このブログでは、VMware Cloud Foundation® 9 （VCF 9）の新機能である VMware Cloud Foundation® Automation（VCF Automation） を複数回のテーマに分けてご紹介していきたいと思います。
第2部では、VCF 9 が「VCF Automation」と「モダンクラウドインターフェース」によって、あらゆる管理者とワークロードに対応する、自動化されたプライベートクラウド基盤を提供する概要をご紹介しました。
第3部では、そのメインでもあるを「次世代テナント管理」機能について、なぜそれが「次世代」と呼ばれるのか、具体的な機能、管理者の役割分担、そして導入・運用フローを詳細に解説します。
「次世代テナント管理」 スピードと分離、スケールの両立
VCF 9 の「次世代テナント管理」では、従来はトレードオフの関係にあった「スピード」と「セキュリティ（分離）」をしっかりと両立させ、さらに「スケール」を可能にしている点にあります。
1. スピード
第1部で例示したような、複数部門にまたがる調整と手動作業で「3週間」かかっていたテナント環境（ネットワーク分離、リソース割り当て、アクセス制御を含む）の構築が、VCF Automation によりわずか数分といった非常に少ない作業だけで完了できるようになっています。こうした使い方を活用することで、ビジネスの俊敏性に大きな変化を支えることにも繋がります。
2. 組み込みのガバナンスと分離 (Built-in Governance & Isolation)
このスピードを活用しつつ、セキュリティを犠牲にしないことが重要になります。従来の手法では、VM を作成した後にセキュリティ対策を行っていました。VCF 9 では、テナント作成時にガバナンス（誰が何をしてよいか）、コンプライアンス（監査証跡）、そしてネットワークレベルでの完全な分離（VPC）が、自動的に組み込まれた（Built-in）状態でプロビジョニングされるようになっています。これにより、このスピードを活用しつつ、セキュリティも自然と追従させることを可能にします。
3. スケールアウト
従来の手法では、テナントが増えるほど管理者の運用負荷が指数関数的に増大していました。VCF 9 では、テナント作成プロセスが標準化・自動化されており、10番目のテナントを作るのも、100番目のテナントを作るのも、運用負荷はほぼ変わらないようになっています。こうした仕組みにより、数百テナント規模へのスケールアウトにも耐えうるアーキテクチャを利用できるようになります。
3つの管理者ロールによる明確な職務の分離 (SoD)
この「次世代テナント管理」は、パブリッククラウドの運用モデルと同様に、管理者の役割を明確に分離（Separation of Duties: SoD）することで実現されています。
🏢 1. IT インフラ/プロバイダ 管理者
(Enterprise IT Admin)
役割: VCF の物理インフラ全体（コンピュート、ストレージ、ネットワーク）の「オーナー」
責務:
- テナント（組織）の作成と削除
- リージョン（物理リソース群）の定義（例：東京 DC クラスタ、専用 GPU クラスタ）
- 共有ネットワークリソースの管理（例：外部接続用IPプール、Transit Gateway、LB）
- 各テナントへのリソース（CPU、メモリ、ストレージ）の割り当てと上限設定
- プロバイダーレベルのコンテンツライブラリ（全社共通 OS イメージなど）の管理
💻 利用ポータル: プロバイダーポータル
👥 2. テナント管理者
(Org Admin)
役割: プロバイダ管理者から割り当てられたリソース（テナント＝組織）内の「ガバナンス責任者」
責務:
- 組織内でのプロジェクトや名前空間の作成・管理
- 開発者（プロジェクトユーザ）の認証・認可（IAM）管理
- テナント内のネットワークポリシー設定（VPC 、サブネット、VPN、NAT、FW、LB など）
- サービスカタログの管理（公開・承認フロー・リース期間設定）
- テナントポータルのブランディング（ロゴ設定など）とコスト管理
💻 利用ポータル: テナントポータル（管理者ビュー）
💻 3. アプリケーション管理者
(プロジェクトユーザ)
役割: 割り当てられたプロジェクト/名前空間内でアプリケーションをデプロイ・運用する「利用者」
責務:
- セルフサービスカタログを通じたリソース（VM、K8s、ネットワークなど）のプロビジョニング
- デプロイしたリソースのライフサイクル管理（起動/停止、監視、パッチ適用などの Day 2 運用）
- 自身のプロジェクトのリソース使用量の確認
💻 利用ポータル: テナントポータル（ユーザビュー）
導入から運用までのシームレスな流れ：具体例
この役割分担により、導入から運用までの流れ（Day 0, Day 1, Day 2）は非常にシームレスになります。第1部のシナリオが VCF 9 ではどう変わるかを以下に示します。
🗓️ Day 0 (Enterprise IT 管理者 – インフラ担当)
- 1. リージョン作成: 事前に「東京 DC・通常クラスタ」や「GPU 搭載クラスタ」を定義
- 2. NWリソース設定: 外部接続用の IPプールや Transit Gateway（外部接続）を設定
- 3. テナント作成: 要求に基づき、テナント「Marketing」を作成
- 4. リソースとNW割り当て: 「Marketing」テナントにリソースとネットワークを割り当て（数分で完了）
🗓️ Day 1 (テナント管理者 – マーケティング部門IT担当)
- 1. コンテンツライブラリ作成: 共有イメージや自部門用 OVA イメージを準備
- 2. IAM/ポリシー設定: 開発者のADグループを作成し、プロジェクトへのアクセス権限を付与
- 3. カタログ作成・公開: VM イメージをカタログに公開。「30日で自動削除」などのポリシーも設定
🗓️ Day 2 (アプリケーション管理者 – マーケティング部門開発者)
- 1. セルフサービス利用: テナントポータルからカタログを選択しオンデマンドでデプロイ
従来3週間待っていたものが、ログインしてから数分で利用可能に
このように、各管理者が自身の責務範囲内でセルフサービスで作業を進められるため、ITインフラ管理者に作業が集中することなく、ボトルネックが解消され、迅速なサービス提供を可能にする使い方ができます。
次回、第4部では、このテナント管理と分離技術である「VPC」と、それを支える次世代ネットワークアーキテクチャについて、さらに深く掘り下げます。
VCF 9 詳細ブログシリーズ
- 第1部：仮想基盤/共通基盤のジレンマと「運用の行き詰まり」
- 第2部：VCF 9 が提示する解決策「プライベートクラウドポータル」
- 第3部：VCF 9 の「次世代テナント管理」（本記事）
- 第4部：プライベートクラウドへの「VPC」の必要性とネットワークアーキテクチャ
- 第5部：アプリ開発者向け「セルフサービス IaaS」 体験
- 第6部：「App Stack Formation」が実現するガバナンスとスピードの両立
