添加组

您可以创建组以用作防火墙规则的源和目标。组包含不同的对象，可以是虚拟机、IP 集、MAC 集、分段端口、分段、AD 用户组和其他组的组合。在配置组时，可以静态和动态添加对象。要动态添加对象，您必须基于标记、虚拟机名称、操作系统名称或计算机名称指定条件。在必须将规则应用于组时，NSX-T Data Center 会处理条件以动态计算成员，并根据条件添加或移除对象。

请注意，如果从 vCenter Server 中删除组的任何静态对象，您还必须将其从组定义中删除。否则，尽管 NSX 组不会将该对象显示为组的有效成员，但组定义会继续将该对象显示为组成员。

注： 如果在 API 中使用基于 LogicalPort 的条件创建组，则无法在 UI 中使用 SegmentPort 条件之间的 AND 运算符编辑该组。如果使用基于“分段”、“分段端口”、“分布式端口组”或“分布式端口”的条件创建组，请在组的 IP 发现配置文件中禁用“首次使用时信任”选项。否则，即使接口的 IP 地址发生更改，其原始 IP 地址也将保留在您的组中。

还可以从防火墙规则中排除任何组，并且列表中最多可以包含 100 个组。对于已经包含在防火墙排除列表中的组，不能包含 IP 集、MAC 集和 AD 组作为其成员。有关详细信息，请参见 管理防火墙排除列表。

单个组只能在分布式防火墙规则中用作源。如果需要在源中使用 IP 和 Active Directory 组，请创建两个单独的防火墙规则。

不能在 应用对象文本框中使用仅包含 IP 地址的组、仅包含 MAC 地址的组或 Active Directory 组。

注： 在 vCenter Server 中添加或移除主机时，主机上的虚拟机的外部 ID 将发生变化。如果虚拟机是一个组的静态成员，并且虚拟机的外部 ID 发生变化，则 NSX Manager UI 不再将虚拟机显示为该组的成员。不过，列出组的 API 仍显示该组包含虚拟机，并且虚拟机具有原始外部 ID。如果将虚拟机添加为一个组的静态成员，并且虚拟机的外部 ID 发生变化，您必须使用新的外部 ID 重新添加虚拟机。您也可以使用动态成员资格条件以避免该问题。

对于包含 IP、MAC 地址和身份组的策略组，列表 API 将不显示“成员”属性。这也适用于包含静态成员组合的组。例如，包含 IP 和虚拟机的策略组不会显示成员属性。

对于不包含 IP、MAC 地址或身份组的策略组，将在 NS 组响应中显示成员属性。但是，在 NSX-T Data Center 中引入的新成员和成员资格条件（如 DVPort 和 DVPG）将不会包含在 MP 组定义中。用户可以在策略中查看定义。

NSX 中的标记区分大小写，但基于标记的组“不区分大小写”。例如，如果动态分组成员资格条件为 VM Tag Equals 'quarantine'，则该组将包括所有包含标记“quarantine”或“QUARANTINE”的虚拟机。

如果使用的是 NSX Cloud，请参见使用 NSX-T Data Center 和公有云标记对虚拟机分组以了解如何使用公有云标记对 NSX Manager 中的工作负载虚拟机进行分组的信息。

前提条件

如果使用 NSX 联合，请参见 NSX 联合中的安全性以了解配置选项的详细信息。

过程

1. 从导航面板中选择清单 > 组。
2. 单击添加组，然后输入组名称。
3. 如果要从 NSX 联合的全局管理器中添加组，请接受选择的默认区域，或者从下拉菜单中选择一个区域。创建具有区域的组后，将无法编辑区域选择。但是，您可以通过在区域中添加或移除位置来更改区域本身的跨度。您可以在创建组之前创建自定义的区域。请参见从全局管理器创建区域。
   对于从 NSX 联合环境的 全局管理器中添加的组，必须选择一个区域。如果未使用 全局管理器，则该文本框不可用。
4. 单击设置。
5. 在设置成员窗口中，选择组类型。

   组类型	说明
   通用	此组类型是默认选择。“通用”组定义可以由成员资格条件、手动添加的成员、IP 地址、MAC 地址和 Active Directory 的组合组成。 不支持在 DFW 规则的应用对象字段中使用仅具有手动添加的 IP 地址成员的通用组。可以创建规则，但不会强制执行。 在组中定义成员资格条件时，将根据一个或多个条件在组中动态添加成员。手动添加的成员包括分段端口、分布式端口、分布式端口组、VIF、虚拟机等对象。
   仅限 IP 地址	此组类型仅包含 IP 地址（IPv4 或 IPv6）。不支持在 DFW 规则中的应用对象中使用仅具有手动添加的 IP 地址成员的仅限 IP 地址组。可以创建规则，但不会强制执行。 在 NSX-T Data Center 中实现仅 IP 地址类型组后，无法将组类型编辑为通用。但是，如果组类型为通用，您可以将组类型编辑为仅 IP 地址。在这种情况下，仅在组中保留 IP 地址。所有成员资格条件和其他组定义都将丢失。 在功能上，此组类型与之前的 NSX-T 版本的管理器模式下基于 IP 集标记条件的 NS 组类似。
   Antrea	此组类型仅适用于 NSX-T 环境中注册了一个或多个 Antrea 容器集群的情形。 有关详细信息，请参见 Antrea 个组 和 添加 Antrea 组。

6. （可选） 在成员资格条件页面上，单击添加条件，根据一个或多个成员资格条件动态添加组中的成员。

   成员资格条件可以具有一个或多个条件。这些条件可以使用相同的成员类型，也可以混合使用不同的成员类型。不过，在成员资格条件中添加多个混合成员类型的条件时，存在一些限制。要了解成员资格条件，请参见组成员资格条件概览。

7. （可选） 单击成员以在组中添加静态成员。
   可用成员类型包括：

   • 组 - 如果使用 NSX 联合，您可以将一个组添加为成员，它的跨度小于或等于您为从全局管理器中创建的组选择的区域，请参见NSX 联合中的安全性。
   • NSX 分段 - 不会将分配给网关接口的 IP 地址和 NSX 负载均衡器虚拟 IP 地址包含为分段组成员。
   • 分段端口
   • 分布式端口组
   • 分布式端口
   • VIF
   • 虚拟机
   • 物理服务器
   • 云原生服务实例
8. （可选） 单击 IP/MAC 地址以将 IP 和 MAC 地址添加为组成员。支持 IPv4 地址、IPv6 地址和多播地址。
   单击 操作 > 导入从包含以逗号分隔的 IP/MAC 值的 .TXT 文件或 .CSV 文件导入 IP/MAC 地址。
9. （可选） 单击 AD 组以添加 Active Directory 组。可以在身份防火墙的分布式防火墙规则的源文本框中使用具有 Active Directory 成员的组。组可以同时包含 AD 成员和计算成员。
   注： 如果使用 NSX 联合，您无法从全局管理器中创建组以包括 AD 用户组。
10. （可选） 输入说明和标记。
11. 单击应用。
    将列出组，并提供用于查看成员及组使用位置的选项。