L’obiettivo 4.4 vive quasi tutto nel VCF Automation Provider Management Portal, il portale del fornitore di servizi — cosa diversa dall’Organization Portal in cui lavora poi il tenant. Tre oggetti reggono l’impianto: la Region, l’Organization e la Regional Networking. Chi li confonde sbaglia domande a catena.

La Region: che cosa raggruppa davvero

Una region «combina le risorse di compute, memoria e networking dell’infrastruttura sottostante». Concretamente si costruisce raggruppando uno o più Supervisor provenienti da uno o più vCenter, a una condizione non negoziabile: tutti devono essere configurati con la stessa istanza NSX. Se due vCenter puntano a NSX Manager diversi, i loro Supervisor non possono stare nella stessa region — ed è il primo vincolo che l’esame verifica con uno scenario.

Il secondo vincolo è l’omogeneità: storage class con nomi e configurazione identici, VM class con nomi identici e configurazione coerente, stessa versione di Kubernetes e stesso insieme di servizi IaaS su tutti i Supervisor. La documentazione è esplicita: le configurazioni non omogenee non sono supportate.

Il percorso è Infrastructure → Regions → New: nome e descrizione, istanza NSX Manager, uno o più Supervisor, una o più storage class, Submit. Aperta la region si trovano le schede Supervisors, Classes, Storage Classes e Reserved VM Classes. In Edit nome e NSX Manager non si toccano più; si possono allargare o restringere Supervisor e storage class, ma non rimuovere quelli le cui risorse siano già allocate a un’organizzazione come region quota.

Organizzazioni: dove passa il confine fra tenant

Da Infrastructure → Organizations → Create Organization si sceglie fra Organization for All Apps e Organization for VM Applications; dal portale si crea una sola nuova VM Apps org, le successive passano dall’API. Nel wizard si indicano nome, region e Supervisor, si aggiungono le zone con limiti e reservation di CPU e memoria, si selezionano VM class e storage class e si crea il primo utente con il suo ruolo (password di almeno 15 caratteri con minuscola, maiuscola, numero e carattere speciale). Dopo Create and Continue la creazione non si annulla più.

C’è poi la Provider Consumption Org, che non si crea ma si abilita da Administration → Feature Flags: serve al provider per consumare le proprie risorse dall’Organization Portal, vede tutte le altre organizzazioni e vi pubblica contenuto, ma non accede al Provider Management Portal e non gestisce region, global role o rights bundle. Disabilitare il flag la disattiva senza cancellarla.

Sugli accessi la catena è: il right è l’unità fondamentale di controllo d’accesso; i rights bundle sono insiemi di right che il System Administrator pubblica a una o più organizzazioni; i global role sono i ruoli resi disponibili all’organizzazione, e gli organization administrator non possono modificarli. Un utente può usare solo i right pubblicati alla sua organizzazione. Ogni organizzazione può poi appoggiarsi a LDAP, SAML o OIDC.

Region quota: capacità, non infrastruttura

La region quota definisce quanta capacità di compute e storage un’organizzazione riceve da una determinata region, e vale solo per le organizzazioni for all applications. Serve quota per almeno una zona; compute e capacità vGPU Reserved VM class si assegnano solo per zona, mentre storage class e VM class valgono su tutta la quota; non esistono quote illimitate; un’organizzazione non può avere più di una region quota dalla stessa region, ma può averne da region diverse.

Provider Networking: gateway, IP space, edge cluster

Il provider gateway è «un tier-0 gateway integrato con un IP space per gestire la connettività esterna»: non è un oggetto nuovo, è un tier-0 o tier-0 VRF esistente in modalità Active Standby registrato in VCF Automation. Si associa ad almeno uno e fino a cinque IP space, per un massimo di cinque CIDR complessivi — con cinque IP space, quindi, un solo CIDR ciascuno.

L’IP space è l’insieme di CIDR block riservati con cui si distribuiscono gli indirizzi alle organizzazioni, solo IPv4; gli IP block sono gli indirizzi usati nel data center locale, a sud del provider gateway. Le quote si dichiarano uguali per tutte le organizzazioni oppure come custom quota per una sola. Gli IP space restano al provider; i private IP block li gestisce l’organization administrator.

Gli edge cluster qui non si creano: da Infrastructure → Networking → Edge Clusters si vedono salute dei nodi e utilizzo, e si forza l’allineamento con Sync. Ogni modifica o aggiunta va fatta in NSX.

Regional Networking: il momento in cui nasce il tenant

Su Infrastructure → Organizations → [organizzazione] → Networking → Regional Networking → New (le org con etichetta VM Apps sono escluse) si scelgono region, provider gateway — «l’interfaccia che collega la rete dell’organizzazione con le reti esterne, come Internet» — ed edge cluster su cui gireranno i servizi VPC dell’organizzazione.

Va saputo a memoria che cosa produce quel Create: un NSX Project, un NSX Transit Gateway, una VPC di default, un connectivity profile di default e una regola SNAT in uscita, che insieme portano la connettività fino al tier-0. In NSX il project «è analogo a un tenant»: possiede tier-1, segment, group e policy di firewall, mentre tier-0 ed edge cluster restano del default space e vengono allocati. Il Transit Gateway è uno solo per project e sostituisce la condivisione diretta del tier-0: al project si condivide una External Connection, centralizzata (via tier-0 sugli edge, con servizi stateful e BGP) o distribuita (su VLAN direttamente sugli host ESX, senza edge).

Da lì tocca al tenant: da Manage & Govern → Networking → Virtual Private Clouds crea VPC e connectivity profile scegliendo transit gateway, fino a cinque external IPv4 block e cinque private TGW IPv4 block, i CIDR privati e le quote IP. Modificare un connectivity profile cambia la connettività northbound di tutte le VPC che lo usano.

Trappole tipiche d’esame

  • Region non è un cluster né una VCF Instance. È un raggruppamento di Supervisor sotto una sola istanza NSX; il distrattore classico mette due vCenter con NSX Manager diversi nella stessa region. E ricorda che la documentazione usa «Region» e «provider virtual datacenter» come sinonimi nei percorsi di navigazione.
  • Provider gateway ≠ nuovo tier-0. È un tier-0 o tier-0 VRF esistente, e deve essere in Active Standby. Attenzione anche al VRF in sé: eredita dal parent HA mode, edge cluster, transit subnet e configurazione BGP, e non fa failover in modo indipendente dal parent.
  • Region quota: una sola per coppia organizzazione/region. Nessuna quota illimitata, nessuna region quota per le organizzazioni VM Apps, e compute assegnato per zona mentre storage class e VM class valgono sull’intera quota.
  • Transit Gateway: uno per project, e un solo tipo di connessione. O una centralized o più distributed, mai entrambe. Il tier-0 non si condivide con il project: si condivide la External Connection.
  • Portali e ruoli. Il Provider Consumption Org non entra nel Provider Management Portal; i global role li pubblica il System Administrator e l’organization administrator non li modifica. Chi ragiona come se l’org admin potesse ritoccare i ruoli globali sbaglia.