コンテンツにスキップ
マルチクラウドネットワーク

カスタマーエッジへの接続

4 つの経路が利用可能であり、どれを使うかは好みではなく、ノードの状態、接続元の場所、そして到達したい対象によって決まります。

経路ノードが ONLINE である必要ネットワーク到達性が必要制限対象範囲
Debug APIはいはい新規サイトでは約 25〜30 分のウォームアップ34 個のコマンド
Site ConsoleいいえAzure Bastion 経由、踏み台ホストは不要Bastion はトンネリング対応の Standard SKU である必要があり、既定ではデプロイされないF5 のノードトラブルシューティング UI
SSHいいえVNet 内部から、内部アドレスに対してのみ鍵が初回起動時から存在している必要があるオンボックス Site CLI の全機能
シリアルコンソールいいえいいえVM ごとに 1 セッション、貼り付けは 2,048 文字までオンボックス Site CLI の全機能

シリアルコンソールは最後の手段であり、ネットワーク経路がまったく機能していないノードでも使える唯一の経路です。

通常はまず Site Console を試すのがよいでしょう。配布する SSH 鍵も、踏み台ホストも、ノードのパブリック IP も、VM の置き換えも不要であり、要求される事項が最も少ない経路です。アクセスが認証情報の配布問題ではなく Azure RBAC の判断事項になるためです。コマンド操作面ではなく F5 独自のトラブルシューティング UI が提供されるため、特定のコマンドを実行したりスクリプト化したりする必要がある場合はこれを超えた手段を使ってください。唯一の前提条件は Azure Bastion であり、Standard SKU のホストは誰もトンネルを開かなくても課金されるため、このデプロイメントではオプトイン (enable_bastion、既定値 false) としています。

SSH は、デバッグ API では不十分な場合に使う手段です。アプライアンスは API が公開する 34 個よりも大幅に多くのコマンドを提供しているためです。ただし 2 つのコストがあります。鍵は cloud-init によって書き込まれるため 初回起動時 に存在している必要があり、稼働中のノードで有効化するにはすべての CE VM を置き換えることになります — 構成変更ではなくフリート全体の再構築です。さらに sshd はノードの内部アドレスでのみ応答するため、VNet 内部のホストが必要です。ノードを識別しているアドレスに対してプローブしても、常にクローズと報告されます。

この使い分けが好みの問題ではない理由

Section titled “この使い分けが好みの問題ではない理由”

デバッグ API は F5 Distributed Cloud のコントロールプレーンによって提供され、登録時に vpm が確立したトンネルを通じてノードへ中継されます。登録がなければトンネルもなく、トンネルがなければ API には中継先が存在しません。

失敗の仕方は明白ではなく分かりにくいため、そもそも起動しなかったノードが API の問題のように見えてしまいます。

シリアルコンソールはまったく逆の経路をたどります — Azure プラットフォームを経由してノードのエミュレートされたシリアルポートへ接続します。ノードが登録済みかどうか、ネットワーク到達性があるかどうか、データプレーンが機能しているかどうかを問いません。この独立性こそが本質であり、CE VM でブート診断を有効のままにしておかなければならない理由でもあります。

認証情報

Section titled “認証情報”

経路ごとに使用する認証情報は異なり、そのいずれもコマンドラインに載せるべきものではありません。

  • デバッグ API — F5 Distributed Cloud の API トークンを XCSH_API_TOKEN として、テナント URL を XCSH_API_URL として指定します。~/.config/xcsh/contexts/<tenant>.json にある xcsh のコンテキストファイルが両方を保持しており、環境変数が指定されていない場合に scripts/capture-sitecli.sh がこれを読み取ります。このデプロイメントのテナントは f5-sales-demo です。別のテナント向けに発行されたトークンは、期限切れの認証情報のように見える素の 401 を返します。
  • Site Console — 異なるレイヤーの 2 つの認証情報を使用します。対話型の Azure ログインで Bastion トンネルを開き、その背後のコンソールにはアプライアンス自身の admin アカウントが HTTP Basic でサインインします。Azure 側については、VM、その NIC、および Bastion ホストに対する Reader 権限が必要であると Microsoft が示していますが、この要件は ここでは検証していません。すべてのテストはサブスクリプション所有者として実行されたためです。
  • SSH — 初回起動時にデプロイメントが /var/home/admin/.ssh/authorized_keys へ書き込んだ公開鍵に対応する秘密鍵と、内部アドレスへ到達するための VNet 内部のホストが必要です。接続は azureuser ではなく admin で行います。
  • シリアルコンソール — 対話型の Azure ログインを使用します。これ用のサービスプリンシパルはありません。F5 の社内 Entra テナントではサービスプリンシパルのプロビジョニングが許可されておらず、これがこの一連の処理を CI で実行していない理由でもあります。