9. OpenStack Ironicとは?
物理マシンの配備を行うコンポーネント
ベアメタル(BM: Bare Metal)プロビジョニング
テナント利用者はNova経由でベアメタルサーバを配備可能
Copyright 2018 FUJITSU LIMITED
Hypervisor
Provide same API for users Manage VMs
Manage BMs
Give me
an instance
Flavor
Flavor
…
…
8/ 63
40. Boot from volume (SAN boot)
ローカルボリューム(内蔵ディスク)の場合
サイズは固定
サーバ故障時にはデータアクセス不可
Copyright 2018 FUJITSU LIMITED
Node
Volume
CPU MEM
Node Remote Volume
Volume
CPU MEM
リモートボリューム(LUN)の場合
サイズは可変
サーバ故障時でもデータは利用可能
39/ 63
41. Boot from volume (SAN boot)
ベアメタル用のサーバ/ストレージの切り替えがソフトウェアのみで実現できる
Copyright 2018 FUJITSU LIMITED
Remote Volume
Volume
Node
CPU MEM
Node
CPU MEM
40/ 63
42. 概要
1. Ironic – Cinderを仲介して情報を渡す
2. Cinder側へConnector情報を渡す
3. インスタンスとボリュームとの関連情報を作成
4. Volume target 情報を渡す
5. Nodeにboot対象の情報を設定
6. 設定したvolume targetから起動
Copyright 2018 FUJITSU LIMITED
Nova
Ironic Cinder
Server Backend Storage
Volume
① ②
➂
④
⑤
⑥
Give me
an instance
41/ 63
45. ベンダドライバ(iRMC)のネットワーク構成
Copyright 2018 FUJITSU LIMITED
Storage
VV
Ironic
BM
CNA/
HBA
BMC
Out of Band Network (OOB)
FC Network
NIC
BM
CNA/
HBA
BMC
NIC
Data Network
BMC経由でFC接続を制御
44/ 63
46. BMC経由でFC接続を制御
ベンダドライバ(iRMC)のネットワーク構成
Copyright 2018 FUJITSU LIMITED
Storage
VV
Ironic
BM
CNA/
HBA
BMC
Out of Band Network (OOB)
FC Network
NIC
BM
CNA/
HBA
BMC
NIC
Data Network
マルチテナントネットワーク
ゾーニングによるストレージネットワーク分離
45/ 63
54. セキュリティ機能の対応状況
ベアメタルのセキュリティグループは、ベンダープラグインに依存
Firewall as a Service v1 は deprecate予定(Rocky)
Copyright 2018 FUJITSU LIMITED
Neutron
Nova
(VM)
Ironic
(Baremetal)
セキュリティグループ ✔ ※
Firewall as a Service v1 ✔ ✔
Firewall as a Service v2 ✔ ✔
53/ 63
55. ファイアウォールの必要性
Firewall as a Service(FWaaS)
外部ネットワークからの不要なパケットをL3レイヤでフィルタリングできるため
L2レイヤでのEast-west の帯域圧迫を防ぐことにつながる
オンプレで利用してきた物理的なファイアウォールを、クラウドでもそのまま使いたい
という要望がある
Network Node
Physical-Switch
Compute
VM vSW
Security-Group only Firewall as a service
Compute
VM vSW
Network Node
Physical-Switch
Compute
VM vSW
Compute
VM vSW
Copyright 2018 FUJITSU LIMITED
Internet Internet
54/ 63
60. 【私の考える】完全互換なベアメタルSGの実現
ステートフルなベアメタル向けのセキュリティグループの実現案
E.g. Neutronの ovs-agent + OVS firewall driverを拡張
water
Network Node
L2-Switch
baremetal server
BM
NIC
Compute Node
NIC
br-int
br-eth3
NIC
br-ex
water
NIC
br-int
br-eth3
VMVM
External
Copyright 2018 FUJITSU LIMITED
NIC
bond
NIC
OVS
NIC NIC NIC
BM
NIC
59/ 63