Implantação do PowerShell no Amazon AWS EC2

Esta seção descreve o uso do comando do PowerShell para implantar o Unified Access Gateway 2111 ou posterior no Amazon Web Services Elastic Compute Cloud (EC2) e as etapas para preparar o ambiente do EC2 antes de criar qualquer instância do Unified Access Gateway.

Sistemas operacionais e versões do PowerShell recomendados

Pré-requisitos

• Conta do AWS com privilégios adequados para implantar a instância do EC2. Para obter informações detalhadas, consulte a Documentação do Amazon AWS.

• Certifique-se de permitir as políticas a seguir nas funções do IAM para uma implantação bem-sucedida.

  s3:PutObject
  s3:PutObjectAcl
  s3:GetBucketLocation
  ec2:DescribeNetworkInterfaces
  ec2:ModifyNetworkInterfaceAttribute
  ec2:CreateNetworkInterface
  ec2:DescribeInstances
  ec2:RunInstances
  ec2:TerminateInstances
  ec2:DescribeSubnets
  ec2:DescribeSecurityGroups
  ec2:DescribeAddresses
  ec2:AssociateAddress
  ec2:DescribeRegions
  ec2:DescribeImages
  ec2:CreateTags
  

Procedimento

1º passo: Preparar a máquina cliente para o PowerShell

Instale o AWSPowerShell em seu computador. Consulte Instalação das ferramentas do AWS para PowerShell no Windows.

1. Abra a janela de comando do PowerShell com direitos administrativos.
2. Execute estes comandos.
   

   Windows	Ubuntu
   Install-Module -Name AWSPowerShell -Force Install-Package 7Zip4PowerShell	Install-Module -Name AWS.Tools.Common Install-AWSToolsModule AWS.Tools.EC2,AWS.Tools.S3 -CleanUp

2º passo: Configurar o perfil e a região do AWS na máquina cliente

1. No Console do AWS, crie uma Chave de Acesso e obtenha a ID da Chave de Acesso e a Chave Secreta de Acesso. Defina-os no perfil padrão.
   Para obter mais informações, consulte Criar chaves de acesso para o usuário raiz.
   

   
   (Opcional) Essa etapa será aplicável somente se você não tiver uma ID de chave de acesso e uma Chave de Acesso Secreta.

   ```
   Set-AWSCredential -AccessKey AKIAI6428NKYOEXAMPLE `
   -SecretKey bvfhkvvfhsbvhsdbhfbvfhfhvfhdskvbhfvbfhEXAMPLE ` 
   -StoreAs default
   ```
   

   (Opcional) Defina sua região do AWS.
   Nota: você pode usar o comando Get-AWSRegion para identificar a região que deseja usar.

   ```
   Set-DefaultAWSRegion -Region us-west
   ```
   



2. Crie um bucket no Amazon S3 para armazenar imagens do Unified Access Gateway .vmdk, se ainda não existirem. Para obter mais informações, consulte Criar um bucket.

   
   Por exemplo, considere a criação de um bucket com o nome "uag-images".

   ```
   $bucket="uag-images"
   New-S3Bucket -BucketName $bucket -Region us-east-2
   ``` 
   

3. Crie uma função de IAM no Amazon AWS chamada vmimport e aplique uma política à função.
   

   ```
   $importPolicyDocument = @"
   {
   "Version":"2012-10-17",
   "Statement":[
   {
   "Sid":"",
   "Effect":"Allow",
   "Principal":{
   "Service":"vmie.amazonaws.com"
   },
   "Action":"sts:AssumeRole",
   "Condition":{
   "StringEquals":{
   "sts:ExternalId":"vmimport"
   }
   }
   }
   ]
   }
   "@
   
   New-IAMRole -RoleName vmimport -AssumeRolePolicyDocument $importPolicyDocument
   
   $bucket="uag-images"
   $rolePolicyDocument = @"
   {
   "Version": "2012-10-17",
   "Statement": [
   {
   "Effect": "Allow",
   "Action": [
   "s3:GetBucketLocation",
   "s3:GetObject",
   "s3:ListBucket"
   ],
   "Resource": [
   "arn:aws:s3:::$bucket",
   "arn:aws:s3:::$bucket/*"
   ]
   },
   {
   "Effect": "Allow",
   "Action": [
   "ec2:ModifySnapshotAttribute",
   "ec2:CopySnapshot",
   "ec2:RegisterImage",
   "ec2:Describe*"
   ],
   "Resource": "*"
   }
   ]
   }
   "@
   
   Write-IAMRolePolicy -RoleName vmimport -PolicyName vmimport -PolicyDocument $rolePolicyDocument
   
   ```
   



4. (Opcional) Prepare o ambiente de rede no EC2.
   Nota: essas etapas podem ser realizadas no console de gerenciamento do EC2 ou com o PowerShell. Elas só precisam ser feitas uma vez para preparar o ambiente EC2 para implantações do Unified Access Gateway. Para isso, pelo menos uma sub-rede é necessária. Para implantações do Unified Access Gateway de várias NICs, cada NIC pode estar na mesma sub-rede ou em sub-redes diferentes.


5. (Opcional) Crie uma sub-rede. Para obter mais informações, consulte Criar sub-redes.


6. (Opcional) Crie um grupo de segurança para cada tipo de NIC. Um grupo de segurança contém um conjunto de regras de firewall para restringir o acesso à porta TCP e UDP. Um grupo de segurança pode ser compartilhado entre vários dispositivos do Unified Access Gateway. Por exemplo, você pode criar um grupo de segurança chamado UAG-Internet para eth0 e associá-lo à primeira NIC automaticamente quando o dispositivo do Unified Access Gateway é criado.
   Para o uso do Horizon, o primeiro (UAG-Internet) podia permitir portas TCP 80, 443, 8443, 4172 e portas UDP 443, 8443, 4172 de qualquer cliente. Se você quiser permitir acesso ssh ao Unified Access Gateway, deverá especificar sshEnabled=true na seção [Geral] de cada arquivo .ini. O SSH geralmente só deve ser habilitado para fins de teste e não para uma implantação de produção. Você também deve garantir que o acesso ssh na porta TCP 22 seja restrito no grupo de segurança a endereços IP de origem individuais, para que não seja aberto a todos. Para obter mais informações, consulte Criar um grupo de segurança.
   
   


7. Se o dispositivo do Unified Access Gateway for acessível diretamente pela Internet, cada NIC que precisar de acesso também deverá ter um endereço IP público associado, conhecido como Elastic IPs. Para obter mais informações, consulte Alocar um endereço IP elástico.






8. Para cada NIC, determine a ID da Sub-rede, a ID do Grupo de Segurança e o ID de Alocação de IP Público.
   Se você não especificar uma ID do Grupo de Segurança para qualquer NIC, o Grupo de Segurança padrão será usado.
   Se você não especificar um ID de IP Público, não haverá um endereço IP público para essa NIC e não estará diretamente acessível pela Internet. Esse poderá ser o caso se um balanceador de carga for usado na frente de um grupo de dispositivos do Unified Access Gateway.
   
   

3º passo: Carregar a imagem do Unified Access Gateway com o PowerShell

1. Baixe o arquivo de imagem do Unified Access Gateway .ova do portal Customer Connect. A versão desse arquivo deve ser 2111 ou posterior.

2. Extraia a imagem .vmdk do arquivo .ova.

   Windows	Ubuntu
   expand-7zip ova-filename target-location Por exemplo, euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova é o arquivo baixado, em que x-y é o número da versão e 12345678 é o número da compilação. Para extrair o arquivo .vmdk para C:\temp, execute o seguinte comando: expand-7zip C:\uag\euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova C:\uag\	tar -xvf ova-filename Por exemplo, tar -xvf euc-unified-access-gateway-x.y.0.0-12345678_OVF10.ova

3. Carregue a imagem vmdk no bucket S3.

   $vmdkImage="euc-unified-access-gateway-x.y.0.0-12345678-system.vmdk"
   $bucket="uag-images"
   $region="us-east-2"
   
   $params = @{
   "BucketName"=$bucket
   "File"="C:\uag\"+$vmdkImage
   "key"="/"+$vmdkImage
   "Region"=$region
   }
   Write-S3Object @params
   

4. Importe o instantâneo EC2.

   $params = @{
   "DiskContainer_Format"="VMDK"
   "DiskContainer_S3Bucket"=$bucket
   "DiskContainer_S3Key"=$vmdkImage
   "Region"=$region
   }
   $impId=Import-EC2Snapshot @params
   

5. Para rastrear a importação, execute periodicamente o comando a seguir para obter o status do progresso.
   Nota: A importação levará vários minutos.

   (Get-EC2ImportSnapshotTask -ImportTaskId `
   $impId.ImportTaskId).SnapshotTaskDetail
   

6. Quando concluído, o seguinte comando deve mostrar o SnapshotId.

   (Get-EC2ImportSnapshotTask -ImportTaskId `
   $impId.ImportTaskId).SnapshotTaskDetail.SnapshotId
   

7. Registre a imagem como uma Amazon Machine Image (AMI).

   $bdm=New-Object Amazon.EC2.Model.BlockDeviceMapping 
   $bd=New-Object Amazon.EC2.Model.EbsBlockDevice 
   $bd.SnapshotId=(Get-EC2ImportSnapshotTask `
   -ImportTaskId $impId.ImportTaskId).SnapshotTaskDetail.SnapshotId 
   $bd.DeleteOnTermination=$true
   $bdm.DeviceName="/dev/sda1" 
   $bdm.Ebs=$bd
   $params = @{ 
   "BlockDeviceMapping"=$bdm 
   "RootDeviceName"="/dev/sda1" 
   "Name"=$vmdkImage 
   "Architecture"="x86_64" 
   "VirtualizationType"="hvm"
   "EnaSupport"=$true 
   }
   Register-EC2Image @params
   

No Console da AWS, você deve ver a imagem importada em Imagens EC2 AMI.

Passo 4. Preparar um arquivo INI para o AWS

Para implantações do AWS EC2, as configurações a seguir na seção Geral não são usadas.

• diskMode
• ds
• folder
• netInternet
• netManagementNetwork
• netmask0,netmask1, netmask2
• netBackendNetwork
• source
• target
• Todas as configurações do IPv4 e IPV6

Para AWS EC2, há um novo grupo chamado AmazonEC2 que contém todas as configurações específicas do AWS EC2.

Configurações específicas para o AWS EC2

amiId=ami-1986bb7c

credentialProfileName=MyUAGProfile

instanceType=c4.large

ipv6AddressCount0=1

region=us-east-2

privateIPAddress1= 172.31.7.222

publicIPId0=eipalloc-027afa45f34984c87
ipv6AddressCount0=1

securityGroupId0=sg-00877c33656609407

subnetId1=subnet-5c980935

Exemplo de definição de arquivo INI

[General]
name=UAG12
deploymentOption=twonic

[AmazonEC2]

# authentication

credentialProfileName=awsCredentialProfile

# type, region and image

instanceType=c4.large
region=us-east-2
amiId=ami-1986bb7c

# eth0 settings
subnetId0=subnet-5c980935
securityGroupId0=sg-00877c33656609407
publicIPId0=eipalloc-027afa45f34984c87

# eth1 settings
subnetId1=subnet-1f2743c2

Etapa 5: implantar o Unified Access Gateway no Amazon AWS EC2

1. Na página de downloads do Omnissa Customer Connect, acesse Arquivo de scripts do PowerShell do Unified Access Gateway (UAG) e clique em BAIXAR AGORA.
   Um arquivo zip uagdeploy-xx.xx.x.x-xxxxxxxx é baixado na sua máquina local.

2. Certifique-se de que os scripts do PowerShell a seguir sejam baixados em seu computador Windows.
   uagdeployec2.ps1 e uagdeploy.psm1

3. Abra a janela do PowerShell e execute o comando.
   uagdeployec2.ps1 <file_name>.ini
   
   Em que file_name é o nome do arquivo INI.

3. Digite a senha de administrador.
Agora você pode acessar a UI do administrador do UAG usando o IP público.

4. Para verificar se a implantação foi concluída, faça login no UAG usando SSH e execute o comando:
   tail /opt/omnissa/gateway/logs/admin.log

5. Faça login na UI do administrador usando https://uag-ip ou FQDN:9443/admin e defina as configurações com base em sua necessidade.

O que fazer depois

1. Pare a instância do Unified Access Gateway.
2. Limpe o valor userData da instância atual do Unified Access Gateway usando o seguinte comando: edit-EC2InstanceAttribute -InstanceId i-12345678 -Attribute userData -Value "blank".