はじめに

本ドキュメントでは以下に記載されたTurbonomicのSecureClientの設定手順例をご紹介するものです。
実際に作業される際は、その時点の最新版のマニュアルを参照頂き、こちらのページは参考資料として参照下さい。
https://www.ibm.com/docs/ja/tarm/latest?topic=saas-managing-prem-targets-using-secure-client

そもそもSecureClientとは？

OSSの技術であるSkupperを用いて、異なるネットワーク環境に存在するk8sクラスタを仮想ネットワークで接続し、一つのk8sクラスタとして接続する構成となります。
https://github.com/skupperproject

その中で、Secure Client本体は、以下図の右側のお客様環境内にOVAから展開された仮想マシンとなり、その仮想マシンの中に構築されたk8s（実体はSkupper podやTurbonomicの情報収集podから構成）を、左側のSaaS版Turbonomicのk8sの名前空間の一部として仮想的に接続する形となります。

SecureClinetのOVAイメージdownload

こちらより最新のOVAファイルをダウンロード下さい
https://community.ibm.com/community/user/viewdocument/turbonomic-latest-releases-downlo

SecureClientの実体はOVA版Turbonomicと同等のイメージとなります。
特にSecureClient専用のイメージがあるわけではないのでご認識下さい。

OVAイメージの展開 -> IPアドレスの設定まで

仮想マシンの電源を投入し、マニュアルの以下箇所を参照の上、OVAの導入からIPアドレスの設定まで進めます。
https://www.ibm.com/docs/ja/tarm/8.16.x?topic=client-secure-deployment-ova#Configure_Client_Instance__OVA_install__title__1

尚、OVAを展開した後、電源を投入する前に、監視対象の規模に応じて、仮想マシンとしてのHW構成を調整します。一般的な用途（管理対象5000台以下程度）であれば、8 vCPU/32GBメモリの構成とします。
https://www.ibm.com/docs/ja/tarm/8.16.x?topic=client-secure-deployment-ova#Configure_Client_Instance__OVA_prereqs__title__1

セキュアクライアントからTurbonomicサーバへのネットワーク疎通確認

IPアドレスの設定後、SecureClientを介してアクセスされるSaaS版Turbonomicへのネットワーク疎通の可否を確認します。
まずTurbonomic側の設定 -> セキュアクライアント管理のページから、Turbonomic側のエンドポイントのURLを確認します。

上記ページで確認出来た３つのURLへの疎通をSecureClient側のLinuxコンソールから確認します。

[turbo@turbo3013 ~]$ /opt/local/bin/check_connection.sh --ip claims-xxxxx.apps.trbo-prod-cp-10.x6tl.p1.openshiftapps.com --port 443
Checking connectivity to claims-xxxxx.apps.trbo-prod-cp-10.x6tl.p1.openshiftapps.com:443...
The request to claims-xxxxx.apps.trbo-prod-cp-10.x6tl.p1.openshiftapps.com:443 was successful
[turbo@turbo3013 ~]$
[turbo@turbo3013 ~]$ /opt/local/bin/check_connection.sh --ip skupper-edge-xxxxx.apps.trbo-prod-cp-10.x6tl.p1.openshiftapps.com --port 443
Checking connectivity to skupper-edge-xxxxx.apps.trbo-prod-cp-10.x6tl.p1.openshiftapps.com:443...
The request to skupper-edge-xxxxx.apps.trbo-prod-cp-10.x6tl.p1.openshiftapps.com:443 was successful
[turbo@turbo3013 ~]$
[turbo@turbo3013 ~]$ /opt/local/bin/check_connection.sh --ip skupper-inter-router-xxxxx.apps.trbo-prod-cp-10.x6tl.p1.openshiftapps.com --port 443
Checking connectivity to skupper-inter-router-xxxxx.apps.trbo-prod-cp-10.x6tl.p1.openshiftapps.com:443...
The request to skupper-inter-router-xxxxx.apps.trbo-prod-cp-10.x6tl.p1.openshiftapps.com:443 was successful
[turbo@turbo3013 ~]$

併せて、同等に "icr.io" への疎通についても確認しておきます。
こちらはSecureClient自身のアップグレード等に際して必要となるIBMのコンテナレジストリのURLとなります。（icr = IBM Container Registry）

[turbo@turbo3013 ~]$ /opt/local/bin/check_connection.sh --ip icr.io --port 443
Checking connectivity to icr.io:443...
The request to icr.io:443 was successful
[turbo@turbo3013 ~]$

なお、もしFirewall等で接続可能なURLを制限している場合は、こちらのマニュアルに記載の通り、上記で記載したURL以外に、*.icr.ioについても疎通を許可下さい。実際のイメージのダウンロードではdd2.icr.ioといったURLへ接続されますが、dds.の部分については、変更される可能性がありますため、*.として許可頂く様お願いします。

セットアップスクリプトの実行

SecureClientの構成自動セットアップスクリプト（/opt/local/bin/t8cClientInstall.sh）を実行します。
これによって、Linux内部でKubernetesが構成され、セキュアクライアントの稼働に必要な各種podが自動的に展開されます。

似たような名前のスクリプトとして"t8cInstall.sh"がありますが、そちらはTurbonomicサーバ自体を構成する場合に実行するものとなります。今回はセキュアクライアントのセットアップになりますので、実行するスクリプトの名前にはご注意下さい。

ネットワークのセットアップは完了していますので、 y を押します。

[turbo@turbo3013 ~]$ /opt/local/bin/t8cClientInstall.sh

###############################################################
                    Initializing Kubernetes
###############################################################

Have you run the ipsetup script to setup networking yet? [y/n] y

セキュア・クライアント・オペレーターの自動更新を有効にします。これによって、SaaS版Turbonomic本体がアップグレードされた際、自動的にセキュアクライアントもアップグレードが実行されます。（オンラインアップグレードの為のicr.ioへの疎通が必要となります）

###############################################################
               Installing Turbonomic Secure Client
###############################################################

Do you wish to automatically update the Turbonomic Secure Client application - this requires internet access to icr.io? [y/n] y

インストールに成功すると、以下のメッセージが表示されます。

Installation complete!
You can now perform the token exchange to connect to your SaaS instance

インストールを検証します。（kubectl get pod）

出力は、次の例と同様なものになります。全てのPodがRunningでありREADY状態である事をご確認下さい。

[turbo@turbo3013 ~]$ kubectl get pod
NAME                                                      READY   STATUS    RESTARTS        AGE
kube-state-metrics-86dbd4db86-95xg7                       1/1     Running   0               8m22s
mediation-netapp-b867d8b88-6vdm7                          1/1     Running   0               8m21s
mediation-pure-547b6df5dd-clqxd                           1/1     Running   0               8m21s
mediation-ucs-b6449898b-2rknf                             1/1     Running   0               8m21s
mediation-vcenter-7d579d8686-6rmkj                        1/1     Running   0               8m21s
mediation-vcenterbrowsing-6cfcf768-fpkdg                  1/1     Running   0               8m21s
rsyslog-courier-mst48                                     1/1     Running   0               8m21s
skupper-router-6c9dcfb746-6mpn6                           2/2     Running   0               5m
skupper-service-controller-79878788b5-mf2dz               1/1     Running   1 (2m4s ago)    5m
skupper-site-controller-54f68cb6b4-p7n7g                  1/1     Running   0               8m22s
t8c-client-operator-controller-manager-79d4d5ccb8-s8zzc   1/1     Running   3 (3m41s ago)   8m34s
tsc-site-resources-5669bc77df-27cg2                       1/1     Running   0               8m21s
[turbo@turbo3013 ~]$

セキュア・クライアントとSaaS Turbonomicサーバー間のセキュアな接続の確立

こちらを参考に手順を進めます。
https://www.ibm.com/docs/ja/tarm/8.16.x?topic=client-secure-deployment-ova#Configure_Client_Instance__OVA_connection__title__1

生成されたトークンをセキュアクライアントに登録する際の実行例：
※実行後、エンターを２回押下する必要があります。

[turbo@turbo3013 ~]$ /opt/local/bin/tokenExchange.sh -n turbonomic
Paste token provided by your Turbonomic SaaS instance, and then press ENTER twice:
{
  "apiVersion": "v1",
  "kind": "Secret",
  "metadata": {
    "name": "e4828764-46a0-11f0-a12e-0a58ac151242",
    "annotations": {
      "skupper.io/claim-expiration": "2025-06-11T09:48:49Z",
      "skupper.io/generated-by": "7f281277-8565-454b-bdcf-101e65c06024",
      "skupper.io/site-version": "1.8.3",
      "skupper.io/url": "https://claims-xxxxx.apps.trbo-prod-cp-10.x6tl.p1.openshiftapps.com:443/e4828764-46a0-11f0-a12e-0a58ac151242"
    },
    "labels": {
      "skupper.io/type": "token-claim"
    }
  },
  "data": {
    "ca.crt": "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",
    "password": "R0VublRNbTNwVlVmSnZtVUdXNDZCQjF4VjhKZ2V1S2FDTW1RcmRMSWFjc0RlemVYQllaZUFhYWdmY2FQSFVFa2hhSU9MWlJhYWdkemFQN2NqY0pRajlTbFFWUjBlSGxJV0trempTaFViNmluYnowa0dGWUhNWG42UHpaY09ZWDQ="
  }
}

Applying raw token
Token applied successfully. Waiting up to 30s for connection to be established...
Connection has been established.
Token exchange successful.
[turbo@turbo3013 ~]$

設定が反映され、SaaS版Turbonomicサーバとの接続が確立された事を確認します。

[turbo@turbo3013 ~]$ kubectl get services | grep ^remote
remote-nginx-tunnel         ClusterIP      10.233.54.132   <none>                                        9080/TCP            2m28s
remote-rsyslog              ClusterIP      10.233.41.230   <none>                                        2514/TCP,8080/TCP   2m28s
[turbo@turbo3013 ~]$

また、各種mediation-xxxという名前のPodが再起動され、Running/READYに戻る事を確認します。

[turbo@turbo3013 ~]$ kubectl get pod
NAME                                                      READY   STATUS    RESTARTS      AGE
kube-state-metrics-86dbd4db86-95xg7                       1/1     Running   0             17m
mediation-netapp-dcb75f447-8vdwv                          1/1     Running   0             2m25s
mediation-pure-77b6ddfb55-n5bmf                           1/1     Running   0             2m24s
mediation-ucs-769556747f-c7446                            1/1     Running   0             2m24s
mediation-vcenter-5bfcf66d65-vldq6                        1/1     Running   0             2m24s
mediation-vcenterbrowsing-7b7d5dfdb7-dvnll                1/1     Running   0             2m24s
rsyslog-courier-hqvck                                     1/1     Running   0             2m24s
skupper-router-8544f4cdd8-w2kvd                           2/2     Running   0             2m16s
skupper-service-controller-66c4554f66-tzhw5               1/1     Running   0             2m16s
skupper-site-controller-6b8ffcb454-zj8z5                  1/1     Running   0             2m25s
t8c-client-operator-controller-manager-79d4d5ccb8-s8zzc   1/1     Running   3 (12m ago)   17m
tsc-site-resources-9fb8b78bd-x9f6t                        1/1     Running   0             2m25s
[turbo@turbo3013 ~]$

Turbonomic側でvCenter等のターゲット追加が可能になった事を確認

ここまでの手順にてセキュアクライアントが無事にTurbonomicサーバと疎通が取れると、Turbonomicのターゲット登録対象の画面に、vCenterなどが追加されます。

TurbonomicのUI（設定 -> ターゲット構成）からvCenterなどが選択可能になった事をご確認下さい。

以上です。

※以降の作業としては、管理対象のvCenterへのターゲット登録に進んでいただくことになります。
https://www.ibm.com/docs/ja/tarm/latest?topic=targets-vcenter-server
なお、その際に指定するvCenterのIPアドレス/FQDNについては、SecureClientを起点と考えて接続可能な宛先をご指定ください。
例：SecureClientからvCenterに対してはローカルな内部IPアドレスで到達可能であれば、そのローカルのIPアドレスをTurbonomicのUI上で指定頂くことになります。（SaaS版Turbonomic本体からの到達可否は気にしなくて大丈夫です）

補足

SecureClientからSaaS版Turbonomicの接続に当たって、Proxyの利用は可能か？

はい、可能ですが、2025年6月現在、ご利用可能なProxyはいわゆる "透過型Proxy" に限定されます。（明示的にProxyサーバのIPアドレスを指定・経由させるタイプの一般的なProxyは利用不可です）具体的な透過型Proxyサーバの構成例は以下に記載されておりますので、必要に応じてご参照下さい。
https://www.ibm.com/docs/en/tarm/latest?topic=client-configuring-proxy-server-secure

※具体的には以下の3つすべてを満たす必要があります：

TLS over TCP：
通信が純粋なTLS（HTTPS）トラフィックである必要があります。プロキシはそのまま中継するだけで、通信内容を解釈・変更してはいけません。

TLS passthrough：
プロキシは、TLS接続を終端せずにそのままバックエンドへパススルーします。
➔ 通信の暗号化はエンドツーエンドで保たれる必要があります。

SNI（Server Name Indication）サポート：
クライアントがTLSハンドシェイク時に送るSNIを使って、プロキシが通信先をルーティングできる必要があります。