VMware Cloud Foundation の運用のベスト プラクティス

パスワード管理、バックアップとリストア、証明書管理、ライセンス管理など操作を問題なく停止せずに継続し、VMware Cloud Foundation 環境の最適なパフォーマンスを得るために、業界の専門知識と以前の成功した経験に基づいて特定のベスト プラクティスに従うことができます。

セキュリティ ポリシーの適用

VMware Cloud Foundation 環境の展開と運用の一環として、リスク評価、法的要件、業界のベスト プラクティス、組織の目的に応じたセキュリティに関する考慮事項を含めます。

表 1. VMware Cloud Foundation の運用時のセキュリティに関する考慮事項の例

エリア		詳細情報
テレメトリ		カスタマー エクスペリエンス向上プログラム (CEIP) に参加して、組織による VMware 製品の使用に関連する技術情報を VMware と共有します。『VMware Cloud Foundation 管理ガイド』の「CEIP の設定」を参照してください。
パスワード	パスワード複雑性 パスワード有効期限 アカウント ロックアウト	VMware Cloud Foundation のパスワード ポリシーの構成を参照してください。
ユーザーとロール	ロールベースのアクセス制御を実装します。 ローカル アカウントの使用をインタラクティブアクセスと API アクセスの両方、またはソリューション統合に制限します。 インタラクティブアクセスと API アクセスの両方に使用されるアカウント、またはソリューション統合に使用されるアカウントの範囲と権限を制限します。 Active Directoryセキュリティ グループをデフォルトロールまたはカスタム ロールに割り当て、必要に応じて、組織のビジネスおよびセキュリティ要件に基づいてソリューション コンポーネントへのインタラクティブアクセスまたは API アクセスを行います。	『VMware Cloud Foundation 管理ガイド』の「VMware Cloud Foundation でのユーザーとグループの管理」を参照してください。
証明書	認証局 カスタム証明書	『VMware Cloud Foundation 管理ガイド』のVMware Cloud Foundation での証明書の管理を参照してください。
バックアップ	構成のバックアップ バックアップ スケジュール バックアップ保持間隔	『VMware Cloud Foundation 管理ガイド』の「VMware Cloud Foundation のバックアップとリストア」を参照してください。

パスワードの運用

一定の対策を講じることで、VMware Cloud Foundation 環境のセキュリティ設定が強化されます。

• パスワードを監視することで、VMware Cloud Foundation 環境でのコンプライアンス、アクセス制御、リスク軽減が保証されます。
• 複雑さ、有効期限、アカウントロックアウトなどのパスワード ポリシーにより、安全なプラクティスが適用されます。
• パスワードの複雑さの要件により、パスワードの強度が向上し、有効期限が定期的に更新され、アカウントロックアウトによって不正アクセスの試行が防止されます。

表 2. VMware Cloud Foundation でのパスワード運用のベスト プラクティス

操作	タイミングと頻度	説明
パスワード ポリシーを設定または更新します。	管理ドメインの展開後。 VI ワークロード ドメインの展開後。 vSphere クラスタを追加した後。 vSphere クラスタを展開した後。 組織のパスワード ポリシーが更新された場合。	VMware Cloud Foundation の管理コンポーネントのパスワード ポリシーをコンポーネントごとに手動で構成するか、VMware.CloudFoundation.PasswordManagement PowerShell モジュールを使用して自動で構成します。VMware Cloud Foundation のパスワード ポリシーの構成を参照してください。 VMware Cloud Foundation の自動化には含まれない製品のパスワード ポリシーの構成については、製品のドキュメントに従ってください。
アカウント パスワードの有効期限を監視します。	週に 1 回、または組織のポリシーに従います。	SDDC Manager ユーザー インターフェイスには、SDDC Manager によって管理されているアカウント パスワードのうち、今後 14 日以内に期限切れになるものについて通知が表示されます。
		VMware Cloud Foundation 環境の健全性チェックを作成して実行するには、VMware Skyline Health Diagnostics を使用します。Skyline Health Diagnostics による VMware Cloud Foundation のプロアクティブ診断を参照してください。
		vRealize Operations のカスタム ダッシュボード、アラート、および通知を使用して SDDC Manager が管理するアカウント パスワードを監視するには、VMware Cloud Foundation の健全性監視にオープンソース Python モジュールを使用します。「VMware Cloud Foundation の健全性レポートと監視」の検証済みソリューションを参照してください。
		VMware Cloud Foundation 環境の特定の時点での健全性レポートを生成するには、VMware Cloud Foundation の健全性レポート用のオープン ソース PowerShell モジュールを使用します。モジュールのドキュメントにある「健全性レポートの生成」を参照してください。
アカウント パスワードの自動ローテーション(ローテーションのスケジュール設定)を有効にします。	管理ドメインの展開後。 VI ワークロード ドメインの展開後。	管理コンポーネントのアカウントに対してパスワードの自動ローテーションを有効にするには、SDDC Manager ユーザー インターフェイスを使用します。『VMware Cloud Foundation 管理ガイド』の「パスワードのローテーション」を参照してください。
		アカウントの自動ローテーションを自動化するには、VMware Cloud Foundation API を使用します。VMware Cloud Foundation の API リファレンス ドキュメントにある「認証情報」を参照してください。
		パスワードのローテーションに VMware Cloud Foundation API を使用するサードパーティまたはカスタム ユーティリティを統合できます。VMware Cloud Foundation の API リファレンス ドキュメントにある「認証情報」を参照してください。
アカウント パスワードをローテーションまたは更新します。	アカウントパスワードの有効期限が切れる前。 定期的に実行します。 イベント時。 組織のポリシーが変更された場合。 特権ユーザーが組織を離れるとき。	パスワード ローテーションには次のオプションがあります。 SDDC Manager によって管理されるコンポーネント内のアカウントのパスワードをローテーションします。 SDDC Manager は、サポートするパスワードの複雑さに応じてランダムに生成されたパスワードを設定します。 『VMware Cloud Foundation 管理ガイド』の「パスワードのローテーション」を参照してください。 SDDC Manager アプライアンスのアカウントのパスワードとローカル アカウント (API) のパスワードを更新します。『VMware Cloud Foundation 管理ガイド』の「SDDC Manager のパスワードの更新」を参照してください。
		アカウント パスワードのローテーションを自動化するには、VMware Cloud Foundation API を使用します。VMware Cloud Foundation の API リファレンス ドキュメントにある「認証情報」を参照してください。
		PowerShell を使用してアカウント パスワードのローテーションを自動化するには、VMware Cloud Foundation 用のオープンソース PowerShell モジュールの Get-VCFCredential コマンドレットと Set-VCFCredential コマンドレットを使用します。VMware Cloud Foundation の PowerShell モジュールに関するドキュメントを参照してください。
アカウントのパスワードを修正します。	パスワードの有効期限が切れている場合。	パスワードを修正するには、SDDC Manager ユーザー インターフェイスを使用します。『VMware Cloud Foundation 管理ガイド』の「パスワードの修正」を参照してください。 注意： 期限切れのパスワードをローテーションしようとすると、タスクが失敗することがあります。SDDC Manager ユーザー インターフェイスで、失敗したパスワード管理タスクをキャンセルまたは解決してから再試行する必要があります。
		VMware Cloud Foundation API を使用して、パスワードの修正を自動化できます。VMware Cloud Foundation の API リファレンス ドキュメントにある「認証情報」を参照してください。
		PowerShell を使用してパスワードの修正を自動化するには、VMware Cloud Foundation 用のオープンソース PowerShell モジュールの Get-VCFCredential および Set-VCFCredential コマンドレットを使用します。VMware Cloud Foundation の PowerShell モジュールに関するドキュメントを参照してください。
アカウントの認証情報を検索します。	SDDC Manager によって管理されているアカウントを使用してログインする必要がある場合。	アカウント認証情報を手動で検索するには、SDDC Manager アプライアンスで lookup_passwords コマンドを使用します。『VMware Cloud Foundation 管理ガイド』の「アカウント認証情報の検索」を参照してください。
		VMware Cloud Foundation API を使用して、パスワードの取得を自動化できます。VMware Cloud Foundation の API リファレンス ドキュメントにある「認証情報」を参照してください。
		PowerShell を使用して認証情報の取得を自動化するには、VMware Cloud Foundation 用のオープンソース PowerShell モジュールの Get-VCFCredential コマンドレットを使用します。VMware Cloud Foundation の PowerShell モジュールに関するドキュメントを参照してください。
パスワードをリセットします。	失われたアカウント パスワードは、SDDC Manager またはその他の安全なストレージから取得できません。	次のドキュメントを参照してください。 SDDC Manager の root パスワードのリセット vCenter Server Appliance の root パスワードのリセット vCenter Single Sign-On パスワードのリセット NSX Manager または NSX Edge パスワードのリセット アカウント パスワードが SDDC Manager によって管理されている場合は、リセット操作が完了した後、この表のパスワードを修正するためのガイドラインに従います。 重要： 失われた ESXi root パスワードはリセットできません。SDDC Manager インベントリから ESXi ホストを削除し、ESXi を再インストールする必要があります。

注意： SDDC Manager でのパスワード管理操作が失敗すると、 [セキュリティ] > [パスワード管理] 画面にメッセージが表示されます。このように操作が失敗すると、SDDC Manager の他の操作に影響するロックが発生する可能性があります。ロックを解除するには、メッセージ ダイアログ ボックスで [キャンセル] をクリックするか、問題を解決して [再試行] をクリックします。

ライセンスの運用

管理コンポーネントを展開する場合、VMware Cloud Foundation には有効なライセンス キーへのアクセス権が必要です。SDDC Manager インベントリにライセンス キーを追加して、展開時に使用できるようにしますが、ライセンス キーが SDDC Manager と基盤となるコンポーネント間で同期されることはありません。

表 3. VMware Cloud Foundation でのライセンス運用のベスト プラクティス

操作	ライセンス モデル	タイミングと頻度	説明
ライセンスを追加します。	キーベース	環境を拡張するためのライセンス キャパシティが不足しています。	ライセンス キーを手動で追加するには、SDDC Manager ユーザー インターフェイスを使用します。『VMware Cloud Foundation 管理ガイド』の「ライセンス キーの管理」を参照してください。
			VMware Cloud Foundation API を使用して、ライセンス キーの追加を自動化できます。VMware Cloud Foundation の API リファレンス ドキュメントにある「ライセンス キー」を参照してください。
			PowerShell を使用してライセンス キーの追加を自動化するには、VMware Cloud Foundation 用のオープンソース PowerShell モジュールを使用します。VMware Cloud Foundation の PowerShell モジュールに関するドキュメントを参照してください。
期限が切れたライセンスを置き換えます。	キーベース	ライセンスの有効期限が切れているか、有効期限が切れそうです。	ライセンス キーを更新または削除する必要があります。ライセンスを追加する場合と同じ管理オプションがあります。
既存のライセンスを置き換えます。	キーベース	製品ライセンスを上位のエディションにアップグレードします。	ライセンス キーを更新する必要があります。ライセンスを追加する場合と同じ管理オプションがあります。
ライセンスを監視します。	キーベース	1 週間に 1 回	ライセンスが今後 30 日以内に期限切れになると、SDDC Manager ユーザー インターフェイスにアラートが表示されます。 SDDC Manager は、管理対象製品からライセンス情報を取得して、SDDC Manager インベントリにあるライセンスを使用しているかどうかを判断します。SDDC Manager ユーザー インターフェイスの [管理] > [ライセンス] 画面にライセンス使用量が表示されます。
サブスクリプションベースのライセンスを更新します。	キーレス	ライセンスは、無期限ライセンスと期間限定ライセンスのキーベース モードから、VMware Cloud Foundation+ へのクラウド接続サブスクリプションのキーレス モードに移行されます。	キーベースのライセンスからキーレス ライセンスに更新できます。『VMware Cloud Foundation+ ガイド』の「VMware Cloud Foundation+ サブスクリプションの購入と適用」を参照してください。 重要： キーベースのライセンス モードに移行して戻すには、VMware Cloud Foundation 環境を再展開する必要があります。

証明書操作

VMware Cloud Foundation の証明書を積極的に管理することで、組織は安全な通信を維持し、信頼を確立し、秘密データを保護し、コンプライアンス要件を満たすことができ、証明書関連のインシデントや脆弱性に効果的に対処できます。

表 4. VMware Cloud Foundation での証明書操作のベスト プラクティス

操作	タイミングと頻度	説明
自己署名証明書を置き換えます。	管理ドメインの展開後。 SDDC Manager を使用して VI ワークロード ドメインを展開した後。	ほとんどの管理コンポーネントのカスタム証明書を管理するには、SDDC Manager ユーザー インターフェイスを使用します。『VMware Cloud Foundation 管理ガイド』の「証明書の管理」を参照してください。 VMware Cloud Foundation API を使用して、証明書管理を自動化できます。VMware Cloud Foundation の API リファレンス ドキュメントにある「証明書」を参照してください。 PowerShell を使用して証明書管理を自動化するには、VMware Cloud Foundation 用のオープンソース PowerShell モジュールを使用します。VMware Cloud Foundation の PowerShell モジュールに関するドキュメントを参照してください。 カスタム証明書は、各ホストで手動で ESXi ホストにアップロードすることも、VMware.CloudFoundation.CertificateManagement PowerShell モジュールを使用して自動でアップロードすることもできます。VMware Cloud Foundation の ESXi 証明書管理を参照してください。 注： 外部証明書を使用して ESXi ホストに管理ドメインを展開している場合は、環境全体でカスタム証明書を備えた ESXi ホストを使用します。 管理ドメイン内の外部証明書を持つ ESXi ホストの使用に切り替えた場合は、新しいワークロード ドメイン内のすべての ESXi ホストで外部証明書を使用する必要があります。 SDDC Manager 外の VMware Cloud Foundation コンポーネントの証明書を置き換えた場合は、証明書を SDDC Manager トラスト ストアに追加します。『VMware Cloud Foundation 管理ガイド』の「証明書の管理」を参照してください。
信頼できる認証局から署名付き証明書を置き換えます。	管理ドメインの展開後。 VI ワークロード ドメインの展開後。 キーの長さは変更する必要があります。 証明書の有効期限が切れているか、有効期限が近づいています。 認証局またはプライベート キーが侵害されています。 発行認証局によって、証明書が失効している。	自己署名証明書を置き換える場合と同じガイドラインに従います。
期限が切れる証明書を特定します。	1 か月に 1 回以上実施します。	証明書の有効期限が近い場合、SDDC Manager ユーザー インターフェイスにアラートが表示されます。
		VMware Cloud Foundation 環境の健全性チェックを作成して実行するには、VMware Skyline Health Diagnostics を使用します。Skyline Health Diagnostics による VMware Cloud Foundation のプロアクティブ診断を参照してください。
		vRealize Operations のカスタム ダッシュボード、アラート、および通知を使用して SDDC Manager によって管理される期限切れ間近の証明書を監視するには、VMware Cloud Foundation 健全性監視にオープンソースの Python モジュールを使用します。「VMware Cloud Foundation の健全性レポートと監視」の検証済みソリューションを参照してください。
		VMware Cloud Foundation 環境の特定の時点での健全性レポートを生成するには、VMware Cloud Foundation の健全性レポート用のオープン ソース PowerShell モジュールを使用します。モジュールのドキュメントにある「健全性レポートの生成」を参照してください。
期限が切れた証明書を置き換えます。	SDDC Manager によって管理されている管理コンポーネントの証明書の有効期限が切れています。	SDDC Manager によって管理される期限切れの証明書を置き換える手順の詳細については、以下を参照してください。 SDDC Manager 自動化に含まれていない管理コンポーネントの期限切れの証明書の置き換えについては、関連する製品ドキュメントを参照してください。

ワークロード ドメインの期限切れの証明書の置き換え順序

複数の管理コンポーネントの証明書の有効期限が切れている場合は、特定の順序で置き換えます。

1. NSX Manager クラスタとノードの証明書を置き換えます。

   SDDC Manager を使用して、NSX Managerの CA 署名付き証明書のインストールをスキップします。

2. vCenter Server 証明書を VMCA 署名付き証明書に置き換えます。

   SDDC Manager を使用して、vCenter Serverの CA 署名付き証明書のインストールをスキップします。

3. 管理ドメインで期限切れの証明書を置き換える場合は、SDDC Manager 証明書を置き換えます。
4. すべての一時証明書を CA 署名付き証明書に置き換える準備ができたら、SDDC Manager ユーザー インターフェイスを使用して、NSX Manager と vCenter Server の証明書を CA 署名付き証明書に置き換えます。

期限切れの NSX Manager 証明書の置き換え

VMware Cloud Foundation では、ワークロード ドメインの NSX Manager クラスタまたは個々の NSX Manager ノードの期限切れの SSL 証明書を、NSX Manager によって生成された自己署名証明書に一時的に置き換えます。次に、自己署名証明書を SDDC Manager トラスト ストアに追加します。

1. https://<nsx_manager_fqdn>/login.jsp?local=true の NSX Manager クラスタに admin としてログインします。

   NSX Manager クラスタの FQDN の証明書の有効期限が切れている場合は、Web ブラウザに証明書の例外を追加します。

2. 期限切れの証明書を特定します。
   1. ナビゲーション バーで、[システム] をクリックします。
   2. 左側のペインの [設定] で、[証明書] をクリックします。
   3. [証明書] タブで、[有効期間] 列を確認します。
3. 期限切れの証明書を含む NSX Manager エンティティの自己署名証明書を生成します。
   1. [証明書] タブで、[生成] > [自己署名の証明書] を選択します。
   2. CSR 情報を入力し、[保存] をクリックします。

      オプション	説明
      共通名	ノードの完全修飾ドメイン名 (FQDN) を入力します。 例：nsx-wld-01.vrack.vsphere.local。
      名前	証明書の名前を割り当てます。 例：nsx-wld-01.vrack.vsphere.local。
      組織単位	この証明書を処理している組織内の部門を入力します。 例：VMware Engineering。
      組織名	組織名を適切なサフィックスを付けて入力します。 例：VMware。
      市区町村	組織が所在する市区町村を追加します。 例：Palo Alto。
      都道府県	組織が所在する都道府県を追加します。 例：California。
      国/地域	組織の場所を追加します。 例：United States (US)。
      アルゴリズム	証明書の暗号化アルゴリズムを設定します。 例：RSA。
      キーのサイズ	暗号化アルゴリズムのキー ビット サイズを設定します。 例：2048。
      サービス証明書	NSX Manager アプライアンスで証明書を使用するには、[いいえ] に切り替えます。
      日数	今日から始まる証明書の有効性を入力します。
      説明	後でこの証明書を識別できるように特定の詳細を入力します。

   3. [保存] をクリックします。
   4. 証明書の有効期限が切れている残りのすべてのNSX Manager エンティティに対して、この手順を繰り返します。
4. 自己署名証明書をNSX Managerエンティティに追加します。
   1. [証明書] タブで、NSX Manager エンティティの証明書の ID を見つけてコピーします。
   2. curl コマンドに対応し、NSX Manager ノードにアクセスできるシステム（vCenter Server や SDDC Manager アプライアンスなど）から、次のコマンドを実行して自己署名証明書を NSX Manager クラスタまたは NSX Manager ノードにインストールします。

      クラスタまたは個々のノードで コマンドを実行します。

      NSX Manager UI からコピーした証明書 ID を使用します。

      証明書の有効期限が切れたエンティティのNSX Manager	証明書置き換えコマンド
      NSX Manager クラスタ	curl -H 'Accept: application/json' -H 'Content-Type: application/json' --insecure -u 'admin:<nsx_admin_password>' -X POST 'https://<nsx_manager_cluster_fqdn>/api/v1/trust-management/certificates/<certificate-id>?action=apply_certificate&service_type=MGMT_CLUSTER'
      NSX Manager ノード	curl -H 'Accept: application/json' -H 'Content-Type: application/json' --insecure -u 'admin:<nsx_admin_password>' -X POST 'https://<nsx_manager_node_fqdn>/api/v1/node/services/http?action=apply_certificate&certificate_id=<certificate_id>'

      curl コマンドは、出力メッセージなしで完了します。
   3. 証明書の有効期限が切れた残りのすべての NSX Manager ノードに対して、この手順を繰り返します。
5. 自己署名 NSX Manager 証明書を SDDC Manager のトラスト ストアに追加します。
   1. SDDC Manager (https://<sddc_manager_fqdn>) に [email protected] としてログインします。
   2. ナビゲーション ペインで、[インベントリ] > [ワークロード ドメイン] をクリックします。
   3. [ワークロード ドメイン] 画面で、NSX Manager クラスタまたはノードが含まれているワークロード ドメインをクリックします。
   4. ワークロード ドメインのサマリ画面で、[証明書] タブをクリックします。

      NSX Manager ノードとクラスタの証明書が信頼されていないことを示すステータス メッセージが表示されます。

   5. 自己署名証明書の場合は、ステータス メッセージで [確認] をクリックし、証明書の詳細を確認して、サムプリントがノードの自己署名証明書のサムプリントと一致することを確認します。
   6. 自己署名証明書を確認したら、[証明書の信頼] をクリックします。
   7. 残りの自己署名 NSX Manager 証明書を確認して信頼済みとしてマークします。
6. NSX Manager のすべての証明書がアクティブになったら、NSX Manager に関連するすべての FQDN に CA 署名付き証明書をインストールします。

   『VMware Cloud Foundation 管理ガイド』の「証明書の管理」を参照してください

   。
7. （オプション） 自己署名証明書を CA 署名付き証明書に置き換えた後に、SDDC Manager のトラスト ストアから自己署名証明書を削除します。

   『VMware Cloud Foundation 管理ガイド』の「SDDC Manager からの古い証明書または未使用の証明書の削除」を参照してください。

8. CA 署名付き証明書を適用した後、期限切れの証明書と自己署名証明書を NSX Manager から削除します。

期限切れの vCenter Server 証明書の置き換え

VMware Cloud Foundation では、vSphere Certificate Manager ユーティリティを使用して、ワークロード ドメイン vCenter Server の期限切れの証明書を VMCA 署名付き証明書に一時的に置き換えます。

1. Secure Shell (SSH) クライアントを使用して、vCenter Server に root としてログインします。
2. Bash シェルへ切り替えるため、shell コマンドを実行します。
3. 次のコマンドを実行して、vSphere Certificate Manager を起動します。

   /usr/lib/vmware-vmca/bin/certificate-manager
   

4. オプション 3 の「マシンの SSL 証明書の VMCA 証明書での置き換え」を選択します。
5. [email protected] の認証情報を入力します。
6. vCenter Server 証明書を新しい VMCA 署名付き証明書に初めて置き換える場合は、VMCA 署名付き証明書のプロパティを入力し、操作を続行していることを確認します。
   • 2 文字の国名コード
   • 会社名
   • 組織名
   • 部門名
   • 都道府県
   • 市区町村
   • IP アドレス（オプション）
   • メール アドレス
   • ホスト名、すなわち証明書を置き換える vCenter Server マシンの完全修飾ドメイン名 (FQDN)。ホスト名が FQDN と一致しない場合、証明書の置き換えは正しく完了せず、ワークロード ドメインが不安定な状態になる可能性があります。
   • VMCA 名、すなわち証明書の設定を実行している vCenter Server マシンの完全修飾ドメイン名。

   VMCA 署名付き証明書のプロパティは、/usr/lib/vmware-vmca/share/config/certool.cfg ファイルに保存されます。

   操作が完了するまで待機します。

7. 以前にこのワークロード ドメイン vCenter Server で VMCA 署名付き証明書を生成しており、certool.cfg ファイルが使用可能な場合は、certool.cfg ファイルを再構成せず、操作の続行を確認してください。

   操作が完了するまで待機します。

8. SDDC Manager の vCenter Server インスタンスのステータスを確認します。
   1. SDDC Manager (https://<sddc_manager_fqdn>) に 管理者ロールを割り当てられたユーザーとしてログインします。
   2. ナビゲーション ペインで、[インベントリ] > [ワークロード ドメイン] をクリックします。
   3. [ワークロード ドメイン] 画面で、vCenter Server インスタンスが含まれるワークロード ドメインをクリックします。
   4. ワークロード ドメインのサマリ画面で、[証明書] タブをクリックします。
   5. vCenter Server 証明書のステータスがアクティブであることを確認します。
9. SDDC Manager の vCenter Server インスタンスに CA 署名付き証明書をインストールします。 『VMware Cloud Foundation 管理ガイド』の「証明書の管理」を参照してください。

期限切れの SDDC Manager 証明書の置き換え

期限切れの SDDC Manager 証明書は、SDDC Manager を使用して置き換えます。

1. SDDC Manager (https://<sddc_manager_fqdn>) に 管理者ロールを割り当てられたユーザーとしてログインします。

   SDDC Manager の証明書の有効期限が切れているため、Web ブラウザに証明書例外を追加します。

2. ナビゲーション ペインで、[インベントリ] > [ワークロード ドメイン] をクリックします。
3. [ワークロード ドメイン] 画面で、管理ドメインをクリックします。
4. ワークロード ドメインのサマリ画面で、[証明書] タブをクリックします。
5. SDDC Manager 証明書を置き換えます。『VMware Cloud Foundation 管理ガイド』の「証明書の管理」を参照してください。

バックアップ操作

VMware Cloud Foundation の管理コンポーネントのバックアップを定期的に管理すると、データ保護が実行され、ディザスタ リカバリが容易になり、セキュリティとコンプライアンスが強化され、システムの更新がサポートされます。

表 5. VMware Cloud Foundation でのバックアップ操作のベスト プラクティス

操作	タイミングと頻度	説明
外部バックアップの場所とスケジュールを構成する。	管理ドメインの展開後。 VI ワークロード ドメインの展開後。	『VMware Cloud Foundation 管理ガイド』の次の情報を参照してください。 VMware Cloud Foundation の管理ドメインの展開後は「SDDC Manager と NSX Manager の SFTP バックアップの再構成」。 管理ドメインまたは VI ワークロード ドメインの展開後は「vCenter Server のバックアップ スケジュールの構成」 NSX Manager のバックアップについては、「NSX Manager のバックアップ構成」を参照してください。
		VMware Cloud Foundation API を使用すると、SDDC Manager と NSX ローカル マネージャのバックアップ構成を自動化できます。VMware Cloud Foundation の API リファレンス ドキュメントにある「バックアップとリストア」を参照してください。
		PowerShell を使用して、SDDC Manager と NSX ローカル マネージャのバックアップの場所とスケジュールの構成を自動化するには、VMware Cloud Foundation 用のオープン ソース PowerShell モジュールの Get-VCFBackupConfiguration および Set-VCFBackupConfiguration コマンドレットを使用します。VMware Cloud Foundation の PowerShell モジュールに関するドキュメントを参照してください。
NSX Manager バックアップ保持の構成。	管理ドメインの展開後。 組織のバックアップ保持ポリシーが変更された場合。	NSX は、バックアップ保持ポリシーを構成するネイティブ オプションをサポートしていません。スクリプトを使用してバックアップの保持を管理するには、『NSX 管理ガイド』の「古いバックアップの削除」を参照してください。 バックアップの保持は、SDDC Manager で構成されたバックアップの場所に対して行われます。スクリプトは、VMware Cloud Foundation 環境ごとに 1 回のみ構成します。その後、すべての NSX Manager バックアップに適用されます。
オンデマンド バックアップを実行する。	リカバリ操作が成功した後。 SDDC コンポーネントで非同期に報告されたエラーを解決した後。 SDDC Manager で不完全なワークフローを解決した後。 SDDC コンポーネントのスケジュール設定されたバックアップの失敗を確認した後。 システム アップグレードを実行する前。	「オンデマンド バックアップの実行」を参照してください。
		VMware Cloud Foundation API を使用すると、SDDC Manager のオンデマンド バックアップを自動化できます。VMware Cloud Foundation の API リファレンス ドキュメントにある「バックアップとリストア」を参照してください。
		PowerShell を使用して SDDC Manager のオンデマンド バックアップを自動化するには、VMware Cloud Foundation 用のオープンソース PowerShell モジュールの Start-VCFBackup コマンドレットを使用します。VMware Cloud Foundation の PowerShell モジュールに関するドキュメントを参照してください。
バックアップを確認する。	週 1 回以上。	手動ワークフロー： SDDC Manager ユーザー インターフェイスの [管理] > [バックアップ] 画面で、[前回のバックアップ ステータス] を確認します。 https://<vcenter-fqdn>:5480/ の vCenter Server 管理インターフェイスで [バックアップ] に移動し、[アクティビティ] で前回成功したバックアップの日付を確認します。 NSX Manager ユーザー インターフェイスの [システム] タブで、[バックアップとリストア] に移動し、[前回のバックアップ ステータス] と [バックアップ履歴] を確認します。
		VMware Cloud Foundation 環境の特定の時点での健全性レポートを生成するには、VMware Cloud Foundation の健全性レポート用のオープン ソース PowerShell モジュールを使用します。モジュールのドキュメントにある「健全性レポートの生成」を参照してください。 次のコマンドレットを使用することもできます。 Request-SddcManagerBackupStatus Request-VcenterBackupStatus Request-NsxtManagerBackupStatus

NSX Manager のバックアップ構成

VMware Cloud Foundation で NSX Manager のバックアップを管理する場合は、以下の追加のガイドラインに従ってください。

• NSX には、バックアップ保持ポリシーを構成するオプションはありません。スクリプトを使用してバックアップの保持を管理するには、『NSX 管理ガイド』の「古いバックアップの削除」を参照してください。

• NSX グローバル マネージャは SDDC Manager によって管理されていません。NSX グローバル マネージャのバックアップは手動で構成する必要があります。『NSX 管理ガイド』の「バックアップの構成」を参照してください。

  同じバックアップ保持ポリシーを再利用するには、SDDC Manager と同じ SFTP 宛先を使用するようにバックアップを構成します。

• SDDC Manager でバックアップ設定を構成する際、すべての NSX ローカル マネージャは、共通の場所にバックアップするように構成されます。

• SDDC Manager でバックアップ設定が構成されると、ワークロード ドメインの作成時に展開される可能性のある NSX ローカル マネージャは、SDDC Manager で定義された場所とスケジュールでデータをバックアップするように構成されます。

• NSX Manager ユーザー インターフェイスには、Backup History のさまざまな NSX Manager ノードからのバックアップが表示されます。これは想定どおりです。

• デフォルトでは、SDDC Manager は 1 時間に 1 回バックアップするように NSX ローカル マネージャを構成します。バックアップ スケジュールを変更する場合、または構成の変更時に自動バックアップを有効にする場合は、次の手順を実行します。

  1. エンタープライズ管理者ロールが割り当てられたユーザーで NSX ローカル マネージャ クラスタ (https://<nsx_manager_cluster_fqdn>) にログインします。

  2. [システム] タブで [バックアップとリストア] をクリックし、[スケジュール] セクションで [編集] をクリックします。

     注：

     アクティブなバックアップ タスクが進行中の場合、このオプションは灰色で表示されます。

  3. バックアップ スケジュールに合わせて [頻度] 設定を変更します。

  4. オプション。[NSX の設定の変更を検出] をオンにし、構成の変更を 1 時間ごとに確認するように [更新の間隔] を設定します。

  5. [保存] をクリックします。

オンデマンド バックアップの実行

管理コンポーネント
SDDC Manager	SDDC Manager (https://<sddc_manager_fqdn>) に [email protected] としてログインします。 ナビゲーション ペインで [管理] > [バックアップ] の順にクリックし、[今すぐバックアップ] をクリックします。 タスクが完了するまで待機します。
vCenter Server	vCenter Server のフル バックアップについては、『VMware Cloud Foundation 管理ガイド』の「vCenter Server の手動バックアップ」を参照してください。 vCenter Server バックアップには、vCenter Server インスタンス全体の構成が含まれます。vSphere Distributed Switch とその分散ポート グループの構成のみをバックアップするには、検証済みのネットワーク構成を含む構成ファイルをエクスポートします。vSphere Distributed Switch のみをリカバリする場合は、この構成ファイルを vCenter Server インスタンスにインポートできます。『VMware Cloud Foundation 管理ガイド』の「vSphere Distributed Switch の構成のエクスポート」を参照してください。
NSX Manager	エンタープライズ管理者ロールが割り当てられたユーザーで NSX ローカル マネージャ クラスタ (https://<nsx_manager_cluster_fqdn>) にログインします。 [システム] タブで [バックアップとリストア] をクリックし、[バックアップの開始] をクリックします。 タスクが完了するまで待機します。

ライフサイクル操作

VMware Cloud Foundation の新しいバージョンに更新するか、パッチ リリースを適用することで、環境内の重要なセキュリティの問題を修正し、新機能を入手できます。効率的なバンドル管理により、アップグレード プロセス中の時間やエラー数も削減されます。

表 6. VMware Cloud Foundation でのライフサイクル操作のベスト プラクティス

操作	タイミングと頻度	説明
アップグレードまたは更新	新しいバージョンには、重要な問題の修正が含まれています。 新しいバージョンでは、試してみたい新機能が導入されています。 現在実行しているバージョンはまもなくサポート対象外になります。	ベスト プラクティスとして、最新のソフトウェア バージョンを実行して、最新のバグ修正とセキュリティ パッチまたはその他の機能を取得することをお勧めします。 アップグレードする前に、すべてのサードパーティの統合がターゲット バージョンのコンポーネント情報 (BoM) と互換性があるかどうかを確認します。VMware Cloud Foundation のアップグレードの詳細については、「VMware Cloud Foundation ライフサイクル管理」を参照してください。 次のオプションを使用して、アップグレード バンドルを管理できます。 VMware Cloud Foundation のアップグレード バンドルを段階的に管理するには、SDDC Manager ユーザー インターフェイスを使用します。『VMware Cloud Foundation 管理ガイド』の「VMware Cloud Foundation でのインストール バンドルとアップグレード バンドルの管理」を参照してください。 VMware Cloud Foundation API を使用して、アップグレード バンドル管理を自動化できます。バンドルを参照してください。 PowerShell ベースのスクリプトを使用してバンドル管理を自動化するには、VMware のナレッジベースの記事 KB94760 を参照してください。 古くなったバンドルや不要になったバンドルを削除するには、バンドル クリーンアップ ユーティリティを使用します。VMware のナレッジベースの記事 KB75050 を参照してください。
パッチの適用	使用している VMware Cloud Foundation バージョンでのセキュリティの脆弱性に関する VMware セキュリティ アドバイザリが公開されたとき VMware のサポートに報告された問題が修正され、パッチ リリースとして配布されたとき	VMware Cloud Foundation リリースとは関係なく、NSX Manager、vCenter Server、ESXi などの特定の製品に重要なパッチを適用するには、非同期パッチ ツールを使用します。『非同期パッチツール』ドキュメントを参照してください。 VMware セキュリティ アドバイザリ (VMSA) ドキュメントでは、VMware 製品で報告されたセキュリティ脆弱性の修正について説明しています。VMSA からの更新にサインアップし、環境に影響を与える可能性のある問題に関する新しいアドバイザリまたは変更されたアドバイザリを確認します。