AEM as a Cloud Serviceの高度なネットワークの設定 configuring-advanced-networking

この記事では、AEM as a Cloud Service で使用できる高度なネットワーク機能について説明します。 これらの機能には、VPN、非標準ポート、専用エグレス IP アドレスのセルフサービスおよび API プロビジョニングが含まれます。

このドキュメントに加えて、高度なネットワークオプションのそれぞれについて説明するように設計された一連のチュートリアルもあります。 高度なネットワーク機能を参照してください。

curl -X POST https://cloudmanager.adobe.io/api/program/{PROGRAM_ID}/environment/{ENV_ID}/vpn \
      -H "Authorization: Bearer {ACCESS_TOKEN}" \
      -H "x-api-key: {API_KEY}" \
      -H "Content-Type: application/json" \
      -d '{
          "providerId": "aws",
          "portMappings": [
              {
                  "name": "SSH",
                  "protocol": "TCP",
                  "port": 22
              }
          ]
      }'

概要 overview

AEM as a Cloud Service では、次の高度なネットワークオプションを提供します。

この記事では、Cloud Manager UIとAPIを使用して設定する方法を説明する前に、これらの各オプションについて詳しく説明し、それらを使用する理由を説明します。 この記事では、最後にいくつかの高度なユースケースを紹介します。

要件と制限事項 requirements

高度なネットワーク機能を設定する場合、次の制限が適用されます。

高度なネットワークの設定と有効化 configuring-enabling

高度なネットワーク機能を使用するには、次の 2 つの手順が必要です。

どちらの手順も、Cloud Manager UI または Cloud Manager API を使用して実行できます。

フレキシブルポートエグレス flexible-port-egress

高度なネットワーク機能を使用すると、デフォルトで開いている HTTP（ポート 80）と HTTPS（ポート 443）以外のポートからトラフィックを送信するように、AEM as a Cloud Service を設定することができます。

UI設定 configuring-flexible-port-egress-provision-ui

サイドパネルの​ ネットワークインフラストラクチャ ​見出しに、新しいレコードが表示されます。 これには、インフラストラクチャのタイプ、ステータス、地域、有効な環境が含まれます。

API設定 configuring-flexible-port-egress-provision-api

プログラムごとに1回、POST /program/<programId>/networkInfrastructures エンドポイントが呼び出され、kind パラメーターと地域にflexiblePortEgressの値を渡します。 エンドポイントは、応答として network_id の他に、ステータスなどの他の情報も返します。

一度呼び出されると、ネットワークインフラストラクチャがプロビジョニングされるまでに約15分かかります。 Cloud Managerの​ ネットワークインフラストラクチャ GET エンドポイント ​への呼び出しは、ready​のステータスを示します。

トラフィックルーティング flexible-port-egress-traffic-routing

80または443以外のポートに送信されるhttpまたはhttps トラフィックの場合は、次のホストおよびポート環境変数を使用してプロキシを設定します。

www.example.com:8443 にリクエストを送信するサンプルコードを以下に示します。

String url = "www.example.com:8443"
String proxyHost = System.getenv().getOrDefault("AEM_PROXY_HOST", "proxy.tunnel");
int proxyPort = Integer.parseInt(System.getenv().getOrDefault("AEM_HTTPS_PROXY_PORT", "3128"));
HttpClient client = HttpClient.newBuilder()
      .proxy(ProxySelector.of(new InetSocketAddress(proxyHost, proxyPort)))
      .build();

HttpRequest request = HttpRequest.newBuilder().uri(URI.create(url)).build();
HttpResponse<String> response = client.send(request, BodyHandlers.ofString());

非標準の Java™ ネットワークライブラリを使用する場合は、上記のプロパティを使用して、すべてのトラフィックに対してプロキシを設定します。

portForwards パラメーターで宣言されたポートを介した宛先を持つHTTP/S以外のトラフィックは、マッピングされたポートと共にAEM_PROXY_HOSTというプロパティを参照します。 次に例を示します。

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

次の表にトラフィックルーティングを示します。

Apache/Dispatcher設定 apache-dispatcher

AEM Cloud Service の Apache／Dispatcher 層の mod_proxy ディレクティブは、上記のプロパティを使用して設定できます。

ProxyRemote "http://example.com:8080" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "http://example.com:8080"
ProxyPassReverse "/somepath" "http://example.com:8080"

SSLProxyEngine on //needed for https backends

ProxyRemote "https://example.com:8443" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "https://example.com:8443"
ProxyPassReverse "/somepath" "https://example.com:8443"

専用エグレス IP アドレス dedicated-egress-ip-address

専用 IP アドレスは、SaaS ベンダー（CRM ベンダーなど）との統合や、IP アドレスの許可リストを提供する AEM as a Cloud Service 外部のソリューションと統合する場合のセキュリティを強化します。 専用 IP アドレスを許可リストに追加することで、AEM Cloud Service からのトラフィックのみが外部サービスに送信されるようになります。 このアプローチは、その他の許可されている IP からのトラフィックに追加されます。

同じ専用 IP がプログラム内のすべての環境に、オーサーサービスとパブリッシュサービスの両方に適用されます。

専用 IP アドレス機能を有効にしない場合、AEM as a Cloud Service からのトラフィックは、共有する一連の IP を流れていきます。 AEM as a Cloud Serviceの他のお客様は、これらのIPを使用します。

専用エグレス IP アドレスの設定は、フレキシブルポートエグレスと似ています。 主な違いは、設定後、トラフィックは常に専用の一意のIPからエグレスすることです。 その IP を確認するには、DNS リゾルバーを使用して、p{PROGRAM_ID}.external.adobeaemcloud.com に関連付けられている IP アドレスを特定します。 この IP アドレスは固定ですが、変更する必要がある場合は、事前に通知されます。

UI設定 configuring-dedicated-egress-provision-ui

サイドパネルの​ ネットワークインフラストラクチャ ​見出しの下に新しいレコードが表示されます。 これには、インフラストラクチャのタイプ、ステータス、地域、有効な環境が含まれます。

API設定 configuring-dedicated-egress-provision-api

プログラムごとに1回、POST /program/<programId>/networkInfrastructures エンドポイントが呼び出され、kind パラメーターと地域にdedicatedEgressIpの値を渡します。 エンドポイントは、応答として network_id の他に、ステータスなどの他の情報も返します。

一度呼び出されると、ネットワークインフラストラクチャがプロビジョニングされるまでに約15分かかります。 Cloud Managerの​ ネットワークインフラストラクチャ GET エンドポイント ​への呼び出しは、ready​のステータスを示します。

トラフィックルーティング dedicated-egress-ip-traffic-routing

HTTPまたはHTTPS トラフィックは、プロキシ設定に標準のJava™ システムプロパティを使用する場合、事前設定済みのプロキシを経由します。

portForwards パラメーターで宣言されたポートを介した宛先を持つHTTP/S以外のトラフィックは、マッピングされたポートと共にAEM_PROXY_HOSTというプロパティを参照します。 次に例を示します。

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

機能の利用状況 feature-usage

この機能は、プロキシ設定に標準の Java™ システムプロパティを使用する場合、送信トラフィックを発生させる Java™ コードまたはライブラリと互換性があります。 実際には、このアプローチでは、最も一般的なライブラリを含める必要があります。

次にコード例を示します。

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();
  URLConnection connection = finalUrl.openConnection();
  connection.addRequestProperty("Accept", "application/json");
  connection.addRequestProperty("X-API-KEY", apiKey);

  try (InputStream responseStream = connection.getInputStream(); Reader responseReader = new BufferedReader(new InputStreamReader(responseStream, Charsets.UTF_8))) {
    return new JSONObject(new JSONTokener(responseReader));
  }
}

一部のライブラリでは、プロキシ設定に標準の Java™ システムプロパティを使用するために、明示的な設定が必要です。

Apache HttpClientを使用したコードサンプルで、明示的な呼び出しが必要
HttpClientBuilder.useSystemProperties()または使用
HttpClients.createSystem():

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();

  HttpClient httpClient = HttpClientBuilder.create().useSystemProperties().build();
  HttpGet request = new HttpGet(finalUrl.toURI());
  request.setHeader("Accept", "application/json");
  request.setHeader("X-API-KEY", apiKey);
  HttpResponse response = httpClient.execute(request);
  String result = EntityUtils.toString(response.getEntity());
}

デバッグの考慮事項 debugging-considerations

期待される専用 IP アドレスでトラフィックが実際に発信されていることを検証するには、目的のサービスでログを確認します（可能な場合）。 それ以外の場合は、https://ifconfig.me/ipなどのデバッグサービスを呼び出して、呼び出し元のIP アドレスを返します。

仮想プライベートネットワーク（VPN） vpn

VPN を使用すると、作成者、公開、またはプレビューインスタンスからオンプレミスインフラストラクチャまたはデータセンターに接続できます。 この機能は、データベースへのアクセスを保護する場合などに役立ちます。 また、VPN をサポートしている CRM ベンダーなどの SaaS ベンダーへの接続も可能になります。

IPSec 技術を搭載したほとんどの VPN デバイスがサポートされています。 このデバイスのリストの RouteBase の設定手順​の列にある情報を参照してください。 表の説明に従って、デバイスを設定します。

VPN インフラストラクチャは複数の接続をサポートしているので、同じインフラストラクチャから複数のオンプレミス ネットワークまたはデータ センターに接続できます。 Adobeでは、1つのインフラストラクチャにつき最大20個の接続を推奨しています。

プライベートホスト名を解決するには、DNS リゾルバーをゲートウェイアドレス空間にリストする必要があります。

UI設定 configuring-vpn-ui

サイドパネルの​ ネットワークインフラストラクチャ ​見出しの下に新しいレコードが表示されます。 これには、インフラストラクチャのタイプ、ステータス、地域、有効な環境が含まれます。

API設定 configuring-vpn-api

プログラムごとに 1 回、POST /program/<programId>/networkInfrastructures エンドポイントが呼び出されます。 設定情報のペイロードが渡されます。 この情報には、kind パラメーター、地域、アドレス空間（CIDR のリスト - この値は後で変更できません）、DNS リゾルバー（ネットワーク内の名前を解決するため）の vpn の値が含まれます。 また、ゲートウェイ設定、共有 VPN キー、IP セキュリティポリシーなどの VPN 接続情報も含まれます。 エンドポイントは、応答として network_id の他に、ステータスなどの他の情報も返します。

呼び出しの後、ネットワークインフラストラクチャがプロビジョニングされるまで、通常は 45～60 分かかります。 APIのGET メソッドを呼び出してステータスを返すことができ、最終的にはcreatingからreadyに変わります。 すべてのステータスについては、 API ドキュメントを参照してください。

トラフィックルーティング vpn-traffic-routing

次の表にトラフィックルーティングを示します。

設定に役立つドメイン vpn-useful-domains-for-configuration

次の図は、設定と開発に役立つ一連のドメインと関連 IP を視覚的に表したものです。 図の下の表に、これらのドメインと IP を示します。

環境で高度なネットワーク設定を有効にする enabling

プログラムの高度なネットワークオプションを設定したら、フレキシブルポートエグレス、専用エグレス IP アドレスまたは VPN のいずれで使用する場合であっても、環境レベルでそのオプションを有効にする必要があります。

環境の高度なネットワーク設定を有効にすると、オプションのポート転送と非プロキシホストも有効にすることができます。 柔軟性を持たせるために、パラメーターは環境ごとに設定できます。

UIを使用して有効にする enabling-ui

高度なネットワーク構成が、選択した環境に適用されます。 「環境」タブに戻ると、選択した環境に適用された設定の詳細とそのステータスが表示されます。

APIを使用して有効にする enabling-api

環境の高度なネットワーク設定を有効にするには、環境ごとに PUT /program/<program_id>/environment/<environment_id>/advancedNetworking エンドポイントを呼び出す必要があります。

APIは数秒で応答し、ステータスがupdatingであることを示します。 約 10 分後、Cloud Manager の環境 GET エンドポイントを呼び出すと、ready のステータスが表示され、環境へのアップデートが適用されたことが示されます。

環境ごとのポート転送ルールは、PUT /program/{programId}/environment/{environmentId}/advancedNetworking エンドポイントを呼び出し、サブセットではなく構成パラメーターの完全なセットを含めることで更新できます。

専用エグレス IP アドレスと VPN の高度なネットワークタイプは、nonProxyHosts パラメーターをサポートします。 このサポートにより、専用IPではなく共有IP アドレス範囲を経由するホストのセットを宣言できます。 nonProxyHost URLはexample.comまたは*.example.comのパターンに従います。ワイルドカードはドメインの開始時にのみサポートされます。

環境トラフィックルーティングルール（ホストまたはバイパス）がない場合でも、空のペイロードでPUT /program/<program_id>/environment/<environment_id>/advancedNetworkingを呼び出します。

環境の詳細ネットワーク設定の編集と削除 editing-deleting-environments

環境に対して高度なネットワーク設定を有効にした後、設定の詳細を更新または削除できます。

UIを使用した編集または削除 editing-ui

変更は「環境」タブに反映されます。

APIを使用した編集または削除 editing-api

特定の環境で高度なネットワーク機能を削除するには、DELETE [/program/{programId}/environment/{environmentId}/advancedNetworking]() を呼び出します。

プログラムのネットワークインフラストラクチャの編集と削除 editing-deleting-program

プログラムのネットワークインフラストラクチャを作成すると、編集できるプロパティは制限されます。 不要になった場合は、プログラム全体の高度なネットワーク インフラストラクチャを削除できます。

UIを使用した編集、テスト、削除 delete-ui

変更は「環境」タブに反映されます。

APIを使用した編集と削除 delete-api

プログラムのネットワークインフラストラクチャを​ 削除 ​するには、DELETE /program/{program ID}/networkinfrastructure/{networkinfrastructureID} を呼び出します。

プログラムの高度なネットワーク インフラストラクチャの種類を変更する changing-program

プログラムに対して一度に設定できる高度なネットワークインフラストラクチャは、1 つのタイプのみです。 高度なネットワークインフラストラクチャは、フレキシブルポートエグレス、専用エグレス IP アドレス、または VPN のいずれかにする必要があります。

既に設定したタイプ以外の高度なネットワークインフラストラクチャタイプが必要であると判断した場合は、既存のタイプを削除して、別のタイプを作成します。 次の手順を実行します。

他のパブリッシュ地域の高度なネットワーク設定 advanced-networking-configuration-for-additional-publish-regions

高度なネットワーク機能が既に設定されている環境にさらに地域を追加すると、追加の公開地域からのトラフィックは既存のルールに従います。 デフォルトでは、一致するトラフィックはプライマリ地域を通じてルーティングされます。 ただし、プライマリ地域が使用できなくなった場合、その他の地域で詳細ネットワークが有効になっていないと、高度なネットワークトラフィックは破棄されます。 いずれかの地域で障害が発生した場合に、待ち時間を最適化して可用性を高めるには、追加の公開地域の高度なネットワークを有効にする必要があります。 次の節では、2 つの異なるシナリオについて説明します。

専用エグレス IP アドレス additional-publish-regions-dedicated-egress

プライマリ地域で既に有効になっている高度なネットワーク already-enabled

プライマリ地域で既に高度なネットワーク設定が有効になっている場合は、次の手順に従います。

どの地域にもまだ設定されていない高度なネットワーク not-yet-configured

手順は、前述の手順とほとんど同じです。 ただし、本番環境でまだ高度なネットワークが有効にされていない場合は、まずステージング環境で有効にして設定をテストできます。

VPN vpn-regions

手順は、専用のエグレス IP アドレスの手順とほとんど同じです。 唯一の違いは、地域プロパティの設定がプライマリ地域とは異なることです。 さらに、オプションで connections.gateway フィールドを設定できます。 設定では、組織が運用する、新しい地域と地理的に近い、別の VPN エンドポイントにルーティングできます。

トラブルシューティング

次の点は、参考となるガイドラインとして提供され、トラブルシューティングのベストプラクティスを含みます。 これらのレコメンデーションは、問題の効果的な診断と解決を支援することを目的としています。

接続プーリング connection-pooling-advanced-networking

接続プールは、接続のコレクションを作成および維持するために設計された手法です。 これらの接続は、それらを必要とするすべてのスレッドで即座に使用できます。 様々な接続プール技術が利用でき、それぞれに独自のメリットと考慮事項があります。 お客様には、これらの手法を調査して、システムのアーキテクチャに最も適合する手法を特定することをお勧めします。

適切な接続プール戦略を実装することは、システム構成の一般的な問題に対処するための手段であり、多くの場合、パフォーマンスの低下につながります。 Adobe Experience Manager（AEM）では、接続プーリングを正しく設定することで、外部呼び出しの効率を向上させることができます。 このアプローチにより、リソースの消費が削減され、サービスが停止するリスクが軽減され、外部サーバーと通信する際にリクエストが失敗する可能性が低減されます。

この情報に基づいて、アドビでは現在の AEM 設定を確認することをお勧めします。 また、高度なネットワーク機能の設定と共に接続プーリングを意図的に使用することも考慮してください。 並列接続数を管理し、古い接続を減らすことで、ネットワークのパフォーマンスを最適化できます。 これらのアクションにより、プロキシサーバーが接続制限に達するリスクが低減されます。 したがって、この戦略的実装は、リクエストが外部エンドポイントに到達できない可能性を減らすように設計されています。

接続制限に関するFAQ

高度なネットワーク機能を使用する場合、環境全体の安定性を確保し、下位の環境で使用可能な接続が使い果たされるのを防ぐために、接続数が制限されます。

接続数は AEM インスタンスごとに 1000 に制限され、接続数が 750 に達すると顧客にアラートが送信されます。

接続制限は、非標準ポートからの送信トラフィックにのみ適用されますか、それともすべての送信トラフィックに適用されますか？

制限は、高度なネットワーク機能（非標準ポートでのエグレス、専用のエグレス IP の使用または VPN）を使用した接続にのみ適用されます。

送信接続数は大幅に増加していないようです。 通知が届いたのはなぜですか？

顧客が動的に接続を作成する場合（リクエストごとに 1 つ以上など）、トラフィックが増加すると、接続が急増する可能性があります。

過去にアラートをトリガーせずに同様の状況が発生しましたか？

アラートは、ソフトリミットに到達した場合にのみ送信されます。

上限に達した場合はどうなりますか？

ハード制限に達すると、高度なネットワークを介したAEMからの新しいエグレス接続（非標準ポートでのエグレス、専用エグレス IP、またはVPNを使用）がドロップされ、DoS攻撃から保護されます。

制限を引き上げることはできますか？

いいえ、接続数が多いと、パフォーマンスに大きな影響を与え、ポッドや環境全体で DoS の原因となる可能性があります。

一定期間が経過すると、AEM システムによって接続が自動的に閉じられますか？

はい、接続はJVM レベルとネットワークインフラストラクチャ内で閉じます。 ただし、このワークフローは、実稼動サービスには遅すぎます。 接続プールを使用する場合、接続は、不要になった際に明示的に閉じるか、プールに戻す必要があります。 そうしないと、リソースの消費量が高くなりすぎて、リソースが枯渇する可能性があります。

接続数の上限に達した場合、ライセンスに影響し、追加コストが発生しますか？

いいえ、この制限に関連するライセンスやコストはありません。 これは技術的な制限です。

現在の使用量は、上限にどれくらい近づいていますか？ 許可される上限はどれくらいですか？

接続数が 750 を超えるとアラートがトリガーされます。 AEM インスタンスあたりの接続数の上限は 1,000 です。

この制限は VPN に適用されますか？

はい、制限は VPN を含む高度なネットワーク機能を使用した接続に適用されます。

専用のエグレス IPを使用する場合、制限はまだ適用されますか？

はい、専用のエグレス IP を使用する場合、制限は引き続き適用されます。