デプロイ前の準備事項

EMQX Cloud Bring Your Own Cloud（BYOC）をデプロイする前に、以下の準備を完了してください。

• VPC、サブネット、ECSなどのパブリッククラウドサービスおよびネットワーク構成の基本概念を理解する。
• パブリッククラウドアカウントとEMQX Cloudアカウントを用意する。
• 関連するクラウドリソースとクラウドアカウントの権限を準備する。
• デプロイ用のブートストラップ環境をセットアップする。
• EMQXサービス用のドメイン名と対応するTLS/SSL証明書を準備する。
• EMQX BYOCライセンスを準備する。

アカウントの準備

EMQX BYOCのデプロイは、お客様のクラウドアカウント内に作成されます。対応するパブリッククラウドアカウントをお持ちでない場合は、ご利用希望のクラウドプラットフォームの公式ドキュメントに従ってアカウントを作成してください。例：

• AWS組織内でのアカウント作成
• Google Cloud Platformアカウントの作成

現在、BYOCは以下のパブリッククラウドおよびリージョンをサポートしています。その他のクラウドサービスプロバイダーやリージョンのサポートが必要な場合は、チケットを提出するか、メールでお問い合わせください。

クラウドプロバイダー	リージョン
AWS	米国: US East (N. Virginia), US East (Ohio), US West (N. California), US West (Oregon) 欧州: EU (Ireland), EU (Frankfurt) アジア: Asia Pacific (Singapore), Asia Pacific (Mumbai), Asia Pacific (Hong Kong), Asia Pacific (Tokyo)
Google Cloud	米国: us-east1 (South Carolina), us-west1 (Oregon), us-central1 (Iowa) 欧州: europe-west3 (Frankfurt), europe-north1 (Finland) アジア: asia-south1 (Mumbai), asia-southeast1 (Singapore), asia-east1 (Taiwan)

また、デプロイを完了するにはEMQX Cloudアカウントも必要です。未登録の場合は、EMQX Cloudアカウント登録ページから登録してください。

ドメインと証明書

EMQXサービス用のドメイン名とTLS/SSL証明書を事前に準備してください。EMQX Cloudはカスタムの片方向TLS/SSL認証をサポートしています。

注意事項

1. ポリシー要件により、ドメインはICP登録を完了している必要があり、ドメインが登録されているクラウドサービスプロバイダーはBYOCをデプロイするプラットフォームと一致している必要があります。
2. BYOCのデプロイではCA署名済み証明書のみ受け付けます。TLS/SSL証明書のフォーマット要件については、BYOCプランのTLS/SSL設定を参照してください。

リソースと権限

EMQX BYOCのデプロイには、お客様のクラウドアカウント内でさまざまなクラウドリソースおよびサービスの作成が必要です。関連するクラウドアカウントに十分なリソースクォータが確保され、関連権限の設定が完了していることを確認してください。

リソースクォータ

以下の表は、EMQX BYOCのデプロイに必要なクラウドリソースおよびサービスを示しています。現在のアカウントのリソースが不足している場合は、クラウドアカウント管理者に連絡して関連サービスのクォータ増加を依頼してください。

TIP

クラウド管理者はクラウドクォータでリソースとサービスの使用状況およびクォータを素早く確認できます。

• AWSサービスクォータ
• Google Cloudのクォータ

リソースとサービス	デプロイに必要な数量
VPC	1
サブネット	3
セキュリティグループ	1
ルートテーブル*	3
ロードバランサー	1
LBリスナー	6
ターゲットグループ	6
インターネットゲートウェイ	1
キーペア	1
EC2インスタンス	N*+1
Amazon Machine Images (AMIs)	1
IAMポリシー	1

*ルートテーブル：未使用のデフォルトルーティングテーブルを含みます。

*N：EMQXノード数を指します。

リソースとサービス	デプロイに必要な数量
VPCネットワーク	1
サブネット	4
ファイアウォールルール	3
ネットワークロードバランサー	2
IPアドレス	2
VMインスタンス	N*+1
VMイメージ	1
IAMロール	2
IAMサービスアカウント	1

*N：EMQXノード数を指します。

注意

Google Cloudをご利用の場合、GCPアカウントにデフォルトネットワークが存在するか確認してください。存在しない場合は作成してください。デプロイ時にpackerがシステムイメージのパッケージングツールとして使用されるため、VPCのデフォルトネットワーク内にパッケージング用の必要なリソースを作成する必要があります。

セキュリティポリシーによりデフォルトネットワークが作成できない場合は、チケットを提出するかメールでお問い合わせください。

IAM権限

クラウドアカウント内でクラウドリソースを作成するコマンドを実行するために、必要なIdentity and Access Management（IAM）権限を持つロールが必要です。クラウド管理者にBYOCデプロイ作成に十分な権限を割り当ててもらい、対応する認証情報を発行してもらってください。

カスタムポリシーを作成するには、JSONエディターを使用したポリシー作成の手順に従い、以下のポリシー定義を利用してください。作成後、IAMユーザーまたはユーザーグループにアタッチし、IAMユーザーのアクセスキー管理の手順でアクセスキーを生成してください。

以下はデプロイ作成用のポリシー定義（JSON）です：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ec2:AssociateRouteTable",
        "ec2:AttachInternetGateway",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateInternetGateway",
        "ec2:CreateImage",
        "ec2:CreateKeyPair",
        "ec2:CreateRoute",
        "ec2:CreateRouteTable",
        "ec2:CreateSecurityGroup",
        "ec2:CreateSubnet",
        "ec2:CreateTags",
        "ec2:CreateVpc",
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceAttribute",
        "ec2:DescribeInstanceCreditSpecifications",
        "ec2:DescribeInstanceTypes",
        "ec2:DescribeInternetGateways",
        "ec2:DescribeImages",
        "ec2:DescribeRegions",
        "ec2:DescribeRouteTables",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSecurityGroupRules",
        "ec2:DescribeKeyPairs",
        "ec2:DescribeSubnets",
        "ec2:DescribeTags",
        "ec2:DescribeVolumes",
        "ec2:DescribeVpcs",
        "ec2:DescribeVpcAttribute",
        "ec2:DeleteSecurityGroup",
        "ec2:DeleteKeyPair",
        "ec2:ImportKeyPair",
        "ec2:RunInstances",
        "ec2:ModifyImageAttribute",
        "ec2:ModifySubnetAttribute",
        "ec2:ModifyVpcAttribute",
        "elasticloadbalancing:AddTags",
        "elasticloadbalancing:CreateListener",
        "elasticloadbalancing:CreateLoadBalancer",
        "elasticloadbalancing:CreateTargetGroup",
        "elasticloadbalancing:DescribeListeners",
        "elasticloadbalancing:DescribeLoadBalancers",
        "elasticloadbalancing:DescribeLoadBalancerAttributes",
        "elasticloadbalancing:DescribeTags",
        "elasticloadbalancing:DescribeTargetGroups",
        "elasticloadbalancing:DescribeTargetGroupAttributes",
        "elasticloadbalancing:DescribeTargetHealth",
        "elasticloadbalancing:ModifyLoadBalancerAttributes",
        "elasticloadbalancing:ModifyTargetGroupAttributes",
        "elasticloadbalancing:RegisterTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/used-by": "emqx-cloud"
        }
      }
    }
  ]
}

以下はデプロイ削除用のポリシー定義（JSON）です：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceAttribute",
        "ec2:DescribeInstanceTypes",
        "ec2:DescribeInstanceCreditSpecifications",
        "ec2:DescribeInternetGateways",
        "ec2:DescribeImages",
        "ec2:DescribeKeyPairs",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeRouteTables",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSubnets",
        "ec2:DescribeTags",
        "ec2:DescribeVolumes",
        "ec2:DescribeVpcs",
        "ec2:DescribeVpcAttribute",
        "ec2:DetachInternetGateway",
        "ec2:DisassociateRouteTable",
        "ec2:ModifyInstanceAttribute",
        "elasticloadbalancing:DescribeLoadBalancers",
        "elasticloadbalancing:DescribeLoadBalancerAttributes",
        "elasticloadbalancing:DescribeTags",
        "elasticloadbalancing:DescribeTargetGroups",
        "elasticloadbalancing:DescribeTargetGroupAttributes"
      ],
      "Resource": "*"
    },
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteInternetGateway",
        "ec2:DeleteKeyPair",
        "ec2:DeleteVpc",
        "ec2:DeleteRouteTable",
        "ec2:DeleteSubnet",
        "ec2:DeregisterImage",
        "ec2:TerminateInstances",
        "elasticloadbalancing:DeleteLoadBalancer",
        "elasticloadbalancing:DeleteListener",
        "elasticloadbalancing:DeleteTargetGroup"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/used-by": "emqx-cloud"
        }
      }
    }
  ]
}

以下はデプロイの停止および開始用のポリシー定義（JSON）です：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances"
      ],
      "Resource": "*"
    },
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
        "ec2:StartInstances",
        "ec2:StopInstances"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/used-by": "emqx-cloud"
        }
      }
    }
  ]
}

gcloud CLIを使用してカスタムロールを作成するには、カスタムロールの作成の手順に従い、以下のロール定義を利用してください。作成後、サービスアカウントにバインドし、サービスアカウントキーを生成します。

1. カスタムロール用のYAMLファイルを作成します。BYOCデプロイ作成用と削除用の2つのロールが必要です。

title: "EMQX BYOC creation"
description: "EMQX BYOCデプロイ作成に必要な最小限のロール定義"
stage: "GA"
includedPermissions:
- compute.firewalls.get
- compute.targetPools.get
- compute.images.get
- compute.disks.create
- compute.disks.delete
- compute.disks.get
- compute.instances.setMetadata
- compute.instances.setLabels
- compute.subnetworks.useExternalIp
- compute.subnetworks.get
- compute.instances.setServiceAccount
- compute.addresses.create
- compute.instances.create
- compute.addresses.get
- compute.networks.create
- compute.httpHealthChecks.get
- compute.firewalls.create
- compute.networks.updatePolicy
- compute.images.create
- compute.images.setLabels
- compute.addresses.use
- compute.subnetworks.create
- compute.instances.getSerialPortOutput
- compute.httpHealthChecks.create
- compute.disks.useReadOnly
- compute.forwardingRules.get
- compute.machineTypes.get
- compute.targetPools.create
- compute.zones.get
- compute.regionOperations.get
- compute.images.useReadOnly
- compute.instances.use
- compute.instances.get
- compute.targetPools.use
- compute.forwardingRules.create
- compute.httpHealthChecks.useReadOnly
- compute.instances.delete
- compute.globalOperations.get
- compute.subnetworks.use
- compute.networks.get
- compute.zoneOperations.get
- compute.forwardingRules.setLabels

title: "EMQX BYOC deleting"
description: "EMQX BYOCデプロイ削除に必要な最小限のロール定義"
stage: "GA"
includedPermissions:
- compute.firewalls.get
- compute.zoneOperations.get
- compute.instances.delete
- compute.targetPools.delete
- compute.networks.delete
- compute.regionOperations.get
- compute.firewalls.delete
- compute.networks.updatePolicy
- compute.forwardingRules.get
- compute.globalOperations.get
- compute.networks.get
- compute.httpHealthChecks.get
- compute.subnetworks.get
- compute.httpHealthChecks.delete
- compute.targetPools.get
- compute.addresses.delete
- compute.subnetworks.delete
- compute.disks.get
- compute.addresses.get
- compute.instances.get
- compute.forwardingRules.delete
- compute.images.delete
- compute.images.get

2. 以下のコマンドでYAMLファイルを使ってロールを作成します。

gcloud iam roles create CreateEmqxCloudByocRole --project=<project-id> --file=<yaml-file-path>

3. （任意）サービスアカウントがない場合は、以下のコマンドで作成します。

gcloud iam service-accounts create <service-account-name> --project=<project-id>

4. 以下のコマンドでサービスアカウントにロールをバインドします。

gcloud projects add-iam-policy-binding <project-id> --member=serviceAccount:<service-account-name>@<project-id>.iam.gserviceaccount.com --role=projects/<project-id>/roles/CreateEmqxCloudByocRole

5. 以下のコマンドでJSON形式のサービスアカウントキーを生成します。

gcloud iam service-accounts keys create <json-file> --iam-account=<service-account-name>@<project-id>.iam.gserviceaccount.com

<project-id>, <yaml-file-path>, <service-account-name>, <json-file>はそれぞれ適切な値に置き換えてください。

デプロイの停止および開始権限を別途設定する場合は、以下の定義を使用してください。

title: "EMQX BYOC operation"
description: "EMQX BYOCデプロイの停止または開始に必要な最小限のロール定義"
stage: "GA"
includedPermissions:
- compute.instances.get
- compute.instances.start
- compute.instances.stop

起動環境の準備

EMQX BYOCをデプロイするには、パブリックネットワークに接続可能なUbuntu 22.04 LTS（AMD64）環境が必要です。以下のいずれかの方法で用意してください。

• （推奨）クラウドアカウント内でUbuntu 22.04 LTSイメージを使って仮想マシンインスタンスを作成する。インスタンスのメモリは1GiB以上必要です。
• ローカルのUbuntu 22.04 LTS環境を使用する。

BYOCライセンス

EMQX CloudのBYOCライセンスを準備してください。BYOCライセンスの申請は弊社営業チームにお問い合わせください。接続デバイス数やメッセージスループット（TPS）に応じて、最適なライセンス仕様をご案内いたします。