目標

VPC とその他の接続リソースを作成して構成するには、この後に続くセクションの手順を以下の順序で行います。

1. VPC、およびネットワークを定義するサブネットを作成します。 サブネット内のすべてのリソースをパブリック・インターネットと通信できるようにする場合は、サブネットを作成するときに、パブリック・ゲートウェイを接続します。
2. サブネットのインバウンド・トラフィックとアウトバウンド・トラフィックを制限するために、アクセス制御リスト (ACL) を構成できます。 デフォルトでは、すべてのトラフィックが許可されます。
3. 仮想サーバー・インスタンスを作成します。 デフォルトでは、ブート・ボリュームがインスタンスにアタッチされている。 ほとんどの仮想サーバー・インスタンスでは、デフォルトのブート・ボリューム・サイズは 100 GB です。 z/OS 仮想サーバー・インスタンスのデフォルトのブート・ボリューム・サイズは 250 GB です。
4. ストレージがさらに必要な場合は、ブロック・ストレージ・ボリュームを作成してインスタンスに接続します。
5. インスタンスに許可するインバウンドとアウトバウンドのトラフィックを定義するには、インスタンスのセキュリティー・グループを構成します。
6. インターネットからインスタンスにアクセスできるようにするには、浮動 IP アドレスを予約して関連付けます。
7. 複数インスタンスに要求を分散させるには、ロード・バランサーを作成します。
8. VPC が別のプライベート・ネットワーク (オンプレミス・ネットワークや別の VPC など) に安全に接続できるようにするには、仮想プライベート・ネットワーク (VPN) を作成します。

プロビジョニング・ページでデータを入力した後、「 サンプルAPIコールを取得 」をクリックすると、設定に対応する一連のAPIリクエストを表示できます。 API 呼び出しを確認することは、API についての知識を身に付け、アクションとその依存関係を理解するための有効な方法です。

対象読者

このチュートリアルは、初めて VPC 環境を作成してインスタンスをデプロイするソフトウェア開発者やシステム管理者を対象にしています。

開始前に

VPC にアクセスできるようにアカウントをセットアップします。 アカウントが有料アカウントにアップグレードされていることを確認します。

既存の SSH 鍵を使用するか、新しい SSH 鍵をアップロードするか、仮想サーバー・インスタンスの作成時に SSH 鍵を作成することができます。 このチュートリアルでは、仮想サーバーの作成時に、既存の鍵を選択することも、新しい鍵を作成することもできます。 IBM Cloud VPCで SSH 鍵をアップロードする方法、または SSH 鍵を作成する方法について詳しくは、 SSH 鍵入門 を参照してください。

アプリケーション・ロード・バランサーを作成してリスナーに HTTPS を使用する予定の場合は、SSL 証明書が必要です。 IBM Secrets Manager を使用して証明書を管理できます。

IAM Authorizations を使って権限を作成できます。 必ず選択してください VPC インフラストラクチャ サービスソースサービスとして特定のリソース。 クリック属性を選択選択してリソースタイプリストから。 リソースの種類として「 Load Balancer for VPC 」を選択し、「 Next 」をクリックします。 対象サービスで Secrets Manager. ターゲット・サービス・インスタンス・アクセスを「 すべてのインスタンス 」または特定の IBM Cloud Secrets Manager インスタンスに設定します。 「ライター」 のサービス・アクセス役割を割り当てます。 詳しくは、サービス間のアクセスの認可を参照してください。

オプションの手順を実行できるように時間を余分に見ておいてください。

VPC およびサブネットの作成

VPCとサブネットを作成するには、以下の手順に従ってください：

1. IBM Cloud コンソールを開きます。

2. ナビゲーションメニューアイコン > Infrastructure > Network > VPCsをクリックし、 Createをクリックします。

3. VPC の名前 (my-vpc など) を入力します。

4. VPC のリソース・グループを選択します。 アクセス制御および請求処理のために、リソース・グループを使用してアカウントのリソースを編成できます。 詳しくは、『リソースをリソース・グループに編成するためのベスト・プラクティス』を参照してください。

5. オプション: タグを入力すると、リソースの編成と検索に役立ちます。 後でさらにタグを追加できます。 詳しくは、『タグの処理』を参照してください。

6. VPC の作成プロセスでは、デフォルト ACL が割り当てられます。 このチュートリアルの後半では、ACLのルールを設定することができます。

7. この VPC の仮想サーバー・インスタンスへのインバウンドの SSH および ping のトラフィックが、デフォルトのセキュリティー・グループで許可されるかどうかを選択します。 デフォルトでは、デフォルトのセキュリティグループの Allow SSH と Allow ping オプションは選択されていません。 デフォルトのセキュリティー・グループには、後でさらにルールを設定できる。

8. オプション: VPC をクラシック・インフラストラクチャー・リソースにアクセスできるようにするかどうかを選択します。 詳しくは、クラシック・インフラストラクチャーへのアクセスのセットアップを参照してください。

   VPCの作成中に、クラシック・アクセス専用にVPCを有効にすることができます。 また、クラシック・アクセス VPC は常にアカウントに 1 つしか作成できません。

9. オプション: デフォルトのアドレス接頭部を VPC の各ゾーンに割り当てない場合は、**「デフォルトのアドレス接頭部」**オプションをクリアします。 VPC を作成した後で、VPC の詳細ページに移動して独自のアドレス接頭部を設定できます。

10. デフォルトでは、VPC の作成プロセスは 3 つのサブネットを定義します。 サブネットに定義されているプロパティを編集する必要がある場合は、編集したいサブネットの Editアイコン クリックします。 マイナス・アイコンをクリックして、事前定義されているサブネットを削除することもできます。 サブネットを追加する必要がある場合は、以下の手順を実行します。

11. **「サブネットの追加」**をクリックし、VPC 内の新規サブネットの名前 (my-subnet など) を入力します。

12. サブネットの場所を選択します。 場所は、リージョンとゾーンで構成されます。 選択したリージョンは、VPC のリージョンとして使用されます。 このVPCで作成するすべての追加リソースは、選択したリージョンに作成されます。

13. サブネットのリソース・グループを選択します。

14. サブネットの IP 範囲を CIDR 表記で入力します (例えば、10.240.0.0/24)。 ほとんどの場合、デフォルトの IP 範囲を使用できます。 カスタム IP 範囲を指定する場合、IP 範囲計算器を使用して、別のアドレス接頭部を選択したりアドレスの数を変更したりすることができます。

    サブネットを作成した後にサイズを変更することはできません。

15. 接続したすべてのリソースをパブリック・インターネットと通信できるようにするには、パブリック・ゲートウェイをサブネットに接続します。 サブネットを作成した後にパブリック・ゲートウェイを接続することもできます。

16. 「仮想プライベート・クラウドの作成」 をクリックします。

ACL の構成

ACL を構成して、サブネットに対するインバウンドとアウトバウンドのトラフィックを制限できます。 デフォルトでは、すべてのトラフィックが許可されます。

各サブネットは、1 つの ACL にのみ接続できます。 ただし、各 ACL は複数のサブネットに接続できます。

ACL を設定するには、以下の手順に従う：

1. ナビゲーション・ペインで**「ネットワーク」>「サブネット」**をクリックします。

2. 作成したサブネットをクリックします。

3. **「サブネットの詳細」**エリアで、ACL の名前をクリックします。

4. **「ルールの追加」**をクリックして、サブネットへのまたはサブネットからのどのようなトラフィックが許可されるかを定義する、インバウンド・ルールとアウトバウンド・ルールを構成します。 ルールごとに、以下の情報を指定します。

   • 指定したトラフィックが許可されるのかまたは拒否されるのかを選択します。
   • ルールを適用するプロトコルを選択します。
   • ルールの送信元および宛先に、ルールを適用する IP 範囲とポートを指定します。 例えば、サブネットの IP 範囲 192.168.0.0/24 へのすべてのインバウンド・トラフィックを許可するには、送信元に**「すべて」**を指定し、宛先に「192.168.0.0/24」を指定します。 しかし、 169.168.0.0/24 からサブネット全体へのインバウンド・トラフィックのみを許可したい場合は、ルールのソースに 169.168.0.0/24 、宛先に Anyを指定する。
   • ルールの優先順位を指定します。 数値の小さいルールが最初に評価され、数値の大きいルールより優先される。 例えば、優先順位 2 のルールで HTTP トラフィックが許可され、優先順位 5 のルールがすべてのトラフィックを拒否する場合、HTTP トラフィックは引き続き許可されます。

   例については、『ルールの構成』を参照してください。

5. ルールの作成を完了したら、ページの先頭にある**「アクセス制御リスト」**階層リンクをクリックします。

詳しくは、『アクセス制御リストの概要』を参照してください。

仮想サーバー・インスタンスの作成

新しく作成したサブネットに仮想サーバー・インスタンスを作成するには、以下の手順を実行します：

1. ナビゲーション・ペインで、**「コンピュート」>「仮想サーバー・インスタンス」をクリックして、「作成」**をクリックします。

2. 「ロケーション」 で、インスタンスを作成する地域、地域、およびゾーンを選択します。

3. インスタンスの名前 (my-instance など) を入力します。

4. インスタンスのリソース・グループを選択します。

5. オプション: タグを入力すると、リソースの編成と検索に役立ちます。 後でさらにタグを追加できます。 詳しくは、『タグの処理』を参照してください。

6. 「イメージの変更」 をクリックして、 Debian GNU/Linux、 _ibm-debian-11-7-minimal-amd64-2_などのイメージ (つまり、オペレーティング・システムとバージョン) を選択します。 「イメージの選択」ページでは、ストック・イメージ、カスタム・イメージ、カタログ・イメージ、スナップショット、または既存のボリュームを選択できます。 インスタンスをプロビジョンしている地理的位置でサポートされている場合は、仮想サーバーのアーキテクチャー ( x86 または _s390x_のいずれか) を選択できます。

   _ z/OS Wazi aaS カスタム・イメージの場合のみ:_ Wazi Image Builderを使用して作成したカスタム・イメージを使用する場合は、オペレーティング・システムに対して 「カスタム・イメージ」 を選択すると、デフォルトでイメージの名前が wazi-custom-image になります。

7. インスタンス・サイズを設定するには、 「プロファイルの変更」 をクリックして、ワークロードに最も適したコア、RAM、およびネットワーク・パフォーマンスの組み合わせを含むプロファイルを選択します。 詳しくは、 x86-64 インスタンス・プロファイル および s390x インスタンス・プロファイル を参照してください。

   _ z/OS 仮想サーバー・インスタンスの場合のみ:_ z/OS 仮想サーバー・インスタンスには、2 vCPUs x 16 GB RAM (2x16) の最小プロファイルが必要です。 RAM が 8 GB 未満の z/OS ストック・イメージのプロファイルを選択すると、 IAR057D メッセージが表示されることがあります。 詳しくは、 IAR057Dを参照してください。

8. 既存の SSH キーを選択するか、仮想サーバーインスタンスへのアクセスに使用する SSH キーを作成します。 SSH鍵を作成するには、「 Create an SSH key 」をクリックし、鍵に名前を付けます。 「自分用の鍵ペアを生成」 を選択し、 「秘密鍵の保存」 をクリックし、次に 「公開鍵の保存」 をクリックします。 このアクションが完了したら、 「作成」 をクリックします。

9. ブート・ボリュームをメモします。 インスタンスが削除されると、ブート・ボリュームは自動的に_削除_されます。

10. ストレージがさらに必要な場合は、**「データ・ボリューム」領域で、「作成」**をクリックしてブロック・ストレージ・ボリュームをインスタンスに接続します。 このチュートリアルでは、 Block Storage ボリュームを作成し、後でインスタンスにアタッチします。

    _ z/OS Wazi aaS カスタム・イメージの場合のみ:_ z/OS Wazi aaS カスタム・イメージを使用して z/OS 仮想サーバー・インスタンスを作成する場合は、 Import from Snapshot を選択してデータ・ボリュームを追加する必要があります。 デフォルトでは、スナップショットの名前は wazi-custom-image-data です。

11. 仮想プライベート・クラウドの 「ネットワーキング」 セクションで、作成した VPC を選択します。

12. **「ネットワーク・インターフェース」**エリアで、ネットワーク・インターフェースを編集して、その名前を変更できます。 選択したゾーンおよび VPC に複数のサブネットがある場合、別のサブネットをこのインターフェースに接続できます。 複数のサブネットにインスタンスを存在させる場合は、さらにインターフェースを作成できます。

    インターフェースごとに 16 Gbps という最大ネットワーク帯域幅があります。 このインスタンスに選択したプロファイルの最大ネットワーク帯域幅が 16 Gbps よりも大きい場合は、通常、ネットワーク・パフォーマンスを最適化するために追加のインターフェースを作成することが必要になります。 詳しくは、 ネットワーク・インターフェースの管理 を参照してください。

    各インターフェースにどのセキュリティー・グループを接続するかを選択することもできます。 デフォルトでは、VPC のデフォルト・セキュリティー・グループが接続されます。 デフォルトのセキュリティー・グループによって、SSH および ping のインバウンド・トラフィック、すべてのアウトバウンド・トラフィック、およびグループ内のインスタンス間のすべてのトラフィックが許可されます。 その他のすべてのトラフィックはブロックされますが、その他のトラフィックを許可するためのルールを構成することができます。 後でデフォルトのセキュリティー・グループのルールを編集すると、これらの更新されたルールが、グループ内の現在および将来のすべてのインスタンスに適用されます。

13. オプション: 「拡張オプション」セクションで、 「ユーザー・データ」 を入力して、インスタンスの開始時に一般的な構成タスクを実行できます。 例えば、cloud-init ディレクティブまたは Linux イメージのシェル・スクリプトを指定できます。 詳しくは、User Data を参照してください。

14. メタデータの設定はデフォルトでは無効になっています。 メタデータ・サービスが有効になっている場合、インスタンスはインスタンス構成情報とユーザー・データを収集します。 詳しくは、VPC 用のインスタンス・メタデータについてを参照してください。 メタデータは、 IBM Cloud® Hyper Protect Virtual Server for IBM Cloud® Virtual Private Cloud インスタンスおよび z/OS 仮想サーバー・インスタンスではサポートされません。

15. 「専用ホストに追加」 設定は、デフォルトでは無効になっています。 専用ホストについて詳しくは、 専用ホストおよびグループの作成 を参照してください。

16. 「配置グループに追加」 設定は、デフォルトでは無効になっています。 詳しくは、配置グループについてを参照してください。

17. 「ホスト障害の自動再始動 (Host failure auto restart)」 設定は、デフォルトで有効になっています。 ホスト障害の自動再始動を無効にするには、トグルをクリックします。 詳しくは、 ホスト障害リカバリー・ポリシー を参照してください。

18. 「仮想サーバー・インスタンスの作成 (Create virtual server instance)」 をクリックします。 インスタンスのステータスは Pending（保留中 ）から始まり、 Stopped（停止中）、 Running（実行中 ）と変化する。 状況の変更を確認するためにページの最新表示が必要な場合もあります。

ブロック・ストレージ・ボリュームの作成と接続

ストレージがさらに必要な場合は、ブロック・ストレージ・ボリュームを作成して仮想サーバー・インスタンスに接続できます。

Block Storage ・ボリュームを作成して接続するには、以下の手順を実行します。

1. ナビゲーション・ペインで**「ストレージ」>「ブロック・ストレージ・ボリューム (Block storage volumes)」**をクリックします。
2. **「新規ボリューム (New volume)」**をクリックし、以下の情報を指定します。
   • 名前: ブロック・ストレージ・ボリュームの名前 (data-volume-1 など) を入力します。
   • リソース・グループ: ブロック・ストレージ・ボリュームのリソース・グループを選択します。 アクセス制御および請求処理のために、リソース・グループを使用してアカウントのリソースを編成できます。 詳しくは、『リソースをリソース・グループに編成するためのベスト・プラクティス』を参照してください。
   • タグ: オプション: タグを入力すると、リソースの編成と検索に役立ちます。 後でさらにタグを追加できます。 詳しくは、『タグの処理』を参照してください。
   • 場所: ブロック・ストレージ・ボリュームの場所を選択します。 場所は、リージョンとゾーンで構成されます (例: 米国南部 1)。
   • サイズ: ボリュームのサイズを 10 GB から 2000 GB の間で指定します。
   • IOP: IOP 層のいずれかを選択するか、「カスタム」をクリックしてボリューム・サイズに基づいて IOP 値を入力します。
   • 暗号化: デフォルトの プロバイダー管理 暗号化オプションを受け入れます。
3. ブロックストレージボリュームの作成 ］をクリックします。
4. ブロック・ストレージ・ボリュームのリストで、作成したボリュームを見つけます。 状況が「使用可能」の場合、「...」をクリックし、**「インスタンスに接続 (Attach to instance)」**を選択します。
5. ボリュームの接続先のインスタンスを選択して、**「接続 (Attach)」**をクリックします。
6. _ z/OS 仮想サーバー・インスタンスの場合のみ:_ 新しく接続された Block Storage ・ボリュームとそのアドレスが割り当てられていることを確認するために、 z/OS 仮想サーバー・インスタンス・コンソールで、影響を受けるデバイス・アドレスとともに送信されるブロードキャスト・メッセージを介して情報を見つけることができます。

インスタンスのセキュリティー・グループの構成

セキュリティー・グループを構成して、インスタンスで許可されるインバウンドとアウトバウンドのトラフィックを定義できます。 例えば、企業のセキュリティー・ポリシーに基づいてサブネットの ACL ルールを構成した後、そのワークロードに応じて、特定のインスタンスのトラフィックをさらに制限することができます。

セキュリティグループを設定するには、以下の手順に従ってください：

1. ナビゲーション・ペインで**「コンピュート」>「仮想サーバー・インスタンス」**をクリックします。

2. インスタンスをクリックして詳細を表示します。

3. **「ネットワーク・インターフェース」**セクションで、セキュリティー・グループの名前をクリックします。

4. セキュリティー・グループの詳細ページの**「ルール」タブで、「作成」**をクリックして、インスタンスとの間で許可されるトラフィックのタイプを定義する、インバウンド・ルールとアウトバウンド・ルールを構成します。 ルールごとに、以下の情報を指定します。

   • ルールが適用されるプロトコルおよびポートを選択します。
   • トラフィックが許可される CIDR ブロックまたは IP アドレスを指定します。 あるいは、同じ VPC 内のセキュリティー・グループを指定して、その選択されたセキュリティー・グループに接続するすべてのインスタンスとの間のトラフィックを許可することができます。

   ヒント:

   • 追加される順序にかかわらず、すべてのルールが評価されます。
   • ルールはステートフルです。つまり、許可されたトラフィックに応答して返されるトラフィックは自動的に許可されます。 例えば、ポート 80 でインバウンド TCP トラフィックを許可するルールを作成したとします。 このルールは、発信元ホストに返信するためのポート 80 のアウトバウンド TCP トラフィックも許可するので、ルールをもう 1 つ作成する必要はありません。
   • Windows イメージの場合は、インスタンスに関連付けられたセキュリティー・グループで、インバウンドとアウトバウンドのリモート・デスクトップ・プロトコルのトラフィック (TCP ポート 3389) を許可してください。
   • z/OS 仮想サーバー・インスタンスが z/OS 開発およびテスト・ストック・イメージを使用して作成されている場合は、 z/OS 仮想サーバー・インスタンスのセキュリティー・グループにポートを追加するときに、 「予約済み構成」 表を参照できます。

5. オプション: セキュリティー・グループに接続されているインターフェースを表示するには、接続されたリソース タブをクリックし、「接続されているインターフェース」セクションを確認します。

6. ルールの作成が完了したら、ページの先頭にある セキュリティー・グループ パンくずリストをクリックします。

セキュリティー・グループについて詳しくは、セキュリティー・グループについてを参照してください。

フローティングIPアドレスの予約（オプション）

インターネットからインスタンスにアクセスできるようにする場合は、浮動 IP アドレスを予約して関連付けます。

浮動 IP アドレスを関連付けるには、インスタンスが実行されている必要があります。 インスタンスが稼働中になるまで数分かかることがあります。

フローティングIPアドレスを予約して関連付けるには、以下の手順に従う：

1. ナビゲーション・ペインで**「コンピュート」>「仮想サーバー・インスタンス」**をクリックします。
2. インスタンスをクリックして詳細を表示します。
3. **「ネットワーク・インターフェース」セクションで、浮動 IP アドレスに関連付けるインターフェースの「予約」**をクリックします。

後で、この浮動 IP アドレスを同じゾーン内の別のインスタンスに再割り当てできます。 このフローティングIPアドレスを再割り当てするには、 ［ネットワーク］＞［フローティングIP］ ページでフローティングIPアドレスを見つけ、そのオーバーフローメニュー（... ）をクリックし、［ 関連付けを解除］をクリックします。 次に、**「関連付け」**をクリックして、この浮動 IP アドレスに関連付けるインスタンスとネットワーク・インターフェースを選択します。

パブリックゲートウェイの作成（オプション）

インターネットから複数のインスタンスに到達できるようにする場合は、パブリック・ゲートウェイを作成し、仮想サーバー・インスタンスを接続します。

パブリック・ゲートウェイを作るには

1. IBM Cloud コンソールにアクセスし、アカウントにログインする。
2. ナビゲーション メニュー を選択し、 インフラストラクチャ > ネットワーク > パブリック ゲートウェイをクリックします。 VPC 用のパブリック・ゲートウェイのダッシュボードが表示されます。
3. 「作成」 をクリックして、 「パブリック・ゲートウェイの作成」 メニューに移動します。

パブリック・ゲートウェイは仮想サーバー・インスタンスにアウトバウンド接続のみを提供し、浮動 IP アドレスは仮想サーバー・インスタンスにアウトバウンド接続とインバウンド接続を提供します。 浮動 IP アドレスは、インターネット上のサービスをインバウンド・アクティビティーに公開します。

パブリック・ゲートウェイの作成方法について詳しくは、 パブリック・ゲートウェイの作成 を参照してください。

インスタンスへの接続

作成したフローティングIPアドレスを使用して、インスタンスにpingを打ち、インスタンスが稼働していることを確認する：

ping <public-ip-address>

ssh -i <path-to-private-key-file> root@<public-ip-address>

インスタンスのモニタリング

インスタンスの CPU、ボリューム、メモリー、およびネットワーク使用量の経時変化をモニターできます。 メトリックはシステムに 2 週間保持されます。

インスタンスをモニターするには、以下の手順を実行します。

1. ナビゲーション・ペインの**「仮想サーバー・インスタンス」**をクリックします。
2. インスタンスの名前をクリックします。
3. ナビゲーション・ペインの**「モニタリング」**をクリックします。

モニター・データは IBM Cloud Monitoring に保管されるので、アカウントの IBM Cloud Monitoring のインスタンスから認証を受ける必要があります。 詳しくは、IBM Cloud Monitoring を参照してください。

ロード・バランサーの作成（オプション)

作成できる IBM Cloud のロード・バランサーには、アプリケーション・ロード・バランサーとネットワーク・ロード・バランサーの 2 種類があります。 IBM Cloud ロード・バランサーの作成について詳しくは、 ロード・バランサーの概要 を参照してください。

VPN ゲートウェイの作成（オプション)

仮想プライベート・ネットワーク (VPN) を作成すると、VPC を別のプライベート・ネットワーク (オンプレミス・ネットワークや別の VPC など) に安全に接続できるようになります。 詳しくは、VPN ゲートウェイの作成を参照してください。

VPC に関連付けられたリソースの表示

リソース・ビューにアクセスして、VPC に関連付けられているリソースを素早く確認できます。ナビゲーションで**「VPC レイアウト (VPC layout)」**をクリックしてください。 アカウントに複数の VPC が構成されている場合は、対象とする VPC を選択できます。 VPC ごとに、関連付けられているサブネットが表示されます。サブネットごとに、実行中、停止中、および失敗したインスタンスの数が表示されます。 また、各サブネットで使用可能な IP アドレスの数も表示されます。 インスタンスおよび関連付けられた IP アドレスのリストから、特定のインスタンスをクリックして、その詳細を表示できます。

おめでとうございます!

IBM Cloud コンソールを使用して、VPC の作成と構成に成功しました。 インスタンス、サブネット、およびその他のリソースをさらに追加して、VPC の開発を続けることができます。