VMware NSX

VMware NSX

作成者：Wei Zhou、VMware by Broadcom — [email protected] VMware のエンジニアによるコミュニティ主導のプロジェクトであり、VMware の公式製品ではありません。 VMware の公式開発者向けツールについては、developer.broadcom.com をご覧ください。

英語 | 中文

VMware NSX のネットワーク管理：セグメント、ゲートウェイ、NAT、ルーティング、IPAM に特化した 33 個の MCP ツールです。

NSX-T 3.0 以降および NSX 4.x 向けの NSX Policy API スキルです。

関連スキル

クイックインストール

# Via PyPI
uv tool install vmware-nsx-mgmt

# Or pip
pip install vmware-nsx-mgmt

オフライン／エアギャップ環境へのインストール（ソースから）

このプロジェクトでは最新の PEP 517 ビルドシステム（hatchling）を使用しているため、設計上 setup.py はありません。これは想定どおりであり、ファイルが欠落しているわけではありません。ソースをクローンして ERROR: File "setup.py" or "setup.cfg" not found ... editable mode currently requires a setuptools-based build が表示された場合、pip が 21.3 より古く、setuptools 以外のバックエンドでは 編集可能（-e）インストールを実行できません。編集可能モードは開発者向けの便宜機能であり、ツールの実行には必要ありません。次のいずれかを実行してください。

# From the source tree — a normal (non-editable) install builds a wheel:
pip install .              # NOT  pip install -e .

# ...or upgrade pip first, and editable works too:
pip install --upgrade pip && pip install -e .

完全なエアギャップ環境のホストでは、ネットワークに接続されたマシンで wheel をビルドしてコピーしてください。これにより、インストール先ではネットワークが不要になります。

# On a connected machine, collect this package + its dependencies as wheels:
pip wheel . -w dist        # → dist/*.whl   (or: uv build, for just this package)

# Copy dist/ to the air-gapped host, then install offline:
pip install --no-index --find-links dist vmware-nsx-mgmt

設定

mkdir -p ~/.vmware-nsx
cp config.example.yaml ~/.vmware-nsx/config.yaml
# Edit with your NSX Manager credentials

echo "VMWARE_NSX_NSX_PROD_PASSWORD=your_password" > ~/.vmware-nsx/.env
chmod 600 ~/.vmware-nsx/.env

# Verify
vmware-nsx doctor

このスキルでできること

合計：33 個のツール（読み取り専用 20 個＋書き込み 13 個）

一般的なワークフロー

アプリネットワークを作成する（セグメント＋T1 ゲートウェイ＋NAT）

1. ゲートウェイを作成します：vmware-nsx gateway create-t1 app-t1 --edge-cluster edge-cluster-01 --tier0 tier0-gw
2. セグメントを作成します：vmware-nsx segment create app-web-seg --name app-web-seg --tz <tz-overlay-path> --subnet 10.10.1.1/24
3. SNAT を追加します：vmware-nsx nat create app-t1 --action SNAT --source 10.10.1.0/24 --translated 172.16.0.10
4. 確認します：vmware-nsx segment list と vmware-nsx nat list app-t1

書き込みコマンドを実行する前に、--dry-run を使ってプレビューしてください。

ネットワークの健全性を確認する

1. マネージャーのステータス：vmware-nsx health manager-status
2. トランスポートノード：vmware-nsx health transport-nodes
3. エッジクラスター：vmware-nsx health edge-clusters
4. アラーム：vmware-nsx health alarms --severity HIGH（完全一致フィルターです。重大度ごとに個別に照会してください）

VM の接続をトラブルシューティングする

1. VM のセグメントを特定する：vmware-nsx troubleshoot vm-segment <vm-display-name>
2. ポートの実現状態を確認する：vmware-nsx troubleshoot port-status <segment-id>（セグメント上のすべてのポート：アタッチメント、実現済みのバインディング、トランスポートノード）
3. ルートを確認する：vmware-nsx gateway routes-t1 app-t1
4. BGP を確認する：vmware-nsx gateway bgp-neighbors tier0-gw

MCP ツール（33 — 読み取り 20、書き込み 13）

ツールごとのエンドポイントとメソッドの全一覧：skills/vmware-nsx/references/capabilities.md。

CLI

# Segments
vmware-nsx segment list
vmware-nsx segment get app-web-seg
vmware-nsx segment create app-web-seg --name app-web-seg --tz <tz-overlay-path> --subnet 10.10.1.1/24
vmware-nsx segment delete app-web-seg

# Gateways
vmware-nsx gateway list-t0
vmware-nsx gateway list-t1
vmware-nsx gateway create-t1 app-t1 --edge-cluster edge-cluster-01 --tier0 tier0-gw
vmware-nsx gateway bgp-neighbors tier0-gw
vmware-nsx gateway routes-t1 app-t1

# NAT
vmware-nsx nat list app-t1
vmware-nsx nat create app-t1 --action SNAT --source 10.10.1.0/24 --translated 172.16.0.10
vmware-nsx nat delete-rule --tier1 app-t1 --rule-id rule-01

# Static Routes
vmware-nsx route list app-t1
vmware-nsx route create app-t1 --network 192.168.100.0/24 --next-hop 10.10.1.254

# IP Pools
vmware-nsx ippool list
vmware-nsx ippool create tep-pool
vmware-nsx ippool add-subnet tep-pool --start 192.168.100.10 --end 192.168.100.50 --cidr 192.168.100.0/24

# Health & Troubleshooting
vmware-nsx health alarms --severity HIGH   # exact match: LOW | MEDIUM | HIGH | CRITICAL
vmware-nsx health transport-nodes
vmware-nsx health manager-status
vmware-nsx troubleshoot vm-segment my-vm-01          # VM display name
vmware-nsx troubleshoot port-status app-web-seg      # segment ID

# Diagnostics
vmware-nsx doctor

MCP サーバー

uv tool install vmware-nsx-mgmt の実行後、1 つのコマンドで MCP サーバーを起動できます（v1.5.15 以降）：

# Recommended — single command, no network re-resolve
vmware-nsx mcp

# Or via Docker
docker compose up -d

エージェントの設定

AI エージェントの MCP 設定に追加します：

{
  "mcpServers": {
    "vmware-nsx": {
      "command": "vmware-nsx",
      "args": ["mcp"],
      "env": {
        "VMWARE_NSX_CONFIG": "~/.vmware-nsx/config.yaml"
      }
    }
  }
}

# Run without installing (requires PyPI access each launch)
uvx --from vmware-nsx-mgmt vmware-nsx mcp

# Legacy entry point (still works, kept for backward compatibility)
vmware-nsx-mcp

その他のエージェント設定テンプレート（Claude Code、Cursor、Goose、Continue など）は examples/mcp-configs/ にあります。

バージョンの互換性

VCF との互換性

Broadcom 公式リファレンス

• SDK：https://developer.broadcom.com/sdks — VMware NSX for Python SDK（公式。将来の移行先）、VCF Python SDK
• REST API：https://developer.broadcom.com/xapis — NSX-T Data Center REST API（このスキルでは Policy API のサブセットを使用します）
• CLI ツール：https://developer.broadcom.com/tools — VCF PowerCLI 9.1（NSX コマンドレットを含みます）

安全性

トラブルシューティング

リモートアクセス（HTTPS）とツールの制限

デフォルトでは、vmware-nsx mcp はローカルの 1 つのクライアントと stdio で通信し、すべてのツールを提供します。次の 2 つのオプションで動作を変更できます （vmware-policy ≥ 1.21.0）。

HTTPS で提供すると、別のマシン上のクライアントも接続できます。呼び出し元にはすべてベアラートークンが必要です。

vmware-audit token create alice          # prints the token once; give it to alice
vmware-audit token list                  # names only
vmware-audit token revoke alice          # refused from its next request, no restart
vmware-nsx mcp --transport https --host 0.0.0.0 --port 8443 \
    --cert /etc/vmware-mcp/server.pem --key /etc/vmware-mcp/server-key.pem \
    --public-name mcp.example.com

クライアントを接続します（Claude Code の例です。ストリーミング可能な HTTP とカスタムヘッダーに対応する MCP クライアントであれば、どれでも使用できます）。

claude mcp add --transport http vmware-nsx https://mcp.example.com:8443/mcp \
    --header "Authorization: Bearer $VMWARE_MCP_TOKEN"

{
  "mcpServers": {
    "vmware-nsx": {
      "type": "http",
      "url": "https://mcp.example.com:8443/mcp",
      "headers": { "Authorization": "Bearer ${VMWARE_MCP_TOKEN}" }
    }
  }
}

• トークンがないとサーバーは起動せず、--public-name に含まれない Host/Origin 値を拒否します。また、バインド前に認証されていないリクエストに 401 を返すことを確認します。クライアントがこれらの名前を信頼する証明書を使用してください。
• 同じマシン上の TLS 終端リバースプロキシの背後で使用する場合は、--transport http --host 127.0.0.1 --public-name mcp.example.com を指定し、Authorization ヘッダーを転送してください。
• 別のマシン上のロードバランサーまたはゲートウェイの背後で使用する場合は、--transport https を指定します（自己署名証明書でもかまいません）。ロードバランサーが Host として送信するホスト名を --public-name に列挙し、Authorization を転送するようにしてください。 ヘルスプローブには GET /healthz を使用できます。トークンは不要で、{"status": "ok"} のみを返します （vmware-policy ≥ 1.23.0）。
• 各リクエストに traceparent または X-Request-ID を指定すると、監査ログの行に保存されます。 vmware-audit log --correlation-id ID を実行すると、1 つのプラットフォームリクエストに関連する呼び出しを見つけられます。
• 監査ログでは、各呼び出し元は token:<name> として記録されます。呼び出しは、ターゲットの有無にかかわらず並行して実行されます。各ターゲットは最大 VMWARE_MCP_POOL_SIZE 個のセッション（デフォルトは 2）を保持し、各セッションはターゲットへのログインです。すべてのセッションが使用中の場合、呼び出しは最大 300 秒間、空きができるのを待ちます。
• エンドポイントにアクセスできるユーザーは全員、このサーバーのアカウントで操作します。 トークンは呼び出し元を識別するもので、プラットフォーム上の権限を付与するものではありません。権限レベルごとにエンドポイントを 1 つ実行してください。
• 1 つのエンドポイントで複数のユーザーやロールを扱う場合： vmware-audit roles enable を 1 回実行し、各トークンにロールを割り当てます（vmware-audit token create NAME --role reader を実行するか、ツールとターゲットを指定するロールを roles.yaml に記述します。vmware-policy ≥ 1.24.0）。ロールは、このエンドポイントでトークンが呼び出せるものを制限します。アカウントの権限を超える権限は付与できません。vmware-policy の README の「Roles for network callers」を参照してください。

読み取りツールと、選択した書き込みツールだけを提供します：

vmware-nsx mcp --expose read --allow-write create_ip_pool
# or: VMWARE_NSX_MCP_EXPOSE=read VMWARE_NSX_MCP_ALLOW_WRITE=create_ip_pool vmware-nsx mcp

提供対象外のツールは、クライアントのツール一覧に表示されません。不正な値または不明な書き込みツールを指定すると、サーバーは終了します （exit 2）。これはクライアントに提供するツールを制限するもので、認可ではありません。そのため、アカウント自体には最小権限を適用してください。

詳細は skills/vmware-nsx/references/setup-guide.md の「Serving MCP over HTTPS」と「Limiting which tools are offered」を参照してください。

ライセンス

MIT