コントロールプレーンをデプロイする

コントロールプレーンは、 SAP Deployment Automation Framework (SDAF) のデプロイインフラストラクチャです。 Azure で SAP 環境をプロビジョニングおよび構成するためにフレームワークが必要とするデプロイエージェント、状態ストレージ、資格情報管理が提供されます。

コントロールプレーンがないと、SAP ワークロードゾーンとシステムをデプロイする Terraform ワークフローと Ansible ワークフローを実行することはできません。コントロールプレーンの設定は、フレームワークの最初の展開手順です。

この記事では、デプロイ資格情報を準備し、デプロイ元と SAP ライブラリコンポーネントを構成し、Azure サブスクリプションにコントロールプレーンリソースを作成するスクリプトを実行します。

SAP Deployment Automation Framework のコントロールプレーンを示す図。

前提条件

Azure のサブスクリプション。 Azure サブスクリプションをお持ちでない場合は、無料アカウントを作成してください。
サブスクリプションのサービスプリンシパルまたはマネージド ID を作成するためのアクセス許可。
Linux ワークステーションにインストールされている Azure CLI、または Azure DevOps へのアクセス。

デプロイ資格情報を準備する

SDAF では、デプロイにマネージド ID (推奨) またはサービスプリンシパルが使用されます。

コントロールプレーン展開の認証資格情報を作成します。サービスプリンシパルを作成するアクセス許可を持つアカウントを使用します。

サービスプリンシパルを作成するには:
```
az ad sp create-for-rbac --role="Contributor" --scopes="/subscriptions/<subscriptionID>" --name="<environment>-Deployment-Account"
```
マネージド ID を作成するには:
```
az identity create --name "<environment>-Deployment-Identity" --resource-group $ResourceGroupName --location $Location --query "{id:id, principalId:principalId, clientId:clientId}"

az role assignment create --assignee-object-id <principalId> --role "Contributor" --scope /subscriptions/<subscriptionID>
```
Important

サービスプリンシパルの名前は一意である必要があります。

コマンドの出力値を記録します。
- アプリID
- パスワード
- テナント
必要に応じて、 ユーザーアクセス管理者 ロールをサービスプリンシパルまたはマネージド ID に割り当てます。
```
az role assignment create --assignee <appId> --role "User Access Administrator" --scope /subscriptions/<subscriptionID>
```
ロールのスコープを特定のリソースグループに設定するには、代わりに次のコマンドを使用します。
```
az role assignment create --assignee <appId> --role "User Access Administrator" --scope /subscriptions/<subscriptionID>/resourceGroups/<resourceGroupName>
```

コントロールプレーンのデプロイを実行する

コントロールプレーンのデプロイに必要なすべての成果物は、GitHub リポジトリにあります。リポジトリを複製して、コントロールプレーンのデプロイを準備します。

mkdir -p ~/Azure_SAP_Automated_Deployment; cd $_

git clone https://github.com/Azure/sap-automation.git sap-automation

git clone https://github.com/Azure/sap-automation-samples.git samples

サンプルの deployer 構成ファイル MGMT-WEEU-DEP00-INFRASTRUCTURE.tfvars は、 ~/Azure_SAP_Automated_Deployment/samples/Terraform/WORKSPACES/DEPLOYER/MGMT-WEEU-DEP00-INFRASTRUCTURE フォルダーにあります。
サンプルの SAP ライブラリ構成ファイル MGMT-WEEU-SAP_LIBRARY.tfvars は、 ~/Azure_SAP_Automated_Deployment/samples/Terraform/WORKSPACES/LIBRARY/MGMT-WEEU-SAP_LIBRARY フォルダーにあります。

サンプル構成ファイルをコピーして、フレームワークのテストを開始できます。

DEPLOYERの最小 Terraform ファイルは、次の例のようになります。

# The environment value is a mandatory field, it is used for partitioning the environments.
environment = "MGMT"
# The location/region value is a mandatory field, it is used to control where the resources are deployed
location = "westeurope"

# management_network_address_space is the address space for management virtual network
management_network_address_space = "10.10.20.0/25"
# management_subnet_address_prefix is the address prefix for the management subnet
management_subnet_address_prefix = "10.10.20.64/28"

# management_firewall_subnet_address_prefix is the address prefix for the firewall subnet
management_firewall_subnet_address_prefix = "10.10.20.0/26"
firewall_deployment = true

# management_bastion_subnet_address_prefix is the address prefix for the bastion subnet
management_bastion_subnet_address_prefix = "10.10.20.128/26"
bastion_deployment = true

# deployer_enable_public_ip controls if the deployer virtual machines will have Public IPs
deployer_enable_public_ip = false

# deployer_count defines how many deployer VMs will be deployed
deployer_count = 1

# use_service_endpoint defines that the management subnets have service endpoints enabled
use_service_endpoint = true

# use_private_endpoint defines that the storage accounts and key vaults have private endpoints enabled
use_private_endpoint = true

# enable_firewall_for_keyvaults_and_storage defines that the storage accounts and key vaults have firewall enabled
enable_firewall_for_keyvaults_and_storage = false

# public_network_access_enabled controls if storage account and key vaults have public network access enabled
public_network_access_enabled = false

デプロイ中の今後の編集のために、Terraform 変数ファイルの場所に注意してください。

LIBRARYの最小 Terraform ファイルは、次の例のようになります。

# The environment value is a mandatory field, it is used for partitioning the environments, for example, PROD and NP.
environment = "MGMT"
# The location/region value is a mandatory field, it is used to control where the resources are deployed
location = "westeurope"

#Defines the DNS suffix for the resources
dns_label = "azure.contoso.net"

# use_private_endpoint defines that the storage accounts and key vaults have private endpoints enabled
use_private_endpoint = true

デプロイ中の今後の編集のために、Terraform 変数ファイルの場所に注意してください。

次のコマンドを実行して、配置者と SAP ライブラリを作成します。このコマンドは、サービスプリンシパルの詳細をデプロイキーコンテナーに追加します。

マネージド ID の環境変数を設定します。

export ARM_SUBSCRIPTION_ID="<subscriptionId>"
export       ARM_CLIENT_ID="<managedIdentityAppId>"
export       ARM_TENANT_ID="<tenantId>"

サービスプリンシパルの環境変数を設定します。

export ARM_SUBSCRIPTION_ID="<subscriptionId>"
export       ARM_CLIENT_ID="<appId>"
export   ARM_CLIENT_SECRET="<password>"
export       ARM_TENANT_ID="<tenantId>"

コントロールプレーンを展開するには、次のコマンドを実行します。

export            env_code="MGMT"
export         region_code="WEEU"
export           vnet_code="DEP00"

export DEPLOYMENT_REPO_PATH="${HOME}/Azure_SAP_Automated_Deployment/sap-automation"
export CONFIG_REPO_PATH="${HOME}/Azure_SAP_Automated_Deployment/WORKSPACES"
export SAP_AUTOMATION_REPO_PATH="${HOME}/Azure_SAP_Automated_Deployment/sap-automation"

az logout
az login --identity --client-id "${ARM_CLIENT_ID}"

# Uncomment next line for service principal based login
# az login --service-principal -u "${ARM_CLIENT_ID}" -p="${ARM_CLIENT_SECRET}" --tenant "${ARM_TENANT_ID}"

cd ~/Azure_SAP_Automated_Deployment/WORKSPACES

deployer_parameter_file="${CONFIG_REPO_PATH}/DEPLOYER/${env_code}-${region_code}-${vnet_code}-INFRASTRUCTURE/${env_code}-${region_code}-${vnet_code}-INFRASTRUCTURE.tfvars"
library_parameter_file="${CONFIG_REPO_PATH}/LIBRARY/${env_code}-${region_code}-SAP_LIBRARY/${env_code}-${region_code}-SAP_LIBRARY.tfvars"

#When using managed identity use:
${SAP_AUTOMATION_REPO_PATH}/deploy/scripts/deploy_controlplane.sh  \
    --deployer_parameter_file "${deployer_parameter_file}"         \
    --library_parameter_file "${library_parameter_file}"            \
    --subscription "${ARM_SUBSCRIPTION_ID}"                        \
    --msi

#When using a service principal use:
${SAP_AUTOMATION_REPO_PATH}/deploy/scripts/deploy_controlplane.sh  \
    --deployer_parameter_file "${deployer_parameter_file}"         \
    --library_parameter_file "${library_parameter_file}"            \
    --subscription "${ARM_SUBSCRIPTION_ID}"                        \
    --spn_id "${ARM_CLIENT_ID}"                                    \
    --spn_secret "${ARM_CLIENT_SECRET}"                            \
    --tenant_id "${ARM_TENANT_ID}"

Azure DevOps を開き、Azure DevOps プロジェクトに移動します。

Deployment_Configuration_Path変数グループ内のSDAF-General変数が、構成ファイルを含むフォルダーに設定されていることを確認します。この例では、 samples/WORKSPACESを使用できます。

デプロイでは、 WORKSPACES/DEPLOYER/MGMT-WEEU-DEP00-INFRASTRUCTURE フォルダーと WORKSPACES/LIBRARY/MGMT-WEEU-SAP_LIBRARY フォルダー内の Terraform 変数ファイルで定義された構成が使用されます。

パイプラインセクション内で Deploy control plane パイプラインを選択し、実行します。配置者と SAP ライブラリの構成名を入力します。 MGMT-WEEU-DEP00-INFRASTRUCTURE を配置者構成名として使用し、MGMT-WEEU-SAP_LIBRARY を SAP ライブラリ構成名として使用します。

Azure DevOps の [パイプラインの実行] ダイアログを示すスクリーンショット。

進行状況は、Azure DevOps ポータルで追跡できます。デプロイが完了すると、[ 拡張機能 ] タブにコントロールプレーンの詳細が表示されます。

Azure DevOps パイプラインの実行結果を示すスクリーンショット。

デプロイ機能に接続するには:

Azure portal にサインインする
デプロイ元の仮想マシン (VM) を含むリソースグループに移動します。
Azure Bastion を使用して VM に接続します。既定のユーザー名は azureadm です。
[Azure Key Vault から SSH 秘密キー] を選択します。
コントロールプレーンを含むサブスクリプションを選択します。
デプロイ機能キーコンテナーを選択します。
シークレットの一覧から、 -sshkey で終わるシークレットを選択します。
VM に接続します。

配置ツールを構成するには、次のスクリプトを実行します。

mkdir -p ~/Azure_SAP_Automated_Deployment; cd $_

wget https://raw.githubusercontent.com/Azure/sap-automation/main/deploy/scripts/configure_deployer.sh -O configure_deployer.sh
chmod +x ./configure_deployer.sh

./configure_deployer.sh

# Source the new variables
./etc/profile.d/deploy_server.sh

このスクリプトでは、Terraform と Ansible がインストールされ、デプロイツールが構成されます。

Azure 仮想ネットワークに接続できるコンピューターから SDAF デプロイツール VM に接続します。

デプロイ機能に接続するには:

Azure portal にサインインする
[キーコンテナー] を選択または検索します。
[ キーコンテナー ] ページで、デプロイ元のキーコンテナーを見つけます。名前は MGMT[REGION]DEP00userで始まります。必要に応じて、 リソースグループ または場所でフィルター処理します。
左側のウィンドウの [設定] セクションで、[ シークレット] を選択します。
sshkey を含むシークレットを見つけて選択します。 MGMT-[REGION]-DEP00-sshkeyのようになります。
シークレットのページで、現在のバージョンを選択します。次に、 シークレットの値をコピーします。
プレーンテキストエディターを開きます。シークレット値をコピーします。
SSH キーを保持するファイルを保存します。たとえば C:\Users\<your-username>\.ssh です。
ファイルを保存します。 [種類として保存] を求めるメッセージが表示されたら、SSH がオプションでない場合は [すべてのファイル] を選択します。たとえば、 deployer.sshを使用します。
Visual Studio Code などの任意の SSH クライアントを使用して、デプロイ元 VM に接続します。デプロイ元のプライベート IP アドレスと、ダウンロードした SSH キーを使用します。 Visual Studio Code を使用して配置者に接続する方法については、「Visual Studio Code を使用して配置者に接続する」を参照してください。 PuTTY を使用している場合は、まず PuTTYGen を使用して SSH キーファイルを変換します。

注

既定のユーザー名は azureadm です。

次のスクリプトを使用して、配置者を構成します。

mkdir -p ~/Azure_SAP_Automated_Deployment; cd $_

wget https://raw.githubusercontent.com/Azure/sap-automation/main/deploy/scripts/configure_deployer.sh -O configure_deployer.sh
chmod +x ./configure_deployer.sh

./configure_deployer.sh

# Source the new variables
./etc/profile.d/deploy_server.sh

このスクリプトでは、Terraform と Ansible がインストールされ、デプロイツールが構成されます。

コントロールプレーンをセキュリティで保護する

コントロールプレーンは、SDAF の最も重要な部分です。外部 VM または Cloud Shell を使用してコントロールプレーンを作成した場合は、ストレージアカウントとキーコンテナーのプライベートエンドポイントを実装してセキュリティで保護します。

deployer VM にサインインし、 sync_deployer.sh スクリプトを使用してコントロールプレーン構成ファイルをコピーします。

cd ~/Azure_SAP_Automated_Deployment/WORKSPACES

../sap-automation/deploy/scripts/sync_deployer.sh --storageaccountname mgtneweeutfstate### --state_subscription xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

use_private_endpointとtrue設定ファイルでDEPLOYER変数をLIBRARYに設定します。 public_network_access_enabled 構成ファイルでfalseをDEPLOYERに設定します。

# Defines that the storage accounts and key vaults have private endpoints enabled
use_private_endpoint = true

# Controls if storage account and key vaults have public network access enabled
public_network_access_enabled = false

コントロールプレーンのデプロイを再実行して、ストレージアカウントとキーコンテナーのプライベートエンドポイントを有効にします。

export            env_code="MGMT"
export         region_code="WEEU"
export           vnet_code="DEP00"
export  storageaccountname=<storageaccountname>

export DEPLOYMENT_REPO_PATH="${HOME}/Azure_SAP_Automated_Deployment/sap-automation"
export CONFIG_REPO_PATH="${HOME}/Azure_SAP_Automated_Deployment/WORKSPACES"
export SAP_AUTOMATION_REPO_PATH="${HOME}/Azure_SAP_Automated_Deployment/sap-automation"

az logout
az login --service-principal -u "${ARM_CLIENT_ID}" -p="${ARM_CLIENT_SECRET}" --tenant "${ARM_TENANT_ID}"

cd ~/Azure_SAP_Automated_Deployment/WORKSPACES

deployer_parameter_file="${CONFIG_REPO_PATH}/DEPLOYER/${env_code}-${region_code}-${vnet_code}-INFRASTRUCTURE/${env_code}-${region_code}-${vnet_code}-INFRASTRUCTURE.tfvars"
library_parameter_file="${CONFIG_REPO_PATH}/LIBRARY/${env_code}-${region_code}-SAP_LIBRARY/${env_code}-${region_code}-SAP_LIBRARY.tfvars"

${SAP_AUTOMATION_REPO_PATH}/deploy/scripts/deploy_controlplane.sh  \
    --deployer_parameter_file "${deployer_parameter_file}"         \
    --library_parameter_file "${library_parameter_file}"            \
    --subscription "${ARM_SUBSCRIPTION_ID}"                        \
    --spn_id "${ARM_CLIENT_ID}"                                    \
    --spn_secret "${ARM_CLIENT_SECRET}"                            \
    --tenant_id "${ARM_TENANT_ID}"                                 \
    --storageaccountname "${storageaccountname}"                   \
    --recover

Web アプリを準備する

このステップはオプションです。 SAP ワークロードゾーンとシステムの構成に役立つブラウザーベースの UI が必要な場合は、コントロールプレーンをデプロイする前に次のコマンドを実行します。

echo '[{"resourceAppId":"00000003-0000-0000-c000-000000000000","resourceAccess":[{"id":"e1fe6dd8-ba31-4d61-89e7-88639da4683d","type":"Scope"}]}]' >> manifest.json

region_code=WEEU

export TF_VAR_app_registration_app_id=$(az ad app create \
    --display-name ${region_code}-webapp-registration \
    --enable-id-token-issuance true \
    --sign-in-audience AzureADMyOrg \
    --required-resource-access @manifest.json \
    --query "appId" | tr -d '"')

export TF_VAR_webapp_client_secret=$(az ad app credential reset \
    --id $TF_VAR_app_registration_app_id --append               \
    --query "password" | tr -d '"')

export TF_VAR_use_webapp=true
rm manifest.json

Add-Content -Path manifest.json -Value '[{"resourceAppId":"00000003-0000-0000-c000-000000000000","resourceAccess":[{"id":"e1fe6dd8-ba31-4d61-89e7-88639da4683d","type":"Scope"}]}]'

$region_code="WEEU"

$env:TF_VAR_app_registration_app_id = (az ad app create `
    --display-name $region_code-webapp-registration     `
    --required-resource-accesses ./manifest.json        `
    --query "appId").Replace('"',"")

$env:TF_VAR_webapp_client_secret=(az ad app credential reset `
    --id $env:TF_VAR_app_registration_app_id --append            `
    --query "password").Replace('"',"")

$env:TF_VAR_use_webapp="true"

del manifest.json

次のステップ

SAP ワークロードゾーンの構成

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-04-02