Azure

Azure Key Vault を使用する Azure Kubernetes Service (AKS) は、Vantage 3.0 セルフホスト型で検証済みのプロバイダーです。このページでは、Azure へのインストールに必要な一連の内容をまとめて説明します。具体的には、前提条件、identity の設定、Helm のインストールコマンド、運用上の注意事項です。各コンポーネントでは、CRD が対応している場合、Kubernetes Secrets provider や custom storage などの Kubernetes ネイティブな代替手段も利用できます。

前提条件

このページの手順を進める前に、プラットフォームの前提条件が満たされていることを確認してください。Kubernetes、ArgoCD、Helm、および基盤となる SQL / Redis / SMTP / OCI レジストリ / オブジェクトストレージサービスが必要です。以下の Azure 固有の項目は、それらに追加して必要となります。

コンポーネント	テスト済みバージョン	注記
Azure Kubernetes Service (AKS)	1.33.6	CRD と operator チャートがクラスターにインストールされています。Kubernetes ノード要件に記載されているラベルと taint を付与した、専用の TechCore および training ノードプールを作成してください。たとえば `--labels k8s.abbyy.com/techcore=true --node-taints k8s.abbyy.com/techcore=true:NoSchedule` のように指定します。各プールのサイズはサイジングガイドに従って決定してください。
Azure SQL	12.0.2000.8 (compatibility level 170, General Purpose Serverless Gen 5)	Vantage データベースのバックエンドです。connection string のエイリアスごとに 1 つずつ存在します (現在は 23 個) 。データベース接続文字列を参照してください。
Azure Managed Redis	7.4 (EnterpriseCluster)	キャッシュ、ロック、およびクライアントキャッシュに使用します。
Azure Container Registry	n/a	OCI 移行の宛先レジストリです。ワークロードはここから Vantage イメージを取得します。移行の認証方式は、認証なし、basic auth、または Workload Identity + Azure RBAC です。イメージ取得については、イメージプルアクセスを参照してください。
Azure StorageV2	general purpose v2	5 つのストレージアカウント接続文字列 (archive、temporary (old)、temporary、permanent、standard) のバックエンドです。ストレージアカウント接続文字列を参照してください。
Azure Key Vault	n/a	Azure secrets provider を使用する場合、すべての Vantage シークレット (PEM エンコードされた TLS マテリアルを含む) を格納します。`identityMode` で選択した identity には読み取りアクセス権が必要です。
AKS Istio Add-on	`asm-1-28`	外部 ingress gateway をデプロイする必要があります。
Azure Key Vault Provider for Secrets Store CSI Driver	1.7.2 (Helm chart 1.7.2)	pod の起動時にシークレットを取得する CSI provider プラグインです。
Azure Workload Identity	n/a	各 Vantage チャートの ServiceAccount を、そのチャートの Key Vault エイリアスへの読み取りアクセス権を持つ user-assigned managed identity にフェデレーションしてください。operator は ServiceAccounts を作成したり、注釈を付与したりしません。これは OCI 移行ジョブ (Workload Identity + Azure RBAC 認証) および in-mesh Prometheus (Azure Monitor) でも使用されます。Secrets and Key Vaultを参照してください。
AKS KEDA Add-on (optional, recommended)	`2.17.3-5`	KEDA の autoscaling サポートに必要です。

インストール前に、さらに 2 つのセットアップ作業を完了する必要があります。どちらも、参照先となるインストール変数の説明の後に以下で扱っています。ArgoCD を OCI レジストリに接続するおよびイメージプルアクセスです。

Azure Key Vault シークレット

Vantage operator は、エイリアスでシークレットを参照します。Azure で最も簡単な構成は、各エイリアスと同じ名前の Key Vault シークレットを作成することです。プロビジョニング処理で別の名前を使用する場合は、vantage.secrets.azure 配下に objects マッピングを指定して対応付けを変更してください。identityMode で選択した ID (インストール変数を参照) には、以下に示すすべてのシークレットに対する読み取りアクセス権が必要です。エイリアスの完全な一覧 (プラットフォーム、Storage、Databases、OAuth) は、シークレットと Key Vault に記載されています。以下の一覧はこれと同じもので、Azure のインストール向けにここへ再掲しています。

プラットフォーム

エイリアス	説明
`sendgridApiKey`	SendGrid の API キー。`spec.smtp` を設定しない場合は必須です。
`redisConnectionString`	Redis の接続文字列。
`redisCacheConnectionString`	Redis キャッシュ / ロック / クライアントキャッシュ用の接続文字列。`redisConnectionString` を再利用できます。
`secretStorageUserKeyVaultUri`	シークレットの保存に使用する Azure Key Vault の URI。同じ Key Vault を使用することも、別の Key Vault を使用することもできます (別の Key Vault を推奨) 。

ストレージアカウント接続文字列

別名	説明
`storageArchiveConnectionString`	ストレージアカウント接続文字列 (“archive”) 。
`storageLegacyTemporaryConnectionString`	ストレージアカウント接続文字列 (“temporary (old)”) 。
`storageTemporaryConnectionString`	ストレージアカウント接続文字列 (“temporary”) 。
`storagePermanentConnectionString`	ストレージアカウント接続文字列 (“permanent”) 。
`storageStandardConnectionString`	ストレージアカウント接続文字列 (“standard”) 。

各ストレージ型の意味については、Vantage の基本 Documentation を参照してください。

データベース接続文字列

データベースごとに一意のエイリアスを 1 つ設定します。以下のデータベース名はあくまで例です。接続文字列が正しいデータベースを指していれば、プロビジョニングプロセスで生成された任意の名前を使用できます。

エイリアス	データベース
`apiRegistryDatabaseConnectionString`	`apiregistry`
`auth2DatabaseConnectionString`	`auth`
`authIdentityDatabaseConnectionString`	`auth-identity`
`cronServiceDatabaseConnectionString`	`cron`
`documentSetStorageDatabaseConnectionString`	`documentset`
`mailDatabaseConnectionString`	`mail`
`securityAuditDatabaseConnectionString`	`security-audit`
`storageDatabaseConnectionString`	`storage`
`workflowDatabaseConnectionString`	`workflows`
`catalogStorageDatabaseConnectionString`	`catalogstorage`
`folderImportDatabaseConnectionString`	`folderimport`
`interactiveJobsDatabaseConnectionString`	`interactive-jobs`
`mailImportDatabaseConnectionString`	`mailimport`
`permissionsDatabaseConnectionString`	`permissions`
`reportingDatabaseConnectionString`	`reporting` (Columnstore Indexing をサポートしている必要があります) 。
`secretStorageDatabaseConnectionString`	`secretstorage`
`skillInfoDatabaseConnectionString`	`skillinfo`
`skillMonitorDatabaseConnectionString`	`skillmonitor`
`subscriptionDatabaseConnectionString`	`subscriptions`
`tokenManagementDatabaseConnectionString`	`tokenmanagement`
`transactionsDatabaseConnectionString`	`transactions`
`urlShortenerDatabaseConnectionString`	`urlshortener`
`workspaceDatabaseConnectionString`	`workspace`

OAuth

エイリアス	説明
`oAuthGoogleClientId`	OAuth Google クライアント ID。
`oAuthGoogleClientSecret`	OAuth Google クライアントシークレット。
`oAuthMicrosoftClientId`	OAuth Microsoft クライアント ID。
`oAuthMicrosoftClientSecret`	OAuth Microsoft クライアントシークレット。

Azure Key Vault の TLS シークレット

以下の PEM 形式の TLS 関連データは、Azure Key Vault に シークレット として保存する必要があります (Key Vault の証明書オブジェクトではありません) 。identityMode で選択した identity には、4 つすべてのシークレットエイリアスに対する読み取りアクセス権が必要です。

エイリアス	説明
`authSigningTlsCrt`	認証署名用の PEM 形式の証明書。
`authSigningTlsKey`	認証署名用の PEM 形式の秘密鍵。
`authDeactivatedTlsCrt`	認証無効化トークン用の PEM 形式の証明書。
`authDeactivatedTlsKey`	認証無効化トークン用の PEM 形式の秘密鍵。

最も簡単な方法は、Key Vault に auth-signing と auth-deactivated という名前の自己署名証明書を 2 つ作成し (Common Name = Vantage の dnsRecord の値) 、その後、上記のエイリアス名に一致する 4 つの Key Vault シークレットを作成することです。別の名前を使用する場合は、secrets 構成で objects マッピングを指定してください。 Secrets Store CSI driver がこれらをどのように pod で利用可能にするかという概念モデルについては、Secrets and Key Vault を参照してください。

インストール変数

インストールコマンドを実行する前に、次の値を用意しておいてください。

Variable	Description
`$operator_namespace`	Vantage operator のインストール先の名前空間。
`$install_namespace`	Vantage のインストール先の名前空間。任意の名前空間を指定できますが、通常は `app` です。
`$operator_version`	`vantage-operator` Helm チャートのバージョン。
`$selfhosted_version`	`vantage-selfhosted` Helm チャートのバージョン。
`$charts_uri`	Vantage operator の Helm チャートをホストしている OCI URI。
`$chart_uri`	`vantage-selfhosted` Helm チャートをホストしている OCI URI。
`$release_name`	`vantage-selfhosted` の Helm リリース名。
`$your_vantage_hostname`	Vantage へのアクセスに使用する DNS ホスト名。
`$ingress_tls_secret_name`	ingress gateway の名前空間にある `kubernetes.io/tls` シークレットの名前。
`$key_vault_name`, `$tenant_id`, `$client_id`	Azure Key Vault 名、テナント ID、および Key Vault への読み取りアクセス権を持つ UAMI の Client ID。
`$your_mailfrom`	送信メールの差出人アドレス。
`$smtp_host`, `$smtp_port`, `$smtp_login`, `$smtp_password`	送信 SMTP 設定。任意: SendGrid (既定) を使用する場合は省略します (シークレットプロバイダー経由で `sendgridApiKey` を指定してください) 。
`$your_platformadmin_email`	初期プラットフォーム管理者のメールアドレス。
`$your_oci_host`	Vantage アーティファクトの移行先となる OCI レジストリホスト。
`$abbyy_oci_source_host`, `$abbyy_oci_source_repository`	ABBYY 提供アーティファクトのソースレジストリおよびリポジトリ。これらの値は ABBYY アカウントチームから取得してください。

ArgoCD を OCI レジストリに接続する

ArgoCD は OCI レジストリから Vantage コンポーネントのチャートを取得するため、そのレジストリにアクセスできるよう ArgoCD で接続を設定します。ArgoCD はお客様がインストールして保守するサードパーティソフトウェアであるため、この接続は、お客様自身でレジストリを ArgoCD のリポジトリとして登録して作成します。詳しくは、ArgoCD のドキュメントの Private Repositories を参照してください。 Azure では、ArgoCD のドキュメントに記載されている Azure Workload Identity を使用することを推奨します。

イメージプルアクセス

ワークロードがレジストリからイメージをプルできるようにする必要があります。プルアクセスは、次の 2 つの方法のいずれかで設定します。以下の my-pull-secret と my-service-account は例として使用している名前です。実際の環境に合わせて置き換えてください。 方法 1 (Azure) : AKS の managed identity に AcrPull を付与する。 Azure でのデプロイでは、プルシークレットを設定する代わりに、AKS の managed identity (kubelet ID) に Azure Container Registry への AcrPull を付与することで、設定を簡略化できます。これにより、Step 1 と Step 2 のプルシークレット用 --set フラグは省略できます。 方法 2: Kubernetes のイメージプルシークレット。 レジストリのプルシークレットを作成し (Kubernetes Documentation) 、その後、コンポーネントごとに関連付けます。

Component	Configuration
Operator pods	`vantage-operator` チャートに `--set "manager.imagePullSecrets[0].name=my-pull-secret"` を指定します。Step 1 を参照してください。
OCI migration job	プルシークレットを持つ ServiceAccount でジョブを実行する (`vantage.ociMigration.serviceAccountName=my-service-account`) か、ソースエントリでシークレットを参照します (`vantage.ociMigration.sources[0].credentialsRef.name=my-pull-secret`) 。Step 2 を参照してください。
Vantage workloads	`vantage.serviceAccountName` で指定した ServiceAccount の `imagePullSecrets` にプルシークレットを追加します。Step 2 を参照してください。

ロール割り当て、ServiceAccount、プルシークレットは、お客様自身で作成および管理します。

Step 1: Vantage operator をインストールする

Vantage operator 用の名前空間を選択し (app である必要はありません) 、チャートをインストールします。

helm upgrade --install vantage-operator $charts_uri/vantage-operator \
  --version $operator_version \
  --namespace $operator_namespace \
  --wait

AcrPull の代わりに pull secrets (イメージプルアクセスを参照) を使用する場合は、以下を追記します:

  --set "manager.imagePullSecrets[0].name=my-pull-secret"

追加で指定できる値については、vantage-operator チャートの値を参照してください。

ステップ 2: Vantage をインストールする

選択した名前空間に vantage-selfhosted チャートをインストールし、シークレット構成と OCI 移行設定を指定します：

helm upgrade --install $release_name $chart_uri/vantage-selfhosted \
  --version $selfhosted_version \
  --namespace $install_namespace \
  --set "operator.namespace=$operator_namespace" \
  --set "ingress.tls.secretName=$ingress_tls_secret_name" \
  --set "vantage.dnsRecord=$your_vantage_hostname" \
  --set "vantage.mailFrom=$your_mailfrom" \
  --set "vantage.platformAdminEmail=$your_platformadmin_email" \
  --set "vantage.secrets.azure.keyVaultName=$key_vault_name" \
  --set "vantage.secrets.azure.tenantId=$tenant_id" \
  --set "vantage.secrets.azure.clientId=$client_id" \
  --set "vantage.ociMigration.enabled=true" \
  --set "vantage.ociMigration.sources[0].host=$abbyy_oci_source_host" \
  --set "vantage.ociMigration.sources[0].repository=$abbyy_oci_source_repository" \
  --set "vantage.ociMigration.destination.host=$your_oci_host" \
  --wait

AcrPull の代わりに pull secrets を使用する場合 (イメージプルアクセスを参照) 、Vantage のワークロードと移行ジョブ用の pull 構成を追記します：

  --set "vantage.serviceAccountName=my-service-account" \
  --set "vantage.ociMigration.serviceAccountName=my-service-account"

my-service-account は、$install_namespace に作成する ServiceAccount で、imagePullSecrets にレジストリの pull secret を指定します。migration job では、代わりに source エントリでその pull secret を参照することもできます。

  --set "vantage.ociMigration.sources[0].credentialsRef.name=my-pull-secret"

SendGrid はデフォルトのメールプロバイダーです。Key Vault に sendgridApiKey を指定すれば、追加のメール設定は不要です。代わりに SMTP を使用するには、次を追記します:

  --set "vantage.smtp.host=$smtp_host" \
  --set "vantage.smtp.port=$smtp_port" \
  --set "vantage.smtp.login=$smtp_login" \      # 省略可能
  --set "vantage.smtp.password=$smtp_password"  # 省略可能

vantage.secrets.azure.identityMode のデフォルトは workloadIdentity です。従来の pod-identity または VM-managed-identity モデルを使用する場合は、Secrets and Key Vault を参照してください。

上記の --set フラグは、Vantage カスタムリソースと vantage-selfhosted チャートの fields に直接マッピングされます。

ステップ 3: インストールの進行状況を確認する

Vantage のカスタムリソースが Ready になるまで待ちます:

kubectl -n $install_namespace wait \
  --for=condition=Ready vantages.vantage.abbyy.com/$release_name \
  --timeout=30m

これは大まかな指標であり、Vantage Core のインストールが完了したことを示します。Skill のインストールは別のジョブで管理されているため、まだ実行中の可能性があります (以下を参照) 。 artifact の移行状況をより詳細に確認するには、OCI 移行ジョブを個別に監視してください：

kubectl -n $install_namespace wait --for=create job/$release_name-oci-migration --timeout=2m
kubectl -n $install_namespace wait --for=condition=Complete job/$release_name-oci-migration --timeout=20m

移行が完了すると、ArgoCD (API または UI) で個々のチャートの同期ステータスを最も詳しく確認できます。唯一の例外は Skill のインストールです。Skill は、ArgoCD には表示されない別個の Kubernetes ジョブによってインストールされます。 Skill のインストール中でも、Vantage は使用できます。ジョブを直接監視してください：

kubectl -n $install_namespace wait --for=create job/$install_namespace-skill-installer-job
kubectl -n $install_namespace wait --for=condition=Complete job/$install_namespace-skill-installer-job

Step 4: Vantage にアクセスする

リソースが Ready になったら、Vantage インスタンスには次の場所からアクセスできます。

https://$your_vantage_hostname

この時点では、Skill インストーラーのジョブがまだ実行中の可能性があります。Skill のインストール中でも、サインインして Vantage を利用できます。ジョブの進行状況は、ステップ 3 のコマンドで確認してください。

Azure 固有の運用上の注意

監視: AKS では、推奨される構成は、Azure Monitor Workspace と Azure Managed Grafana に、Istio mTLS 経由で Vantage をスクレイプする in-mesh Prometheus を組み合わせることです。設定全体については、Azure Managed Monitoringを参照してください。
Workload Identity: Secrets Store CSI driver の既定の認証モードです。また、OCI 移行ジョブでサポートされている認証シナリオ (Workload Identity + Azure RBAC) の 1 つでもあり、Azure Monitor に remote-write する in-mesh Prometheus でも使用されます。Secrets and Key Vaultを参照してください。

次のステップ

アーキテクチャ

operator + ArgoCD + CRD パターンの仕組み。

監視

in-mesh Prometheus を使用する Azure Monitor Workspace + Managed Grafana。

アップグレード

Vantage 3.0 の各バージョン間を移行するための手動アップグレードワークフロー。

トラブルシューティング

operator、ArgoCD、Istio、Key Vault でよくある問題。

Prerequisites

Providers

前提条件

Azure Key Vault シークレット

プラットフォーム

ストレージアカウント接続文字列

データベース接続文字列

OAuth

Azure Key Vault の TLS シークレット

インストール変数

ArgoCD を OCI レジストリに接続する

イメージプルアクセス

Step 1: Vantage operator をインストールする

ステップ 2: Vantage をインストールする

ステップ 3: インストールの進行状況を確認する

Step 4: Vantage にアクセスする

Azure 固有の運用上の注意

次のステップ

アーキテクチャ

監視

アップグレード

トラブルシューティング

​前提条件

​Azure Key Vault シークレット

​プラットフォーム

​ストレージ アカウント接続文字列

​データベース接続文字列

​OAuth

​Azure Key Vault の TLS シークレット

​インストール変数

​ArgoCD を OCI レジストリに接続する

​イメージ プル アクセス

​Step 1: Vantage operator をインストールする

​ステップ 2: Vantage をインストールする

​ステップ 3: インストールの進行状況を確認する

​Step 4: Vantage にアクセスする

​Azure 固有の運用上の注意

​次のステップ

アーキテクチャ

監視

アップグレード

トラブルシューティング

前提条件

Azure Key Vault シークレット

プラットフォーム

ストレージアカウント接続文字列

データベース接続文字列

OAuth

Azure Key Vault の TLS シークレット

インストール変数

ArgoCD を OCI レジストリに接続する

イメージプルアクセス

Step 1: Vantage operator をインストールする

ステップ 2: Vantage をインストールする

ステップ 3: インストールの進行状況を確認する

Step 4: Vantage にアクセスする

Azure 固有の運用上の注意

次のステップ