グループには静的および動的に追加されたさまざまなオブジェクトが含まれています。これらは、ファイアウォール ルールの送信元または宛先として使用できます。

また、仮想マシン、IP セット、MAC セット、セグメント ポート、セグメント、Active Directory ユーザー グループ、およびその他のグループの組み合わせを含むように構成できます。グループの動的な追加は、タグ、マシン名、OS 名、またはコンピュータ名に基づいて行うことができます。
注： API で LogicalPort ベースの基準を使用してグループを作成する場合は、ユーザー インターフェイスで SegmentPort 基準間に AND 演算子を使用して、そのグループを編集することはできません。

グループはファイアウォール ルールから除外できます。また、最大で 100 個のグループがリストに表示されます。IP セット、MAC セット、Active Directory グループは、ファイアウォール除外リストにあるグループのメンバーとして追加できません。詳細については、ファイアウォール除外リストの管理を参照してください。

1 つの分散ファイアウォール ルール内に送信元として使用できるのは、1 つのグループのみです。送信元で IP グループと Active Directory グループが必要な場合は、それぞれのグループにファイアウォール ルールを作成します。

IP アドレス、MAC アドレス、または Active Directory グループのみで構成されるグループは、 [適用先] テキスト ボックスで使用できません。

注： ホストが vCenter Server に追加されたり、vCenter Server から削除されると、ホストの仮想マシンの外部 ID が変更されます。仮想マシンがグループの固定メンバーで、その外部 ID が変更されると、 NSX Manager のユーザー インターフェイスで、この仮想マシンはグループのメンバーとして表示されなくなります。ただし、グループのリストを取得する API を実行すると、このグループに元の外部 ID を持つ仮想マシンが含まれています。グループの固定メンバーとして追加した仮想マシンの外部 ID が変更された場合は、新しい外部 ID を使用して仮想マシンを再度追加する必要があります。動的なメンバーシップ基準を使用して、この問題を回避することもできます。

IP、MAC アドレス、ID グループを含むポリシー グループの場合、リスト API は members 属性を[表示しません]。これは、静的メンバーの組み合わせを含むグループの場合も同じです。たとえば、IP と仮想マシンを含むポリシー グループでは、メンバー属性は表示されません。

ポリシー グループに IP 、MAC アドレス、ID グループが含まれていない場合、NSGroup 応答でメンバー属性が表示されます。ただし、NSX-T Data Center で導入された新しいメンバーと基準（DVPort や DVPG など）は、MP グループ定義に含まれません。ユーザーは、ポリシーで定義を確認できます。

NSX 内のタグは大文字と小文字が区別されますが、タグに基づくグループでは区別されません。たとえば、動的グループ メンバーシップの基準が VM Tag Equals 'quarantine' 場合、「quarantine」または「QUARANTINE」のいずれかのタグを含むすべての仮想マシンがこのグループに含まれます。

NSX Cloud を使用している場合は、NSX-T Data Center とパブリック クラウド タグを使用した仮想マシンのグループ化を参照して、パブリック クラウド タグで NSX Manager 内のワークロード仮想マシンをグループ化する方法を確認してください。

前提条件

NSX フェデレーションを使用している場合、構成オプションの詳細については、 NSX フェデレーション のセキュリティを参照してください。

手順

  1. ナビゲーション パネルから、[インベントリ] > [グループ] の順に選択します。
  2. [グループの追加] をクリックし、グループ名を入力します。
  3. NSX フェデレーションの グローバル マネージャ のグループを追加する場合は、デフォルトのリージョンの選択を受け入れるか、ドロップダウン メニューからリージョンを選択します。リージョンを持つグループを作成すると、リージョンの選択を編集できなくなります。ただし、場所を追加または削除することで、リージョン自体の範囲を変更することができます。グループを作成する前に、カスタマイズしたリージョンを作成できます。グローバル マネージャ からのリージョンの作成 を参照してください。
    NSX フェデレーション環境の グローバル マネージャ から追加されたグループの場合、リージョンの選択は必須です。 グローバル マネージャ を使用していない場合、このテキスト ボックスは使用できません。
  4. [設定] をクリックします。
  5. [メンバーの設定] ウィンドウで、[グループ タイプ] を選択します。
    グループ タイプ 説明
    汎用

    このグループ タイプがデフォルトの選択になります。汎用グループ定義は、メンバーシップ基準、手動で追加されたメンバー、IP アドレス、MAC アドレス、Active Directory グループの組み合わせで構成できます。

    手動で追加された IP アドレスのメンバーのみを含む汎用グループは、DFW ルールの [適用先] フィールドで使用できません。ルールの作成はできますが、適用されません。

    グループでメンバーシップ基準を定義すると、メンバーは 1 つ以上の基準に従ってグループに動的に追加されます。手動で追加されたメンバーには、セグメント ポート、分散ポート、分散ポート グループ、VIF、仮想マシンなどのオブジェクトがあります。
    IP アドレスのみ

    このグループ タイプには、IP アドレス（IPv4 または IPv6）のみが含まれます。手動で追加された IP アドレスのメンバーのみを含む [IP アドレスのみ] グループは、DFW ルールの [適用先] で使用できません。ルールの作成はできますが、適用されません。

    [IP アドレスのみ] タイプのグループが NSX-T Data Center で認識された後、このグループ タイプを編集して [汎用] にすることはできません。ただし、グループ タイプが [汎用]の場合は、グループ タイプを編集して [IP アドレスのみ] にできます。この場合、IP アドレスのみがグループに保持されます。メンバーシップ基準と他のグループ定義はすべて失われます。

    このグループ タイプは、以前の NSX-T リリースのマネージャ モードの IP セット タグベース基準を持つ NSGroup と機能的に似ています。
    Antrea

    このグループ タイプは、NSX-T 環境に 1 つ以上の Antrea コンテナ クラスタが登録されている場合にのみ使用できます。

    詳細については、Antrea グループとAntrea グループの追加を参照してください。
  6. （オプション） [メンバーシップ基準] ページで、[条件の追加] をクリックして、1 つ以上のメンバーシップ基準に基づいてグループにメンバーを動的に追加します。

    メンバーシップ基準には 1 つ以上の条件を指定できます。条件には、同じメンバー タイプを使用することも、異なるメンバー タイプを混在させることもできます。ただし、メンバーシップ基準にメンバー タイプが混在する複数の条件を追加する場合は、いくつかの制限があります。メンバーシップ基準については、グループ メンバーシップ基準の概要を参照してください。

  7. （オプション） [メンバー] をクリックして、グループに静的メンバーを追加します。
    使用可能なメンバー タイプは次のとおりです。
    • [グループ] - NSX フェデレーション を使用している場合は、グローバル マネージャ から作成しているグループに対して選択したリージョンと同等またはそれ以下の範囲を持つメンバーとしてグループを追加できます。NSX フェデレーション のセキュリティを参照してください。
    • [NSX セグメント] - ゲートウェイ インターフェイスに割り当てられた IP アドレスと、NSX ロード バランサの仮想 IP アドレスはセグメント グループ メンバーとして含まれません。
    • [セグメント ポート]
    • [分散ポート グループ]
    • [分散ポート]
    • [VIF]
    • [仮想マシン]
    • [物理サーバ]
    • [クラウド ネイティブ サービス インスタンス]
  8. （オプション） [IP/MAC アドレス] をクリックして、IP アドレスおよび MAC アドレスをグループ メンバーとして追加します。IPv4 アドレス、IPv6 アドレス、マルチキャスト アドレスがサポートされています。
    [アクション] > [インポート] の順にクリックして、カンマ区切りの IP/MAC 値を含む TXT ファイルまたは CSV ファイルから IP/MAC アドレスをインポートします。
  9. （オプション） [Active Directory グループ] をクリックして、Active Directory グループを追加します。Active Directory のメンバーを持つグループは、Identity Firewall の分散ファイアウォール ルールの [送信元] テキスト ボックスに使用できます。グループには、Active Directory とコンピュート メンバーの両方を含めることができます。
    注： NSX フェデレーション を使用している場合、グローバル マネージャからグループを作成して、Active Directory ユーザー グループを含めることはできません。
  10. （オプション） 説明とタグを入力します。
  11. [適用] をクリックします。
    グループが表示され、メンバーとグループの使用場所を表示するオプションが示されます。