デプロイ前の前提条件

BYOC作成権限

BYOCの作成にはアカウントの承認が必要です。本人確認後、EMQX Cloudサポートチームがアカウントに対してこの権限を有効化します。

以下の準備を完了する前に、コンソールのデプロイ作成ページにアクセスし、BYOC を選択して右側のボタンを確認してください。詳細はBYOCデプロイの作成をご覧ください。

• お問い合わせ：承認が必要です。ボタンをクリックし、事前入力されたチケット画面で確認をクリックしてください。
• 新規デプロイ：アカウントが承認されており、以下の準備を続行できます。

アカウントが承認されるまでは、クラウドリソース、権限、ブートストラップ環境の準備は不要です。

EMQX Cloud Bring Your Own Cloud（BYOC）をデプロイする前に、以下の準備を完了してください。

• VPC、サブネット、ECSなどのパブリッククラウドサービスとネットワーク構成の基本概念を理解する。
• パブリッククラウドアカウントとEMQX Cloudアカウントを用意する。
• 関連するクラウドリソースとクラウドアカウントの権限を準備する。
• デプロイのブートストラップ環境をセットアップする。
• EMQXサービス用のドメイン名と対応するTLS/SSL証明書を準備する。
• EMQX BYOCライセンスを準備する。

アカウント準備

EMQX BYOCデプロイはお客様のクラウドアカウント内に作成されます。対応するパブリッククラウドアカウントをお持ちでない場合は、ご希望のクラウドプラットフォームの公式ドキュメントに従いアカウントを作成してください。例：

• AWS組織内でアカウントを作成する
• Azureアカウントを作成する
• Google Cloud Platformアカウントを作成する

現在、BYOCは以下のパブリッククラウドおよびリージョンをサポートしています。その他のクラウドサービスプロバイダーやリージョンのサポートが必要な場合は、チケットを提出するか、メールでお問い合わせください。

クラウドプロバイダー	リージョン
AWS	米国: N. Virginia (us-east-1), Ohio (us-east-2), N. California (us-west-1), Oregon (us-west-2) 欧州: Ireland (eu-west-1), London (eu-west-2), Frankfurt (eu-central-1) アジア太平洋: Singapore (ap-southeast-1), Mumbai (ap-south-1), Hong Kong (ap-east-1), Tokyo (ap-northeast-1), Sydney (ap-southeast-2), Seoul (ap-northeast-2) メキシコ: Central (mx-central-1)
Google Cloud	米国: South Carolina (us-east1), Oregon (us-west1), Iowa (us-central1) カナダ: Toronto (northamerica-northeast2) 欧州: London (europe-west2), Frankfurt (europe-west3), Finland (europe-north1), Netherlands (europe-west4) アジア太平洋: Mumbai (asia-south1), Singapore (asia-southeast1), Jakarta (asia-southeast2), Taiwan (asia-east1), Tokyo (asia-northeast1)
Azure	米国: East US (eastus), West US 2 (westus2), West US 3 (westus3) カナダ: Canada Central (canadacentral) 欧州: West Europe (westeurope), Germany West Central (germanywestcentral), North Europe (northeurope) アジア太平洋: Southeast Asia (southeastasia), Japan East (japaneast), Central India (centralindia), Australia East (australiaeast)

Azure BYOCはAzureパブリッククラウドのみをサポートしています。デプロイ開始前に、EMQX Cloudで選択したAzureリージョンと同じ場所にリソースグループを作成してください。デプロイはこのリソースグループ内にリソースを作成しますが、デプロイ削除時にリソースグループや関連しないリソースは削除しません。

また、デプロイを完了するにはEMQX Cloudアカウントも必要です。未登録の場合はEMQX Cloudアカウント登録ページから登録してください。

ドメインと証明書

EMQXサービス用のドメインとTLS/SSL証明書を事前に準備してください。EMQX Cloudはカスタムの片方向TLS/SSL認証をサポートしています。

注意

1. ポリシー要件により、ドメインはICP登録を完了している必要があり、ドメインが登録されているクラウドサービスプロバイダーはBYOCをデプロイするプラットフォームと一致している必要があります。
2. BYOCデプロイはCA署名済み証明書のみ受け付けます。TLS/SSL証明書のフォーマット要件についてはBYOCプランのTLS/SSL設定を参照してください。

リソースと権限

EMQX BYOCデプロイには、お客様のクラウドアカウント内で様々なクラウドリソースとサービスを作成する必要があります。関連するクラウドアカウントに十分なリソースクォータが確保され、関連権限の設定が完了していることを確認してください。

リソースクォータ

以下の表はEMQX BYOCデプロイに必要なクラウドリソースとサービスを示しています。現在のアカウントのリソースが不足している場合は、クラウドアカウント管理者に連絡して関連サービスのクォータを増加してください。

TIP

クラウド管理者はクラウドクォータでリソースとサービスの使用状況およびクォータを素早く確認できます。

• AWSサービスクォータ
• Azureクォータ
• Google Cloudのクォータ

リソースとサービス	デプロイに必要な数
VPC	1
サブネット	3
セキュリティグループ	1
ルートテーブル*	3
ロードバランサー	1
LBリスナー	6
ターゲットグループ	6
インターネットゲートウェイ	1
キーペア	1
EC2インスタンス	N*+1
Amazon Machine Images (AMIs)	1
IAMポリシー	1

*ルートテーブル：未使用のデフォルトルーティングテーブルを含みます。

*N：EMQXノード数を指します。

リソースとサービス	デプロイに必要な数
VPCネットワーク	1
サブネット	4
ファイアウォールルール	3
ネットワークロードバランサー	2
IPアドレス	2
VMインスタンス	N*+1
VMイメージ	1
IAMロール	2
IAMサービスアカウント	1

*N：EMQXノード数を指します。

リソースとサービス	デプロイに必要な数
リソースグループ*	1
仮想ネットワーク	1
サブネット	4
ネットワークセキュリティグループ	1
ネットワークインターフェース	N*+1
パブリックIPアドレス	2
スタンダードロードバランサー	1
ロードバランシングルール	6
ロードバランサーヘルスプローブ	6
ロードバランサーバックエンドプール	1
仮想マシン	N*+1
マネージドディスク	N*+1
Azureコンピュートギャラリー	1
ギャラリーイメージ定義	1
ギャラリーイメージバージョン	1

*デプロイ前にリソースグループを作成してください。デプロイ削除時も保持されます。

*N：EMQXノード数を指します。イメージ作成時にはリソースグループ内で一時的にコンピュートおよびネットワークリソースも使用するため、サブスクリプションに十分な追加クォータがあることを確認してください。

注意

Google Cloudをご利用の場合、GCPアカウントにデフォルトネットワークが存在するかを必ず確認してください。存在しない場合は作成してください。デプロイ時にpackerがシステムイメージのパッケージングツールとして使用されます。これにはVPCのデフォルトネットワーク内にパッケージング用の必要なリソースを作成する必要があります。

セキュリティポリシーによりデフォルトネットワークが作成できない場合は、チケットを提出するかメールでお問い合わせください。

IAM権限

クラウドアカウント内でクラウドリソースを作成するコマンドを実行するために、必要なIdentity and Access Management（IAM）権限を持つロールが必要です。クラウド管理者にBYOCデプロイ作成に十分な権限を割り当ててもらい、対応する認証情報を生成してください。

カスタムポリシーを作成するには、JSONエディターを使用したポリシー作成の手順に従い、以下のポリシー定義を利用できます。カスタムポリシー作成後、IAMユーザーまたはユーザーグループにアタッチしてください。最後に、IAMユーザーのアクセスキー管理の手順に従いアクセスキーを生成してください。

以下はデプロイ作成用のJSONポリシー定義です：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ec2:AssociateRouteTable",
        "ec2:AttachInternetGateway",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateInternetGateway",
        "ec2:CreateImage",
        "ec2:CreateKeyPair",
        "ec2:CreateRoute",
        "ec2:CreateRouteTable",
        "ec2:CreateSecurityGroup",
        "ec2:CreateSubnet",
        "ec2:CreateTags",
        "ec2:CreateVpc",
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceAttribute",
        "ec2:DescribeInstanceCreditSpecifications",
        "ec2:DescribeInstanceTypes",
        "ec2:DescribeInternetGateways",
        "ec2:DescribeImages",
        "ec2:DescribeRegions",
        "ec2:DescribeRouteTables",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSecurityGroupRules",
        "ec2:DescribeKeyPairs",
        "ec2:DescribeSubnets",
        "ec2:DescribeTags",
        "ec2:DescribeVolumes",
        "ec2:DescribeVpcs",
        "ec2:DescribeVpcAttribute",
        "ec2:DeleteSecurityGroup",
        "ec2:DeleteKeyPair",
        "ec2:ImportKeyPair",
        "ec2:RunInstances",
        "ec2:ModifyImageAttribute",
        "ec2:ModifySubnetAttribute",
        "ec2:ModifyVpcAttribute",
        "elasticloadbalancing:AddTags",
        "elasticloadbalancing:CreateListener",
        "elasticloadbalancing:CreateLoadBalancer",
        "elasticloadbalancing:CreateTargetGroup",
        "elasticloadbalancing:DescribeListeners",
        "elasticloadbalancing:DescribeLoadBalancers",
        "elasticloadbalancing:DescribeLoadBalancerAttributes",
        "elasticloadbalancing:DescribeTags",
        "elasticloadbalancing:DescribeTargetGroups",
        "elasticloadbalancing:DescribeTargetGroupAttributes",
        "elasticloadbalancing:DescribeTargetHealth",
        "elasticloadbalancing:ModifyLoadBalancerAttributes",
        "elasticloadbalancing:ModifyTargetGroupAttributes",
        "elasticloadbalancing:RegisterTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/used-by": "emqx-cloud"
        }
      }
    }
  ]
}

以下はデプロイ削除用のJSONポリシー定義です：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceAttribute",
        "ec2:DescribeInstanceTypes",
        "ec2:DescribeInstanceCreditSpecifications",
        "ec2:DescribeInternetGateways",
        "ec2:DescribeImages",
        "ec2:DescribeKeyPairs",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeRouteTables",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSubnets",
        "ec2:DescribeTags",
        "ec2:DescribeVolumes",
        "ec2:DescribeVpcs",
        "ec2:DescribeVpcAttribute",
        "ec2:DetachInternetGateway",
        "ec2:DisassociateRouteTable",
        "ec2:ModifyInstanceAttribute",
        "elasticloadbalancing:DescribeLoadBalancers",
        "elasticloadbalancing:DescribeLoadBalancerAttributes",
        "elasticloadbalancing:DescribeTags",
        "elasticloadbalancing:DescribeTargetGroups",
        "elasticloadbalancing:DescribeTargetGroupAttributes"
      ],
      "Resource": "*"
    },
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteInternetGateway",
        "ec2:DeleteKeyPair",
        "ec2:DeleteVpc",
        "ec2:DeleteRouteTable",
        "ec2:DeleteSubnet",
        "ec2:DeregisterImage",
        "ec2:TerminateInstances",
        "elasticloadbalancing:DeleteLoadBalancer",
        "elasticloadbalancing:DeleteListener",
        "elasticloadbalancing:DeleteTargetGroup"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/used-by": "emqx-cloud"
        }
      }
    }
  ]
}

以下はデプロイの停止・開始用のJSONポリシー定義です：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances"
      ],
      "Resource": "*"
    },
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
        "ec2:StartInstances",
        "ec2:StopInstances"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/used-by": "emqx-cloud"
        }
      }
    }
  ]
}

gcloud CLIを使ってカスタムロールを作成するには、カスタムロールの作成の手順に従い、以下のロール定義を利用してください。カスタムロール作成後、サービスアカウントにバインドし、サービスアカウントキーを生成します。

1. 以下の定義を含むYAMLファイルを作成します。BYOCデプロイ作成用と削除用の2つのロールが必要です。

title: "EMQX BYOC creation"
description: "EMQX BYOCデプロイ作成に必要な最小ロール定義"
stage: "GA"
includedPermissions:
- compute.firewalls.get
- compute.targetPools.get
- compute.images.get
- compute.disks.create
- compute.disks.delete
- compute.disks.get
- compute.instances.setMetadata
- compute.instances.setLabels
- compute.subnetworks.useExternalIp
- compute.subnetworks.get
- compute.instances.setServiceAccount
- compute.addresses.create
- compute.instances.create
- compute.addresses.get
- compute.networks.create
- compute.httpHealthChecks.get
- compute.firewalls.create
- compute.networks.updatePolicy
- compute.images.create
- compute.images.setLabels
- compute.addresses.use
- compute.subnetworks.create
- compute.instances.getSerialPortOutput
- compute.httpHealthChecks.create
- compute.disks.useReadOnly
- compute.forwardingRules.get
- compute.machineTypes.get
- compute.targetPools.create
- compute.zones.get
- compute.regionOperations.get
- compute.images.useReadOnly
- compute.instances.use
- compute.instances.get
- compute.targetPools.use
- compute.forwardingRules.create
- compute.httpHealthChecks.useReadOnly
- compute.instances.delete
- compute.globalOperations.get
- compute.subnetworks.use
- compute.networks.get
- compute.zoneOperations.get
- compute.forwardingRules.setLabels

title: "EMQX BYOC deleting"
description: "EMQX BYOCデプロイ削除に必要な最小ロール定義"
stage: "GA"
includedPermissions:
- compute.firewalls.get
- compute.zoneOperations.get
- compute.instances.delete
- compute.targetPools.delete
- compute.networks.delete
- compute.regionOperations.get
- compute.firewalls.delete
- compute.networks.updatePolicy
- compute.forwardingRules.get
- compute.globalOperations.get
- compute.networks.get
- compute.httpHealthChecks.get
- compute.subnetworks.get
- compute.httpHealthChecks.delete
- compute.targetPools.get
- compute.addresses.delete
- compute.subnetworks.delete
- compute.disks.get
- compute.addresses.get
- compute.instances.get
- compute.forwardingRules.delete
- compute.images.delete
- compute.images.get

2. 以下のコマンドでYAMLファイルを使いロールを作成します。

gcloud iam roles create CreateEmqxCloudByocRole --project=<project-id> --file=<yaml-file-path>

3. （任意）サービスアカウントがない場合は以下のコマンドで作成します。

gcloud iam service-accounts create <service-account-name> --project=<project-id>

4. 以下のコマンドでサービスアカウントにロールをバインドします。

gcloud projects add-iam-policy-binding <project-id> --member=serviceAccount:<service-account-name>@<project-id>.iam.gserviceaccount.com --role=projects/<project-id>/roles/CreateEmqxCloudByocRole

5. 以下のコマンドでJSON形式のサービスアカウントキーを生成します。

gcloud iam service-accounts keys create <json-file> --iam-account=<service-account-name>@<project-id>.iam.gserviceaccount.com

<project-id>、<yaml-file-path>、<service-account-name>、<json-file>は実際の値またはプレースホルダーに置き換えてください。

デプロイの停止・開始権限を別途設定したい場合は、以下の定義を作成してください。

title: "EMQX BYOC operation"
description: "EMQX BYOCデプロイの停止または開始に必要な最小ロール定義"
stage: "GA"
includedPermissions:
- compute.instances.get
- compute.instances.start
- compute.instances.stop

BYOCデプロイ用に準備したリソースグループにスコープされたMicrosoft EntraのContributorロールを持つサービスプリンシパルを使用してください。既存のサービスプリンシパルを再利用可能です。サブスクリプション全体への権限付与は避けてください。

サービスプリンシパルの作成やロール割り当てにはMicrosoft Entra IDのアプリケーション管理権限と対象リソースグループのロール割り当て権限が必要です。

1. Azure CLIをインストールし、az loginを実行後、以下のプレースホルダーを置き換えます。

SUBSCRIPTION_ID="<Azure サブスクリプションID>"
LOCATION="<EMQX Cloudで選択したAzureリージョン例: eastus>"
RESOURCE_GROUP_NAME="<リソースグループ名>"

az account set --subscription "$SUBSCRIPTION_ID"
TENANT_ID=$(az account show --query tenantId --output tsv)
SCOPE="/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$RESOURCE_GROUP_NAME"

2. （任意）リソースグループが存在しない場合は作成します。

az group create --name "$RESOURCE_GROUP_NAME" --location "$LOCATION"

3. BYOCで使用するリソースプロバイダーが登録されているか確認します。

az provider show --namespace Microsoft.Compute --query registrationState --output tsv
az provider show --namespace Microsoft.Network --query registrationState --output tsv

両方ともRegisteredを返す必要があります。そうでなければサブスクリプション管理者に登録を依頼してください。

4. （任意）サービスプリンシパルがない場合は作成します。

SP_NAME="emqx-byoc-sp-$(uuidgen | tr '[:upper:]' '[:lower:]')"

az ad sp create-for-rbac \
  --name "$SP_NAME"

既存のサービスプリンシパルには再実行しないでください。新しいクライアントシークレットが生成されます。返されたpasswordは一度しか表示されないため安全に保管してください。

5. サービスプリンシパルに対象リソースグループのContributorロールが割り当てられていることを確認し、未割当の場合は以下を実行します。

CLIENT_ID="<サービスプリンシパルのアプリケーション（クライアント）ID>"

az role assignment create \
  --assignee "$CLIENT_ID" \
  --role "Contributor" \
  --scope "$SCOPE"

6. BYOCデプロイコマンド実行時にサービスプリンシパル情報を以下のように指定します。

Azureの値	BYOCパラメーター
アプリケーション（クライアント）ID (appId)	--accessKey
クライアントシークレット値 (password)	--secretKey
ディレクトリ（テナント）ID (tenant)	--tenantID
SUBSCRIPTION_ID	--subscriptionID
RESOURCE_GROUP_NAME	--resourceGroupName

サービスプリンシパルの認証情報はデプロイの開始、停止、削除時にも必要です。

ブートストラップ環境の準備

EMQX BYOCをデプロイするには、パブリックネットワークに接続可能なUbuntu 22.04 LTS（AMD64）環境が必要です。以下のいずれかの方法で準備してください。

• （推奨）クラウドアカウント内でUbuntu 22.04 LTSイメージを使い仮想マシンインスタンスを作成。インスタンスのメモリは1GiB以上必要です。
• ローカルのUbuntu 22.04 LTS環境を使用。

BYOCライセンス

EMQX CloudのBYOCライセンスを準備してください。BYOCライセンスは営業チームにお問い合わせいただき、接続デバイス数やメッセージスループット（TPS）に基づいてライセンス仕様を決定します。