Schematics エージェントの概要

エージェントは、お客様のプライベートクラウドネットワーク上、または任意の隔離されたネットワークゾーン上で Schematicsスペースとアクションジョブを実行し、お客様のクラウドインフラストラクチャと直接連携します。 エージェントは、既存の共有マルチテナントSchematicsを拡張し、お客様のプライベートネットワーク上でワークスペースとアクションジョブを実行する専任の作業者（エージェント）を配置します。 この図は、既存の共有マルチテナント・サービスとともに、エージェント・ベースのジョブ実行を示しています。

エージェント (割り当て) ポリシーは、ユーザー指定のポリシー属性によって決定されたエージェント上で実行するために、ワークスペースおよびアクション・ジョブを動的にルーティングします。 ポリシーが定義されていないデフォルトでは、すべてのワークスペース・ジョブおよびアクション・ジョブが Schematics 共有インフラストラクチャーで実行されます。 定義されている場合、 割り当てポリシー は、特定のプライベート・クラウドまたはネットワーク・ロケーションにデプロイされたエージェントにワークスペースおよびアクション・ジョブをルーティングします。 ポリシー選択属性には、ワークスペースおよびアクションのリソース・グループ、地域、およびユーザー割り当てタグが含まれます。

ポリシー定義がない場合、ジョブ実行は共有マルチテナント Schematics サービスを介してインストールされます。 共有環境については、 Schematics ワークスペース および Schematics アクション のデプロイメント・アーキテクチャーで説明されています。 共有サービスは、必要に応じて Schematics ネットワーク上でジョブを実行し、パブリック・ネットワークまたはプライベート・ネットワークを介して IBM Cloud API を接続します。 共有サービスを使用する場合、実行中の SSH コマンドまたは Ansibleを使用してプライベート・ネットワーク上のリソースにアクセスする必要があるジョブは、ユーザーのプライベート・ネットワークにアクセスします。 これは、ユーザー構成の要塞ホストを使用して、パブリック・インターネットを介して行われます。

エージェントを使用すると、プライベート・ネットワークにデプロイされたエージェントで実行するワークスペースとアクションがポリシーによって決定されます。 お客様の制御下で、これらのエージェントで実行されるジョブは、お客様自身のネットワーク・アクセス・ポリシーによって管理されるクラウドまたはオンプレミスのサービスおよびクラスター・リソースを構成し、それらにアクセスすることができます。 プライベート・ネットワークでエージェントを使用する場合、パブリック・インターネットを介した要塞ホスト・アクセスは必要ありません。 エージェントを使用すると、SSH を介して Ansible または Terraform を使用する場合のインフラストラクチャー要件とセキュリティー要件が簡素化され、さまざまなセキュリティー上の考慮事項がなくなります。

Schematics は、エージェントを実行する Kubernetes クラスターによって提供される IBM Cloud トラステッド・プロファイル ID を使用して、エージェントを識別して認証します。 この ID は、エージェントの作成時およびデプロイ時に動的に作成されます。 トラステッド・プロファイル ID は、誰もエージェントの ID をスプーリングできず、 Schematics またはアカウントからデータを盗むことができないことを確認します。 IAM アクセス・ポリシーを使用して、トラステッド・プロファイル ID に対して定義されているアクセス許可を制御しています。

エージェント・ランタイムには、 Terraform、 Ansible、およびその他のマイクロサービスが含まれています。 エージェント・ランタイムに含まれるソフトウェア・ユーティリティーについて詳しくは、 Schematics Agent runtime を参照してください。

エージェント使用時のプライベート・ネットワーク構成

以下の図は、複数の VPC が中継ゲートウェイを介して接続されているクラスター環境で可能なエージェント・デプロイメントを示しています。 ここでは、ワークスペースおよびアクション・ジョブを実行するエージェントが、プライベート・クラウド・ネットワークを介してクラウド・リソースに直接接続されています。 このデプロイメント・モデルでは、ジョブは SSH を使用してクラウド・リソースを直接構成でき、要塞ホストがパブリック・ネットワークを介してアクセスする必要はありません。

エージェントを使用すると、 Kubernetes クラスターのネットワーク・セキュリティー・ポリシー、および実行中のエージェントの VPC セキュリティー・グループ・ポリシーまたはアクセス制御リスト・ポリシーを制御できます。 また、ワークスペースおよびアクション・ジョブがプライベート・クラウド・リソースにアクセスできるようにします。

エージェントを使用する利点

Schematics は、多数のユーザーによる同時使用をサポートするマルチテナント・サービスです。 マルチテナント・モデルでは、すべてのユーザーにわたって公平な使用を維持し、ユーザー間のネットワーク分離を維持するために、いくつかの制限が課せられます。

Schematicsでエージェントを使用することには、以下のような利点があります。

• エージェントは、 Schematics を IBM Cloud Satellite® とともに使用することの利点を拡張します。 を使用して、複数のクラウド・プロバイダーにわたってハイブリッド・クラウド・リソースをプロビジョンおよび構成します。
• エージェントは、ユーザーに独自の実行キューを提供します。 マルチテナント共有 Schematics サービスでは、すべてのユーザーの共有キューにジョブが配置されます。 エージェント上で実行されるジョブは、共用キュー内で待機し、より早く開始されます。 言い換えれば、他のテナントのワークロードは、ジョブのパフォーマンスと応答時間に影響を与えません。
• ご使用の自動化に特別なソフトウェアまたはバージョンが必要な場合、または実行するためにより多くの容量 (CPU、メモリー) が必要な場合: マルチテナント Schematics サービスは、お客様の要件に対応していません。 エージェントは、専用インフラストラクチャーを使用して自動化を実行するようにデプロイおよび構成することができます。自動化は、容量のニーズに応じて拡大または縮小することができます。 将来のリリースでは、エージェント・イメージを拡張して、 Schematics ランタイムによって提供される自動化エンジンとともに、独自の自動化ソフトウェアおよびバージョンを組み込んだり使用したりすることができます。
• マルチテナント Schematics サービスは、すべてのユーザーに共通のネットワーク・アクセス・ポリシー を使用します。 エージェントを使用すると、プライベート・ネットワーク・リソースにアクセスするワークスペースまたはアクション・ジョブを実行する際に、ネットワーク・アクセス・ポリシーを細かく制御することができます。 エージェント・クラスターの ingress または egress ルールと、プライベート・クラウド・インフラストラクチャーに接続するためにジョブを実行するエージェントによって使用される VPC セキュリティー・ポリシー を構成できます。
• エージェントは、共有サービスでの実行に関するいくつかの制約事項を軽減します。 これは、共有サービスを適切に使用するために必要です。 Schematics エージェントは、local-exec、remote-exec、および Ansible プレイブックの実行のタイムアウト制限を緩和します。 すべてのユーザーが公平にサービスを使用できるように、マルチテナント・サービスのタイムアウト制限が削除されました。 エージェントで実行されたジョブには期間は適用されません。

次のステップ

Schematics エージェントとその使用法について学習しました。 IBM Cloud アカウントにエージェントをデプロイするために エージェントを準備 する手順を説明します。