VMware SD-WAN Orchestrator は、API を介して、カスタマーとそのネットワークに関する機密情報を保存およびエクスポートします。オンプレミスのカスタマーの機密情報を外部の攻撃から保護し、API へのアクセスを制限するために、 VMware SD-WAN は、 SD-WAN Edge のステージングとアクティベーションの目的で、インターネットに面した非武装地帯 (DMZ) での Bastion Orchestrator(パブリック Orchestrator)の構成をサポートします。Bastion Orchestrator 機能を有効にすると、オペレータ スーパー ユーザーは、本番環境の(プライベート)Orchestrator から受信したアクティベーション キーを使用して、Bastion Orchestrator に対してプロビジョニングされた Edge をアクティベーションできます。次に、アクティベーションされた Edge は、安全な通信を介して Bastion Orchestrator から本番環境の Orchestrator に昇格されます。
注: このドキュメントでは、「Bastion Orchestrator」という用語は「パブリック Orchestrator」という用語と同じ意味で使用され、「本番環境の Orchestrator」という用語は「プライベート Orchestrator」という用語と同じ意味で使用されます。
次の図は、Bastion Orchestrator のアーキテクチャとアクティベーション ワークフローを示しています。
Bastion Orchestrator アーキテクチャは、相互に通信する 2 つの SD-WAN Orchestrator インスタンスで構成されています。Bastion ペアのパブリック向けのインスタンスは「Bastion Orchestrator」で、プライベート インスタンスは「本番環境の Orchestrator」です。Bastion Orchestrator - Edge アクティベーション ワークフローには、次の手順が含まれます。
  1. Bastion Orchestrator の構成
  2. 本番環境の Orchestrator の準備
  3. Bastion Orchestrator への SD-WAN Edge のステージング
  4. Bastion Orchestrator に対する SD-WAN Edge のアクティベーション
  5. Bastion Orchestrator から本番環境の Orchestrator へのアクティベーションされた Edge の昇格

制限事項

  • Bastion の構成中、Bastion Orchestrator にステージングできるオペレータ スーパー ユーザー アカウントは 1 つだけです。Bastion と本番環境の Orchestrator の間で Bastion 接続が確立されると、オペレータ スーパー ユーザー アカウントを緊急の目的で使用して、Bastion Orchestrator にアクセスできます。ステージングされたオペレータ スーパー ユーザーは、[Bastion Orchestrator 構成 (Bastion Orchestrator Configuration)] ページにのみアクセスできます。
  • Bastion Orchestrator と本番環境の Orchestrator のペアリング解除([スタンドアローン モードに戻る (Return to Standalone Mode)] 操作)はサポートされていません。
  • Edge をアクティベーションするには、Edge が [証明書の取得 (Certificate Acquire)] モードである必要があります。Edge を昇格している間、Gateway との WAN リンクを UP 状態にするには、Gateway が [証明書の取得 (Certificate Acquire)] または [証明書が必要 (Certificate Required)] モードである必要があります。
  • Bastion Orchestrator から本番環境の Orchestrator に Edge を昇格させた後、Edge ソフトウェア イメージをアップグレードする場合は、本番環境の Orchestrator の vco.trusted.uuids システム プロパティを次のように構成します。
    [
        {
            "uuid": "72292451-d34f-45df-ac47-2ff1fd274ba2",
            "sessionSecret": "a3c0930b-43c5-41a6-b50b-5095aee50598"
        }
    ]

    ここで、uuidsessionSecret は、Bastion Orchestrator の UUID とセッション シークレットの値です。UUID とセッション シークレットは、それぞれ vco.uuidsession.secret のシステム プロパティから取得できます。

  • Bastion Orchestrator で Gateway と Edge がステージングされ、アクティベーションされると、Bastion Orchestrator でステージングされた Gateway と Edge に対して本番環境の Orchestrator を使用してリモート診断テストを実行することはできません。
  • エンタープライズ カスタマーを Bastion Orchestrator にステージングする目的で作成される Bastion ステージング プロファイルは、グローバル セグメントに関連する最小限の構成にする必要があります。プロファイル エンティティが更新されると、[グローバル セグメント (Global segment)] の [デバイス設定 (Device settings)]、[ビジネス ポリシー (Business Policy)]、および [ファイアウォール (Firewall)] のみが Bastion Orchestrator と同期されます。次のプロファイル構成は、Bastion Orchestrator と同期されません。
    • グローバル セグメント以外のセグメント
    • ネットワーク セグメント構成
    • オブジェクト グループ

Bastion Orchestrator のディザスタ リカバリ

基本的に、ディザスタ リカバリ (DR) 機能は本番環境の(プライベート)Orchestrator でサポートされていますが、Bastion(パブリック)Orchestrator はステートレスであり、本番環境の Orchestrator から指示を受け取るため、Bastion Orchestrator の DR 機能は現在サポートされていません。