Déploiement de PowerShell sur Amazon AWS EC2

Cette section décrit l'utilisation de la commande PowerShell pour déployer Unified Access Gateway 2111 ou version ultérieure sur Amazon Web Services Elastic Compute Cloud (EC2) et les étapes de préparation de l'environnement EC2 avant de créer des instances d'Unified Access Gateway.

Systèmes d'exploitation et versions de PowerShell recommandés

Conditions préalables

• Compte AWS disposant des privilèges appropriés pour déployer une instance d'EC2. Pour obtenir des informations plus détaillées, reportez-vous à la Documentation d'Amazon AWS.

• Veillez à autoriser les stratégies suivantes dans les rôles IAM pour assurer la réussite du déploiement.

  s3:PutObject
  s3:PutObjectAcl
  s3:GetBucketLocation
  ec2:DescribeNetworkInterfaces
  ec2:ModifyNetworkInterfaceAttribute
  ec2:CreateNetworkInterface
  ec2:DescribeInstances
  ec2:RunInstances
  ec2:TerminateInstances
  ec2:DescribeSubnets
  ec2:DescribeSecurityGroups
  ec2:DescribeAddresses
  ec2:AssociateAddress
  ec2:DescribeRegions
  ec2:DescribeImages
  ec2:CreateTags
  

Procédure

Étape 1. Préparer la machine cliente pour PowerShell

Installez AWSPowerShell sur votre machine. Reportez-vous à la section Installation des outils AWS pour PowerShell sur Windows.

1. Ouvrez la fenêtre de commande Powershell avec des droits d'administration.
2. Exécutez ces commandes.
   

   Windows	Ubuntu
   Install-Module -Name AWSPowerShell -Force Install-Package 7Zip4PowerShell	Install-Module -Name AWS.Tools.Common Install-AWSToolsModule AWS.Tools.EC2,AWS.Tools.S3 -CleanUp

Étape 2. Configurer le profil et la région AWS sur la machine cliente

1. Sur la console AWS, créez une clé d'accès et obtenez l'ID de clé d'accès et la clé d'accès secrète. Définissez-les dans le profil par défaut.
   Pour plus d'informations, reportez-vous à la section Créer des clés d'accès pour l'utilisateur racine.
   

   
   (Facultatif) Cette étape s'applique uniquement si vous ne disposez pas d'un ID de clé d'accès et d'une clé d'accès secrète.

   ```
   Set-AWSCredential -AccessKey AKIAI6428NKYOEXAMPLE `
   -SecretKey bvfhkvvfhsbvhsdbhfbvfhfhvfhdskvbhfvbfhEXAMPLE ` 
   -StoreAs default
   ```
   

   (Facultatif) Définissez votre région AWS.
   Remarque : vous pouvez utiliser la commande Get-AWSRegion pour identifier la région que vous souhaitez utiliser.

   ```
   Set-DefaultAWSRegion -Region us-west
   ```
   



2. Créez un compartiment dans Amazon S3 pour stocker des images Unified Access Gateway .vmdk, s'il n'en existe pas encore. Pour plus d'informations, reportez-vous à la section Créer un compartiment.

   
   Par exemple, pensez à créer un compartiment nommé « uag-images ».

   ```
   $bucket="uag-images"
   New-S3Bucket -BucketName $bucket -Region us-east-2
   ``` 
   

3. Créez un rôle IAM dans Amazon AWS appelé vmimport et appliquez une stratégie au rôle.
   

   ```
   $importPolicyDocument = @"
   {
   "Version":"2012-10-17",
   "Statement":[
   {
   "Sid":"",
   "Effect":"Allow",
   "Principal":{
   "Service":"vmie.amazonaws.com"
   },
   "Action":"sts:AssumeRole",
   "Condition":{
   "StringEquals":{
   "sts:ExternalId":"vmimport"
   }
   }
   }
   ]
   }
   "@
   
   New-IAMRole -RoleName vmimport -AssumeRolePolicyDocument $importPolicyDocument
   
   $bucket="uag-images"
   $rolePolicyDocument = @"
   {
   "Version": "2012-10-17",
   "Statement": [
   {
   "Effect": "Allow",
   "Action": [
   "s3:GetBucketLocation",
   "s3:GetObject",
   "s3:ListBucket"
   ],
   "Resource": [
   "arn:aws:s3:::$bucket",
   "arn:aws:s3:::$bucket/*"
   ]
   },
   {
   "Effect": "Allow",
   "Action": [
   "ec2:ModifySnapshotAttribute",
   "ec2:CopySnapshot",
   "ec2:RegisterImage",
   "ec2:Describe*"
   ],
   "Resource": "*"
   }
   ]
   }
   "@
   
   Write-IAMRolePolicy -RoleName vmimport -PolicyName vmimport -PolicyDocument $rolePolicyDocument
   
   ```
   



4. (Facultatif) Préparez l'environnement réseau dans EC2.
   Remarque : vous pouvez effectuer ces étapes à partir de la console de gestion EC2 ou avec PowerShell. Elles doivent être effectuées une seule fois pour préparer l'environnement EC2 pour les déploiements d'Unified Access Gateway. Pour cela, au moins un sous-réseau est nécessaire. Pour les déploiements d'Unified Access Gateway à plusieurs cartes réseau, chaque carte réseau peut se trouver sur le même sous-réseau ou sur des sous-réseaux différents.


5. (Facultatif) Créez un sous-réseau. Pour plus d'informations, reportez-vous à la section Créer des sous-réseaux.


6. (Facultatif) Créez un groupe de sécurité pour chaque type de carte réseau. Un groupe de sécurité contient un ensemble de règles de pare-feu pour restreindre l'accès aux ports TCP et UDP. Un groupe de sécurité peut être partagé entre plusieurs dispositifs Unified Access Gateway. Par exemple, vous pouvez créer un groupe de sécurité appelé UAG-Internet pour eth0 et l'associer automatiquement à la première carte réseau lors de la création du dispositif Unified Access Gateway.
   Pour l'utilisation d'Horizon, la première instance (UAG-Internet) pourrait autoriser les ports TCP 80, 443, 8443 et 4172 ainsi que les ports UDP 443, 8443 et 4172 à partir de n'importe quel client. Pour autoriser l'accès de ssh à Unified Access Gateway, vous devez spécifier sshEnabled=true dans la section [Paramètres généraux] de chaque fichier .ini. En général, SSH ne doit être activé qu'à des fins de test et non pour un déploiement de production. Vous devez également vous assurer que l'accès à ssh sur le port TCP 22 est limité dans le groupe de sécurité à des adresses IP sources individuelles afin qu'il ne soit pas ouvert à tous. Pour plus d'informations, reportez-vous à la section Créer un groupe de sécurité.
   
   


7. Si le dispositif Unified Access Gateway est directement accessible depuis Internet, chaque carte réseau nécessitant un accès doit également disposer d'une adresse IP publique associée appelée adresse IP élastique. Pour plus d'informations, reportez-vous à la section Allouer une adresse IP élastique.






8. Pour chaque carte réseau, déterminez l'ID de sous-réseau, l'ID du groupe de sécurité et l'ID d'allocation d'adresses IP publiques.
   Si vous ne spécifiez pas d'ID de groupe de sécurité pour une carte réseau, le groupe de sécurité par défaut est utilisé.
   Si vous ne spécifiez pas d'ID d'adresse IP publique, il n'existe aucune adresse IP publique pour cette carte réseau et elle n'est pas directement accessible depuis Internet. Cela peut être le cas si un équilibreur de charge est utilisé devant un groupe de dispositifs Unified Access Gateway.
   
   

Étape 3. Charger l'image Unified Access Gateway avec PowerShell

1. Téléchargez le fichier image Unified Access Gateway .ova à partir du portail Customer Connect. La version de ce fichier doit être 2111 ou version ultérieure.

2. Extrayez l'image .vmdk du fichier .ova.

   Windows	Ubuntu
   expand-7zip ova-filename target-location Par exemple, euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova est le fichier téléchargé, où x-y est le numéro de version et 12345678 est le numéro de build. Pour extraire le fichier .vmdk dans C:\temp, exécutez la commande suivante : expand-7zip C:\uag\euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova C:\uag\	tar -xvf ova-filename Par exemple, tar -xvf euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova

3. Chargez l'image .vmdk dans le compartiment S3.

   $vmdkImage="euc-unified-access-gateway-x.y.0.0-12345678-system.vmdk"
   $bucket="uag-images"
   $region="us-east-2"
   
   $params = @{
   "BucketName"=$bucket
   "File"="C:\uag\"+$vmdkImage
   "key"="/"+$vmdkImage
   "Region"=$region
   }
   Write-S3Object @params
   

4. Importez le snapshot EC2.

   $params = @{
   "DiskContainer_Format"="VMDK"
   "DiskContainer_S3Bucket"=$bucket
   "DiskContainer_S3Key"=$vmdkImage
   "Region"=$region
   }
   $impId=Import-EC2Snapshot @params
   

5. Pour suivre l'importation, exécutez périodiquement la commande suivante pour obtenir l'état de la progression.
   Remarque : l'importation prendra plusieurs minutes.

   (Get-EC2ImportSnapshotTask -ImportTaskId `
   $impId.ImportTaskId).SnapshotTaskDetail
   

6. Lorsque vous aurez terminé, la commande suivante doit afficher le SnapshotId.

   (Get-EC2ImportSnapshotTask -ImportTaskId `
   $impId.ImportTaskId).SnapshotTaskDetail.SnapshotId
   

7. Enregistrez l'image en tant qu'AMI (Amazon Machine Image).

   $bdm=New-Object Amazon.EC2.Model.BlockDeviceMapping 
   $bd=New-Object Amazon.EC2.Model.EbsBlockDevice 
   $bd.SnapshotId=(Get-EC2ImportSnapshotTask `
   -ImportTaskId $impId.ImportTaskId).SnapshotTaskDetail.SnapshotId 
   $bd.DeleteOnTermination=$true
   $bdm.DeviceName="/dev/sda1" 
   $bdm.Ebs=$bd
   $params = @{ 
   "BlockDeviceMapping"=$bdm 
   "RootDeviceName"="/dev/sda1" 
   "Name"=$vmdkImage 
   "Architecture"="x86_64" 
   "VirtualizationType"="hvm"
   "EnaSupport"=$true 
   }
   Register-EC2Image @params
   

Dans la console AWS, votre image importée doit s'afficher dans les images AMI d'EC2.

Étape 4. Préparer un fichier INI pour AWS

Pour les déploiements d'AWS EC2, les paramètres suivants de la section Général ne sont pas utilisés.

• diskMode
• ds
• folder
• netInternet
• netManagementNetwork
• netmask0,netmask1, netmask2
• netBackendNetwork
• source
• target
• Tous les paramètres IPv4 et IPV6

Pour AWS EC2, il existe un nouveau groupe appelé AmazonEC2 qui contient tous les paramètres spécifiques à AWS EC2.

Paramètres propres à AWS EC2

amiId=ami-1986bb7c

credentialProfileName=MyUAGProfile

instanceType=c4.large

ipv6AddressCount0=1

region=us-east-2

privateIPAddress1= 172.31.7.222

publicIPId0=eipalloc-027afa45f34984c87
ipv6AddressCount0=1

securityGroupId0=sg-00877c33656609407

subnetId1=subnet-5c980935

Exemple de définition de fichier INI

[General]
name=UAG12
deploymentOption=twonic

[AmazonEC2]

# authentication

credentialProfileName=awsCredentialProfile

# type, region and image

instanceType=c4.large
region=us-east-2
amiId=ami-1986bb7c

# eth0 settings
subnetId0=subnet-5c980935
securityGroupId0=sg-00877c33656609407
publicIPId0=eipalloc-027afa45f34984c87

# eth1 settings
subnetId1=subnet-1f2743c2

Étape 5 : déployer Unified Access Gateway sur Amazon AWS EC2

1. Sur la page de téléchargements de Omnissa Customer Connect, accédez au fichier de scripts PowerShell d'Unified Access Gateway (UAG) et cliquez sur TÉLÉCHARGER MAINTENANT.
   Un fichier ZIP uagdeploy-xx.xx.x.x-xxxxxxxx est téléchargé sur votre machine locale.

2. Assurez-vous que les scripts PowerShell suivants sont téléchargés sur votre machine Windows.
   uagdeployec2.ps1 et uagdeploy.psm1

3. Ouvrez la fenêtre PowerShell et exécutez la commande.
   uagdeployec2.ps1 <file_name>.ini
   
   Où file_name est le nom de votre fichier INI.

3. Entrez le mot de passe administrateur.
Vous pouvez désormais accéder à l'interface utilisateur d'administration d'UAG à l'aide de l'adresse IP publique.

4. Pour vérifier si le déploiement est terminé, connectez-vous à UAG à l'aide de SSH et exécutez la commande :
   tail /opt/omnissa/gateway/logs/admin.log

5. Connectez-vous à l'interface utilisateur d'administration à l'aide de https://uag-ip ou de FQDN:9443/admin et configurez les paramètres en fonction de vos besoins.

Étapes suivantes

1. Arrêtez l'instance d'Unified Access Gateway.
2. Effacez la valeur userData de l'instance actuelle d'Unified Access Gateway à l'aide de la commande suivante : edit-EC2InstanceAttribute -InstanceId i-12345678 -Attribute userData -Value "blank".