ・ レ イ ヤ を
デ ュ アル フ ァ ブ リ ッ ク ・ ト ポ ロ ジにす る こ と に よ り 、 冗長シ ャ ーシ、 冗長カー ド 、 Nexus 5000
と Nexus 7000 に よ る 冗長 リ ン ク を備え た こ の vPC ト ポ ロ ジ では、 ループ レ ス の ト ポ ロ ジ が形
成 さ れ ます。
17
設計上の考慮事項 — 4 つのポイ ン ト
UCS 6120 フ ァ ブ リ ッ ク ・ イ ン タ ー コ ネ ク ト と NetApp FAS ス ト レ ージ ・ コ ン ト ロ ー ラ はいずれ
も 、 デ ュ アル 10 ギ ガ ビ ッ ト ・ イ ーサネ ッ ト に よ る EtherChannel 経由で Nexus 5000 ア ク セ ス ・
ス イ ッ チに接続 さ れてい ます。 NetApp FAS コ ン ト ロ ー ラ には冗長 10 Gb NIC が搭載 さ れてお
り 、 2 ポー ト の仮想 イ ン タ ー フ ェ イ ス （VIF） と し て構成 さ れてい ま す。 各 VIF ポー ト はいず
れかの ア ッ プ ス ト リ ー ム ・ ス イ ッ チに接続 し 、 Nexus vPC の機能 を利用 し て、 複数のア ク テ ィ
ブ ・ パ ス を提供 し ます。 こ れに よ り 、 冗長性 と 帯域幅が増大す る と 同時に、 必要な ポー ト 数 を
抑え る こ と がで き ます。
Cisco MDS 9124 は、 ア ク セス ・ レ イ ヤでデュ ア ルフ ァ ブリ ッ ク SAN 接続を 提供し て いま す。
UCS 6120 と NetApp FAS はど ち ら も 、 Fiber Channel (FC) を 介し て 両方のフ ァ ブリ ッ ク に接続し 、
SAN ブート に対応し て いま す。 UCS 6120 はそれぞれのフ ァ ブリ ッ ク と 単一の FC リ ン ク で接続
さ れて おり 、 各接続が相互に冗長接続の役割を 果た し ま す。 NetApp FAS はコ ン ト ロ ーラ のデュ
ア ル FC ポート 経由で MDS 9124 と 接続さ れ、 完全な メ ッ シ ュ ・ ト ポロ ジ を 構成し て いま す。
図5
物理 ト ポロ ジ
コ ン ピ ュ ーテ ィ ングの可用性に関する設計上の考慮事項
VMware HA
VMware HA では、 次の点に注意 し ます。
•
18
VMware HA ク ラ ス タ に最初に組み込 ま れ る 5 つの ESX ホ ス ト がプ ラ イ マ リ ・ ノ ー ド にな
り 、 以降に追加 さ れ る ホ ス ト がセ カ ン ダ リ ・ ノ ー ド にな り ます。 プ ラ イ マ リ ・ ノ ー ド には、
ホ ス ト で障害が発生 し た場合に、 仮想マ シ ン の フ ェ イ ルオーバー を実行す る 役割が あ り ま
す。 複数のブ レー ド ・ シ ャ ーシにわた る HA ク ラ ス タ 構成 （ ク ラ ス タ 内の ノ ー ド が 9 つ以
上） の場合や、 キ ャ ン パ ス 環境内の複数のデー タ ・ セ ン タ ーにわた る HA ク ラ ス タ 構成の
場合は、 最初の 5 つの ノ ー ド をば ら ば ら に （ブ レー ド ・ シ ャ ーシ ま たはデー タ ・ セ ン タ ー
ご と に 1 つずつ） 配置す る 必要が あ り ま す。
設計上の考慮事項 — 4 つのポ イ ン ト
•
ESX 4.0 Update 1 の場合、 8 ノ ー ド の VMware HA ク ラ ス タ で利用可能な仮想マ シ ン の最大
数は、 ホ ス ト あ た り 160 です。 ク ラ ス タ あ た り では、 最大 1,280 の仮想マ シ ン を使用で き
ます。 ク ラ ス タ が 9 つ以上の ノ ー ド で構成 さ れてい る 場合、 フ ェ イ ルオーバーがサポー ト
さ れ る 仮想マ シ ン の最大数は、 ホ ス ト あ た り 40 にな り ま す。
•
ネ ッ ト ワ ー ク の保守の間は、 「フ ォ ール ス ・ ポ ジ テ ィ ブ」 に よ る 仮想マ シ ン の フ ェ イ ルオー
バー を避け る ため、 ホ ス ト 監視機能 を無効化で き ます。
•
テナ ン ト の仮想マ シ ン には レベルが大幅に異な る リ ソ ー ス ・ リ ザベーシ ョ ン ・ セ ッ ト が適
用 さ れてい る 可能性が あ る ため、 「Percentage of cluster resources reserved as failover spare
capacity （フ ェ イ ルオーバー用の ス ペア容量 と し て リ ザーブす る ク ラ ス タ ・ リ ソ ー ス の割
合）」 ア ド ミ ッ シ ョ ン ・ コ ン ト ロ ール ・ ポ リ シー を適用 し ます。 当初は、 こ の フ ェ イ ルオー
バー用の容量 を 25% に設定す る こ と を推奨 し ま す。 環境が安定 し た状態にな っ た ら 、 リ
ソ ー ス ・ リ ザベーシ ョ ン の割合は、 平均的な リ ソ ー ス ・ リ ザベーシ ョ ン のサ イ ズ ま たは
ESX ホ ス ト あ た り の量 と 同 じ か、 それ以上の値に変更で き ます。
•
ESX Server ホ ス ト で障害が発生 し た場合に備え、 各テナ ン ト の SLA に基づいて、 再開す る
仮想マ シ ン の優先順位 を設定で き ます。
•
仮想マシ ンの監視について も 、 各テナン ト の SLA に基づいて感度を設定す る こ と が可能です。
VMware vShield
VMware vShield では次の点に注意 し ます。
•
各 ESX ホ ス ト 上の vShield 仮想マ シ ン では、 「仮想マ シ ン を再開す る 優先順位」 の設定 を
「無効」 にす る 必要が あ り ます。 こ れは、 HA フ ェ イ ルオーバーが発生す る と 、 その後は、
も う 一方の ESX ホ ス ト 上で実行 さ れ る vShield イ ン ス タ ン ス が仮想マ シ ン に適用 さ れてい
る ポ リ シー を自動的に引 き 継 ぐ か ら です。
ネ ッ ト ワー クの可用性に関する設計上の考慮事項
階層設計
IP イ ン フ ラ の高可用性に関す るベス ト ・ プ ラ ク テ ィ ス は、 次のサ イ ト で詳 し く 定義 さ れてい ます。
http://www.cisco.com/en/US/docs/solutions/Enterprise/Data_Center/DC_3_0/DC-3_0_IPInfra.html
本設計ガ イ ド の目的は、 可用性に優れた マルチテナ ン ト 仮想化 イ ン フ ラ を構築す る う え での必
須 コ ン ポーネ ン ト について説明す る こ と です。 本 ド キ ュ メ ン ト では、 エ ン ド ツーエ ン ド の可用
性 と い う 側面については詳 し く 説明 し ません。 基本的には、 可用性に優れた イ ン フ ラ が、 すべ
てのマルチテナ ン ト 仮想化サー ビ ス の基盤 と な る バ ッ ク ボー ン で あ る と い う 前提に立 っ てい ま
す。 マルチテナ ン ト 環境に対応す る 本ガ イ ド の設計において、 主要な特性 を以下に示 し ます。
こ の特性には、 Nexus 1000V の機能に基づいた最新の設計オプ シ ョ ン が含 ま れてい ま す。
マルチテナ ン ト 対応の イ ン フ ラ 設計は、 図 5 に示 し た よ う に、 3 階層の コ ア、 ア グ リ ゲーシ ョ
ン、 ア ク セ ス モデルがベー ス と な っ てい ます。
デー タ ・ セ ン タ ー ・ テ ク ノ ロ ジは急速に変化 し てい ます。 Cisco ネ ッ ト ワ ー ク ・ プ ラ ッ ト
フ ォ ー ム を使用す る と 、 各 レ イ ヤの さ ま ざ ま な機能 と ア ク セ ス ・ テ ク ノ ロ ジ を統合 し 、 最適な
リ ソ ー ス 利用率 を実現す る 単一のプ ラ ッ ト フ ォ ー ム を構築で き ます。 階層 レ イ ヤの点では、 統
合設計の選択肢 と し て以下の 2 種類が使用 さ れてい ま す。
•
ア グ リ ゲーシ ョ ン ・ レ イ ヤ — 従来の ア グ リ ゲーシ ョ ン ・ レ イ ヤは、 さ ま ざ ま な速度 と 機能
のニーズに基づいて、 ネ ッ ト ワ ー ク 接続 を含む物理ペア を使用 し て設計 さ れ ます。 Nexus
7000 を使用す る と 、 Virtual Device Context （VDC; 仮想デバ イ ス コ ン テ キ ス ト ） の機能に よ
り 、 複数の ア グ リ ゲーシ ョ ン ・ ト ポ ロ ジの統合が可能にな り 、 複数のデ ィ ス ト リ ビ ュ ー
シ ョ ン ・ ブ ロ ッ ク が、 Nexus 7000 ハー ド ウ ェ ア の単一の物理ペア内に あ る 論理エ ン ト リ と
し て扱われ ます。
– ア グ リ ゲーシ ョ ン ・ レ イ ヤでは コ ン プ ラ イ ア ン ス ・ レベルの分離が必要
19
設計上の考慮事項 — 4 つのポイ ン ト
– HSRP 制御要件、 ア ク テ ィ ブ / ア ク テ ィ ブ要件、 サ イ ト 固有の ト ポ ロ ジ要件、 特定の ア ク
セ ス ・ レ イ ヤ ・ デバ イ ス の Burn in Address （BIA） 要件 と い っ た、 明示的な運用要件へ
の対応
– ユーザ領域の ア プ リ ケーシ ョ ン と 、 制御 （vMotion） やネ ッ ト ワ ー ク 管理 （SNMP、
ルーテ ィ ン グ機能のないネ ッ ト ワ ー ク への ア ク セ ス な ど） の分離が可能
こ の設計オプ シ ョ ン は本設計ガ イ ド では取 り 扱わないため、 こ れ以上の説明は省略 し ます。
•
ア ク セ ス ・ レ イ ヤ — も う 一つの統合は、 ア ク セ ス ・ レ イ ヤで行われ ます。 ア ク セ ス ・ レ イ
ヤでは広範なデバ イ ス のセ ッ ト が使用 さ れ る ため、 統合要件 も 最 も 複雑にな り ます。 こ の
レ イ ヤは、 サーバ、 ス ト レージ、 ネ ッ ト ワ ー ク ・ エ ン ド ポ イ ン ト と い っ た さ ま ざ ま なデバ
イ ス で構成 さ れ ます。 ア ク セ ス ・ レ イ ヤの統合 と 集約では、 既存の ア ク セ ス ・ レ イ ヤ ・ ト
ポ ロ ジ と 接続 タ イ プ を維持す る こ と が要求 さ れ ます。 ア ク セ ス ・ レ イ ヤ を統合す る には、
次に示す多様な接続 タ イ プに対応す る 必要が あ り ます。
– ネ ッ ト ワ ー ク の ク ラ ス に応 じ たデー タ ・ ア ク セ ス ・ レ イ ヤの分離 — ア プ リ ケーシ ョ
ン、 部門間の分離、 各機能 （バ ッ ク ア ッ プ、 開発 / テ ス ト ）
– FC （フ ァ イ バ ・ チ ャ ネル） ス ト レ ージ ・ ト ポ ロ ジ、 Networked File System （NFS） ス ト
レージ ・ ト ポ ロ ジ、 テープ を使用 し た ス ト レージ ・ ト ポ ロ ジ と ア ク セ ス ・ ネ ッ ト ワ ー
ク の分離
– エ ッ ジ レ イ ヤ ・ ネ ッ ト ワ ーキ ン グ — Nexus 1000V、 Virtual Blade Server （VBS）、 ブ レー
ド シ ス テ ム、 ス タ ン ド ア ロ ン （マルチ NIC） 接続
– 100 M、 1 G、 10 G の接続速度への対応
– ケーブ リ ン グ ・ プ ラ ン ト — エ ン ド オブ ロ ー （EOR） と ト ッ プオブ ラ ッ ク （TOR）
こ の設計では主に、 UCS を通 じ て提供 さ れ る コ ン ピ ュ ーテ ィ ン グ ・ リ ソ ー ス の統合 と 、 NFS に
よ る ス ト レージの統合に焦点 を当て てい ます。 ト ポ ロ ジのその他の要素 と 統合については、 本
ド キ ュ メ ン ト の対象外です。 ア ク セ ス ・ レ イ ヤでの統合は、 次の重要な要素が設計に組み込 ま
れてい る 必要が あ り ます。
•
さ ま ざ ま なデー タ ・ ネ ッ ト ワ ー ク ・ ト ポ ロ ジの統合 と 集約
•
ユニ フ ァ イ ド ・ ア ッ プ リ ン ク — 集約 さ れた コ ン ピ ュ ーテ ィ ン グ機能に対応す る 10 Gbps の
イ ン フ ラ （ よ り 多 く の VM が よ り 多 く のデー タ を プ ッ シ ュ ）
•
イ ーサネ ッ ト ・ ベー ス の ト ポ ロ ジに組み込 ま れた、 複数の ス ト レージ ・ デバ イ ス の統合 と
集約
顧客が コ ン ピ ュ ーテ ィ ン グ ・ レベルでのユニ フ ァ イ ド ・ ア ク セ ス の採用 を検討す る 主な要因の
1 つに、 ス ト レージ ・ ト ポ ロ ジの統合が挙げ ら れ ます。 既存の イ ーサネ ッ ト IP デー タ ・ イ ン フ
ラ に ス ト レージ ・ ト ポ ロ ジ を統合す る には、 ス ト レージ ・ ト ラ フ ィ ッ ク の応答時間 と 帯域幅 を
同時に保証 し 、 保護す る 必要が あ り ます。 以降では、 ユニ フ ァ イ ド ・ ア ク セ ス の 2 つのセ ク
シ ョ ン について、 ネ ッ ト ワ ー ク 可用性 と 設計上の要素 を説明 し ます。
ア ク セス ・ レ イヤの可用性
ア ク セ ス ・ レ イ ヤは、 Nexus 5000 に関する次の重要な設計上の特質に基づいて設計 さ れてい ます。
20
•
vPC （仮想ポー ト チ ャ ネル） テ ク ノ ロ ジに よ る ループ レ ス ・ ト ポ ロ ジの実現。 2 階層の vPC
設計では、 すべてのパ ス を エ ン ド ツーエ ン ド で フ ォ ワ ーデ ィ ン グ に利用で き ます （図 5 を
参照）。
•
Nexus 7000 から Nexus 5000 への接続では、 冗長デバイ ス と 冗長リ ン ク 間が単一の vPC を 経
由し て 接続さ れて いま す。 こ の設計では 4 本の 10 Gbps リ ン ク を 使用し て いま すが、 現在の
Nexus ソ フ ト ウ ェ ア ・ リ リ ース では、 拡張時に最大 8 つま で vPC メ ン バーを 追加でき ま す。
•
すべてのエ ッ ジ ・ レ イ ヤ ・ デバ イ ス を、 ポー ト チ ャ ネル構成で Nexus 5000 と 接続す る 設計
を推奨 し ます。
設計上の考慮事項 — 4 つのポ イ ン ト
•
vPC を有効化す る ための設定 と オプ シ ョ ン の詳細につい ては、
http://www.cisco.com/en/US/prod/collateral/switches/ps9441/ps9670/configuration_guide_c07-54
3563.html を参照 し て く だ さ い。
•
ス パニ ン グ ・ ツ リ ー ・ プ ロ ト コ ル と し て、 RPVST+ を使用 し ます。 マルチテナ ン ト の ス
ケー ラ ビ リ テ ィ 要件に応 じ て、 MST オプシ ョ ン の利用 を検討 し ます。 冗長構成の Nexus
7000 は、 対応す る 冗長デ フ ォ ル ト ・ ゲー ト ウ ェ イ のプ ラ イ オ リ テ ィ が設定 さ れ、 すべての
VLAN のプ ラ イ マ リ お よ びセ カ ン ダ リ のルー ト ・ ス イ ッ チにな り ま す。
エ ッ ジ ・ デバイ ス ・ レ イヤの可用性
エ ッ ジ ・ デバ イ ス の接続には、 ア ク セ ス ・ レ イ ヤに接続す る すべてのデバ イ ス が含 ま れ ます。
本設計ガ イ ド では、 UCS、 Nexus 1000V、 NetApp FAS 6080 について のみ説明 し ま す。 NetApp
FAS 6080 のネ ッ ト ワ ー ク 可用性については 「SAN の可用性に関す る 設計上の考慮事項」 で扱
う ため、 こ こ では説明 し ません。 ハー ド ウ ェ ア と ソ フ ト ウ ェ ア の機能に応 じ て、 UCS と Nexus
1000V では さ ま ざ ま な設計 を選択で き ま す。
設計オプシ ョ ン の多く と ベス ト ・ プラ ク テ ィ ス の一部について 説明し たホ ワ イ ト ・ ペーパーを 、
http://www.cisco.com/en/US/prod/collateral/switches/ps9441/ps9902/white_paper_c11-558242_ns944_Net
working_Solutions_White_Paper.html で公開し て いま す。 こ のホ ワ イ ト ・ ペーパーでは、 UCS と
Nexus 1000V で選択可能な 設計について 理解し て いただく ため、 基本的な情報を 提供し て いま す。
ただし 、 本設計ガイ ド では、 Nexus 1000V ソ フ ト ウ ェ ア で利用可能な 新し いオプシ ョ ン について
説明し て いる ため、 本ガイ ド の情報のほう が詳し い場合があ り ま す。 ま た、 マルチテ ナン ト 設計
の要件に基づいて 、 設計変更を 提案する こ と も あ り ま す。 図 6 に、 UCS と Nexus 1000V のマルチ
テ ナン ト 環境での接続と 、 対応する 設計特性を 示し ま す。
21
設計上の考慮事項 — 4 つのポイ ン ト
図6
エ ッ ジ ・ レ イヤでの Nexus 1000V と UCS の接続
Unified Computing Systems （UCS）
22
•
フ ァ ブ リ ッ ク の可用性 — UCS には A と B と い う 、 完全に独立 し た 2 つの フ ァ ブ リ ッ ク ・
パ ス が あ り ます。 フ ァ ブ リ ッ ク の フ ェ イ ルオーバーは Nexus 1000V レベルで実行 さ れ る た
め、 こ の設計では使用 さ れてい ません。
•
コ ン ト ロ ール ・ プ レー ン の可用性 — UCS 6100 は、 UCS シ ス テ ム全体 を管理す る コ ン ト
ロ ール ・ プ レー ン （UCS Manager） に対 し て、 ア ク テ ィ ブ / ス タ ン バ イ ・ モー ド で実行 さ れ
てい ます。
•
フ ォ ワ ーデ ィ ン グ ・ パ ス の可用性 — 各 フ ァ ブ リ ッ ク ・ イ ン タ ー コ ネ ク ト （UCS 6100） は、
エ ン ド ホ ス ト ・ モー ド に設定す る こ と を推奨 し ます。 各 UCS 6100 か ら の 2 本の ア ッ プ リ
ン ク は、 ポー ト チ ャ ネル と し て LACP 「ア ク テ ィ ブ / ア ク テ ィ ブ」 モー ド で Nexus 5000 に
接続 さ れてい ます。
•
ブ レー ド ・ サーバ ・ パ ス の可用性 — 各ブ レー ド ・ サーバは M71KR Converge Network
Adaptor （CNA; 統合ネ ッ ト ワ ー ク ・ ア ダプ タ ） を使用 し て、 それぞれの フ ァ ブ リ ッ ク と 10
Gbps で接続で き る よ う にな っ てい ま す。
設計上の考慮事項 — 4 つのポ イ ン ト
Nexus 1000V
•
ス ーパーバ イ ザの可用性 — Virtual Supervisor Module （VSM） は、 さ ま ざ ま な導入方法に対
応す る 仮想マ シ ン です。 本設計ガ イ ド では、 Virtual Ethernet Module （VEM） と 一緒に UCS
ブ レー ド に導入 さ れてい ます。 Nexus 1000V は VSM の冗長化 を サポー ト し てい ま す。 ア ク
テ ィ ブ と ス タ ン バ イ を別々の UCS ブ レー ド ・ サーバに設定 し 、 vCenter の管理下で ア ン チ
ア フ ィ ニ テ ィ ・ ルール を有効に し て、 両方の VSM が同一のブ レー ド ・ サーバで実行 さ れ
ない よ う にす る こ と を推奨 し ます。
•
フ ォ ワ ーデ ィ ン グ ・ パ ス の可用性 — 各 ESX ホ ス ト は VEM を実行 し ま す。 VEM は通常、
ブ レー ド ・ サーバの 10 Gbp イ ン タ ー フ ェ イ ス に接続 さ れた 2 本の ア ッ プ リ ン ク に設定 さ れ
ます。 vCenter 経由で イ ン ス ト ール と プ ロ ビ ジ ョ ニ ン グ を行 う と 、 ア ッ プ リ ン ク に対 し て指
定 さ れた ポー ト プ ロ フ ァ イ ルに よ っ て、 各 ESX ホ ス ト のポー ト チ ャ ネル ・ イ ン タ ー フ ェ イ
ス が自動的に作成 さ れ ます。 次に、 上記の接続 を反映 し た ポー ト プ ロ フ ァ イ ルの例 を示 し
ます。
port-profile type ethernet system-uplink
description system profile for critical ports
vmware port-group
switchport mode trunk
switchport trunk allowed vlan 125-130,155,200-203,300-303,400-403,900-901
channel-group auto mode on mac-pinning
no shutdown
system vlan 155,900
state enabled
以下か ら 、 ポー ト チ ャ ネルは、 シ ス テ ム ア ッ プ リ ン ク ・ プ ロ フ ァ イ ル と 、 関連付け ら れた
ESX ホ ス ト ま たは VEM モ ジ ュ ール を継承 し てい る こ と がわか り ま す。
interface port-channel1
inherit port-profile system-uplink
sc-n1kv-1# sh port-channel su
Flags: D - Down
P - Up in port-channel (members)
I - Individual H - Hot-standby (LACP only)
s - Suspended
r - Module-removed
S - Switched
R - Routed
U - Up (port-channel)
-------------------------------------------------------------------------------Group PortType
Protocol Member Ports
Channel
-------------------------------------------------------------------------------1
Po1(SU)
Eth
NONE
Eth3/1(P)
Eth3/2(P)
channel-group auto mode on mac-pinning は、 Nexus 1000V 4.0(4)SV1(2) リ リ ー ス で利用で
き る よ う にな っ た新 し い コ マ ン ド です。 こ れは、 LACP を実行 し ないポー ト チ ャ ネル を作
成す る 機能で、 作成 さ れた ポー ト チ ャ ネルは、 以前の リ リ ー ス と は異な り 、 ホ ス ト vPC と
みな さ れ ません。 こ の機能 を使用す る と 、 ア ッ プ リ ン ク の 1 つ と 、 送信元 MAC ベー ス で
ボ ンデ ィ ン グ を設定で き ます。 対象の リ ン ク の送信元 MAC を持つパケ ッ ト が他の リ ン ク
上で検出 さ れた場合は、 すべて その ま ま破棄 さ れ ます。 Nexus 1000V は ス パニ ン グ ツ リ ー ・
プ ロ ト コ ル を実行 し ないため、 シ ン グル ・ パ ス で MAC ア ド レ ス を利用す る 場合は対応策
が必要にな る 点に注意 し て く だ さ い。
system vlan コ マ ン ド は、 VLAN 設定 を有効化す る ために必要 と な る 重要な設定 コ マ ン ド で
す。 シ ス テ ム VLAN と は、 VEM が VSM に ア ク セ ス す る 前に確立す る 必要の あ る 、 ポー ト
上に設定 さ れた VLAN です。 こ れには特に、 VSM の接続に必要 と な る 、 適切な ア ッ プ リ
ン ク 上の管理 VLAN ま たはパケ ッ ト VLAN が含 ま れ ま す。 ま た、 ア ッ プ リ ン ク 上の ESX
管理 （サー ビ ス ・ コ ン ソ ール） VLAN も こ れに あ た り ま す。 管理ポー ト が Nexus 1000V 上
に あ る 場合、 何 ら かの理由で障害が発生す る と 、 指定 さ れた ポー ト で こ れ ら の VLAN が最
初に起動 し 、 vCenter と の接続 を確立 し て ス イ ッ チの構成デー タ を取得 し ま す。 VSM を実
行 し てい る ESX ホ ス ト では、 その VSM が VEM 上で実行 さ れてい る 場合、 ス ト レージ
VLAN も NFS VMkernel ポー ト 上のシ ス テ ム VLAN で あ る 必要が あ り ま す。
23
設計上の考慮事項 — 4 つのポイ ン ト
•
仮想マ シ ン ・ ネ ッ ト ワ ー ク の可用性 — Nexus 1000V のポー ト プ ロ フ ァ イ ル機能 を利用す る
と 、 UCS ド メ イ ン と ESX ク ラ ス タ 全体にわた っ て シー ム レ ス な ネ ッ ト ワ ー ク 接続 を実現
で き ます。 本設計ガ イ ド の各仮想マ シ ン には、 3 つの有効な仮想 イ ン タ ー フ ェ イ ス が あ り 、
それぞれが個別のプ ロ フ ァ イ ル を継承 し てい ます。 プ ロ フ ァ イ ルは接続要件 と 、 「ネ ッ ト
ワ ー ク の分離に関す る 設計上の考慮事項」 で説明 し てい る セ キ ュ ア な分離の原則に基づい
て設計 さ れてい ます。 フ ロ ン ト エ ン ド 、 バ ッ ク エ ン ド 、 VM/ ア プ リ ケーシ ョ ン管理機能 と
ト ラ フ ィ ッ ク ・ フ ロ ーが、 互いに異な る ト ラ フ ィ ッ ク ・ プ ロ フ ァ イ ルに よ っ て分離 さ れて
い ます。 次に、 プ ラ チナ ・ サー ビ ス ・ レベルのプ ロ フ ァ イ ルの例 を示 し ます （図では、 他
の接続 を示すためにプ ロ フ ァ イ ル名 を短縮 し てい ます）。
port-profile type vethernet Plat_Transactional
vmware port-group
switchport mode access
switchport access vlan 126
service-policy type qos input Platinum_CoS_5
pinning id 0
no shutdown
state enabled
port-profile type vethernet Plat_IO
vmware port-group
switchport mode access
switchport access vlan 301
service-policy type qos input Platinum_CoS_5
pinning id 1
no shutdown
state enabled
マルチテナ ン ト 設計に対応す る サー ビ ス ・ レベル を確立す る には、 pinning id と
services-policy と い う 2 つの コ マ ン ド が重要にな り ま す。 コ マ ン ド の使用方法については、
本文書の関連す る セ ク シ ョ ン で後述 し ます。
SAN の可用性に関する設計上の考慮事項
フ ァ イ バ ・ チ ャ ネル SAN ブー ト の フ ァ ブ リ ッ ク を設計す る 際に考慮すべ き 項目 と し ては、 仮
想 SAN （VSAN）、 ゾー ン構成、 N ポー ト ・ バーチ ャ ラ イ ゼーシ ョ ン、 フ ァ ン ・ イ ン / フ ァ ン ・
ア ウ ト 比率、 高可用性、 ト ポ ロ ジのサ イ ズ な ど が挙げ ら れ ます。 こ う し た コ ン ポーネ ン ト のそ
れぞれが正 し く 設定 さ れていない と 、 フ ァ イ バ ・ チ ャ ネルでは低損失性が求め ら れ る ため、
フ ァ ブ リ ッ ク の可用性低下 を招 き かね ません。 今回のマルチテナ ン ト ・ アーキ テ ク チ ャ では、
SAN の構成が不適切だ と 、 ブー ト OS に影響が及び、 同様にテナ ン ト VM と デー タ ・ セ ッ ト に
も 影響 し ます。 SAN ブー ト 環境 を設計す る には、 フ ァ イ バ ・ チ ャ ネル ・ フ ァ ブ リ ッ ク の基本に
ついて理解 し てい る 必要が あ り ます。
Cisco VSAN と は、 設計ニーズ に基づいて ト ラ フ ィ ッ ク を セ グ メ ン ト 化す る ために、 物理 ス
イ ッ チ を論理的にパーテ ィ シ ョ ニ ン グ し た構成の こ と です。 VSAN を導入す る と 、 プ ラ イ マ
リ ・ ブー ト ・ ト ラ フ ィ ッ ク を セ カ ン ダ リ ・ ト ラ フ ィ ッ ク か ら 分離で き る ため、 信頼性 と 冗長性
が確保 さ れ ます。 さ ら に、 構成が拡大す る につれて、 追加 リ ソ ー ス を新た な VSAN に配置す る
こ と がで き る ため、 ブー ト やデー タ ・ ア ク セ ス の点で あ ら ゆ る セ グ メ ン ト 化のニーズに柔軟に
対応で き ます。 た と えば、 マルチテナ ン ト 環境の拡大に伴 っ て単一の UCSM では対応で き な
く な っ た場合、 新た な SAN ブー ト ・ ホ ス ト を追加で き ます。 既存の コ ン ピ ュ ーテ ィ ン グ ・ ブ
レー ド に影響 を与え た り 、 ポー ト 数に依存す る 新 し い ス イ ッ チ を導入 し た り す る こ と はあ り ま
せん。 さ ら に、 InterVSAN Routing （IVR） を利用す る と 、 同一の VSAN に属 し ていない リ ソ ー
ス で も 、 セ キ ュ ア かつ論理的に関連付け る こ と が可能です。
フ ァ ブ リ ッ ク 内の ゾーニ ン グは、 ホ ス ト と ス ト レージ ・ ポー ト 間で本来の処理 と 関係のないや
り 取 り が発生 し 、 イ ニ シ エー タ に よ る 大量の ク ロ ス ト ー ク のために、 フ ァ ブ リ ッ ク の 「雑音」
が増え る の を防止す る 目的で利用 さ れ ます。 所定の VSAN 内で機能す る ゾー ン を作成す る こ と
で、 イ ニ シ エー タ の単一のポー ト と 目的の ス ト レージ ・ ポー ト を グループ化 し 、 フ ァ ブ リ ッ ク
のセ キ ュ リ テ ィ 強化、 パ フ ォ ーマ ン ス 向上、 ト ラ ブルシ ュ ーテ ィ ン グ に役立て る こ と がで き ま
24
設計上の考慮事項 — 4 つのポ イ ン ト
す。 一般的な SAN ブー ト ・ アーキ テ ク チ ャ は、 冗長 フ ァ ブ リ ッ ク （A と B） を含み、 各 フ ァ
ブ リ ッ ク 内の ゾー ン を通 じ て構築 さ れたプ ラ イ マ リ ・ ブー ト ・ パ ス と セ カ ン ダ リ ・ ブー ト ・ パ
ス を備え てい ます。
従来は、 SAN を拡張す る と 、 必要な ポー ト 数 を満たすために ス イ ッ チ を増やす必要が あ り ま し
た。 こ れは特に、 従来のブ レー ド セ ン タ ー環境について当ては ま る こ と で、 こ の環境では各
フ ァ イ バ ・ チ ャ ネル I/O モ ジ ュ ールが別の ス イ ッ チに接続 し 、 独自のセ キ ュ リ テ ィ 条件に基づ
いて管理 さ れ ます。 ま た、 パ フ ォ ーマ ン ス の点では、 環境内の各 ス イ ッ チ ま たは VSAN には固
有の ド メ イ ン ID が設定 さ れ る ため、 変換用に別の レ イ ヤが追加 さ れ る と い う 問題が あ り ま す。
NPIV （N ポー ト ID バーチ ャ ラ イ ゼーシ ョ ン） は フ ァ イ バ ・ チ ャ ネル ・ プ ロ ト コ ルの機能で、
複数の N ポー ト に よ る 単一物理ポー ト の共有 を可能に し ま す。 ホ ス ト が NPIV 対応のデバ イ ス
に ロ グ イ ンす る と 、 実際には ノ ー ス バ ウ ン ド ・ フ ァ ブ リ ッ ク ・ ス イ ッ チに直接転送 さ れ る た
め、 NPIV は大規模な SAN 環境で特に効果 を発揮 し ま す。 こ の機能に よ り 、 パ フ ォ ーマ ン ス と
管理性が向上 し ます。 NPIV は、 UCS 構成内に あ る フ ァ ブ リ ッ ク ・ イ ン タ ー コ ネ ク ト の コ ン
ポーネ ン ト で あ り 、 すべての ノ ー ス バ ウ ン ド ・ フ ァ ブ リ ッ ク ・ ス イ ッ チで必要 と さ れ ます。
フ ァ ブ リ ッ ク の フ ァ ン イ ン特性 と は、 単一の タ ーゲ ッ ト ・ ポー ト に接続す る ホ ス ト ・ ポー ト の
比率 を表 し ます。 一方で、 フ ァ ン ア ウ ト は、 所定の ホ ス ト にマ ッ ピ ン グ さ れた タ ーゲ ッ ト ・
ポー ト ま たは LUN の比率 を表 し ま す。 ど ち ら も パ フ ォ ーマ ン ス 指標で あ り 、 前者は ス ト レ ー
ジ ・ ポー ト あ た り の ホ ス ト ・ ト ラ フ ィ ッ ク の負荷に関係 し 、 後者はホ ス ト ・ ポー ト あ た り の ス
ト レージの負荷に関係 し てい ます。 フ ァ ン イ ン と フ ァ ン ア ウ ト の最適な比率は、 ス イ ッ チ、 ス
ト レージ ・ ア レ イ 、 HBA ベ ン ダー、 I/O 負荷処理のパ フ ォ ーマ ン ス 特性に応 じ て異な り ます。
FC フ ァ ブ リ ッ ク 内の高可用性は、 パ ス と ス イ ッ チ を冗長化す る こ と で容易に達成で き ます。
使用す る ホ ス ト を冗長な プ ラ イ マ リ ・ イ ニ シ エー タ ・ ポー ト で構成 し 、 対応す る フ ァ ブ リ ッ ク
に接続 し ます。 UCS 環境では、 各ブ レ ー ド ・ サーバにデ ュ アル ・ ポー ト ・ メ ザニ ン ・ カー ド が
装備 さ れてい ます。 ま た、 対応す る vHBA と ブー ト ・ ポ リ シーが構成 さ れ、 タ ーゲ ッ ト ・ デバ
イ ス へのプ ラ イ マ リ ・ ア ク セ ス と 冗長ア ク セ ス を提供 し ます。 こ う し た ポー ト は フ ァ ブ リ ッ
ク ・ イ ン タ ー コ ネ ク ト に N ポー ト と し て ア ク セ ス し 、 ノ ー ス バ ウ ン ド の FC ス イ ッ チに転送 さ
れ ます。 冗長 FC ス イ ッ チ内の ゾーニ ン グは、 あ る リ ン ク で障害が発生 し た場合に、 他の リ ン
ク がデー タ ・ ア ク セ ス を処理す る よ う に構成 し ます。 オペ レーテ ィ ン グ ・ シ ス テ ム に よ っ ては
マルチパ ス ・ ソ フ ト ウ ェ ア を イ ン ス ト ール し 、 LUN の一貫性 と 整合性 を確保 し ます。
SAN ブー ト ・ アーキ テ ク チ ャ を設計す る 際は、 全体のサ イ ズ と 、 割 り 当て ら れた ス ト レージに
ア ク セ ス す る ま でに イ ニ シ エー タ が経由す る ホ ッ プ数 を考慮 し ます。 使用す る ス イ ッ チ間 リ ン
ク 全体で、 接続 さ れてい る デバ イ ス と ホ ッ プの数が少ないほ ど、 フ ァ ブ リ ッ ク のパ フ ォ ーマ ン
ス が高 ま り ます。 使用す る ス イ ッ チ ・ リ ン ク 全体での一般的な ホ ス ト の比率は、 7:1 か ら 10:1
の間が目安にな り ますが、 25:1 程度 ま では許容範囲です。 こ の比率はアーキ テ ク チ ャ のサ イ ズ
と 、 必要 と さ れ る パ フ ォ ーマ ン ス に応 じ て大幅に変動 し ます。
SAN 接続は次の条件 を満た し てい る 必要が あ り ま す。
•
冗長 VSAN と 、 関連付け ら れた ゾー ン を利用す る こ と
•
適切な場所に、 冗長 ISL （ ス イ ッ チ間 リ ン ク ） が設定 さ れてい る こ と
•
冗長 タ ーゲ ッ ト ・ ポー ト を備え てい る こ と
•
フ ァ イ バ ・ チ ャ ネル SAN ブー ト ・ イ ン フ ラ の フ ェ イ ルオーバー機能 を提供す る 冗長 フ ァ ブ
リ ッ ク を備え てい る こ と
25
設計上の考慮事項 — 4 つのポイ ン ト
ス ト レージの可用性に関する設計上の考慮事項
RAID グループ と アグ リ ゲー ト によ るデー タ の可用性
RAID グループは、 あ ら ゆ る タ イ プの ア プ リ ケーシ ョ ン ・ デー タ ・ セ ッ ト や仮想マ シ ン環境 を
収容す る 、 耐障害性 を備え た ス ト レージ ・ ア レ イ を構築す る う え で基礎 と な る ビ ルデ ィ ン グ ・
ブ ロ ッ ク です。 使用す る RAID グループに よ っ て、 保護の レ ベルや コ ス ト は さ ま ざ ま です。 ハ
イ パーバ イ ザー ・ ブー ト 、 ゲ ス ト VM、 ア プ リ ケーシ ョ ン ・ デー タ ・ セ ッ ト はすべて、 共有の
ス ト レージ ・ イ ン フ ラ に実装 さ れ る ため、 高度な保護機能 を提供す る ス ト レージ ・ コ ン ト ロ ー
ラ は、 マルチテナ ン ト 環境の設計に あ た っ て重要な考慮事項 と な り ます。 さ ら に、 デ ィ ス ク ・
サ イ ズが大 き く な る と 、 複数 ド ラ イ ブの障害に よ る 影響 も 拡大 し ます。 RAID-DP 搭載の
NetApp ス ト レージ ・ シ ス テ ム を導入すれば、 手頃な価格で優れた保護機能 を実現で き ます。
RAID-DP は Data ONTAP の標準機能で あ り 、 2 つのパ リ テ ィ ・ デ ィ ス ク を使用す る こ と に よ
り 、 二重デ ィ ス ク 障害か ら デー タ を保護 し ます。 従来のシ ン グルパ リ テ ィ ・ ア レ イ は、 1 台の
デ ィ ス ク 障害や、 エ ラ ー ・ ビ ッ ト に よ る 読み取 り 処理中のエ ラ ーな ど、 単一の障害 イ ベ ン ト に
対 し て適切な保護機能 を提供 し ます。 いずれの場合 も 、 影響 を受け ていないデ ィ ス ク 上に残 さ
れたデー タ と パ リ テ ィ を利用 し てデー タ が再作成 さ れ ます。 読み取 り エ ラ ーが発生す る と 、 ほ
ぼ瞬時に修正が実行 さ れ、 多 く の場合、 デー タ はオ ン ラ イ ン の ま ま維持 さ れ ます。 ド ラ イ ブ障
害が発生す る と 、 該当す る デ ィ ス ク 上のデー タ を再作成す る 必要が あ る ため、 ス ペア ・ デ ィ ス
ク 上にすべてのデー タ が再構築 さ れ る ま で ア レ イ は脆弱な状態にな り ます。 NetApp ア レ イ は
RAID-DP を実装 し てお り 、 2 つ目のパ リ テ ィ ・ ド ラ イ ブが存在す る ため、 単一 ま たは二重の障
害 イ ベ ン ト が発生 し て も デー タ は保護 さ れ ます。 パ フ ォ ーマ ン ス への影響はほ と ん ど あ り ませ
ん。 NetApp コ ン ト ロ ー ラ を利用すれば、 優れた可用性 を実現 し なが ら 、 割 り 当て る ハー ド
ウ ェ ア数 を減 ら す こ と がで き ます。
ア グ リ ゲー ト は 1 つ以上の RAID グループ を集合 し た も ので、 こ の集合体は 1 つ以上の フ レ キ
シブル ・ ボ リ ュ ー ム にパーテ ィ シ ョ ニ ン グ さ れ ます。 各ボ リ ュ ー ム は フ ァ イ ル ・ レベル （NFS
ま たは CIFS） のマ ウ ン ト ・ ポ イ ン ト と し て分配 さ れ る か、 さ ら に LUN と し て割 り 当て ら れ
て、 ブ ロ ッ ク ・ レベル （iSCSI ま たは FCP） ア ク セ ス で利用 さ れ ます。 NetApp 独自の ス ト レー
ジ仮想化機能 を利用すれば、 共有 ス ト レージ ・ イ ン フ ラ 内に含 ま れ る すべてのデー タ ・ セ ッ ト
ま たは仮想マ シ ン は、 パ フ ォ ーマ ン ス と 保護の点で優れた RAID-DP を利用で き ます。 た と え
ば、 UCS 構成では最大で 640 の ロ ーカル ・ デ ィ ス ク （ブ レ ー ド あ た り 2 台） を利用で き ます
が、 こ れ ら は 320 の独立 し た RAID 1 ア レ イ と し て構成 さ れ、 それぞれに個別のハ イ パーバ イ
ザー OS が イ ン ス ト ール さ れ ま す。 それに対 し 、 RAID-DP を実装 し た NetApp ア レ イ を使用す
れば、 パ フ ォ ーマ ン ス と 可用性の点で、 こ う し た複数の OS を 1 つの大規模な ア グ リ ゲー ト 内
に イ ン ス ト ール し 、 プール さ れた リ ソ ー ス を利用す る こ と がで き ます。
ハイ ・ アベ イ ラ ビ リ テ ィ ・ ス ト レージ構成
性能の劣 る RAID 構成はデー タ の可用性に悪影響 を及ぼ し 、 デー タ を提供す る ス ト レ ージ ・ コ
ン ト ロ ー ラ 全体に障害が発生すれば、 重大な損害 を招 き かね ません。 RAID-DP と NetApp HA
ペア を組み合わせ る と 、 マルチテナ ン ト ・ ソ リ ュ ーシ ョ ン で継続的なデー タ 可用性が実現 し ま
す。 HA ペア構成の NetApp コ ン ト ロ ー ラ を導入す る と 、 障害発生時 と ア ッ プ グ レー ド 時の両
方で環境の可用性が保証 さ れ ます。
HA ペア の ス ト レージ ・ コ ン ト ロ ー ラ には、 シ ス テ ム障害発生時に、 パー ト ナーの役割 を シー
ム レ ス に引 き 継 ぐ 機能が あ り ます。 こ の と き 、 コ ン ト ロ ー ラ のパー ソ ナ リ テ ィ 、 IP ア ド レ ス 、
SAN 情報、 提供す る デー タ への ア ク セ ス 権が引 き 継がれ ま す。 こ れは、 ク ラ ス タ ・ イ ン タ ー コ
ネ ク ト 、 管理者に よ る 簡単な セ ッ ト ア ッ プ、 ス ト レージへの冗長パ ス に よ っ て実現 さ れ ます。
計画外停止が発生 し た場合に、 各 ノ ー ド がそれぞれのパー ト ナーの ア イ デ ン テ ィ テ ィ を引 き 継
ぐ よ う 、 関連付け ら れた ホ ス ト か ら 再設定 を行 う 必要はあ り ません。 ま た、 HA ペア を使用す
る と 、 ソ フ ト ウ ェ ア の イ ン ス ト ール と ハー ド ウ ェ ア の ア ッ プ グ レー ド の際に、 無停止ア ッ プ グ
レー ド を実行で き ます。 ア イ デ ン テ ィ テ ィ のテ イ ク オーバー と ギ ブバ ッ ク を行 う には、 簡単な
コ マ ン ド を実行す る だけです。
HA ペア の導入時には、 次の よ う な点 を考慮す る 必要が あ り ま す。
•
26
ベ ス ト ・ プ ラ ク テ ィ ス を導入 し 、 すべての ノ ー ド が 1 台で シ ス テ ム全体の負荷 を処理で き
る よ う にす る こ と
設計上の考慮事項 — 4 つのポ イ ン ト
•
ス ト レージ ・ コ ン ト ロ ー ラ 間では、 ク ラ ス タ ・ イ ン タ ー コ ネ ク ト ・ ケーブル を通 じ てハー
ト ビー ト 情報 をや り 取 り す る こ と
•
テ イ ク オーバー処理が数秒で完了す る こ と
•
ク ラ イ ア ン ト ・ ホ ス ト への TCP セッ シ ョ ン が、 タ イ ム ア ウ ト 期間に従っ て 再確立さ れる こ と
•
一部のパ ラ メ ー タ は、 パー ト ナー ・ ノ ー ド と ま っ た く 同一に設定す る 必要が あ る こ と
NetApp HA ペア の詳細情報については、 http://media.netapp.com/documents/clustered.pdf を参照
し て く だ さ い。
LACP によ る ス ト レージ ・ ネ ッ ト ワー クの接続 （VIF）
NetApp では、 ネ ッ ト ワ ー ク ・ ポー ト の ア グ リ ゲーシ ョ ン と 冗長化のために、 3 タ イ プの VIF
（仮想 イ ン タ ー フ ェ イ ス ） を サポー ト し てい ます。
•
シ ン グルモー ド
•
ス タ テ ィ ッ ク ・ マルチモー ド
•
ダ イ ナ ミ ッ ク ・ マルチモー ド
セ キ ュ ア ・ ク ラ ウ ド 環境では、 信頼性向上 と エ ラ ー ・ レ ポー ト 機能の強化、 さ ら には Cisco
Virtual Port Channel と の互換性のために、 ダ イ ナ ミ ッ ク ・ マルチモー ド VIF を使用 し てい ます。
ダ イ ナ ミ ッ ク ・ マルチモー ド VIF は、 Link Aggregation Control Protocol （LACP） を通 じ て複数
の イ ン タ ー フ ェ イ ス を グループ化 し 、 単一の論理 リ ン ク と し て動作 さ せ ます。 こ れに よ り 、 ス
ト レージ ・ コ ン ト ロ ー ラ と Cisco Nexus と の間で イ ン テ リ ジ ェ ン ト な通信が行われ、 複数の物
理 イ ン タ ー フ ェ イ ス 全体での負荷分散 と フ ェ イ ルオーバー機能が実現 し ます。
ス ト レージのバ ッ ク ア ッ プ と リ ス ト ア
NetApp ス ト レージ ・ コ ン ト ロ ー ラ は、 デー タ のバ ッ ク ア ッ プ と リ ス ト ア の さ ま ざ ま な メ カ ニ
ズ ム を サポー ト し てい ます。 こ れは、 共有 イ ン フ ラ か ら な る マルチテナ ン ト ・ アーキ テ ク チ ャ
では特に重要です。 こ のセ ク シ ョ ン では、 デー タ の保持 と リ カバ リ に関 し て、 Data ONTAP が
サポー ト す る コ ン セプ ト を説明 し ます。 環境には既存のバ ッ ク ア ッ プ ・ ソ リ ュ ーシ ョ ン が導入
さ れてい る こ と も 少な く あ り ませんが、 重要なのは、 NetApp ソ フ ト ウ ェ ア ・ ス イ ー ト は こ う
し た ア プ リ ケーシ ョ ン の多 く と シー ム レ ス に統合で き る 点です。 こ れ を踏 ま え、 以下のセ ク
シ ョ ン では、 フ ァ イ ル、 ボ リ ュ ー ム、 ア グ リ ゲー ト のバ ッ ク ア ッ プ と リ ス ト ア に関 し 、 利用可
能な オプ シ ョ ン と 柔軟性 を具体的に説明 し ます。
セ キ ュ ア ・ ク ラ ウ ド に NetApp が提供す る 、 デー タ の主要なバ ッ ク ア ッ プ、 レ プ リ ケー ト 、 リ
ス ト ア の方法は次の と お り です。
•
プ ラ イ マ リ ・ フ ァ イ ルシ ス テ ム の Snapshot （ア グ リ ゲー ト ・ レベル と ボ リ ュ ー ム ・ レベル）
と SnapRestore
•
SnapMirror と SnapVault
Snapshot
ア グ リ ゲー ト Snapshot は、 ア グ リ ゲー ト 内のすべての フ レ キ シブル ・ ボ リ ュ ー ム を含め、 ア グ
リ ゲー ト 全体に含 ま れ る すべてのデー タ のポ イ ン ト イ ン タ イ ム ・ ビ ュ ー を提供 し ます。 ア グ リ
ゲー ト Snapshot の リ ス ト ア を実行す る と 、 対象の ア グ リ ゲー ト 内のすべての フ レ キ シブル ・ ボ
リ ュ ー ム について、 格納 さ れてい る 全デー タ が Snapshot と 同 じ 時点 ま で リ ス ト ア さ れ、 現在の
デー タ は上書 き さ れ ます。
関連付け ら れた ア プ リ ケーシ ョ ン は 1 つのボ リ ュ ー ム内に含 ま れ る ため、 ボ リ ュ ー ムベー ス
Snapshot はボ リ ュ ー ム ・ レベルで作成 さ れ ます。 ボ リ ュ ー ム Snapshot では、 次の点につい て考
慮 し ます。
•
ボ リ ュ ー ム内に保持で き る ア ク テ ィ ブな Snapshot の数は 255 個 ま で
•
Snapshot は読み取 り 専用。 Snapshot はデー タ のプ ラ イ マ リ ・ コ ピー時に ス ケ ジ ュ ー リ ン グ
27
設計上の考慮事項 — 4 つのポイ ン ト
•
Snapshot の作成前には、 デー タ の整合性が確実に取れてい る よ う 、 すべての対策 を講 じ る
こと
•
Snapshot の自動削除機能 を有効にす る と 、 古 く な っ た Snapshot を削除 し て ス ペー ス を節約
可能
•
ア プ リ ケーシ ョ ン所有者は、 自身の読み取 り 専用 Snapshot を表示可能
•
Snapshot はテープ ま たは仮想テープに簡単にバ ッ ク ア ッ プ可能
Snapshot は さ ま ざ ま な方法で実行で き ます。 主な方法には次の よ う な も のが あ り ます。
•
ス ト レージ管理者がセ ッ ト ア ッ プす る 、 ス ケ ジ ュ ール さ れた Snapshot （非同期）
•
ZAPI （HTTPS を介 し た XML プ ロ ト コ ル） に よ る リ モー ト 認証 Snapshot
•
ア プ リ ケーシ ョ ン ご と にプ ロ キ シ ・ ホ ス ト に よ っ て分離 さ れた Snapshot
SnapMirror と SnapVault
SnapMirror はデ ィ ザ ス タ ・ リ カバ リ （災害復旧） ソ リ ュ ーシ ョ ン と し て使用 さ れ る ほか、 コ ン
ト ロ ー ラ ま たは vFiler ユニ ッ ト を追加す る 際のボ リ ュ ー ム複製に も 利用 さ れ る レ プ リ ケーシ ョ
ン ・ ソ フ ト ウ ェ ア です。 ミ ラ ーはプ ラ イ マ リ ・ ス ト レージ上のデー タ と ま っ た く 同一の レ プ リ
カ です。 すべての ロ ーカル Snapshot コ ピーが含 ま れ、 障害時には読み取 り / 書 き 込みデー タ と
し て マ ウ ン ト し て リ カバ リ を実行で き ます。 ソ ー ス 上で Snapshot バ ッ ク ア ッ プが削除 さ れ る
と 、 次回の レ プ リ ケーシ ョ ン の実行時には ミ ラ ーか ら も 削除 さ れ ます。 SnapMirror では、 次の
点について考慮 し ます。
•
SnapMirror はテープ ま たは仮想テープに簡単にバ ッ ク ア ッ プ可能
•
SnapMirror は、 全社規模で リ モー ト ・ オ ン ラ イ ン ・ バ ッ ク ア ッ プ を実行す る ための手段 を
提供可能
•
SnapMirror は、 プ ラ イ マ リ ・ シ ス テ ム の フ ェ イ ルオーバーや保守のために、 読み取 り / 書
き 込みデー タ と し て マ ウ ン ト 可能
こ れに対 し て、 SnapVault はデ ィ ス ク ツーデ ィ ス ク ・ バ ッ ク ア ッ プ を目的 と し てい ま す。 タ ー
ゲ ッ ト 環境に独立 し た Snapshot 保持ポ リ シー を指定す る こ と で、 セ カ ン ダ リ ・ ス ト レージにお
け る Snapshot バ ッ ク ア ッ プの長期保存 を可能に し ま す。 セ カ ン ダ リ ・ コ ピーは SnapVault か ら
のみ管理で き 、 読み取 り / 書 き 込みデー タ と し てはマ ウ ン ト で き ま せん。 バ ッ ク ア ッ プ を再び
使用で き る よ う にす る には、 セ カ ン ダ リ ・ ス ト レージ か ら 元のプ ラ イ マ リ ・ ス ト レージ ・ シ ス
テ ム、 ま たは代わ り のプ ラ イ マ リ ・ ス ト レージ ・ シ ス テ ム に リ カバ リ す る 必要が あ り ます。
SnapMirror と 同様に、 SnapVault も テープ ま たは仮想テープに簡単にバ ッ ク ア ッ プで き ま す。
SnapVault では、 次の点について考慮 し ま す。
•
SnapVault を SnapMirror と 併用す る と 、 多層的な アーカ イ ブ ・ ワ ー ク フ ロ ー を実現で き る
•
SnapVault には Snapshot のブ ロ ッ ク レベルの変更点のみが格納 さ れ る ため、 読み取 り / 書 き
込みデー タ と し て マ ウ ン ト す る こ と はで き ない
セキ ュ アな分離
2 番目のポイ ン ト であ る 「 セキ ュ ア な 分離」 と は、 あ る 顧客が別の顧客の環境にア ク セス する こ
と や、 ク ラ ウ ド ・ イ ン フ ラ の管理機能にテ ナン ト がア ク セス する こ と を 防ぐ パーテ ィ シ ョ ニ ン
グ のこ と です。 テ ナン ト がプロ ビ ジ ョ ニ ン グ さ れる と 、 その環境には次のも のが配備さ れま す。
28
•
1 つ以上の仮想マ シ ン （VM） ま たは vApp
•
1 つ以上の仮想 ス ト レージ ・ コ ン ト ロ ー ラ （vFiler ユ ニ ッ ト ）
•
こ れ ら の リ ソ ー ス を相互接続 し 、 リ ソ ー ス に ア ク セ ス で き る よ う にす る 1 つ以上の VLAN
設計上の考慮事項 — 4 つのポ イ ン ト
こ う し たエ ン テ ィ テ ィ を総合す る こ と で、 テナ ン ト が侵害す る こ と ので き ない、 リ ソ ー ス の論
理パーテ ィ シ ョ ン を形成 し ます。 こ こ では、 コ ン ピ ュ ーテ ィ ン グ、 ネ ッ ト ワ ー ク 、 ス ト レージ
の全体にわた っ て セ キ ュ ア な分離 を達成す る ための、 設計上の考慮事項 と ベ ス ト ・ プ ラ ク テ ィ
ス を説明 し ます。 表 2 に要約 を示 し ま す。
表2
セキ ュ アに分離する手段
コ ン ピ ュ ーテ ィ ン グ
ネ ッ ト ワー ク
•
UCS Manager と vSphere
の RBAC
•
Access Control List （ACL;
ア ク セ ス 制御 リ ス ト ）
•
vShield と Nexus 1000V に
よ る VM のセ キ ュ リ テ ィ
•
VLAN に よ る セ グ メ ン
ト化
•
UCS に よ る リ ソ ー ス ・
プールの分離
•
QoS 分類
ス ト レ ージ
•
vFiler ユニ ッ ト
•
IP space
•
VLAN に よ る セ グ メ ン
ト化
ア ク セス制御に関する設計上の考慮事項
マルチテナ ン ト 環境 を保護す る には、 ア ク セ ス 制御の方法 を適切に計画 し 、 設計す る こ と が不
可欠です。 こ こ では、 次の方法 を使用 し た ア ク セ ス 制御について説明 し ます。
•
UCS、 vCenter、 NetApp それぞれに対す る Role-Based Access Control （RBAC; ロ ールベー
ス ・ ア ク セ ス 制御）
•
Cisco Nexus ス イ ッ チの ACL
UCS Manager、 vCenter、 NetApp を使用 し た RBAC
UCS Manager には、 ロ ールベー ス の管理機能が備わ っ てい る ため、 管理者の人数が少な く て
も 、 効率的な作業が可能にな り ます。 Cisco UCS Manager を使用す る と 、 組織は、 チー ム ワ ー
ク 、 コ ラ ボ レーシ ョ ン、 全体の効率 を向上 さ せなが ら 、 IT の規律 を維持で き ま す。 サーバ、
ネ ッ ト ワ ー ク 、 ス ト レージの管理者は、 統合 さ れた単一の管理環境内で、 それぞれの ド メ イ
ン ・ ポ リ シーに対す る 責任 と 義務 を果たす こ と がで き ます。 コ ン ピ ュ ーテ ィ ン グ ・ イ ン フ ラ を
プ ロ ビ ジ ョ ニ ン グす る には、 以前は複数の領域間の調整 を手作業で行わな ければな ら ず時間が
かか っ てい ま し たが、 今やそ う し た作業は不要にな り ま し た。 シ ス テ ム内の ロ ール と 権限は容
易に変更で き 、 新 し い ロ ール も 短時間で作成で き ます。
管理者は、 コ ン ピ ュ ーテ ィ ン グ ・ イ ン フ ラ と ネ ッ ト ワ ー ク 接続 を プ ロ ビ ジ ョ ニ ン グす る ために
必要な ポ リ シーの定義に集中で き ます。 アーキ テ ク チ ャ の戦略上の問題について管理者同士が
連携で き る よ う にな り 、 基本的なサーバ構成の実装は自動化で き ます。 Cisco UCS Manager は、
マルチテナ ン ト ・ サー ビ ス のプ ロ バ イ ダや、 それぞれが独立 し た ビ ジ ネ ス ・ ユ ニ ッ ト で あ る 社
内 ク ラ イ ア ン ト に対 し てサー ビ ス を提供す る 企業のデー タ ・ セ ン タ ーに対応 し てい ます。 シ ス
テ ム を論理的にパーテ ィ シ ョ ニ ン グ し て、 さ ま ざ ま な ク ラ イ ア ン ト や顧客に割 り 当て、 ク ラ イ
ア ン ト ま たは顧客独自のシ ス テ ム と し て管理で き ます。
UCS Manager では、 「 ロ ール」 と 「 ロ ケール」 に基づいて ユーザのシ ス テ ムへの ア ク セ ス を制
限 ま たは許可す る 方法に RBAC を利用 し てい ま す。 ロ ールには、 1 つ以上のシ ス テ ム権限 を含
め る こ と がで き 、 権限 ご と に、 シ ス テ ム内の特定のオブジ ェ ク ト 、 ま たは特定のオブジ ェ ク
ト ・ タ イ プに対す る 管理権が定義 さ れ ます。 ロ ール を割 り 当て ら れたユーザは、 その ロ ールで
定義 さ れた権限の機能 を継承 し ます。 た と えば、 サーバ ・ ロ ールの場合、 ブ レー ド のプ ロ ビ
ジ ョ ニ ン グ を責任範囲 と し 、 サー ビ ス ・ プ ロ フ ァ イ ルの作成、 変更、 削除 を権限 と し て持たせ
る こ と がで き ます。
UCS Manager は、 UCSM デー タ ベー ス 内での ロ ーカル ・ ユーザの作成 を サポー ト し てい ま す。
ま た、 LDAP、 RADIUS、 TACACS+ な ど のネー ム ・ サー ビ ス と 統合で き る ため、 リ モー ト ・
ユーザに も 対応 し ます。 ユーザが UCS Manager に ロ グ イ ンす る と 、 該当す る バ ッ ク エ ン ド の
ネー ム ・ サー ビ ス に照会 し て認証 さ れ、 その ロ ールに基づいて権限 を割 り 当て ら れ ます。
29
設計上の考慮事項 — 4 つのポイ ン ト
「サーバ ・ ロ ール」 を割 り 当て ら れたユーザは、 UCS 内でサーバ関連の処理 を実行 し ま す。
「ネ ッ ト ワ ー ク ・ ロ ール」 を割 り 当て ら れたユーザは、 ネ ッ ト ワ ー ク 権限 を持ち、 ネ ッ ト ワ ー
ク 関連の タ ス ク を管理 し ます。 ス ト レージ ・ ロ ールは、 SAN 関連の処理 を実行 し ま す。 AAA
ロ ールの範囲は、 UCS 全体にわた り ま す。 管理者 ロ ールは、 UNIX 環境の root ユーザに相当 し
ます。 管理者 ロ ールの リ ソ ー ス に対す る 権限に制限はあ り ません。
UCS の RBAC を適切に設計、 設定 し た ら 、 次に、 vCenter で ア ク セ ス 制御 を設計 し ます。 ユー
ザ、 グループ、 ロ ール、 パー ミ ッ シ ョ ン を使用 し て、 特定のテナ ン ト ・ リ ソ ー ス に対す る ア ク
セ ス と 、 実行で き る 処理 を制御す る こ と が不可欠です。 vCenter には、 テナ ン ト ・ リ ソ ー ス へ
の ア ク セ ス を保護す る ための RBAC が組み込 ま れてい ま す。 次に、 セ キ ュ ア なユーザ ・ ア ク セ
ス ・ モデルの設計において、 理解すべ き 主な概念 を説明 し ます。
vCenter では、 ロ ール と は、 あ ら か じ め定義 さ れた一連の権限セ ッ ト です。 権限は、 処理 を実
行 し プ ロ パテ ィ を読み込むために必要な、 個々の基本的な権利 を定義 し ます。 ユーザ ま たはグ
ループにパー ミ ッ シ ョ ン を割 り 当て る には、 そのユーザ ま たはグループ と ロ ール と をペア に
し 、 そのペア を vSphere の イ ンベ ン ト リ ・ オブジ ェ ク ト に関連付け ま す。 テナ ン ト A と B に対
し て それぞれ リ ソ ー ス ・ プール A と B が存在す る マルチテナ ン ト 環境では、 テナ ン ト A の グ
ループに対 し て、 リ ソ ー ス ・ プール A に あ る 仮想マ シ ン のユーザ ・ ロ ール を割 り 当て る こ と が
で き ます。 こ う す る こ と で、 テナ ン ト A グループのユーザは、 リ ソ ー ス ・ プール A 内の仮想
マ シ ン を起動す る こ と がで き ます。 ただ し 、 こ の グループが、 リ ソ ー ス ・ プール B やその他の
リ ソ ー ス ・ プールに ア ク セ ス し て読み取 り や処理 を実行す る こ と は一切で き ません。
vCenter では、 1 つのパー ミ ッ シ ョ ン は、 ユーザ ま たはグループ と 、 仮想マ シ ンや vApp な ど の
イ ンベ ン ト リ ・ オブ ジ ェ ク ト に割 り 当て ら れた ロ ールで構成 さ れてい ます。 パー ミ ッ シ ョ ン に
よ っ て、 ロ ールが割 り 当て ら れたオブジ ェ ク ト に対 し 、 ロ ールで指定 さ れた処理 を実行す る 権
利がユーザに与え ら れ ます。
NetApp ス ト レージ ・ イ ン フ ラ の管理 ロ ール と 権限は、 Operations Manager で定義 さ れ、 NetApp
Management Console （Provisioning Manager と Protection Manager の両方 を含む） を通 じ た あ ら
ゆ る ア ク セ ス に適用 さ れ ます。 サポー ト さ れ る 認証方式は、 LDAP、 Windows の ロ ーカル認証
と ド メ イ ン認証、 Active Directory、 UNIX の ロ ーカル ・ パ ス ワ ー ド 、 NIS、 NIS+ です。
SnapManager for Virtual Infrastructure では、 Windows Active Directory と ロ ーカル認証 を使用 し た
ロ ールベー ス の管理が行え ます。 ま た SANscreen は、 LDAP、 Windows Active Directory、 ロ ー
カル ・ ユーザ ・ デー タ ベー ス の認証方法 を使用 し た ロ ールベー ス ・ マ ネ ジ メ ン ト に対応 し てい
ます。
ユーザ と グループのベス ト ・ プ ラ ク テ ィ ス
•
個々の ホ ス ト 上でユーザやグループ を定義す る 代わ り に、 vCenter Server を使用 し て ア ク セ
ス 制御 を一元化 し ます
•
vCenter Server で、 vCenter と UCS Manager の両方に対 し て 「 ク ラ ウ ド 管理者」 ロ ール を持
つ ロ ーカル管理者グループ を定義 し ます
•
vCenter Server で、 テナ ン ト ご と に <tenant_name> user と <tenant_name> admin と い う 2 つ
の グループ を定義 し ます
ロール と 権限のベス ト ・ プ ラ ク テ ィ ス
30
•
RBAC 機能 を活用す る と 、 ク ラ ウ ド 管理者は UCS 管理のために、 「サーバ管理者」、 「ネ ッ
ト ワ ー ク 管理者」、 「 ス ト レージ管理者」 を定義で き ます
•
定義 し た グループそれぞれに特定の ロ ール を定義 し ます。 各 ロ ールにおいて ユーザが担 う
業務 と 、 対応す る 権限 ま たはパー ミ ッ シ ョ ン を表 3 に示 し ま す。 ロ ールには こ れ ら の権限
ま たはパー ミ ッ シ ョ ン を割 り 当て て、 その ロ ールが所定の処理 を実行で き る よ う にす る 必
要が あ り ます
設計上の考慮事項 — 4 つのポ イ ン ト
表3
ロ ール
vCenter Server のロール と 権限の割 り 当て
担当業務
ク ラ ウ ド 管理者 共有サー ビ ス ・ イ ン フ ラ の導
入、 構成、 マ ネ ジ メ ン ト
権限
すべて
テナ ン ト ・ リ ソ ー ス ・ プール
の構築 と 管理
vShield Manager での フ ァ イ ア
ウ ォ ール ・ ルールの作成
テナ ン ト ・ ユーザ、 テナ ン
ト ・ グループの ロ ール と パー
ミ ッ シ ョ ン の作成、 割 り 当て、
変更
テナ ン ト 管理者 専用の リ ソ ー ス ・ プールで
の仮想マ シ ン ま たは vApp の
導入
仮想マ シ ン ま たは vApp の
ネ ッ ト ワ ー ク への割 り 当て
Virtual Machine.Inventory.Create
Virtual Machine.Configuration.Add New Disk
（新 し い仮想デ ィ ス ク を作成す る 場合）
Virtual Machine.Configuration.Add Existing
Disk （既存の仮想デ ィ ス ク を使用す る 場合）
仮想マ シ ン ま たは vApp の
Virtual Machine.Configuration.Raw Device
CPU/ メ モ リ リ ソ ー ス 割 り 当て
（RDM デバ イ ス ま たは SCSI パ ス ス ルー ・
の変更
デバ イ ス を使用す る 場合）
Resource.Assign Virtual Machine to Resource
Pool
Datastore.Allocate Space
Network.Assign Network
テナ ン ト ・
ユーザ
仮想マ シ ン でのゲ ス ト ・ オペ
レーテ ィ ン グ ・ シ ス テ ム の イ
ン ス ト ール
Virtual Machine.Interaction.Answer Question
Virtual Machine.Interaction.Console
Interaction
仮想マ シ ン の フ ロ ッ ピー、
CD/DVD メ デ ィ ア の構成
Virtual Machine.Interaction.Device Connection
仮想マ シ ン の起動 / 終了、 リ
セ ッ ト 、 一時停止
Virtual Machine.Interaction.Power On
リ モー ト ・ コ ン ソ ール ・ ア ク
セス
Virtual Machine.Interaction.Power Off
Virtual Machine.Interaction.Reset
Virtual Machine.Interaction.Configure CD
Media （CD か ら イ ン ス ト ールす る 場合）
Virtual Machine.Interaction.Configure Floppy
Media （フ ロ ッ ピー ・ デ ィ ス ク か ら イ ン ス
ト ールす る 場合）
Virtual Machine.Interaction.Tools Install
vSphere オブ ジ ェ ク ト へのパー ミ ッ シ ョ ンの割 り 当て
vCenter に組み込 ま れた RBAC 機能は、 テナ ン ト 同士が互いの管理 リ ソ ー ス に ア ク セ ス す る こ
と を防ぎ ます。 た と えば、 テナ ン ト A か ら は、 テナ ン ト B が所有す る 仮想マ シ ン /vApp は見
え ません。 vCenter Server で vSphere オブ ジ ェ ク ト に対 し てパー ミ ッ シ ョ ン の割 り 当て を行 う
と 、 マルチテナ ン ト 環境でそれぞれのパー ミ ッ シ ョ ン を カ ス タ マ イ ズ で き ます。
31
設計上の考慮事項 — 4 つのポイ ン ト
オブ ジ ェ ク ト へのパー ミ ッ シ ョ ン割 り 当てのベス ト ・ プ ラ ク テ ィ ス
•
デー タ ・ セ ン タ ー ・ レベルでは、 ク ラ ウ ド 管理者ユーザ を含むグループ を追加 し 、 こ の グ
ループに 「 ク ラ ウ ド 管理者」 ロ ール を割 り 当て ます。 こ う す る こ と で、 ク ラ ウ ド 管理者は、
vCenter Server に よ っ て管理 さ れてい る すべてのオブ ジ ェ ク ト （ ク ラ ス タ 、 ESX ホ ス ト 、 リ
ソ ー ス ・ プール、 デー タ ス ト ア、 仮想マ シ ン、 仮想 ス イ ッ チな ど） に ア ク セ ス で き ます
•
個々のテナ ン ト ・ リ ソ ー ス ・ プール ・ レベルでは、 テナ ン ト 管理者 を含む特定のテナ ン
ト ・ グループ を追加 し 、 こ の グループに 「テナ ン ト 管理者」 ロ ール を割 り 当て ます。 こ れ
に よ っ て テナ ン ト 管理者は、 それぞれの専用 リ ソ ー ス ・ プール内に新 し い仮想マ シ ンや
vApp を プ ロ ビ ジ ョ ニ ン グ で き る よ う にな り ます
•
個々の仮想マ シ ン ま たは vApp レ ベルでは、 テナ ン ト ・ ユーザ を含む特定のテナ ン ト ・ グ
ループ を追加 し 、 こ の グループに 「テナ ン ト ・ ユーザ」 ロ ール を割 り 当て ます。 こ れに
よ っ て テナ ン ト ・ ユーザは、 仮想マ シ ン の リ モー ト ・ コ ン ソ ールに ア ク セ ス し 、 必要な起
動 / 終了 を実行で き る よ う にな り ま す
上記のパー ミ ッ シ ョ ン割 り 当ては、 シ ン プル さ と セ キ ュ リ テ ィ を念頭においた設計で、 個々の
テナ ン ト ・ ユーザ と 管理者に最低限の権限のみ を付与す る も の と な っ てい ます。 vCenter には、
環境内で必要が生 じ た場合に、 所定の管理オブジ ェ ク ト や タ ス ク に対 し て所定の権限 を追加、
削除す る 柔軟性が備わ っ てい ます。 セ キ ュ リ テ ィ のベ ス ト ・ プ ラ ク テ ィ ス ・ ガ イ ド ラ イ ン に従
う には、 ク ラ ウ ド 管理者が こ う し た変更 を検討 し 、 実行す る 必要が あ り ます。
ACL
ACL は従来、 ネ ッ ト ワ ー ク への望 ま し く ない ア ク セ ス に対す る 保護 と ブ ロ ッ ク に使用 さ れてい
ます。 ま た、 ACL は、 必要な機能に基づいて ア プ リ ケーシ ョ ンやエ ン テ ィ テ ィ を分離す る 際に
も 使用で き ます。 分離のために ACL を使用す る と 、 次の よ う に多 く の制約が生 じ る こ と が あ
り ます。
•
パ フ ォ ーマ ン ス と ス ケー ラ ビ リ テ ィ — ハー ド ウ ェ ア でパケ ッ ト を ド ロ ッ プす る 機能
•
運用上の複雑 さ — ア プ リ ケーシ ョ ン、 共有エ ン テ ィ テ ィ の ID の管理 と 識別な ど
上記の理由か ら 、 ACL は共有エ ン テ ィ テ ィ 間のハー ド ウ ェ ア境界 と し て使用 し 、 ア グ リ ゲー
シ ョ ン ・ レ イ ヤで、 ネ ッ ト ワ ー ク ・ レ イ ヤ 2 と レ イ ヤ 3 の境界に適用す る よ う に し ま す。
vShield な ど の仮想 フ ァ イ ア ウ ォ ール を使用す る と 、 従来実装に ACL を使用 し ていた ア ク セ
ス ・ ポ リ シーの管理、 設定、 監査 を簡易化で き ます。
VM のセキ ュ リ テ ィ に関する設計上の考慮事項
Nexus 1000V のポー ト プ ロ フ ァ イ ル機能は、 ネ ッ ト ワ ー ク ・ ポ リ シー を定義 し て仮想マ シ ン に
適用す る 際の主要な メ カ ニ ズ ム です。 ポー ト プ ロ フ ァ イ ルは、 構成オプシ ョ ンや、 セ キ ュ リ
テ ィ お よ びサー ビ ス ・ レベルの特性の定義に使用で き ます。 一方、 仮想サー ビ ス ・ ド メ イ ン
（VSD） は、 1 つ以上のポー ト プ ロ フ ァ イ ル を 1 つの論理 ド メ イ ン に グルー ピ ン グ で き る 、
Nexus 1000V の機能です。 VSD 機能 を使用す る と 、 仮想 フ ァ イ ア ウ ォ ール ・ エ ン テ ィ テ ィ
（vShield な ど） を始め、 Nexus 1000V と 連携 し て機能す る サー ビ ス を仮想環境に統合 し 、 個々
の ド メ イ ン か ら ア ク セ ス で き る よ う にな り ます。 Nexus 1000V と 連携す る 、 こ のシー ム レ ス な
サー ビ ス 統合 を使用す る こ と で、 仮想環境内で よ り き めの細かいセ キ ュ リ テ ィ ・ ポ リ シー を実
施で き ます。
上述の よ う に、 VSD を使用す る と 、 任意のポー ト プ ロ フ ァ イ ル ・ セ ッ ト を機能的に分離す る こ
と がで き ます。 さ ら に、 こ の VSD を使用す る こ と で、 環境内の任意のサー ビ ス ま たはエ ン
テ ィ テ ィ に ト ラ フ ィ ッ ク を導 く こ と がで き ます。 次の設計では、 VSD を使用 し て、 vSphere 内
の仮想 フ ァ イ ア ウ ォ ール ・ エ ン テ ィ テ ィ で あ る vShield の背後で、 仮想マ シ ン の グループ を移
動 し てい ます。 VSD 機能セ ッ ト を使用す る と 、 保護 さ れてい る ゲ ス ト 仮想マ シ ン と 、 ESX ホ
ス ト 外の物理ネ ッ ト ワ ー ク の間の転送パ ス に vShield 仮想ア プ ラ イ ア ン ス を組み込め ま す。 こ
れ を実現す る には、 次の 2 つの部分で設定が必要です。
•
32
vShield ア プ ラ イ ア ン ス の外部仮想ポー ト と 内部仮想ポー ト を識別す る ポー ト プ ロ フ ァ イ ル
設計上の考慮事項 — 4 つのポ イ ン ト
•
フ ァ イ ア ウ ォ ールに よ る 保護 を必要 と す る ゲ ス ト 仮想マ シ ン の ホー ム と な る ポー ト プ ロ
フ ァ イル
vShield の非保護 （外部） イ ン タ ー フ ェ イ ス と 保護 （内部） イ ン タ ー フ ェ イ ス に接続す る Nexus
1000V の仮想 ス イ ッ チ ・ ポー ト は、 特定の VSD 名設定でマーキ ン グ さ れ、 管理者は、 ゲ ス ト
の ホー ム と な っ てい る ポー ト プ ロ フ ァ イ ル を選択的にマーキ ン グ し て、 新 し く 設定 さ れた VSD
に参加で き ます。 ポー ト プ ロ フ ァ イ ルに タ グ付け さ れてい る VSD 設定がない場合、 ト ラ
フ ィ ッ ク は通常 どお り 転送 さ れ続け ます。 図 7 に、 ホ ス ト 内での vShield の論理的な位置 を示
し ます。
図7
ホス ト 内での vShield の論理的な位置
図か ら わか る よ う に、 い っ たん保護 さ れた ゾー ン に入れ ら れた VM は、 物理ネ ッ ト ワ ー ク に直
接接続す る こ と がで き な く な り ます。 VM を通過す る すべてのパケ ッ ト は、 vShield を通過 し な
ければな り ません。 vShield には 2 つの論理 イ ン タ ー フ ェ イ ス が あ り ま す。 1 つは、 VSD の内
部 イ ン タ ー フ ェ イ ス 、 も う 1 つは VSD の外部 イ ン タ ー フ ェ イ ス です。 こ れ ら の内部お よ び外
部 イ ン タ ー フ ェ イ ス と 、 VM に接続 さ れた ポー ト は、 VSD の メ ン バーです。 vShield は こ の よ
う に し て、 分離 さ れた ポー ト ・ グループ （ゲ ス ト が現在置かれてい る 場所） と 外部ネ ッ ト ワ ー
ク 間の フ ァ イ ア ウ ォ ール と し て機能 し ます。
ポー ト プ ロ フ ァ イ ルに VSD 設定が含 ま れ る 場合、 ポー ト プ ロ フ ァ イ ル内のゲ ス ト 仮想マ シ ン
が宛先 ま たは送信元 と な る ト ラ フ ィ ッ ク は、 すべてが vShield を通過 し ま す。 VSD は単一で、
複数の VLAN にサー ビ ス を提供で き る ため、 同 じ フ ァ イ ア ウ ォ ール ・ ア プ ラ イ ア ン ス ・ セ ッ ト
を使用す る 論理 ゾー ン を作成で き ます。 単一の VSD 設定でほ と ん ど の環境に対応で き ま すが、
さ ら に分離が必要な場合は、 Nexus 1000V 上で複数の VSD イ ン ス タ ン ス を作成 し 、 複数の
vShield ア プ ラ イ ア ン ス と 専用の物理ネ ッ ト ワ ー ク ・ ア ダプ タ を使用 し て セ キ ュ ア な分離 を実
現す る こ と で、 セ キ ュ リ テ ィ を高め る こ と がで き ます。 仮想 フ ァ イ ア ウ ォ ール と Nexus1000V
の統合に よ っ て、 テナ ン ト 内に精巧な セ キ ュ リ テ ィ ・ ポ リ シー ・ ルール を設定 し 、 外部の悪意
の あ る ト ラ フ ィ ッ ク か ら テナ ン ト の仮想マ シ ン を保護で き ます。
図 8 に、 VSD と 、 ポー ト プ ロ フ ァ イ ルお よ び VLAN のマ ッ ピ ン グ を示 し ま す。 図 8 か ら わか
る よ う に、 すべての VM が同 じ VSD 内に存在す る 必要はあ り ません。 個々の VM 要件に よ っ
ては、 一部の VM が別の VSD 内に存在す る 必要が あ る こ と も 考え ら れ ま す。 図か ら わか る よ
う に、 テナ ン ト A と B は、 vShield で保護 さ れた VSD の背後に論理的に置かれてい ます。 こ れ
は、 こ の 2 つのテナ ン ト に属す る Nexus 1000V 上のすべてのポー ト プ ロ フ ァ イ ルに対 し て VSD
名 を指定す る こ と で可能 と な り ます。 同 じ 物理 ESX ホ ス ト 上の一部の仮想マ シ ン を選択 し て
VSD に配置す る こ と も 、 すべての仮想マ シ ン を VSD に配置す る こ と も で き ます。 図 8 に示 さ
れてい る よ う に、 テナ ン ト C は vShield に よ る 仮想 フ ァ イ ア ウ ォ ール保護 を必要 と し ないため、
VSD 設定は、 こ のテナ ン ト のポー ト プ ロ フ ァ イ ルに含 ま れてい ま せん。
33
設計上の考慮事項 — 4 つのポイ ン ト
図8
VSD と ポー ト プ ロ フ ァ イル、 VLAN のマ ッ ピ ング
物理ネ ッ ト ワ ー ク 、 Nexus 1000V、 vShield 間の ト ラ フ ィ ッ ク ・ フ ロ ー と デー タ ・ パ ス は、 おお
ま かには次の よ う にな り ます。
ESX ホ ス ト への イ ン バ ウ ン ド ・ ト ラ フ ィ ッ ク ：
1.
イ ン バ ウ ン ド ・ ト ラ フ ィ ッ ク は、 UCS ブ レ ー ド 上の物理ネ ッ ト ワ ー ク ・ ア ダプ タ か ら
Nexus 1000V に入 り 、 ポー ト プ ロ フ ァ イ ルが割 り 当て ら れたデ ス テ ィ ネーシ ョ ン仮想 イ ー
サネ ッ ト ・ イ ン タ ー フ ェ イ ス に転送 さ れ ます。
2.
ポー ト プ ロ フ ァ イ ルに VSD が設定 さ れ、 その ド メ イ ン が vShield 仮想ア プ ラ イ ア ン ス に
マ ッ ピ ン グ さ れてい る 場合、 その ト ラ フ ィ ッ ク は vShield の非保護 （外部） イ ン タ ー フ ェ イ
ス に転送 さ れ、 フ ィ ル タ リ ン グ と ト ラ フ ィ ッ ク 統計が実行 さ れ ます。
3.
その ト ラ フ ィ ッ ク が フ ァ イ ア ウ ォ ール ・ ルールに よ っ て ブ ロ ッ ク さ れな か っ た場合、
vShield は保護 （内部） イ ン タ ー フ ェ イ ス を使用 し て、 そのパケ ッ ト を Nexus 1000V に転送
し ます。
4.
Nexus 1000V は、 タ ーゲッ ト のゲス ト 仮想マシ ン の MAC を 調べ、 そのゲス ト へ配信し ま す。
ESX ホ ス ト か ら の ア ウ ト バ ウ ン ド ・ ト ラ フ ィ ッ ク ：
1.
ゲ ス ト 仮想マ シ ン か ら の ア ウ ト バ ウ ン ド ・ ト ラ フ ィ ッ ク は、 Nexus 1000V に入 り 、 ポー ト
プ ロ フ ァ イ ルに VSD 設定が含 ま れ る 場合、 ト ラ フ ィ ッ ク は vShield 仮想ア プ ラ イ ア ン ス の
保護側 （内部 イ ン タ ー フ ェ イ ス ） に転送 さ れて、 フ ィ ル タ リ ン グ と ト ラ フ ィ ッ ク 統計が実
行 さ れ ます。
2.
vShield は、 処理 し た ト ラ フ ィ ッ ク を Nexus 1000V 上の非保護 （外部） イ ン タ ー フ ェ イ ス に
転送 し ます。
3.
Nexus 1000V は、 ト ラ フ ィ ッ ク を適切な物理 イ グ レ ス ・ ネ ッ ト ワ ー ク ・ ア ダプ タ に転送 し
ます。
ト ラ フ ィ ッ ク ・ フ ローの考慮
同 じ ESX ホ ス ト 上に存在 し 、 同 じ ブ ロ ー ド キ ャ ス ト ・ ド メ イ ン /VLAN 上に構成 さ れた ゲ ス ト
仮想マ シ ン は、 Nexus 1000V を使用 し て直接通信で き 、 論理的には vShield の 「背後」 に置か
れ ます。 こ れは、 同 じ ブ ロ ー ド キ ャ ス ト ・ ド メ イ ン上の物理ホ ス ト が、 物理 フ ァ イ ア ウ ォ ール
の背後で直接通信で き る の と 似てい ます。 vShield の論理的な実行ポ イ ン ト は、 VLAN 間、 お
よ び UCS ブ レー ド の物理ネ ッ ト ワ ー ク ・ ア ダ プ タ と ゲ ス ト 仮想マ シ ン の間に あ り ます。 同 じ
VLAN 上の仮想マ シ ン を異な る UCS ブ レ ー ド 上に置 く と 、 こ の仮想マ シ ン間の ト ラ フ ィ ッ ク
を フ ィ ル タ リ ン グ で き ますが、 DRS や vMotion な ど の機能 を考え る と 、 ク ラ ス タ 構成の ESX
ホ ス ト では、 仮想マ シ ン の配置場所 と は無関係に機能 し 続け る フ ァ イ ア ウ ォ ール ・ ポ リ シー を
作成す る こ と を推奨 し ます。
34
設計上の考慮事項 — 4 つのポ イ ン ト
vShield の運用上の考慮事項
VMware vShield と Cisco Nexus 1000V は、 連携 し て各テナ ン ト の VM を外部、 内部か ら 適切に
保護 し ます。 vShield は、 仮想マ シ ン の保護、 ト ラ フ ィ ッ ク の監視、 VM の ト ラ フ ィ ッ ク ・ フ
ロ ーの監視 と フ ォ レ ン ジ ッ ク 分析のための仮想 フ ァ イ ア ウ ォ ールです。 vShield は、 ESX ホ ス
ト 自体は保護せず、 ホ ス ト 上に置かれたゲ ス ト を保護 し ます。 vShield Zones 製品は、 vShield
Manager と vShield エージ ェ ン ト で構成 さ れてい ま す。 ど ち ら も Open Virtualization Format
（OVF） の仮想ア プ ラ イ ア ン ス ま たは 「サー ビ ス 」 仮想マ シ ン と し て導入 さ れ ます。 vShield
Manager は、 すべての vShield エージ ェ ン ト を管理す る 一元化 さ れたエ ン テ ィ テ ィ です。
vShield エージ ェ ン ト は、 フ ァ イ ア ウ ォ ール と ト ラ フ ィ ッ ク 分析機能 を実行す る エ ン テ ィ テ ィ
です。 vShield エージ ェ ン ト は、 各 ESX/ESXi ホ ス ト 上に実装 さ れ る 仮想マ シ ン で、 実ネ ッ ト
ワ ー ク か ら ゲ ス ト への ト ラ フ ィ ッ ク を ブ リ ッ ジ し ます。 論理的には、 Nexus 1000V と 仮想マ シ
ン の間に位置 し ます。
vShield 仮想ア プ ラ イ ア ン ス は、 仮想環境専用の フ ァ イ ア ウ ォ ールです。 マネ ジ メ ン ト が一元
化 さ れ、 モ ビ リ テ ィ がサポー ト さ れてい る ため、 ルールのプ ロ ビ ジ ョ ニ ン グ と 管理が簡単に行
え ます。
•
「Datacenter」 か 「Cluster」 を選択す る こ と で、 単一のルール ・ デ ィ レ ク テ ィ ブ を複数の
ESX ノ ー ド にマ ッ ピ ン グ し た り 、 仮想デー タ ・ セ ン タ ーの制御範囲全体にわた っ て マ ッ ピ
ン グ し た り で き ます
•
vMotion 処理が実行 さ れ る と 、 フ ァ イ ア ウ ォ ール ・ ポ リ シーが VM と と も に実際に移動 し
ます。 フ ァ イ ア ウ ォ ール ・ ポ リ シー と は、 特定のゲ ス ト 仮想マ シ ン の ホ ス ト と な り う る す
べての ホ ス ト に設定 さ れた、 既存の フ ァ イ ア ウ ォ ール ・ ルールの こ と です
•
ブ レー ド や ESX ホ ス ト が追加 さ れ る と 、 vShield Manager は、 新 し く 作成 さ れた実行ポ イ ン
ト に関連す る ルール を プ ッ シ ュ し ます。 設定は自動的に伝搬 さ れ る ため、 各 フ ァ イ ア
ウ ォ ールに ロ グ イ ンす る 必要はあ り ません
UCS ブ レ ー ド に実行ポ イ ン ト を プ ッ シ ュ す る と 、 各テナ ン ト の仮想ネ ッ ト ワ ー ク ・ リ ソ ー ス が
UCS ブ レ ー ド ・ シ ャ ーシ内で適切に分離 さ れ ま す。 物理ネ ッ ト ワ ー ク ・ エ ッ ジの専用の フ ァ イ
ア ウ ォ ール ・ ア プ ラ イ ア ン ス ・ セ ッ ト に転送す る 必要はあ り ません。 ポー ト ス キ ャ ン、 DoS イ
ベ ン ト 、 ウ ィ ル ス や侵入な ど の悪意あ る ア ク テ ィ ビ テ ィ は、 同 じ ブ レー ド 上の他のテナ ン ト
や、 シ ャ ーシ内の他のブ レー ド に影響 を与え る こ と な く 、 UCS ブ レー ド 内で抑え る こ と がで き
ます。
テナ ン ト の仮想ネ ッ ト ワ ー ク 内で、 VLAN の上に ゾー ン を作成で き ま す。 vShield では、 ゾー
ン間で ク ロ ス ・ ト ー ク が発生 し ない よ う にで き る ほか、 必要に応 じ てすべてのネ ッ ト ワ ー ク ・
サー ビ ス の分離 と 制御 を確実に行え ます。 それぞれの ゾー ン内で新 し い VM が起動す る と 、 管
理者が何 も し な く と も 、 こ れ ら の ゾー ン のポ リ シーが自動的に継承 さ れ ます。 ま た、 特定の
IP/ ポー ト ・ ベー ス のルール を /32 レベル ま で定義す る こ と も 、 複数の ホ ス ト 間で同等 ク ラ ス の
サー ビ ス ま たはア プ リ ケーシ ョ ン が存在 し ない場合は可能です。
vShield Zones を使用す る と 、 必要な ア プ リ ケーシ ョ ン と サー ビ ス に対 し てのみ仮想ネ ッ ト ワ ー
ク か ら ア ク セ ス で き る 、 ポ ジ テ ィ ブ ・ セ キ ュ リ テ ィ ・ モデル を作成で き ます。 こ のモデルの作
成には、 まず vShield を イ ン ス ト ール し 、 VM Flow レ ポー ト でネ ッ ト ワ ー ク ・ フ ロ ー を監視 し
ます。 物理マ シ ン間、 仮想ホ ス ト 間、 オ フ ネ ッ ト ワ ー ク ・ ト ラ フ ィ ッ ク 間の フ ロ ー を見 る こ と
がで き ます。 ま た、 仮想マ シ ン で実行 さ れ る O/S サー ビ ス と ア プ リ ケーシ ョ ン用の共通ポー ト
に関す る 要約 ビ ュ ー も あ り ます。 こ の ビ ュ ーは、 VM を保護す る vShield の実行ポ イ ン ト 順に
な っ てい ます。 監査が完了 し た ら 、 フ ァ イ ア ウ ォ ール ・ ポ リ シー を実装 し て保護 を有効にで き
ます。 vShield の実行ポ イ ン ト は、 サーバの仮想マ シ ン に非常に近いため、 内部 フ ァ イ ア
ウ ォ ール と みな さ れ ます。 vShield では、 プ ロ ト コ ル ・ デ コ ーデ ィ ン グは、 ダ イ ナ ミ ッ ク ・
ポー ト ま たはエ フ ェ メ ラ ル ・ ポー ト （ポー ト 1,024 番以降） を使用す る 、 Microsoft RPC、
Oracle TNS、 FTP、 Sun、 Linux RPC な ど の ア プ リ ケーシ ョ ン で発生 し ま す。 Windows サーバ環
境では、 セ キ ュ リ テ ィ 管理者が、 1,024 ～ 5,000 番 を空け た ま ま にせざ る を得ない こ と が よ く
あ り ますが、 サーバが侵害 さ れた場合、 大規模な攻撃 を受け て不正なサー ビ ス やボ ッ ト ネ ッ ト
が導入 さ れ る ため、 こ れは大 き な セ キ ュ リ テ ィ ・ ホール と な り ます。 vShield は、 ダ イ ナ ミ ッ
ク ・ ポー ト のオープ ン要求 を追跡す る か、 ま たはエ フ ェ メ ラ ル ・ ポー ト に登録 さ れた既知の
サー ビ ス を監視す る こ と で、 必要な場合のみ フ ァ イ ア ウ ォ ール を開 き 、 ポー ト が広範囲で開か
れ る こ と を回避 し ます。
35
設計上の考慮事項 — 4 つのポイ ン ト
vShield と Nexus 1000V の設計
vShield Manager と vShield 仮想ア プ ラ イ ア ン ス 管理 イ ン タ ー フ ェ イ ス は、 vCenter Server と 同 じ
VLAN 上に配置で き ま す。
vShield 仮想ア プ ラ イ ア ン ス は、 3 つの仮想ネ ッ ト ワ ー ク ・ イ ン タ ー フ ェ イ ス を使用 し ます。 1
つはマネ ジ メ ン ト 用で、 vShield Manager に接続 し ます。 他の 2 つは、 元の Nexus 1000V に接続
し て、 それぞれ非保護 ト ラ フ ィ ッ ク と 保護 さ れた VM に使用 し ます。 保護 イ ン タ ー フ ェ イ ス と
非保護 イ ン タ ー フ ェ イ ス は、 Nexus 1000V 上で設定す る 必要が あ り ま す。 こ う す る こ と で、
vShield エージ ェ ン ト は、 こ の 2 つの定義済み イ ン タ ー フ ェ イ ス を vNIC と し て使用で き ます。
管理ネ ッ ト ワ ー ク は Out-of-Band （OOB） ネ ッ ト ワ ー ク に実装す る こ と を推奨 し ます。 OOB
ネ ッ ト ワ ー ク に実装 し て フ ァ イ ア ウ ォ ール を使用す る こ と で、 管理ネ ッ ト ワ ー ク への ト ラ
フ ィ ッ ク を制限で き ます。 vShield Manager が OOB ネ ッ ト ワ ー ク 上に置かれてい る 場合は、
OOB ネ ッ ト ワ ー ク で次の ト ラ フ ィ ッ ク ・ フ ロ ー を許可す る 必要が あ り ます。
•
ポー ト 22—Secure Shell、 つ ま り SSH （TCP） —vShield Manager と エージ ェ ン ト 間の通信に
使用
•
ポー ト 123—Network Time Protocol （UDP） —vShield Manager と エージ ェ ン ト の同期に使用
•
ポー ト 443—HTTP Secure （TCP） —PC が vShield Manager のユーザ ・ イ ン タ ー フ ェ イ ス に
ア ク セ ス す る 際に使用
•
ポー ト 162—SNMP-Trap （UDP） —vShield エージ ェ ン ト と vShield Manager 間の SNMP ト
ラ ッ プ ・ デー タ に使用
vShield は、 通過す る ト ラ フ ィ ッ ク が あ る と 、 フ ァ イ ア ウ ォ ール機能 を発揮 し 、 ネ ッ ト ワ ー ク
分析 を行い ます。 ト ラ フ ィ ッ ク ・ フ ロ ーのシナ リ オは さ ま ざ ま で、 シナ リ オに よ っ て ト ラ
フ ィ ッ ク が vShield を通過す る か ど う かが決 ま り ま す。
•
同 じ VLAN に置かれた仮想マ シ ン — こ の場合、 vShield は、 外部、 ま たは別のブ ロ ー ド
キ ャ ス ト ・ ド メ イ ン か ら 送信 さ れた ト ラ フ ィ ッ ク か ら 仮想マ シ ン を保護で き ます。 こ のシ
ナ リ オでは、 同 じ VLAN に存在す る VM か ら の ト ラ フ ィ ッ ク については、 VM が異な る ホ
ス ト 上に存在 し ないか ぎ り 、 保護で き ません
•
別々の VLAN に置かれた仮想マ シ ン — vShield は、 外部の非保護ネ ッ ト ワ ー ク か ら 仮想マ
シ ン を保護す る ほか、 別の VLAN 上に存在す る VM 間の ト ラ フ ィ ッ ク も 保護 し ます
vShield は、 vCenter か ら すべての VM イ ンベ ン ト リ 情報 を継承す る ため、 Datacenters、
Clusters、 Portgroups、 VLANs な ど の vCenter コ ン テナ名 を利用で き ま す。 フ ァ イ ア ウ ォ ール ・
ルールの作成や保守の際に、 こ れ ら のオブジ ェ ク ト を フ ァ イ ア ウ ォ ール ・ ルールの ソ ー ス ・
フ ィ ール ド と デ ス テ ィ ネーシ ョ ン ・ フ ィ ール ド で参照すれば、 作成 と 保守が簡単に行え ます。
仮想マ シ ン の イ ン ス ト ール時 と 配置時には、 こ の機能 を念頭において、 フ ァ イ ア ウ ォ ール ・
ルールが無秩序に増え る の を抑え、 ネ ッ ト ワ ー ク 上の IP ア ド レ ス に変更が生 じ て も セ キ ュ リ
テ ィ ・ ポ リ シーに影響が及ばない よ う にす る こ と が理想的です。 ま た、 vShield の フ ァ イ ア
ウ ォ ール設定にはルールの階層が あ る ため、 ルールの適用範囲 を調整す る こ と がで き ます
（デー タ ・ セ ン タ ー内のすべての ESX ホ ス ト 、 指定 し た ク ラ ス タ 全体、 な ど）。
vShield エージ ェ ン ト の配置は、 vShield の導入に あ た っ て考慮が必要な、 重要な要素の 1 つで
す。 環境内のすべての仮想マ シ ン に ESX レベルでの保護が必要な場合は、 vShield をすべての
ESX ホ ス ト に導入 し ます。 ま たモ ビ リ テ ィ への対応 と し て、 vMotion を使用 し て VM を移行す
る と 、 フ ァ イ ア ウ ォ ール ・ ルールに加え て、 TCP、 UDP、 ICMP のプ ロ ト コ ル ・ ス テー ト も 同
じ ク ラ ス タ 内の ESX ホ ス ト 間で転送 さ れ ま す。
ホ ス ト の仮想マ シ ン を保護す る 必要がない状況 も あ り え ます。 き わめて高い ス ループ ッ ト が必
要な場合、 ま たは時間的制約が き わめて高い ア プ リ ケーシ ョ ン の場合は、 仮想マ シ ン の保護
に、 コ ア ・ ア グ リ ゲーシ ョ ン ・ ポ イ ン ト で ACL を使用す る か、 ま たはネ ッ ト ワ ー ク 内で物理
フ ァ イ ア ウ ォ ール を使用 し ます。 こ の場合は、 VSD か ら 該当す る 仮想マ シ ン を削除 し 、 Nexus
1000V のポー ト プ ロ フ ァ イ ル機能 を使用 し て ト ラ フ ィ ッ ク を管理、 転送 し ま す。
vShield の導入シナ リ オ
vShield での保護が可能にな る 、 一般的な導入シナ リ オの概要 を以下に示 し ます。
36
設計上の考慮事項 — 4 つのポ イ ン ト
仮想マシ ンの外部からの保護
すべての フ ァ イ ア ウ ォ ール ・ エ ン テ ィ テ ィ の基本要件は、 内部ア プ ラ イ ア ン ス を外部の脅威か
ら 保護す る こ と です。
図 9 に一般的な導入シナ リ オ を示 し ま す。 こ の例では、 vShield Zones を使用す る こ と で、 仮想
デー タ ・ セ ン タ ーの外部か ら ネ ッ ト ワ ー ク ・ リ ソ ー ス を分離 し 、 保護 し てい ます。 デー タ ・ セ
ン タ ー ・ レベルのルール を使用 し て一定の フ ァ イ ア ウ ォ ール ・ ポ リ シー を実装 し 、 こ れ を
vCenter に登録 さ れたすべての仮想マ シ ン に適用で き ま す。 マルチテナ ン ト 環境内のすべて の
ホ ス ト について、 ポー ト 80 の HTTP が共通の Web プ ロ キ シに ア ク セ ス す る よ う 指定す る こ と
は、 こ の一例 と 言え ます。 個々の フ ァ イ ア ウ ォ ール ・ ルールが イ ン ス タ ン ス 化 さ れたすべての
VM に適用 さ れ ま す。
図9
仮想マシ ンの外部からの保護
vShield では、 他の フ ァ イ ア ウ ォ ール と 同様に、 内部か ら 外部への フ ロ ー と 、 外部か ら 内部へ
の ト ラ フ ィ ッ ク ・ フ ロ ーにルール を適用で き ます。 こ のシナ リ オの設計では、 外部か ら の ト ラ
フ ィ ッ ク の多 く が フ ァ イ ア ウ ォ ールに よ っ て制限、 ブ ロ ッ ク さ れ る よ う に考慮す る 必要が あ り
ます。 こ の要件の実装では一般に、 特定の UDP ポー ト ま たは TCP ポー ト での ト ラ フ ィ ッ ク の
み を許可す る 方法が採 ら れ ます。 た と えば、 E メ ールベー ス の ア プ リ ケーシ ョ ン では、 内部の
仮想マ シ ン か ら 発信 さ れ る DNS ク エ リ と 、 SMTP、 POP、 IMAP の ト ラ フ ィ ッ ク を許可 し 、 外
部か ら 発信 さ れ る も のは DNS 応答 と SMTP ト ラ フ ィ ッ ク のみ を許可す る こ と が考え ら れ ま す。
次の リ ン ク 先にはすべての UDP/TCP ポー ト 番号が説明 さ れてい ま すので、 ト ラ フ ィ ッ ク ・ タ
イ プ別に フ ァ イ ア ウ ォ ール を設定す る 際に使用 し て く だ さ い。
http://www.iana.org/assignments/port-numbers
テナン ト 間の ト ラ フ ィ ッ ク ・ フ ローの保護
多 く の場合、 異な る テナ ン ト 間では許可 さ れていない ク ロ ス ト ー ク を制限す る 必要が あ り ま
す。 図 10 に、 異な る テナ ン ト 間の ト ラ フ ィ ッ ク ・ フ ロ ー を示 し ます。 各テナ ン ト は専用の
VLAN セ ッ ト を使用 し ま す。 そのため、 優先度の低い、 デー タ ・ セ ン タ ー ・ レ ベルのルール を
指定 し て、 テナ ン ト 内のすべての VLAN にデ フ ォ ル ト の拒否 ま たはブ ロ ッ ク ・ ポ リ シー を適用
し 、 ク ロ ス ト ー ク を回避 し ます。 ま たは特定のサブテナ ン ト VLAN に相互通信 を許可 し て、 テ
ナ ン ト 内通信 を可能にす る こ と も で き ます。
37
設計上の考慮事項 — 4 つのポイ ン ト
図 10
テナン ト 間の ト ラ フ ィ ッ ク ・ フ ローの保護
サブ テナン ト のセキ ュ リ テ ィ ・ ルールの実装
多 く のデー タ ・ セ ン タ ー ・ ア プ リ ケーシ ョ ン では、 3 層の ア プ リ ケーシ ョ ン ・ アーキ テ ク チ ャ
が実装 さ れてお り 、 ア プ リ ケーシ ョ ン ・ コ ン ポーネ ン ト が別々の ホ ス ト に配置 さ れ、 フ ァ イ ア
ウ ォ ールで分離 さ れてい ます。 一般的には、 デー タ ベー ス ・ ク ラ ス タ を ア プ リ ケーシ ョ ン層 と
Web サーバ層か ら 分離す る こ と で、 最高 レベルのセ キ ュ リ テ ィ を確保 し ま す。 Web サーバにア
ク セ ス し た ク ラ イ ア ン ト がデー タ ベー ス ・ ク ラ ス タ に直接ア ク セ ス で き ない よ う にす る ために
は、 フ ァ イ ア ウ ォ ール ・ ルールが必要です。 フ ァ イ ア ウ ォ ール ・ ルールに よ っ て、 SQL イ ン
ジ ェ ク シ ョ ン、 ク ロ ス サ イ ト ・ ス ク リ プテ ィ ン グ な ど の ア プ リ ケーシ ョ ンベー ス の攻撃 を防止
で き ます。 こ う し た セ キ ュ リ テ ィ 要件 を満たすには、 各層 を別々の VLAN に実装す る 必要が あ
り ます。 別々の VLAN に実装す る こ と で、 vShield 内に フ ァ イ ア ウ ォ ール ・ ルール を設定 し 、
同 じ テナ ン ト 内の他の ア プ リ ケーシ ョ ン か ら サブテナ ン ト ・ エ ン テ ィ テ ィ を保護で き ます。 一
般的な 3 層シナ リ オ を図 11 に示 し ま す。
図 11
サブ テナン ト のセキ ュ リ テ ィ ・ ロールの実装
図 11 では、 デー タ ベー ス ・ ク ラ ス タ が フ ロ ン ト エ ン ド の Web ポー タ ルか ら 保護 さ れ、 同時
に、 フ ロ ン ト エ ン ド の Web サーバ と ア プ リ ケーシ ョ ン ・ サーバ間の通信が許可 さ れてい ま す。
38
設計上の考慮事項 — 4 つのポ イ ン ト
こ の よ う な こ と が可能なのは、 図 12 に示 し た フ ァ イ ア ウ ォ ール ・ ルール ・ セ ッ ト を使用 し て
い る ためです。 こ の フ ァ イ ア ウ ォ ール ・ ルール ・ セ ッ ト は、 サブテナ ン ト VLAN のすべての仮
想マ シ ン に対 し て VLAN ベー ス で適用 さ れ ます。 新 し いデー タ ベー ス や Web フ ロ ン ト ・ エ ン
ド が起動す る と 、 ルールは自動的に実施 さ れ ます。 そのため、 管理者が後追いでルール を設定
し な く て も 、 新 し い イ ン ス タ ン ス が保護 さ れ ます。
図 12
VM Wall
図 12 か ら わか る よ う に、 vShield では、 他のテナ ン ト か ら の ト ラ フ ィ ッ ク を制限す る だけで な
く 、 外部か ら の ト ラ フ ィ ッ ク がテナ ン ト 内の機密ア プ リ ケーシ ョ ン ・ エ ン テ ィ テ ィ に ア ク セ ス
し ない よ う に設定す る こ と も で き ます。 同時に、 各テナ ン ト 内のエ ン テ ィ テ ィ か ら 機密ア プ リ
ケーシ ョ ン を保護す る こ と も で き ます。
異な る ホス ト 間での仮想マシ ンの移動
仮想 フ ァ イ ア ウ ォ ール を実装す る 主な目的の 1 つに、 セ キ ュ リ テ ィ を損な う こ と な く 、 異な る
ホ ス ト 間で仮想マ シ ン を移動で き る こ と が挙げ ら れ ます。 こ の要件が意味す る も のは、
vMotion に よ る 移動が発生 し た場合、 各仮想マ シ ン に設定 さ れた セ キ ュ リ テ ィ ・ ポ リ シーが常
に仮想マ シ ン と と も に移動す る 必要が あ る 、 と い う こ と です。 vShield は、 Nexus 1000V 仮想 ス
イ ッ チ と 連携 し 、 Nexus 1000V 仮想 ス イ ッ チの持つ分散性 を利用す る ため、 ホ ス ト 間でゲ ス ト
のセ キ ュ リ テ ィ ・ プ ロ フ ァ イ ル を シー ム レ ス に完全移行で き ます。 こ のシー ム レ ス な移行に
よ っ て、 仮想マ シ ン が異な る ホ ス ト 間で移動 し た場合 も 、 セ キ ュ リ テ ィ ・ ポ リ シーの再設定 と
い う 余分な負担が生 じ ません。 図 13 に こ う し た シナ リ オ を示 し ます。
39
設計上の考慮事項 — 4 つのポイ ン ト
図 13
異な るホス ト 間での仮想マシ ンの移動
コ ン ピ ュ ーテ ィ ング ・ リ ソ ースの分離に関する設計上の考慮事項
マルチテ ナン ト の共有サービ ス ・ イ ン フ ラ では、 すべて のコ ン ピ ュ ーテ ィ ン グ ・ リ ソ ース が単
一の大規模ク ラ ス タ に集約さ れま す。 集約する こ と で、 ク ラ ウ ド 管理者は、 ク ラ ス タ の直接の
子と し て 複数のリ ソ ース ・ プールを 作成し 、 それによ っ て ク ラ ス タ 内のすべて のリ ソ ース を コ
ン パート メ ン ト 化し 、 イ ン フ ラ ・ サービ ス と テ ナン ト ・ サービ ス に割り 当て る こ と ができ ま す。
VMware での リ ソ ースの分離
リ ソ ー ス 共有に あ た り 、 ク ラ ウ ド 管理者は以下の設計モデル を利用 し て、 イ ン フ ラ ・ サー ビ ス
と テナ ン ト ・ サー ビ ス に提供で き る リ ソ ー ス ・ プール を作成で き ます。 リ ソ ー ス ・ プール間の
分離では、 あ る リ ソ ー ス ・ プール内部の割 り 当て変更が、 関連のない他の リ ソ ー ス ・ プールに
不当に影響 し ない よ う に し ます。
•
単一の ク ラ ス タ を作成 し て、 すべての UCS ブ レー ド ・ サーバの コ ン ピ ュ ーテ ィ ン グ ・ リ
ソ ー ス を集約
•
リ ソ ー ス ・ プール を 2 つ作成 し 、 1 つは イ ン フ ラ ・ サー ビ ス 、 も う 1 つはテナ ン ト ・ サー
ビ ス に使用
イ ン フ ラ ・ サー ビ ス と は、 vSphere プ ラ ッ ト フ ォ ー ム の構成 と 管理に必要な仮想マ シ ン です。
次に、 主な イ ン フ ラ ・ サー ビ ス 仮想マ シ ン と 、 それぞれの ロ ール を示 し ます。
•
vCenter Server—vSphere プ ラ ッ ト フ ォ ー ム全体のマ ネ ジ メ ン ト
•
Microsoft SQL Server—vCenter 専用のデー タ ベー ス ・ サーバ
•
vShield Manager—vShield のポ リ シーの作成、 マ ネ ジ メ ン ト 、 フ ォ レ ン ジ ッ ク
•
vShield エージ ェ ン ト — 各 ESX Server ホ ス ト 内の非保護ネ ッ ト ワ ー ク と 保護ネ ッ ト ワ ー ク
間の ト ラ フ ィ ッ ク ・ ブ リ ッ ジ
•
Cisco Nexus 1000V VSM— 各 ESX Server ホ ス ト 内の VEM イ ン ス タ ン ス の管理
テナ ン ト ・ サー ビ ス と は、 すべてのテナ ン ト 向けの専用 リ ソ ー ス です。 ク ラ ウ ド 管理者は、
個々のテナ ン ト に子テナ ン ト ・ リ ソ ー ス ・ プール を作成 し 、 個々のテナ ン ト ・ リ ソ ー ス の割 り
当て を テナ ン ト 管理者に委譲で き ます。
ア ク セ ス 制御 と 委譲 — ク ラ ウ ド 管理者に よ っ て テナ ン ト に提供可能な リ ソ ー ス ・ プールが作
成 さ れ る と 、 テナ ン ト 管理者は、 リ ソ ー ス ・ プール と し て設定 さ れた リ ソ ー ス の境界内で、 仮
想マ シ ンや vApp の あ ら ゆ る 作成、 管理作業 を行え る よ う にな り ま す。 リ ソ ー ス ・ プールの境
40
設計上の考慮事項 — 4 つのポ イ ン ト
界は、 現在の共有設定、 予約設定、 制約に よ っ て決 ま り ます。 推奨設定については、 「サー ビ
ス 保証」 で詳 し く 説明 し てい ます。 テナ ン ト ・ リ ソ ー ス ・ プールの管理の委譲には、 前述の
RBAC モデル を利用で き ます。
図 14
リ ソ ース ・ プール
UCS でのセキ ュ アな分離
コ ン ピ ュ ーテ ィ ン グ を分離す る 基本的な ア プ ロ ーチは 2 つあ り ま す。 1 つはブ レー ド ・ レベル
で、 も う 1 つは さ ら に上の VM ゲ ス ト ・ レ イ ヤ内での分離です。 「セ キ ュ ア ・ マルチテナ ン
ト ・ プ ロ ジ ェ ク ト 」 では、 さ ま ざ ま な ゲ ス ト ・ イ ン ス タ ン ス 間で 「 コ ン ピ ュ ーテ ィ ン グ の分
離」 を実現す る ために、 VMware と Nexus 1000V ソ フ ト ウ ェ ア ・ ス イ ッ チの機能 を使用 し てい
ます。 お客様に よ っ ては、 UCS の機能 を利用 し て、 物理ブ レ ー ド ・ レベルで分離 を行 う こ と を
選択 さ れ る 場合が あ り ます。 こ の機能について、 以下に簡単に説明 し ます。
こ の機能の主な要素は、 RBAC （前述）、 組織、 リ ソ ー ス ・ プール、 ポ リ シーです。 UCS ハー
ド ウ ェ ア と ポ リ シーは さ ま ざ ま な組織に割 り 当て る こ と がで き る ため、 対象の顧客 ま たは事業
部門は、 該当す る ワ ー ク ロ ー ド に対応 し た適切な コ ン ピ ュ ーテ ィ ン グ ・ ブ レー ド に ア ク セ ス で
き ます。 UCS の豊富な ポ リ シー ・ セ ッ ト は組織単位で適用で き る ため、 属性 と I/O ポ リ シーの
適切な セ ッ ト を正 し い組織に割 り 当て ら れ ます。 それぞれの組織は、 サーバ、 MAC ア ド レ ス 、
WWPN、 WWNN、 UUID を始め と す る 独自の リ ソ ー ス ・ プール を所有す る こ と がで き 、 組織内
ま たは組織間での ス テー ト レ ス 性 を可能に し ます。
ネ ッ ト ワー クの分離に関する設計上の考慮事項
セ キ ュ ア な分離は、 ユーザや部署がそれぞれ互いに一定 レベルの分離 を必要 と す る マルチテナ
ン ト 環境に と っ て、 基本要件の 1 つです。 分離要件は、 ネ ッ ト ワ ー ク ・ レ イ ヤ境界に よ っ て大
き く 変わ る 可能性が あ り ます。 一般に、 次の 2 つの ド メ イ ン に分類で き ま す。
•
ネ ッ ト ワ ー ク ・ レ イ ヤ 3 （ア グ リ ゲーシ ョ ン / コ ア） の分離
•
ネ ッ ト ワ ー ク ・ レ イ ヤ 2 （ア ク セ ス ） の分離
ネ ッ ト ワー ク ・ レ イヤ 3 （アグ リ ゲーシ ョ ン / コ ア） の分離
レ イ ヤ 3 の分離に よ っ て、 レ イ ヤ 3 ネ ッ ト ワ ー ク 接続で、 デー タ ・ プ レ ー ン と コ ン ト ロ ール ・
プ レー ン のパ ス がエ ン ド ツーエ ン ド で仮想化 さ れ ます。 レ イ ヤ 3 の仮想化に使用 さ れ る 技術に
は、 Virtual Routing and Forwarding （VRF）、 MPLS な ど が あ り ま す。 こ の設計方式は、 一般に
ネ ッ ト ワ ー ク の仮想化 と 呼ばれてい ます。 ネ ッ ト ワ ー ク 仮想化に関す る 、 検証済みの設計範囲
と 実装の詳細については、 以下で ご紹介 し てい ます。
http://www.cisco.com/en/US/solutions/ns340/ns414/ns742/ns815/landing_cNet_virtualization.html
41
設計上の考慮事項 — 4 つのポイ ン ト
ネ ッ ト ワー ク ・ レ イヤ 2 （ア ク セス） の分離
レ イ ヤ 2 でのセ キ ュ ア な分離は、 マルチテナ ン ト ・ ネ ッ ト ワ ー ク 設計の必須要件です。 レ イ ヤ
2 の分離が重要なのは、 こ の分離に よ っ て、 運用 を ど れだけ管理で き る かが決 ま り 、 ア ク セ ス
が規定 さ れ る か ら です。 ま た、 こ の分離に よ っ て、 管理用の制御ポ イ ン ト が提供 さ れ、 分離 を
決定す る ための ツール を導入で き る よ う にな り ます。 共有 リ ソ ー ス では、 当然なが ら 、 以下の
よ う な さ ま ざ ま な理由で分離が必要にな り ます。
•
コ ン プ ラ イ ア ン ス / 規制要件
•
機密 レベル
•
パ フ ォ ーマ ン ス
•
制御 と 責任の範囲
•
イ ン フ ラ 構築についての従来の考え方
レ イヤ 2 を分離する方法
次の ツール を使用す る こ と で、 セ キ ュ ア な分離が可能にな り ます。 設計上の考慮事項 と 、 マル
チテナ ン ト 設計への応用については、 以降のセ ク シ ョ ン で詳 し く 説明 し ます。
•
独立 し た物理 イ ン フ ラ — コ ス ト がかか り 、 管理が複雑にな る が、 コ ン プ ラ イ ア ン ス と 法規
制の絶対的要件 を満たすために必要
•
従来のネ ッ ト ワー ク ・ レ イ ヤ ・ フ ァ イ ア ウ ォール — 求め ら れ る機密性を実現する ために必要
•
VLAN―ネ ッ ト ワ ー ク の分離 と マネ ジ メ ン ト ・ レベルの分離
•
vShield―VM レベルの ア ク セ ス 制御 と 分離の管理
•
ACL―テナ ン ト 内 ま たは複数のテナ ン ト 間で、 ア プ リ ケーシ ョ ン と 分類 を識別
•
Nexus 1000V のポー ト プ ロ フ ァ イ ル―共有エ ン テ ィ テ ィ に対 し て VM レ ベルでの分離基準
を設定
•
QoS 分類―共有エ ン テ ィ テ ィ 間でサー ビ ス ・ レベル を実現
ま た中央の管理担当者は、 さ ら にポ リ シーに よ る 手法 を採用す る こ と で、 各テナ ン ト で必要 と
な る 次の よ う な管理機能、 制御機能、 デー タ 機能 を分離で き ます。
•
各テナ ン ト では、 ア プ リ ケーシ ョ ン と ユーザ ・ ア ク セ ス を管理す る ために、 分離 さ れた管
理 ド メ イ ン が必要
•
ネ ッ ト ワ ー ク の管理 と 監視 （Out-of-Band ネ ッ ト ワ ー ク ）
レ イヤ 2 分離に関する設計上の考慮事項
ネ ッ ト ワ ー ク ・ ア ク セ ス ・ レ イ ヤで各テナ ン ト を適切に保護、 分離す る 際、 ネ ッ ト ワ ー ク ・
アーキ テ ク ト と エ ン ジ ニ アは、 さ ま ざ ま な方法 と 機能 を採用で き ます。 方法に よ っ て、 実現 さ
れ る 制御の程度は さ ま ざ ま です。 ま た、 方法は部分的に重な る こ と も あ り ます。 こ の設計ガ イ
ド では、 それぞれの分離方法の適用に あ た っ て、 以下の よ う な選択肢 を利用で き ます。
フ ァ イ ア ウ ォ ールは、 ハー ド 面での境界分離で あ る ため、 こ の設計ガ イ ド では扱い ません。
VLAN は、 レ イ ヤ 2 の分離 を実現す る ために こ のガ イ ド で使用す る 、 基本的な ビ ルデ ィ ン グ ・
ブ ロ ッ ク の 1 つです。 VLAN を適切に設計す る こ と は、 セ キ ュ ア な マルチテナ ン ト ・ ド メ イ ン
の導入 を成功 さ せ る 上で不可欠です。 使用す る VLAN の タ イ プ と 、 分離 し た コ ン ピ ュ ーテ ィ ン
グ ・ リ ソ ー ス 、 ネ ッ ト ワ ー ク ・ リ ソ ー ス 、 ス ト レージ ・ リ ソ ー ス に VLAN の機能 を それぞれ
マ ッ ピ ン グす る 方法については、 「VLAN 設計上の考慮事項」 で詳 し く 説明 し ま す。
ACL も 、 ネ ッ ト ワ ー ク を セ キ ュ ア に分離す る 方法の 1 つです。 「ACL」 で詳 し く 説明 し ます。
Nexus 1000V のポー ト プ ロ フ ァ イ ル機能 を使用す る と 、 VM を ポー ト ・ レベルで分離で き ます。
ポー ト プ ロ フ ァ イ ルは、 VM を関連付け ら れ る 柔軟な方法で あ り 、 さ ら に、 VM ト ラ フ ィ ッ ク
にセ キ ュ リ テ ィ と サー ビ ス ・ レベルの特性 を定義で き る 機能 を提供 し ます。
42
設計上の考慮事項 — 4 つのポ イ ン ト
QoS ベー ス の分離は、 ア プ リ ケーシ ョ ン に求め ら れ る 応答時間 と 各種のネ ッ ト ワ ー ク ・ ト ラ
フ ィ ッ ク の分類に基づいて、 テナ ン ト ・ レベルでネ ッ ト ワ ー ク ・ リ ソ ー ス への ア ク セ ス を差別
化す る ために不可欠です。
VLAN 設計上の考慮事項
VLAN は、 マルチテナ ン ト 設計で分離 を実現す る 第一の手段です。 ま た、 VLAN の設計に あ
た っ ては、 コ ン ピ ュ ーテ ィ ン グ ・ リ ソ ー ス 、 ア プ リ ケーシ ョ ン ・ リ ソ ー ス 、 ス ト レージ ・ リ
ソ ー ス 、 ネ ッ ト ワ ー ク ・ リ ソ ー ス の管理 ロ ールについて計画 し 、 注意 を払 う 必要が あ り ます。
マルチテナ ン ト 環境の課題の 1 つは、 運用上の安定性 と 制御 を実現 し なが ら 、 タ イ プ と 機能に
よ る 用途が さ ま ざ ま な VLAN を、 適切にセ キ ュ リ テ ィ 設定 し て構成す る こ と です。 主要な各 リ
ソ ー ス ・ ス ペー ス （ コ ン ピ ュ ーテ ィ ン グ、 ス ト レージ、 ネ ッ ト ワ ー ク ） では、 その ス ペー ス 内
のデバ イ ス を さ ま ざ ま に制御 し 、 管理す る こ と が必要です。 参考のために、 以下で、 従来の設
計において VLAN の機能が一般に ど う 使われてい る か を説明 し ます。 こ の説明は、 各機能 を マ
ルチテナ ン ト 設計におけ る 重要性に基づいて統合、 分類す る に あ た り 、 その設計方法 を も う 一
歩進めて検討す る 際の基礎 と な り ます。
メモ
「 コ ン ト ロ ール ・ プ レー ン」 と い う 用語は、 マルチテナ ン ト ・ サー ビ ス を実現す る サー ビ ス ま
たは通信上の要件の大 ま かな カ テ ゴ リ と し て使用 し てい ます。 一般に、 ユーザに直接関係 し な
いデー タ は、 すべて コ ン ト ロ ール ・ プ レー ン と し て定義 さ れ ます。 ネ ッ ト ワ ー ク に関す る 文献
やデバ イ ス では、 デバ イ ス 内の内部通信 と 、 デバ イ ス 間のプ ロ ト コ ルの対話 （CDP、 LACP な
ど） の両方 を指 し て 「 コ ン ト ロ ール」 と い う 言葉 を使い ます。 「ネ ッ ト ワ ー ク ・ コ ン ト ロ ール ・
プ レー ン」 と は、 ネ ッ ト ワ ー ク 接続 さ れたデバ イ ス 間のプ ロ ト コ ル通信 を指 し ます。
コ ン ピ ュ ーテ ィ ング ・ スペース
コ ン ピ ュ ーテ ィ ン グ ・ ス ペー ス は、 UCS と 、 VMware の コ ン ポーネ ン ト で あ る ESX ホ ス ト と
vSphere か ら 構成 さ れ ま す。 従来の設計では、 次の各機能が独立 し た VLAN と し て構成 さ れて
い ます。
1.
冗長な フ ァ ブ リ ッ ク ・ イ ン タ ー コ ネ ク ト への UCS Out-of-Band 管理 イ ン タ ー フ ェ イ ス と 、
各ブ レー ド ・ サーバへの UCS のループバ ッ ク KVM ア ク セ ス
2.
ESX サー ビ ス ・ コ ン ソ ールへの ア ク セ ス ・ イ ン タ ー フ ェ イ ス — イ ン ス ト ール時にデ フ ォ ル
ト でセ ッ ト ア ッ プ さ れ る サー ビ ス ・ コ ン ソ ール ・ ポー ト は、 ESX Server ホ ス ト や VMware
HA ク ラ ス タ 内の ESX Server 間で行われ る ハー ト ビー ト 通信 を vCenter で管理す る のに必
要です
3.
VMkernel ポー ト —VMkernel TCP/IP ス タ ッ ク は、 NFS、 iSCSI ス ト レ ージの接続 と vMotion
に関連す る サー ビ ス を提供 し ます。 VMkenel イ ン タ ー フ ェ イ ス は、 VMkernel サー ビ ス
（NFS、 iSCSI、 vMotion） を物理ネ ッ ト ワ ー ク に接続 し ま す。 複数の VMkernel イ ン タ ー
フ ェ イ ス を定義 し て、 多様な制御 レベル を提供で き ます
4.
ア ク テ ィ ブ vCenter VM と ス タ ン バ イ vCenter VM のための vSphere ハー ト ビー ト
5.
テナ ン ト VM と ア プ リ ケーシ ョ ン管理用の独立 し た VLAN
ス ト レージ ・ スペース
1.
各テナ ン ト の ス ト レージ ・ ド メ イ ン （vFiler ユ ニ ッ ト ） に対応す る 独立 し た VLAN
2.
NetApp コ ン ト ロ ー ラ に HTTP ア ク セ ス 、 コ ン ソ ール ・ ア ク セ ス す る ための管理用 VLAN
ネ ッ ト ワー ク ・ スペース
1.
Nexus 7000 と Nexus 5000 のためのマネ ジ メ ン ト VRF VLAN
2.
Nexus 1000V ネ ッ ト ワ ー ク 管理 イ ン タ ー フ ェ イ ス —Nexus 1000V に対す る IP ベー ス の接続
を管理。 こ の管理 イ ン タ ー フ ェ イ ス は、 VSM と VEM の間のデー タ 交換には使用 さ れ ま せ
ん。 VSM と VMware vCenter Server 間の接続 を確立 し 、 維持す る ために使用 さ れ ま す
43
設計上の考慮事項 — 4 つのポイ ン ト
3.
Nexus 1000V コ ン ト ロ ール・ イ ン タ ーフ ェ イ ス — こ のコ ン ト ロ ール・ イ ン タ ーフ ェ イ ス は、
VSM が VEM と の通信に使用する レ イ ヤ 2 イ ン タ ーフ ェ イ ス です。 ハート ビ ート な ど の
ロ ーレ ベルの制御パケ ッ ト のほか、 VSM と VEM 間で交換が必要な すべて の設定データ を
処理し ま す。 こ のコ ン ト ロ ール・ イ ン タ ーフ ェ イ ス を 介し て 伝送さ れる ト ラ フ ィ ッ ク の性
質を 考え る と 、 Cisco Nexus 1000V シ リ ーズ ・ ス イ ッ チで最も 重要な イ ン タ ーフ ェ イ ス です
4.
Nexus 1000V パケ ッ ト — パケ ッ ト ・ イ ン タ ー フ ェ イ ス と は レ イ ヤ 2 イ ン タ ー フ ェ イ ス で、
Cisco Nexus 1000V シ リ ーズ ・ ス イ ッ チ全体で調整が必要な ネ ッ ト ワ ー ク ・ パケ ッ ト の伝送
に使用 さ れ ます。 こ の イ ン タ ー フ ェ イ ス は、 Cisco Discovery Protocol や Internet Group
Management Protocol （IGMP; イ ン タ ーネ ッ ト ・ グループ ・ マ ネ ジ メ ン ト ・ プ ロ ト コ ル） の
制御パケ ッ ト を始め と す る 、 ネ ッ ト ワ ー ク 制御 ト ラ フ ィ ッ ク で使用 さ れ ます
VLAN の計画 と 設計の範囲
VLAN 設計 を行 う と 、 ク ラ ウ ド 管理者は、 ク ラ ウ ド ・ コ ン ポーネ ン ト の管理に関す る ク リ テ ィ
カルな運用要件 を分離 し て、 差別化 し たサー ビ ス を提供で き ます。 VLAN を適切に保護す る こ
と に加え て、 各カ テ ゴ リ の VLAN に管理範囲 と ア ク セ ス 要件 を マ ッ ピ ン グす る こ と が重要で
す。 そ こ で、 VLAN の ロ ール と 目的 を、 2 つの タ イ プに大 き く グループ分け し ま す。
•
イ ン フ ラ VLAN グループ — こ の カ テ ゴ リ の VLAN は、 コ ン ピ ュ ーテ ィ ン グ、 ス ト レージ、
ネ ッ ト ワ ー ク のマルチテナ ン ト 環境サー ビ ス に必要なすべての機能に使用 し ます
– 管理 VLAN
管理 VLAN は、 VMware ESX ホ ス ト 、 NetApp ス ト レ ージ ・ コ ン ト ロ ー ラ 、 Nexus
1000V、 Nexus 5000、 Nexus 7000 な ど のネ ッ ト ワ ー ク ・ デバ イ ス の管理に使用 し ます。
ま た、 こ の カ テ ゴ リ には、 監視、 SNMP 管理、 ネ ッ ト ワ ー ク ・ レ ベルの監視 （RSPAN）
に使用す る VLAN も 含 ま れ ます。
– 制御 VLAN
制御 VLAN は、 コ ン ピ ュ ーテ ィ ン グ ・ エ ン テ ィ テ ィ 、 ネ ッ ト ワ ー ク ・ エ ン テ ィ テ ィ 、
ス ト レージ ・ エ ン テ ィ テ ィ 間の接続に使用 し ます。 た と えば、 こ の VLAN には、 NFS
デー タ ・ ス ト アお よ び vMotion に対応す る VMkernel イ ン タ ー フ ェ イ ス と 、 Nexus
1000V の コ ン ト ロ ール ・ イ ン タ ー フ ェ イ ス 接続、 パケ ッ ト ・ イ ン タ ー フ ェ イ ス 接続が
含 ま れ ます。
•
テナ ン ト VLAN グループ — こ の グループは、 テナ ン ト 関連デー タ にかかわ る 、 あ ら ゆ る
機能 を提供す る VLAN か ら 構成 さ れ ます
– ア プ リ ケーシ ョ ン管理 VLAN
こ の設計ガ イ ド では、 1 つの管理 ゾー ン を一元的な制御ポ イ ン ト にす る こ と を前提 と し
てい ます。 ただ し 、 各テナ ン ト の VM と ア プ リ ケーシ ョ ン を管理す る には、 セ キ ュ ア
な分離 を実現 し て、 テナ ン ト 独自の性質 と ロ ール を維持す る 必要が あ り ます。 そのた
め、 各テナ ン ト では、 VM と ア プ リ ケーシ ョ ン の管理用に、 分離 さ れた専用の VLAN
が必要です。
– デー タ VLAN
デー タ VLAN は、 カ ス タ マ ・ ア プ リ ケーシ ョ ン の処理に使用す る すべての VLAN で構
成 さ れ ます。 通常、 ア プ リ ケーシ ョ ン用の フ ロ ン ト エ ン ド VLAN と 、 ア プ リ ケーシ ョ
ン がデー タ ベー ス や ス ト レージ ・ フ ァ ブ リ ッ ク に ア ク セ ス す る ためのバ ッ ク エ ン ド
VLAN が含 ま れ ま す。 さ ら に、 テナ ン ト ご と に、 ト ラ フ ィ ッ ク 監視用の VLAN と デー
タ 管理用のバ ッ ク ア ッ プ VLAN も 必要です。
VLAN の統合
マルチテナ ン ト 環境では、 テナ ン ト 、 VM、 ア プ リ ケーシ ョ ン の増加に伴 っ て、 VLAN の ス プ
ロ ール現象が起 こ る こ と が予想 さ れ ます。 ま た、 従来のプ ラ ク テ ィ ス を実施 し てい る 場合、 前
述の機能 ご と に、 おびただ し い数の VLAN イ ン ス タ ン ス が作成 さ れ る こ と にな り ます。 セ キ ュ
ア ・ マルチテナ ン ト 環境では、 VLAN の ス プ ロ ール現象は、 次の よ う な事態 を招 く 大 き な問題
と な り ます。
44
設計上の考慮事項 — 4 つのポ イ ン ト
•
管理 コ ス ト の増大 — リ ソ ー ス の使用効率の低下 と 、 機能別の用途 ご と に別々に VLAN を
設定す る こ と に よ る 管理上の負荷
•
セキ ュ リ テ ィ ・ コ ン プラ イ ア ン ス 違反 —VLAN ご と に独立し た制御と ア ク セス 制御ポイ ン ト
が必要な ため、 設定ミ ス によ り 、 セキ ュ リ テ ィ 関連の違反が発生する 可能性が高ま り ま す
こ れに対 し 、 VLAN 統合には次の よ う な利点が あ り ま す。
VLAN の数 を減 ら す こ と で、 運用の一貫性 を維持で き 、 管理が し やす く な り ま す。 統合す る
と 、 それぞれの カ テ ゴ リ ま たは タ イ プの VLAN を、 Cisco Nexus 1000V の VLAN ベー ス のポー
ト プ ロ フ ァ イ ル機能にマ ッ ピ ン グ で き ます。 こ のマ ッ ピ ン グ に よ り 、 ア ク セ ス 制御 を簡素化
し 、 QoS 分類 を使用で き る よ う にな り ま す。 ま た、 VLAN を統合す る と 、 単一の RSPAN セ ッ
シ ョ ン ・ イ ン ス タ ン ス を介 し て、 コ ン ト ロ ール ・ プ レー ン機能のエ ン ド ツーエ ン ド の イ ベ ン ト
を監視で き る よ う に も な り ます。 後者の機能は、 ウ ィ ル ス 感染の管理 と 、 イ ン フ ラ の問題の ト
ラ ブルシ ュ ーテ ィ ン グ に き わめて重要です。 テナ ン ト 間での VLAN 統合は、 セ キ ュ ア な分離 と
い う 要件上、 むずか し いか も し れ ません。 ただ し 、 1 つの イ ン フ ラ VLAN グループ （管理 / 制
御プ レー ン） では、 多 く の VLAN が同様の機能 を提供す る ため、 必要な VLAN の数 を統合す
る こ と が可能です。 こ の設計では、 管理 VLAN グループ と 制御 VLAN グループ を 3 つの
VLAN—1 つはルーテ ィ ン グ対応 VLAN、 他の 2 つはルーテ ィ ン グ非対応の VLAN— に統合 し
て、 制御機能 と 管理機能に関連す る 多 く の VLAN の代表 と し てい ます。 こ の設計では、 VLAN
の統合の根拠 と 意味 を次の よ う に考え てい ます。
メモ
•
NOC 管理機能では、 リ モー ト ・ セ グ メ ン ト か ら コ ン ピ ュ ーテ ィ ン グ、 ネ ッ ト ワ ー ク 、 ス ト
レージの重要な リ ソ ー ス に ア ク セ ス す る 必要が あ り ます。 こ のため、 ESX サー ビ ス ・ コ ン
ソ ール、 NetApp コ ン ト ロ ー ラ ・ コ ン ソ ール、 Nexus 1000V 管理 VLAN、 ネ ッ ト ワ ー ク ・ デ
バ イ ス 管理、 UCS OOB、 KVM を単一のルーテ ィ ン グ対応 VLAN に統合 し ま す
•
こ の設計では、 NFS デー タ ス ト アは、 ESX ホ ス ト と ゲ ス ト VM の活動中の OS のデー タ と
し て使用 さ れ ます。 NFS デー タ ス ト アは、 ス テー ト レ ス ・ コ ン ピ ュ ーテ ィ ン グ の実現上欠
かせない イ ン フ ラ です。 そのため、 別の VLAN 上で保持 し 、 専用の VMkernel ポー ト を割
り 当て ます。 こ の VLAN は、 外部 リ ソ ー ス を必要 と し ないため、 ルーテ ィ ン グは行い ませ
ん。 ま た、 そ う す る こ と で、 セ キ ュ リ テ ィ 上の脅威 を軽減で き ます。 PXE ブー ト と VM の
OS 用の共通デー タ ス ト アは、 マルチテナ ン ト 環境全体で使用 さ れ ます。 そのため、 各テナ
ン ト に必要な VLAN の数が さ ら に削減 さ れ ます。 こ れ ら の VLAN へのセ キ ュ リ テ ィ と 管
理のための ア ク セ ス は、 単一の管理権限で カバーで き ます。 ど のテナ ン ト で も 、 その リ
ソ ー ス は vCenter を通 じ て管理 し ま す。 そのため ESX ホ ス ト は、 エ ン ド ・ ユーザやテナ ン
ト 管理者に と っ て透過的で あ り 、 ま た分離 さ れてい る 必要が あ り ます
•
従来、 Nexus 1000V に よ る 処理 （ コ ン ト ロ ールお よ びパケ ッ ト ・ イ ン タ ー フ ェ イ ス ） を必
要 と す る VLAN は、 その動作の ク リ テ ィ カルな性質上、 別々の VLAN と し て保持 さ れて
い ま し た。 こ れは、 コ ン ト ロ ール ・ プ レー ン の安定に必要な保護の程度 を考え る と 、 NFS
デー タ ス ト ア と 同 じ カ テ ゴ リ に分類す る こ と がで き ます。 そのため、 NFS デー タ ス ト ア
VLAN と 統合 し てい ま す
•
vMotion は、 ESX ク ラ ス タ 内で IP 接続で き る 必要が あ り ま す。 こ の設計では、 分離 さ れた
VLAN 内に維持 し 、 専用の VMkernel ポー ト を割 り 当て てい ます。 こ の VLAN はルーテ ィ
ン グ対応で あ る 必要はあ り ません
任意のルーテ ィ ン グ非対応 VLAN に IP 接続で き る ホ ス ト （SNMP リ レー と し て機能で き る ホ
ス ト ） を用意す る こ と を、 強 く 推奨 し ます。 IP デバ イ ス がない と 、 個々の リ ソ ー ス の接続 を検
証す る こ と や、 SNMP 管理が き わめ て困難にな り 、 ルーテ ィ ン グ機能が必要にな る こ と が あ り
ます。
マルチテナン ト 設計の統合 VLAN マ ッ プ
表 4 に、 マルチテナン ト 設計の管理用 VLAN と ユーザ ・ テナン ト VLAN の範囲を示 し ます。 表 4
か ら わか る よ う に、 制御 と 管理に関連する 10 の VLAN を、 3 つの VLAN に統合 し てい ます。
45
設計上の考慮事項 — 4 つのポイ ン ト
表4
統合 さ れた VLAN のマ ッ プ
観点
VLAN グループ
機能
ルー
ティン
グ対応
ク ラ ウ ド 管理者
管理
ブ レー ド ご と の UCS OOB と KVM
○
環境に よ る
×
×
レ ー ト 制限
Nexus 1000V 管理
ス ト レージ管理
ネ ッ ト ワ ー ク ・ デバ イ ス 管理
ネ ッ ト ワ ー ク 管理 と OOB
コ ン ト ロ ール ・ プ レー ン —
ト ラ フ ィ ッ ク を制限 し ない
NFS デー タ ・ ス ト ア
Nexus 1000V コ ン ト ロ ール
Nexus 1000V パケ ッ ト
テナ ン ト
コ ン ト ロ ール ・ プ レー ン —
ト ラ フ ィ ッ ク を制限
vMotion
×
○
テナ ン ト ご と の ア プ リ ケー
シ ョ ン と VM の管理
仮想マ シ ン管理
○
○
フ ロ ン ト ・ エ ン ド — ユー
ザ ・ ア クセス
業務 — テナ ン ト ・ ユーザの ア プ リ
ケーシ ョ ンへの ア ク セ ス — ト ラ ン ザ
ク シ ョ ン と ビル ド
○
環境に よ る
仮想 ス ト レージ ・ コ ン ト ロ ー ラ 管理
QA、 開発
バ ッ ク ・ エン ド — アプ リ
ケーシ ョ ン ・ デー タ
ア プ リ ケーシ ョ ン間 —VM 間
その他
監視 と RSPAN
ア プ リ ケーシ ョ ン と ス ト レージ ・ コ ン
ト ロ ー ラ 間 —VM と IO 間
バッ クアップ
環境に
よる
環境に
よる
未使用ポー ト のデ フ ォ ル ト VLAN
マルチテナ ン ト 設計では、 運用状態が安定 し てい る と き も 不安定な と き も 、 コ ン ト ロ ール ・ プ
レー ン の動作に耐障害性が備わ っ てい る 必要が あ り ます。 マルチテナ ン ト 設計の耐障害性 と パ
フ ォ ーマ ン ス の保護 を考え る と 、 必要な管理の程度は コ ン ト ロ ール ・ プ レー ン機能に よ っ て異
な り ます。 デー タ ス ト ア に使用す る NFS は、 オペ レ ーテ ィ ン グ ・ シ ス テ ム がブー ト ・ デ ィ ス
ク に対 し て要求 し た IO の処理に も 使用 さ れ ま す。 こ の ト ラ フ ィ ッ ク の遅れは、 VM の OS のブ
ロ ッ ク を引 き 起 こ し 、 ク ラ イ ア ン ト ・ ワ ー ク ロ ー ド の処理速度低下 を引 き 起 こ し ます。 同 じ こ
と は、 VM と vFiler ユ ニ ッ ト 間のア プ リ ケーシ ョ ン ・ デー タ の ト ラ フ ィ ッ ク に も 言え ま す。 反
対に、 vMotion は、 裏で VM を移行す る ために使用 さ れ ま す。 こ の処理は帯域幅 を多 く 消費す
る 場合が あ り ますが、 完了す る ま で実行 さ れ る バ ッ ク グ ラ ウ ン ド 処理です。 vMotion ト ラ
フ ィ ッ ク が遅 く な る と 、 バ ッ ク グ ラ ウ ン ド ・ コ ピー も 遅 く な り 、 処理に時間がかか る よ う にな
り ますが、 VM への影響はほ と ん ど な く 、 気付 く こ と はあ り ま せん。 し たが っ て、 NFS デー タ
ス ト ア と Nexus 1000V コ ン ト ロ ール / パケ ッ ト VLAN では、 レ ー ト を制限 し ま せん。 vMotion
VLAN では レ ー ト を制限で き ま す。 管理 VLAN と ア プ リ ケーシ ョ ン /VM 管理 VLAN では、
レー ト を制限 し て、 外部 ま たは内部か ら の攻撃か ら 保護 し ます。 さ ま ざ ま な ト ラ フ ィ ッ ク ・ タ
イ プ別の詳 し い考慮事項については、 「QoS ベー ス の分離」 と 「ネ ッ ト ワ ー ク のサー ビ ス 保証
の設計に関す る 考慮事項」 で説明 し てい ます。
46
設計上の考慮事項 — 4 つのポ イ ン ト
VLAN のネー ミ ング設計
マルチテナ ン ト 設計では、 さ ま ざ ま な リ ソ ー ス の管理、 プ ロ ビ ジ ョ ニ ン グ、 ト ラ ブルシ ュ ー
テ ィ ン グ を行 う ために、 エ ン ド ツーエ ン ド で運用の一貫性 を維持す る 必要が あ り ます。 前述 し
た VLAN 分類グループに一貫性の あ る 命名規則 を適用 し て、 運用性 を高め ます。 マルチテナ ン
ト 環境では、 グループの多様な集合が一体 と な っ て機能 し 、 相互に作用す る ため、 VLAN の命
名規則は非常に重要です。 VLAN のネー ミ ン グ には、 次のガ イ ド ラ イ ン を使用 し て く だ さ い。
•
マルチテナ ン ト ・ エ ン テ ィ テ ィ ご と のサー ビ ス ・ レベル を特定 し ます。 サー ビ ス ・ レベル
は、 プ ラ チナ ・ ク ラ ス 、 ゴール ド ・ ク ラ ス 、 シルバー ・ ク ラ ス 、 ブ ロ ン ズ ・ ク ラ ス 、 デ
フ ォ ル ト ・ ク ラ ス に分類で き ます
•
それぞれの VLAN を利用 し てい る テナ ン ト と ア プ ラ イ ア ン ス を特定 し ます。 た と えば、 営
業、 マーケ テ ィ ン グ、 人事、 マネ ジ メ ン ト 用、 vShield 用な ど です
•
それぞれの VLAN が提供す る ア プ リ ケーシ ョ ン ま たは機能の タ イ プ を特定 し ます。 た と え
ば、 ト ラ ン ザ ク シ ョ ン、 バル ク 、 NFS デー タ ス ト ア、 ア プ リ ケーシ ョ ン IO な ど です
•
VLAN ご と にサブネ ッ ト ID を定義 し て、 VM の管理者 と ネ ッ ト ワ ー ク 担当者がサブネ ッ
ト 、 ポー ト プ ロ フ ァ イ ル、 VLAN 間の関連 を特定で き る よ う に し ま す
一般的な ワ ー ク フ ロ ー ・ モデルは、 ア プ リ ケーシ ョ ン ・ グループが VM を要求す る こ と か ら 始
ま り ます。 3 つの個々の機能グループ （ コ ン ピ ュ ーテ ィ ン グ、 ス ト レージ、 ネ ッ ト ワ ー ク ） は、
要求 さ れたサー ビ ス を実現す る リ ソ ー ス を提供 し ます。 VLAN、 VM、 Nexus 1000V ポー ト プ ロ
フ ァ イ ルに一貫性の あ る 名前 を付け る こ と で、 こ の ワ ー ク フ ロ ーは大幅に合理化 さ れ ます。 こ
れは、 さ さ いな こ と に思え る か も し れ ませんが、 検証 を行 っ た と こ ろ、 VM を適切な ポー ト プ
ロ フ ァ イ ルに関連付け る こ と は き わめて困難で あ る こ と が明 ら かにな っ てい ます。 VM を適切
な ポー ト プ ロ フ ァ イ ルに関連付け る こ と がで き れば、 次は適切な VLAN に関連付け て、 運用効
率 を最適化す る こ と がで き ます。
Nexus 1000V のポー ト プ ロ フ ァ イル
Nexus 1000V は、 UCS 6100 フ ァ ブ リ ッ ク に接続す る VM を束ね る 役割 を果た し ま す。 ポー ト
プ ロ フ ァ イ ルは、 一貫性の あ る 一連の設定セ ッ ト を複数の VM イ ン タ ー フ ェ イ ス に一度に適用
し 、 それに よ っ て接続 を定義す る 、 動的な方法です。 ポー ト プ ロ フ ァ イ ルでは、 基本的に、
VLAN の分離 を VM に ま で柔軟に拡大 し 、 セ キ ュ リ テ ィ と QoS に よ る 分離 を実現 し ま す。
ポー ト プ ロ フ ァ イ ルは、 VM 管理者が VM を適切な VLAN ま たはサブネ ッ ト に関連付け る ため
の基本的な方法 と いえ ます。 ポー ト プ ロ フ ァ イ ル名 も 、 同 じ VLAN 命名規則に従 っ て く だ さ
い。 VLAN 名 と ポ リ シー を ポー ト プ ロ フ ァ イ ル名に一致 さ せ る と 、 サーバ管理者 も ネ ッ ト ワ ー
ク 管理者 も 同 じ オブジ ェ ク ト を参照す る こ と がで き る ため、 プ ロ ビ ジ ョ ニ ン グや ト ラ ブル
シ ュ ーテ ィ ン グ がは る かに容易にな り ます。 次のセ ク シ ョ ン では、 ポー ト プ ロ フ ァ イ ル を利用
し 、 テナ ン ト VM ご と に QoS に基づいて ト ラ フ ィ ッ ク ・ フ ロ ー を分離 し ま す。
QoS ベースの分離
ア プ リ ケーシ ョ ン と テナ ン ト のサー ビ ス ・ レベルに基づいた分離 を行 う こ と は、 マルチテナ ン
ト 環境で リ ソ ー ス を プールす る 場合の最重要要件です。 ト ラ フ ィ ッ ク を分離す る こ と は、 リ
ソ ー ス を オーバーサブ ス ク リ プシ ョ ン か ら 保護す る ための基盤で あ り 、 分離に よ っ て、 テナ ン
ト でサー ビ ス ・ レベル を保証で き る よ う にな り ます。 QoS 分類 ツールでは ト ラ フ ィ ッ ク ・ フ
ロ ーの特定がで き る ため、 特定の QoS ア ク シ ョ ン を目的の ト ラ フ ィ ッ ク ・ フ ロ ーに適用で き ま
す。 特定 さ れた ト ラ フ ィ ッ ク はマーキ ン グ さ れて、 あ ら か じ め定義 し た基準に基づ き 優先順位
が設定 さ れ ます。 マーキ ン グ に よ っ て、 ト ラ ス ト 境界が設定 さ れ ます。 ト ラ ス ト 境界内では、
ネ ッ ト ワ ー ク の各 ノ ー ド で ト ラ フ ィ ッ ク を再分類 し な く て も 、 ト ラ フ ィ ッ ク ・ フ ロ ーに対 し て
さ ら に任意の ア ク シ ョ ン を実行で き ます。 パケ ッ ト がい っ たん分類 さ れ る と 、 テナ ン ト の要件
に応 じ て、 ト ラ フ ィ ッ ク に対 し て さ ま ざ ま な ア ク シ ョ ン を実行で き ます。 こ の方法の詳細につ
いては、 「ネ ッ ト ワ ー ク のサー ビ ス 保証の設計に関す る 考慮事項」 で説明 し てい ます。
こ の設計ガ イ ド では、 イ ン フ ラ ・ レベル と テナ ン ト ・ レベルで分類 と サー ビ ス ・ レベル を規定
し てい ます。 こ の規定に従 っ た設計 を図 16 に示 し ます。 こ の よ う なサー ビ ス ・ レベル を実現
す る には、 ネ ッ ト ワ ー ク ・ レ イ ヤで ア プ リ ケーシ ョ ン か ら ス ト レージに向か う も の と 、 ア プ リ
47
設計上の考慮事項 — 4 つのポイ ン ト
ケーシ ョ ン か ら ユーザ ・ ア ク セ ス へ向か う 双方向の ト ラ フ ィ ッ ク ・ フ ロ ー を、 テナ ン ト ご と に
差別化で き る 必要が あ り ます。 ま た、 コ ン ト ロ ール ・ プ レー ン機能 （デバ イ ス の コ ン ソ ール管
理、 NFS デー タ ス ト ア、 Nexus 1000V の コ ン ト ロ ール ・ ト ラ フ ィ ッ ク と パケ ッ ト ・ ト ラ フ ィ ッ
ク な ど） の運用に耐障害性が備わ っ てい る こ と は、 環境全体の安定性 と い う 点で重要です。 マ
ルチテナ ン ト 設計では、 こ のサー ビ ス ・ レベルの保証、 つ ま り ト ラ フ ィ ッ ク ・ フ ロ ーの動的な
管理が要 と な り ます。 こ の目標 を達成す る ための最初の手順 と し て、 ネ ッ ト ワ ー ク の さ ま ざ ま
な階層 レ イ ヤに次の分類原則 を適用 し ます。
•
レ イ ヤ 2 ネ ッ ト ワ ー ク の分類機能
•
マルチテナ ン ト ・ ネ ッ ト ワ ー ク の ト ラ フ ィ ッ ク ・ タ イ プ と 要件の特定
•
発信元近 く でのパケ ッ ト の分類
以降のセ ク シ ョ ン では、 上記の各原則について、 さ ら にそ こ か ら 生 じ る 設計上の決定について
説明 し ます。
レ イヤ 2 ネ ッ ト ワー クの分類機能
業界標準の分類モデルは、 主に RFC 2474、 RFC 2597、 RFC 3246 と 、 Informational RFC 4594 に
基づいてい ます。 デー タ ・ セ ン タ ーの QoS 機能は、 包括的な標準で あ る Data Center Bridging
（DCB; デー タ ・ セ ン タ ー ・ ブ リ ッ ジ ン グ） の下で急速に進化 し 、 新 し い標準 を採用 し てい ま
す。 こ う し た標準の詳細については、 次 を参照 し て く だ さ い。
•
DCB タ ス ク ・ グループ ： http://www.ieee802.org/1/pages/dcbridges.html
•
優先順位ベー ス の フ ロ ー制御 ： http://www.ieee802.org/1/pages/802.1bb.html
こ の設計ガ イ ド では、 図 15 に示す よ う に、 802.1Q/p Class of Service （CoS; ク ラ ス ・ オブ ・
サー ビ ス ） ビ ッ ト を分類に使用 し てい ます。 こ の 3 ビ ッ ト に よ っ て 8 つのサー ビ ス ・ タ イ プ を
表せ ますが、 その う ち CoS 7 は、 多 く のネ ッ ト ワ ー ク ・ デバ イ ス で予約 さ れてい ま す。 し た
が っ て、 こ の設計は、 残 り の 6 つの CoS フ ィ ール ド に基づいたサー ビ ス ・ モデルの ク ラ ス で構
成 さ れ ます。
図 15
802.1Q/p CoS ビ ッ ト
ま た、 あ る ネ ッ ト ワ ー ク 内で適用で き る ク ラ ス の数は、 ネ ッ ト ワ ー ク 全体で使用で き る キ ュ ー
イ ン グ ・ ク ラ ス の数に左右 さ れ ます。 キ ュ ー イ ン グ ・ ク ラ ス に よ っ て、 優先 さ れ る パケ ッ ト
や、 ネ ッ ト ワ ー ク 内のオーバーサブ ス ク リ プシ ョ ン に基づ く ド ロ ッ プ基準が決 ま り ます。 すべ
てのデバ イ ス で同 じ 数の ク ラ ス を使用で き る 場合は、 キ ュ ー イ ン グ分類 を エ ン ド ツーエ ン ド で
均等に維持で き ます。 こ の設計ガ イ ド では、 5 つの キ ュ ー イ ン グ ・ ク ラ ス を使用 し 、 FCoE は
除外 し てい ます。 UCS でサポー ト さ れ る キ ュ ー イ ン グ ・ ク ラ ス の最小数は、 FCoE ク ラ ス を除
く 5 つで あ る ためです。 こ の 5 つの ク ラ ス を表 5 に示 し ま す。
48
設計上の考慮事項 — 4 つのポ イ ン ト
表5
サービ ス ・ ク ラ ス と 、 CoS、 UCS のマ ッ ピ ング
CoS ク ラ ス UCS ク ラ ス
ネ ッ ト ワー ク ・ ク ラ ス ・ キ ュ ー
5
プ ラ チナ
優先
6
ゴール ド
キ ュー 1
4
シルバー
キ ュー 2
3
FCoE
予約、 未使用
2
ブロ ンズ
キ ュー 3
0 と 1
ベス ト エフ ォー ト デフ ォル ト ・ ク ラ ス
UCS では、 すべての QoS は、 802.1p の CoS 値のみに基づ き ま す。 IP ToS と DSCP は、 UCS 内
部の QoS に効力がないため、 内部の 802.1p CoS には コ ピーで き ま せん。 ただ し 、 IP ヘ ッ ダー
に設定 さ れた DSCP/ToS は UCS に よ っ て変更 さ れ ません。 CoS マーキ ン グは、 CoS ク ラ ス が
有効な場合のみ意味 を持ち ます。 2 つ以上の CoS 値 を ク ラ ス に割 り 当て る こ と はで き ません。
デバ イ ス に よ っ て ト ラ フ ィ ッ ク を分類す る キ ュ ー / 機能の数が異な る 場合、 通常は、 最小公約
数の ク ラ ス を利用す る こ と を推奨 し ます。 それ以上の数の ク ラ ス を利用す る と 、 ア プ リ ケー
シ ョ ン の応答に一貫性がな く な る こ と が あ り ます。
マルチテナン ト ・ ネ ッ ト ワー クの ト ラ フ ィ ッ ク ・ タ イ プ と 要件の特定
マルチテナ ン ト ・ ネ ッ ト ワ ー ク の ト ラ フ ィ ッ ク ・ タ イ プ と 要件 を特定す る こ と は、 マルチテナ
ン ト 設計でサー ビ ス ・ レベル ・ モデル を構築す る に あ た っ て、 最 も 重要な設計上の決定です。
前述 し た VLAN の分離に関す る 決定 と 方法 も 、 こ の分類マ ッ プ と 部分的に重な り ます。 ト ラ
フ ィ ッ ク のプ ロ フ ァ イ リ ン グ と 要件は、 テナ ン ト に よ っ て異な る こ と が あ り ます。 ク ラ ウ ド ・
サー ビ ス のネ ッ ト ワ ー ク 管理では、 顧客の ト ラ フ ィ ッ ク ・ タ イ プ と ア プ リ ケーシ ョ ン の応答要
件 を特定す る ための方法 を考え る 必要が あ り ます。 ア プ リ ケーシ ョ ン と ト ラ フ ィ ッ ク ・ パ タ ー
ン を特定す る 方法は、 こ の設計ガ イ ド の対象外です。 ただ し 、 次のベ ス ト ・ プ ラ ク テ ィ ス を使
用す る こ と で、 ト ラ フ ィ ッ ク を その重要性 と 特性に基づいて分類で き ます。
イ ン フ ラ ・ タ イ プの ト ラ フ ィ ッ ク — こ れは、 テナ ン ト のデー タ ・ ア プ リ ケーシ ョ ン ・ ト ラ
フ ィ ッ ク を除いたすべての ト ラ フ ィ ッ ク ・ タ イ プ を含む、 グ ロ ーバルな カ テ ゴ リ です。 イ ン フ
ラ ・ カ テ ゴ リ には、 主に 3 つの ト ラ フ ィ ッ ク ・ フ ロ ー ・ タ イ プが あ り ま す。
•
コ ン ト ロ ール ・ プ レー ン ・ ト ラ フ ィ ッ ク — こ の ト ラ フ ィ ッ ク ・ タ イ プには、 ESX ホ ス ト と
VM のオペ レ ーテ ィ ン グ ・ シ ス テ ム を実行す る ために必要な、 き わめ て重要な シ グナ リ ン
グ ・ プ ロ ト コ ル と デー タ ・ ト ラ フ ィ ッ ク が含 ま れ ます。 ESX ホ ス ト と VM の運用の健全性
は、 最 も 優先す る 必要が あ り ます。 こ のサー ビ ス ・ ク ラ ス で何 ら かの混乱が起 こ る と 、
ESX ホ ス ト か ら の応答が遅 く な っ た り 、 ゲ ス ト VM のオペ レ ーテ ィ ン グ ・ シ ス テ ム が
シ ャ ッ ト ダ ウ ン し た り と い っ た影響がい く つ も 生 じ る 可能性が あ る か ら です。 こ の カ テ ゴ
リ に分類 さ れ る ト ラ フ ィ ッ ク ・ タ イ プには、 NFS 接続に使用す る ESX ホ ス ト の コ ン ト ロ ー
ル ・ イ ン タ ー フ ェ イ ス （VMkernel） や、 Cisco Nexus 1000V の コ ン ト ロ ール ・ ト ラ フ ィ ッ ク
と パケ ッ ト ・ ト ラ フ ィ ッ ク な ど が あ り ます。 こ の ク ラ ス の ト ラ フ ィ ッ ク ・ プ ロ フ ァ イ ルは、
数 MBps か ら GBps ま で非常に幅広 く な り ま す。 こ の よ う な特性の ト ラ フ ィ ッ ク は CoS 5
に分類 さ れ、 必要に応 じ て 「優先」 キ ュ ー と プ ラ チナ ・ ク ラ ス にマ ッ ピ ン グ さ れ ます。
ネ ッ ト ワ ー ク ・ デバ イ ス で使用で き る 優先キ ュ ーには、 こ の タ イ プの ト ラ フ ィ ッ ク を処理
す る 機能が備わ っ てい ます。 優先キ ュ ーは、 ト ラ フ ィ ッ ク が存在す る か ぎ り 、 一切の帯域
幅制限な し で常に最初に処理 さ れ る ためです
•
管理 ト ラ フ ィ ッ ク — こ の ト ラ フ ィ ッ ク ・ タ イ プには、 マルチテナ ン ト ・ リ ソ ー ス を管理す
る ための通信が含 ま れ ます。 こ れには、 ESX サー ビ ス ・ コ ン ソ ールへの ア ク セ ス 、 ス ト
レージ ・ デバ イ ス と ネ ッ ト ワ ー ク ・ デバ イ ス の管理、 テナ ン ト ご と の ト ラ フ ィ ッ ク （ア プ
リ ケーシ ョ ン と VM 管理） な ど が含 ま れ ます。 こ の ト ラ フ ィ ッ ク ・ タ イ プは、 安定 し た状
態では高い ト ラ フ ィ ッ ク 要件 を満たす必要はあ り ません。 ただ し 、 障害や輻輳が発生 し た
49
設計上の考慮事項 — 4 つのポイ ン ト
場合、 ク リ テ ィ カルな イ ン フ ラ ・ コ ン ポーネ ン ト への ア ク セ ス は き わめて重要にな り ます。
こ の よ う な特性の ト ラ フ ィ ッ ク は、 CoS 6 に分類 さ れ、 必要に応 じ て キ ュ ー （ゴール ド ・
ク ラ ス ） にマ ッ ピ ン グ さ れ ます
•
vMotion ト ラ フ ィ ッ ク —vMotion は、 裏で VM を移行す る ために使用 さ れ ま す。 こ の ト ラ
フ ィ ッ ク は、 VM の移動時に ESX ホ ス ト か ら 発信 さ れ ます。 VM の移動は、 自動の場合
と 、 ユーザに よ る 操作の場合が あ り ます。 こ の ト ラ フ ィ ッ ク ・ タ イ プに高い優先順位は不
要です。 ただ し 、 可変帯域幅が必要な場合が あ り ます。 VM に よ っ て メ モ リ ・ サ イ ズ と
ページ ・ コ ピーが異な り 、 ま た vMotion を同時に必要 と す る VM の数 も 異な る か ら です。
vMotion ト ラ フ ィ ッ ク の速度が低下 し て も 、 単にバ ッ ク グ ラ ウ ン ド ・ コ ピーが遅 く な り 、
処理に時間がかか る だけです。 こ の よ う な特性の ト ラ フ ィ ッ ク は、 CoS 4 に分類 さ れ、 必
要に応 じ て キ ュ ー （シルバー ・ ク ラ ス ） にマ ッ ピ ン グ さ れ ます
テナ ン ト のデー タ ・ プ レー ン ・ ト ラ フ ィ ッ ク — こ の ト ラ フ ィ ッ ク ・ カ テ ゴ リ は、 主に 2 つの
ト ラ フ ィ ッ ク ・ グループか ら 構成 さ れ ます。 1 つ目の グループは、 バ ッ ク エ ン ド ・ ト ラ フ ィ ッ
ク で構成 さ れ ます。 こ れには、 ス ト レージ ・ ト ラ フ ィ ッ ク と 、 多層ア プ リ ケーシ ョ ン のバ ッ ク
エ ン ド の VM 間 ト ラ フ ィ ッ ク が含 ま れ ます。 2 つ目の グループは、 ユーザ ・ ア ク セ ス ・ ト ラ
フ ィ ッ ク （一般に、 フ ロ ン ト エ ン ド ・ ア プ リ ケーシ ョ ン ・ ト ラ フ ィ ッ ク と 呼ばれ ます） か ら 構
成 さ れ ます。 こ れ ら の各 ト ラ フ ィ ッ ク ・ グループは、 テナ ン ト ご と の ア プ リ ケーシ ョ ン要件に
基づいて、 何 ら かの形の保護 を必要 と す る と 考え ら れ ます。 ま た、 各 ク ラ ス では、 企業のポ リ
シーに基づいて、 何 ら かの形でサー ビ ス を差別化す る 必要が あ り ます。 こ のため、 こ れ ら の各
ト ラ フ ィ ッ ク ・ グループ を、 プ ラ チナ、 ゴール ド 、 シルバー と い う 3 つのサー ビ ス ・ レベルに
さ ら に分け ます。 サー ビ ス ・ ク ラ ス と CoS/ キ ュ ー /UCS ク ラ ス のマ ッ ピ ン グ を表 6 に示 し ま
す。 ユーザ ・ テナ ン ト ・ ア プ リ ケーシ ョ ン と ユーザ要件 を それぞれ特定 し 、 各テナ ン ト の さ ま
ざ ま な要件 を横断す る 単一のサー ビ ス ・ モデル を構築す る こ と は こ の設計ガ イ ド の対象外で
す。 こ のため、 こ の設計ガ イ ド では、 サー ビ ス ・ レベルの分類はテナ ン ト ・ レベルに と ど めて
い ます。 つ ま り 、 テナ ン ト ・ ト ラ フ ィ ッ ク はすべて単一のサー ビ ス ・ レベルで処理 し 、 それ以
上の差別化は行い ません。 ただ し 、 設計手法 を拡張 し て、 さ ら に き め細かい差別化モデル を構
築す る こ と は可能です。
•
メモ
バ ッ ク エ ン ド ・ ユーザ ・ デー タ ・ ト ラ フ ィ ッ ク — こ の ト ラ フ ィ ッ ク ・ タ イ プには、 ア プ リ
ケーシ ョ ン がデー タ ・ セ ン タ ー内で通信す る ために必要 と す る 、 すべての ト ラ フ ィ ッ ク が
含 ま れ ます。 た と えば、 ア プ リ ケーシ ョ ン間、 ア プ リ ケーシ ョ ン と デー タ ベー ス 間、 ア プ
リ ケーシ ョ ン と 各テナ ン ト の ス ト レージ ・ ス ペー ス 間の ト ラ フ ィ ッ ク な ど です。 ト ラ
フ ィ ッ ク の帯域幅要件 と 応答時間要件は、 各テナ ン ト の要件に よ っ て異な り ます。 こ の設
計では、 バ ッ ク エ ン ド ・ ユーザ ・ デー タ に対 し て 3 つのサー ビ ス ・ レベル を用意 し ま し た。
それぞれのサー ビ ス は、 要件に基づいて別々の CoS ク ラ ス に分類 さ れてい ます。 サー ビ
ス ・ レベルの分類は、 テナ ン ト ご と に さ ま ざ ま な IO 要件 を差別化す る のに役立ち ま す。
表 6 に、 ア プ リ ケーシ ョ ン の IO 要件に基づいたサー ビ ス ・ ク ラ ス の説明 と マ ッ ピ ン グ を
示 し ます。 各 IO 要件 ク ラ ス は、 CoS タ イ プ、 キ ュ ー ・ タ イ プ、 同等の UCS 帯域幅 ク ラ ス
にマ ッ ピ ン グ さ れてい ます
こ の設計ガ イ ド では、 CoS 6 をデー タ ・ ト ラ フ ィ ッ ク に使用 し てい ます。 こ れは、 従来の QoS
フ レー ム ワ ー ク と は異な り ます。
表6
50
バ ッ ク エ ン ド ・ ユーザ ・ デー タ ・ ト ラ フ ィ ッ クのサービ ス ・ レ ベル
サービ ス ・ ク ラ ス
IO 要件
CoS/ キ ュ ー /UCS ク ラ ス 分類の根拠
プ ラ チナ
低遅延、 帯域幅保証
5/ 優先キ ュ ー / プ ラ チ
ナ・ クラス
リ アル タ イ ム IO、
レ ー ト 制限な し 、 帯
域幅制限な し 、 最初
に処理
設計上の考慮事項 — 4 つのポ イ ン ト
表6
バ ッ ク エ ン ド ・ ユーザ ・ デー タ ・ ト ラ フ ィ ッ クのサービ ス ・ レベル
サービ ス ・ ク ラ ス
IO 要件
CoS/ キ ュ ー /UCS ク ラ ス 分類の根拠
ゴール ド
中程度の遅延、 ド
ロ ッ プな し
6/ キ ュ ー 1/ ゴール ド ・
クラス
リ アル タ イ ム ではな
い、 ただ し ト ラ
フ ィ ッ ク はバ ッ フ ァ
される
シルバー
高遅延、 ド ロ ッ プ / 再 4/ キ ュ ー 2/ シルバー ・
転送
クラス
帯域幅保証が低い、
再マーキ ン グ と ポ リ
シ ン グ を許可、 ド
ロ ッ プ と 再転送は
NFS/TCP レベルで
処理
•
フ ロ ン ト エ ン ド ・ ユーザ ・ デー タ ・ プ レー ン ・ ト ラ フ ィ ッ ク — こ の ク ラ ス の ト ラ フ ィ ッ ク
には、 テナ ン ト ご と にユーザが ア ク セ ス す る フ ロ ン ト エ ン ド VM デー タ ・ ト ラ フ ィ ッ ク が
含 ま れ ます。 フ ロ ン ト エ ン ド ・ ユーザ ・ ト ラ フ ィ ッ ク は、 さ ら に 3 つの ト ラ フ ィ ッ ク ・ ク
ラ ス に分け る こ と がで き ます。 こ れ ら のサブ ク ラ ス には、 帯域幅 と 応答時間の点で、 それ
ぞれ独自の要件が あ り ます。 各 ト ラ フ ィ ッ ク ・ サブ ク ラ ス について、 以下に、 分類の根拠
と と も に説明 し ます
•
低遅延が求め ら れ る ト ラ ン ザ ク シ ョ ン ・ デー タ — こ のサー ビ ス ・ ク ラ ス は、 時間的制約の
あ る 対話型デー タ ・ ア プ リ ケーシ ョ ン用です。 こ う し た ア プ リ ケーシ ョ ン では、 両方向で
ア プ リ ケーシ ョ ン か ら の即時応答が求め ら れ ます （オ ン ラ イ ン ・ シ ョ ッ ピ ン グ、 タ ー ミ ナ
ル ・ サー ビ ス 、 時間ベー ス の更新な ど）。 最前面の ア プ リ ケーシ ョ ン の応答時間が極度に遅
延す る と 、 ユーザの生産性に直接影響 し ます。 ただ し 、 すべての ト ラ ン ザ ク シ ョ ン ・ ア プ
リ ケーシ ョ ンやユーザが同 じ 帯域幅 と 応答時間 を必要 と し てい る わけではあ り ません。
バ ッ ク エ ン ド ・ ユーザ ・ ト ラ フ ィ ッ ク の分類 と 同様に、 こ のサブ ク ラ ス で も プ ラ チナ、
ゴール ド 、 シルバー と い う 3 つのサー ビ ス ・ レベル を用意 し 、 CoS/ キ ュ ー /UCS ク ラ ス に
マ ッ ピ ン グ し てい ます。 表 7 を参照 し て く だ さ い。
表7
ト ラ ンザク シ ョ ン ・ ユーザ ・ デー タ ・ ト ラ フ ィ ッ クのサービ ス ・ レベル
サービ ス ・ ク ラ ス
ト ラ ンザ ク シ ョ ンの要件
Cos/ キ ュ ー /UCS ク ラ ス 分類の根拠
プ ラ チナ
低遅延、 帯域幅保証
5/ 優先キ ュ ー / プ ラ チ
ナ・ クラス
リ アル タ イ ム IO、
レ ー ト 制限な し 、 帯
域幅制限な し 、 最初
に処理
ゴール ド
中程度の遅延、 ド ロ ッ プ
なし
6/ キ ュ ー 1/ ゴール ド ・
クラス
リ アル タ イ ム ではな
い、 ただ し ト ラ
フ ィ ッ ク はバ ッ フ ァ
さ れる、 ポ リ シング
を許可
シルバー
高遅延、 ド ロ ッ プ / 再転
送
4/ キ ュ ー 2/ シルバー ・
クラス
帯域幅保証が低い、
ド ロ ッ プ と 再転送 を
許可、 ポ リ シ ン グ ま
たは再マーキ ン グ を
許可
•
高 ス ループ ッ ト が求め ら れ る バル ク ・ デー タ — こ のサー ビ ス ・ ク ラ ス は、 非対話型デー
タ ・ ア プ リ ケーシ ョ ン用です。 ほ と ん ど の場合、 こ の タ イ プの ト ラ フ ィ ッ ク はユーザ応答
に影響 し ないため、 生産性に も 影響 し ません。 ただ し 、 こ の ク ラ ス は、 ク リ テ ィ カルな ビ
ジ ネ ス 処理の場合に広帯域幅 を必要 と す る こ と が あ り ます。 ま た、 こ の ト ラ フ ィ ッ ク ・ ク
ラ ス は、 ポ リ シ ン グ と 再マーキ ン グ の対象にす る こ と が可能です。 例 と し ては、 E メ ール
51
設計上の考慮事項 — 4 つのポイ ン ト
の複製、 FTP/SFTP 転送、 イ ンベ ン ト リ の大規模な更新に依存す る ウ ェ アハ ウ ジ ン グ ・ ア
プ リ ケーシ ョ ン な ど が挙げ ら れ ます。 こ の ト ラ フ ィ ッ ク は、 表 8 に示 し てい る よ う に、
CoS 2 のブ ロ ン ズ ・ サー ビ ス ・ ク ラ ス に分類で き ます
表8
バルク ・ ユーザ ・ デー タ ・ ト ラ フ ィ ッ クのサービ ス ・ レ ベル
サービ ス ・ ク ラ ス
ト ラ ンザ ク シ ョ ンの要件
Cos/ キ ュ ー /UCS ク ラ ス 分類の根拠
ブロ ンズ
バル ク ・ ア プ リ ケーシ ョ
ン、 高 ス ループ ッ ト
2/ キ ュ ー 3/ ブ ロ ン ズ ・
クラス
•
ベ ス ト ・ エ フ ォ ー ト — こ のサー ビ ス ・ ク ラ ス は、 デ フ ォ ル ト ・ ク ラ ス に該当 し ます。 説明
済みのサー ビ ス ・ ク ラ ス に分類 さ れない ア プ リ ケーシ ョ ン には、 すべてデ フ ォ ル ト ・ ク ラ
ス が割 り 当て ら れ ます。 多 く の企業ネ ッ ト ワ ー ク では、 ア プ リ ケーシ ョ ン の大半にベ ス
ト ・ エ フ ォ ー ト ・ サー ビ ス ・ ク ラ ス がデ フ ォ ル ト で割 り 当て ら れ ます。 そのため、 こ のデ
フ ォ ル ト ・ ク ラ ス は、 適切にプ ロ ビ ジ ョ ニ ン グす る 必要が あ り ます （ こ の ク ラ ス に推奨 さ
れ る 最小帯域幅は 25% です）。 こ の ク ラ ス の ト ラ フ ィ ッ ク は、 CoS 0 と マーキ ン グ さ れ ま す
•
優先度が低い ス カベ ン ジ ャ ・ デー タ — ス カベ ン ジ ャ ・ ク ラ ス は、 ビ ジ ネ ス に と っ て重要で
はない ア プ リ ケーシ ョ ン用です。 企業ネ ッ ト ワ ー ク では、 ビ ジ ネ ス ク リ テ ィ カルな ア プ リ
ケーシ ョ ン に使用で き る リ ソ ー ス が常に空いてい る か ぎ り 、 こ う し た ア プ リ ケーシ ョ ン に
も 使用が許可 さ れ ます。 ただ し 、 ネ ッ ト ワ ー ク が輻輳す る と 、 こ の ク ラ ス は真 っ先にペナ
ルテ ィ を科 さ れ、 積極的に ド ロ ッ プ さ れ ます。 ま た、 ス カベ ン ジ ャ ・ ク ラ ス は、 DoS
（サー ビ ス 拒否） と ワ ー ム攻撃 を軽減す る 効果的な戦略の一環 と し て も 利用で き ます。 企業
の構内 と WAN ネ ッ ト ワ ー ク では、 従来、 CoS 1 （DSCP 9） が こ の ク ラ ス に割 り 当て ら れて
い ます
こ の設計ガ イ ド では、 ベ ス ト ・ エ フ ォ ー ト ・ ク ラ ス と ス カベ ン ジ ャ ・ ク ラ ス を 1 つの ク ラ ス に
統合 し てい ます。 こ の統合 ク ラ ス は、 UCS 6100 では 「ベ ス ト ・ エ フ ォ ー ト 」、 Nexus 5000 では
「 ク ラ ス デ フ ォ ル ト 」 と 呼ばれ ます。
表9
ベス ト ・ エ フ ォ ー ト ・ ユーザ ・ デー タ ・ ト ラ フ ィ ッ クのサービ ス ・ レベル
サービ ス ・ ク ラ ス
ト ラ ンザ ク シ ョ ンの要件
Cos/ キ ュ ー /UCS ク ラ ス 分類の根拠
デ フ ォ ル ト （ベ ス
ト エフ ォー ト 、 ク
ラ スデフ ォル ト 、
ス カベ ン ジ ャ ・ ク
ラ ス）
前出の カ テ ゴ リ に分類 さ
れない ア プ リ ケーシ ョ
ン、 既定の分類ルールに
一致 し ない ア プ リ ケー
シ ョ ン、 ド ロ ッ プの確率
が非常に高 く マーキ ン グ
さ れた ア プ リ ケーシ ョ ン
0 と 1/ デ フ ォ ル ト
キ ュー / ベス ト エ
フ ォー ト ・ ク ラ ス
デフ ォル ト ・ ク ラ ス
と 、 デ フ ォ ル ト 未満
の ク ラ ス （DoS サー
ビ ス 実装用の ス カベ
ン ジ ャ ・ ク ラ ス）
図 16 は、 ト ラ フ ィ ッ ク ・ タ イ プ、 サー ビ ス ・ ク ラ ス 、 関連す る CoS のマ ッ ピ ン グ を ま と めた
も ので、 こ の設計で提案す る サー ビ ス ・ モデル を表 し てい ます。
52
設計上の考慮事項 — 4 つのポ イ ン ト
図 16
セキ ュ ア ・ マルチテナン ト のサービ ス ・ ク ラ ス ・ モデル
発信元近 く でのパケ ッ ト の分類
ト ラ フ ィ ッ ク の発信元近 く で分類 を行 う こ と で、 ネ ッ ト ワ ー ク ・ デバ イ ス は、 「1 回のマーキ ン
グ で複数回の キ ュ ー イ ン グ」 と い う 原則に基づいた キ ュ ー イ ン グ を実行で き ます。 マルチテナ
ン ト 設計では、 以下の 3 箇所でマーキ ン グ が必要です。
•
ESX ホ ス ト と VM か ら 発信 さ れた ト ラ フ ィ ッ ク の分類
•
外部か ら 発信 さ れ、 デー タ ・ セ ン タ ーに着信す る ト ラ フ ィ ッ ク の分類
•
ネ ッ ト ワ ー ク 接続デバ イ ス か ら 発信 さ れた ト ラ フ ィ ッ ク の分類
ESX ホス ト と VM から発信 さ れた ト ラ フ ィ ッ クの分類
こ の設計では、 Nexus 1000V が分類の境界 と し て使用 さ れ る ため、 VM か ら 発信 さ れた ト ラ
フ ィ ッ ク は信頼性がない も の と し て扱われ ます。 ESX ホ ス ト 、 ゲ ス ト VM、 ま たはア プ ラ イ ア
ン ス VM か ら 発信 さ れ る ト ラ フ ィ ッ ク はすべて、 前述のサー ビ ス ・ レベルに基づいて分類 さ れ
ます。 ト ラ フ ィ ッ ク の分類 と マーキ ン グは、 Modular QoS CLI （MQC; モ ジ ュ ラ QoS CLI） モデ
ルに従 っ てい ます。 こ のモデルでは、 複数の基準 を使用 し 、 ト ラ フ ィ ッ ク を ACL、 DSCP な ど
を使 っ て分類で き ます。 ク ラ ス マ ッ プではグループ内の ト ラ フ ィ ッ ク ・ ク ラ ス の識別がで き ま
す。 ま た ポ リ シー ・ マ ッ プは、 それぞれのサー ビ ス ・ ク ラ ス の QoS パ ラ メ ー タ を変更す る 機能
を提供 し ます。 各サーバ ・ ブ レー ド の VEM の ア ッ プ リ ン ク ・ ポー ト か ら 出 る すべてのパケ ッ
ト は、 ポ リ シー ・ マ ッ プに基づいて マーキ ン グ さ れ ます。 次に、 サー ビ ス ・ ポ リ シーがポー ト
プ ロ フ ァ イ ルに結び付け ら れ ます。 こ の よ う に QoS の一貫性が保たれ る こ と で、 VM が一貫 し
た ア ク セ ス 基準 と 分類基準のセ ッ ト と と も に任意のブ レー ド ・ サーバに移動で き る 、 ス テー ト
レ ス ・ コ ン ピ ュ ーテ ィ ン グ が実現 し ます。 Nexus 1000V での分類 と マーキ ン グ の例 と し て、 次
に 3 ス テ ッ プのプ ロ セ ス ・ サ ン プル を挙げ ま す。
53
設計上の考慮事項 — 4 つのポイ ン ト
1.
ACL が分類エ ン ジ ン と し て機能 ：
ip access-list mark_CoS_5
10 permit ip any 10.100.31.0/24 <-Identifies platinum storage traffic
20 permit ip 10.120.126.0/24 any <- Identifies platinum Transitional traffic
mac access-list control-vlans
10 permit any any vlan 900 <- Identifies control plane and NFS and Mgmt Traffic
2.
ク ラ ス マ ッ プでは、 前述の ACL マ ッ プ を分類基準 と し て利用 ：
class-map type qos match-any Platinum_Traffic
description NFS_N1kv_CtrPkt_Plat_IO_Transactional
match access-group name mark_CoS_5 <- Classifies traffic based on ACL
match access-group name control-vlans <- Classifies traffic based on VLAN
3.
ポ リ シー ・ マ ッ プが QoS マーキ ン グ基準 を定義 ：
policy-map type qos Platinum_CoS_5
class Platinum_Traffic <- Marks the traffic based on class reference
set cos 5 <- set the QoS parameter
ポ リ シー ・ マ ッ プが定義 さ れ る と 、 それがポー ト プ ロ フ ァ イ ルに割 り 当て ら れ、 ポー ト プ ロ
フ ァ イ ルは、 ア プ ラ イ ア ン ス ・ ク ラ ス ま たはテナ ン ト ・ ク ラ ス に対応す る VM に関連付け ら れ
ます。 NFS デー タ ス ト ア と Nexus 1000V （ コ ン ト ロ ール、 パケ ッ ト ） ト ラ フ ィ ッ ク のサ ン プ
ル ・ ポー ト プ ロ フ ァ イ ル を以下に示 し ます。 ポ リ シー ・ マ ッ プに よ る VLAN の分類 と QoS の
分離がわか り ます。
port-profile type vethernet NFS-Control-Packet <- Port-profile for NFS/NEXUS 1000V
traffic
vmware port-group
switchport mode access
switchport access vlan 900
service-policy type qos input Platinum_CoS_5 <- policy map with CoS 5, Platinum marking
pinning id 0
no shutdown
system vlan 900
state enabled
上記のポー ト プ ロ フ ァ イ ルは、 次に、 VM の分類 （テナ ン ト 、 ア プ ラ イ ア ン ス 、 イ ン フ ラ ） に
応 じ て、 VM の イ ン タ ー フ ェ イ ス の 1 つ （ こ の場合は VMkernel） に関連付け ら れ ま す。
外部から発信 さ れ、 デー タ ・ セ ン タ ーに着信する ト ラ フ ィ ッ クの分類
Nexus 7000 は、 基本的に、 デー タ ・ セ ン タ ーに出入 り す る ト ラ フ ィ ッ ク を分類す る 境界です。
デー タ ・ セ ン タ ーの境界外か ら 発信 さ れた ト ラ フ ィ ッ ク には、 DSCP ベー ス の分類が設定 さ れ
てい る か、 ま たは分類が ま っ た く 設定 さ れていない こ と が あ り ます。 デー タ ・ セ ン タ ーか ら 発
信 さ れ る テナ ン ト ・ ユーザ宛ての ト ラ フ ィ ッ ク は、 企業全体 を カバーす る 大規模な QoS サー ビ
ス ・ フ レー ム ワ ー ク で定義 さ れてい る DSCP 範囲に再マ ッ ピ ン グ で き ます。 ま たは、 前述のセ
ク シ ョ ン で定義 し た CoS 分類に基づいて信頼す る こ と も で き ます。 ト ラ フ ィ ッ ク が両方向 と も
適切な QoS 分類でマーキ ン グ さ れてい る 場合、 Nexus 7000 はデ フ ォ ル ト で、 すべてのポー ト
を ト ラ ス ト ・ モー ド で扱 う ため、 それ以上の処理は不要です。 DSCP か ら CoS への変換は、
DSCP フ ィ ール ド の上位 3 ビ ッ ト を使用 し て行われ、 CoS か ら DSCP への変換 も 同様に行われ
ます。
Nexus 7000 の QoS の詳細については、 次 を参照 し て く だ さ い。
https://www.cisco.com/en/US/docs/switches/datacenter/sw/4_2/nx-os/qos/configuration/guide/qos_nxos_book.html
ネ ッ ト ワー ク接続デバイ スから発信 さ れた ト ラ フ ィ ッ クの分類
こ の設計では、 Nexus 5000 がネ ッ ト ワ ー ク ・ ア ク セ ス ・ レ イ ヤの分類境界 と し て使用 さ れ ま
す。 Nexus 5000 は、 マルチテナ ン ト 設計の要件に応 じ て、 ト ラ ス ト 境界、 ア ン ト ラ ス ト 境界、
ま たはその両方 を設定で き ます。 次の機能が必要です。
54
設計上の考慮事項 — 4 つのポ イ ン ト
•
CoS 値 を設定で き ないデバ イ ス がネ ッ ト ワ ー ク に接続 さ れた場合、 そのデバ イ ス はア ン ト
ラ ス ト と し て扱われ、 分類 と 、 CoS 値の設定の両方 を行 う 必要が あ り ま す
•
ト ラ フ ィ ッ ク が ト ラ ス ト 境界か ら 発信 さ れてい る こ と がわか っ てい る 場合 （つ ま り 、 適切
な CoS ですでにマーキ ン グ さ れてい る 場合）、 一致基準に基づ く 分類のみが必要です。 ト
ラ ス ト 境界か ら 発信 さ れてい る か ど う かが不明な場合は、 パケ ッ ト に CoS 値が含 ま れてい
て も 、 一般に定義 さ れてい る CoS 値で無効化す る 必要が あ り ます （つ ま り 、 ソ ー ス ・ ト ラ
フ ィ ッ ク は信頼 さ れ ません）
こ の設計ガ イ ド では、 UCS-6100 と Nexus 7000 は ト ラ ス ト 境界で あ る ため、 こ の 2 つか ら 発信
さ れた ト ラ フ ィ ッ ク は常に信頼 さ れ ます。 ただ し 、 ス ト レージ ・ コ ン ト ロ ー ラ （NetApp FAS
6080） か ら 発信 さ れた ト ラ フ ィ ッ ク は信頼 さ れ ま せん。 そのため、 分類 と 、 適切な CoS を使用
し た マーキ ン グ が必要です。 Nexus 5000 の QoS モデルは、 QoS 機能の タ イ プ ご と に存在す る
ク ラ ス ・ マ ッ プ と ポ リ シー ・ マ ッ プか ら 構成 さ れ ます。 QoS は多 く の機能 を含む包括的な フ
レー ム ワ ー ク で あ り 、 Nexus 5000 の QoS 機能は次の よ う に 3 つの グループに分け ら れ ま す。
•
「QoS」 は、 グ ロ ーバル （シ ス テ ム） レベル と イ ン タ ー フ ェ イ ス ・ レ ベルで、 イ ン バ ウ ン
ド ・ ト ラ フ ィ ッ ク ま たはア ウ ト バ ウ ン ド ・ ト ラ フ ィ ッ ク の分類に使用 さ れ ます
•
「ネ ッ ト ワ ー ク QoS」 は、 グ ロ ーバル （シ ス テ ム） レベルで、 特定の フ ロ ーに QoS 関連の
パ ラ メ ー タ を設定す る 際に使用 さ れ ます
•
「キ ュ ー イ ン グ」 は、 各 ク ラ ス が使用で き る 帯域幅の ス ケ ジ ュ ー リ ン グ と 、 パケ ッ ト の配信
を ス ケ ジ ュ ー リ ン グ で き る キ ュ ーの ス ケ ジ ュ ー リ ン グ に使用 さ れ ます。 こ の設計では、
キ ュ ー イ ン グは出力ポ リ シー と し て適用 さ れてい ます
3 つの タ イ プの QoS は、 すべて MQC モデルに従 っ てい ま す。 以下に、 Nexus 5000 での分類 と
マーキ ン グ の例 と し て、 3 ス テ ッ プのプ ロ セ ス ・ サ ン プル を挙げ ます。 キ ュ ー イ ン グ と 帯域幅
制御については、 「ネ ッ ト ワ ー ク のサー ビ ス 保証の設計に関す る 考慮事項」 で説明 し てい ます。
アン ト ラ ス ト ・ ト ラ フ ィ ッ ク ・ タ イプ ：
1.
次の ACL は、 NetApp ス ト レ ージ ・ コ ン ト ロ ーラ から のすべて のト ラ フ ィ ッ ク を 識別し ま す。
ip access-list classify_CoS_5
10 permit ip 10.100.31.254/32 any <- Identifies un-trusted source of traffic
2.
こ れは、 NetApp コ ン ト ロ ー ラ ・ ト ラ フ ィ ッ ク と ACL を結び付け る ク ラ ス ・ マ ッ プです。
class-map type qos Platinum_Traffic <- Notice the class type is 'qos'
match access-group name classify_CoS_5 <- Classifies based matched criteria
こ のポ リ シー ・ マ ッ プは、 QoS グループ番号 を ト ラ フ ィ ッ ク ・ セ ッ ト に適用 し ま す。 QoS
グループは、 分類子 （QoS） を ネ ッ ト ワ ー ク QoS マ ッ プに結び付け ま す。
policy-map type qos Global_Classify_NFS_Application
class Platinum_Traffic <- e.g. CoS 5 is a platinum class
set qos-group 2 <- assigned qos group for platinum class
3.
「QoS」 分類 さ れた ト ラ フ ィ ッ ク が流れ る ネ ッ ト ワ ー ク QoS は、 QoS グループ番号 と 照合 さ
れ、 ポ リ シー ・ マ ッ プに よ っ て ト ラ フ ィ ッ ク に適切な CoS がマーキ ン グ さ れ ます。
class-map type network-qos Platinum_Traffic_NQ <- ク ラ ス マ ッ プ ・ タ イ プは 「ネ ッ ト ワ ー ク QoS」
match qos-group 2 <- 「QoS」 分類ポ リ シー ・ マ ッ プに結び付け る
policy-map type network-qos Netapp_Qos <- ネ ッ ト ワー ク QoS のポ リ シー ・ マ ッ プ を定義
class type network-qos Platinum_Traffic_NQ <- 上記で定義 し たネ ッ ト ワー ク QoS の ク ラ ス ・ マ ッ プ
set cos 5 <- CoS 値を設定
ト ラ ス ト ・ ト ラ フ ィ ッ ク ・ タ イプ ：
1.
こ れは、 QoS グループ内の信頼 さ れた フ ロ ーで あ る 「すべて」 の ト ラ フ ィ ッ ク を分類す る
ク ラ ス ・ マ ッ プです。
class-map type qos Platinum_transactional
match cos 5
2.
こ のク ラ ス ・ マッ プは、 すべて のト ラ フ ィ ッ ク の CoS 値を 信頼さ れたソ ース と 照合し ま す。
55
設計上の考慮事項 — 4 つのポイ ン ト
こ のポ リ シー ・ マ ッ プは、 QoS グループ番号 を ト ラ フ ィ ッ ク ・ セ ッ ト に適用 し ま す。 QoS
グループは、 分類子 （QoS） を ネ ッ ト ワ ー ク QoS マ ッ プに結び付け ま す。
policy-map type qos Global_Classify_NFS_Application
class Platinum_transactional
set qos-group 2
信頼 さ れた フ ロ ーに 「ネ ッ ト ワ ー ク QoS」 機能は不要で あ る 点に注意 し て く だ さ い。 今回の設
計では、 こ の グループの ト ラ フ ィ ッ ク に QoS パ ラ メ ー タ の設定は不要です。
ス ト レージのセキ ュ アな分離に関する設計上の考慮事項
原理
こ こ では、 NetApp が提供す る ス ト レージ ・ レ イ ヤでの、 テナ ン ト ・ デー タ のセ キ ュ ア な分離
を詳 し く 見てい き ます。 図 17 に、 ス ト レージ仮想化に関す る テ ク ノ ロ ジ を示 し ます。
図 17
ス ト レージ仮想化に関する テ ク ノ ロ ジ
前述 し た よ う に、 物理デ ィ ス ク はい く つかの RAID グループにプール さ れ、 RAID グループは
さ ら に、 抽象的な ア グ リ ゲー ト に ま と め ら れ ます。 パ ラ レ ル IO を最大化す る ために、 ア グ リ
ゲー ト は最 も 大 き く な る よ う に構成 し ます。 構成 さ れた ア グ リ ゲー ト は、 論理的に分割 さ れて
フ レ キ シブル ・ ボ リ ュ ー ム にな り ます。 ア グ リ ゲー ト 内の フ レ キ シ ブル ・ ボ リ ュ ー ム は、 ど れ
も が同 じ ス ト レージ ・ プール を利用 し ますが、 論理容量はそれぞれに異な り ます。 こ のボ
リ ュ ー ム はシ ン ・ プ ロ ビ ジ ョ ニ ン グ が可能で、 ス ト レージ管理者は、 必要に応 じ て論理容量の
サ イ ズ を変更で き ます。
56
設計上の考慮事項 — 4 つのポ イ ン ト
こ の アーキ テ ク チ ャ では、 MultiStore を使用 し て複数の vFiler ユニ ッ ト を実装 し 、 1 つ以上の
ボ リ ュ ー ム を管理 し てい ます。 vFiler は、 ス ト レ ージ ・ コ ン ト ロ ー ラ の仮想 イ ン ス タ ン ス で、
それぞれが分離 さ れてお り 、 独自の構成 を持ち ます。 こ の仮想 ス ト レージ ・ コ ン ト ロ ー ラ に
は、 仮想ネ ッ ト ワ ー ク ・ イ ン タ ー フ ェ イ ス が備わ っ てい ます。 さ ら に こ の アーキ テ ク チ ャ で
は、 各 イ ン タ ー フ ェ イ ス が VLAN お よ び IP space に関連付け ら れてい ま す。 IP space は、 仮想
ス ト レージ ・ コ ン ト ロ ー ラ に独立 し た独自のルーテ ィ ン グ ・ テーブル を提供す る こ と で、 2 つ
の VLAN が重複す る ア ド レ ス ・ ス ペー ス を持つ場合で も 、 問題の発生 を防ぎ ます。
物理 ス ト レージ ・ コ ン ト ロ ー ラ は、 vFiler0 を介 し て ア ク セ ス さ れ ます。 vFiler0 は他の vFiler
ユニ ッ ト を管理 し 、 ま た、 フ ァ イ バ ・ チ ャ ネル ・ サー ビ ス を提供す る 唯一の vFiler です。 イ ー
サネ ッ ト ・ ス ト レージ ・ プ ロ ト コ ル （NFS、 CIFS、 iSCSI） は、 すべて特権 を持た ない vFiler
ユニ ッ ト で処理 さ れ ます。 こ の中には、 イ ン フ ラ ・ デー タ （ イ ン フ ラ vFiler ユ ニ ッ ト が処理す
る VMware ESX の NFS デー タ ス ト ア な ど） と 、 テナ ン ト ・ デー タ （テナ ン ト vFiler ユ ニ ッ ト
か ら iSCSI を使用 し て ア ク セ ス さ れ る デー タ ベー ス LUN な ど） の両方が含 ま れ ます。
vFiler ユ ニ ッ ト は、 ス ト レ ージのセ キ ュ ア な分離の基盤 と し て機能 し ま す。 vFiler はそれぞれ
が、 特定のテナ ン ト のデー タ と 管理機能の両方 を カ プセル化 し 、 対象のテナ ン ト が関連付け ら
れた VLAN 以外には接続で き ない よ う に し ます。 こ のため、 テナ ン ト 管理者 （担当の vFiler ユ
ニ ッ ト に対 し て root 権限 を持つ人物） で あ っ て も 、 他のテナ ン ト の vFiler ユニ ッ ト に接続す る
こ と はで き ず、 当然、 そ こ で管理 さ れ る デー タ に も ア ク セ ス はで き ません。 さ ら に、 イ ーサ
ネ ッ ト ・ ス ト レージ ・ ネ ッ ト ワ ー ク には、 厳密な ア ク セ ス 制御が実装 さ れてお り 、 定義済みの
ス ト レージ ・ プ ロ ト コ ル、 バ ッ ク ア ッ プ ・ プ ロ ト コ ル、 管理プ ロ ト コ ル以外の IP ト ラ フ ィ ッ
ク をすべてブ ロ ッ ク し ます。
ク ラ ウ ド 管理者から見た場合
ど の よ う な IT 部門で も 、 エ ン ド ・ ユーザに必要なサー ビ ス と リ ソ ー ス を提供す る には、 一定
の管理 イ ン フ ラ ・ コ ン ポーネ ン ト が必要にな り ます。 セ キ ュ ア な ク ラ ウ ド ・ アーキ テ ク チ ャ の
管理 イ ン フ ラ ・ コ ン ポーネ ン ト には、 ス ト レージ ・ コ ン テナ、 ス ト レージ ・ コ ン ト ロ ー ラ を始
め と す る 、 さ ま ざ ま な物理オブジ ェ ク ト と 仮想オブジ ェ ク ト が含 ま れ ます。 こ う し たオブジ ェ
ク ト には、 ク ラ ウ ド の運用 を全般的に維持す る 上で重要な役割が あ り ますが、 セ キ ュ リ テ ィ の
点では、 こ れ ら はテナ ン ト ・ リ ソ ー ス と ま っ た く 同様の扱いにな り 、 他のテナ ン ト か ら も 同 じ
よ う に分離 さ れ ます。 イ ン フ ラ ・ イ ーサネ ッ ト ・ ス ト レージ （ESX デー タ ス ト ア用の NFS、
vCenter デー タ ベー ス 用の iSCSI な ど） は、 ルーテ ィ ン グ非対応の独自の VLAN に分離 さ れ ま
す。 ま た、 ESX ホ ス ト のブー ト 用に使用す る フ ァ イ バ ・ チ ャ ネル SAN も 分離 さ れ ま す。 テナ
ン ト は フ ァ イ バ ・ チ ャ ネル ・ イ ニ シ エー タ に ア ク セ ス で き ないか ら ですが、 こ のため、 各 UCS
ブ レー ド 内の HBA が唯一の イ ニ シ エー タ と な り ま す。 VLAN 内で あ っ て も 、 すべて の管理 ト
ラ フ ィ ッ ク は、 セ キ ュ ア な プ ロ ト コ ル （HTTPS、 SSH な ど） のみ を使用す る よ う に設定 し ま
す。 ま た、 必要に応 じ て、 ロ ーカル ・ フ ァ イ ア ウ ォ ールやポー ト 制限 を有効に し ます。
ク ラ ウ ド 管理者は、 すべての ス ト レージ ・ コ ン テナ （物理 [ ア グ リ ゲー ト ] と 仮想 [ フ レ キ シ
ブル ・ ボ リ ュ ー ム ] の両方） を設定 し 、 仮想 ス ト レージ ・ コ ン テナ を フ レ キ シブル ・ ボ リ ュ ー
ム の形で個々のテナ ン ト vFiler に割 り 当て ます。 テナ ン ト の vFiler ユニ ッ ト に フ レ キ シ ブル ・
ボ リ ュ ー ム が割 り 当て ら れ る と 、 テナ ン ト では、 NAS プ ロ ト コ ル を使用 し て フ レ キ シブル ・ ボ
リ ュ ー ム を直接エ ク ス ポー ト す る か、 ま たは、 ブ ロ ッ ク ベー ス の LUN や、 qtree と 呼ばれ る 下
位 レベルのデ ィ レ ク ト リ を使用 し て、 ス ト レージ を さ ら に再分配で き ます。 ス ト レージの割 り
当て権はすべて ク ラ ウ ド 管理者が所有 し てい る ため、 テナ ン ト で使用で き る のは、 テナ ン ト の
vFiler ユ ニ ッ ト に直接割 り 当て ら れた ス ト レ ージのみです。 追加 ス ト レ ージが必要にな っ た場
合は、 ク ラ ウ ド 管理者が、 そのテナ ン ト に現在割 り 当て ら れてい る フ レ キ シ ブル ・ ボ リ ュ ー ム
のサ イ ズ を変更す る か、 ま たは追加の フ レ キ シ ブル ・ ボ リ ュ ー ム を割 り 当て る こ と がで き ま
す。 テナ ン ト では、 割 り 当て以上の ス ト レージ を使用す る こ と はで き ません。 ス ト レージ容量
の割 り 当て権限は ク ラ ウ ド 管理者に限定 さ れてお り 、 ク ラ ウ ド 管理者がテナ ン ト 間の ス ト レー
ジ ・ リ ソ ー ス を責任 を持 っ て管理 し ます。
57
設計上の考慮事項 — 4 つのポイ ン ト
テナン ト から見た場合
各テナ ン ト には専用の認証手段が あ り 、 それぞれの vFiler ユニ ッ ト と 、 下層に あ る ス ト レー
ジ ・ リ ソ ー ス への管理ア ク セ ス と デー タ ・ ア ク セ ス の両方に使用 し ます。 テナ ン ト 管理者は、
ア プ リ ケーシ ョ ン と ス ト レージ間で必要な エ ク ス ポー ト 方式 と セ キ ュ リ テ ィ ・ エ ク ス ポー ト を
選択で き ます。 た と えば、 割 り 当て ら れた ス ト レージ ・ リ ソ ー ス に対 し て カ ス タ ム の NFS エ
ク ス ポー ト 権限 を作成 し た り 、 ま たは LUN を介 し て ス ト レ ージ を エ ク ス ポー ト し 、 ア プ リ
ケーシ ョ ン VM と ス ト レージ間で CHAP を使用 し て iSCSI を利用 し た り で き ま す。 ア プ リ ケー
シ ョ ンやユーザ ・ デー タ にテナ ン ト の vFiler ユニ ッ ト か ら ア ク セ ス す る 方法は、 テナ ン ト 管理
者が カ ス タ マ イ ズ で き ます。 こ のため、 ス ト レージのプ ロ ビ ジ ョ ニ ン グ （ ク ラ ウ ド 管理者が担
当） と ス ト レージの導入 （テナ ン ト 管理者が管理） は完全に分離 さ れ ます。
サービ ス保証
サー ビ ス 保証は、 状態が安定 し てい る か不安定かにかかわ ら ず、 コ ン ピ ュ ーテ ィ ン グ、 ネ ッ ト
ワ ー ク 、 ス ト レージ で、 他か ら の影響 を受け ない一定のパ フ ォ ーマ ン ス を実現す る ために必要
な も ので、 3 番目のポ イ ン ト と な り ます。 た と えば、 ネ ッ ト ワ ー ク では、 QoS に基づいて各テ
ナ ン ト に一定の帯域幅 を提供 し 、 VMware 内の リ ソ ー ス ・ プールでは、 CPU リ ソ ー ス や メ モ
リ ・ リ ソ ー ス の調整 と 保証 を可能に し ます。 同時に、 FlexShare で、 ス ト レ ージ ・ ボ リ ュ ー ム
間の リ ソ ー ス 競合 を調整 し ます。
表 10
サービ ス保証の手法
コ ン ピ ュ ーテ ィ ン グ
•
リ ソ ー ス の予約 と リ ミ ッ
ト のための UCS QoS シ ス
テム ・ ク ラ ス
•
拡張可能な予約
•
Dynamic Resource
Scheduler
ネ ッ ト ワー ク
ス ト レ ージ
•
QoS- キ ュ ー イ ン グ
•
FlexShare
•
QoS- 帯域幅制御
•
ス ト レ ージ予約
•
QoS- レー ト 制限
•
シン ・ プロ ビジ ョ ニング
コ ン ピ ュ ーテ ィ ングのサービ ス保証の設計に関する考慮事項
ク ラ ウ ド ・ イ ン フ ラ が提供す る コ ン ピ ュ ーテ ィ ン グ ・ リ ソ ー ス のマルチテナ ン ト 運用に あ た っ
て、 必要なサー ビ ス 保証 を満たすためには、 VMware vSphere で リ ソ ー ス ・ プール を構成 し 、
さ ら に VMware Distributed Resource Scheduler （DRS） で ロ ー ド ・ バ ラ ン シ ン グ を設定 し ま す。
以下のセ ク シ ョ ン では、 こ の 2 つの ト ピ ッ ク について説明 し ま す。
VMware vSphere の リ ソ ース ・ プール設定
コ ン ピ ュ ーテ ィ ン グ ・ リ ソ ー ス のサー ビ ス 保証は、 リ ソ ー ス ・ プールに対 し て次の属性 を設定
す る こ と で実現で き ます。
58
•
予約 - テナ ン ト の リ ソ ー ス ・ プールに対 し て確保 さ れ る CPU 割 り 当て ま たは メ モ リ の割 り
当て を決定 し ます。 親 （ホ ス ト ま たは リ ソ ー ス ・ プール） の予約 さ れていない リ ソ ー ス か
ら 0 以外の予約が取得 さ れ ま す。 取得 し た リ ソ ー ス は、 仮想マ シ ン が リ ソ ー ス ・ プールに
関連付け ら れてい る か ど う かに関係な く 、 予約済み と みな さ れ ます
•
リ ミ ッ ト - テナ ン ト で利用す る こ と がで き る 、 CPU リ ソ ー ス ま たは メ モ リ ・ リ ソ ー ス の最
大容量。
•
シ ェ ア - テナ ン ト ご と の リ ソ ー ス ・ プール ・ レベルで、 「高」、 「標準」、 「低」 に設定 し ま
す。 CPU リ ソ ー ス ま たは メ モ リ ・ リ ソ ー ス が競合 し てい る 一時的な状態 （非安定状態） で
は、 リ ソ ー ス 消費の点か ら 、 「高」 のシ ェ アや多数のシ ェ ア が設定 さ れてい る テナ ン ト が優
先 さ れ ます
設計上の考慮事項 — 4 つのポ イ ン ト
•
拡張可能な 予約 - ア ド ミ ッ シ ョ ン ・ コ ン ト ロ ール時に拡張可能な 予約を 考慮する かど う かを
指定し ま す。 テ ナン ト に対し て こ のオプシ ョ ン が有効にな っ て いる と 、 リ ソ ース ・ プール内
の仮想マシ ン を 起動し たと き に、 仮想マシ ン の合計予約がリ ソ ース ・ プールの予約よ り も 大
き く なる 場合、 リ ソ ース ・ プールではその親ま たは更に上位のリ ソ ース を 使用でき ま す
マルチテナン ト 環境の リ ソ ース ・ プール設定
こ こ では、 マルチテナ ン ト 環境に定義 さ れ る リ ソ ー ス ・ プールについて、 設計に関す る 考慮事
項 と 設定に関す る ベ ス ト ・ プ ラ ク テ ィ ス を詳 し く 説明 し ます （マルチテナ ン ト 環境で推奨 さ れ
る リ ソ ー ス ・ プールの設定の詳細については、 「 コ ン ピ ュ ーテ ィ ン グ ・ リ ソ ー ス の分離に関す
る 設計上の考慮事項」 に定義 さ れてい る ベ ス ト ・ プ ラ ク テ ィ ス を参照 し て く だ さ い）。
マルチテナン ト 構成において推奨 さ れ る イ ン フ ラ の リ ソ ース ・ プール設定は、 以下の と お り です。
•
予約 - イ ン フ ラ の仮想マ シ ン で リ ソ ー ス が不足 し ない よ う に、 CPU リ ソ ー ス と メ モ リ ・ リ
ソ ー ス の両方 を予約す る 必要が あ り ます
•
リ ミ ッ ト - イ ン フ ラ の仮想マ シ ン が ク ラ ス タ 内の使用 さ れていない CPU 容量 と メ モ リ 容量
を使用で き る よ う 、 「制限な し 」 を選択 し ます
•
シ ェ ア - イ ン フ ラ の仮想マ シ ン間で、 常に必要な CPU リ ソ ー ス と メ モ リ ・ リ ソ ー ス が共有
さ れ る よ う 、 「高」 の設定 を推奨 し ます
•
拡張可能な予約 - リ ソ ー ス 予約 を増や し て新たに追加 さ れ る イ ン フ ラ 仮想マ シ ン に対応で
き る 場合は、 こ のオプシ ョ ン を設定す る 必要はあ り ません。 イ ン フ ラ 仮想マ シ ン では、 共
有サー ビ ス の イ ン フ ラ の ス ケールア ッ プや ス ケールア ウ ト が行われ る ま では、 安定状態 を
維持す る こ と が求め ら れ ます。 リ ソ ー ス 予約 を調整す る こ と で リ ソ ー ス の新た な ニーズに
対応で き ます。
マルチテナ ン ト 構成において推奨 さ れ る 「親」 テナ ン ト の リ ソ ー ス ・ プール設定は、 以下の と
お り です。
•
予約 -CPU リ ソ ー ス と メ モ リ ・ リ ソ ー ス の両方 を、 個々のテナ ン ト への割 り 当て用に予約
し ます
•
リ ミ ッ ト - こ の値は、 CPU と メ モ リ の現在の予約値 よ り も 大 き く 設定 し ま す
•
シ ェ ア - テナ ン ト と イ ン フ ラ の リ ソ ー ス ・ プールが CPU リ ソ ー ス と メ モ リ ・ リ ソ ー ス に均
等に ア ク セ ス す る よ う に、 「高」 を推奨 し ます
•
拡張可能な予約 - テナ ン ト に よ っ て リ ソ ー ス 利用率が大 き く 異な る 場合が あ る ため、 通常、
有効に し ます。 こ のオプシ ョ ン を有効にす る と 、 テナ ン ト で ク リ テ ィ カルな ニーズが発生
し た場合 （販売取引 を記録す る ア プ リ ケーシ ョ ン を実行 し てい る テナ ン ト で、 四半期末や
年度末の場合な ど） に、 使用 し ていない CPU 容量や メ モ リ 容量 を利用で き ます
マルチテナ ン ト 構成において推奨 さ れ る 個々のテナ ン ト の リ ソ ー ス ・ プール設定は、 以下の と
お り です。
•
予約 - テナ ン ト の SLA に基づい て CPU 容量 と メ モ リ 容量 を予約 し ま す
•
リ ミ ッ ト - 予約値 と 同 じ 値に設定 し ま す
•
シ ェ ア - テナ ン ト の SLA に基づい て値 を設定 し ま す
•
拡張可能な予約 -SLA 要件の最 も 高い テナ ン ト に対 し て設定で き ま す
VMware DRS のロー ド ・ バラ ン シ ング
VMware DRS では、 イ ン フ ラ と テナ ン ト の仮想マ シ ン の負荷が ク ラ ス タ 内のすべての ESX
Server ホ ス ト 間で均等に分散 さ れ る よ う に設定す る こ と がで き ま す。 こ の負荷分散は、 ク ラ ス
タ ・ レベルで完全な自動化が可能です。
メモ
各 ESX ホ ス ト の vShield 仮想マ シ ン では、 DRS の自動化 レベル を 「無効」 に し て く だ さ い。
59
設計上の考慮事項 — 4 つのポイ ン ト
ネ ッ ト ワー クのサービ ス保証の設計に関する考慮事項
「セ キ ュ ア な分離」 では、 ア プ リ ケーシ ョ ン ・ フ ロ ー と ス ト レージ IO 要件 を区別す る ために、
サー ビ ス 保証モデル を構築す る 基盤 と し て QoS 分離手法 を紹介 し ま し た。 サー ビ ス 保証は、 マ
ルチテナ ン ト 設計にサー ビ ス ・ レベル を展開す る ための、 耐障害性に優れた フ レー ム ワ ー ク を
提供 し ます。 ネ ッ ト ワ ー ク ・ レ イ ヤでのサー ビ ス 保証は、 マルチテナ ン ト ・ イ ン フ ラ におけ る
制御機能 と テナ ン ト のユーザ ・ デー タ ・ プ レー ン の両方について、 以下の 2 つの異な る 設計要
件に対処 し ます。
•
ネ ッ ト ワ ー ク ・ リ ソ ー ス のパ フ ォ ーマ ン ス 保護 （安定状態）
•
ネ ッ ト ワ ー ク ・ リ ソ ー ス のパ フ ォ ーマ ン ス 保護 （非安定状態）
ネ ッ ト ワー ク ・ リ ソ ースのパフ ォ ーマ ン ス保護 （安定状態）
こ の機能では、 安定状態において、 各 ト ラ フ ィ ッ ク ・ タ イ プ と サー ビ ス ・ ク ラ ス に対す る サー
ビ ス ・ レベルの保護に対応 し ます。 通常の運用では、 規定 さ れてい る サー ビ ス ま たは保護の目
標 を達成す る ために、 ネ ッ ト ワ ー ク ・ リ ソ ー ス を共有 し て分割す る 必要が あ り ます。 サー ビ
ス ・ レベルに基づいて ト ラ フ ィ ッ ク を分離 し た ら 、 CoS フ ィ ール ド で定義 し てい る サー ビ ス の
優先度が反映 さ れ る よ う に、 ネ ッ ト ワ ー ク ・ レ イ ヤで提供す る 共有帯域幅 を セ グ メ ン ト 化 し ま
す。 安定状態のパ フ ォ ーマ ン ス 保護 を実現す る ためには、 以下の 2 つの手法 を利用で き ま す。
•
キ ュ ー イ ン グ - キ ュ ー イ ン グ を使用す る と 、 ネ ッ ト ワ ー ク ・ デバ イ ス では、 分類基準に基
づいてパケ ッ ト 配信の ス ケ ジ ュ ール を設定で き ます。 優先的に配信す る パケ ッ ト を区別す
る 機能に よ っ て、 オーバーサブ ス ク リ プシ ョ ン が発生 し た と き 、 ア プ リ ケーシ ョ ン ご と に
異な る 応答時間 を設け る こ と がで き ます。 オーバーサブ ス ク リ プシ ョ ン は、 リ ソ ー ス の輻
輳 を定義す る 際に用い ら れ る 一般的な用語で、 マルチテナ ン ト 環境の各領域で さ ま ざ ま な
理由で発生 し ます。 リ ソ ー ス ・ マ ッ プが変化 （オーバーサブ ス ク リ プシ ョ ン） す る 例 と し
ては、 マルチテナ ン ト ・ コ ン ポーネ ン ト （ コ ン ピ ュ ーテ ィ ン グ、 ス ト レージ、 ネ ッ ト ワ ー
ク ） の障害、 帯域幅の使用率増 を引 き 起 こ す計画外の ア プ リ ケーシ ョ ン導入、 複数の統合
フ ァ ブ リ ッ ク を サポー ト す る ネ ッ ト ワ ー ク の ア グ リ ゲーシ ョ ン ・ レ イ ヤ な ど が あ り ます。
キ ュ ー イ ン グ が効果的なのは、 使用可能な帯域幅がすべてのサー ビ ス ・ ク ラ ス で十分に利
用 さ れてい る 場合のみで あ る こ と に注意 し て く だ さ い。 「アーキ テ ク チ ャ の概要」 で説明 し
てい る よ う に、 コ ン ピ ュ ーテ ィ ン グ ・ レ イ ヤ （UCS） では通常 1 対 1 のサブ ス ク リ プシ ョ
ン を実現 し 、 ス ト レージ ・ コ ン ト ロ ー ラ では、 キ ュ ー イ ン グ が常時発生す る と い う 事態 を
避け る ため、 十分な帯域幅 を提供 し ます。 ただ し 、 リ ソ ー ス の使用過多は常に把握で き る
と は限 ら ないため、 マルチテナ ン ト 設計では機能要件に対応す る こ と が非常に重要です。
輻輳は、 ア プ リ ケーシ ョ ン構造、 VM NIC、 CPU、 ま たはネ ッ ト ワ ー ク ・ レ イ ヤ内のいずれ
かに生 じ る こ と で、 常にエ ン ド ツーエ ン ド ・ シ ス テ ム内で発生 し ます。 オーバーサブ ス ク
リ プ シ ョ ン は変則的に生 じ る ため、 輻輳ポ イ ン ト はエ ン ド ツーエ ン ド ・ シ ス テ ム内の さ ま
ざ ま な レベルに移動 し ます。 各ネ ッ ト ワ ー ク ・ デバ イ ス の キ ュ ー イ ン グ機能が、 サー ビ
ス ・ レベルの品質 を決定す る こ の よ う な動的 イ ベ ン ト を処理 し ます。
こ の キ ュ ー イ ン グ機能は、 デバ イ ス ご と に機能が多少異な り ますが、 ネ ッ ト ワ ー ク のすべ
ての レ イ ヤで利用で き ます。 各デバ イ ス の機能 と 設計に関す る 推奨事項については、 以下
に示 し ます。
•
帯域幅制御 - 前述の よ う に、 キ ュ ー イ ン グ では、 キ ュ ー を処理す る 順番 を調整す る こ と で
ア プ リ ケーシ ョ ン の応答時間 を管理で き ますが、 キ ュ ー イ ン グ （サー ビ ス ） ・ ク ラ ス ご と の
帯域幅管理は制御で き ません。 帯域幅制御 を使用す る と 、 ト ラ フ ィ ッ ク のいずれかの ク ラ
ス で帯域幅が過度に使用 さ れない よ う 、 ネ ッ ト ワ ー ク ・ デバ イ ス で キ ュ ー ご と に適切な量
のバ ッ フ ァ を利用で き る よ う にな り 、 他の キ ュ ーで残 り のサー ビ ス ・ ク ラ ス の要求 を均等
に処理す る こ と がで き ます。 キ ュ ー イ ン グ で最初に配信す る パケ ッ ト の優先順位 を指定 し 、
帯域幅で キ ュ ーあ た り の送信可能なデー タ 量 を指定 し てい る 場合、 帯域幅制御はキ ュ ー イ
ン グ と 連携 し て機能 し ます。
「QoS ベー ス の分離」 では、 ト ラ フ ィ ッ ク ・ タ イ プ と 、 サー ビ ス ・ レベル要件に基づいたサー
ビ ス の分類について説明 し てい ます。 その説明では、 各サー ビ ス ・ ク ラ ス が適切な CoS マ ッ ピ
ン グ を使用 し て キ ュ ーにマ ッ ピ ン グ さ れてい ます。 ト ラ フ ィ ッ ク ・ フ ロ ーが適切な キ ュ ーに
マ ッ ピ ン グ さ れ る と 、 帯域幅制御が キ ュ ー ご と に適用 さ れ ます。 表 5 に示すキ ュ ー ・ マ ッ ピ ン
60
設計上の考慮事項 — 4 つのポ イ ン ト
グは、 エ ン ド ツーエ ン ド ・ ネ ッ ト ワ ー ク 機能に基づいて利用で き る 、 最小の キ ュ ー イ ン グ ・ ク
ラ ス をベー ス に作成 さ れてい ます。 キ ュ ー イ ン グ と 帯域幅制御の選択に適用 さ れ る 設計原則で
は、 マルチテナ ン ト 設計に以下の属性 を使用す る 必要が あ り ます。
ト ポ ロ ジ - マルチテナ ン ト 設計の目標は、 サー ビ ス 提供に拡張性 と 柔軟性 を も た ら す こ と です。
こ の設計で選択 し てい る 3 層モデルには、 レ イ ヤ ご と に手法 を選択で き る 柔軟性 と 管理ポ イ ン
ト が備わ っ てい ます。 ア ク セ ス ・ レ イ ヤ ・ テ ク ノ ロ ジ （ ス ト レージ と デー タ ） と ト ポ ロ ジ
（フ ァ イ バ ・ チ ャ ネル、 イ ーサネ ッ ト 、 FCoE） の統合 と い う 新 し いパ ラ ダ イ ム では、 ア プ リ
ケーシ ョ ン要件 と IO 要件に慎重に対処す る 必要が あ り ま す。 言い換えれば、 マルチテナ ン ト
環境では、 テナ ン ト ご と に ア プ リ ケーシ ョ ン ・ ト ラ フ ィ ッ ク ・ フ ロ ーで必要な制御 と サー ビ
ス ・ レベル保証 を行 う こ と がで き る と い う こ と です。 ア グ リ ゲーシ ョ ン と ア ク セ ス ・ レ イ ヤが
う ま く 利用で き ない と 、 ト ラ フ ィ ッ ク ・ フ ロ ー特性が 2 層モデルに よ っ て変化す る ため、 QoS
機能 と 帯域幅制御が困難にな り ます。 た と えば、 デ ュ アル フ ァ ブ リ ッ ク 設計では、 ト ラ フ ィ ッ
ク は フ ァ ブ リ ッ ク か ら 抜け出て、 MAC ア ド レ ス の到達可能性情報が あ る ア ク セ ス ・ レ イ ヤ ・
ス イ ッ チで リ ダ イ レ ク ト す る 必要が あ る ため、 VM 間の ト ラ フ ィ ッ ク を ア ク セ ス ・ レ イ ヤ ・ ス
イ ッ チ経由で フ ロ ー さ せ る こ と が必要にな る 場合が あ り ます。 2 層設計では、 レ イ ヤ 3 と レ イ
ヤ 2 の機能がマージ さ れ る ため、 レ イ ヤ 3 か ら レ イ ヤ 2 への フ ロ ー、 レ イ ヤ 3 と レ イ ヤ 2 間の
マーキ ン グ と 分類 を一緒に管理 し な ければな ら な く な り 、 ア グ リ ゲーシ ョ ン間の フ ロ ーはア ク
セ ス ・ レ イ ヤの フ ロ ー （VM 間） と 混在にな り ま す。 し たが っ て、 環境が拡大 し て、 さ ま ざ ま
な VM 間 フ ロ ーやア グ リ ゲーシ ョ ン間 フ ロ ーで多様な通信接続 を サポー ト す る よ う にな る と 、
ト ラ フ ィ ッ ク 管理 と 帯域幅制御 も 複雑にな り ます。 Nexus 5000 で統合 さ れた ア ク セ ス ・ レ イ ヤ
を使用す る と 、 特に コ ン ピ ュ ーテ ィ ン グ、 ス ト レージ、 ネ ッ ト ワ ー ク のエ ッ ジにおけ る ト ラ
フ ィ ッ ク ・ フ ロ ーの動作 を対象に、 帯域幅 と キ ュ ー イ ン グ を制御で き ます。
オーバーサブス ク リ プ シ ョ ン ・ モデル （輻輳管理ポ イ ン ト ）
こ の設計では、 UCS は統合エ ッ ジ ・ リ ソ ー ス と し て、 各ブ レ ー ド の 10 G イ ン タ ー フ ェ イ ス を
介 し た ス ト レージ IO と IP 通信 を統合 し ます。 UCS はデ ュ アル フ ァ ブ リ ッ ク ・ モデル を使用 し
て設計 さ れてお り 、 個々のブ レー ド では UCS 6100 フ ァ イ バ ・ イ ン タ ー コ ネ ク ト に至 る ま での
各デー タ ・ パ ス で、 ネ ッ ト ワ ー ク 帯域幅 レベルのオーバーサブ ス ク リ プシ ョ ン が解消 さ れ ま
す。 ただ し 、 UCS を マルチテナ ン ト 環境で使用す る 場合は、 （同様の方法で リ ソ ー ス を共有 し
てい る ） テナ ン ト ご と のサー ビ ス ・ レベルが必要にな る ため、 UCS 内 と 複数の UCS を接続で
き る ア グ リ ゲーシ ョ ン ・ ポ イ ン ト （フ ァ ブ リ ッ ク ・ イ ン タ ー コ ネ ク ト ） で帯域幅 を管理す る 必
要が あ り ます。 階層構造 と ア グ リ ゲーシ ョ ン に ア ク セ ス す る ト ポ ロ ジに応 じ て、 さ ま ざ ま な
オーバーサブ ス ク リ プシ ョ ン ・ モデルが あ り ます。
コ ン ピ ュ ーテ ィ ン グ ・ レ イ ヤか ら レ イ ヤ 3 ま で機能す る こ の設計において、 オーバーサブ ス ク
リ プ シ ョ ン発生の可能性が あ る 主な境界は以下の と お り です。
•
VM と UCS ブ レー ド の境界 - Ｖ Ｍ のネ ッ ト ワ ー ク ・ ア ク テ ィ ビ テ ィ を実行す る VM と ア プ
リ ケーシ ョ ン群が、 10 G イ ン タ ー フ ェ イ ス を オーバーサブ ス ク ラ イ ブ状態にす る 場合が あ
り ます。 仮想 イ ーサネ ッ ト 接続 を提供す る Nexus 1000V ス イ ッ チは、 ゲー ト ・ イ ン タ ー
フ ェ イ ス ではあ り ません。 こ れは物理 イ ーサネ ッ ト の抽象化で あ る ため、 物理 イ ーサネ ッ
ト に存在す る 信号 レベルの制限が あ り ません。 主な通信 フ ロ ーは、 同一ブ レー ド 内の VM
間 ま たは異な る ブ レー ド 上の VM 間に発生 し ます。 こ れ ら の VM 間通信では 6100 を介 し
て ア ク セ ス ・ レ イ ヤ ・ ス イ ッ チに フ ロ ーす る 必要が あ る ため、 後者の フ ロ ーの動作は フ ァ
イ バ ・ イ ン タ ー コ ネ ク ト の境界 （後述） と 重複 し ます。
•
フ ァ イ バ ・ イ ン タ ー コ ネ ク ト と ア ク セ ス ・ レ イ ヤの境界 - 各 UCS シ ス テ ム では UCS 6100
に最大 80 Gbps の ト ラ フ ィ ッ ク を提供 し ます。 UCS 6100 か ら の ア ッ プ リ ン ク に よ っ て、
UCS シ ス テ ム に提供 さ れ る 総帯域幅のオーバーサブ ス ク リ プ シ ョ ン比率が決 ま り ま す。
UCS 6100 （各 フ ァ ブ リ ッ ク ） でプ ロ ビ ジ ョ ニ ン グ可能な 10 Gbps リ ン ク の最大数は 8 本で
あ る ため、 接続 さ れてい る USC シ ス テ ム の数に応 じ て、 オーバーサブ ス ク リ プシ ョ ン は 2
対 1 ま たは 4 対 1 にな り ま す。 将来は、 ア ッ プ リ ン ク 容量 を 10 Gbps リ ン ク 16 本に ま で拡
張で き ます。 フ ァ イ バ ・ イ ン タ ー コ ネ ク ト は、 以下に示す主な 2 つの ト ラ フ ィ ッ ク ・ カ テ
ゴ リ について ア プ リ ケーシ ョ ン ・ フ ロ ー （両方向） を管理 し ます。
– バ ッ ク エ ン ド のユーザ ・ デー タ ・ ト ラ フ ィ ッ ク -VM 間 （片方の VM は別のブ レー ド 上に
あ る か、 ま たは同 じ ド メ イ ン内の他の UCS シ ス テ ム に あ る ）
61
設計上の考慮事項 — 4 つのポイ ン ト
– VM か ら ス ト レ ージ （テナ ン ト あ た り の NFS デー タ ス ト ア と ア プ リ ケーシ ョ ン IO） - フ
ロ ン ト ・ エ ン ド のユーザ ・ デー タ ・ ト ラ フ ィ ッ ク 、 VM と 各テナ ン ト のユーザ間
UCS 6100 ア ッ プ ス ト リ ー ム （ユーザ と ス ト レージに向か う フ ロ ー） の ト ラ フ ィ ッ ク ・ キ ュ ー
イ ン グ と 帯域幅制御は、 「QoS ベー ス の分離」 で定義 さ れてい る サー ビ ス ・ ク ラ ス に基づいて
設計 さ れ ます。 UCS の QoS ク ラ ス 機能 と ト ラ フ ィ ッ ク ・ ク ラ ス に基づ く CoS マ ッ ピ ン グ を、
表 11 に示 し ま す。 UCS 6100 の キ ュ ー イ ン グ機能は、 UCS 6100 が提供す る QoS サー ビ ス ・ ク
ラ ス に統合 さ れてい ます。 つ ま り 、 QoS シ ス テ ム ・ ク ラ ス は CoS マ ッ ピ ン グ にマ ッ ピ ン グ さ れ
ます。 た と えば、 プ ラ チナ ・ ク ラ ス に CoS 値 5 が指定 さ れてい る 場合、 CoS-5 は優先 ク ラ ス と
し て処理 さ れ、 最初にパケ ッ ト が配信 さ れ ます。 ま た、 ゴール ド ・ ク ラ ス は、 テナ ン ト 要件に
基づいて IO と ト ラ ン ザ ク シ ョ ン のサー ビ ス ・ ク ラ ス を区別す る ために、 「 ド ロ ッ プ な し 」 の呼
び出 し で指定 さ れてい ます。 「 ド ロ ッ プな し 」 が指定 さ れてい る ク ラ ス は可能な か ぎ り バ ッ
フ ァ リ ン グ を行い、 ト ラ フ ィ ッ ク を破棄 し ないため、 動作の遅延が長引 き ますが、 帯域幅は保
証 さ れ ます。
帯域幅制御は、 統合 フ ァ ブ リ ッ ク を使用 し てサー ビ ス ・ レベル を管理す る 場合に、 重要な設計
属性 と な り ます。 各 ク ラ ス に適用 さ れ る 重み付けで帯域幅制御 を表 し た も の を表 11 に示 し ま
す。 重み付けの乗数は 1 ～ 10 です。 乗数に よ っ て、 帯域幅の合計比率が自動的に 100% に調
整 さ れ ます。 有効な値はア プ リ ケーシ ョ ン と ユーザ ・ テナ ン ト の要件に よ っ て大 き く 異な る た
め、 表 11 には、 マルチテナ ン ト 設計に適用で き る 帯域幅制御は反映 さ れてい ません。 ただ し 、
プ ラ チナ ・ ク ラ ス の ト ラ フ ィ ッ ク は高い優先度で無制限の帯域幅 （NFS デー タ ス ト ア接続 と プ
ラ チナ ・ テナ ン ト の ア プ リ ケーシ ョ ン IO） を使用 し て処理 さ れ る ため、 こ の ク ラ ス の帯域幅割
り 当ては慎重に行 う 必要が あ り ます。
重み付け 1 はベ ス ト エ フ ォ ー ト を意味 し ま すが、 各 ク ラ ス の ト ラ フ ィ ッ ク がベ ス ト エ フ ォ ー ト
と し て処理 さ れ る と い う こ と ではあ り ません。
表 11 では、 すべての ク ラ ス に重み付け 1 が適用 さ れてお り 、 有効な帯域幅は均等に 5 つ （ ク
ラ ス の合計数） に分割 さ れてい ます （基本的に、 重み付け合計に対す る ク ラ ス ご と の重み付け
の比率は、 帯域幅比率 と し て整数で示 さ れてい ます）。
表 11
UCS- キ ュ ー イ ング と 帯域幅のマ ッ ピ ング
QoS シ ス テ
ム ・ クラス
CoS マ ッ ピ ン グ ド ロ ッ プ基準
プ ラ チナ
5
テ イル ・ ド ロ ッ プ
1 （ベ ス ト エ フ ォ ー ト ） 20
ゴール ド
6
ド ロ ッ プな し
1 （ベ ス ト エ フ ォ ー ト ） 20
シルバー
4
テ イル ・ ド ロ ッ プ
1 （ベ ス ト エ フ ォ ー ト ） 20
ブロ ンズ
2
テ イル ・ ド ロ ッ プ
1 （ベ ス ト エ フ ォ ー ト ） 20
FCoE
3
未使用
未使用
デフ ォル ト
0,1
テ イル ・ ド ロ ッ プ
1 （ベ ス ト エ フ ォ ー ト ） 20
重み付け （1 ～ 10）
有効な帯域幅 （%）
UCS 6100 の QoS の詳細については、 次 を参照 し て く だ さ い。
http://www.cisco.com/en/US/docs/unified_computing/ucs/sw/gui/config/guide/GUI_Config_Guide_ch
apter16.html
ア ク セ ス ・ レ イ ヤ内部 - こ の境界でのオーバーサブ ス ク リ プ シ ョ ン は、 接続 さ れてい る ア ク セ
ス ・ レ イ ヤ ・ デバ イ ス の数 と デバ イ ス 内で必要な ト ラ フ ィ ッ ク 管理の量 と の相関関係に よ っ て
決 ま り ます。 以下の 2 つの主な ア プ リ ケーシ ョ ン ・ フ ロ ーについて管理が必要です。
•
62
バ ッ ク エ ン ド ・ ト ラ フ ィ ッ ク （ ス ト レージ IO ト ラ フ ィ ッ ク ） - こ の設計では、 ス ト レー
ジ ・ コ ン ト ロ ー ラ （NetApp FAS 6080） は、 1 つの EtherChannel を形成す る 2 つの 10 Gbps
リ ン ク を使用 し て Nexus 5000 に接続 し てい ます。 NFS デー タ ス ト ア の ト ラ フ ィ ッ ク ・ フ
ロ ーは、 ESX ホ ス ト と ゲ ス ト VM のオペ レーシ ョ ン に よ っ て発生 し 、 マルチテナ ン ト 環境
全体の整合性上最 も ク リ テ ィ カルな フ ロ ー と な り ます。 ス ト レージ ・ コ ン ト ロ ー ラ に向か
う テナ ン ト ご と の ア プ リ ケーシ ョ ン ・ ト ラ フ ィ ッ ク ・ フ ロ ーは、 「QoS ベー ス の分離」 で説
明 し てい る サー ビ ス ・ レベルに基づいた管理が必要です。 こ の設計ガ イ ド では、 各テナ ン
設計上の考慮事項 — 4 つのポ イ ン ト
ト の vFiler ユニ ッ ト がデ ュ アル コ ン ト ロ ー ラ 経由で配置 さ れ、 最大 40 Gbps の帯域幅が提
供 さ れてい る こ と を前提 と し てい ます （FAS6080 では最大 5 個のデ ュ アル ・ ポー ト 10 Gb
ア ダプ タ 、 つ ま り コ ン ト ロ ー ラ あ た り 10 個の 10 Gbps ポー ト を使用で き 、 LACP グループ
あ た り 最大 8 つの有効な イ ン タ ー フ ェ イ ス を サポー ト ）。 そのため、 ス ト レージか ら 送信 さ
れ る ト ラ フ ィ ッ ク の管理では、 オーバーサブ ス ク リ プシ ョ ン発生の可能性が低減 し ます。
ただ し 、 VM への ト ラ フ ィ ッ ク ・ フ ロ ーの ア ッ プ ス ト リ ー ム （読み取 り IO） は、 Nexus
5000 で帯域幅制御 を使用 し て管理 さ れ ます。
•
フ ロ ン ト ・ エ ン ド のユーザ ・ ト ラ フ ィ ッ ク - こ の設計では、 VM か ら ユーザ ・ テナ ン ト へ
向か う ア プ リ ケーシ ョ ン ・ フ ロ ーは、 テナ ン ト ご と のサー ビ ス ・ ク ラ ス で分類 さ れ ます。
フ ロ ン ト ・ エ ン ド のユーザ ・ ト ラ フ ィ ッ ク では、 ア ッ プ ス ト リ ー ム と ダ ウ ン ス ト リ ー ム の
両方で帯域幅制御が必要です。 ア ッ プ ス ト リ ー ム （ユーザに向か う フ ロ ー） の帯域幅制御
では、 すべてのネ ッ ト ワ ー ク ・ デバ イ ス （ こ の設計では、 プ ラ イ マ リ の UCS シ ス テ ム） の
ア グ リ ゲー ト 帯域幅合計 を反映す る 必要が あ り ます。 ダ ウ ン ス ト リ ー ム （VM に向か う フ
ロ ー） の帯域幅制御は、 Nexus 7000 ま たは Nexus 5000 で ク ラ ス ご と に管理で き ます。 こ の
設計では、 Nexus 5000 が帯域幅制御ポ イ ン ト で使用 さ れてお り 、 将来の設計には Nexus
7000 オプ シ ョ ン が組み込 ま れ る 予定です。
Nexus 5000 の QoS コ ン ポーネ ン ト については、 「QoS ベー ス の分離」 で説明 し てい ま す。 上述
の要件 を反映 し た キ ュ ー イ ン グ と 帯域幅の機能 を表 12 に示 し ます。 Nexus 5000 では、 キ ュ ー
イ ン グは グ ロ ーバル ま たは イ ン タ ー フ ェ イ ス ・ レベルで適用で き ます。 一般に、 キ ュ ー イ ン
グ ・ ポ リ シーは グ ロ ーバルに保つのが適切な設計プ ラ ク テ ィ ス です。 すべての ク ラ ス について
同 じ タ イ プの キ ュ ー イ ン グ と 帯域幅 をすべての イ ン タ ー フ ェ イ ス に両方向で利用で き る か ら で
す。 非対称の QoS サー ビ ス 要件が存在す る 場合は、 複数 レベルのポ リ シー （ イ ン タ ー フ ェ イ ス
と グ ロ ーバル） を適用で き ます。 各 イ ーサネ ッ ト ・ イ ン タ ー フ ェ イ ス は、 シ ス テ ム ・ ク ラ ス ご
と に 1 つずつ、 最大 6 つの キ ュ ー を サポー ト し ま す。 キ ュ ー イ ン グ ・ ポ リ シーは、 分類ポ リ
シー を定義す る こ と で定義 さ れ る QoS グループ を介 し て関連付け ら れ ま す （「QoS ベー ス の分
離」 を参照）。
帯域幅の割 り 当て制限は、 FCoE ト ラ フ ィ ッ ク を含め、 イ ン タ ー フ ェ イ ス 上のすべての ト ラ
フ ィ ッ ク に適用 さ れ ます。 デ フ ォ ル ト では、 ク ラ ス に 50% の帯域幅が割 り 当て ら れ る ため、
必要な ク ラ ス でバ ッ フ ァ を分散す る ためには、 帯域幅 と キ ュ ー制限の両方 を変更す る 必要が あ
り ます。 ポー ト ・ チ ャ ネルの イ ン タ ー フ ェ イ ス では、 帯域幅は、 所定の LACP グループのすべ
ての リ ン ク の合計 と し て計算 さ れ ます。 キ ュ ーは、 WRR （Weighted Round Robin; 重み付 き ラ ウ
ン ド ・ ロ ビ ン） の ス ケ ジ ュ ールに基づいて処理 さ れ ます。 Nexus 5000 の QoS 設定ガ イ ド ラ イ
ン と 制限事項の詳細については、 次 を参照 し て く だ さ い。
http://www.cisco.com/en/US/partner/docs/switches/datacenter/nexus5000/sw/qos/Cisco_Nexus_5000_
Series_NX-OS_Quality_of_Service_Configuration_Guide_chapter3.html
表 12 に、 キ ュ ー と 帯域幅割 り 当ての CoS マ ッ ピ ン グ を示 し ます。 有効な値はア プ リ ケーシ ョ
ン と ユーザ ・ テナ ン ト の要件に よ っ て大 き く 異な る ため、 表 12 には、 マルチテナ ン ト 設計に
適用で き る 帯域幅制御は反映 さ れてい ません。
表 12
Nexus 5000- キ ュ ー イ ング と 帯域幅のマ ッ ピ ング
QoS シ ス テム ・
ク ラス
CoS マ ッ ピ
ング
キュー
帯域幅割 り 当て （%）
ド ロ ッ プ基準
プ ラ チナ
5
優先
20
イ ン ターフ ェ イ ス
の帯域幅
ゴール ド
6
キ ュー 1
20
WRR
シルバー
4
キ ュー 2
20
WRR
ブロ ンズ
2
キ ュー 3
20
WRR
FCoE
3
未使用
デフ ォル ト
0,1
キ ュー 4
未使用
20
WRR
63
設計上の考慮事項 — 4 つのポイ ン ト
次に示す ク ラ ス マ ッ プ ・ タ イ プが 「キ ュ ー イ ン グ」 の設定では、 「QoS ベー ス の分離」 で説明
し てい る よ う に、 CoS 値 を設定す る QoS グループ ま たは CoS 値 と 一致す る QoS グループに
マ ッ ピ ン グ し ます。
class-map type queuing Platinum_Traffic_Q <- ク ラ ス マ ッ プ ・ タ イ プは 「キ ュ ー イ ン グ」
match qos-group 2 <- 分類子、 ネ ッ ト ワー ク QoS、 キ ュ ー イ ン グ間のア ン カー ・ ポ イ ン ト であ る QoS グループ
class-map type queuing Gold_Traffic_Q
match qos-group 3
class-map type queuing Silver_Traffic_Q
match qos-group 4
class-map type queuing Bronze_Traffic_Q
match qos-group 5
次に示すポ リ シー ・ マ ッ プ ・ タ イ プ 「キ ュ ー イ ン グ」 では、 上記の ク ラ ス ・ マ ッ プ を キ ュ ー ・
タ イ プに関連付け て、 個々のサー ビ ス ・ ク ラ ス に使用す る 適切な帯域幅 を割 り 当て ます。
policy-map type queuing Global_BW_Queuing <- ポ リ シー ・ タ イ プは 「キ ュ ー イ ン グ」
class type queuing Platinum_Traffic_Q
priority <-NFS デー タ ス ト ア と プ ラ チナ ・ ク ラ ス の ト ラ フ ィ ッ ク の優先キ ュ ー
class type queuing Gold_Traffic_Q
bandwidth percent 7 <- 各 QoS ク ラ ス で使用 さ れ る 帯域幅合計
class type queuing Silver_Traffic_Q
bandwidth percent 7
class type queuing Bronze_Traffic_Q
bandwidth percent 43
class type queuing class-fcoe
bandwidth percent 0
fclass type queuing class-default
bandwidth percent 43
QoS 機能は、 グ ロ ーバル設定モー ド で有効にな っ てい ま す。 こ の設計では、 QoS のすべての機
能が グ ロ ーバル ・ レベルで適用 さ れ ます。
system qos
service-policy type queuing output Global_BW_Queuing <- すべての イ ン タ ーフ ェ イ ス にキ ュ ー イ ン グ
を適用
service-policy type qos input Global_Classify_NFS_Application <- サービ ス ・ ク ラ ス に基づいて ト
ラ フ ィ ッ ク を分類
service-policy type network-qos Netapp_Qos <-QoS パ ラ メ ー タ 設定
警告
こ の設計では、 VPC テ ク ノ ロ ジ を利用 し てループの少ない設計 を行 っ てい ま す。 VPC 構成で
は、 2 つの Nexus 5000 の設定に、 一貫性の あ る 一連の グ ロ ーバル設定 を使用す る 必要が あ り ま
す。 VPC を有効にす る 前に、 QoS ポ リ シー を シ ス テ ム ・ レベルで有効にす る こ と を推奨 し ま
す。 VPC を構成後に QoS 設定 を適用す る 場合は、 両方の Nexus 5000 で QoS を同時に有効にす
る 必要が あ り ます。 こ の方法で ない と 、 VPC ト ポ ロ ジに属す る すべての VLAN が無効にな り
ます。
ネ ッ ト ワー ク ・ リ ソ ースのパフ ォ ーマ ン ス保護 （非安定状態）
こ の機能では、 非安定状態において、 各 ト ラ フ ィ ッ ク ・ タ イ プ と サー ビ ス ・ ク ラ ス で ど の よ う
にサー ビ ス ・ レベル を保護す る のかに対応 し ます。 非安定状態 と は、 マルチテナ ン ト 環境の コ
ン ポーネ ン ト 障害な ど、 リ ソ ー ス ・ プールに何 ら かの変化が起 き てい る 状態 と 定義 さ れ ます。
た と えば vMotion や VM の新規プ ロ ビ ジ ョ ニ ン グ が、 既存の リ ソ ー ス の コ ミ ッ ト やア プ リ ケー
シ ョ ン ・ フ ロ ーの保護に影響 を及ぼす場合が あ り ます。 多 く の場合、 リ ソ ー ス の不適切な処理
やオーバー ・ コ ミ ッ ト を引 き 起 こ す一連の イ ベ ン ト 発生時のパ フ ォ ーマ ン ス が、 非安定状態の
パ フ ォ ーマ ン ス と みな さ れ ます。
マルチテナ ン ト 環境では、 テナ ン ト が相互に保護 さ れてい る 必要が あ り ます。 実際の運用にお
いて、 テナ ン ト に よ っ ては、 ア プ リ ケーシ ョ ン と IO ト ラ フ ィ ッ ク が通常の使用状況 と 大幅に
異な る リ ソ ー ス を必要 と す る 場合が あ り ます。 ま た、 テナ ン ト 環境が ウ ィ ル ス に さ ら さ れて、
異常な量の ト ラ フ ィ ッ ク が発生す る 場合 も あ り ます。 いずれの場合 も 、 サー ビ ス ・ コ ミ ッ ト メ
ン ト を超え て一定時間ア プ リ ケーシ ョ ン を バー ス ト ま たは違反で き る よ う にす る か、 ま たは強
64
設計上の考慮事項 — 4 つのポ イ ン ト
力な ポ リ シーに よ っ て超過 を低下 さ せた り 伝送 レー ト を制限 し た り す る こ と で、 ト ラ フ ィ ッ
ク ・ パ タ ー ン の予測で き ない変化 を柔軟に処理で き る よ う 、 一連のポ リ シー制御 を有効にす る
こ と がで き ます。 ま た、 こ の機能 を利用 し て、 重要ではないサー ビ ス を一定の ト ラ フ ィ ッ ク ・
レベルに維持す る よ う サー ビ ス ・ レベル を定義 し た り 、 最下位のサー ビ ス ・ レベルの ト ラ
フ ィ ッ ク を制限 し てハ イ エ ン ド のテナ ン ト ・ サー ビ ス に影響す る こ と がない よ う 、 サー ビ ス ・
レベル を定義 し た り す る こ と も で き ます。 こ の よ う なサー ビ ス や保護の レベル を定義す る に
は、 ポ リ シ ン グ と レー ト 制限 を使用 し ます。 こ う し た ツールは、 ネ ッ ト ワ ー ク のエ ッ ジにで き
る だけ近い箇所に適用す る と 、 ト ラ フ ィ ッ ク がネ ッ ト ワ ー ク に入 る の を も と か ら 防 ぐ こ と がで
き ます。 こ の設計では、 以下の 3 つの タ イ プの ト ラ フ ィ ッ ク に対す る ポ リ シ ン グ と レー ト 制限
を Nexus 1000V で実行 し てい ま す。
•
vMotion- 稼働中の VM の移行に使用 し ます。 vMotion の ト ラ フ ィ ッ ク 要件は、 各環境や
VM 構成に よ っ て異な る 場合が あ り ま す。 VMware では、 従来 よ り 、 vMotion ト ラ フ ィ ッ ク
に専用のギ ガ ビ ッ ト ・ イ ン タ ー フ ェ イ ス を推奨 し てい ます。 こ の設計では、 vMotion ト ラ
フ ィ ッ ク はルーテ ィ ン グ不可能な VMkernel ポー ト で専用にな っ てい ま す。 各ブ レー ド
サーバか ら の vMotion の ト ラ フ ィ ッ ク は、 1 Gbps に保たれた ま ま 従来の環境に反映 さ れ ま
す。 こ の上限は要件に応 じ て引 き 上げ、 引 き 下げがで き ます。 ただ し 設計時には、 vMotion
を完了 イ ベ ン ト と す る こ と （つ ま り 、 低帯域幅では時間がかか る 場合が あ っ て も 、 必ず完
了 さ せ る こ と ） を考慮 し 、 ト ラ フ ィ ッ ク ・ レー ト が NFS デー タ ス ト ア な ど の ク リ テ ィ カル
な ト ラ フ ィ ッ ク に影響 し ない よ う 設計 を行 う 必要が あ り ます。
•
ト ラ ン ザ ク シ ョ ン ・ サー ビ ス と ス ト レージ ・ サー ビ ス の差別化 — マルチテナ ン ト 設計で
は、 さ ま ざ ま な手法 を使用 し てサー ビ ス を差別化 し ます。 た と えば、 最 も ク リ テ ィ カルな
サー ビ ス には 「優先」 キ ュ ー を使用 し て、 ド ロ ッ プで き ないが あ る 程度の遅延は許容で き
る ト ラ フ ィ ッ ク には 「 ド ロ ッ プな し 」 を使用 し ます。 レー ト 制限は、 固定 レー ト ・ サー ビ
ス と 呼ばれ る サー ビ ス に使用 し ます。 こ の場合、 各ア プ リ ケーシ ョ ン ・ ク ラ ス やサー ビ
ス ・ ト ラ フ ィ ッ ク が一定 レベルで制限 さ れ、 こ の レベル を超え る と 、 ト ラ フ ィ ッ ク は ド
ロ ッ プ さ れ る か、 高確率の ド ロ ッ プ CoS でマーキ ン グ さ れ ます。 こ の設計では、 シル
バー ・ ト ラ フ ィ ッ ク は固定 レー ト ・ サー ビ ス と し て指定 さ れ、 ネ ッ ト ワ ー ク ・ エ ッ ジ で
レー ト が制限 さ れ ます。
•
マネ ジ メ ン ト - こ の設計ガ イ ド では、 サー ビ ス ・ コ ン ソ ール ・ イ ン タ ー フ ェ イ ス （VLAN）
が、 すべての リ ソ ー ス に対 し て指定 さ れてい る 共通の管理 VLAN にマージ さ れてい ます。
従来 よ り 、 ESX コ ン ソ ールでは専用の 1 Gbps イ ン タ ー フ ェ イ ス を利用で き ま すが、 実際の
環境で管理機能に必要な帯域幅は 1 Gbps を大幅に下回 り ま す。 UCS を使用す る と 、 ブ ロ ッ
ク 不可の 10 Gbps の ア ク セ ス 帯域幅 を利用で き る ため、 1 Gbps を超え る 帯域幅 を利用で き
ます。 ただ し 管理 VLAN を有効にす る 際は、 レー ト 制限 を使用 し て 1 Gbps で ト ラ フ ィ ッ
ク を制限す る 必要が あ り ます。
Nexus 1000V の レ ー ト 制限設定 と 制限事項のガ イ ド ラ イ ン につい ては、 次 を参照 し て く だ さ い。
http://www.cisco.com/en/US/docs/switches/datacenter/nexus1000/sw/4_0/qos/configuration/guide/
qos_4policing.html
エ ン ド ツーエ ン ド のサービ ス保証によ る ト ラ フ ィ ッ ク ・ エ ン ジニア リ ング
「QoS ベー ス の分離」 と 「ネ ッ ト ワ ー ク のサー ビ ス 保証の設計に関す る 考慮事項」 では、 マル
チテナ ン ト 環境に対応す る 設計モデル を作成 し ま し た。 こ の設計では、 複数の タ イ プの ト ラ
フ ィ ッ ク で同 じ サー ビ ス ・ ク ラ ス を使用 し 、 そのサー ビ ス ・ ク ラ ス で同 じ キ ュ ー と イ ン タ ー
フ ェ イ ス を使用 し ます。 Nexus 1000V の 4.0(4)SV1(2) リ リ ー ス で提供 さ れてい る UCS の冗長
フ ァ ブ リ ッ ク （A と B） 機能 と MAC ピ ニ ン グ機能 を使用す る と 、 ト ラ フ ィ ッ ク を安定状態で
管理す る に あ た っ て さ ま ざ ま な方法 を用い る こ と がで き ます。 UCS のデ ュ アル ・ フ ァ ブ リ ッ ク
に MAC ピ ニ ン グ を連携 さ せ る と 、 サー ビ ス ・ ク ラ ス でその ト ラ フ ィ ッ ク ・ タ イ プ を分割す る
こ と がで き る 、 ト ラ フ ィ ッ ク ・ エ ン ジ ニ ア リ ン グ を実現で き ます。 こ れに よ り 、 利用で き る 分
類用のバケ ッ ト を効率的に倍増で き ます。 も ち ろ ん、 片方の フ ァ ブ リ ッ ク に障害が発生 し た場
合は、 すべての ト ラ フ ィ ッ ク ・ タ イ プで同 じ パ ス と リ ソ ー ス を使用 し ます。 ス タ テ ィ ッ ク ・ ピ
ニ ン グ の大 き な利点の 1 つは、 お客様が VMware vSwitch を使 っ て導入 し てい る ア ク テ ィ ブ /
ス タ ン バ イ 設計 を移行で き る こ と です。
65
設計上の考慮事項 — 4 つのポイ ン ト
MAC ピ ニ ン グはポー ト プ ロ フ ァ イ ルご と に設定 さ れてい る ため、 ポー ト プ ロ フ ァ イ ルが VM
イ ン タ ー フ ェ イ ス に付随 し てい る 場合、 その イ ン タ ー フ ェ イ ス の MAC ア ド レ ス か ら の ト ラ
フ ィ ッ ク は特定の フ ァ ブ リ ッ ク ID （0 ま たは 1） に割 り 当て ら れ ます。 パ ス 上の コ ン ポーネ ン
ト に障害が発生 し た場合は、 ト ラ フ ィ ッ ク を正常な状態に戻すために、 Nexus 1000V のア ッ プ
リ ン ク で利用可能な フ ァ ブ リ ッ ク が自動的に選択 さ れ ます。 次の CLI で、 ポー ト プ ロ フ ァ イ ル
を使用 し た MAC ピ ニ ン グ の使用方法 を示 し ま す。
port-profile type vethernet Control-Packet-NFS
vmware port-group
switchport mode access
switchport access vlan 900
service-policy type qos input Platinum_CoS_5 <- ト ラ フ ィ ッ ク を CoS 5 でマーキ ン グする QoS ポ リ シー
pinning id 0 <- こ のポー ト プ ロ フ ァ イ ルが設定 さ れたポー ト か ら の ト ラ フ ィ ッ ク は、 常に フ ァ ブ リ ッ ク A を使用
no shutdown
system vlan 900
state enabled
図 18 に、 最新の Nexus OS リ リ ー ス 4.0(4)SV1(2) で利用で き る MAC ピ ニ ン グ機能 を示 し ま す。
図 18
MAC ピ ニ ング と フ ェ イルオーバー
マルチテナ ン ト ・ モデルについて、 全ての ト ラ フ ィ ッ ク ・ タ イ プ、 関連付け ら れてい る サー ビ
ス ・ ク ラ ス 、 提案 さ れ る 各種のサー ビ ス ・ レベル を表 13 に示 し ます。 ト ラ フ ィ ッ ク を さ ま ざ
ま な リ ソ ー ス （フ ァ ブ リ ッ ク 、 UCS ク ラ ス 、 キ ュ ー） に割 り 当て る 根拠は、 お客様が何 を優先
す る かに よ っ て異な り ます。 設計上の キー ・ ポ イ ン ト は、 UCS （デ ュ アル フ ァ ブ リ ッ ク ） と
Nexus 1000V （MAC ベー ス の ピ ニ ン グ） を使用す る こ と で、 お客様がマルチテナ ン ト のユー
ザ ・ サー ビ ス ・ レベル要件に関 し て十分に多様な ト ラ フ ィ ッ ク ・ エ ン ジ ニ ア リ ン グ を実現で き
る よ う にす る 点です。
表 13
66
サービ ス ・ ク ラ ス ・ マ ッ プのエ ン ド ツーエ ン ド の ト ラ フ ィ ッ ク ・ エ ン ジニア リ ング
ト ラフ ィ ッ ク ・ タ イプ
分類 カ テ ゴ リ
ト ラフ ィ ッ
ク ・ エンジニ
ア リ ン グの
ファブリ ック /
CoS ク ラ ス
分類の根拠
NFS デー タ ・ ス ト ア
VMkernel/ 制御
5
フ ァブ リ ッ ク
A/ プ ラ チナ
稼働中の ESX/VM の OS
デー タ
Nexus 1000V の制御
シ ス テ ム / 制御
5
フ ァブ リ ッ ク
A/ プ ラ チナ
Nexus 1000V の運用
Nexus 1000V のパケ ッ
ト
システム / ネ ッ
ト ワ ー ク 制御
5
フ ァブ リ ッ ク
A/ プ ラ チナ
Nexus 1000V の運用
設計上の考慮事項 — 4 つのポ イ ン ト
表 13
サービ ス ・ ク ラ ス ・ マ ッ プのエ ン ド ツーエ ン ド の ト ラ フ ィ ッ ク ・ エ ン ジニア リ ング
ト ラフ ィ ッ
ク ・ エンジニ
ア リ ン グの
ファブリ ック /
CoS ク ラ ス
分類の根拠
ト ラフ ィ ッ ク ・ タ イプ
分類 カ テ ゴ リ
プ ラ チナ IO の低遅延、
帯域幅保証
テナ ン ト ・ デー
タ
5
フ ァブ リ ッ ク
B/ プ ラ チナ
NFS で フ ァ ブ リ ッ ク A を使
用 し てい る ため、 CoS 5 を
使用 フ ァ ブ リ ッ ク B で ロ ー
ド シェア リ ング
プ ラ チナの ト ラ ン ザ ク
ション
テナ ン ト ・ デー
タ
6
フ ァブ リ ッ ク
A/ プ ラ チナ
即応性の求め ら れ る ト ラ
フィック
Nexus 1000V の管理
シ ス テ ム / 制御
6
フ ァブ リ ッ ク
B/ ゴール ド
フ ァ ブ リ ッ ク A か ら Nexus
1000V の制御 を分離 し て、
すべて を管理
ESX サー ビ ス ・ コ ン
ソ ール
vswif/ 制御
6
フ ァブ リ ッ ク
B/ ゴール ド
同上
ゴール ド IO の中程度
の遅延、 ド ロ ッ プな し
テナ ン ト ・ デー
タ
6
フ ァブ リ ッ ク
A/ ゴール ド
DCE か ら バ ッ
フ ァ まで
プ ラ チナ IO で フ ァ ブ リ ッ
ク A を使用 し てい る ため、
フ ァ ブ リ ッ ク A でロー ド
シェア リ ング
Gold の ト ラ ン ザ ク シ ョ
ン
テナ ン ト ・ デー
タ
6
フ ァブ リ ッ ク
B/ ゴール ド
即応性の求め ら れ る ト ラ
フィック
vMotion
VMkernel/ 制御
4
フ ァブ リ ッ ク
A/ シルバー
レー ト 制限あ り / 低頻度、
完了 ま で実行
シルバーの ト ラ ン ザ ク
ション
テナ ン ト ・ デー
タ
4
フ ァブ リ ッ ク
A/ シルバー
vMotion が発生 し た場合の
み vMotion と 競合
シルバー IO の高遅延、
ド ロ ッ プ / 再転送
テナ ン ト ・ デー
タ
4
フ ァブ リ ッ ク
B/ シルバー
フ ァ ブ リ ッ ク A で vMotion
を使用
バル ク
テナ ン ト ・ デー
タ
2
フ ァブ リ ッ ク
A/ ブ ロ ン ズ
フ ァブ リ ッ ク
B/ ブ ロ ン ズ
バル ク と 高 ス ループ ッ ト の
ト ラ ンザ ク シ ョ ン
ス ト レージ I/O 保証の設計に関する考慮事項
NetApp FlexShare を使用す る と 、 ス ト レージ管理者は、 ワ ー ク ロ ー ド に優先順位 を付け て、 ス
ト レージ ・ シ ス テ ム の リ ソ ー ス の利用状況について管理性 を高め る こ と がで き ます。 NetApp
コ ン ト ロ ー ラ に対 し て実行 さ れたデー タ ・ ア ク セ ス ・ タ ス ク は、 個々の読み取 り 要求 と 書 き 込
み要求に変換 さ れ、 ス ト レージ ・ コ ン ト ロ ー ラ のオペ レーテ ィ ン グ ・ シ ス テ ム で あ る Data
ONTAP に実装 さ れた WAFL で処理 さ れ ます。 こ れ ら の ト ラ ン ザ ク シ ョ ン は WAFL で処理 さ れ
る 際、 受け取 っ た順序ではな く 、 定義 さ れてい る 順序に基づいて要求が処理 さ れ ます。 ス ト
レージ ・ コ ン ト ロ ー ラ に負荷がかか っ てい る 場合は、 FlexShare に定義 さ れてい る ポ リ シーに
よ り 、 ビ ジ ネ ス 要件に基づいて、 シ ス テ ム ・ メ モ リ 、 CPU、 NVRAM、 デ ィ ス ク I/O な ど の処
理 リ ソ ー ス に優先順位が設定 さ れ ます。
FlexShare が有効にな っ てい る と 、 ア プ リ ケーシ ョ ン ・ デー タ ・ セ ッ ト が格納 さ れてい る ボ
リ ュ ー ムや NetApp コ ン ト ロ ー ラ に対 し て実行 さ れ る 処理に優先順位が割 り 当て ら れ ま す。
FlexShare では、 定義済みの設定に最 も 適合す る よ う 、 タ ス ク の処理順序 を論理的に選択 し ま
す。 WAFL 要求はすべて重要度に関係な く 処理 さ れ ま すが、 FlexShare では、 高い優先順位が
67
設計上の考慮事項 — 4 つのポイ ン ト
設定 さ れてい る 要求 を それ以外の要求 よ り も 先に選択 し ます。 た と えば、 サー ビ ス ・ レベルが
プ ラ チナのテナ ン ト のデー タ は、 サー ビ ス ・ レベルが ゴール ド 、 シルバー、 ま たはブ ロ ン ズの
テナ ン ト と 比較 し て優先度が高い と みな さ れ る ため、 優先的に処理 さ れ ます。
NetApp コ ン ト ロ ー ラ に対 し て実行 さ れ る 処理はユーザ ま たはシ ス テ ム と し て定義 さ れて、 さ
ら に別の優先順位が割 り 当て ら れ ます。 NFS、 CIFS、 iSCSI、 FCP な ど、 デー タ ・ ア ク セ ス 要
求か ら 生 じ る 処理はユーザ処理 と し て定義 さ れ、 その他のすべての タ ス ク はシ ス テ ム処理 と し
て定義 さ れ ます。 管理者は、 リ ス ト アや レ プ リ ケーシ ョ ン な ど の タ ス ク よ り も デー タ ・ ア ク セ
ス を優先的に処理す る ポ リ シー を定義す る こ と で、 他の処理の実行時に も サー ビ ス ・ レベル を
確保す る こ と がで き ます。
マルチテナ ン ト ・ アーキ テ ク チ ャ の設計時には、 ス ト レージ ・ コ ン ト ロ ー ラ 上の さ ま ざ ま な
ワ ー ク ロ ー ド と 、 優先順位の設定がシ ス テ ム に及ぼす影響 を理解 し てい る 必要が あ り ます。 優
先順位の設定が不適切だ と 、 パ フ ォ ーマ ン ス が低下 し て、 テナ ン ト のデー タ ・ ア ク セ ス に悪影
響 を及ぼす場合が あ り ます。 ス ト レージ ・ コ ン ト ロ ー ラ に FlexShare を実装す る 場合は、 以下
のガ イ ド ラ イ ン に従 っ て く だ さ い。
•
FlexShare を ス ト レ ージ ・ コ ン ト ロ ー ラ 上で有効にす る
•
ク ラ ス タ 内の両方の ノ ー ド に同 じ 優先順位 を設定す る
•
ア グ リ ゲー ト 内のすべてのボ リ ュ ー ム に優先順位の レベル を設定す る
•
ボ リ ュ ー ム の キ ャ ッ シ ュ 使用率 を適切に設定す る
•
複製処理 と バ ッ ク ア ッ プ処理 を調整す る
http://www.netapp.com/jp/products/platform-os/flexshare-ja.html
ス ト レージ予約機能 と シ ン ・ プ ロ ビ ジ ョ ニ ング機能
NetApp のシ ン ・ プロ ビ ジ ョ ニ ン グ はス ト レ ージ 仮想化の 1 つの方法で、 管理者は使用可能な 物
理容量よ り も 多く の容量を 割り 当て る こ と ができ ま す。 ア プリ ケ ーシ ョ ン や仮想マシ ン の導入
では、 利用可能な リ ソ ース のプールから 予測さ れる 容量を 割り 当て る のがス ト レ ージ 業界で一
般的な 手法です。 こ の方法には、 多く の場合、 実際の使用量が予測さ れた 必要量に達する ま で
の間は、 ス ト レ ージ の利用率が低いと いう 問題があ り ま す。 シ ン ・ プロ ビ ジ ョ ニ ン グ を 利用す
る と 、 必要に応じ て ス ト レ ージ を 購入でき る よ う にな り ま す。 その際、 ア レ イ に接続し て いる
ホ ス ト でパラ メ ータ を 再設定する 必要も あ り ま せん。 こ のた め、 初回購入と 、 その後ス ト レ ー
ジ ・ コ ン ト ロ ーラ の使用期間中に発生する 管理オーバーヘッ ド について 、 貴重な 資金と 時間を
節約でき ま す。 シ ン ・ プロ ビ ジ ョ ニ ン グ では、 物理容量が共有リ ソ ース ・ プールと し て 扱われ、
必要な 分だけが消費さ れる た め、「 ス ト レ ージ ・ オン ・ デマン ド 」 のレ ベルが実現し ま す。
シ ン ・ プ ロ ビ ジ ョ ニ ン グ し た リ ソ ー ス を導入す る 場合は、 環境内に あ る シ ン ・ プ ロ ビ ジ ョ ニ ン
グ し た ボ リ ュ ー ム に対 し て、 管理者が関連す る 管理ポ リ シー を設定す る こ と を推奨 し ます。 こ
のポ リ シーには、 ボ リ ュ ー ム の自動拡張、 Snapshot の自動削除、 お よ び フ ラ ク シ ョ ナル ・ リ
ザーブ な ど が あ り ます。 ボ リ ュ ー ム の自動拡張は ス ペー ス 管理機能で あ り 、 あ ら か じ め定義 さ
れた し き い値 ま で指定の増分単位でボ リ ュ ー ム を拡張す る こ と がで き ます。 Snapshot の自動削
除は、 デー タ の保護 さ れた イ ン ス タ ン ス で あ る Snapshot コ ピーの保持に関す る ポ リ シーで、 ボ
リ ュ ー ム の使用量が上限に近付 く と 、 最 も 古い Snapshot を自動的に削除 し ま す。 フ ラ ク シ ョ ナ
ル ・ リ ザーブは、 関連付け ら れてい る デー タ の重要度に応 じ て、 ス ペー ス 予約の比率 を修正す
る こ と がで き る ポ リ シーです。 こ れ ら の機能 を同時に使用す る と 、 プ ラ チナ ・ レベルのテナ ン
ト に、 ス ペー ス 要件 を ア ッ プ グ レー ド す る ための優先順位 を設定で き ます。 実際、 プ ラ チナの
テナ ン ト は必要に応 じ て ボ リ ュ ー ム を拡張す る こ と がで き 、 ま た ス ペー ス は共有プールか ら 予
約 さ れ ます。 反対に、 下位 レベルのテナ ン ト では、 ス ト レージの追加要求には管理者が対応す
る 必要が あ り ます。
マルチテナ ン ト 環境で シ ン ・ プ ロ ビ ジ ョ ニ ン グ機能 を使用す る と 、 新 し いテナ ン ト が追加 さ
れ、 必要な ス ト レージが増え る につれて、 比類のない ROI を実現で き ま す。 UCS と 仮想化 レ
イ ヤ内で再構成 を行わな く て も 、 ス ト レージ利用率の向上が図れ る 環境 を設計す る こ と が可能
です。 管理ポ リ シー を使用す る と 、 さ ま ざ ま なサー ビ ス ・ レベルのテナ ン ト に提供 さ れ る リ
ソ ー ス の割 り 当て を差別化で き ます。
68
設計上の考慮事項 — 4 つのポ イ ン ト
シ ン ・ プ ロ ビ ジ ョ ニ ン グ と 最新のベ ス ト ・ プ ラ ク テ ィ ス の詳細については、 以下のテ ク ニ カ
ル ・ レ ポー ト を参照 し て く だ さ い。
•
http://media.netapp.com/documents/tr-3563-ja.pdf
•
http://media.netapp.com/documents/tr-3483-ja.pdf
マネジ メ ン ト
マルチテナ ン ト 環境の ス ト レージ ・ ニーズが高 ま る につれて、 ス ト レージ管理の課題 も 多 く な
り ます。 顧客に対 し て適切な分離 と サー ビ ス ・ レベル を効率的に提供す る ためには、 マルチテ
ナ ン ト ・ サー ビ ス ・ プ ロ バ イ ダが共有 イ ン フ ラ を包括的に管理 し 、 広範囲にわた っ て把握で き
る 必要が あ り ます。 共有 イ ン フ ラ を使用す る さ ま ざ ま な顧客の多様で動的な要件に対応す る た
めに、 サー ビ ス ・ プ ロ バ イ ダは、 運用の複雑 さ を最小限に抑え なが ら も 、 こ れ ま で以上に応答
性に優れた包括的な ス ト レージ管理 ソ リ ュ ーシ ョ ン を導入す る 方向に向か っ てい ます。
最新の形態では、 各 レ イ ヤの コ ン ポーネ ン ト は次の も ので管理 さ れてい ます。
•
vCenter
•
UCS Manager
•
DC Network Manager
•
NetApp FilerView （http://www.netapp.com/jp/products/platform-os/filerview-ja.html）
•
Provisioning Manager
（http://www.netapp.com/jp/products/management-software/provisioning-ja.html）
•
Protection Manager
（http://www.netapp.com/jp/products/management-software/protection-ja.html）
•
SnapManager for Virtual Infrastructure
（http://www.netapp.com/jp/products/management-software/snapmanager-virtual-ja.html）
•
Operations Manager
（http://www.netapp.com/jp/products/management-software/operations-manager-ja.html）
•
SANscreen （http://www.netapp.com/jp/products/management-software/sanscreen/）
以上の コ ン ポーネ ン ト を図 19 に示 し ます。 こ こ では、 ク ラ ウ ド 管理者 と テナ ン ト 管理者が、
コ ン ピ ュ ーテ ィ ン グ、 ネ ッ ト ワ ー ク 、 ス ト レージ を全体的に管理す る 際に使用で き る オプシ ョ
ン を説明 し ます。
69
設計上の考慮事項 — 4 つのポイ ン ト
図 19
管理コ ンポーネン ト
VMware vSphere によ る リ ソ ース、 容量、 健全性の管理
VMware vCenter を使用す る と 、 ク ラ ウ ド 管理者 と テナ ン ト 管理者は と も に、 リ ソ ー ス と 容量 を
簡単に管理で き る よ う にな り ます。 以下に、 マルチテナ ン ト 環境で使用 さ れ る vSphere の管理
機能の主な ポ イ ン ト を い く つか示 し ます。
•
70
vCenter Server の [Resource Allocation] タ ブ （図 20） には、 CPU と メ モ リ の詳細な割 り 当て
が個々の リ ソ ー ス ・ プール ・ レベル と 仮想マ シ ン ・ レベルで表示 さ れ ます。 ク ラ ウ ド 管理
者は、 ク ラ ス タ ・ レベルで提供 さ れ る 情報 を使用 し て、 イ ン フ ラ の仮想マ シ ン と 個々のテ
ナ ン ト に割 り 当て ら れてい る CPU リ ソ ー ス と メ モ リ ・ リ ソ ー ス の概要 を把握で き ます。
設計上の考慮事項 — 4 つのポ イ ン ト
図 20
vCenter Server の [Resource Allocation] タ ブ
•
テナ ン ト 管理者は、 リ ソ ー ス ・ プール ・ レベルで提供 さ れ る 情報 を使用 し て、 仮想マ シ ン
や仮想ア プ リ ケーシ ョ ン に割 り 当て ら れてい る CPU リ ソ ー ス と メ モ リ ・ リ ソ ー ス の概要 を
把握で き ます。
•
vCenter Server のパ フ ォ ーマ ン ス ・ チ ャ ー ト （図 21） には、 デー タ ・ セ ン タ ー と 個々の リ
ソ ー ス ・ プール ・ レベルの両方について、 すべてのパ フ ォ ーマ ン ス ・ メ ト リ ッ ク ス が単一
の ビ ュ ーで表示 さ れ ます。 複数のチ ャ ー ト 間 を移動 し な く て も 、 CPU、 メ モ リ 、 デ ィ ス ク 、
ネ ッ ト ワ ー ク な ど の情報が表示 さ れ ます。 さ ら に、 パ フ ォ ーマ ン ス ・ チ ャ ー ト には、 次の
ビ ュ ー も 含 ま れてい ます。
–
リ ソ ー ス 分布の概要が表示 さ れ る 集計チ ャ ー ト 。 ク ラ ウ ド 管理者 と テナ ン ト 管理者が、
リ ソ ー ス 使用量の多い顧客 を特定で き ます
– 仮想マ シ ン、 ホ ス ト 、 リ ソ ー ス ・ プール、 ク ラ ス タ 、 お よ びデー タ ベー ス のサ ム ネ イ
ル ・ ビ ュ ー。 個々のチ ャ ー ト を簡単に表示で き ます
図 21
vCenter Server のパフ ォ ーマ ン ス ・ チ ャ ー ト
71
設計上の考慮事項 — 4 つのポイ ン ト
•
vCenter ス ト レージ ・ プ ラ グ イ ン を使用す る と 、 イ ン フ ラ と テナ ン ト の仮想マ シ ン専用に割
り 当て ら れてい る すべてのデー タ ス ト ア の詳細な利用率情報 を取得で き ます。 ク ラ ウ ド 管
理者は、 各デー タ ス ト ア （NFS、 iSCSI、 FCP） について以下の情報 を取得で き ま す。
– フ ァ イ ル ・ タ イ プ （仮想デ ィ ス ク 、 ス ナ ッ プシ ョ ッ ト 、 構成 フ ァ イ ル） 別の ス ト レー
ジ利用率
– 個々の仮想マ シ ン の ス ト レージ利用率の概要
– 利用可能な ス ペー ス
メモ
NetApp MultiStore を使用す る と 、 個々のテナ ン ト に特定の NFS ボ リ ュ ー ム ま たは iSCSI ボ
リ ュ ー ム を柔軟に割 り 当て る こ と がで き ます。 ま た、 その場合、 テナ ン ト 管理者は vCenter ス
ト レージ ・ プ ラ グ イ ン を使用 し て それぞれのデー タ ス ト ア を監視で き ます。 ただ し 、 こ の操作
を行 う には、 セ キ ュ ア に分離 さ れた ア ク セ ス を確保す る ために、 テナ ン ト 管理者の グループに
権限が明示的に割 り 当て ら れてい る 必要が あ り ます。
図 22
vCenter のデー タ ス ト ア利用率チ ャ ー ト
•
NetApp Virtual Storage Console （vCenter プ ラ グ イ ン） は、 vCenter ス ト レージ ・ プ ラ グ イ ン
を補完 し ます。 こ の Virtual Storage Console を使用す る と 、 ク ラ ウ ド の管理者は、 vSphere
のデー タ ス ト ア ・ レベルか ら NetApp FAS ス ト レージ ・ コ ン ト ロ ー ラ のボ リ ュ ー ム、 LUN、
ア グ リ ゲー ト の各 レベルに至 る ま で、 ス ト レージ利用率の包括的な ビ ュ ー を表示で き ます。
•
vCenter Server の イ ベ ン ト 機能 と ア ラ ー ム機能 を利用す る と 、 イ ン フ ラ ・ リ ソ ー ス に よ り 優
れた監視機能が提供 さ れ ます。 低 レベルのハー ド ウ ェ ア と ホ ス ト の イ ベ ン ト が vSphere
Client に表示 さ れ る ため、 障害 をすばや く 特定 し て分離で き ま す。 イ ベ ン ト 発生時に ア
ラ ー ム が発行 さ れ る よ う 設定 し て、 重大な エ ラ ー状態が発生 し た際、 ク ラ ウ ド 管理者に通
知で き る よ う にな り ま し た。 ま た、 誤 っ た発行 を最小限に抑え る ために、 ア ラ ー ム は一定
の時間間隔条件 を満た し てい る 場合のみ発行 さ れ ます。 vCenter Server にはデ フ ォ ル ト の ア
ラ ー ム設定が多数用意 さ れてい る ため、 ク ラ ウ ド 管理者はプ ロ ア ク テ ィ ブな イ ン フ ラ 管理
が簡単に行え ます。
マルチテ ナン ト の共有サービ ス ・ イ ン フ ラ では、 以下のア ラ ーム を 設定する こ と を 推奨し ま す。
•
ク ラ ウ ド ・ レベル
– ネ ッ ト ワ ー ク ・ ア ッ プ リ ン ク の冗長性の損失 （仮想 ス イ ッ チ上のネ ッ ト ワ ー ク ・ ア ッ
プ リ ン ク の冗長性の損失 を監視す る 、 デ フ ォ ル ト の ア ラ ー ム）
72
設計上の考慮事項 — 4 つのポ イ ン ト
– ネ ッ ト ワ ー ク 接続の損失 （仮想 ス イ ッ チ上のネ ッ ト ワ ー ク 接続 を監視す る 、 デ フ ォ ル
ト の ア ラ ー ム）
– 移行エ ラ ー （仮想マ シ ン の移行、 再配置、 分離が可能か ど う か を監視す る 、 デ フ ォ ル
ト の ア ラ ー ム）
–
•
ク ラ ス タ 高可用性エ ラ ー （ ク ラ ス タ の高可用性エ ラ ー を監視す る 、 デ フ ォ ル ト の ア
ラ ー ム）
デー タ ス ト ア ・ レベル
– デ ィ ス ク のデー タ ス ト ア利用率 （デー タ ス ト ア のデ ィ ス ク 利用率 を監視す る 、 デ フ ォ
ル ト の ア ラ ー ム）
– すべての ホ ス ト のデー タ ス ト ア状態 （デ フ ォ ル ト の ア ラ ー ム ではあ り ません。 すべて
の ホ ス ト のデー タ ス ト ア ・ ア ク セ ス 状態 を監視す る ために定義す る 必要が あ り ます）
テナ ン ト 管理者の場合、 以下の ア ラ ー ム を設定 し て、 個々のテナ ン ト の仮想マ シ ン の リ ソ ー ス
利用率 を監視す る こ と を推奨 し ます。
•
リ ソ ー ス ・ プール ・ レベル
– 仮想マ シ ン の CPU 利用率
– 仮想マ シ ン の メ モ リ 利用率
– 仮想マ シ ン の総デ ィ ス ク 遅延
VMware vShield によ る リ ソ ース管理
vShield は、 マ イ ク ロ フ ロ ー ・ レベルの レ ポー ト を表示す る こ と で、 仮想ネ ッ ト ワ ー ク を可視
化 し 、 仮想シ ス テ ム と 物理シ ス テ ム間でネ ッ ト ワ ー ク ・ サー ビ ス への ア ク セ ス が ど の よ う に行
われてい る のか を詳細に示 し ます。 仮想マ シ ン名にマ ッ プ さ れ る ソ ー ス IP ア ド レ ス と デ ス
テ ィ ネーシ ョ ン IP ア ド レ ス 、 TCP/UDP ポー ト 、 OSI モデルの全 レ イ ヤのプ ロ ト コ ル ・ タ イ プ
と い っ た統計情報 と と も に、 ネ ッ ト ワ ー ク の各通信が記録 さ れ ます。 各マ イ ク ロ フ ロ ーは、 仮
想マ シ ン、 ク ラ ス タ 、 仮想デー タ ・ セ ン タ ー、 ま たは vSphere ポー ト グループや Nexus VLAN
な ど のネ ッ ト ワ ー ク ・ コ ン テナにマ ッ ピ ン グ さ れ ます。 こ れに よ り 、 ユーザは、 仮想デー タ ・
セ ン タ ーな ど の最上位 レベルで フ ロ ー を確認 し た り 、 各仮想マ シ ン レベルで詳細な レ ポー ト を
参照 し た り す る こ と がで き ます。 ま た、 各マ イ ク ロ フ ロ ーは、 フ ァ イ ア ウ ォ ールの動作 を追跡
す る ために許可 ま たはブ ロ ッ ク と し て マー ク 付け さ れてい ます。 そのため、 フ ロ ー ・ レ ポー ト
か ら 直接 フ ァ イ ア ウ ォ ール ・ ルール を作成 し て、 悪意あ る 動作 を ただちに停止 さ せた り 、 既存
の フ ァ イ ア ウ ォ ール ・ ルール を変更 し た り す る こ と がで き ます。 こ れ ら の VM Flow レ ポー ト
の一般的な使用例 を以下に示 し ます。
•
新 し い ア プ リ ケーシ ョ ン ま たはテナ ン ト 環境全体の初期 イ ン ス ト ール時には、 仮想ネ ッ ト
ワ ー ク を監査 し て、 フ ァ イ ア ウ ォ ールでオープ ン にす る 必要が あ る プ ロ ト コ ル と ポー ト を
検出す る こ と が重要です。 こ れに よ り 、 必要な プ ロ ト コ ルだけが許可 さ れ る 効果的な セ
キ ュ リ テ ィ ・ モデルが実現 し ます。
•
プ ロ ト コ ルやア プ リ ケーシ ョ ン、 仮想マ シ ン別に、 ま たはデー タ ・ セ ン タ ー全体で見た利
用率の履歴情報 （バ イ ト 単位 ま たはセ ッ シ ョ ン単位） を使用 し て、 キ ャ パシ テ ィ ・ プ ラ ン
ニ ン グ を行 っ た り ア プ リ ケーシ ョ ン の増加 を追跡 し た り す る こ と がで き ます。
•
障害の発生 し た操作 を繰 り 返す よ う ユーザに依頼 し な く て も 、 フ ァ イ ア ウ ォ ール ・ ポ リ
シーの ト ラ ブルシ ュ ーテ ィ ン グ を行 う こ と がで き ます。 すべての履歴が保持 さ れてお り 、
ブ ロ ッ ク さ れた フ ロ ー を仮想マ シ ン ・ レベルで確認で き る ため、 ユーザに操作 し て も ら う
必要がな く な り ます。
図 23 に vShield の ロ ギ ン グ機能 を示 し ま す。 こ こ では ト ラ フ ィ ッ ク がプ ロ ト コ ル ・ レ ベルで分
析 さ れてい ます。
73
設計上の考慮事項 — 4 つのポイ ン ト
図 23
vShield のロギング機能
フ ァ イ ア ウ ォ ール管理では、 仮想ネ ッ ト ワ ー ク の フ ロ ー情報以外に、 ど のオペ レーテ ィ ン グ ・
シ ス テ ム のネ ッ ト ワ ー ク ・ サー ビ ス と ア プ リ ケーシ ョ ン を仮想マ シ ン上で リ ス ン し てい る のか
を管理者が把握す る 必要が あ り ます。 デ フ ォ ル ト のネ ッ ト ワ ー ク ・ サー ビ ス がすべて ア ク セ ス
可能で あ る 必要は あ り ません。 ま たは、 さ ま ざ ま な脆弱性に さ ら さ れ る こ と を避け よ う と 、 す
べて を ロ ッ ク ダ ウ ンす る 必要 も あ り ません。 vShield を使用す る と 、 こ の よ う な イ ンベ ン ト リ
を仮想マ シ ン ご と に提供す る こ と がで き ます。 仮想マ シ ン ご と にサー ビ ス ・ イ ンベ ン ト リ と
オープ ン ・ ポー ト ・ イ ンベ ン ト リ を組み合わせて実行 し 、 さ ら にネ ッ ト ワ ー ク ・ フ ロ ー を可視
化す る こ と で、 管理者は、 仮想領域の設定 と 管理やテナ ン ト ・ リ ソ ー ス への ア ク セ ス が容易に
な り ます。
Cisco によ るネ ッ ト ワー ク と UCS イ ン フ ラの管理
Data Center Network Manager
Cisco Data Center Network Manager （DCNM） は、 デー タ ・ セ ン タ ーの イ ン フ ラ を管理 し 、
Storage Area Network （SAN; ス ト レージ ・ エ リ ア ・ ネ ッ ト ワ ー ク ） と Local Area Network
（LAN; ロ ーカル ・ エ リ ア ・ ネ ッ ト ワ ー ク ） を常に監視す る ための、 効果的な ツール を提供 し ま
す。 こ の設計では、 Cisco Nexus 5000 ス イ ッ チ と Cisco Nexus 7000 ス イ ッ チ を管理で き ます。
Cisco DCNM は、 Nexus-OS の以下の機能に対 し て、 設定お よ び監視機能 を提供 し ま す。
•
イ ーサネ ッ ト ・ ス イ ッ チ
– 物理ポー ト と ポー ト ・ チ ャ ネル
– VLAN と プ ラ イ ベー ト VLAN
– SPT プ ロ ト コ ル
– ループバ ッ ク ・ イ ン タ ー フ ェ イ ス と 管理 イ ン タ ー フ ェ イ ス
•
ネ ッ ト ワー ク ・ セキ ュ リ テ ィ
– Access Control List （ACL; ア ク セ ス 制御 リ ス ト ） と ロ ールベー ス のア ク セ ス 制御
– 認証、 パー ミ ッ シ ョ ン、 ア カ ウ ン テ ィ ン グ の各サー ビ ス
– ARP イ ン ス ペ ク シ ョ ン と DHCP ス ヌ ー ピ ン グ - ス ト ー ム制御 と ポー ト ・ セ キ ュ リ テ ィ
•
フ ァ イ バチ ャ ネル
– ゾー ン の検出 と 設定
– フ ァ イ バチ ャ ネル ・ イ ン タ ー フ ェ イ ス の ト ラ ブルシ ュ ーテ ィ ン グ、 監視、 設定
•
全般
– 仮想デバ イ ス ・ コ ン テ キ ス ト と SPAN アナ ラ イ ザ
– Gateway Load Balancing Protocol （GLBP; ゲー ト ウ ェ イ ・ ロ ー ド ・ バ ラ ン シ ン グ ・ プ ロ ト
コ ル）
74
設計上の考慮事項 — 4 つのポ イ ン ト
DCNM は、 ハー ド ウ ェ ア ・ イ ンベ ン ト リ と イ ベ ン ト ・ ブ ラ ウ ザの機能 も 提供 し てお り 、 デバ イ
ス の検出、 統計デー タ の収集、 お よ び ク ラ イ ア ン ト の ロ ギ ン グ を実行す る ト ポ ロ ジ ・ ビ ュ ーア
が組み込 ま れてい ます。
UCS Manager
UCS プ ラ ッ ト フ ォ ー ム は、 HTTP ベー ス の GUI イ ン タ ー フ ェ イ ス で管理 さ れ ま す。 UCS
Manager を使用すれば、 UCS シ ス テ ム の一元管理が可能 と な り 、 UCS 内のすべてのデバ イ ス を
1 つの論理エ ン テ ィ テ ィ と し て管理で き ます。 設定 タ ス ク 、 運用管理、 ト ラ ブルシ ュ ーテ ィ ン
グはすべて、 UCS 管理 イ ン タ ー フ ェ イ ス で実行で き ま す。 UCS Manager で利用で き る 基本機能
について以下に概要 を示 し ます。
•
フ ァ ブ リ ッ ク ・ イ ン タ ー コ ネ ク ト 、 シ ャ ーシ、 サーバ、 フ ァ ブ リ ッ ク ・ エ ク ス テ ン ダ、 ア
ダプ タ を管理で き ます
•
シ ャ ーシ と サーバの検出、 フ ァ ー ム ウ ェ ア の管理、 バ ッ ク ア ッ プ と 設定の リ ス ト ア機能な
ど のハー ド ウ ェ ア管理 を行 う こ と がで き ます
•
シ ャ ーシ内のすべてのサーバで共有が可能な、 シ ス テ ム全体のプール を管理で き ます。 こ
のプールには、 MAC プール、 World Wide Node Name （WWNN; ワ ール ド ワ イ ド ・ ノ ー ド
名） プール、 World Wide Port Name （WWPN; ワ ール ド ワ イ ド ・ ポー ト 名） プール、 お よ び
Universally Unique Identifier （UUID; 汎用一意識別子） プールが あ り ます
•
接続情報や ID 情報な ど、 物理サーバ を論理的に表すサー ビ ス プ ロ フ ァ イ ル を定義で き ま す
•
体系的な階層 と ロ ールベー ス の ア ク セ ス 制御 を作成で き ます
•
特定の環境におけ る シ ス テ ム の動作 を指定す る 、 設定ポ リ シー と 運用ポ リ シー を作成で き
ます。 以下の よ う な ポ リ シー を設定で き ます。
– ブー ト ・ ポ リ シー — サーバ を起動す る 場所 を指定 し ます
– QoS 定義ポ リ シー -vNIC ま たは vHBA に対 し て送信す る QoS パ ラ メ ー タ を指定 し ま す
– サーバ検出ポ リ シー - 新 し いサーバが検出 さ れた と き に、 シ ス テ ム で ど の よ う に対応す
る か を指定 し ます
– サーバ ・ プール ・ ポ リ シー - メ モ リ やプ ロ セ ッ サ ・ パ ワ ーな ど のパ ラ メ ー タ に基づい
て、 適合す る サーバ を判定 し ます
– フ ァ ーム ウ ェ ア・ ポリ シ ー - サーバに適用する フ ァ ーム ウ ェ ア のバージ ョ ン を 指定し ま す
– ポー ト 、 ア ダ プ タ 、 ブ レー ド 、 シ ャ ーシのポ リ シー - ポー ト 、 ア ダプ タ 、 ブ レー ド 、
シ ャ ーシ それぞれの統計情報の収集 と レ ポー ト の間隔 を定義 し ます
セキ ュ ア ・ ク ラ ウ ド における DCNM の導入 と UCS Manager の使用
ス テー ト レ ス な コ ン ピ ュ ーテ ィ ン グ ・ モデルでは、 リ モー ト ・ ス ト レージ か ら のブー ト は透過
的で物理デバ イ ス か ら 論理的に独立 し てい る 必要が あ り ます。 UCS プ ラ ッ ト フ ォ ー ム では、
シ ャ ーシ内のブー ト ・ パ ラ メ ー タ と ネ ッ ト ワ ー ク 内のネ ッ ト ワ ー ク ・ パ ラ メ ー タ の追加設定の
再 ソ ー ト を し な く て も 、 別の物理ブ レー ド に移動す る こ と がで き る SAN ブー ト ・ パ ラ メ ー タ
を定義で き ます。 こ のため、 必要に応 じ て、 論理サーバ を別のブ レー ド 上の リ モー ト ・ ス ト
レージか ら ブー ト で き ます。
UCS Manager を使用す る と 、 テナ ン ト の各要件に対応す る ポ リ シー を実装で き ます。 サーバ ・
プール を使用す る こ と で、 必要に応 じ て テナ ン ト に強力なサーバ を予約で き ます。 QoS パ ラ
メ ー タ では、 テナ ン ト で利用で き る QoS ポ リ シー を シ ス テ ム全体に設定 し た り 、 ま た、 各テナ
ン ト の さ ま ざ ま な ホ ス ト や仮想マ シ ン で使用 さ れ る VLAN の構成 と 定義 も 行え ます。 図 24 に、
UCS シ ャ ーシ内に各種のポ リ シー を設定す る 際に使用す る 管理 イ ン タ ー フ ェ イ ス を示 し ま す。
75
設計上の考慮事項 — 4 つのポイ ン ト
図 24
UCS シ ャ ーシ内のポ リ シーの設定に使用する管理イ ン タ ー フ ェ イ ス
DCNM と UCS Manager を連携 さ せて使用す る と 、 6100 フ ァ ブ リ ッ ク ・ イ ン タ ー コ ネ ク ト と
Nexus 5000 間お よ び Nexus 5000 と Nexus 7000 間に VPC 接続 を実装 し 、 監視す る こ と がで き ま
す。 VPC 機能に よ っ て、 ループのない冗長化 さ れた ト ポ ロ ジが提供 さ れ る ため、 フ ェ イ ルオー
バー後の収束時間が短縮 さ れ ます。
運用面では、 DCNM を使用す る と 、 Nexus 5000 ス イ ッ チ と Nexus 7000 ス イ ッ チの構成 を表示
し た り 、 構成変更の ス ナ ッ プシ ョ ッ ト を作成 し た り で き ます。 ま た、 管理対象のデバ イ ス か ら
DCNM にデバ イ ス の ロ ギ ン グ情報 を送信で き ま す。 さ ら に、 DCNM では、 ネ ッ ト ワ ー ク ・ イ
ン フ ラ の グ ラ フ ィ カルな ビ ュ ー を表示で き ます。 図 25 に、 DCNM を使用 し て表示 し た ネ ッ ト
ワ ー ク ・ イ ン フ ラ の ト ポ ロ ジ ・ ビ ュ ー を示 し ます。
76
設計上の考慮事項 — 4 つのポ イ ン ト
図 25
ネ ッ ト ワー ク ・ イ ン フ ラの ト ポロ ジ ・ ビ ュ ー
NetApp ス ト レージ ・ イ ン フ ラ と サービ ス提供の管理
顧客に対 し て適切な分離 と サー ビ ス ・ レベル を効率的に提供す る ためには、 マルチテナ ン ト ・
サー ビ ス ・ プ ロ バ イ ダが共有 イ ン フ ラ を包括的に管理 し 、 広範囲にわた っ て把握す る 必要が あ
り ます。 NetApp は、 サー ビ ス ・ プ ロ バ イ ダが効率性、 利用率、 可用性 を大幅に改善で き る 、
統合管理 ソ リ ュ ーシ ョ ン を提供 し ます。 NetApp では、 デー タ 管理の簡易化に重点 を置いた包
括的な ア プ ロ ーチ を提供 し 、 それに よ っ て、 サー ビ ス ・ プ ロ バ イ ダが直面す る 特定の運用上の
課題 を効率的に解決 し ます。 NetApp デー タ 管理 ソ リ ュ ーシ ョ ン の包括的な ポー ト フ ォ リ オに
含 ま れ る 、 以下の も の を利用す る こ と で、 サー ビ ス ・ プ ロ バ イ ダは共有 ス ト レージ ・ イ ン フ ラ
や顧客 リ ソ ー ス 、 サー ビ ス ・ レベル を エ ン ド ツーエ ン ド で詳細に把握 し て制御す る こ と がで き
ます。
•
NetApp FilerView （http://www.netapp.com/jp/products/platform-os/filerview-ja.html）
•
Provisioning Manager
（http://www.netapp.com/jp/products/management-software/provisioning-ja.html）
•
Protection Manager
（http://www.netapp.com/jp/products/management-software/protection-ja.html）
•
SnapManager for Virtual Infrastructure
（http://www.netapp.com/jp/products/management-software/snapmanager-virtual-ja.html）
•
Operations Manager
（http://www.netapp.com/jp/products/management-software/operations-manager-ja.html）
•
SANscreen （http://www.netapp.com/jp/products/management-software/sanscreen/）
77
設計上の考慮事項 — 4 つのポイ ン ト
NetApp FilerView は、 構成要素 レベルで グ ラ フ ィ カルな表示がで き る 主要な管理 イ ン タ ー フ ェ
イ ス で、 すべての NetApp ス ト レ ージ ・ シ ス テ ム で利用可能です。 わか り やすいブ ラ ウ ザベー
ス の ツールで、 こ れ を使用す る と 、 個々の NetApp ス ト レ ージ ・ シ ス テ ム の管理 タ ス ク を監視
お よ び管理で き ます。 プ ロ バ イ ダは FilerView を使用す る こ と で、 ス ト レ ージ ・ サー ビ ス 全般
の構成管理 を行え る だけで な く 、 物理デ ィ ス ク の ア グ リ ゲー ト 、 FlexVol の論理ボ リ ュ ー ム、
ク ォ ー タ 、 SAN 接続のブ ロ ッ ク ・ ス ト レージの割 り 当て、 お よ び NAS 接続の NFS/CIFS 実装
に関 し て、 ス ト レージ ・ リ ソ ー ス の容量 と 利用率 を確認で き ます。 ま た、 NetApp ス ト レージ ・
シ ス テ ムへの管理ア ク セ ス と ユーザ ・ ア ク セ ス を制御で き ます。 ス ト レージ ・ プ ロ バ イ ダは、
NetApp FilerView を使用 し て、 NetApp ス ト レージ ・ シ ス テ ム の健全性 と ス テー タ ス を確認 し た
り 、 リ ソ ー ス 監視用に通知サー ビ ス と 警告サー ビ ス を設定 し た り で き ます。 FilerView や Data
ONTAP コ マ ン ド ・ ラ イ ン の よ う な ユーザ ・ イ ン タ ー フ ェ イ ス は、 プ ロ バ イ ダが ク ラ ウ ド ・
サー ビ ス ・ アーキ テ ク チ ャ を最初に構築す る 際に役立ち ますが、 その後、 日常的なサー ビ ス 運
用が関係す る プ ロ セ ス では、 こ う し た イ ン タ ラ ク テ ィ ブな ツール を使用す る こ と は推奨 し ませ
ん。 NetApp の管理 ソ フ ト ウ ェ ア ・ ポー ト フ ォ リ オに よ る 、 標準指向のポ リ シーベー ス 機能 を
使用す る こ と を推奨 し ます。
NetApp Provisioning Manager を使用す る と 、 サー ビ ス ・ プ ロ バ イ ダは定義済みのポ リ シーに基
づいて、 ク ラ ウ ド ・ イ ン フ ラ の導入 と テナ ン ト の ス ト レージ ・ リ ソ ー ス の提供 を効率化す る こ
と がで き ます。 Provisioning Manager に よ っ て、 ク ラ ウ ド 管理者は以下の こ と を行え ます。
•
ク ラ ウ ド ・ コ ン ピ ュ ーテ ィ ン グ ・ イ ン フ ラ を支え る ス ト レージ、 vFiler ユ ニ ッ ト 、 お よ び
テナ ン ト 環境に提供す る ス ト レージの導入 を自動化す る
•
ス ト レージの導入が管理者やテナ ン ト のサー ビ ス ・ レベル契約に よ っ て定義 さ れてい る プ
ロ ビ ジ ョ ニ ン グ ・ ポ リ シーに確実に準拠す る よ う にす る
•
マルチプ ロ ト コ ル ・ ス ト レージ を テナ ン ト 環境間でセ キ ュ ア に分離 し なが ら プ ロ ビ ジ ョ ニ
ン グす る
•
ス ト レージの重複排除 と シ ン ・ プ ロ ビ ジ ョ ニ ン グ を自動化す る
•
ク ラ ウ ド ・ ス ト レージ ・ イ ン フ ラ 間のデー タ 移行 を簡易化す る
•
テナ ン ト 管理者に制御 を委任す る
NetApp Management Console を 使用する と 、 Provisioning Manager のさ ま ざ ま なメ ト リ ッ ク ス が表
示さ れる ダッ シ ュ ボード ・ ビ ュ ーを 利用し て 、 リ ソ ース 利用率や運用効率を さ ら に高める ポリ
シ ーを 作成し たり 、 ス ト レ ージ のプロ ビ ジ ョ ニン グ 時に必要な レ ベルの容量、 可用性、 セキ ュ リ
テ ィ を 確保し たり する こ と ができ ま す。 プロ ビ ジ ョ ニン グ ・ ポリ シーは、 管理要件と テナン ト 要
件に対応し ている リ ソ ース ・ プールのコ ン テ キ ス ト 内に定義でき ま す。 Provisioning Manager のア
ク セス と 制御は、 個々のス ト レ ージ 環境の範囲内でク ラ ウ ド 管理者から テナン ト 管理者に委任す
る こ と ができ ま す。 そのため、 こ う し たメ リ ッ ト の多く が顧客にも たら さ れま す。
78
設計上の考慮事項 — 4 つのポ イ ン ト
図 26
NetApp Provisioning Manager
NetApp Protection Manager を使用す る と 、 ク ラ ウ ド 管理者 と テナ ン ト 管理者は、 同 じ 保護要件
を持つデー タ を グループ化 し 、 事前設定のポ リ シー を適用 し てデー タ 保護プ ロ セ ス を自動化で
き ます。 管理者は、 運用要件 と サー ビ ス ・ レベル要件 を満たす よ う に設計 さ れた ク ラ ウ ド ・ ス
ト レージ ・ イ ン フ ラ 全体 と テナ ン ト 環境内に、 一貫 し たデー タ 保護ポ リ シー を容易に適用で き
ます。 Protection Manager では論理デー タ ・ セ ッ ト と 基盤 と な る 物理 ス ト レ ージ ・ リ ソ ー ス が自
動的に関連付け ら れ る ため、 管理者は、 ビ ジ ネ ス レベル要件やサー ビ ス レベル要件 を基にポ リ
シー を設計 し て適用で き 、 ク ラ ウ ド ・ ス ト レージ ・ イ ン フ ラ の細かな作業か ら 解放 さ れ ます。
プ ラ イ マ リ ・ ス ト レージが拡大す る と 、 適用 さ れてい る ポ リ シーの範囲内でセ カ ン ダ リ ・ ス ト
レージが動的に割 り 当て ら れ ます。 Protection Manager は NetApp Management Console に統合 さ
れてい る ため、 すべてのデー タ 保護操作の監視 と 管理が一元的に行え、 ク ラ ウ ド ・ プ ロ バ イ ダ
はテナ ン ト 管理者に適切に制御 を委任で き る よ う にな り ます。 Provisioning Manager は
Protection Manager と と も に単一の コ ン ソ ールに統合 さ れてい る ので、 ク ラ ウ ド 管理者 と テナ ン
ト 管理者は、 統合 さ れた ポ リ シーベー ス の ワ ー ク フ ロ ーに よ っ て、 デー タ のプ ロ ビ ジ ョ ニ ン グ
と 保護 を シー ム レ ス に行 う こ と がで き ます。
79
設計上の考慮事項 — 4 つのポイ ン ト
図 27
NetApp Protection Manager
管理者は、 NetApp SnapManager for Virtual Infrastructure （SMVI） を使用 し て、 VMware vSphere
レ イ ヤ内のデー タ 保護機能 を さ ら に高め る こ と がで き ます。 SMVI は NetApp Snapshot テ ク ノ
ロ ジ を使用 し て、 仮想マ シ ン ま たは vSphere デー タ ス ト ア全体のポ イ ン ト イ ン タ イ ム ・ コ ピー
を作成 し 、 こ の Snapshot コ ピー を セ カ ン ダ リ ・ ス ト レ ージに レ プ リ ケー ト し ま す。 こ のバ ッ ク
ア ッ プ ・ コ ピーは、 1 台の仮想マ シ ン全体や 1 つの仮想デ ィ ス ク （VMDK）、 仮想マ シ ン内の 1
つの仮想 フ ァ イ ルな ど、 さ ま ざ ま な単位ですばや く 簡単に リ ス ト ア で き ます。 ク ラ ウ ド ・ プ ロ
バ イ ダは、 vSphere のユーザ管理制御 を通 じ て SMVI ア ク セ ス を テナ ン ト 管理者に ま で拡張 し 、
テナ ン ト 管理者がセ キ ュ ア に分離 さ れた テナ ン ト 環境の範囲内で、 バ ッ ク ア ッ プの ス ケ ジ ュ ー
ル設定や保持ポ リ シーの定義、 レ プ リ ケーシ ョ ン ・ ポ リ シーのバ ッ ク ア ッ プ を行え る よ う にで
き ます。
NetApp Operations Manager が提供す る 一元的な管理、 監視、 レ ポー ト 作成の各 ツール を利用す
る と 、 ク ラ ウ ド ・ サー ビ ス ・ プ ロ バ イ ダは、 NetApp ス ト レージ ・ イ ン フ ラ の管理 を統合 し て
効率化 を図 る こ と がで き ます。 ク ラ ウ ド 管理者は、 Operations Manager の包括的な ダ ッ シ ュ
ボー ド ・ ビ ュ ー を利用 し て ス ト レージ利用率 を最適化 し 、 共有 ス ト レージ ・ イ ン フ ラ の管理に
必要な IT リ ソ ー ス を最小限に抑え る こ と で、 コ ス ト を削減で き ます。 同時に、 テナ ン ト の顧
客に提供 さ れ る サー ビ ス の可用性 と 品質 も 向上で き ます。 さ ら に、 し き い値 と ア ラ ー ト を設定
し て ス ト レージ ・ シ ス テ ム のパ フ ォ ーマ ン ス の主要な指標 を監視 し 、 それに よ っ て潜在的な ボ
ト ルネ ッ ク を検出 し て リ ソ ー ス を プ ロ ア ク テ ィ ブに管理で き ます。 ま た、 Operations Manager
では、 設定テ ン プ レー ト と ポ リ シー制御 を使用す る こ と で ク ラ ウ ド ・ ス ト レージ ・ イ ン フ ラ 全
体にわた っ て標準化 と ポ リ シーベー ス の設定管理が可能にな る ため、 テナ ン ト の導入促進 と 運
用上の リ ス ク 軽減が図れ ます。 ク ラ ウ ド ・ プ ロ バ イ ダは、 Operations Manager に よ っ て ス ト
レージ ・ イ ン フ ラ を包括的に可視化 し 、 継続的な ス ト レージ ・ リ ソ ー ス の監視、 利用率分析、
容量管理 を行い、 デー タ 増加の傾向や リ ソ ー ス がテナ ン ト に与え る 影響 を詳細に知 る こ と がで
き ます。 NetApp Operations Manager は、 マルチテナ ン ト ・ サー ビ ス ・ プ ロ バ イ ダの ビ ジ ネ ス 要
件に も 対応 し てお り 、 カ ス タ マ イ ズ し た レ ポー ト と ワ ー ク フ ロ ー ・ プ ロ セ ス ・ イ ン タ ー フ ェ イ
ス を使用 し たチ ャ ージバ ッ ク ・ ア カ ウ ン テ ィ ン グ も 利用で き ます。
NetApp SANscreen を使用す る と 、 ク ラ ウ ド 管理者は、 ク ラ ウ ド ・ ス ト レージ ・ イ ン フ ラ のサー
ビ ス ・ レベル を マルチプ ロ ト コ ルで リ アル タ イ ム に表示で き る ため、 サー ビ ス 提供の品質 と 効
率性 を さ ら に向上 さ せ る こ と がで き ます。 NetApp SANscreen は、 ク ラ ウ ド ・ サー ビ ス ・ プ ロ バ
イ ダのネ ッ ト ワ ー ク ・ ス ト レージ ・ イ ン フ ラ 全体 を グ ロ ーバルにエ ン ド ツーエ ン ド で可視化す
80
設計上の考慮事項 — 4 つのポ イ ン ト
る 、 統合製品 ス イ ー ト です。 SANscreen Service Insight では、 SAN 環境 と NAS 環境、 ス ト レー
ジ接続パ ス 、 ス ト レージの可用性、 変更管理 を単一の包括的な ビ ュ ーに表示で き る ため、 顧客
に提供す る サー ビ ス ・ レベル を詳細に監視で き ます。 Service Insight は、 NetApp SANscreen 製
品 ス イ ー ト の基盤 と な る フ レー ム ワ ー ク を提供 し ます。 ク ラ ウ ド ・ プ ロ バ イ ダは、 イ ンベ ン ト
リ 情報の一元的な リ ポ ジ ト リ のほかに レ ポー ト 機能 も 利用で き ます。 こ の レ ポー ト 機能は、 財
務会計や資産管理に関す る プ ロ バ イ ダの既存の リ ソ ー ス 管理シ ス テ ムや ビ ジ ネ ス ・ プ ロ セ ス に
統合す る こ と がで き ます。 SANscreen Service Assurance では、 プ ロ バ イ ダのネ ッ ト ワ ー ク ・ ス
ト レージ ・ イ ン フ ラ にポ リ シーベー ス の管理が適用 さ れ ます。 ク ラ ウ ド 管理者は、 ベ ス ト ・ プ
ラ ク テ ィ ス のポ リ シー を柔軟に定義 し て、 各テナ ン ト 環境に ス ト レージ ・ ネ ッ ト ワ ー ク のパ
フ ォ ーマ ン ス 要件 と 可用性要件 を適用で き ます。 SANscreen Application Insight では、 ク ラ ウ
ド ・ サー ビ ス ・ プ ロ バ イ ダがネ ッ ト ワ ー ク ・ ス ト レージ環境か ら パ フ ォ ーマ ン ス ・ デー タ を ほ
ぼ リ アル タ イ ム で取得 し 、 そのデー タ を テナ ン ト 環境にマ ッ ピ ン グす る こ と がで き ます。 その
ため管理者は、 ス ト レージ ・ ネ ッ ト ワ ー ク と ス ト レージ ・ シ ス テ ム の負荷 を プ ロ ア ク テ ィ ブに
分散 し て顧客のサー ビ ス ・ レベル を確保で き ます。 SANscreen Capacity Manager では、 グ ロ ー
バルな ス ト レージ ・ リ ソ ー ス の割 り 当て を リ アル タ イ ム に可視化 し 、 ま た、 柔軟な レ ポー ト 生
成 ソ リ ュ ーシ ョ ン も 利用で き る ため、 キ ャ パシ テ ィ ・ プ ラ ン ニ ン グや ス ト レージ階層分析、 ス
ト レージ ・ サー ビ ス ・ カ タ ロ グ、 傾向分析 と 使用履歴、 監査、 チ ャ ージバ ッ ク な ど の ビ ジ ネ
ス ・ プ ロ セ ス について、 ク ラ ウ ド ・ サー ビ ス ・ プ ロ バ イ ダが意思決定 を行 う 際に役立て る こ と
がで き ます。
図 28
NetApp SANscreen Capacity Manager
SANscreen VM Insight は、 管理者の包括的な ネ ッ ト ワ ー ク ・ ス ト レージの可視性 を仮想サーバ
の範囲に ま で拡張 し 、 VM と ネ ッ ト ワ ー ク ・ ス ト レージ ・ イ ン フ ラ 間のサー ビ ス ・ パ ス を相互
に関係付け ます。 こ れに よ り 、 NetApp SANscreen の豊富なサー ビ ス 指向型管理機能 を VM 環
境に対 し て も 利用で き る よ う にな り ます。 管理者は、 単一の統合 コ ン ソ ールか ら VMware
vCenter プ ラ グ イ ン ・ イ ン タ ー フ ェ イ ス を使用 し て SANscreen のデー タ に ア ク セ ス で き ます。
仮想サーバ環境か ら 、 ホ ス ト さ れてい る テナ ン ト 環境の リ ソ ー ス と な る 共有 ス ト レージの割 り
当て ま で、 NetApp SANscreen は、 マルチテナ ン ト ・ ク ラ ウ ド ・ サー ビ ス のプ ロ バ イ ダにエ ン ド
ツーエ ン ド の可視性、 柔軟でプ ロ ア ク テ ィ ブな管理、 サー ビ ス レベルの保証 を提供 し ます。
81
付録 A- 構成品一覧表
図 29
NetApp SANscreen VM Insight
付録 A- 構成品一覧表
表 14 に、 セキ ュ ア ・ マルチテナン ト ・ ソ リ ュ ーショ ン の構築に必要なすべての機器を 示し ま す。
表 14
構成品一覧表
パーツ番号
説明
UCS ソ リ ュ ーシ ョ ン -UCS-B ベース ラ イ ン
1
UCS 6120XP
フ ァ ブ リ ッ ク ・ イ ン ターコ ネ ク ト
2
UCS 5108
ブ レ ー ド ・ サーバ
2
UCS 2104XP
フ ァブ リ ッ ク ・ エ ク ステンダ
4
UCS B200-M1
ブ レ ー ド ・ サーバ ： デ ュ アル 2.93 GHz CPU、 24 GB
RAM （DDR3 1333 MHz）、 73 GB HDD × 2
8
UCS CNA M71KR-Q
QLogic CNA ア ダプ タ
8
Nexus 7010 （10 ス ロ ッ ト 、 「スーパーバ イザ モ ジ ュ ール -1X」）
82
数量
2
N7K-C7010-BUN
Nexus 7010 バ ン ド ル （シ ャ ーシ、 SUP1、 [3]FAB1、
[2]AC-6KW PSU）
2
N7K-SUP1
N7K- ス ーパーバ イ ザ 1 （外部 8 GB ロ グ ・ フ ラ ッ シ ュ
を含む）
2
N7K-M132XP-12
N7K-32 ポー ト 、 10 GbE、 80 G フ ァ ブ リ ッ ク （SFP+ が 2
必要）
SFP-10G-SR
10GBASE-SR SFP モ ジ ュ ール
32
N7K-ADV1K9
N7K Advanced LAN Enterprise ラ イ セ ン ス
2
付録 A- 構成品一覧表
表 14
構成品一覧表
DCNM-N7K-K9
DCNM ラ イ セ ン ス
1
N7K-M148GT-11
Nexus 7000-48 ポー ト 10/100/1000、 RJ-45
2
CON-SNT-N748G
SMARTnet 8x5xNBD
2
CON-SNT-C701BN
SMARTnet 8x5xNBD、 Nexus 7010 バ ン ド ル （シ ャ ーシ、 2
SUP1、 [3]FAB1、 [2]AC-6KW PSU）
Nexus 5020
2
N5K-C5020P-BF
N5000 2RU シ ャ ーシ （電源な し 、 5 フ ァ ン ・ モ ジ ュ ー
ル、 40 ポー ト ） （SFP+ が必要）
2
N5K-M1600
N5000 1000 シ リ ーズ ・ モ ジ ュ ール 6 ポー ト 10 GE
（SFP+ が必要）
4
N5K-PAC-1200W
Nexus 5020 PSU モ ジ ュ ール、 A/C、 200V/240V、 1200W 4
SFP-10G-SR
10GBASE-SR SFP モ ジ ュ ール
8
N5020-SSK9
Nexus 5020 Storage Protocol Services ラ イ セ ン ス
2
N5000FMS1K9
Nexus 5000 Fabric Manager/Device Manager コ ン ポーネ ン 1
ト ・ ラ イセン ス
CON-SNTP-N5010
SMARTnet 24X7X4 サー ビ ス N5000 1RU シ ャ ーシ
CON-SNTP-N51SK
SMARTnet 24X7X4 サー ビ ス Nexus 5010 Storage Protocol 2
Services ラ イ セ ン ス
CON-SNTP-N5FMS
SMARTnet 24X7X4 サー ビ ス Nexus 5000 Fabric
Manager/Device Manager
MDS 9124
2
2
2
DS-C9124AP-K9
Cisco MDS 9124 4 G フ ァ イ バ ・ チ ャ ネル 24 ポー ト ・ ス 2
イ ッチ
DS-C24-300AC=
MDS 9124 パ ワ ー ・ サプ ラ イ
4
DS-C34-FAN=
MDS 9134 用 フ ァ ン ・ ア セ ン ブ リ
4
DS-SFP-FC4G-SW=
4 Gbps フ ァ イ バ ・ チ ャ ネル SW SFP、 LC、 ス ペア
48
CON-SNT-24EV
SMARTnet MDS9124 8x5xNBD
2
Nexus 1000V
L-N1K-VLCPU-01=
8
Nexus 1000V eDelivery CPU ラ イ セ ン ス パ ッ ク ： 数量 1
NetApp ス ト レ ージ ・ ハー ド ウ ェ ア
8
1
FAS6080AS-IB-SYS-R5
FAS6080A、 ア ク テ ィ ブ / ア ク テ ィ ブ、 SAN、
SupportEdge INC
2
X1938A-PBNDL-R5
ADPT、 PAM II、 PCIe、 512 GB、 SupportEdge INC （オ
プシ ョ ン）
2
X1941A-R6-C
ク ラ ス タ ・ ケーブル 4X、 カ ッ パー、 5 m
2
X54015A-ESH4-PBNDL-R5
デ ィ ス ク ・ シ ェ ル フ、 450 GB、 15K、 ESH4、
SupportEdge INC
8
X6521-R6-C
ループバ ッ ク 、 光、 LC
4
X6530-R6-C
ケーブル、 パ ッ チ、 FC SFP か ら SFP、 0.5 m
12
X6539-R6-C
SFP、 光、 4.25 Gb
8
X6553-R6-C
光ケーブル、 50 u、 2 GHz/KM、 MM、 LC/LC、 2 m
12
X1107A-R6
2pt、 10 GbE NIC、 BareCage SFP+ ス タ イ ル、 PCIe
4
X-SFP-H10GB-CU5M-R6
Cisco N50XX 10GBase カ ッ パー SFP+ ケーブル、 5 m
4
83
付録 A- 構成品一覧表
表 14
構成品一覧表
X6536-R6
光ケーブル、 50 u、 2000 MHz/Km/MM、 LC/LC、 5 m
8
X6539-R6
光 SFP、 4.25 Gb
8
CS-O-4HR
SupportEdge Premium、 24 時間サポー ト 、 4 時間のオ ン
サ イ ト ・ サポー ト （36 カ月）
1
NetApp ス ト レ ージ ・ ソ フ ト ウ ェ ア
SW-T7C-ASIS-C
重複排除 ソ フ ト ウ ェ ア
2
SW-T7C-CIFS-C
CIFS ソ フ ト ウ ェ ア
2
SW-T7C-NFS-C
NFS ソ フ ト ウ ェ ア
2
SW-T7C-FLEXCLN-C
FlexClone ソ フ ト ウ ェ ア
2
SW-T7C-MSTORE-C
MultiStore ソ フ ト ウ ェ ア
2
SW-T7C-NEARSTORE-C
NearStore ソ フ ト ウ ェ ア
2
SW-T7C-PAMII-C
PAM II ソ フ ト ウ ェ ア （PAM を購入す る 場合のみ必要）
2
SW-T7C-SANSCREEN
SANscreen ソ フ ト ウ ェ ア
SW-T7C-SMSVS-C
SnapMirror/SnapVault ソ フ ト ウ ェ ア ・ バ ン ド ル
SW-T7C-SMVI-VMWARE-C SnapManager for VI ソ フ ト ウ ェ ア
2
2
SW-T7C-SRESTORE-C
SnapRestore ソ フ ト ウ ェ ア
2
SW-T7C-DFM-OPSMGR
Operations Manager
2
SW-T7C-DFM-PROTMGR
Protection Manager
2
SW-T7C-DFM-PROVMGR
Provisioning Manager
2
SW-SSP-T7C-OPSMGR
SW サブ ス ク リ プ シ ョ ン、 Operations Manager–25 カ月
間
2
SW-SSP-T7C-PROTMGR
SW サブ ス ク リ プ シ ョ ン、 Protection Manager–25 カ月間 2
SW-SSP-T7C-PROVMGR
SW サブ ス ク リ プ シ ョ ン、 Provisioning Manager–25 カ月 2
間
仮想化 ソ フ ト ウ ェ ア
VS4-ENT-PL-C
VMware vSphere 4 Enterprise Plus
2
VCS-STD-C
VMware vCenter Server Standard
1
VCHB-VCMS55-C
VMware vCenter Server Heartbeat
1
Virtualization SnS （最低 1 年の SnS がすべての仮想化 ソ フ ト ウ ェ アに必要）
VS4-ENT-PL-P-SSS-C
VMware vSphere 4 SnS
1
VCS-STD-P-SSS-C
VMware vCenter SnS
1
VCHB-VCMS-P-SSS-C
VMware vCenter Server Heartbeat SnS
1
NetApp は、 本 ド キ ュ メ ン ト で提供 さ れ る いか な る 情報 ま たは推奨事項の正確性、 信頼性、 有
用性について も 、 ま たは本 ド キ ュ メ ン ト で提供 さ れ る いかな る 情報の使用 ま たは推奨事項の順
守に よ る 結果について も 、 表明 ま たは保証は一切行い ません。 本 ド キ ュ メ ン ト に記載の情報は
「現状の ま ま」 提供 さ れ る も のです。 こ の情報の使用、 ま たは本 ド キ ュ メ ン ト に記載 さ れ る 推
奨事項や技術の行使はすべてお客様の責任で行われ、 こ れ ら を評価 し てお客様の運用環境へ統
合す る お客様の能力に依存す る も の と し ます。 本 ド キ ュ メ ン ト お よ び こ こ に記載の情報は、 本
ド キ ュ メ ン ト に記載の NetApp 製品のみに関連 し て使用 さ れ る も の と し ま す。
84