Red Hat Summit第6章 Ansible Automation Platform on Microsoft Azure のサポート
Ansible Automation Platform on Microsoft Azure は、Red Hat によってサポートおよび保守されるマネージドアプリケーションです。アプリケーションのアーキテクチャーと Azure でのデプロイメントストラテジーにより、状況によっては、設定の一部の側面をカスタマイズおよび変更すると、一部のコンポーネントの責任が変更される可能性があります。
Ansible Automation Platform on Microsoft Azure を使用した Azure 仮想アプライアンスのルーティング
Ansible Automation Platform on Microsoft Azure ユーザーは、独自のネットワークをピアリングするように Ansible Automation Platform ネットワークを設定できます。これにより、Ansible Automation Platform インスタンスから、管理する独自のネットワークに関連付けられたすべてのアセットにアクセスを付与することができます。また、すべての Ansible Automation Platform トラフィックを独自の Virtual Network Appliances にルーティングして、Ansible Automation Platform インスタンスからインターネットへのトラフィックを制御、監査、またはブロックできます。これを行うには、Ansible Automation Platform が適切に機能するように URL を許可リストに登録する必要があります。
Azure Virtual Appliance Routing の詳細は、Red Hat カスタマーポータルのアーティクル記事 Azure Virtual Appliance Routing with Ansible Automation Platform on Azure を参照してください。
プライベート DNS ゾーン
Ansible Automation Platform on Microsoft Azure は、デプロイ時に Azure の管理対象 DNS サービスを使用します。
パブリックで解決できないプライベート DNS レコードを使用するには、管理対象アプリケーション VNET にピアリングされている Azure Private DNS ゾーンを使用するか、Red Hat に送信リクエストを出し、お客様が管理するプライベート DNS サーバーに転送する必要のある DNS ゾーンを送信します。
プライベート DNS ゾーンの制限とは、仮想ネットワークにリンクできるには、特定のゾーンの 1 つのインスタンスのみという点です。管理対象のリソースグループ内のプライベート DNS ゾーンの名前と一致するゾーンをリンクしようとすると、競合が生じます。Microsoft は、この制限を回避するために、DNS レコードを 1 つのゾーンに統合することを推奨しています。
管理対象リソースグループのゾーンからプライベート DNS ゾーンの独自のインスタンスにレコードを複製できます。続いて、管理対象のリソースグループのプライベート DNS ゾーンを仮想ネットワークからリンク解除し、プライベート DNS ゾーンの独自のインスタンスに置き換えることができます。
プライベート DNS ゾーンのレコードを適切に維持しないと、管理対象アプリケーションが動作しなくなる可能性があります。
Azure Kubernetes Service (AKS) プライベート DNS ゾーンはお客様が管理することはできませんが、Red Hat はこのサービスに含まれる管理対象 AKS を更新またはアップグレードできます。メンテナンス期間中に Red Hat がお客様の AKS を最新バージョンにアップグレードできるようにするには、<GUID>.privatelink.<region>.azmk8s.io プライベート DNS ゾーンのリンクを解除しないでください。この制限の詳細は、Microsoft Azure ドキュメントの "CreateOrUpdateVirtualNetworkLinkFailed" error when updating or upgrading an AKS cluster を参照してください。
この制限を回避するために、Red Hat では、管理対象リソースグループのプライベート DNS ゾーンで A レコードと CNAME レコードを管理できるようにしています。管理対象リソースグループ内のプライベート DNS ゾーンに配置したレコードはすべて、Red Hat SRE に表示されます。管理対象リソースグループでプライベート DNS ゾーンを使用する場合は、必要なレコードでそれらを更新してください。お客様が提供するレコードは、障害復旧プロセスの一環としてバックアップされません。Azure が提供するレコードを削除すると、Microsoft Azure 上の Ansible Automation Platform でネットワーク接続の問題が発生する可能性があります。
プライベート DNS ゾーンの使用に関する詳細は、Red Hat カスタマーポータルの Private DNS with Red Hat Ansible Automation Platform on Microsoft Azure を参照してください。
Microsoft Azure Policy
状況によっては、Azure Policy を使用してタグ付けルールや規則などを適用すると、Ansible Automation Platform on Microsoft Azure のコンポーネントが存在する Resource Group に悪影響を及ぼす可能性があります。Azure Policy を適用すると、Resource Group 内の新規コンポーネントの変更、操作への影響、またはデプロイメントのブロックを阻止できます。これらの状況は、メンテナンスまたは日次操作中に Red Hat によって特定されます。たとえば、管理対象アプリケーションに関連付けられたリソースに対して例外を使用して、Azure Policy の適用を除外する必要があります。
Azure Policy の使用に関する詳細は、Red Hat カスタマーポータルの Azure Policy and Ansible on Azure の記事を参照してください。
6.1. 限定サポートステータス
サービスの機能や Red Hat の監視およびサービス提供機能に悪影響を及ぼすような Azure インフラストラクチャーの変更やポリシーを実装する可能性があります。このようなシナリオでは、デプロイメントは限定サポートステータスに移行できます。次のようなシナリオを含むさまざまな理由により、デプロイメントが限定サポートステータスに移行する場合があります。
- 非アクティブな Ansible サブスクリプション
Red Hat は、アプリケーションのデプロイメントプロセスを通じてサブスクリプションのエンタイトルメントを発行します。エンタイトルメントは発行後 1 年で期限切れになります。有効期限が切れる前に、お客様にはエンタイトルメントの更新メールが送信されます。このプロセスにより、翌年の新しいエンタイトルメントが発行され、Ansible Automation Platform にインポートできるようになります。
- 更新の失敗
- エンタイトルメントの有効期限が切れても、お客様は Ansible Automation Platform on Microsoft Azure を引き続き使用できます。ただし、Red Hat サポートでは、サポートの問い合わせに対応する前に有効なエンタイトルメントが必要です。
- カスタマイズされたポリシーの変更
Ansible Automation Platform on Microsoft Azure は、お客様の Azure テナントのインフラストラクチャー上で実行されます。つまり、お客様の Azure ポリシーはプラットフォームのデプロイメントや機能に影響を及ぼす可能性があります。Azure ポリシー定義の柔軟性を考えると、プラットフォームでインフラストラクチャーまたは運用上の問題を引き起こす可能性のあるすべてのポリシーをリスト表示することは不可能です。このようなイベントが発生した場合、Red Hat SRE チームは、問題の原因となっているポリシーを特定し、修復策を提案することができます。管理対象アプリケーションを正しく機能させるには、修復に顧客ポリシーの変更が必要になる場合があります。
- 修復の失敗
- ポリシーの競合が発生した場合、Red Hat チームが顧客に連絡して修正を行います。これらの変更によっては早めの対応が必要なものもあり、プラットフォームの運用機能に影響を及ぼす可能性があります。Red Hat Site Reliability Engineering (SRE) チームは、顧客がポリシーの問題を解決するまで、メンテナンスとアップグレードを一時停止します。
- ファイアウォールおよびネットワーク設定の変更
Ansible Automation Platform on Microsoft Azure からの Egress ルートを設定する場合、お客様は、プラットフォームのデプロイメント、監視、およびメンテナンスに使用されるパブリックインターネット上の一連のドメインにトラフィックをルーティングする必要があります。
- セットアップの失敗
- Ansible Automation Platform on Managed Azure は、Red Hat SRE チームによる監視やサービスが提供できない状態になります。
- クォータ制限の変更
Ansible Automation Platform on Microsoft Azure の前提条件として、選択したリージョンに管理対象アプリケーションをデプロイするための十分な容量が必要です。Microsoft は、各リージョンの制限 (CPU) に制限を課しています。お客様は、製品ドキュメントに記載されている仕様に従ってインフラストラクチャーをセットアップする必要があります。
- 修復の失敗
- Red Hat SRE チームは定期的なメンテナンスと改善を実施していますが、リージョンのクォータ制限によりデプロイメントを一貫して管理できなくなり、最終的にはオファリングを管理できなくなる可能性があります。
- 間違った CIDR 範囲
初期デプロイメント時に、お客様は Ansible Automation Platform が使用する VNet のネットワークアドレス範囲 (CIDR ブロック) を設定できます。設定後、ネットワークを作成すると、CIDR ブロックを変更できません。変更を加えるには、ドキュメントに指定されている設定を使用して、管理対象の Ansible Automation Platform アプリケーションを再デプロイする必要があります。
- 修復の失敗
- Azure ユーザーエクスペリエンスでは、お客様が任意の CIDR ブロックを設定できますが、ガイドラインよりも CIDR 範囲が小さいものを使用すると、デプロイメントのサポートが制限された状態になり、プラットフォームが自動化と管理の両方のワークロードに合わせて拡張できなくなる可能性があります。
