Neutron セキュリティ グループを通して NSX Data Center for vSphere セキュリティ ポリシーを適用できます。この機能を使用して、サード パーティのネットワーク サービスを挿入することもできます。

プロバイダ セキュリティ グループおよび標準セキュリティ グループはいずれも NSX Data Center for vSphere セキュリティ ポリシーを使用できます。ルール ベースのプロバイダ セキュリティ グループおよび標準セキュリティ グループを、セキュリティ ポリシー ベースのセキュリティ グループと併用することもできます。ただし、セキュリティ ポリシーに関連付けられているセキュリティ グループにルールも含めることはできません。

セキュリティ ポリシーはどのセキュリティ グループ ルールよりも優先されます。複数のセキュリティ ポリシーがポートに適用されている場合、ポリシーが適用される順番は NSX Data Center for vSphere によって決まります。この順番は、vSphere Web Client の [セキュリティ] > [ファイアウォール] ページの [ネットワークとセキュリティ] で変更できます。

前提条件

NSX Data Center for vSphere で目的のセキュリティ ポリシーを作成します。『NSX 管理ガイド』のセキュリティ ポリシーの作成を参照してください。

手順

  1. OpenStack 管理サーバ に viouser としてログインします。
  2. デプロイで custom.yml ファイルを使用していない場合は、テンプレート custom.yml ファイルを /opt/vmware/vio/custom ディレクトリにコピーします。 
    sudo mkdir -p /opt/vmware/vio/custom
sudo cp /var/lib/vio/ansible/custom/custom.yml.sample /opt/vmware/vio/custom/custom.yml
  3. テキスト エディタで /opt/vmware/vio/custom/custom.yml ファイルを開きます。
  4. nsxv_use_nsx_policies、nsxv_default_policy_id、および nsxv_allow_tenant_rules_with_policy パラメータのコメントを解除して設定します。

    オプション

    説明

    nsxv_use_nsx_policies

    true と入力します。

    nsxv_default_policy_id

    新しいプロジェクトのデフォルト セキュリティ グループに関連付ける NSX Data Center for vSphere セキュリティ ポリシーの ID を入力します。セキュリティ ポリシーをデフォルトで使用しない場合は、このパラメータをコメント アウトしたまま残すことができます。

    セキュリティ ポリシーの ID を特定するには、[ホーム] > [ネットワークとセキュリティ] の順に選択して、[Service Composer] をクリックします。[セキュリティ ポリシー] タブを開いて、テーブルの左下にある [列の表示] アイコンをクリックします。[オブジェクト ID] を選択して、[OK] をクリックします。テーブルに、各セキュリティ ポリシーの ID が表示されます。

    nsxv_allow_tenant_rules_with_policy

    セキュリティ グループおよびルールの作成をテナントに許可するには true、セキュリティ グループまたはルールの作成をテナントに禁止するには false を入力します。

  5. 更新された設定をデプロイします。 
    sudo viocli deployment configure

    設定をデプロイすると、OpenStack サービスが一時的に中断されます。

  6. コントローラ ノードに viouser としてログインします。
  7. root ユーザーに切り替えて、クラウド管理者の認証情報ファイルをロードします。 
    sudo su -
source ~/cloudadmin.rc
  8. セキュリティ ポリシーと共に追加のセキュリティ グループを使用する場合は、次の手順を実行できます。

    • NSX Data Center for vSphere セキュリティ ポリシーを新しいセキュリティ グループに関連付けるには、グループを作成し、目的のポリシーを使用して更新します。 

      neutron security-group-create security-group-name --tenant-id tenant-uuid
neutron security-group-update --policy=policy-id security-group-uuid

    • 既存のセキュリティ グループをセキュリティ ポリシーベース グループに移行するには、次のコマンドを実行します。 

      sudo -u neutron nsxadmin -r security-groups -o migrate-to-policy --property policy-id=policy-id --property security-group-id=security-group-uuid
      注：

      このコマンドは、指定したセキュリティ グループからすべてのルールを削除します。ネットワーク接続が中断されないようにターゲット ポリシーが設定されていることを確認します。

  9. セキュリティ グループ上で NSX Data Center for vSphere セキュリティ ポリシーを優先するように Neutron を設定します。 
    sudo -u neutron nsxadmin --config-file /etc/neutron/neutron.conf --config-file /etc/neutron/plugins/vmware/nsxv.ini -r firewall-sections -o nsx-reorder