デプロイ前の準備条件

BYOC作成権限について

BYOCの作成にはアカウントの承認が必要です。本人確認後、EMQX Cloudサポートチームがアカウントに対してこの権限を有効化します。

以下の準備を完了する前に、Consoleのデプロイ作成ページにアクセスし、BYOCを選択して右側のボタンを確認してください。詳細はBYOCデプロイの作成をご参照ください。

• お問い合わせ：承認が必要です。ボタンをクリックし、事前入力されたチケット画面で確認をクリックしてください。
• 新規デプロイ：アカウントが承認されており、以下の準備を続けられます。

アカウントが承認されるまでは、クラウドリソースや権限、ブートストラップ環境の準備は不要です。

EMQX Cloud Bring Your Own Cloud（BYOC）をデプロイする前に、以下の準備を必ず完了してください。

• VPC、サブネット、ECSなどのパブリッククラウドサービスやネットワーク構成の基本概念を理解すること。
• パブリッククラウドアカウントおよびEMQX Cloudアカウントを用意すること。
• 関連するクラウドリソースとクラウドアカウントの権限を準備すること。
• デプロイのブートストラップ環境を構築すること。
• EMQXサービス用のドメイン名と対応するTLS/SSL証明書を準備すること。
• EMQX BYOCライセンスを準備すること。

アカウントの準備

EMQX BYOCのデプロイはお客様のクラウドアカウント内に作成されます。対応するパブリッククラウドアカウントをお持ちでない場合は、ご利用予定のクラウドプラットフォームの公式ドキュメントに従いアカウントを作成してください。例：

• AWS組織内でのアカウント作成
• Google Cloud Platformアカウントの作成

現在、BYOCは以下のパブリッククラウドおよびリージョンをサポートしています。その他のクラウドサービスプロバイダーやリージョンのサポートが必要な場合は、チケットを提出するか、メールでお問い合わせください。

クラウドプロバイダー	リージョン
AWS	米国: US East (N. Virginia), US East (Ohio), US West (N. California), US West (Oregon) 欧州: EU (Ireland), EU (Frankfurt) アジア: Asia Pacific (Singapore), Asia Pacific (Mumbai), Asia Pacific (Hong Kong), Asia Pacific (Tokyo)
Google Cloud	米国: us-east1 (South Carolina), us-west1 (Oregon), us-central1 (Iowa) 欧州: europe-west3 (Frankfurt), europe-north1 (Finland) アジア: asia-south1 (Mumbai), asia-southeast1 (Singapore), asia-east1 (Taiwan)

さらに、デプロイを完了するにはEMQX Cloudアカウントも必要です。未登録の場合はEMQX Cloudアカウント登録ページから登録してください。

ドメインと証明書

EMQXサービス用のドメイン名とTLS/SSL証明書を事前に準備してください。EMQX Cloudはカスタムの片方向TLS/SSL認証をサポートしています。

注意事項

1. ポリシー要件により、ドメインはICP登録を完了している必要があり、ドメインが登録されているクラウドサービスプロバイダーはBYOCをデプロイするプラットフォームと一致している必要があります。
2. BYOCデプロイではCA署名済み証明書のみ受け付けます。TLS/SSL証明書のフォーマット要件についてはBYOCプランのTLS/SSL設定をご参照ください。

リソースと権限

EMQX BYOCのデプロイには、お客様のクラウドアカウント内で各種クラウドリソースやサービスを作成する必要があります。関連クラウドアカウントに十分なリソースクォータが確保され、必要な権限設定が完了していることを確認してください。

リソースクォータ

以下の表はEMQX BYOCデプロイに必要なクラウドリソースとサービスを示しています。現在のアカウントのリソースが不足している場合は、クラウドアカウント管理者に連絡して該当サービスのクォータ増加を依頼してください。

TIP

クラウド管理者はクラウドクォータでリソースとサービスの使用状況およびクォータを迅速に確認できます。

• AWSサービスクォータ
• Google Cloudのクォータ

リソースとサービス	デプロイに必要な数量
VPC	1
サブネット	3
セキュリティグループ	1
ルートテーブル*	3
ロードバランサー	1
LBリスナー	6
ターゲットグループ	6
インターネットゲートウェイ	1
キーペア	1
EC2インスタンス	N*+1
Amazon Machine Images (AMIs)	1
IAMポリシー	1

*ルートテーブル：未使用のデフォルトルーティングテーブルを含みます。

*N：EMQXノード数を指します。

リソースとサービス	デプロイに必要な数量
VPCネットワーク	1
サブネット	4
ファイアウォールルール	3
ネットワークロードバランサー	2
IPアドレス	2
VMインスタンス	N*+1
VMイメージ	1
IAMロール	2
IAMサービスアカウント	1

*N：EMQXノード数を指します。

注意

Google Cloudをご利用の場合、GCPアカウントにデフォルトネットワークが存在するか必ず確認してください。存在しない場合は作成してください。デプロイ時にpackerがシステムイメージのパッケージングツールとして使用されます。これにはVPCのデフォルトネットワーク内にパッケージング用の必要なリソースを作成する必要があります。

セキュリティポリシーによりデフォルトネットワークが作成できない場合は、チケットを提出するかメールでお問い合わせください。

IAM権限

クラウドアカウント内でクラウドリソースを作成するコマンドを実行するために、必要なIdentity and Access Management（IAM）権限を持つ役割が必要です。クラウド管理者にBYOCデプロイ作成に十分な権限を割り当ててもらい、対応する認証情報を発行してください。

カスタムポリシーを作成するには、JSONエディターを使用したポリシー作成の手順に従い、以下のポリシー定義を利用してください。作成後、IAMユーザーまたはユーザーグループにアタッチし、IAMユーザーのアクセスキー管理の手順でアクセスキーを生成してください。

以下はデプロイ作成用のポリシー定義（JSON）です：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ec2:AssociateRouteTable",
        "ec2:AttachInternetGateway",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateInternetGateway",
        "ec2:CreateImage",
        "ec2:CreateKeyPair",
        "ec2:CreateRoute",
        "ec2:CreateRouteTable",
        "ec2:CreateSecurityGroup",
        "ec2:CreateSubnet",
        "ec2:CreateTags",
        "ec2:CreateVpc",
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceAttribute",
        "ec2:DescribeInstanceCreditSpecifications",
        "ec2:DescribeInstanceTypes",
        "ec2:DescribeInternetGateways",
        "ec2:DescribeImages",
        "ec2:DescribeRegions",
        "ec2:DescribeRouteTables",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSecurityGroupRules",
        "ec2:DescribeKeyPairs",
        "ec2:DescribeSubnets",
        "ec2:DescribeTags",
        "ec2:DescribeVolumes",
        "ec2:DescribeVpcs",
        "ec2:DescribeVpcAttribute",
        "ec2:DeleteSecurityGroup",
        "ec2:DeleteKeyPair",
        "ec2:ImportKeyPair",
        "ec2:RunInstances",
        "ec2:ModifyImageAttribute",
        "ec2:ModifySubnetAttribute",
        "ec2:ModifyVpcAttribute",
        "elasticloadbalancing:AddTags",
        "elasticloadbalancing:CreateListener",
        "elasticloadbalancing:CreateLoadBalancer",
        "elasticloadbalancing:CreateTargetGroup",
        "elasticloadbalancing:DescribeListeners",
        "elasticloadbalancing:DescribeLoadBalancers",
        "elasticloadbalancing:DescribeLoadBalancerAttributes",
        "elasticloadbalancing:DescribeTags",
        "elasticloadbalancing:DescribeTargetGroups",
        "elasticloadbalancing:DescribeTargetGroupAttributes",
        "elasticloadbalancing:DescribeTargetHealth",
        "elasticloadbalancing:ModifyLoadBalancerAttributes",
        "elasticloadbalancing:ModifyTargetGroupAttributes",
        "elasticloadbalancing:RegisterTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/used-by": "emqx-cloud"
        }
      }
    }
  ]
}

以下はデプロイ削除用のポリシー定義（JSON）です：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceAttribute",
        "ec2:DescribeInstanceTypes",
        "ec2:DescribeInstanceCreditSpecifications",
        "ec2:DescribeInternetGateways",
        "ec2:DescribeImages",
        "ec2:DescribeKeyPairs",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeRouteTables",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSubnets",
        "ec2:DescribeTags",
        "ec2:DescribeVolumes",
        "ec2:DescribeVpcs",
        "ec2:DescribeVpcAttribute",
        "ec2:DetachInternetGateway",
        "ec2:DisassociateRouteTable",
        "ec2:ModifyInstanceAttribute",
        "elasticloadbalancing:DescribeLoadBalancers",
        "elasticloadbalancing:DescribeLoadBalancerAttributes",
        "elasticloadbalancing:DescribeTags",
        "elasticloadbalancing:DescribeTargetGroups",
        "elasticloadbalancing:DescribeTargetGroupAttributes"
      ],
      "Resource": "*"
    },
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteInternetGateway",
        "ec2:DeleteKeyPair",
        "ec2:DeleteVpc",
        "ec2:DeleteRouteTable",
        "ec2:DeleteSubnet",
        "ec2:DeregisterImage",
        "ec2:TerminateInstances",
        "elasticloadbalancing:DeleteLoadBalancer",
        "elasticloadbalancing:DeleteListener",
        "elasticloadbalancing:DeleteTargetGroup"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/used-by": "emqx-cloud"
        }
      }
    }
  ]
}

以下はデプロイの停止・起動用のポリシー定義（JSON）です：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances"
      ],
      "Resource": "*"
    },
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
        "ec2:StartInstances",
        "ec2:StopInstances"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/used-by": "emqx-cloud"
        }
      }
    }
  ]
}

gcloud CLIを使用してカスタムロールを作成するには、カスタムロールの作成の手順に従い、以下のロール定義を利用してください。作成後、サービスアカウントにバインドし、サービスアカウントキーを生成します。

1. 以下の定義を含むYAMLファイルを作成します。BYOCデプロイ作成用と削除用の2種類のロールが必要です。

title: "EMQX BYOC creation"
description: "EMQX BYOCデプロイ作成に必要な最小限のロール定義"
stage: "GA"
includedPermissions:
- compute.firewalls.get
- compute.targetPools.get
- compute.images.get
- compute.disks.create
- compute.disks.delete
- compute.disks.get
- compute.instances.setMetadata
- compute.instances.setLabels
- compute.subnetworks.useExternalIp
- compute.subnetworks.get
- compute.instances.setServiceAccount
- compute.addresses.create
- compute.instances.create
- compute.addresses.get
- compute.networks.create
- compute.httpHealthChecks.get
- compute.firewalls.create
- compute.networks.updatePolicy
- compute.images.create
- compute.images.setLabels
- compute.addresses.use
- compute.subnetworks.create
- compute.instances.getSerialPortOutput
- compute.httpHealthChecks.create
- compute.disks.useReadOnly
- compute.forwardingRules.get
- compute.machineTypes.get
- compute.targetPools.create
- compute.zones.get
- compute.regionOperations.get
- compute.images.useReadOnly
- compute.instances.use
- compute.instances.get
- compute.targetPools.use
- compute.forwardingRules.create
- compute.httpHealthChecks.useReadOnly
- compute.instances.delete
- compute.globalOperations.get
- compute.subnetworks.use
- compute.networks.get
- compute.zoneOperations.get
- compute.forwardingRules.setLabels

title: "EMQX BYOC deleting"
description: "EMQX BYOCデプロイ削除に必要な最小限のロール定義"
stage: "GA"
includedPermissions:
- compute.firewalls.get
- compute.zoneOperations.get
- compute.instances.delete
- compute.targetPools.delete
- compute.networks.delete
- compute.regionOperations.get
- compute.firewalls.delete
- compute.networks.updatePolicy
- compute.forwardingRules.get
- compute.globalOperations.get
- compute.networks.get
- compute.httpHealthChecks.get
- compute.subnetworks.get
- compute.httpHealthChecks.delete
- compute.targetPools.get
- compute.addresses.delete
- compute.subnetworks.delete
- compute.disks.get
- compute.addresses.get
- compute.instances.get
- compute.forwardingRules.delete
- compute.images.delete
- compute.images.get

2. 以下のコマンドでYAMLファイルを使いロールを作成します。

gcloud iam roles create CreateEmqxCloudByocRole --project=<project-id> --file=<yaml-file-path>

3. （任意）サービスアカウントがない場合は以下のコマンドで作成します。

gcloud iam service-accounts create <service-account-name> --project=<project-id>

4. 以下のコマンドでロールをサービスアカウントにバインドします。

gcloud projects add-iam-policy-binding <project-id> --member=serviceAccount:<service-account-name>@<project-id>.iam.gserviceaccount.com --role=projects/<project-id>/roles/CreateEmqxCloudByocRole

5. 以下のコマンドでサービスアカウントキーをJSON形式で生成します。

gcloud iam service-accounts keys create <json-file> --iam-account=<service-account-name>@<project-id>.iam.gserviceaccount.com

<project-id>, <yaml-file-path>, <service-account-name>, <json-file>はそれぞれ実際の値または用途に応じたプレースホルダーに置き換えてください。

デプロイの停止・起動権限を別途設定したい場合は、以下の定義を作成してください。

title: "EMQX BYOC operation"
description: "EMQX BYOCデプロイの停止または起動に必要な最小限のロール定義"
stage: "GA"
includedPermissions:
- compute.instances.get
- compute.instances.start
- compute.instances.stop

ブートストラップ環境の準備

EMQX BYOCをデプロイするには、パブリックネットワークに接続可能なUbuntu 22.04 LTS（AMD64）環境が必要です。以下のいずれかの方法で準備してください。

• （推奨）クラウドアカウント内でUbuntu 22.04 LTSイメージを使用し、メモリ1GiB以上の仮想マシンインスタンスを作成する。
• ローカルのUbuntu 22.04 LTS環境を使用する。

BYOCライセンス

EMQX CloudのBYOCライセンスを準備してください。BYOCライセンスは営業チームにご連絡いただき申請可能です。営業担当が接続デバイス数やメッセージスループットのTPSに基づきライセンス仕様をご案内します。