TAS Foundation からポリシーへの移行

前提条件

NSX のバージョンは 4.0.1 以降です。
VMware NSX-T タイルのバージョンは 4.1.2.x 以降です。
TAS 基盤のみが NSX ネットワークを使用しています。
同じ NSX Manager クラスタに展開されたすべての基盤を同じメンテナンスウィンドウで移行する必要があります。
メンテナンスウィンドウで、同じ NSX Manager クラスタに展開されたすべての基盤（マネージャモードまたはポリシーモードで実行）で NCP を一時停止する必要があります。この間、タスクの作成などの TAS 操作の作成、更新、削除や、イベントをドレインするアプリケーションはすべて機能しません。

移行手順の概要

NSX-T タイルには、TAS 基盤を NSX ポリシーに移行する「migrate-mp2p」という展開後の errand が表示されます。errand は、VMware NSX-t タイル用に作成された展開内の専用の仮想マシンで実行されます。次の手順に従って、TAS 基盤を NSX ポリシーモードに移行します。

必要であれば、手動で作成した DFW セクションをリファクタリングします。NSX 管理者によって作成された DFW セクションの処理を参照してください。
同じ NSX Manager を使用するすべての基盤（マネージャモードまたはポリシーモードで実行）に対して、次の手順を実行します。
1. 基盤で NCP を一時停止します。詳細な手順については、「基盤で NCP を一時停止する方法」セクションを参照してください。これは、すべての基盤で並行して実行する必要があります。
NSX Manager のバックアップを作成します。
手順 2 で特定した各基盤（マネージャモードでのみ実行）に対して次の手順を実行します。一度に 1 つの基盤を操作します。
1. migrate-mp2p errand 使用して基盤を移行します。詳細については、「TAS 基盤を NSX ポリシーに移行する方法」セクションを参照してください。
手順 2 で特定した各基盤（マネージャモードまたはポリシーモードで実行）に対して次の手順を実行します。
1. 基盤内の NCP をポリシーモードで開始します。詳しい手順については、「TAS 基盤を NSX ポリシーモードで開始する方法」セクションを参照してください。これは、すべての基盤で並行して実行する必要があります。

基盤で NCP を一時停止する方法

NCP プロセスは、VMware Tanzu Application Service 展開の diego_database 仮想マシンで実行されます。NSX の状態を変更するため、移行プロセス中に一時停止する必要があります。同じ理由で、NSX のバックアップを作成する前に NCP を一時停止する必要があります。次の手順に従って、基盤で NCP を一時停止します。これらは、同じ NSX Manager を共有するすべての TAS 基盤で並行して実行する必要があります。

[VMware NSX-T] をクリックします。
[MP to Policy Migration] 構成ペインをクリックします。[Pause NCP in the foundation] ラジオボタンを選択します。[保存] をクリックします。
[変更を適用] をクリックします。

TAS 基盤を NSX ポリシーに移行する方法

移行対象の NSX リソースタイプ

TAS 基盤の移行には、2 種類の NSX リソースの移行が含まれます。これは主に、リソースの作成者によって異なります。これらは次のように定義されます。

共有 NSX リソース：これらの NSX リソースは、ユーザーが手動または terraform などの自動化ツールを使用して明示的に作成しています。これらは、複数の TAS 基盤または TKGi などの製品と共有できます。共有リソースには、「https://docs.vmware.com/jp/VMware-Tanzu-Application-Service/2.11/tas-for-vms/vsphere-nsx-t.html#nsx-t-setup」の手順で作成され、TAS オブジェクト（アプリケーションや組織の SNAT IP アドレスプールなど）に注釈として指定された NSX リソースや、基盤で使用される DFW セクションやルールのように明示的に作成された NSX リソースが含まれます。NCP をポリシーモードで動作させるには、これらのリソースを移行する必要がありますが、これらのリソースは NCP に認識されないため、ユーザーが提供する必要があります。このため、これらの NSX リソースは [MP to Policy migration] 構成ペインで指定する必要があります。
NCP によって作成された NSX リソース：これらの NSX リソースは、TAS ワークロードに応答して NCP によって作成されています。これらのリソースは、基盤の移行中に自動的に推測されるため、ユーザーが指定する必要はありません。

migrate-mp2p errand の操作モード

migrate-mp2p errand は次の 2 つのモードで実行できます。

共有 NSX リソースと NCP によって作成された NSX リソースの両方を移行する。これは、デフォルトの選択です。移行プロセス中、共有 NSX リソースは、NCP によって作成された NSX リソースよりも前に移行されます。
共有 NSX リソースのみを移行する。これは、次の場合に役立ちます。
1. 一部の NSX リソースを、NCP によって作成された NSX リソースの後に移行する必要がある場合。
2. 最初の試行でユーザーが共有 NSX リソースの指定を忘れた場合。
3. ユーザーが移行プロセスについて理解したいと考えている場合。
  このモードで errand を実行する方法については、以下の「移行手順」の手順 3 で示します。

移行手順

以下では、基盤からポリシーへの移行に関連するアクションの概要を説明します。手順 4 は、一度に 1 つの基盤で実行する必要があります。

[MP to Policy Migration] 構成ペインで、ポリシーに移行する必要のあるすべての共有 NSX リソースの ID または表示名を検索して入力します。次に例を示します。
[Perform Migration to NSX Policy] ラジオボタンを選択します。[保存] をクリックします。
（オプション）共有 NSX リソースのみを移行する場合は、[Migrate only manually created NSX resources] チェックボックスを有効にします。これを有効にすると、この基盤の NCP で作成された NSX リソースは移行されません。
[Installation Dashboard] をクリックして、[Review Pending Changes] をクリックします。[Perform MP2P Migration] errand を有効にします。[変更を適用] をクリックします。
移行が失敗し、errand のログに再試行が必要な状態であることが記録されている場合は、手順 1 のプロセスを繰り返します。NSX のバックアップを使用する必要がある場合は、「TAS Foundations のリストアに NSX のバックアップを使用する方法」セクションに移動します。それ以外の場合は、移行に成功しています。移行状態は基盤 Tier-0 のタグで推測できます。詳細については、「基盤の移行状態を確認する方法」セクションを参照してください。

基盤の移行状態を確認する方法

Tier-0 にこのタグを追加するキャパシティがある場合は、NSX の基盤 Tier-0 で範囲が「ncp/mp2p_status_<foundation name>」のタグから基盤の移行状態を読み取ることができます。このタグは、基盤用に作成されたNSX ポリシードメインに常に追加されます。ドメインの ID は基盤名と同じであり、このドメインは NSX UI に表示されません。どのステータスでもデータプレーンに影響はありません。ステータスは次のいずれかになります。

「in_progress」:この基盤で移行が進行中であることを示します。
「成功」:基盤がポリシーに移行され、NCP をポリシーモードで開始できることを示します
「rollback_succeeded」：ポリシーへの移行に失敗しましたが、この基盤の一部として移行されたすべての NSX リソースがロールバックされていることを示します。つまり、移行前にマネージャモードの元の状態にリストアされています。推奨される次の手順は次のとおりです。
1. migrate-mp2p の使用を再度実行します。一時的な理由により失敗した場合、成功することがあります。失敗した場合は、少なくとも 3 回再試行し、各試行の間に 15 分の時間差を設定してから、手順 3b に移行することをお勧めします。
2. この基盤で NCP をマネージャモードで再起動し、少なくとも 30 分実行したままにすると、NCP は TAS 操作を再開する前に、NSX バックエンドと TAS 状態を調整できます。これを行わないと、TAS 操作で一時的な障害が発生する可能性があります。可能な場合は、この基盤の移行を再試行してください。手順 3c に進む前に、少なくとも 3 回実行することをお勧めします。
3. 基盤の移行前に作成されたバックアップを使用して、TAS 基盤とNSX マネージャをリストアします。詳細については、「NSX バックアップを使用して TAS Foundations をリストアする方法」を参照してください。VMware サポートにお問い合わせください。
「rollback_failed」:ポリシーへの移行に失敗し、この基盤の一部として移行されたすべてのNSX リソースをロールバックできなかったことを示します。この場合、NCP がマネージャモードまたはポリシーモードで実行されていると、開始に失敗します。この状況は、NSX Manager で予期しない障害が発生した可能性があります。推奨される次の手順は次のとおりです。
1. migrate-mp2p の使用を再度実行します。NSX リソースのロールバックが再試行されます。これは複数回実行できます。ロールバックが正常に完了するまで実行する必要があります。これは、使用ログと基盤 Tier-0 のタグで示されます。失敗した場合は、少なくとも 5 回再試行し、各試行の間に 15 分の時間差を設定してから、手順 4b に移行することをお勧めします。
2. 基盤の移行前に作成されたバックアップを使用して、TAS 基盤とNSX マネージャをリストアします。詳細については、「NSX バックアップを使用して TAS Foundations をリストアする方法」を参照してください。VMware サポートにお問い合わせください。
「commit_failed」：NSX リソースをポリシーモードに正常に移行した後、NCP で使用されるこれらのリソースを更新中に障害が発生したため、ポリシーへの移行に失敗したことを示します（「NCP クラスタと TAS 基盤のポリシーへの移行」の「フェーズ 4」セクションを参照）。この場合は、migrate-mp2p の使用を再実行することをお勧めします。この状態では、NCP をマネージャモードまたはポリシーモードで実行しないでください。これは複数回実行できます。これは、移行が正常に完了するまで実行する必要があります。これは、使用ログと基盤 Tier-0 のタグで示されます。失敗した場合は少なくとも 5 回再試行し、試行ごとに 15 分の間隔で再試行し、問題が解決しない場合はVMwareサポートにお問い合わせください。
「payload_creation_failed」:NSX リソースの移行に必要なペイロードを移行用に作成できなかったことを示します。この場合は、使用を再実行することをお勧めします。問題が解決しない場合は、次の手順を実行します。
1. この基盤で NCP をマネージャモードで再起動し、少なくとも 30 分実行したままにして、NCP が TAS 操作を再開する前に TAS 状態を NSX バックエンドと調整し、可能であればこの基盤の移行を再試行します。手順 6b に進む前に、少なくとも 3 回実行することをお勧めします。
2. 基盤の移行前に作成されたバックアップを使用して、TAS 基盤とNSX マネージャをリストアします。詳細については、「NSX バックアップを使用して TAS Foundations をリストアする方法」を参照してください。VMware サポートにお問い合わせください。

NSX ポリシーモードで TAS 基盤を開始する方法

次の手順に従って、Opsmanager ユーザーインターフェイスから TAS 基盤をポリシーモードで実行します。

[VMware NSX-T] タイルの [NCP] 構成ペインに移動します。[Enable NSX-T Policy API] チェックボックスを選択します。[保存] をクリックします。
[VMware NSX-T] タイルの [MP to Policy Migration] 構成ペインに移動します。[Run NCP] ラジオボタンを選択します。[保存] をクリックします。
[Installation Dashboard] をクリックして、[Review Pending Changes] をクリックします。[変更を適用] をクリックします。

NSX バックアップを使用して TAS Foundation をリストアする方法

以下のセクションでは、NSX バックアップを使用してすべての NSX Manager ノードをリストアした後に、TAS 基盤をマネージャモードまたはポリシーモードにリストアする手順について説明します。

TAS 基盤をマネージャモードにリストアする手順

ポリシーに正常に移行または失敗し、同じNSX マネージャを共有する基盤をリストアするには、次の手順を実行する必要があります。

基盤の Ops Manager ユーザーインターフェイスで、次の操作を行います。
1. [VMware NSX-T] タイルの [NCP] 構成ペインに移動します。[Enable NSX-T Policy API] チェックボックスの選択を解除します。[保存] をクリックします。
2. [VMware NSX-T] タイルの [MP to Policy Migration] 構成ペインに移動します。[Run NCP] ラジオボタンを選択します。[保存] をクリックします。
[Installation Dashboard] をクリックして、[Review Pending Changes] をクリックします。[変更を適用] をクリックします。変更が正常に適用されると、基盤はマネージャモードで再び機能します。

TAS 基盤をポリシーモードにリストアする手順

これらの手順を実行して、すでにポリシーが所有していた(移行が行われなかった)基盤と、同じNSX マネージャを共有する基盤をリストアする必要があります。

基盤の Ops Manager ユーザーインターフェイスで、次の操作を行います。
1. [VMware NSX-T] タイルの [MP to Policy Migration] 構成ペインに移動します。[Run NCP] ラジオボタンを選択します。[保存] をクリックします。
[Installation Dashboard] をクリックして、[Review Pending Changes] をクリックします。[変更を適用] をクリックします。変更が正常に適用されると、基盤はポリシーモードで再び機能します。

トラブルシューティング

移行ログ

NSX リソースがポリシーに移行されると、mp2p スクリプトは NSX MP ID をローカル（仮想マシン）にキャッシュします。このような ID はすべて、移行レコードと呼ばれるものを構成します。詳細については、NCP クラスタと TAS 基盤のポリシーへの移行を参照してください。

デフォルトでは、移行ログとレコードは、パス /var/vcap/store/migrate-mp2p にある 2,048 MB のパーシステントストレージに保存されます。このパスに「mp2p-records-<time in epoch>」のような名前で新しいディレクトリを作成します。このディレクトリはターゲットディレクトリといいます。このディレクトリには、すべてのログと移行レコードが含まれています。このディレクトリは、「VMware NSX-T」デプロイでデプロイされた仮想マシン「migrate-mp2p」からアクセスできます。errand の最後の実行の移行ログも、この仮想マシンのパス /var/vcap/sys/log/migrate-mp2p/ に存在します。

移行が成功すると、移行レコードは空になります。
移行が失敗した場合、使用者は移行レコードを使用して自動ロールバックを試みます。ロールバックが失敗すると、移行レコードがターゲットディレクトリに保存されます。使用が再度実行されると、前回の実行から移行レコードがロードされ、NSXリソースを自動的にロールバックするか、移行を完了しようとします。

注意すべき点

ポリシーモードに移行する場合は、次の点に注意してください。

TAS 内のすべての共有 NSX リソースのポリシー ID は、MP の ID と同じです。
基盤をポリシーモードに移行したら、NCP をポリシーモードで開始する必要があります。移行された NSX リソースを移行前に記録された状態にリストアするために NSX のバックアップを使用しない限り、マネージャモードで使用することはできません。
基盤がポリシーモードに移行され、NCP がポリシーモードで開始されると、NSX バックアップを使用して基盤をマネージャモードにリストアできなくなる可能性があります。
移行ログは、NCP がポリシーモードで開始されてから最大 5 日しか使用できません。後で問題が発生した場合は、これらのログを長期的なパーシステントストレージに保存することを強くお勧めします。
Tier-0 には予備のキャパシティがないため、基盤の移行後に「ncp/mp2p_status_<foundation name>」タグを基盤の Tier-0 ゲートウェイに追加できない可能性があります。このような場合、可能であれば、以前の移行の既存のタグが新しいタグに置き換えられます。
移行後に NCP をマネージャモードで実行すると、NSX リソースの状態を変更できなくなります。これは、これらのリソースが NSX ポリシーによって所有されているためです。
すべての基盤がポリシーに移行された後、NSX で他の製品が実行されていない場合にのみ、NSX Manager で [システム] > [移行] に移動し、NSX ユーザーインターフェイスを使用してマネージャモードの残りの NSX リソースをすべて移行することをお勧めします。
DFW ルールの送信元と宛先が ANY の場合は、このような DFW セクションを「デフォルト」NSX ポリシードメインに移行する必要があります。