Amazon AWS EC2 への PowerShell デプロイ

このセクションでは、PowerShell コマンドを使用して Unified Access Gateway 2111 以降を Amazon Web Services Elastic Compute Cloud (EC2) にデプロイし、Unified Access Gateway インスタンスを作成する前に EC2 環境を準備する手順について説明します。

推奨されるオペレーティング システムと PowerShell のバージョン

前提条件

• EC2 インスタンスをデプロイするための適切な権限を持つ AWS アカウント。詳細については、Amazon AWS ドキュメントを参照してください。

• デプロイを成功させるために、IAM ロールで次のポリシーを許可します。

  s3:PutObject
  s3:PutObjectAcl
  s3:GetBucketLocation
  ec2:DescribeNetworkInterfaces
  ec2:ModifyNetworkInterfaceAttribute
  ec2:CreateNetworkInterface
  ec2:DescribeInstances
  ec2:RunInstances
  ec2:TerminateInstances
  ec2:DescribeSubnets
  ec2:DescribeSecurityGroups
  ec2:DescribeAddresses
  ec2:AssociateAddress
  ec2:DescribeRegions
  ec2:DescribeImages
  ec2:CreateTags
  

手順

手順 1. Powershell 用のクライアント マシンの準備

マシンに AWSPowerShell をインストールします。「Windows に AWS Tools for PowerShell をインストールする」を参照してください。

1. 管理者権限で Powershell コマンド ウィンドウを開きます。
2. 次のコマンドを実行します。
   

   Windows	Ubuntu
   Install-Module -Name AWSPowerShell -Force Install-Package 7Zip4PowerShell	Install-Module -Name AWS.Tools.Common Install-AWSToolsModule AWS.Tools.EC2,AWS.Tools.S3 -CleanUp

手順 2. クライアント コンピュータでの AWS プロファイルとリージョンの設定

1. AWS コンソールで、アクセス キーを作成し、アクセス キー ID とシークレット アクセス キーを取得します。これは、デフォルトのプロファイルで設定します。
   詳細については、「root ユーザーのアクセス キーを作成する」を参照してください。
   

   
   （オプション）この手順は、アクセス キー ID とシークレット アクセス キーがない場合にのみ適用されます。

   ```
   Set-AWSCredential -AccessKey AKIAI6428NKYOEXAMPLE `
   -SecretKey bvfhkvvfhsbvhsdbhfbvfhfhvfhdskvbhfvbfhEXAMPLE ` 
   -StoreAs default
   ```
   

   （オプション）AWS リージョンを設定します。
   注：Get-AWSRegion コマンドを使用して、使用するリージョンを識別できます。

   ```
   Set-DefaultAWSRegion -Region us-west
   ```
   



2. Amazon S3 にバケットを作成して（存在しない場合）、Unified Access Gateway .vmdk イメージを保存します。詳細については、「バケットの作成」を参照してください。

   
   たとえば、「uag-images」という名前のバケットを作成することを検討してください。

   ```
   $bucket="uag-images"
   New-S3Bucket -BucketName $bucket -Region us-east-2
   ``` 
   

3. Amazon AWS で vmimport と呼ばれる IAM ロールを作成し、そのロールにポリシーを適用します。
   

   ```
   $importPolicyDocument = @"
   {
   "Version":"2012-10-17",
   "Statement":[
   {
   "Sid":"",
   "Effect":"Allow",
   "Principal":{
   "Service":"vmie.amazonaws.com"
   },
   "Action":"sts:AssumeRole",
   "Condition":{
   "StringEquals":{
   "sts:ExternalId":"vmimport"
   }
   }
   }
   ]
   }
   "@
   
   New-IAMRole -RoleName vmimport -AssumeRolePolicyDocument $importPolicyDocument
   
   $bucket="uag-images"
   $rolePolicyDocument = @"
   {
   "Version": "2012-10-17",
   "Statement": [
   {
   "Effect": "Allow",
   "Action": [
   "s3:GetBucketLocation",
   "s3:GetObject",
   "s3:ListBucket"
   ],
   "Resource": [
   "arn:aws:s3:::$bucket",
   "arn:aws:s3:::$bucket/*"
   ]
   },
   {
   "Effect": "Allow",
   "Action": [
   "ec2:ModifySnapshotAttribute",
   "ec2:CopySnapshot",
   "ec2:RegisterImage",
   "ec2:Describe*"
   ],
   "Resource": "*"
   }
   ]
   }
   "@
   
   Write-IAMRolePolicy -RoleName vmimport -PolicyName vmimport -PolicyDocument $rolePolicyDocument
   
   ```
   



4. （オプション）EC2 でネットワーク環境を準備します。
   注：これらの手順は、EC2 管理コンソールまたは PowerShell から実行できます。Unified Access Gateway のデプロイ用に EC2 環境を準備する場合に一度だけ実行する必要があります。これには、少なくとも 1 つのサブネットが必要です。複数の NIC を持つ Unified Access Gateway をデプロイする場合、各 NIC は同じサブネット上に配置することも、異なるサブネットに配置することもできます。


5. （オプション）サブネットを作成します。詳細については、「サブネットの作成」を参照してください。


6. （オプション）NIC のタイプごとにセキュリティ グループを作成します。 セキュリティ グループには、TCP および UDP ポート アクセスを制限する一連のファイアウォール ルールが含まれています。セキュリティ グループは、複数の Unified Access Gateway アプライアンス間で共有できます。たとえば、eth0 用に UAG-Internet というセキュリティ グループを作成し、Unified Access Gateway アプライアンスの作成時に最初の NIC に自動的に関連付けることができます。
   Horizon を使用する場合、最初の (UAG-Internet) は、任意のクライアントから TCP ポート 80、443、8443、4172、および UDP ポート 443、8443、4172 を許可できます。Unified Access Gateway への ssh アクセスを許可する場合は、各 .ini ファイルの [General] セクションで sshEnabled=true を指定する必要があります。SSH は通常、テスト目的でのみ有効にする必要があり、本番環境では有効にしないでください。また、TCP ポート 22 で ssh へのアクセスがセキュリティ グループ内で個々の送信元 IP アドレスに制限され、すべてのアドレスに対して開かないようにする必要もあります。 詳細については、「セキュリティ グループの作成」を参照してください。
   
   


7. Unified Access Gateway アプライアンスにインターネットから直接アクセスできる場合、アクセスを必要とする各 NIC には、弾性 IP アドレスと呼ばれるパブリック IP アドレスも関連付けられている必要があります。詳細については、「弾性 IP アドレスの割り当て」を参照してください。






8. NIC ごとに、サブネット ID、セキュリティ グループ ID、パブリック IP アドレス割り当て ID を決定します。
   NIC にセキュリティ グループ ID を指定しない場合は、デフォルトのセキュリティ グループが使用されます。
   パブリック IP アドレス ID を指定しない場合、その NIC のパブリック IP アドレスは存在せず、インターネットから直接アクセスすることはできません。これは、Unified Access Gateway アプライアンスのグループの前でロード バランサが使用されている場合に発生する可能性があります。
   
   

手順 3. PowerShell を使用した Unified Access Gateway イメージのアップロード

1. Customer Connect ポータルから Unified Access Gateway の .ova イメージ ファイルをダウンロードします。このファイルのバージョンは 2111 以降である必要があります。

2. .ova ファイルから .vmdk イメージを抽出します。

   Windows	Ubuntu
   expand-7zip ova-filename target-location たとえば、euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova はダウンロードされたファイルです。ここで、x-y はバージョン番号、12345678 はビルド番号です。 .vmdk ファイルを C:\temp に抽出するには、次のコマンドを実行します。 expand-7zip C:\uag\euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova C:\uag\	tar -xvf ova-filename 次に例を示します。 tar -xvf euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova

3. S3 バケットに .vmdk イメージをアップロードします。

   $vmdkImage="euc-unified-access-gateway-x.y.0.0-12345678-system.vmdk"
   $bucket="uag-images"
   $region="us-east-2"
   
   $params = @{
   "BucketName"=$bucket
   "File"="C:\uag\"+$vmdkImage
   "key"="/"+$vmdkImage
   "Region"=$region
   }
   Write-S3Object @params
   

4. EC2 スナップショットをインポートします。

   $params = @{
   "DiskContainer_Format"="VMDK"
   "DiskContainer_S3Bucket"=$bucket
   "DiskContainer_S3Key"=$vmdkImage
   "Region"=$region
   }
   $impId=Import-EC2Snapshot @params
   

5. インポートを追跡するには、次のコマンドを定期的に実行して進行状況を取得します。
   注： インポートは数分かかる場合があります。

   (Get-EC2ImportSnapshotTask -ImportTaskId `
   $impId.ImportTaskId).SnapshotTaskDetail
   

6. 完了したら、次のコマンドで SnapshotId を表示する必要があります。

   (Get-EC2ImportSnapshotTask -ImportTaskId `
   $impId.ImportTaskId).SnapshotTaskDetail.SnapshotId
   

7. イメージを Amazon Machine Image (AMI) として登録します。

   $bdm=New-Object Amazon.EC2.Model.BlockDeviceMapping 
   $bd=New-Object Amazon.EC2.Model.EbsBlockDevice 
   $bd.SnapshotId=(Get-EC2ImportSnapshotTask `
   -ImportTaskId $impId.ImportTaskId).SnapshotTaskDetail.SnapshotId 
   $bd.DeleteOnTermination=$true
   $bdm.DeviceName="/dev/sda1" 
   $bdm.Ebs=$bd
   $params = @{ 
   "BlockDeviceMapping"=$bdm 
   "RootDeviceName"="/dev/sda1" 
   "Name"=$vmdkImage 
   "Architecture"="x86_64" 
   "VirtualizationType"="hvm"
   "EnaSupport"=$true 
   }
   Register-EC2Image @params
   

AWS コンソールでは、インポートされたイメージが EC2 AMI イメージに表示されます。

手順 4：AWS の INI ファイルの準備

AWS EC2 のデプロイの場合、[General] セクションの次の設定は使用されません。

• diskMode
• ds
• folder
• netInternet
• netManagementNetwork
• netmask0、netmask1、netmask2
• netBackendNetwork
• source
• target
• すべての IPv4 および IPv6 設定

AWS EC2 には、AWS EC2 に固有のすべての設定を含む AmazonEC2 という新しいグループがあります。

AWS EC2 に固有の設定

amiId=ami-1986bb7c

credentialProfileName=MyUAGProfile

instanceType=c4.large

ipv6AddressCount0=1

region=us-east-2

privateIPAddress1= 172.31.7.222

publicIPId0=eipalloc-027afa45f34984c87
ipv6AddressCount0=1

securityGroupId0=sg-00877c33656609407

subnetId1=subnet-5c980935

INI ファイル定義の例

[General]
name=UAG12
deploymentOption=twonic

[AmazonEC2]

# authentication

credentialProfileName=awsCredentialProfile

# type, region and image

instanceType=c4.large
region=us-east-2
amiId=ami-1986bb7c

# eth0 settings
subnetId0=subnet-5c980935
securityGroupId0=sg-00877c33656609407
publicIPId0=eipalloc-027afa45f34984c87

# eth1 settings
subnetId1=subnet-1f2743c2

ステップ 5：Amazon AWS EC2 への Unified Access Gateway のデプロイ

1. Omnissa Customer Connect のダウンロード ページから、Unified Access Gateway (UAG) PowerShell スクリプト ファイルに移動し、[今すぐダウンロード] をクリックします。
   zip ファイル uagdeploy-xx.xx.x.x-xxxxxxxx がローカル マシンにダウンロードされます。

2. 次の PowerShell スクリプトが Windows マシンにダウンロードされていることを確認します。
   uagdeployec2.ps1 および uagdeploy.psm1

3. PowerShell ウィンドウを開き、コマンドを実行します。
   uagdeployec2.ps1 <file_name>.ini
   
   ここで、file_name は INI ファイルの名前です。

3. 管理者パスワードを入力します。
パブリック IP アドレスを使用して UAG 管理ユーザー インターフェイスにアクセスできるようになりました。

4. デプロイが完了したことを確認するには、SSH を使用して UAG にログインし、次のコマンドを実行します。
   tail /opt/omnissa/gateway/logs/admin.log

5. https://uag-ip または FQDN:9443/admin を使用して管理ユーザー インターフェイスにログインし、要件に基づいて設定を構成します。

次のタスク

1. Unified Access Gateway インスタンスを停止します。
2. 次のコマンドを使用して、Unified Access Gateway の現在のインスタンスから userData 値をクリアします：edit-EC2InstanceAttribute -InstanceId i-12345678 -Attribute userData -Value "blank"。