Oracle Cloud Infrastructure-Anforderungen

• Sie müssen bestätigen, dass Sie Ihre Oracle Cloud Infrastructure-Umgebung bereits korrekt eingerichtet haben, wie unter Oracle Cloud Infrastructure für Management Agent Service einrichten beschrieben.

Unterstützte Betriebssysteme

Betriebssystemanforderungen

• Mindestanforderung für Datenträger: 300 MB Speicherplatz und weitere 100 MB für den Download der Management Gateway-Software.

  Außerdem ist Speicherplatz für das Schreiben von gepufferten Nachrichten auf den Datenträger erforderlich. Dieser Bereich muss über mindestens 1 GB freien Speicherplatz verfügen.

• Ein Benutzer mit sudo-Berechtigungen, der für die Installation der Management Gateway-Software auf dem Host verantwortlich ist.

• Vor der Installation der Management Gateway-Software muss Java Development Kit (JDK) oder Java Runtime Environment (JRE) auf dem Host installiert werden.

  Stellen Sie sicher, dass Sie JDK oder JRE Version 1.8u281 oder höher heruntergeladen und installiert haben, bevor Sie den Installationsprozess der Management Gateway-Software starten. Siehe Java-Downloads.

• Management Gateway erfordert einen dedizierten Host. Wenn Management Agent bereits auf dem Host installiert ist, installieren Sie Management Gateway auf einem anderen, dedizierten Host.

• Stellen Sie sicher, dass für /tmp das Kennzeichen noexec nicht gesetzt ist, wenn Sie es mounten.

Netzwerkvoraussetzungen

• Wenn Ihr Netzwerksetup eine Firewall enthält, stellen Sie sicher, dass die HTTPS-Kommunikation (Port 443) von dem Host, auf dem das Management Gateway bereitgestellt wird, zu den entsprechenden Oracle Cloud Infrastructure-Domains zulässig ist. Die relevante Domain ist von der Realm abhängig. Beispiel: Management-Agents in der kommerziellen Realm OC1 von Oracle Cloud Infrastructure müssen eine Verbindung zur Domain *.oraclecloud.com herstellen.

  Oracle Cloud Infrastructure wird in Regionen gehostet. Regionen sind in Realms gruppiert. Ihr Mandant befindet sich in einer einzelnen Realm und hat Zugriff auf alle Regionen, die zu dieser Realm gehören. Sie können nicht auf Regionen zugreifen, die sich nicht in Ihrer Realm befinden. Derzeit verfügt Oracle Cloud Infrastructure über mehrere Realms. Weitere Informationen zu Regionen und Realms finden Sie unter Regionen und Availability-Domains.

  Jedes Gateway gehört zu einem bestimmten OCI-Compartment. Alle Agents, die über ein Gateway verbunden sind, müssen sich in demselben Compartment wie dieses Gateway befinden.

  Sie können die Konnektivität mit dem Data Center mit einem beliebigen Netzwerkkonnektivitätstool prüfen.

  Informationen zu den IP-Adressbereichen für Services, die in Oracle Cloud Infrastructure bereitgestellt sind, finden Sie unter IP-Adressbereiche.

  In der folgenden Beispieltabelle sind die Ports aufgeführt, die für die Kommunikation geöffnet sein müssen.

  Richtung	Port	Protokoll	Grund
  Management Gateway-Host nach extern	443	HTTPS	Kommunikation mit Oracle Cloud Infrastructure-Services.

Ab Management Agent-Version 221019.0021 und Management Gateway-Version 221019.0021.1667404647 erfordert die Kommunikation zwischen Agent, Gateway und OCI Zertifikate. Die Zertifikate und andere erforderliche Entitys werden automatisch erstellt, aber bestimmte OCI-Policys müssen dafür eingerichtet werden.

Es stehen zwei Optionen zur Verfügung:

Automatische Zertifikatserstellung (empfohlen)

Dies ist die empfohlene Methode zum Erstellen von Zertifikaten.

Wenn der Parameter GatewayCertOcid nicht in der Antwortdatei festgelegt ist, versucht das Management Gateway, die erforderlichen Zertifikate und andere erforderliche Entitys automatisch zu erstellen.

Wenn das Managementgateway im High-Availability-Modus konfiguriert ist und sich der Load Balancer und das Managementgateway in verschiedenen Domains befinden, finden Sie weitere Informationen unter High Availability von Advanced Configuration Management Gateway.

Erforderliche dynamische Gruppen:

Sie müssen dynamische Gruppen in der Identitätsdomain default erstellen. Weitere Informationen finden Sie unter Themen für Identitätsdomains.

1. Erstellen Sie Credential_Dynamic_Group mit der folgenden Regel:

   ALL  {resource.type='certificateauthority', resource.compartment.id='<>'}  

2. Erstellen Sie Management_Gateway_Dynamic_Group mit der folgenden Regel:

   ALL {resource.type='managementagent', resource.compartment.id='<>'} 

Erforderliche Policys:

Allow DYNAMIC-GROUP Credential_Dynamic_Group to USE certificate-authority-delegates in compartment <>

Allow DYNAMIC-GROUP Credential_Dynamic_Group to USE vaults in compartment <>

Allow DYNAMIC-GROUP Credential_Dynamic_Group to USE keys in compartment <>

Allow DYNAMIC-GROUP Management_Gateway_Dynamic_Group to READ certificate-authority-bundle in compartment <>

Allow DYNAMIC-GROUP Management_Gateway_Dynamic_Group to READ leaf-certificate-bundle in compartment <>

Allow DYNAMIC-GROUP Management_Gateway_Dynamic_Group to MANAGE certificate-authorities in compartment <> where  any{request.permission='CERTIFICATE_AUTHORITY_CREATE', request.permission='CERTIFICATE_AUTHORITY_INSPECT', request.permission='CERTIFICATE_AUTHORITY_READ'} 

Allow DYNAMIC-GROUP Management_Gateway_Dynamic_Group to MANAGE leaf-certificates in compartment <> where  any{request.permission='CERTIFICATE_CREATE', request.permission='CERTIFICATE_INSPECT', request.permission ='CERTIFICATE_UPDATE', request.permission='CERTIFICATE_READ'}

Allow DYNAMIC-GROUP Management_Gateway_Dynamic_Group to MANAGE vaults in compartment <> where any{request.permission='VAULT_CREATE', request.permission='VAULT_INSPECT', request.permission='VAULT_READ', request.permission='VAULT_CREATE_KEY', request.permission='VAULT_IMPORT_KEY', request.permission='VAULT_CREATE_SECRET'} 

Allow DYNAMIC-GROUP Management_Gateway_Dynamic_Group to MANAGE keys in compartment <> where any{request.permission='KEY_CREATE', request.permission='KEY_INSPECT', request.permission='KEY_READ'} 

Allow DYNAMIC-GROUP Management_Gateway_Dynamic_Group to USE certificate-authority-delegates in compartment <>

Allow DYNAMIC-GROUP Management_Gateway_Dynamic_Group to USE key-delegate in compartment <> 

Allow DYNAMIC-GROUP Management_Gateway_Dynamic_Group TO MANAGE leaf-certificates in compartment <> where all{request.permission='CERTIFICATE_DELETE', target.leaf-certificate.name=request.principal.id} 

Wenn die dynamischen Gruppen zuvor in den Nicht-Standarddomains erstellt wurden, müssen sich alle Policys ändern.

Um die Policys in die Nicht-Standardidentitätsdomain zu ändern, ändern Sie alle oben genannten Policys mit der folgenden Syntax.

Allow DYNAMIC-GROUP <Domain Name>/Credential_Dynamic_Group to USE certificate-authority-delegates in compartment <>

Allow DYNAMIC-GROUP <Domain Name>/Management_Gateway_Dynamic_Group to READ certificate-authority-bundle in compartment <>

Manuelle Zertifikatverwaltung

Zertifikate können manuell eingerichtet werden. Der Administrator kann über die OCI-Konsole ein Zertifikat erstellen. Danach geben Sie die OCID dieses Zertifikats in der Antwortdatei mit dem Parameter GatewayCertOcid an.

Informationen zum Erstellen eines Zertifikats finden Sie unter Überblick über Certificate.htm.

Erforderliche dynamische Gruppen:

1. Erstellen Sie Credential_Dynamic_Group mit der folgenden Regel:

   ALL  {resource.type='certificateauthority', resource.compartment.id='<>'}  

2. Erstellen Sie Management_Gateway_Dynamic_Group mit der folgenden Regel:

   ALL {resource.type='managementagent', resource.compartment.id='<>'} 

Erforderliche Policys:

Allow DYNAMIC-GROUP Management_Gateway_Dynamic_Group to READ certificate-authority-bundle in compartment <>
Allow DYNAMIC-GROUP Management_Gateway_Dynamic_Group to READ leaf-certificate-bundle in compartment <>

Wenn Sie eine Compute-Instanz verwenden, können Sie das Management Agent-Plug-in über die Oracle Cloud Agent-Funktionen aktivieren.

Bevor Sie fortfahren, bestätigen Sie, dass Sie die Voraussetzungen erfüllt haben. Weitere Informationen finden Sie unter Voraussetzungsprüfungen für das Deployment von Management-Agents auf Compute-Instanzen ausführen.

Management Agents aktivieren

Management-Agents mit der Konsole aktivieren

Weitere Informationen finden Sie unter Plug-ins mit der Konsole verwalten.

Management-Agents mit der Compute-API aktivieren

Informationen zur Verwendung der API finden Sie unter REST-APIs.

Informationen zu SDKs finden Sie unter Software Development Kits und Befehlszeilenschnittstelle (CLI).

... 
    .agentConfig(LaunchInstanceAgentConfigDetails.builder()
			.isMonitoringDisabled(false)
			.isManagementDisabled(true)
			.areAllPluginsDisabled(false)
			.pluginsConfig(new ArrayList<>(Arrays.asList(InstanceAgentPluginConfigDetails.builder()
					.name("Management Agent")   
					.desiredState(InstanceAgentPluginConfigDetails.DesiredState.Enabled).build()))).build())
...

Dabei gibt .name("Management Agent") an, dass der Vorgang für das Management Agent-Plug-in gilt, und .desiredState(InstanceAgentPluginConfigDetails.DesiredState.Enabled).build()))).build()) gibt an, dass der Management Agent aktiviert werden soll.

Weitere Informationen finden Sie unter Plug-ins mit der API verwalten.

So konfigurieren Sie Management Gateway für einen Management Agent, der auf einer Oracle Cloud Compute-Instanz aktiviert ist: