TAS Foundation からポリシーへの移行

前提条件

• NSX のバージョンは 4.0.1 以降です。
• VMware NSX-T タイルのバージョンは 4.1.2.x 以降です。
• TAS 基盤のみが NSX ネットワークを使用しています。
• 同じ NSX Manager クラスタに展開されたすべての基盤を同じメンテナンス ウィンドウで移行する必要があります。
• メンテナンス ウィンドウで、同じ NSX Manager クラスタに展開されたすべての基盤（マネージャ モードまたはポリシー モードで実行）で NCP を一時停止する必要があります。この間、タスクの作成などの TAS 操作の作成、更新、削除や、イベントをドレインするアプリケーションはすべて機能しません。

移行手順の概要

NSX-T タイルには、TAS 基盤を NSX ポリシーに移行する「migrate-mp2p」という展開後の errand が表示されます。errand は、VMware NSX-t タイル用に作成された展開内の専用の仮想マシンで実行されます。次の手順に従って、TAS 基盤を NSX ポリシー モードに移行します。

1. 必要であれば、手動で作成した DFW セクションをリファクタリングします。NSX 管理者によって作成された DFW セクションの処理を参照してください。
2. 同じ NSX Manager を使用するすべての基盤（マネージャ モードまたはポリシー モードで実行）に対して、次の手順を実行します。
   1. 基盤で NCP を一時停止します。詳細な手順については、「基盤で NCP を一時停止する方法」セクションを参照してください。これは、すべての基盤で並行して実行する必要があります。
3. NSX Manager のバックアップを作成します。
4. 手順 2 で特定した各基盤（マネージャ モードでのみ実行）に対して次の手順を実行します。一度に 1 つの基盤を操作します。
   1. migrate-mp2p errand 使用して基盤を移行します。詳細については、「TAS 基盤を NSX ポリシーに移行する方法」セクションを参照してください。
5. 手順 2 で特定した各基盤（マネージャ モードまたはポリシー モードで実行）に対して次の手順を実行します。
   1. 基盤内の NCP をポリシー モードで開始します。詳しい手順については、「TAS 基盤を NSX ポリシー モードで開始する方法」セクションを参照してください。これは、すべての基盤で並行して実行する必要があります。

基盤で NCP を一時停止する方法

NCP プロセスは、VMware Tanzu Application Service 展開の diego_database 仮想マシンで実行されます。NSX の状態を変更するため、移行プロセス中に一時停止する必要があります。同じ理由で、NSX のバックアップを作成する前に NCP を一時停止する必要があります。次の手順に従って、基盤で NCP を一時停止します。これらは、同じ NSX Manager を共有するすべての TAS 基盤で並行して実行する必要があります。

1. [VMware NSX-T] をクリックします。
2. [MP to Policy Migration] 構成ペインをクリックします。[Pause NCP in the foundation] ラジオ ボタンを選択します。[保存] をクリックします。
3. [変更を適用] をクリックします。

TAS 基盤を NSX ポリシーに移行する方法

移行対象の NSX リソース タイプ

TAS 基盤の移行には、2 種類の NSX リソースの移行が含まれます。これは主に、リソースの作成者によって異なります。これらは次のように定義されます。

• 共有 NSX リソース：これらの NSX リソースは、ユーザーが手動または terraform などの自動化ツールを使用して明示的に作成しています。これらは、複数の TAS 基盤または TKGi などの製品と共有できます。共有リソースには、「https://docs.vmware.com/jp/VMware-Tanzu-Application-Service/2.11/tas-for-vms/vsphere-nsx-t.html#nsx-t-setup」の手順で作成され、TAS オブジェクト（アプリケーションや組織の SNAT IP アドレス プールなど）に注釈として指定された NSX リソースや、基盤で使用される DFW セクションやルールのように明示的に作成された NSX リソースが含まれます。NCP をポリシー モードで動作させるには、これらのリソースを移行する必要がありますが、これらのリソースは NCP に認識されないため、ユーザーが提供する必要があります。このため、これらの NSX リソースは [MP to Policy migration] 構成ペインで指定する必要があります。
• NCP によって作成された NSX リソース：これらの NSX リソースは、TAS ワークロードに応答して NCP によって作成されています。これらのリソースは、基盤の移行中に自動的に推測されるため、ユーザーが指定する必要はありません。

migrate-mp2p errand の操作モード

migrate-mp2p errand は次の 2 つのモードで実行できます。

1. 共有 NSX リソースと NCP によって作成された NSX リソースの両方を移行する。これは、デフォルトの選択です。移行プロセス中、共有 NSX リソースは、NCP によって作成された NSX リソースよりも前に移行されます。
2. 共有 NSX リソースのみを移行する。これは、次の場合に役立ちます。
   1. 一部の NSX リソースを、NCP によって作成された NSX リソースの後に移行する必要がある場合。
   2. 最初の試行でユーザーが共有 NSX リソースの指定を忘れた場合。
   3. ユーザーが移行プロセスについて理解したいと考えている場合。

      このモードで errand を実行する方法については、以下の「移行手順」の手順 3 で示します。

移行手順

以下では、基盤からポリシーへの移行に関連するアクションの概要を説明します。手順 4 は、一度に 1 つの基盤で実行する必要があります。

1. [MP to Policy Migration] 構成ペインで、ポリシーに移行する必要のあるすべての共有 NSX リソースの ID または表示名を検索して入力します。次に例を示します。
2. [Perform Migration to NSX Policy] ラジオ ボタンを選択します。[保存] をクリックします。
3. （オプション）共有 NSX リソースのみを移行する場合は、[Migrate only manually created NSX resources] チェックボックスを有効にします。これを有効にすると、この基盤の NCP で作成された NSX リソースは移行されません。
4. [Installation Dashboard] をクリックして、[Review Pending Changes] をクリックします。[Perform MP2P Migration] errand を有効にします。[変更を適用] をクリックします。
5. 移行が失敗し、errand のログに再試行が必要な状態であることが記録されている場合は、手順 1 のプロセスを繰り返します。NSX のバックアップを使用する必要がある場合は、「TAS Foundations のリストアに NSX のバックアップを使用する方法」セクションに移動します。それ以外の場合は、移行に成功しています。移行状態は基盤 Tier-0 のタグで推測できます。詳細については、「基盤の移行状態を確認する方法」セクションを参照してください。

基盤の移行状態を確認する方法

Tier-0 にこのタグを追加するキャパシティがある場合は、NSX の基盤 Tier-0 で範囲が「ncp/mp2p_status_<foundation name>」のタグから基盤の移行状態を読み取ることができます。このタグは、基盤用に作成されたNSX ポリシー ドメインに常に追加されます。ドメインの ID は基盤名と同じであり、このドメインは NSX UI に表示されません。どのステータスでもデータ プレーンに影響はありません。ステータスは次のいずれかになります。

1. 「in_progress」:この基盤で移行が進行中であることを示します。
2. 「成功」:基盤がポリシーに移行され、NCP をポリシー モードで開始できることを示します
3. 「rollback_succeeded」：ポリシーへの移行に失敗しましたが、この基盤の一部として移行されたすべての NSX リソースがロールバックされていることを示します。つまり、移行前にマネージャ モードの元の状態にリストアされています。推奨される次の手順は次のとおりです。
   1. migrate-mp2p の使用を再度実行します。一時的な理由により失敗した場合、成功することがあります。失敗した場合は、少なくとも 3 回再試行し、各試行の間に 15 分の時間差を設定してから、手順 3b に移行することをお勧めします。
   2. この基盤で NCP をマネージャ モードで再起動し、少なくとも 30 分実行したままにすると、NCP は TAS 操作を再開する前に、NSX バックエンドと TAS 状態を調整できます。これを行わないと、TAS 操作で一時的な障害が発生する可能性があります。可能な場合は、この基盤の移行を再試行してください。手順 3c に進む前に、少なくとも 3 回実行することをお勧めします。
   3. 基盤の移行前に作成されたバックアップを使用して、TAS 基盤とNSX マネージャをリストアします。詳細については、「NSX バックアップを使用して TAS Foundations をリストアする方法」を参照してください。VMware サポートにお問い合わせください。
4. 「rollback_failed」:ポリシーへの移行に失敗し、この基盤の一部として移行されたすべてのNSX リソースをロールバックできなかったことを示します。この場合、NCP がマネージャ モードまたはポリシー モードで実行されていると、開始に失敗します。この状況は、NSX Manager で予期しない障害が発生した可能性があります。推奨される次の手順は次のとおりです。
   1. migrate-mp2p の使用を再度実行します。NSX リソースのロールバックが再試行されます。これは複数回実行できます。ロールバックが正常に完了するまで実行する必要があります。これは、使用ログと基盤 Tier-0 のタグで示されます。失敗した場合は、少なくとも 5 回再試行し、各試行の間に 15 分の時間差を設定してから、手順 4b に移行することをお勧めします。
   2. 基盤の移行前に作成されたバックアップを使用して、TAS 基盤とNSX マネージャをリストアします。詳細については、「NSX バックアップを使用して TAS Foundations をリストアする方法」を参照してください。VMware サポートにお問い合わせください。
5. 「commit_failed」：NSX リソースをポリシー モードに正常に移行した後、NCP で使用されるこれらのリソースを更新中に障害が発生したため、ポリシーへの移行に失敗したことを示します（「NCP クラスタと TAS 基盤のポリシーへの移行」の「フェーズ 4」セクションを参照）。この場合は、migrate-mp2p の使用を再実行することをお勧めします。この状態では、NCP をマネージャ モードまたはポリシー モードで実行しないでください。これは複数回実行できます。これは、移行が正常に完了するまで実行する必要があります。これは、使用ログと基盤 Tier-0 のタグで示されます。失敗した場合は少なくとも 5 回再試行し、試行ごとに 15 分の間隔で再試行し、問題が解決しない場合はVMwareサポートにお問い合わせください。
6. 「payload_creation_failed」:NSX リソースの移行に必要なペイロードを移行用に作成できなかったことを示します。この場合は、使用を再実行することをお勧めします。問題が解決しない場合は、次の手順を実行します。
   1. この基盤で NCP をマネージャ モードで再起動し、少なくとも 30 分実行したままにして、NCP が TAS 操作を再開する前に TAS 状態を NSX バックエンドと調整し、可能であればこの基盤の移行を再試行します。手順 6b に進む前に、少なくとも 3 回実行することをお勧めします。
   2. 基盤の移行前に作成されたバックアップを使用して、TAS 基盤とNSX マネージャをリストアします。詳細については、「NSX バックアップを使用して TAS Foundations をリストアする方法」を参照してください。VMware サポートにお問い合わせください。

NSX ポリシー モードで TAS 基盤を開始する方法

次の手順に従って、Opsmanager ユーザー インターフェイスから TAS 基盤をポリシー モードで実行します。

1. [VMware NSX-T] タイルの [NCP] 構成ペインに移動します。[Enable NSX-T Policy API] チェックボックスを選択します。[保存] をクリックします。
2. [VMware NSX-T] タイルの [MP to Policy Migration] 構成ペインに移動します。[Run NCP] ラジオ ボタンを選択します。[保存] をクリックします。
3. [Installation Dashboard] をクリックして、[Review Pending Changes] をクリックします。[変更を適用] をクリックします。

NSX バックアップを使用して TAS Foundation をリストアする方法

以下のセクションでは、NSX バックアップを使用してすべての NSX Manager ノードをリストアした後に、TAS 基盤をマネージャ モードまたはポリシー モードにリストアする手順について説明します。

TAS 基盤をマネージャ モードにリストアする手順

ポリシーに正常に移行または失敗し、同じNSX マネージャを共有する基盤をリストアするには、次の手順を実行する必要があります。

1. 基盤の Ops Manager ユーザー インターフェイスで、次の操作を行います。
   1. [VMware NSX-T] タイルの [NCP] 構成ペインに移動します。[Enable NSX-T Policy API] チェックボックスの選択を解除します。[保存] をクリックします。
   2. [VMware NSX-T] タイルの [MP to Policy Migration] 構成ペインに移動します。[Run NCP] ラジオ ボタンを選択します。[保存] をクリックします。
2. [Installation Dashboard] をクリックして、[Review Pending Changes] をクリックします。[変更を適用] をクリックします。変更が正常に適用されると、基盤はマネージャ モードで再び機能します。

TAS 基盤をポリシー モードにリストアする手順

これらの手順を実行して、すでにポリシーが所有していた(移行が行われなかった)基盤と、同じNSX マネージャを共有する基盤をリストアする必要があります。

1. 基盤の Ops Manager ユーザー インターフェイスで、次の操作を行います。
   1. [VMware NSX-T] タイルの [MP to Policy Migration] 構成ペインに移動します。[Run NCP] ラジオ ボタンを選択します。[保存] をクリックします。
2. [Installation Dashboard] をクリックして、[Review Pending Changes] をクリックします。[変更を適用] をクリックします。変更が正常に適用されると、基盤はポリシー モードで再び機能します。

トラブルシューティング

移行ログ

NSX リソースがポリシーに移行されると、mp2p スクリプトは NSX MP ID をローカル（仮想マシン）にキャッシュします。このような ID はすべて、移行レコードと呼ばれるものを構成します。詳細については、NCP クラスタと TAS 基盤のポリシーへの移行を参照してください。

デフォルトでは、移行ログとレコードは、パス /var/vcap/store/migrate-mp2p にある 2,048 MB のパーシステント ストレージに保存されます。このパスに「mp2p-records-<time in epoch>」のような名前で新しいディレクトリを作成します。このディレクトリはターゲット ディレクトリといいます。このディレクトリには、すべてのログと移行レコードが含まれています。このディレクトリは、「VMware NSX-T」デプロイでデプロイされた仮想マシン「migrate-mp2p」からアクセスできます。errand の最後の実行の移行ログも、この仮想マシンのパス /var/vcap/sys/log/migrate-mp2p/ に存在します。

• 移行が成功すると、移行レコードは空になります。
• 移行が失敗した場合、使用者は移行レコードを使用して自動ロールバックを試みます。ロールバックが失敗すると、移行レコードがターゲット ディレクトリに保存されます。使用が再度実行されると、前回の実行から移行レコードがロードされ、NSXリソースを自動的にロールバックするか、移行を完了しようとします。

注意すべき点

ポリシー モードに移行する場合は、次の点に注意してください。

1. TAS 内のすべての共有 NSX リソースのポリシー ID は、MP の ID と同じです。
2. 基盤をポリシー モードに移行したら、NCP をポリシー モードで開始する必要があります。移行された NSX リソースを移行前に記録された状態にリストアするために NSX のバックアップを使用しない限り、マネージャ モードで使用することはできません。
3. 基盤がポリシー モードに移行され、NCP がポリシー モードで開始されると、NSX バックアップを使用して基盤をマネージャ モードにリストアできなくなる可能性があります。
4. 移行ログは、NCP がポリシー モードで開始されてから最大 5 日しか使用できません。後で問題が発生した場合は、これらのログを長期的なパーシステント ストレージに保存することを強くお勧めします。
5. Tier-0 には予備のキャパシティがないため、基盤の移行後に「ncp/mp2p_status_<foundation name>」タグを基盤の Tier-0 ゲートウェイに追加できない可能性があります。このような場合、可能であれば、以前の移行の既存のタグが新しいタグに置き換えられます。
6. 移行後に NCP をマネージャ モードで実行すると、NSX リソースの状態を変更できなくなります。これは、これらのリソースが NSX ポリシーによって所有されているためです。
7. すべての基盤がポリシーに移行された後、NSX で他の製品が実行されていない場合にのみ、NSX Manager で [システム] > [移行] に移動し、NSX ユーザー インターフェイスを使用してマネージャ モードの残りの NSX リソースをすべて移行することをお勧めします。
8. DFW ルールの送信元と宛先が ANY の場合は、このような DFW セクションを「デフォルト」NSX ポリシー ドメインに移行する必要があります。