Implementación de PowerShell en Amazon AWS EC2

En esta sección se describe el uso del comando de PowerShell para implementar Unified Access Gateway 2111 o una versión posterior en Amazon Web Services Elastic Compute Cloud (EC2) y los pasos para preparar el entorno de EC2 antes de crear cualquier instancia de Unified Access Gateway.

Sistemas operativos recomendados y versiones de PowerShell

Requisitos

• Cuenta de AWS con privilegios suficientes para implementar la instancia de EC2. Para obtener información más detallada, consulte la Documentación de Amazon AWS.

• Asegúrese de permitir las siguientes directivas en los roles de IAM para que la implementación se realice correctamente.

  s3:PutObject
  s3:PutObjectAcl
  s3:GetBucketLocation
  ec2:DescribeNetworkInterfaces
  ec2:ModifyNetworkInterfaceAttribute
  ec2:CreateNetworkInterface
  ec2:DescribeInstances
  ec2:RunInstances
  ec2:TerminateInstances
  ec2:DescribeSubnets
  ec2:DescribeSecurityGroups
  ec2:DescribeAddresses
  ec2:AssociateAddress
  ec2:DescribeRegions
  ec2:DescribeImages
  ec2:CreateTags
  

Procedimiento

Paso 1. Preparar el equipo cliente para PowerShell

Instale AWSPowerShell en su máquina. Consulte Instalar AWS Tools para PowerShell en Windows.

1. Abra la ventana de comandos de PowerShell con derechos administrativos.
2. Ejecute estos comandos.
   

   Windows	Ubuntu
   Install-Module -Name AWSPowerShell -Force Install-Package 7Zip4PowerShell	Install-Module -Name AWS.Tools.Common Install-AWSToolsModule AWS.Tools.EC2,AWS.Tools.S3 -CleanUp

Paso 2. Configurar el perfil y la región de AWS en la máquina cliente

1. En la consola de AWS, cree una clave de acceso y obtenga el identificador de clave de acceso y la clave de acceso secreta. Establézcalos en el perfil predeterminado.
   Para obtener más información, consulte Crear claves de acceso para el usuario raíz.
   

   
   (Opcional) Este paso solo se aplica si no tiene un identificador de clave de acceso ni una clave de acceso secreta.

   ```
   Set-AWSCredential -AccessKey AKIAI6428NKYOEXAMPLE `
   -SecretKey bvfhkvvfhsbvhsdbhfbvfhfhvfhdskvbhfvbfhEXAMPLE ` 
   -StoreAs default
   ```
   

   (Opcional) Establezca su región de AWS.
   Nota: Puede utilizar el comando Get-AWSRegion para identificar la región que desea utilizar.

   ```
   Set-DefaultAWSRegion -Region us-west
   ```
   



2. Cree un bucket en Amazon S3 para almacenar imágenes de Unified Access Gateway .vmdk si aún no existe ninguno. Para obtener más información, consulte Crear un bucket.

   
   Por ejemplo, puede crear un bucket con el nombre "uag-images".

   ```
   $bucket="uag-images"
   New-S3Bucket -BucketName $bucket -Region us-east-2
   ``` 
   

3. Cree un rol de IAM en Amazon AWS llamado vmimport y aplique una política el rol.
   

   ```
   $importPolicyDocument = @"
   {
   "Version":"2012-10-17",
   "Statement":[
   {
   "Sid":"",
   "Effect":"Allow",
   "Principal":{
   "Service":"vmie.amazonaws.com"
   },
   "Action":"sts:AssumeRole",
   "Condition":{
   "StringEquals":{
   "sts:ExternalId":"vmimport"
   }
   }
   }
   ]
   }
   "@
   
   New-IAMRole -RoleName vmimport -AssumeRolePolicyDocument $importPolicyDocument
   
   $bucket="uag-images"
   $rolePolicyDocument = @"
   {
   "Version": "2012-10-17",
   "Statement": [
   {
   "Effect": "Allow",
   "Action": [
   "s3:GetBucketLocation",
   "s3:GetObject",
   "s3:ListBucket"
   ],
   "Resource": [
   "arn:aws:s3:::$bucket",
   "arn:aws:s3:::$bucket/*"
   ]
   },
   {
   "Effect": "Allow",
   "Action": [
   "ec2:ModifySnapshotAttribute",
   "ec2:CopySnapshot",
   "ec2:RegisterImage",
   "ec2:Describe*"
   ],
   "Resource": "*"
   }
   ]
   }
   "@
   
   Write-IAMRolePolicy -RoleName vmimport -PolicyName vmimport -PolicyDocument $rolePolicyDocument
   
   ```
   



4. (Opcional) Prepare el entorno de red en EC2.
   Nota: Estos pasos se pueden realizar desde la consola de administración de EC2 o con PowerShell. Solo se deben realizar una vez para preparar el entorno de EC2 para las implementaciones de Unified Access Gateway. Para ello, se necesita al menos una subred. Para implementaciones de Unified Access Gateway de varias NIC, cada NIC puede estar en la misma subred o en subredes diferentes.


5. (Opcional) Cree una subred. Para obtener más información, consulte Crear subredes.


6. (Opcional) Cree un grupo de seguridad para cada tipo de NIC. Un grupo de seguridad contiene un conjunto de reglas de firewall para restringir el acceso a los puertos TCP y UDP. Un grupo de seguridad se puede compartir entre varios dispositivos Unified Access Gateway. Por ejemplo, puede crear un grupo de seguridad denominado UAG-Internet para eth0 y asociarlo con la primera NIC automáticamente cuando se crea el dispositivo Unified Access Gateway.
   Para el uso de Horizon, el primer (UAG-Internet) podría permitir los puertos TCP 80, 443, 8443, 4172 y los puertos UDP 443, 8443 y 4172 desde cualquier cliente. Si desea permitir el acceso ssh a Unified Access Gateway, debe especificar sshEnabled=true en la sección [General] de cada archivo .ini. Por lo general, SSH solo debe habilitarse para fines de prueba y no para una implementación de producción. También debe asegurarse de que el acceso a ssh en el puerto TCP 22 esté restringido en el grupo de seguridad a direcciones IP de origen individuales, de modo que no esté abierto a todos. Para obtener más información, consulte Crear un grupo de seguridad.
   
   


7. Si se puede acceder directamente al dispositivo Unified Access Gateway desde Internet, cada NIC que requiera acceso también debe tener una dirección IP pública asociada, conocida como IP elástica. Para obtener más información, consulte Asignar una dirección IP elástica.






8. Para cada NIC, determine el identificador de subred, el identificador del grupo de seguridad y el identificador de asignación de IP pública.
   Si no especifica un identificador de grupo de seguridad para cualquier NIC, se utilizará el grupo de seguridad predeterminado.
   Si no especifica un identificador de IP pública, no habrá una dirección IP pública para la NIC y no se podrá acceder directamente a ella desde Internet. Este podría ser el caso si se utiliza un equilibrador de carga frente a un grupo de dispositivos Unified Access Gateway.
   
   

Paso 3. Cargar la imagen de Unified Access Gateway con PowerShell

1. Descargue el archivo de imagen .ova de Unified Access Gateway del portal Customer Connect. La versión de este archivo debe ser la 2111 o una posterior.

2. Extraiga la imagen .vmdk del archivo .ova.

   Windows	Ubuntu
   expand-7zip ova-filename target-location Por ejemplo, euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova es el archivo descargado, donde x-y es el número de versión y 12345678 es el número de compilación. Para extraer el archivo .vmdk en C:\temp, ejecute el siguiente comando: expand-7zip C:\uag\euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova C:\uag\	tar -xvf ova-filename Por ejemplo, tar -xvf euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova

3. Cargue la imagen .vmdk al bucket S3.

   $vmdkImage="euc-unified-access-gateway-x.y.0.0-12345678-system.vmdk"
   $bucket="uag-images"
   $region="us-east-2"
   
   $params = @{
   "BucketName"=$bucket
   "File"="C:\uag\"+$vmdkImage
   "key"="/"+$vmdkImage
   "Region"=$region
   }
   Write-S3Object @params
   

4. Importe la instantánea de EC2.

   $params = @{
   "DiskContainer_Format"="VMDK"
   "DiskContainer_S3Bucket"=$bucket
   "DiskContainer_S3Key"=$vmdkImage
   "Region"=$region
   }
   $impId=Import-EC2Snapshot @params
   

5. Para realizar un seguimiento de la importación, ejecute periódicamente el siguiente comando para obtener el estado de progreso.
   Nota: La importación tardará varios minutos.

   (Get-EC2ImportSnapshotTask -ImportTaskId `
   $impId.ImportTaskId).SnapshotTaskDetail
   

6. Cuando finalice, el siguiente comando debe mostrar SnapshotId.

   (Get-EC2ImportSnapshotTask -ImportTaskId `
   $impId.ImportTaskId).SnapshotTaskDetail.SnapshotId
   

7. Registre la imagen como AMI (Amazon Machine Image).

   $bdm=New-Object Amazon.EC2.Model.BlockDeviceMapping 
   $bd=New-Object Amazon.EC2.Model.EbsBlockDevice 
   $bd.SnapshotId=(Get-EC2ImportSnapshotTask `
   -ImportTaskId $impId.ImportTaskId).SnapshotTaskDetail.SnapshotId 
   $bd.DeleteOnTermination=$true
   $bdm.DeviceName="/dev/sda1" 
   $bdm.Ebs=$bd
   $params = @{ 
   "BlockDeviceMapping"=$bdm 
   "RootDeviceName"="/dev/sda1" 
   "Name"=$vmdkImage 
   "Architecture"="x86_64" 
   "VirtualizationType"="hvm"
   "EnaSupport"=$true 
   }
   Register-EC2Image @params
   

En la consola de AWS, debería ver la imagen importada en Imágenes AMI de EC2.

Paso 4. Preparar un archivo INI para AWS

Para las implementaciones de AWS EC2, no se utilizan los siguientes ajustes de la sección General.

• diskMode
• ds
• folder
• netInternet
• netManagementNetwork
• netmask0, netmask1, netmask2
• netBackendNetwork
• source
• target
• Todos los ajustes de IPv4 e IPV6

Para AWS EC2, hay un nuevo grupo denominado AmazonEC2 que contiene toda la configuración específica de AWS EC2.

Configuración específica de AWS EC2

amiId=ami-1986bb7c

credentialProfileName=MyUAGProfile

instanceType=c4.large

ipv6AddressCount0=1

region=us-east-2

privateIPAddress1= 172.31.7.222

publicIPId0=eipalloc-027afa45f34984c87
ipv6AddressCount0=1

securityGroupId0=sg-00877c33656609407

subnetId1=subnet-5c980935

Ejemplo de definición de archivo INI

[General]
name=UAG12
deploymentOption=twonic

[AmazonEC2]

# authentication

credentialProfileName=awsCredentialProfile

# type, region and image

instanceType=c4.large
region=us-east-2
amiId=ami-1986bb7c

# eth0 settings
subnetId0=subnet-5c980935
securityGroupId0=sg-00877c33656609407
publicIPId0=eipalloc-027afa45f34984c87

# eth1 settings
subnetId1=subnet-1f2743c2

Paso 5: Implementar Unified Access Gateway en Amazon AWS EC2

1. En la página de descargas de Omnissa Customer Connect, vaya al archivo Unified Access Gateway (UAG) PowerShell Scripts y haga clic en DESCARGAR AHORA.
   Se descargará el archivo zip uagdeploy-xx.xx.x.x-xxxxxxxx en su equipo local.

2. Compruebe que se hayan descargado los siguientes scripts de PowerShell en su máquina Windows:
   uagdeployec2.ps1 y uagdeploy.psm1

3. Abra la ventana de PowerShell y ejecute el comando.
   uagdeployec2.ps1 <file_name>.ini
   
   Donde file_name es el nombre de su archivo INI.

3. Introduzca la contraseña del administrador.
Ahora podrá acceder a la interfaz de usuario del administrador de UAG mediante la dirección IP pública.

4. Para comprobar si se completó la implementación, inicie sesión en UAG mediante SSH y ejecute el comando:
   tail /opt/omnissa/gateway/logs/admin.log

5. Inicie sesión en la interfaz de usuario del administrador mediante https://uag-ip o FQDN:9443/admin y configure los ajustes en función de sus requisitos.

Qué hacer a continuación

1. Detenga la instancia de Unified Access Gateway.
2. Borre el valor userData de la instancia actual de Unified Access Gateway mediante el siguiente comando: edit-EC2InstanceAttribute -InstanceId i-12345678 -Attribute userData -Value "blank".