プロバイダーロール

プロバイダーロールは、システム全体の管理者権限を付与します。プロバイダーロールを持つユーザーは、デフォルトのユーザー名 admin を持っています。プロバイダーユーザーは、サービスプロバイダーのドメイン名または Cisco vManage IP アドレスを使用して Cisco vManage にアクセスできます。ドメイン名を使用する場合、ドメイン名の形式は https://multitenancy.com です。

admin ユーザーは、ユーザーグループ netadmin の一部です。このグループのユーザーは、テナントのコントローラと Cisco SD-WAN デバイスに対するすべての操作を実行することが許可されます。netadmin グループにユーザーを追加できます。

netadmin グループの権限は変更できません。Cisco vManage では、[Administration] > [Manage Users] > [User Groups]ページからユーザーグループの権限を表示できます。

（注）	netadmin ユーザーを含む新しいプロバイダーユーザーを Cisco vManage で作成すると、デフォルトでは、ユーザーは Cisco vManage VM への SSH アクセスを許可されません。SSH アクセスを有効にするには、AAA テンプレートを使用して SSH 認証を設定し、Cisco vManage へテンプレートをプッシュします。SSH 認証の有効化の詳細については、「SSH Authentication using vManage on Cisco IOS XE SD-WAN Devices」を参照してください。

ユーザーとユーザーグループの構成の詳細については、「Configure User Access and Authentication」を参照してください。

Cisco vManage は、プロバイダーに 2 つのビューを提供します。

• プロバイダービュー

  プロバイダーユーザーが admin または別の netadmin ユーザーとしてマルチテナント Cisco vManage にログインすると、Cisco vManage にプロバイダービューが表示され、プロバイダーダッシュボードが表示されます。

  プロバイダービューから次の機能を実行できます。

  • Cisco vManage、Cisco vBond オーケストレーション、および Cisco vSmart コントローラ のプロビジョニングと管理。

  • テナントの追加、変更、または削除。

  • オーバーレイネットワークのモニタリング。

• テナントとしてのプロバイダービュー

  プロバイダーユーザーがプロバイダーダッシュボードの上部にある [Select Tenant] ドロップダウンリストから特定のテナントを選択すると、Cisco vManage にテナントとしてのプロバイダービューが表示され、選択したテナントのテナントダッシュボードが表示されます。プロバイダーユーザーは、tenantadmin としてログインしたときのテナントユーザーと同じ Cisco vManage のビューを持ちます。プロバイダーは、このビューから、テナントに代わってテナントの展開を管理できます。

  プロバイダーダッシュボードでは、テナントのテーブルに各テナントのステータスの概要が表示されます。プロバイダーユーザーは、このテーブルのテナント名をクリックして、テナントとしてのプロバイダービューを起動することもできます。

テナントロール

テナントロールは、テナント管理権限を付与します。テナントロールを持つユーザーは、デフォルトのユーザー名 tenantadmin を持っています。デフォルトのパスワードは Cisco#123@Viptela です。最初のログイン時にデフォルトのパスワードを変更することをお勧めします。デフォルトのパスワードの変更については、「Hardware and Software Installation」を参照してください。

tenantadmin ユーザーは、ユーザーグループ tenantadmin の一部です。このグループのユーザーは、テナントの WAN エッジデバイスですべての操作を実行できます。tenantadmin グループにユーザーを追加できます。

tenantadmin グループの権限は変更できません。Cisco vManage では、[Administration] > [Manage Users] > [User Groups]ページからユーザーグループの権限を表示できます。

ユーザーとユーザーグループの構成の詳細については、「Configure User Access and Authentication」を参照してください。

テナントユーザーは、専用の URL とデフォルトのユーザー名 tenantadmin を使用して Cisco vManage にログインできます。たとえば、ドメイン名 https://multitenancy.com を使用するプロバイダーの場合、テナントの専用 URL は https://Customer1.multitenancy.com になる可能性があります。ユーザーがログインすると、Cisco vManage にテナントビューが表示され、テナントダッシュボードが表示されます。

管理者権限を持つテナントユーザーは、次の機能を実行できます。

• テナントルータのプロビジョニングと管理

• テナントのオーバーレイネットワークのモニタリング

• 割り当てられた Cisco vSmart コントローラ にカスタムポリシーを作成

• テナントルータのソフトウェアをアップグレード。

前提条件

• 次の表で推奨されているソフトウェアバージョンをダウンロードしてインストールします。

  表 5. Cisco SD-WAN マルチテナント機能のソフトウェア前提条件

  デバイス	ソフトウェア バージョン
  Cisco vManage	Cisco vManage リリース 20.4.1
  Cisco vBond オーケストレーション	Cisco SD-WAN リリース 20.4.1
  Cisco vSmart コントローラ	Cisco SD-WAN リリース 20.4.1
  Cisco IOS XE SD-WAN デバイス	Cisco IOS XE リリース 17.4.1a

  1 つまたは複数のコントローラまたは WAN エッジデバイスが、上記の表に示すものより前のソフトウェアバージョンを実行している構成はサポートされていません。

• 既存の Cisco vManage インスタンスにおいてデバイスをすべて無効化または削除した場合でも、既存のシングルテナント Cisco vManage インスタンスをマルチテナントモードに移行しないでください。代わりに、新しい Cisco vManage ソフトウェアイメージをダウンロードしてインストールします。

  （注）	マルチテナント機能用に Cisco vManage を有効にした後は、シングルテナントモードに戻すことはできません。

• プロバイダーの admin ユーザーとして Cisco vManage にログインします。

1. 3 つの Cisco vManage インスタンスと関連する設定テンプレートを作成します。「Deploy Cisco vManage」を参照してください。

   1. Cisco vManage インスタンスを設定するときに、サービスプロバイダーの組織名（sp-organization-name）と組織名（organization-name）を設定します。

      例：

      sp-organization-name multitenancy
      organization-name multitenancy

2. マルチテナント機能をサポートするように Cisco vManage インスタンスの 1 つを設定します。Cisco vManage でのマルチテナント機能の有効化を参照してください。

3. 3 つの Cisco vManage インスタンスで構成される Cisco vManage クラスタを作成します。「Cluster Management」を参照してください。

   • Cisco vManage クラスタには 3 つの Cisco vManage インスタンスが必要です。インスタンスが 4 つ以上または 3 つ未満のクラスタは、Cisco SD-WAN マルチテナント機能でサポートされる構成ではありません。

   • Cisco vManage クラスタの作成時は、マルチテナント機能をサポートするように設定した Cisco vManage インスタンスを追加してから、他の 2 つの Cisco vManage インスタンスを追加します。

4. Cisco vManage のすべてのインスタンスを認可します。「Generate vManage NMS Certificate」を参照してください。

5. Cisco vBond Orchestrator インスタンスを作成して設定します。「Deploy Cisco vBond Orchestrator」を参照してください。

   Cisco vBond Orchestrator インスタンスを設定するときに、サービスプロバイダーの組織名（sp-organization-name）と組織名（organization-name）を設定します。「Configure Organization Name in Cisco vBond Orchestrator」を参照してください。

   sp-organization-name multitenancy
   organization-name multitenancy

6. Cisco vSmart コントローラインスタンスを作成します。「Deploy the Cisco vSmart Controller」を参照してください。

   すべてのテナントで 50 のテナントと 1000 のデバイスをサポートするには、6 つの Cisco vSmart Controller インスタンスを展開します。すべてのテナントで 100 のテナントと 5000 のデバイスをサポートするには、12 の Cisco vSmart コントローラを展開します。

   1. オーバーレイネットワークに Cisco vSmart コントローラを追加します。

7. 新しいテナントを導入準備します。「新規テナントの追加」を参照してください。

前提条件

• 新しいテナントを追加する前に、少なくとも 2 つの Cisco vSmart コントローラが動作し、vManage モードになっている必要があります。

  テンプレートを Cisco vManage からコントローラにプッシュすると、Cisco vSmart コントローラは vManage モードに入ります。CLI モードの Cisco vSmart コントローラは、複数のテナントに対応できません。

• Cisco vSmart コントローラの各ペアは、最大 24 のテナントに対応できます。新しいテナントに対応できる Cisco vSmart コントローラが少なくとも 2 つあることを確認します。展開内の Cisco vSmart コントローラのペアが新しいテナントに対応できない場合は、2 つの Cisco vSmart コントローラを追加して、それらのモードを vManage に変更します。

• テナントを追加した直後に 2 番目のテナントを追加すると、Cisco vManage はそれらを並行してではなく順番に追加します。

• 各テナントには、Cisco Software Central のプラグアンドプレイコネクトに一意のバーチャルアカウント（VA）が必要です。テナント VA は、プロバイダー VA と同じスマートアカウント（SA）に属している必要があります。

• オンプレミス展開の場合、プラグアンドプレイコネクトでテナント用の Cisco vBond Orchestrator コントローラプロファイルを作成します。次の表のフィールドは必須です。

  表 6. コントローラ プロファイル フィールド

  フィールド	説明/値
  プロファイル名	コントローラプロファイル名を入力します
  マルチテナント機能	ドロップダウンリストから、[Yes] を選択します。
  SP Organization Name	プロバイダー組織名を入力します。
  組織名	テナント組織名を <SP Org Name>-<Tenant Org Name> の形式で入力します。 （注）    組織名には最大 64 文字を使用できます。
  プライマリ コントローラ（Primary Controller）	プライマリ Cisco vBond Orchestrator のホストの詳細を入力します。

  クラウド展開の場合、テナント作成プロセスの一部として Cisco vBond Orchestrator コントローラプロファイルが自動的に作成されます。

1. プロバイダーの admin ユーザーとして Cisco vManage にログインします。

2. Cisco vManage のメニューから[Administration] > [Tenant Management]の順に選択します。

3. [Add Tenant] をクリックします。[Add Tenant] ダイアログボックスで、次の手順を実行します。

   1. テナントの名前を入力します。

      クラウド展開の場合、テナント名はプラグアンドプレイコネクトのテナント VA 名と同じである必要があります。

   2. テナントの説明を入力します。

      説明の最大長は 256 文字で、英数字のみを使用できます。

   3. 組織の名前を入力します。

      組織名では、大文字と小文字が区別されます。各テナントまたは顧客には、一意の組織名が必要です。

      組織名を次の形式で入力します。

      <SP Org Name>-<Tenant Org Name>

      たとえば、プロバイダーの組織名が「multitenancy」でテナントの組織名が「Customer1」の場合、テナントを追加するときに、組織名を multitenancy-Customer1 として入力します。

      （注）	組織名には最大 64 文字を使用できます。

   4. [URL Subdomain Name] フィールドに、テナントの完全修飾サブドメイン名を入力します。

      • サブドメイン名には、サービスプロバイダーのドメイン名が含まれている必要があります。たとえば、multitenancy.com サービスプロバイダーの場合、有効なドメイン名は Customer1.multitenancy.com です。

        （注）	サービスプロバイダー名はすべてのテナントで共有されます。したがって、URL 命名規則が、Cisco vManage の[Administration] > [Settings] > [Tenancy Mode]の GUI ナビゲーションパスからマルチテナンシーを有効にするときに提供されたものと同じドメイン名規則に従っていることを確認してください。

      • オンプレミス展開の場合、テナントの完全修飾サブドメイン名を DNS に追加します。完全修飾サブドメイン名を、Cisco vManage クラスタ内の 3 つの Cisco vManage インスタンスの IP アドレスにマッピングします。

        完全修飾ドメイン名（FQDN）を作成する場合、次の DNS エントリが必要です。

        • プロバイダーレベル：DNS A レコードを作成し、Cisco vManage クラスタで実行されている Cisco vManage インスタンスの IP アドレスにマップします。A レコードは、「Enable Multitenancy on Cisco vManage」の手順 5 と 6 で作成されたドメインとクラスタ ID から派生しています。たとえば、ドメインが sdwan.cisco.com でクラスタ ID が vmanage123 の場合、A レコードは vmanage123.sdwan.cisco.com として設定する必要があります。

          （注）	DNS エントリの更新に失敗すると、vManage へのログイン時に認証エラーが発生します。nslookup vmanage123.sdwan.cisco.com を実行して、DNS が正しく設定されていることを確認します。

        • テナントレベル：作成された各テナントの DNS CNAME レコードを作成し、プロバイダーレベルで作成された FQDN にマップします。たとえば、ドメインが sdwan.cisco.com でテナント名が customer1 の場合、CNAME レコードは customer1.sdwan.cisco.com として設定する必要があります。

          （注）	CNAME レコードにはクラスタ ID は必要ありません。nslookup customer1.sdwan.cisco.com を実行して、DNS が正しく設定されていることを確認します。

        クラウド展開の場合、テナントの完全修飾サブドメイン名は、テナント作成プロセスの一部として DNS に自動的に追加されます。テナントを追加した後、テナントの完全修飾サブドメイン名が DNS によって解決されるまでに最大 1 時間かかる場合があります。

   5. [Save] をクリックします。

      [Create Tenant] 画面が表示され、テナント作成の [Status] が [In progress] と表示されます。テナントの作成に関連するステータスメッセージを表示するには、ステータスの左側にある [>] ボタンをクリックします。

      Cisco vManage は次のことを行います。

      • テナントを作成します

      • テナントにサービスを提供する 2 つの Cisco vSmart コントローラを割り当て、CLI テンプレートをこれらのコントローラにプッシュしてテナント情報を設定します

      • テナントと Cisco vSmart コントローラの情報を Cisco vBond Orchestrator に送信します。

[Status] 列が [Success] に変わったら、[Administration] > [Tenant Management]ページでテナント情報を表示できます。

はじめる前に

• 移行を開始する前に、次の手順を実行します。

  • シングルテナント展開のエッジデバイスがマルチテナント展開の Cisco vBond Orchestrator に到達できることを確認します

  • エッジデバイスのテンプレート、ルーティング、およびポリシー構成が Cisco vManage の現在の構成と同期していることを確認します

  • この手順を実行する前に、シングル テナント オーバーレイのメンテナンスウィンドウを構成します。「Configure or Cancel vManage Server Maintenance Window」を参照してください。

• 移行するシングルテナント オーバーレイの最小ソフトウェア要件

  デバイス	ソフトウェア バージョン
  Cisco vManage	Cisco vManage リリース 20.5.1
  Cisco vBond Orchestrator	Cisco SD-WAN リリース 20.5.1
  Cisco vSmart Controller	Cisco SD-WAN リリース 20.5.1
  Cisco IOS XE SD-WAN デバイス	Cisco IOS XE リリース 17.4.1a

• シングルテナント オーバーレイの移行先となるマルチテナント展開の最小ソフトウェア要件

  デバイス	ソフトウェア バージョン
  Cisco vManage	Cisco vManage リリース 20.5.1
  Cisco vBond Orchestrator	Cisco SD-WAN リリース 20.5.1
  Cisco vSmart Controller	Cisco SD-WAN リリース 20.5.1
  Cisco IOS XE SD-WAN デバイス	Cisco IOS XE リリース 17.5.1a

• API 呼び出しを実行するには、カスタムスクリプトまたは Postman などのサードパーティ アプリケーションを使用することをお勧めします。

移行手順

1. オーバーレイを制御する Cisco vManage インスタンスからシングルテナントの展開および構成データをエクスポートします。

   メソッド	POST
   URL	https://ST-vManage-IP-address
   エンドポイント	/dataservice/tenantmigration/export
   許可	管理者ユーザーログイン情報。
   本文	必須 フォーマット：Raw JSON { "desc": <tenant_description>, "name": <tenant_name>, "subdomain": <tenant_name>.<domain>, "orgName": <tenant_orgname > } Field Description: desc：テナントの説明。説明の最大長は 256 文字で、英数字のみを使用できます。 name：マルチテナント展開のテナントの一意の名前。 subdomain：テナントの完全修飾サブドメイン名。サブドメイン名には、サービスプロバイダーのドメイン名が含まれている必要があります。たとえば、multitenancy.com がサービスプロバイダーのドメイン名であり、テナント名が Customer1 である場合、テナントのサブドメイン名は Customer1.multitenancy.com になります。 orgName：テナント組織の名前。組織名では、大文字と小文字が区別されます。
   応答	フォーマット：JSON { "processId": <vManage_process_ID>, }

   データのエクスポート中に、Cisco vManage は、マルチテナント展開への移行に備えて、エッジデバイスから CLI テンプレートを切り離そうとします。Cisco vManage によってプロンプトが表示された場合は、CLI テンプレートをエッジデバイスから切り離し、エクスポート API 呼び出しを再度実行します。

2. Cisco vManage でデータエクスポートタスクのステータスを確認します。タスクが成功したら、URL https://ST-vManage-IP-address/dataservice/tenantmigration/download/default.tar.gz を使用してデータをダウンロードします

3. マルチテナント Cisco vManage インスタンスで、シングルテナント オーバーレイからエクスポートされたデータをインポートします。

   メソッド	POST
   URL	https://MT-vManage-IP-address
   エンドポイント	/dataservice/tenantmigration/import
   許可	プロバイダー管理者ユーザーログイン情報。
   本文	必須 フォーマット：フォームデータ キータイプ：ファイル 値：default.tar.gz
   応答	フォーマット：JSON { "processId": <vManage_process_ID>, "migrationTokenURL": <token_URL>, }

   タスクが成功すると、マルチテナント Cisco vManage で、シングルテナント オーバーレイからインポートされたデバイス、テンプレート、およびポリシーを表示できます。

4. 手順 3 の API 呼び出しに応答して取得したトークン URL を使用して、移行トークンを取得します。

   方法	GET
   URL	https://MT-vManage-IP-address
   エンドポイント	手順 3 で取得した migrationTokenURL。
   許可	プロバイダー管理者ユーザーログイン情報。
   応答	エンコードされたテキストの大きな BLOB としての移行トークン。

5. シングルテナント Cisco vManage インスタンスで、マルチテナント展開へのオーバーレイの移行を開始します。

   メソッド	POST
   URL	https://ST-vManage-IP-address
   エンドポイント	dataservice/tenantmigration/networkMigration
   許可	管理者ユーザーログイン情報。
   本文	必須 フォーマット：生のテキスト 内容：手順 4 で取得した移行トークン。
   応答	フォーマット：JSON { "processId": <vManage_process_ID>, }

   Cisco vManage で、移行タスクのステータスを確認します。移行タスクの一部として、マルチテナント vBond Orchestrator のアドレス、サービスプロバイダーおよびテナントの組織名が、シングル テナント オーバーレイの WAN エッジデバイスにプッシュされます。タスクが成功すると、WAN エッジデバイスはマルチテナント展開のコントローラへの制御接続を形成します。WAN エッジデバイスは、シングル テナント オーバーレイのコントローラに接続されなくなります。

   マルチテナント展開への移行後に、（手順 1 で）エッジデバイスから切り離された CLI テンプレートを接続します。テンプレートを接続する前に、マルチテナント展開の構成と一致するように Cisco vBond Orchestrator の IP アドレスと組織名を更新します。

   （注）	シングルテナント展開では、Cisco vManage 署名付き証明書がクラウドベースの WAN エッジデバイスにインストールされている場合、デバイスがマルチテナント展開に移行されるときに証明書がクリアされます。マルチテナント Cisco vManage でデバイスを再認証する必要があります。エンタープライズ証明書がクラウドベースの WAN エッジデバイスにインストールされている場合、証明書は移行の影響を受けません。詳細については、「Enterprise Certificates」を参照してください。