VMware Aria Automation のインターネットプロキシサーバの構成方法

インターネットへの直接アクセスを持たない隔離されたネットワーク上の VMware Aria Automation インストールでは、インターネットプロキシサーバを使用してプロキシ機能によるインターネット接続を許可することができます。インターネットプロキシサーバでは、HTTP および HTTPS がサポートされています。

Amazon Web Services (AWS)、Microsoft Azure、Google Cloud Platform (GCP) などのパブリッククラウドプロバイダや、IP アドレス管理、Ansible、Puppet などの外部統合ポイントを構成して VMware Aria Automation と一緒に使用するには、内部の VMware Aria Automation インターネットプロキシサーバにアクセスするようにインターネットプロキシサーバを構成する必要があります。

VMware Aria Automation には、インターネットプロキシサーバと通信する内部プロキシサーバが含まれています。このサーバがプロキシサーバと通信するのは、プロキシサーバが vracli proxy set ... コマンドで設定されている場合です。組織でインターネットプロキシサーバが設定されていない場合は、内部の VMware Aria Automation プロキシサーバが直接インターネットに接続を試みます。

指定された vracli コマンドラインユーティリティを使用することにより、インターネットプロキシサーバを使用するように VMware Aria Automation を設定できます。vracli API の使用方法は、vracli コマンドラインで --help 引数を使用して参照できます（vracli proxy –-help など）。

インターネットプロキシサーバへのアクセスでは、VMware Aria Automation に組み込まれているアクションベースの拡張性 (ABX) のオンプレミスの組み込みコントロールを使用する必要があります。

注：

Workspace ONE Access へのアクセスは、インターネットプロキシではサポートされていません。vracli set vidm コマンドを使用して、インターネットプロキシサーバ経由で Workspace ONE Access にアクセスすることはできません。

内部プロキシサーバは、IPv4 がデフォルトの IP アドレス形式である必要があります。TLS (HTTPS) 証明書トラフィックに対して、インターネットプロトコルの制限、認証、または中間者アクションは必要ありません。

すべての外部ネットワークトラフィックは、インターネットプロキシサーバを経由します。内部ネットワークトラフィックはプロキシをバイパスします。

前提条件

インターネットプロキシサーバとして使用できる既存の HTTP または HTTPS サーバが、外部サイトに送信トラフィックを渡すことができる VMware Aria Automation ネットワークにあることを確認します。接続は IPv4 用に設定されている必要があります。
ターゲットのインターネットプロキシサーバが、デフォルトの IP アドレス形式として IPv4 をサポートするように構成されていることを確認します。
インターネットプロキシサーバが TLS を使用していて、クライアントとの HTTPS 接続が必要な場合は、プロキシの構成を設定する前に、次のコマンドのいずれかを使用してサーバ証明書をインポートする必要があります。
- vracli certificate proxy --set path_to_proxy_certificate.pem
- vracli certificate proxy --set stdin
  インタラクティブな入力を行うには、stdin パラメータを使用します。

手順

Kubernetes によって使用されるポッドまたはコンテナのプロキシ構成を作成します。この例では、HTTP スキームを使用してプロキシサーバにアクセスします。

vracli proxy set --host http://proxy.vmware.com:3128

プロキシ構成を表示します。

vracli proxy show

結果は次のようになります。

{
    "enabled": true,
    "host": "10.244.4.51",
    "java-proxy-exclude": "*.local|*.localdomain|localhost|10.244.*|192.168.*|172.16.*|kubernetes|sc2-rdops-vm06-dhcp-198-120.eng.vmware.com|10.192.204.9|*.eng.vmware.com|sc2-rdops-vm06-dhcp-204-9.eng.vmware.com|10.192.213.146|sc2-rdops-vm06-dhcp-213-146.eng.vmware.com|10.192.213.151|sc2-rdops-vm06-dhcp-213-151.eng.vmware.com",
    "java-user": null,
    "password": null,
    "port": 3128,
    "proxy-exclude": ".local,.localdomain,localhost,10.244.,192.168.,172.16.,kubernetes,sc2-rdops-vm06-dhcp-198-120.eng.vmware.com,10.192.204.9,.eng.vmware.com,sc2-rdops-vm06-dhcp-204-9.eng.vmware.com,10.192.213.146,sc2-rdops-vm06-dhcp-213-146.eng.vmware.com,10.192.213.151,sc2-rdops-vm06-dhcp-213-151.eng.vmware.com",
    "scheme": "http",
    "upstream_proxy_host": null,
    "upstream_proxy_password_encoded": "",
    "upstream_proxy_port": null,
    "upstream_proxy_user_encoded": "",
    "user": null,
    "internal.proxy.config": "dns_v4_first on \nhttp_port 0.0.0.0:3128\nlogformat squid %ts.%03tu %6tr %>a %Ss/%03>Hs %<st %rm %ru %[un %Sh/%<a %mt\naccess_log stdio:/tmp/logger squid\ncoredump_dir /\ncache deny all \nappend_domain .prelude.svc.cluster.local\nacl mylan src 10.0.0.0/8\nacl mylan src 127.0.0.0/8\nacl mylan src 192.168.3.0/24\nacl proxy-exclude dstdomain .local\nacl proxy-exclude dstdomain .localdomain\nacl proxy-exclude dstdomain localhost\nacl proxy-exclude dstdomain 10.244.\nacl proxy-exclude dstdomain 192.168.\nacl proxy-exclude dstdomain 172.16.\nacl proxy-exclude dstdomain kubernetes\nacl proxy-exclude dstdomain 10.192.204.9\nacl proxy-exclude dstdomain .eng.vmware.com\nacl proxy-exclude dstdomain 10.192.213.146\nacl proxy-exclude dstdomain 10.192.213.151\nalways_direct allow proxy-exclude\nhttp_access allow mylan\nhttp_access deny all\n# End autogen configuration\n",
    "internal.proxy.config.type": "default"
}

注：組織でインターネットプロキシサーバが設定されていない場合は、上の例で 'default' ではなく、 "internal.proxy.config.type": "non-default" が表示されます。セキュリティのため、パスワードは表示されません。

注： -proxy-exclude パラメータを使用する場合は、デフォルト値を編集する必要があります。たとえば、インターネットプロキシサーバを使用してアクセスできないドメインとして acme.com を追加する場合は、次の手順を使用します。

vracli proxy default-no-proxy と入力して、デフォルトのプロキシ除外設定を取得します。これは、ドメインとネットワークの自動生成されたリストです。
値を編集して .acme.com を追加します。
vracli proxy set .... --proxy-exclude ... と入力して構成の設定を更新します。
/opt/scripts/deploy.sh コマンドを実行して、環境を再展開します。

（オプション） DNS ドメイン、FQDN、および IP アドレスを、インターネットプロキシサーバからアクセスできないように除外します。
proxy-exclude 変数のデフォルト値を変更するときは、必ず parameter --proxy-exclude を使用します。ドメイン exclude.vmware.com を追加するには、最初に vrali proxy show コマンドを使用してから、proxy-exclude 変数をコピーし、次のように vracli proxy set ... コマンドを使用してドメイン値を追加します。
```
vracli proxy set --host http://proxy.vmware.com:3128 --proxy-exclude "exclude.vmware.com,docker-registry.prelude.svc.cluster.local,localhost,.local,.cluster.local,10.244.,192.,172.16.,sc-rdops-vm11-dhcp-75-38.eng.vmware.com,10.161.75.38,.eng.vmware.com"
```
注：値を置き換えるのではなく、 proxy-exclude に要素を追加します。デフォルト値 proxy-exclude を削除すると、 VMware Aria Automation は適切に機能しません。この問題が発生した場合は、プロキシ構成を削除し、最初からやり直してください。
vracli proxy set ... コマンドを使用してインターネットプロキシサーバを設定した後は、vracli proxy apply コマンドを使用してインターネットプロキシサーバの設定を更新し、最新のプロキシ設定を有効にすることができます。
スクリプトの変更をまだ有効にしていない場合は、次のコマンドを実行して有効にします。

/opt/scripts/deploy.sh
（オプション） 必要に応じて、ポート 22 で外部アクセスをサポートするようにプロキシサーバを構成します。

Puppet や Ansible などの統合をサポートするには、関連するホストにポート 22 でアクセスできるようにプロキシサーバで許可する必要があります。

例: サンプルの Squid 構成

手順 1 では、Squid プロキシを設定する場合、次のサンプルに合わせて /etc/squid/squid.conf で構成を調整することができます。

acl localnet src 192.168.11.0/24

acl SSL_ports port 443

acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

http_access allow !Safe_ports
http_access allow CONNECT !SSL_ports
http_access allow localnet

http_port 0.0.0.0:3128

maximum_object_size 5 GB
cache_dir ufs /var/spool/squid 20000 16 256
coredump_dir /var/spool/squid
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern (Release|Packages(.gz)*)$ 0 20% 2880
refresh_pattern . 0 20% 4320

client_persistent_connections on
server_persistent_connections on