AEM as a Cloud Serviceでの専用エグレス IPの設定と検証
AEM as a Cloud Serviceの専用エグレス IP設定は、プログラムレベルで作成が行われますが、環境ごとに明示的に有効になるまで、アウトバウンドトラフィックに対してIPがアクティブではないため、お客様を混乱させます。 専用IPは、Cloud Manager UIには表示されません。プログラムの外部ホスト名に対するDNS ルックアップを通じて取得されます。 プロビジョニングの遅延とCloud Managerの割り当てエラーが混乱を招きます。 ネットワークインフラストラクチャを作成し、各環境で有効にし、DNSを介してIPを解決し、アウトバウンドトラフィックを確認すると、そのIPが動作するネットワーク設定を完了します。
説明 description
問題：専用エグレス IPが見つからないか、AEM as a Cloud Serviceでアウトバウンドトラフィックをルーティングできない
説明
Cloud ManagerでDedicated Egress IP アドレスを設定する場合、正しい設定UIが見つからなかったり、予期しないUIの動作が発生したり、外部システムに対して最終的なEgress IPを取得して許可リストに加えるする方法がわからない場合があります。 Cloud Managerに、An error occurred while triggering network creation、Only one network infrastructure per program is allowed、NETWORK_INFRASTRUCTURES_EXCEEDS_LIMITなどのエラーが表示されます。 また、AEMがアウトバウンドコール（HTTP/HTTPSまたはSMTP）に使用するIP アドレス、特にファイアウォールやWAFの許可リストに加えるに使用するIP アドレスを検証する必要があります。 この問題は、機能が完全にプロビジョニングされていないか、環境レベルでまだ有効になっていない場合、またはプログラムレベルのインフラストラクチャの作成と環境レベルのイネーブルメントが混同されている場合に発生します。
環境：
- Adobe Experience Manager as a Cloud Service （AEMaaCS）
- AEM Assets 初期設定
- Cloud Manager（アドバンスドネットワーク）
問題/症状：
- Cloud Managerに、
An error occurred while triggering network creationやOnly one network infrastructure per program is allowedなどのエラーが表示されます。 - 専用エグレス IP アドレスはUIに表示されず、IPはCloud Managerのどこにも表示されません。
- サードパーティシステムへのアウトバウンド接続は、ソース IPが認識されないため、403/503 エラーまたはWAFの拒否が発生します。
- 専用のエグレス IP インフラストラクチャが作成されているように見えますが、アウトバウンドトラフィックが想定されるソース IPを使用していません。
根本原因：
AEM as a Cloud Serviceでは、Cloud Managerを使用して高度なネットワーク機能をプロビジョニングします。 専用エグレス IPの作成はプログラムレベルで行われますが、環境ごとに明示的に有効になるまで、アウトバウンドトラフィックに対してIPはアクティブになりません。 専用IPはUIには表示されません。代わりに、DNS ルックアップを使用して解決する必要があります。 これらの手順を誤って解釈すると、Cloud Manager UIの違いや最大1時間から2時間のプロビジョニングの遅延と組み合わせると、アウトバウンド許可リストに加えるの混乱や失敗につながります。 1つのプログラムで複数のインフラストラクチャを作成しようとしたとき、または割り当てを超えたときに、Cloud Manager エラーが発生することがあります。
確認方法
-
プロビジョニングステータスを確認します。 Cloud Managerにログインし、プログラムを選択し、「環境」タブを開き、左側のサイドバーで「 ネットワークインフラストラクチャ 」を選択します。 専用エグレス IP アドレス のレコードが表示され、ステータスは ready または provisioning です。
-
ローカル DNS ルックアップを使用して専用エグレス IPを取得し、
{programId}をプログラム IDに置き換えます。code language-none dig +short p{programId}.external.adobeaemcloud.com
このコマンドは、単一のパブリック IP アドレスを返します。 レコードが空を返した場合、プロビジョニングはまだ完了していません。
解決策 resolution
-
専用エグレス IP インフラストラクチャを作成します。 Cloud Managerで、環境
>ネットワークインフラストラクチャ>ネットワークインフラストラクチャの追加に移動し、専用エグレス IP アドレス を選択し、リージョンを選択して、保存をクリックします。 新しいエントリが表示され、約15 ～ 60分以内にステータスが ready に変わります。 Cloud ManagerがAn error occurred while triggering network creationまたはNETWORK_INFRASTRUCTURES_EXCEEDS_LIMITを返す場合、プログラムごとに1つのネットワークインフラストラクチャのみが許可されるため、権限を解決するか、既存のインフラストラクチャを削除します。 -
環境レベルで専用エグレス IPを有効にします。 環境に移動し、特定の環境（開発/ステージ/実稼動）を選択し、高度なネットワーク を開き、ネットワークインフラストラクチャを有効にして、保存をクリックします。 ネットワークインフラストラクチャで、環境列に環境が enabled として表示されていることを確認します。 更新されない場合は、環境レベルのダイアログ内で 保存 を押したことを確認します。
-
専用のエグレス IPを取得し、確認します。 DNS ルックアップを実行し、返されたIPがログまたはリモートエコーサービスで表示される値と一致することを確認します。
code language-none dig +short p{programId}.external.adobeaemcloud.com -
アウトバウンドトラフィックが専用のエグレス IPを使用することを検証します。 AEM コードまたはシステム プロキシ プロパティを使用するHTTP クライアントから、エコーサービスまたはターゲット システムを呼び出し、宛先が
digコマンドによって返された同じIPをログに記録することを確認します。 クライアントコードでHttpClientBuilder.useSystemProperties()などのシステムプロキシ設定が使用されていることを確認します。 -
必要に応じて、SMTPまたはその他のHTTP/HTTPS以外のトラフィックを設定します。 SMTPまたはカスタムポートの場合は、Cloud Managerで
portForwardsJSON定義を送信します。 サードパーティのログを確認して、専用IPから受信したリクエストを表示します。 接続が失敗した場合は、ポート転送定義を検証し、インフラストラクチャが準備状態に達した後に再試行します。
検証
-
DNS ルックアップを実行し、期待されるIPを返すことを確認します。
code language-none dig +short p{programId}.external.adobeaemcloud.com -
AEMからエコーサービスへのテスト HTTP呼び出しを実行し、返されたIPが専用のエグレス IPと一致することを確認します。
-
サードパーティシステム（SMTP、WAF、CRMなど）が、専用IPからインバウンドトラフィックを登録するようになりました。