Azure Government とパブリックリージョンの間で Azure VM を移動する

[アーティクル]
05/24/2023

こちらで説明するように、既存の VM の可用性を高めたり管理を容易にしたりするため、またはガバナンス上の理由から、Azure Government とパブリックリージョンの間で IaaS VM を移動することが必要になる場合があります。

Azure Site Recovery サービスを使用して、ビジネス継続性およびディザスターリカバリー (BCDR) の目的でオンプレミスマシンや Azure VM のディザスターリカバリーを管理よび調整する他に、Azure VM をセカンダリリージョンに移動するためにも Site Recovery を使用できます。

このチュートリアルでは、Azure Site Recovery を使用して Azure Government とパブリックリージョンの間で Azure VM を移動する方法を説明します。これを応用すれば、属しているクラスターが地理的に異なるリージョンペア間で VM を移動することもできます。このチュートリアルでは、以下の内容を学習します。

前提条件を確認する
ソース VM を準備する
ターゲットリージョンを準備する
ターゲットリージョンにデータをコピーする
構成をテストする
移動を実行する
ソースリージョンのリソースを破棄する

重要

このチュートリアルでは、Azure Government とパブリックリージョンの間、または Azure VM の通常のディザスターリカバリーソリューションでサポートされていないリージョンペア間で、Azure Site Recovery を使用して Azure VM を移動する方法について説明します。ソースリージョンとターゲットリージョンのペアがサポート対象である場合、移動については、こちらのドキュメントを参照してください。可用性セット内の VM を別のリージョンのゾーン固定 VM に移動することで可用性を向上させることが要件である場合は、こちらのチュートリアルを参照してください。

重要

この方法を使用して、サポート対象外のリージョンペア間で DR を構成することはお勧めしません。これらのペアは、データの待ち時間を考慮して定義されますが、これが DR のシナリオではきわめて重要になるためです。

前提条件を確認する

Note

このシナリオのアーキテクチャとコンポーネントを理解している。 Azure VM の移動は、このアーキテクチャを使用し、VM を物理サーバーとして扱うことによって行います。

すべてのコンポーネントのサポート要件を確認する。
レプリケートするサーバーが Azure VM 要件に準拠していること。
レプリケートする各サーバーにモビリティサービスを自動インストールするためのアカウントを準備します。
Azure でターゲットリージョンにフェールオーバーした後は、ソースリージョンに対して直接フェールバックを実行できません。ターゲットに戻るようにもう一度レプリケーションを設定する必要があります。

Azure アカウントのアクセス許可を確認する

VM を Azure にレプリケートするアクセス許可がお使いの Azure アカウントに与えられていることを確認します。

Azure にマシンをレプリケートするために必要なアクセス許可を確認します。
Azure ロールベースのアクセス制御 (Azure RBAC) のアクセス許可を確認して変更します。

Azure ネットワークをセットアップ

ターゲット Azure ネットワークを設定します。

Azure VM は、フェールオーバー後に作成されたときに、このネットワークに配置されます。
ネットワークは、Recovery Services コンテナーと同じリージョンにある必要があります。

Azure Storage アカウントの設定

Azure ストレージアカウントを設定します。

Site Recovery は、オンプレミスのマシンを Azure Storage にレプリケートします。 Azure VM は、フェールオーバーの発生後にストレージから作成されます。
ストレージアカウントは、Recovery Services コンテナーと同じリージョンに存在する必要があります。

ソース VM を準備する

モビリティサービスのインストール用のアカウントを準備する

モビリティサービスは、レプリケートする各サーバーにインストールする必要があります。サーバーのレプリケーションを有効にすると、Site Recovery がこのサービスを自動的にインストールします。自動的にインストールするには、Site Recovery でサーバーへのアクセスに使用するアカウントを準備する必要があります。

ドメインアカウントまたはローカルアカウントを使用できます。
Windows VM の場合、ドメインアカウントを使用していなければ、次のようにしてローカルマシンでのリモートユーザーアクセス制御を無効にします。無効にするには、レジスタで、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System の下に、値 1 を指定した DWORD エントリの LocalAccountTokenFilterPolicy を追加します。
CLI からレジストリエントリを追加して、設定を無効にするには、次のように入力します: REG ADD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1.
Linux の場合、アカウントは、ソース Linux サーバーの root である必要があります。

ターゲットリージョンを準備する

Azure サブスクリプションによって、ディザスターリカバリーに使用されるターゲットリージョンに VM を作成できることを確認します。サポートに連絡して、必要なクォータを有効にしてください。
サブスクリプションに、ソース VM と一致するサイズの VM をサポートするための十分なリソースがあることを確認します。 Site Recovery を使用してターゲットにデータをコピーする場合、ターゲット VM には、同じサイズ (または可能な限り近いサイズ) が選択されます。
ソースネットワークレイアウトから特定されたすべてのコンポーネントについてターゲットリソースを作成します。これは、ターゲットリージョンへの切り替え後、ソースにあったすべての機能を VM に確保するうえで重要となります。

Note

ソース VM のレプリケーションを有効にすると、Azure Site Recovery によって仮想ネットワークが自動的に検出されて作成されます。または、自分でネットワークを事前に作成しておき、レプリケーションを有効にするユーザーフローの中で VM に割り当てることもできます。ただし、その他のリソースについては、ターゲットリージョンに手動で作成する必要があります。

最も一般的に使用されるネットワークリソースについては、次のドキュメントを参照して、実際の環境に適したものをソース VM の構成に基づいて作成してください。
その他のネットワークコンポーネントについては、ネットワークに関するドキュメントを参照してください。
ターゲットリージョンへの最終的な切り替えを行う前に構成をテストしたい場合は、ターゲットリージョンに手動で非運用ネットワークを作成します。運用環境への影響が最小限で済むため、この方法をお勧めします。

ターゲットリージョンにデータをコピーする

以下の手順では、Azure Site Recovery を使用してターゲットリージョンにデータをコピーする方法を説明しています。

任意のリージョン (ソースリージョンを除く) にコンテナーを作成します。

Azure Portal>Recovery Services にサインインします。
[リソースの作成]>[管理ツール]>[バックアップおよびサイトの回復] の順にクリックします。
[名前] に、フレンドリ名 ContosoVMVault を指定します。複数のサブスクリプションがある場合は、適切なものを選択します。
リソースグループ ContosoRG を作成します。
Azure リージョンを指定します。サポートされているリージョンを確認するには、Azure Site Recovery の価格の詳細に関するページでご利用可能な地域をご覧ください。
[Recovery Services コンテナー] で、 [概要]>[ConsotoVMVault]>[+ レプリケート] の順にクリックします。
[To Azure](Azure へ)>[非仮想化/その他] の順に選択します。

VM を検出するよう構成サーバーを設定します。

構成サーバーをセットアップし、コンテナーに登録して、VM を検出します。

[Site Recovery]>[インフラストラクチャを準備する]>[ソース] の順にクリックします。
構成サーバーの準備が整っていない場合、[構成サーバーを追加する] オプションを使用できます。
[サーバーの追加] で、[サーバーの種類] に [構成サーバー] が表示されていることを確認します。
Site Recovery 統合セットアップインストールファイルをダウンロードします。
コンテナー登録キーをダウンロードします。このキーは、統合セットアップを実行するときに必要になります。キーは生成後 5 日間有効です。

構成サーバーのコンテナーへの登録

開始する前に次の作業を行います。

時間の精度を検証する

構成サーバーマシンのシステムクロックがタイムサーバーと同期していることを確認します。これは一致している必要があります。 15 分進んでいるか遅れている場合は、セットアップが失敗する可能性があります。

接続を検証する

コンピューターが、環境に基づいて次の URL にアクセスできることを確認します。

Name	商用の URL	政府機関の URL	説明
Microsoft Entra ID	`login.microsoftonline.com`	`login.microsoftonline.us`	アクセス制御と ID 管理に使用。
Backup	`*.backup.windowsazure.com`	`*.backup.windowsazure.us`	レプリケーションデータの転送と調整に使用。
レプリケーション	`*.hypervrecoverymanager.windowsazure.com`	`*.hypervrecoverymanager.windowsazure.us`	レプリケーション管理操作と調整に使用。
ストレージ	`*.blob.core.windows.net`	`*.blob.core.usgovcloudapi.net`	レプリケートされたデータを格納するストレージアカウントへのアクセスに使用。
テレメトリ (オプション)	`dc.services.visualstudio.com`	`dc.services.visualstudio.com`	テレメトリに使用されます。
時刻同期	`time.windows.com`	`time.nist.gov`	すべてのデプロイでシステム時刻とグローバル時刻の間の時刻同期を確認するために使用されます。

IP アドレスベースのファイアウォール規則では、HTTPS (443) ポートの上に示されているすべての Azure URL への通信が許可される必要があります。 IP 範囲を簡略化および制限するために、URL フィルタリングを実行することをお勧めします。

商用 IP - Azure データセンターの IP 範囲と HTTPS (443) ポートを許可します。 Microsoft Entra ID、バックアップ、レプリケーション、およびストレージ URL をサポートするために、サブスクリプションの Azure リージョンの IP アドレス範囲を許可します。
Government IP - Microsoft Entra ID、バックアップ、レプリケーション、およびストレージ URL をサポートするために、すべての USGov リージョン (バージニア、テキサス、アリゾナ、およびアイオワ) の Azure Government データセンターの IP 範囲と HTTPS (443) ポートを許可します。

セットアップを実行する

ローカル管理者として統合セットアップを実行し、構成サーバーをインストールします。プロセスサーバーとマスターターゲットサーバーも既定で構成サーバーにインストールされます。

統合セットアップインストールファイルを実行します。
[開始する前に] で [Install the configuration server and process server](構成サーバーとプロセスサーバーをインストールする) を選択します。
[Third-Party Software License (サードパーティ製ソフトウェアライセンス)] で、 [同意する] をクリックして MySQL をダウンロードし、インストールします。
[登録] で、コンテナーからダウンロードした登録キーを選択します。
[インターネット設定] で、構成サーバーで実行されているプロバイダーがインターネット経由で Azure Site Recovery に接続する方法を指定します。必要な URL へのアクセスが許可されていることを確認してください。
- マシンで現在セットアップされているプロキシを使用して接続する場合は、 [プロキシサーバーを使用して Azure Site Recovery に接続する] を選択します。
- プロバイダーから直接接続するように指定する場合は、 [プロキシを使用せずに直接 Azure Site Recovery に接続する] を選択します。
- 既存のプロキシで認証が必要な場合、またはプロバイダー接続にカスタムプロキシを使用する場合は、 [Connect with custom proxy setting](カスタムプロキシ設定を使用して接続する) を選択して、アドレス、ポート、資格情報を指定します。
[前提条件の確認] では、インストールを実行できることを確認するためのチェックが実行されます。 グローバル時刻の同期チェックに関する警告が表示された場合は、システムクロックの時刻 ( [日付と時刻] 設定) がタイムゾーンと同じであることを確認します。
[MySQL Configuration (MySQL の構成)] で、インストールする MySQL サーバーインスタンスにログオンするための資格情報を作成します。
Azure Stack VM または物理サーバーをレプリケートする場合は、 [環境の詳細] で [いいえ] を選択します。
[インストール場所] で、バイナリをインストールしキャッシュを格納する場所を選択します。選択するドライブには使用可能なディスク領域が 5 GB 以上必要ですが、600 GB 以上の空き領域があるキャッシュドライブを使用することをお勧めします。
[ネットワークの選択] で、最初に、モビリティサービスの検出とソースマシンへのプッシュインストールのために組み込みプロセスサーバーによって使用される NIC を選択し、次に、構成サーバーによって Azure との接続に使用される NIC を選択します。既定では、ポート 9443 がレプリケーショントラフィックの送受信用に使用されます。このポート番号は、実際の環境の要件に合わせて変更できます。ポート 9443 に加え、ポート 443 も開きます。このポートは、Web サーバーがレプリケーション操作を調整するために使用されます。ポート 443 はレプリケーショントラフィックの送受信用に使用しないでください。
[概要] で情報を確認し、 [インストール] をクリックします。インストールが完了すると、パスフレーズが生成されます。このパスフレーズは、レプリケーションを有効にするときに必要になるので、コピーしてセキュリティで保護された場所に保管してください。

登録が完了すると、コンテナーの [設定]>[サーバー] ブレードに、サーバーが表示されます。

登録が完了すると、コンテナーの [設定] の >[サーバー] ページに構成サーバーが表示されます。

レプリケーションのターゲット設定を構成する

ターゲットリソースを選択して確認します。

[インフラストラクチャの準備]>[ターゲット] の順にクリックし、使用する Azure サブスクリプションを選択します。
[ターゲット設定] タブで、次を行います。
1. [サブスクリプション] で、使用する Azure サブスクリプションを選択します。
2. [フェールオーバー後のデプロイモデル] で、ターゲットデプロイモデルを指定します。
Site Recovery によって、互換性のある Azure ストレージアカウントとネットワークが 1 つ以上あるかどうかが確認されます。

レプリケーションポリシーを作成する

新しいレプリケーションポリシーを作成するには、 [Site Recovery インフラストラクチャ]>[レプリケーションポリシー]>[+ レプリケーションポリシー] の順にクリックします。
[レプリケーションポリシーの作成] で、ポリシー名を指定します。
[RPO しきい値] で、復旧ポイントの目標 (RPO) の上限を指定します。この値で、データの復旧ポイントを作成する頻度を指定します。継続的なレプリケーションがこの制限を超えると、アラートが生成されます。
[復旧ポイントの保持期間] で、各復旧ポイントのリテンション期間の長さ (時間単位) を指定します。レプリケートされた VM は、期間内の任意の時点に復旧できます。 Premium Storage にレプリケートされたマシンでは最大 24 時間のリテンション期間がサポートされ、Standard Storage の場合は 72 時間です。
[アプリ整合性スナップショットの頻度]で、アプリケーション整合性スナップショットを含む復旧ポイントの作成頻度 (分単位) を指定します。 [OK] をクリックしてポリシーを作成します。

このポリシーは自動的に構成サーバーに関連付けられます。既定でフェールバックの照合ポリシーが自動的に作成されます。たとえば、レプリケーションポリシーが rep-policy の場合、フェールバックポリシー rep-policy-failback が作成されます。このポリシーは、Azure からフェールバックを開始するまで使用されません。

レプリケーションを有効にする

レプリケーションを有効にすると、Site Recovery がモビリティサービスをインストールします。
サーバーのレプリケーションを有効にすると、変更が反映されてポータルに表示されるまで 15 分以上かかる場合があります。

[アプリケーションをレプリケートする]>[ソース] の順にクリックします。
[ソース] で、構成サーバーを選択します。
[マシンの種類] で、 [物理マシン] を選択します。
プロセスサーバー (構成サーバー) を選択します。次に、 [OK] をクリックします
[ターゲット] で、サブスクリプションと、フェールオーバー後に Azure VM を作成するリソースグループを選択します。 Azure で使用するデプロイモデル (クラシックまたはリソース管理) を選択します。
データのレプリケーションに使用する Azure Storage アカウントを選択します。
フェールオーバー後に作成された Azure VM が接続する Azure ネットワークとサブネットを選択します。
保護の対象として選択したすべてのマシンにネットワーク設定を適用する場合は、 [選択したマシン用に今すぐ構成します。] を選択します。マシンごとに Azure ネットワークを選択する場合は、 [後で構成する] を選択します。
[物理マシン] で [+物理マシン] をクリックします。名前と IP アドレスを指定します。レプリケートするマシンのオペレーティングシステムを選択します。サーバーを検出し、一覧表示するのに数分かかります。

警告

移動する Azure VM の IP アドレスを入力する必要があります。
[プロパティ]>[プロパティの構成] で、プロセスサーバーがモビリティサービスのマシンへの自動インストールで使用するアカウントを選択します。
[レプリケーション設定]>[レプリケーション設定の構成] で、正しいレプリケーションポリシーが選択されていることを確認します。
[レプリケーションを有効にする] をクリックします。 [設定]>[ジョブ]>[Site Recovery ジョブ] の順にクリックして、保護の有効化ジョブの進行状況を追跡できます。 保護の最終処理 ジョブが実行されると、マシンはフェールオーバーできる状態になります。

追加したサーバーを監視する目的で、サーバーの最終検出時刻を [構成サーバー] の >[前回のアクセス] で確認できます。定期検出を待たずにマシンを追加するには、構成サーバーを強調表示し (クリックしないでください)、 [更新] をクリックします。

構成をテストする

コンテナーに移動し、 [設定]>[レプリケートされたアイテム] で、ターゲットリージョンに移動する仮想マシンをクリックし、 [+ テストフェールオーバー] アイコンをクリックします。
[テストフェールオーバー] で、フェールオーバーに使用する復旧ポイントを選択します。
- 最後に処理があった時点:Site Recovery サービスによって処理された最新の復旧ポイントに VM をフェールオーバーします。タイムスタンプが表示されます。このオプションを使用すると、データの処理に時間がかからないため、低い RTO (Recovery Time Objective: 回復時刻の目標) を提示します。
- 最新のアプリ整合性:このオプションでは、すべての VM が最新のアプリ整合性の復旧ポイントにフェールオーバーされます。タイムスタンプが表示されます。
- Custom:任意の復旧ポイントを選択します。
Azure VM の移動先となるターゲット Azure 仮想ネットワークを選択し、構成をテストします。

重要

テストフェールオーバーには、VM の最終的な移動先となる運用環境のネットワーク (レプリケーションを有効にしたときに設定されたもの) ではなく、別個の Azure VM ネットワークを使用することをお勧めします。
移動テストを開始するには、 [OK] をクリックします。進行状況を追跡するには、VM をクリックして、そのプロパティを開きます。また、>[設定]>[ジョブ]>[Site Recovery ジョブ] で、テストフェールオーバー ジョブをクリックすることもできます。
フェールオーバーの完了後、レプリカの Azure VM は、Azure portal >[仮想マシン] に表示されます。 VM が実行中で、適切なサイズであること、また、適切なネットワークに接続されていることを確認してください。
移動テストの過程で作成した VM を削除する場合は、[レプリケートされたアイテム] の [テストフェールオーバーのクリーンアップ] をクリックします。 [メモ] を使用して、テストに関連する観察結果をすべて記録し、保存します。

ターゲットリージョンへの移動を実行して確認する

コンテナーに移動し、 [設定]>[レプリケートされたアイテム] で仮想マシンをクリックして、 [フェールオーバー] をクリックします。
[フェールオーバー] で [最新] を選択します。
[フェールオーバーを開始する前にマシンをシャットダウンします] を選択します。 Site Recovery は、フェールオーバーを開始する前にソース VM をシャットダウンしようとします。仮にシャットダウンが失敗したとしても、フェールオーバーは続行されます。フェールオーバーの進行状況は [ジョブ] ページで確認できます。
ジョブが完了したら、ターゲット Azure リージョンに VM が正しく表示されることを確認します。
[レプリケートされたアイテム] で [VM] >[コミット] を右クリックします。これでターゲットリージョンへの移動プロセスは完了です。コミットジョブが完了するまでお待ちください。

ソースリージョンのリソースを破棄する

VM に移動します。 [レプリケーションの無効化] をクリックします。これで VM のデータをコピーするプロセスが停止します。

重要

これは、ASR レプリケーションの請求を避けるうえで重要な手順となります。

ソースリソースを再利用する予定がない場合は、次の一連の手順に進んでください。

「ソース VM を準備する」の手順 4. で特定した該当するネットワークリソースをソースリージョンからすべて削除します。
対応するストレージアカウントをソースリージョンから削除します。

次のステップ

このチュートリアルでは、Azure VM を別の Azure リージョンに移動しました。次には、移動した VM のディザスターリカバリーを構成できます。

移行後のディザスターリカバリーのセットアップ

Azure Government とパブリック リージョンの間で Azure VM を移動する