Netzwerkzugriff mit privaten Endpunkten einrichten

Beschreibt die erforderlichen Schritte, die Sie ausführen müssen, bevor Sie einen privaten Endpunkt für eine Autonomous Database-Instanz konfigurieren.

Neben den zum Provisioning und Verwalten autonomer Datenbanken erforderlichen Policys sind einige Netzwerk-Policys zur Verwendung privater Endpunkte erforderlich.

In der folgenden Tabelle sind die IAM-Policys aufgeführt, die ein Cloud-Benutzer zum Hinzufügen eines privaten Endpunkts benötigt. Die aufgeführten Policys sind die Mindestanforderungen zum Hinzufügen eines privaten Endpunkts. Sie können auch eine allgemeinere Policy-Regel verwenden. Beispiel für eine Policy-Regel:

Allow group MyGroupName to manage virtual-network-family in tenancy

Diese Regel funktioniert auch, weil sie eine Obermenge ist, die alle erforderlichen Policys enthält.

Autonomous Database nutzt den IAM-(Identity and Access Management)-Service, um Cloud-Benutzer zu authentifizieren und für Vorgänge zu autorisieren, die eine der Oracle Cloud Infrastructure-Schnittstellen verwenden (Konsole, REST-API, CLI, SDK oder andere).

Der IAM-Service verwendet Gruppen, Compartments und Policys, um zu steuern, welche Cloud-Benutzer auf welche Ressourcen zugreifen können. Insbesondere definiert eine Policy, welche Art von Zugriff eine Benutzergruppe auf eine bestimmte Art von Ressource in einem Compartment erhält. Weitere Informationen finden Sie unter Erste Schritte mit Policys.

Sie können beim Provisioning oder Klonen einer Autonomous Database-Instanz einen privaten Endpunkt konfigurieren.

1. Wählen Sie Nur Zugriff über privaten Endpunkt aus.

   Dadurch wird der Bereich für die Konfiguration des privaten Zugriffs auf das virtuelle Cloud-Netzwerk eingeblendet.

   
   

   
   Beschreibung der Abbildung adb_private_vcn.png

   
   

   Wenn Sie Nur Zugriff auf privaten Endpunkt auswählen, sind nur Verbindungen aus dem angegebenen privaten Netzwerk (VCN), aus Peer-VCNs und aus On-Premise-Netzwerken zulässig, die mit Ihrem VCN verbunden sind. Sie können eine Autonomous Database-Instanz auf einem privaten Endpunkt konfigurieren, um Verbindungen aus On-Premise-Netzwerken zuzulassen. Ein Beispiel finden Sie unter Beispiel: Verbindung von Ihrem Data Center zu Autonomous Database.

   Wenn Sie Verbindungen von öffentlichen IP-Adressen oder von zulässigen IPs und VCNs zulassen möchten, haben Sie die folgenden Optionen:

   • Wählen Sie Sicherer Zugriff von überall aus.

   • Wählen Sie Sicherer Zugriff nur von zulässigen IPs und VCNs aus.

   • Wenn Sie Nur Zugriff auf privaten Endpunkt auswählen, blenden Sie Erweiterte Optionen anzeigen ein, und wählen Sie Öffentlichen Zugriff zulassen aus. Weitere Informationen finden Sie unter Erweiterte Optionen für privaten Endpunkt konfigurieren.

2. Wählen Sie ein virtuelles Cloud-Netzwerk in Ihrem Compartment aus. Wenn sich das VCN in einem anderen Compartment befindet, klicken Sie auf Compartment ändern, wählen Sie das Compartment mit dem VCN aus, und wählen Sie dann ein virtuelles Cloud-Netzwerk aus.

   Weitere Informationen finden Sie unter VCNs und Subnetze.

3. Wählen Sie das Subnetz in Ihrem Compartment aus, um die Autonomous Database anzuschließen, oder klicken Sie auf Compartment ändern, wenn sich das Subnetz in einem anderen Compartment befindet, und wählen Sie das Compartment aus, das das das Subnetz enthält. Wählen Sie dann ein Subnetz aus.

   Weitere Informationen finden Sie unter VCNs und Subnetze.

4. (Optional) Klicken Sie auf Erweiterte Optionen anzeigen, um zusätzliche Optionen für private Endpunkte anzuzeigen.

   Weitere Informationen zu den erweiterten Optionen finden Sie unter Erweiterte Optionen für privaten Endpunkt konfigurieren.

5. Gegenseitige TLS-Authentifizierung (mTLS) erforderlich.

   Die Optionen für Gegenseitige TLS-Authentifizierung (mTLS) erforderlich lauten:

   • Wenn die Option Gegenseitige TLS-Authentifizierung (mTLS) erforderlich deaktiviert ist, sind TLS- und mTLS-Verbindungen zulässig. Dies ist die Standardkonfiguration.

   • Wenn die Option Gegenseitige TLS-Authentifizierung (mTLS) erforderlich ausgewählt ist, sind nur mTLS-Verbindungen zulässig (TLS-Authentifizierung ist nicht zulässig).

   Weitere Informationen finden Sie unter Netzwerkoptionen so aktualisieren, dass TLS- oder nur gegenseitige TLS-(mTLS-)Authentifizierung in Autonomous Database zulässig ist.

6. Führen Sie die verbleibenden Provisioning- oder Cloning-Schritte aus, wie unter Autonomous Database-Instanz bereitstellen, Autonomous Database-Instanz klone oder Autonomous Database aus einem Backup klonen angegeben.

Wenn Ihre Autonomous Database-Instanz für die Verwendung eines öffentlichen Endpunkts konfiguriert ist, können Sie die Konfiguration in einen privaten Endpunkt ändern.

1. Wählen Sie auf der Seite Details in der Dropdown-Liste Weitere Aktionen die Option Netzwerkzugriff aktualisieren aus.

   Um eine Instanz von einem öffentlichen in einen privaten Endpunkt zu ändern, muss die Autonomous Database-Instanz den Status Verfügbar aufweisen (Lebenszyklusstatus: Verfügbar)

2. Wählen Netzwerkzugriff aktualisieren im Dialogfeld "Nur Zugriff über privaten Endpunkt" aus.

   Dadurch wird der Bereich für die Konfiguration des privaten Zugriffs auf das virtuelle Cloud-Netzwerk eingeblendet.

   
   Beschreibung der Abbildung adb_network_private_update.png

   Wenn Sie Nur Zugriff auf privaten Endpunkt auswählen, sind nur Verbindungen aus dem angegebenen privaten Netzwerk (VCN), aus Peer-VCNs und aus On-Premise-Netzwerken zulässig, die mit Ihrem VCN verbunden sind. Sie können eine Autonomous Database-Instanz auf einem privaten Endpunkt konfigurieren, um Verbindungen aus On-Premise-Netzwerken zuzulassen. Ein Beispiel finden Sie unter Beispiel: Verbindung von Ihrem Data Center zu Autonomous Database herstellen.

   Wenn Sie Verbindungen von öffentlichen IP-Adressen oder von zulässigen IPs und VCNs zulassen möchten, haben Sie die folgenden Optionen:

   • Wählen Sie Sicherer Zugriff von überall aus.

   • Wählen Sie Sicherer Zugriff nur von zulässigen IPs und VCNs aus.

   • Wenn Sie Nur Zugriff auf privaten Endpunkt auswählen, blenden Sie Erweiterte Optionen anzeigen ein, und wählen Sie Öffentlichen Zugriff zulassen aus. Weitere Informationen finden Sie unter Erweiterte Optionen für privaten Endpunkt konfigurieren.

3. Wählen Sie ein virtuelles Cloud-Netzwerk in Ihrem Compartment aus. Wenn sich das VCN in einem anderen Compartment befindet, klicken Sie auf Compartment ändern, wählen Sie das Compartment mit dem VCN aus, und wählen Sie dann ein virtuelles Cloud-Netzwerk aus.

   Weitere Informationen finden Sie unter VCNs und Subnetze.

4. Wählen Sie das Subnetz in Ihrem Compartment aus, um die Autonomous Database anzuschließen, oder klicken Sie auf Compartment ändern, wenn sich das Subnetz in einem anderen Compartment befindet, und wählen Sie das Compartment aus, das das das Subnetz enthält. Wählen Sie dann ein Subnetz aus.

   Weitere Informationen finden Sie unter VCNs und Subnetze.

5. (Optional) Klicken Sie auf Erweiterte Optionen anzeigen, um zusätzliche Optionen anzuzeigen.

   Weitere Informationen zu den erweiterten Optionen finden Sie unter Erweiterte Optionen für privaten Endpunkt konfigurieren.

6. Klicken Sie auf Aktualisieren.
7. Geben Sie im Dialogfeld Bestätigen den Autonomous Database-Namen ein, um die Änderung zu bestätigen.
8. Klicken Sie im Dialogfeld Bestätigen auf Aktualisieren.

Sie können einige Optionen in der Konfiguration eines privaten Endpunkts in einer vorhandenen Autonomous Database-Instanz ändern.

1. Wählen Sie auf der Seite Details in der Dropdown-Liste Weitere Aktionen die Option Netzwerkzugriff aktualisieren aus.

   Daraufhin wird der Bereich "Netzwerkzugriff aktualisieren" angezeigt.

   
   Beschreibung der Abbildung adb_network_access_private_update.png
2. Wählen Sie Nur Zugriff über privaten Endpunkt aus.

   Wenn Sie Verbindungen von öffentlichen IP-Adressen oder von zulässigen IPs und VCNs zulassen möchten, haben Sie die folgenden Optionen:

   • Wählen Sie Sicherer Zugriff von überall aus.

   • Wählen Sie Sicherer Zugriff nur von zulässigen IPs und VCNs aus.

   • Wenn Sie Nur Zugriff auf privaten Endpunkt auswählen, werden erweiterte Optionen angezeigt, und Sie wählen Öffentlichen Zugriff zulassen aus. Definiert eine private Endpunktdatenbank, die sowohl einen privaten Endpunkt als auch einen öffentlichen Endpunkt enthält.

   1. Fügen Sie optional Netzwerksicherheitsgruppen (NSGs) hinzu.

      Um optional Verbindungen zur Autonomous Database-Instanz zuzulassen, definieren Sie Sicherheitsregeln in einer NSG. Dadurch wird eine virtuelle Firewall für Ihre Autonomous Database erstellt.

      • Wählen Sie eine Netzwerksicherheitsgruppe in Ihrem Compartment aus, der die autonome Datenbank zugeordnet werden soll. Wenn sich die Netzwerksicherheitsgruppe in einem anderen Compartment befindet, klicken Sie auf Compartment ändern, wählen Sie ein anderes Compartment aus, und wählen Sie dann eine Netzwerksicherheitsgruppe in diesem Compartment aus.
      • Klicken Sie auf + Weitere Netzwerksicherheitsgruppe, um eine weitere Netzwerksicherheitsgruppe hinzuzufügen.
      • Klicken Sie auf x, um einen Netzwerksicherheitsgruppen-Eintrag zu entfernen.

      Definieren Sie wie folgt eine Sicherheitsregel für die für den privaten Endpunkt ausgewählte NSG:

      • Fügen Sie für gegenseitige TLS-(mTLS-)Authentifizierung eine Regel für zustandsbehafteten Ingress hinzu, und setzen Sie die Quelle auf den Adressbereich, für den Sie Verbindungen zur Datenbank zulassen möchten, das IP-Protokoll auf TCP und den Zielportbereich auf 1522.

      • Für die TLS-Authentifizierung fügen Sie für zustandsbehafteten Ingress eine Regel mit zustandsbehaftetem Ingress hinzu, und setzen Sie die Quelle auf den Adressbereich, auf den Sie Verbindungen zur Datenbank zulassen möchten, das IP-Protokoll ist auf TCP und den Zielportbereich auf 1521 oder 1522.

      • Um Oracle APEX, Database Actions und Oracle REST Data Services zu verwenden, fügen Sie der NSG-Regel den Port 443 hinzu.

      Hinweis
      
      Ein- und ausgehende Verbindungen sind durch die Kombination von Ingress- und Egress-Regeln, die in NSGs definiert sind, und den mit dem VCN definierten Sicherheitslisten begrenzt. Wenn keine NSGs, Ingress- und Egress-Regeln in den Sicherheitslisten für das VCN definiert sind, gelten weiterhin. Weitere Informationen zum Arbeiten mit Sicherheitslisten finden Sie unter Sicherheitslisten.

      Weitere Informationen finden Sie unter Sichere Verbindungen zu Autonomous Database mit mTLS oder mit TLS.

      Beispiele finden Sie unter Beispiele für die Konfiguration privater Endpunkte in Autonomous Database.

      Weitere Informationen finden Sie unter Netzwerksicherheitsgruppen.

   2. Wählen Sie optional Öffentlichen Zugriff zulassen aus. Wenn diese Option bereits ausgewählt ist, können Sie Zugriffskontrollregeln für den öffentlichen Endpunkt konfigurieren, der mit der privaten Endpunktdatenbank konfiguriert ist.

      Die Option "Öffentlichen Zugriff zulassen" ist nur verfügbar, wenn die Datenbank das ECPU-Compute-Modell verwendet.

      Wenn Sie Öffentlichen Zugriff zulassen auswählen, werden die Optionen "Zugriffskontrolle konfigurieren" angezeigt, um die zulässigen IP-Adressen, CIDR-Blöcke oder virtuellen Cloud-Netzwerke einzugeben, die eine Verbindung zur Datenbank herstellen können.

      Wählen Sie eine der folgenden Optionen:

      • IP-Adresse:

        Geben Sie im Feld Werte Werte für die IP-Adresse ein, Eine in einem Netzwerk-ACL-Eintrag angegebene IP-Adresse ist die im öffentlichen Internet sichtbare öffentliche IP-Adresse des Clients, dem Sie den Zugriff erteilen möchten. Beispiel: Bei einer Oracle Cloud Infrastructure-VM ist dies die IP-Adresse, die im Feld Öffentliche IP in der Oracle Cloud Infrastructure-Konsole für die betreffende VM angezeigt wird.

        Wählen Sie optional Meine IP-Adresse hinzufügen aus, um Ihre aktuelle IP-Adresse zum ACL-Eintrag hinzuzufügen.

      • CIDR-Block

        Geben Sie Werte für den CIDR-Block im Feld Werte ein. Der angegebene CIDR-Block ist der öffentliche CIDR-Block der im öffentlichen Internet sichtbaren Clients, den Sie Zugriff erteilen möchten.

      • Virtuelles Cloud-Netzwerk:

        Verwenden Sie diese Option, wenn die Netzwerkroute vom Client zur Datenbank über ein Oracle Cloud Infrastructure Service Gateway erfolgt. Weitere Informationen finden Sie unter Zugriff auf Oracle-Services: Servicegateway.

        Mit dieser Option können Sie das VCN für die Verwendung mit einem Oracle Cloud Infrastructure Service Gateway angeben:

        • Wählen Sie im Feld Virtuelles Cloud-Netz das VCN aus, von dem Sie Zugriff erteilen möchten. Wenn Sie nicht über die Berechtigungen zum Anzeigen der VCNs in Ihrem Mandanten verfügen, ist diese Liste leer. Verwenden Sie in diesem Fall die Auswahl Virtuelles Cloud-Netz (OCID), um die OCID des VCN anzugeben.
        • Geben Sie optional im Feld "IP-Adressen oder CIDRs" private IP-Adressen oder private CIDR-Blöcke als durch Komma getrennte Liste ein, um bestimmte Clients im VCN zuzulassen.
      • Virtuelles Cloud-Netzwerk (OCID):

        Verwenden Sie diese Option, wenn die Netzwerkroute vom Client zur Datenbank über ein Oracle Cloud Infrastructure Service Gateway erfolgt. Weitere Informationen finden Sie unter Zugriff auf Oracle-Services: Servicegateway.

        • Geben Sie im Feld Werte die OCID des VCN ein, über das Sie Zugriff erteilen möchten.
        • Geben Sie optional im Feld "IP-Adressen oder CIDRs" private IP-Adressen oder private CIDR-Blöcke als durch Komma getrennte Liste ein, um bestimmte Clients im VCN zuzulassen.

      Wenn Sie mehrere IP-Adressen oder CIDR-Bereiche innerhalb desselben VCN angeben möchten, erstellen Sie nicht mehrere ACL-Einträge. Verwenden Sie einen ACL-Eintrag, und trennen Sie Werte für mehrere IP-Adressen oder CIDR-Bereiche durch Kommas.

3. Klicken Sie auf Aktualisieren.

Mit den erweiterten Zugriffsoptionen für privaten Endpunkt können Sie eine vom Benutzer angegebene private IP-Adresse und einen Hostnamen eingeben, eine oder mehrere Netzwerksicherheitsgruppen auswählen oder Details angeben, um den öffentlichen Zugriff auf eine private Endpunktdatenbank zuzulassen.

1. Wählen Sie Nur Zugriff über privaten Endpunkt aus.

   Dadurch wird die Konfiguration für den privaten Zugriff auf das virtuelle Cloud-Netzwerk angezeigt.

2. (Optional) Klicken Sie auf Erweiterte Optionen anzeigen, um zusätzliche Optionen für private Endpunkte anzuzeigen.

   Dadurch werden die erweiterten Optionen angezeigt.

   
   Beschreibung der Abbildung adb_network_access_private_advanced.png
   1. Geben Sie optional eine private IP-Adresse ein.

      Verwenden Sie dieses Feld, um eine benutzerdefinierte private IP-Adresse einzugeben. Die eingegebene private IP-Adresse muss im CIDR-Bereich des ausgewählten Subnetzes liegen.

      Wenn Sie keine benutzerdefinierte private IP-Adresse angeben, wird die IP-Adresse automatisch zugewiesen.

   2. Geben Sie optional ein Hostnamenspräfix ein.

      Dadurch wird ein Hostnamenspräfix für die autonome Datenbank angegeben und ein DNS-Name im folgenden Format mit der Datenbankinstanz verknüpft:

      hostname_prefix.adb.region.oraclecloud.com

      Wenn Sie kein Hostnamenspräfix angeben, wird ein vom System generiertes Hostnamenspräfix angegeben.

   3. Fügen Sie optional Netzwerksicherheitsgruppen (NSGs) hinzu.

      Um optional Verbindungen zur Autonomous Database-Instanz zuzulassen, definieren Sie Sicherheitsregeln in einer NSG. Dadurch wird eine virtuelle Firewall für Ihre Autonomous Database erstellt.

      • Wählen Sie eine Netzwerksicherheitsgruppe in Ihrem Compartment aus, der die autonome Datenbank zugeordnet werden soll. Wenn sich die Netzwerksicherheitsgruppe in einem anderen Compartment befindet, klicken Sie auf Compartment ändern, wählen Sie ein anderes Compartment aus, und wählen Sie dann eine Netzwerksicherheitsgruppe in diesem Compartment aus.
      • Klicken Sie auf + Weitere Netzwerksicherheitsgruppe, um eine weitere Netzwerksicherheitsgruppe hinzuzufügen.
      • Klicken Sie auf x, um einen Netzwerksicherheitsgruppen-Eintrag zu entfernen.

      Definieren Sie wie folgt eine Sicherheitsregel für die für den privaten Endpunkt ausgewählte NSG:

      • Fügen Sie für gegenseitige TLS-(mTLS-)Authentifizierung eine Regel für zustandsbehafteten Ingress hinzu, und setzen Sie die Quelle auf den Adressbereich, für den Sie Verbindungen zur Datenbank zulassen möchten, das IP-Protokoll auf TCP und den Zielportbereich auf 1522.

      • Für die TLS-Authentifizierung fügen Sie für zustandsbehafteten Ingress eine Regel mit zustandsbehaftetem Ingress hinzu, und setzen Sie die Quelle auf den Adressbereich, auf den Sie Verbindungen zur Datenbank zulassen möchten, das IP-Protokoll ist auf TCP und den Zielportbereich auf 1521 oder 1522.

      • Um Oracle APEX, Database Actions und Oracle REST Data Services zu verwenden, fügen Sie der NSG-Regel den Port 443 hinzu.

      Hinweis
      
      Ein- und ausgehende Verbindungen sind durch die Kombination von Ingress- und Egress-Regeln, die in NSGs definiert sind, und den mit dem VCN definierten Sicherheitslisten begrenzt. Wenn keine NSGs, Ingress- und Egress-Regeln in den Sicherheitslisten für das VCN definiert sind, gelten weiterhin. Weitere Informationen zum Arbeiten mit Sicherheitslisten finden Sie unter Sicherheitslisten.

      Weitere Informationen finden Sie unter Sichere Verbindungen zu Autonomous Database mit mTLS oder mit TLS.

      Beispiele finden Sie unter Beispiele für die Konfiguration privater Endpunkte in Autonomous Database.

      Weitere Informationen finden Sie unter Netzwerksicherheitsgruppen.

   4. Wählen Sie optional Öffentlichen Zugriff zulassen aus, und konfigurieren Sie Zugriffskontrollregeln, um einen öffentlichen Endpunkt für die private Endpunktdatenbank hinzuzufügen.

      Die Option "Öffentlichen Zugriff zulassen" ist nur verfügbar, wenn die Datenbank das ECPU-Compute-Modell verwendet.

      Wenn Sie Öffentlichen Zugriff zulassen auswählen, werden die Optionen "Zugriffskontrolle konfigurieren" angezeigt, um die zulässigen IP-Adressen, CIDR-Blöcke oder virtuellen Cloud-Netzwerke einzugeben, die eine Verbindung zur Datenbank herstellen können.

      Wählen Sie eine der folgenden Optionen:

      • IP-Adresse:

        Geben Sie im Feld Werte Werte für die IP-Adresse ein, Eine in einem Netzwerk-ACL-Eintrag angegebene IP-Adresse ist die im öffentlichen Internet sichtbare öffentliche IP-Adresse des Clients, dem Sie den Zugriff erteilen möchten. Beispiel: Bei einer Oracle Cloud Infrastructure-VM ist dies die IP-Adresse, die im Feld Öffentliche IP in der Oracle Cloud Infrastructure-Konsole für die betreffende VM angezeigt wird.

        Wählen Sie optional Meine IP-Adresse hinzufügen aus, um Ihre aktuelle IP-Adresse zum ACL-Eintrag hinzuzufügen.

        Wählen Sie optional Meine IP-Adresse hinzufügen aus, um Ihre aktuelle IP-Adresse zum ACL-Eintrag hinzuzufügen.

      • CIDR-Block:

        Geben Sie Werte für den CIDR-Block im Feld Werte ein. Der angegebene CIDR-Block ist der öffentliche CIDR-Block der im öffentlichen Internet sichtbaren Clients, den Sie Zugriff erteilen möchten.

      • Virtuelles Cloud-Netzwerk:

        Verwenden Sie diese Option, wenn die Netzwerkroute vom Client zur Datenbank über ein Oracle Cloud Infrastructure Service Gateway erfolgt. Weitere Informationen finden Sie unter Zugriff auf Oracle-Services: Servicegateway.

        Mit dieser Option können Sie das VCN für die Verwendung mit einem Oracle Cloud Infrastructure Service Gateway angeben:

        • Wählen Sie im Feld Virtuelles Cloud-Netz das VCN aus, von dem Sie Zugriff erteilen möchten. Wenn Sie nicht über die Berechtigungen zum Anzeigen der VCNs in Ihrem Mandanten verfügen, ist diese Liste leer. Verwenden Sie in diesem Fall die Auswahl Virtuelles Cloud-Netz (OCID), um die OCID des VCN anzugeben.
        • Geben Sie optional im Feld "IP-Adressen oder CIDRs" private IP-Adressen oder private CIDR-Blöcke als durch Komma getrennte Liste ein, um bestimmte Clients im VCN zuzulassen.
      • Virtuelles Cloud-Netzwerk (OCID):

        Verwenden Sie diese Option, wenn die Netzwerkroute vom Client zur Datenbank über ein Oracle Cloud Infrastructure Service Gateway erfolgt. Weitere Informationen finden Sie unter Zugriff auf Oracle-Services: Servicegateway.

        • Geben Sie im Feld Werte die OCID des VCN ein, über das Sie Zugriff erteilen möchten.
        • Geben Sie optional im Feld "IP-Adressen oder CIDRs" private IP-Adressen oder private CIDR-Blöcke als durch Komma getrennte Liste ein, um bestimmte Clients im VCN zuzulassen.

      Wenn Sie mehrere IP-Adressen oder CIDR-Bereiche innerhalb desselben VCN angeben möchten, erstellen Sie nicht mehrere ACL-Einträge. Verwenden Sie einen ACL-Eintrag, und trennen Sie Werte für mehrere IP-Adressen oder CIDR-Bereiche durch Kommas.

3. Führen Sie die restlichen Schritte zur Konfiguration des privaten Endpunkts aus.

Wählen Sie die Option Öffentlichen Zugriff zulassen aus, wenn Sie eine Autonomous Database so konfigurieren möchten, dass ein privater Endpunkt verwendet wird, und wenn Sie Verbindungen von bestimmten öffentlichen IP-Adressen oder von bestimmten VCNs zulassen möchten (wenn die VCNs so konfiguriert sind, dass sie über ein Servicegateway privat eine Verbindung zu Autonomous Database herstellen).

Mit dieser Option wird ein öffentlicher Endpunkt für eine Datenbank hinzugefügt, die auf einem privaten Endpunkt konfiguriert ist. Sie konfigurieren einen privaten Endpunkt für Ihre Autonomous Database-Instanz, wenn Sie die Instanz bereitstellen oder klonen oder wenn Sie die Netzwerkkonfiguration für eine vorhandene Autonomous Database aktualisieren. Im Folgenden finden Sie Details zu den Schritten zum Konfigurieren einer Autonomous Database-Instanz mit einem privaten Endpunkt:

• Private Endpunkte beim Provisioning oder Klonen einer Instanz konfigurieren

• Mit Autonomous Database von öffentlichen zu privaten Endpunkten wechseln

Wenn der öffentliche Zugriff mit Öffentlichen Zugriff zulassen in einer privaten Endpunktdatenbank aktiviert ist, weist die Instanz sowohl einen privaten Endpunkt als auch einen öffentlichen Endpunkt auf:

• Mit dem privaten Hostnamen, der Endpunkt-URL und der privaten IP-Adresse können Sie eine Verbindung zur Datenbank über das VCN herstellen, in dem sich die Datenbank befindet.

• Mit dem öffentlichen Hostnamen können Sie eine Verbindung zur Datenbank von bestimmten öffentlichen IP-Adressen oder von bestimmten VCNs herstellen, wenn diese VCNs so konfiguriert sind, dass sie über ein Servicegateway eine private Verbindung zu Autonomous Database herstellen.

Demonstriert eine Anwendung, die in Oracle Cloud Infrastructure auf einer virtuellen Maschine (VM) in dem mit der autonomen Datenbank konfigurierten VCN ausgeführt wird.

Eine Autonomous Database-Instanz wurde mit einem privaten Endpunkt im VCN mit dem Namen "Ihr VCN" konfiguriert. Das VCN umfasst zwei Subnetze: "SUBNET B" (CIDR 10.0.1.0/24) und "SUBNET A" (CIDR 10.0.2.0/24).

Die mit der Autonomous Database-Instanz verknüpfte Netzwerksicherheitsgruppe (NSG) wird als "NSG 1 - Sicherheitsregeln" angezeigt. Diese Netzwerksicherheitsgruppe definiert Sicherheitsregeln, die eingehenden und ausgehenden Traffic an die und von der Autonomous Database-Instanz zulassen. Definieren Sie wie folgt eine Regel für die Autonomous Database-Instanz:

• Fügen Sie für gegenseitige TLS-Authentifizierung eine Regel für zustandsbehafteten Ingress hinzu, um Verbindungen von der Quelle zur Autonomous Database-Instanz zuzulassen. Setzen Sie die Quelle auf den Adressbereich, für den Sie Verbindungen zur Datenbank zulassen möchten, das IP-Protokoll auf TCP und den Zielportbereich auf 1522.

• Für die TLS-Authentifizierung fügen Sie für zustandsbehafteten Ingress eine Regel hinzu, um Verbindungen von der Quelle zur Autonomous Database-Instanz zuzulassen. Die Quelle ist auf den Adressbereich gesetzt, für die Sie eine Verbindung zur Datenbank zulassen möchten, das IP-Protokoll ist auf TCP und der Zielportbereich ist auf 1521 oder 1522 gesetzt.

• Um Oracle APEX, Database Actions und Oracle REST Data Services zu verwenden, fügen Sie der NSG-Regel den Port 443 hinzu.

Die folgende Abbildung zeigt ein Beispiel für eine zustandsbehaftete Sicherheitsregel zur Kontrolle des Traffics für die Autonomous Database-Instanz:

Die Anwendung, die eine Verbindung zur autonomen Datenbank herstellt, wird auf einer VM in SUBNET B ausgeführt. Fügen Sie auch eine Sicherheitsregel hinzu, um Traffic zur und von der VM zuzulassen (wie gezeigt mit dem Label "NSG 2 - Sicherheitsregeln"). Sie können eine zustandsbehaftete Sicherheitsregel für die VM verwenden. Fügen Sie dazu eine Regel für Egress zu "NSG 2 - Sicherheitsregeln" hinzu (dies ermöglicht den Zugriff auf das Zielsubnetz A).

Die folgende Abbildung zeigt Beispiele für Sicherheitsregeln, die den Traffic für die VM kontrollieren:

Nachdem Sie die Sicherheitsregeln konfiguriert haben, kann Ihre Anwendung mit dem Clientzugangsdaten-Wallet eine Verbindung zur Autonomous Database-Instanz herstellen. Weitere Informationen finden Sie unter Clientzugangsdaten (Wallets) herunterladen.

Informationen zum Konfigurieren von Netzwerksicherheitsgruppen finden Sie unter Netzwerksicherheitsgruppen.

Demonstriert, wie Sie von Ihrem On-Premise-Data Center eine private Verbindung zu einer autonomen Datenbank herstellen. In diesem Szenario wird Traffic nicht über das öffentliche Internet übertragen.

Um eine Verbindung von Ihrem Data Center herzustellen, verbinden Sie das On-Premise-Netzwerk mit FastConnect mit dem VCN, und richten Sie dann ein dynamisches Routinggateway (DRG) ein. Um den privaten Autonomous Database-Endpunkt in einen vollqualifizierter Domainname (FQDN) aufzulösen, müssen Sie einen Eintrag in der Hostdatei des On-Premise-Clients hinzufügen. Beispiel: Datei /etc/hosts für Linux-Rechner. Beispiel:

/etc/hosts entry -> 10.0.2.7 example.adb.ca-toronto-1.oraclecloud.com

Um Oracle APEX, Database Actions und Oracle REST Data Services zu verwenden, fügen Sie einen weiteren Eintrag mit derselben IP hinzu. Beispiel:

/etc/hosts entry -> 10.0.2.7 example.adb.ca-toronto-1.oraclecloudapps.com

Sie finden die IP-Adresse und den FQDN des privaten Endpunkts wie folgt:

• Die private IP-Adresse wird in der Oracle Cloud Infrastructure-Konsole auf der Seite "Details der autonomen Datenbank" für die Instanz angezeigt.

• Der FQDN wird in der Datei tnsnames.ora im Clientzugangsdaten-Wallet der autonomen Datenbank angezeigt.

Alternativ können Sie das private DNS von Oracle Cloud Infrastructure verwenden, um die DNS-Namensauflösung bereitzustellen. Weitere Informationen finden Sie unter Privates DNS.

In diesem Beispiel befindet sich ein dynamisches Routinggateway (DRG) zwischen dem On-Premise-Data Center und "Ihr VCN". Das VCN enthält die autonome Datenbank. Außerdem wird eine Routentabelle für das mit der autonomen Datenbank verknüpfte VCN für ausgehenden Traffic zu CIDR 172.16.0.0/16 über das DRG angezeigt.

Definieren Sie neben dem DRG auch eine Netzwerksicherheitsgruppen-(NSG-)Regel, um Traffic zur und von der autonomen Datenbank zuzulassen. Fügen Sie dazu eine Regel für den Data Center-CIDR-Bereich (172.16.0.0/16) hinzu. Definieren Sie in diesem Beispiel wie folgt eine Sicherheitsregel in "NSG 1":

• Erstellen Sie für gegenseitige TLS-Authentifizierung eine zustandsbehaftete Regel, um Ingress-Traffic vom Data Center zuzulassen. Dies ist eine Regel für zustandsbehafteten Ingress, bei der die Quelle dem Adressbereich entspricht, für den Sie die Verbindung zur Datenbank herstellen möchten, mit dem Protokoll auf TCP, dem Quellportbereich auf den CIDR-Bereich (172.16.0.0/16) und dem Zielport auf 1522.

• Erstellen Sie für die TLS-Authentifizierung eine Regel für zustandsbehafteten Traffic, um Ingress-Traffic vom Data Center zuzulassen. Dies ist eine Regel mit zustandsbehaftetem Ingress, bei der das Quellset auf den Adressbereich gesetzt ist, den Sie Verbindungen zur Datenbank zulassen möchten, das Protokoll auf TCP, der Quellportbereich auf den CIDR-Bereich (172.16.0.0/16) und den Zielport auf 1521 oder 1522 gesetzt.

• Um Oracle APEX, Database Actions und Oracle REST Data Services zu verwenden, fügen Sie der NSG-Regel den Port 443 hinzu.

Die folgende Abbildung zeigt die Sicherheitsregel, die den Traffic für die Autonomous Database-Instanz kontrolliert:

Nachdem Sie die Sicherheitsregel konfiguriert haben, kann die On-Premise-Datenbankanwendung mit dem Clientzugangsdaten-Wallet eine Verbindung zur Autonomous Database-Instanz herstellen. Weitere Informationen finden Sie unter Clientzugangsdaten (Wallets) herunterladen.