Mandanten konfigurieren

Bevor Sie mit den Globally Distributed Database-Services von Oracle eine verteilte Datenbank erstellen und verwalten können, müssen Sie diese vorbereitenden Aufgaben ausführen, um Ihren Mandanten zu organisieren, Policys für die verschiedenen Ressourcen zu erstellen und dann die Netzwerk-, Sicherheits- und Infrastrukturressourcen zu beschaffen und zu konfigurieren.

Aufgabe 1. Region Ashburn abonnieren

Abonnieren Sie als Mandantenadministrator die Ashburn-(IAD-)Region und alle Regionen, die zum Ausführen der Implementierung Ihrer Globally Distributed Exadata Database on Exascale-Infrastruktur erforderlich sind.

  1. Abonnieren Sie die Region Ashburn (IAD).

    • Um den Service zu verwenden, müssen Sie die Region Ashburn abonnieren.

    • Die Hauptregion Ihres Mandanten muss nicht die Region Ashburn sein. Sie müssen jedoch die Region Ashburn abonnieren, um die Globally Distributed Database-Services von Oracle zu verwenden.

  2. Abonnieren Sie jede andere Region, in der Sie eine Datenbank platzieren.

    • Abonnieren Sie alle Regionen, in denen Sie Datenbanken für Ihre Implementierung platzieren möchten. Dazu gehören Datenbanken für den Katalog, Shards und optionale Oracle Data Guard-Standbydatenbank für den Katalog.

      Hinweis: Globally Distributed Exadata Database on Exascale Infrastructure unterstützt nur das Erstellen von Shards in zwei Regionen. Um die beste Performance zu erzielen, sollten verteilte Datenbanken, die Raft-Replikation verwenden, Shards in derselben Region aufweisen.

Weitere Informationen finden Sie unter Regionen verwalten.

Aufgabe 2. Compartments erstellen

Erstellen Sie als Mandantenadministrator Compartments in Ihrem Mandanten für alle Ressourcen, die für den Oracle Globally Distributed Exadata Database on Exascale Infrastructure-Service erforderlich sind.

Oracle empfiehlt die folgende Struktur, und diese Compartments werden bei den Setupaufgaben referenziert:

Die resultierende Compartment-Struktur sieht ungefähr wie folgt aus:

tenant /
     gdd /
          gdd_certs_vaults_keys
          gdd_databases
          gdd_instances

Weitere Informationen finden Sie unter Mit Compartments arbeiten.

Aufgabe 3. Benutzerzugriffs-Constraints erstellen

Formulieren Sie einen Zugriffskontrollplan, und richten Sie ihn dann ein, indem Sie entsprechende IAM-(Identity and Access Management-)Ressourcen erstellen. Dementsprechend wird die Zugriffskontrolle innerhalb einer verteilten Datenbank auf verschiedenen Ebenen implementiert, die von den Gruppen und Policys hier definiert werden.

Die in den folgenden Tabellen beschriebenen Benutzergruppen, dynamischen Gruppen und Policys sollten die Erstellung eines eigenen Benutzerzugriffskontrollplans für die Implementierung der verteilten Datenbank steuern.

Erstellen Sie als Mandantenadministrator die folgenden empfohlenen Gruppen, dynamischen Gruppen und Policys, um den zuvor definierten Rollen Berechtigungen zu erteilen. Bei den Beispielen und Dokumentationslinks wird davon ausgegangen, dass Ihr Mandant Identitätsdomains verwendet.

Erläuterungen zur Rollentrennung

Sie müssen sicherstellen, dass Ihre Cloud-Benutzer nur die zum Ausführen ihrer Jobaufgaben erforderlichen Cloud-Ressourcen verwenden und erstellen. Als Best Practice wird empfohlen, Rollen für die Rollentrennung zu definieren.

Die in der folgenden Tabelle beschriebenen Rollen und Zuständigkeiten sollen Ihnen dabei helfen, Benutzergruppen, dynamische Gruppen und Policys für Ihre Distributed ExaDB-XS-Implementierung zu definieren. Die hier dargestellten Beispielrollen werden während des Umgebungssetups, der Ressourcenerstellung und der Managementanweisungen verwendet.

Rollen Responsibilitys
Mandantenadministrator

Regionen abonnieren

Compartments erstellt

Dynamische Gruppen, Benutzergruppen und Policys erstellen
Infrastrukturadministrator

virtual-network-family erstellen/aktualisieren/löschen

Exadata-Infrastruktur erstellen/aktualisieren/löschen

Exadata-VM-Cluster erstellen/aktualisieren/löschen

Exadata-VM-Cluster taggen

Private Endpunkte einer global verteilten Datenbank erstellen/aktualisieren/löschen
Zertifikatsadministrator

Vault erstellen/aktualisieren/löschen

Schlüssel erstellen/aktualisieren/löschen

Benutzer Globally Distributed Databases mit UI und APIs erstellen und verwalten

Dynamische Gruppen

Erstellen Sie die folgenden dynamischen Gruppen, um den Zugriff auf Ressourcen zu kontrollieren, die in den Oracle Globally Distributed Exadata Database on Exascale Infrastructure-Compartments erstellt wurden.

Anweisungen finden Sie unter Dynamische Gruppe erstellen.

Name der dynamischen Gruppe Beschreibung Regeln
gdd-cas-dg Certificate Authority-Ressourcen

Alle

resource.type='certificateauthority'

resource.compartment.id = 'OCID des Compartment-Mandanten-Root/gdd/gdd_certs_vaults_keys'
gdd-cluster-dg Exadata-Datenbank-VM-Clusterressourcen

Alle

resource.compartment.id = "OCID des Compartment-Mandanten-Root/gdd/gd_databases"
gdd-instances-dg Compute-Instanzressourcen

Alle

resource.compartment.id = 'OCID des Compartment-Mandanten-Root/gdd/gd_instances'

Benutzergruppen

Erstellen Sie die folgenden Gruppen, um Benutzern Berechtigungen zur Verwendung von Ressourcen in den Compartments für global verteilte Datenbanken zu erteilen.

Anweisungen finden Sie unter Gruppe erstellen.

Name der Benutzergruppe Beschreibung
gdd-certificate-admins Zertifikatsadministratoren, die Schlüssel und Vaults erstellen und verwalten.
gdd-infrastructure-admins Infrastrukturadministratoren, die Cloud-Netzwerk- und Infrastrukturressourcen erstellen und verwalten
gdd-Benutzer Benutzer, die Globally Distributed Database-Ressourcen mit APIs und UI erstellen und verwalten

Policys

Erstellen Sie IAM-Policys, um den Gruppen Zugriff auf Ressourcen zu erteilen, die in den Compartments für Ihren Oracle Globally Distributed Exadata Database on Exascale Infrastructure-Mandanten erstellt wurden.

Beachten Sie, dass mehr als ein Globally Distributed Database-Service in Oracle Cloud vorhanden ist. Diese Policys sind spezifisch für den Globally Distributed Exadata Database on Exascale Infrastructure-Service.

Die folgenden Beispiel-Policys, die auf der Compartment-Struktur und den zuvor erstellten Gruppen basieren, sollten die Erstellung Ihrer eigenen IAM-Policys für Ihre Implementierung steuern.

Die Identitätsdomain (z.B. Standard) muss die Identitätsdomain sein, in der Sie die Gruppen erstellt haben.

Anweisungen finden Sie unter Policy erstellen.

gdd-certificate-admins-tenant-level

gdd-infrastructure-admins-tenant-level

gdd-users-tenant-level

gdd-certificate-admins

gdd-infrastructure-admins

gdd-Benutzer

gdd-dg-cas

gdd-dg-Cluster

gdd-kms

Aufgabe 4. Netzwerkressourcen konfigurieren

Erstellen Sie als Infrastrukturadministrator die Netzwerkressourcen, und aktivieren Sie die Konnektivität, die von der verteilten Datenbank benötigt wird.

Beispielressourcen werden in diesen Anweisungen benannt, um das Tracking und die Beziehungen zu vereinfachen. Beispiel: Der Name gdd_iad verweist auf das VCN, das in der Region Ashburn (IAD) erstellt wurde.

Allgemeine Netzwerkressourcen

Für alle Globally Distributed Exadata Database on Exascale Infrastructure-(Distributed ExaDB-XS-)Implementierungen sind ein VCN, ein Subnetz und ein privater Endpunkt in der Region Ashburn (IAD) erforderlich.

Erstellen Sie als Infrastrukturadministrator die Ressourcen wie hier beschrieben.

Subnetz für virtuelles Cloud-Netzwerk (VCN)+

Erstellen Sie in Ashburn (IAD) VCN gdd_iad und Subnetz gdd_subnet.

Dieses VCN und Subnetz sind erforderlich, um die Konnektivität zwischen dem Distributed ExaDB-XS-Service und Datenbanken in der Topologie zu ermöglichen.

Verwenden Sie die folgenden Werte:

Schritte zum Erstellen finden Sie unter VCNs und Subnetze.

Privater Endpunkt

Erstellen Sie einen privaten Endpunkt in der Region Ashburn (IAD), um die Konnektivität zwischen dem Distributed ExaDB-XS-Service und den Datenbanken in der Topologie zu ermöglichen.

  1. Öffnen Sie das Navigationsmenü, wählen Sie Oracle AI Database und dann Global verteilte Exadata-Datenbank auf Exascale-Infrastruktur aus.

  2. Wählen Sie Private Endpunkte im Navigationsbereich aus.

  3. Wählen Sie Privaten Endpunkt erstellen aus.

  4. Geben Sie folgende Informationen ein.

    • Name: Beispiel: gdd_pe

    • Compartment: gdd/gdd_databases

      Dies sollte das Compartment sein, das das oben erstellte Ashburn-Regionssubnetz enthält.

    • Subnetz: gdd_subnet

      Wenn das Subnetz nicht aufgeführt wird, prüfen Sie, ob es als regionales Subnetz erstellt wurde.

    • virtuelles Cloud-Netzwerk: gdd_iad

  5. Tags hinzufügen (optional): Sie können Tags für diese Ressource auswählen, indem Sie Taggingoptionen anzeigen auswählen.

Weitere Informationen zu dieser Ressource finden Sie unter Private Endpunkte erstellen und verwalten.

Zusätzliche Netzwerkressourcen basierend auf Ihrer Topologie

Erstellen Sie je nach Topologie Ihrer Oracle Globally Distributed Exadata Database on Exascale Infrastructure zusätzliche Netzwerkressourcen, wie unten beschrieben.

Beachten Sie, dass Datenbanken für die Topologie den Katalog, die Shards und die optionale Oracle Data Guard-Standbydatenbank für den Katalog enthalten.

Alle Netzwerkressourcen müssen im Compartment "gdd/gdd_databases" erstellt werden.

Alle Datenbanken befinden sich in der Region Ashburn (IAD)

Erstellen Sie ein Subnetz und ein Servicegateway in der Ashburn-(IAD-)Region für Ihre Cloud-Exadata-Datenbank-VM-Cluster.

Erforderliches Peering: Keine

Erforderliche Konnektivität: Uneingeschränkte Konnektivität mit Subnetz gdd_subnet

Alle Datenbanken befinden sich in einer einzigen Region, R1, also nicht in Ashburn (IAD)

Erstellen Sie ein Subnetz und ein Servicegateway in der Region für Ihre Cloud-Exadata-Datenbank-VM-Cluster.

Erforderliches Peering: gdd_iad ↔ gdd_R1

Erforderliche Konnektivität: uneingeschränkt zwischen gdd_iad.gdd_subnet und gdd_R1.osd-database-subnet-R1

Datenbanken befinden sich in mehreren Regionen R1, R2, …, RN

Erstellen Sie Subnetze und Servicegateways in jeder Region für Ihre Cloud-Exadata-Datenbank-VM-Cluster.

Subnetz:

Servicegateways:

Erforderliches Peering:

Erforderliche Konnektivität: uneingeschränkt und bidirektional zwischen gdd_iad.gdd_subnet und:

Unbeschränkt und bidirektional zwischen gdd_R1.osd-database-subnet-R1 und:

Unbeschränkt und bidirektional zwischen gdd_R2.osd-database-subnet-R2 und gdd_Rn.osd-database-subnet-Rn

Hinweis: Die Service Control Plane von Oracle Globally Distributed Exadata Database on Exascale Infrastructure ist nur in der Region Ashburn (IAD) vorhanden. Der private Endpunkt, den Sie in einem vorherigen Schritt in der Region Ashburn (IAD) erstellt haben, wird für die Kommunikation mit den verteilten Datenbankressourcen in den jeweiligen Regionen verwendet.

Anweisungen zum Erstellen der Ressourcen finden Sie unter:

Aufgabe 5. Sicherheitsressourcen konfigurieren

Alle Sicherheitsressourcen werden im Compartment gdd/gdd_certs_vaults_keys erstellt.

Achtung: Nachdem Sie eine verteilte Datenbank erstellt haben, die einen Schlüssel referenziert, können Sie den Vault oder die Schlüssel nicht in ein neues Compartment verschieben, ohne auch die Containerdatenbanken neu zu starten, die den verschobenen Vault oder Schlüssel referenzieren.

Vaults erstellen

Erstellen Sie einen Vault im Compartment gdd/gdd_certs_vaults_keys für die Masterverschlüsselungsschlüssel der TDE-(Transparent Data Encryption-)Master in der Region, in der sich die Shard-Datenbanken befinden.

Beispiel: Erstellen Sie in Region R1 den Vault gdd_vault_R1.

Einzelheiten zum Erstellen eines Vaults finden Sie unter Vault erstellen.

TDE-Schlüssel erstellen

Erstellen Sie den Masterverschlüsselungsschlüssel, um auf die Datenbank zuzugreifen.

Beispiel: Erstellen Sie den Masterverschlüsselungsschlüssel gdd_TDE_key-oraspace in Vault gdd_vault_R1 mit den folgenden Attributen.

Weitere Informationen zum Erstellen von Masterverschlüsselungsschlüsseln finden Sie unter Masterverschlüsselungsschlüssel erstellen.

Aufgabe 6. Exadata-Ressourcen erstellen

Konfigurieren Sie als Infrastrukturadministrator die Oracle Globally Distributed Exadata Database on Exascale Infrastructure-Topologie in den folgenden Schritten.

Oracle-ApplicationName-Tag-Namespace importieren

Importieren Sie den Tag-Namespace Oracle-ApplicationName im Root Compartment Ihres Mandanten.

  1. Wählen Sie im Navigationsmenü der Cloud-Konsole Governance und Administration, Tag-Namespaces (unter der Kategorie "Mandantenmanagement") aus.

  2. Prüfen Sie im Bereich "Tag-Namespaces", ob der Namespace Oracle-ApplicationName im Root Compartment Ihres Mandanten vorhanden ist.

    Stellen Sie sicher, dass das Root Compartment Ihres Mandanten unter Listengeltungsbereich ausgewählt ist.

  3. Wenn Oracle-ApplicationName nicht in der Liste angezeigt wird, gehen Sie wie folgt vor:

    1. Wählen Sie Standardtags importieren (über der Liste).

    2. Aktivieren Sie das Kontrollkästchen neben dem Namespace Oracle-ApplicationName, und wählen Sie Importieren aus.

Exadata-VM-Cluster auf Exascale-Infrastruktur erstellen

Erstellen Sie ein VM-Cluster mit dem Exadata Database Service on Exascale Infrastructure-Service für die Katalogdatenbank, die optionale Data Guard-Standbykatalogdatenbank und jede Shard-Datenbank, die Sie in der Distributed ExaDB-XS-Topologie bereitstellen möchten.

Verwenden Sie beim Erstellen der VM-Cluster die folgenden Anforderungen und Empfehlungen:

Die Schritte zum Erstellen der Cluster finden Sie unter VM-Cluster verwalten.

(Optional) API-Schlüssel und Benutzer-Constraints erstellen

Erstellen Sie ein OCI-API-Schlüsselpaar, wenn Sie die Globally Distributed Database-REST-API, OCI-Softwareentwicklungskits und die Befehlszeilenschnittstelle direkt verwenden möchten.

Befolgen Sie die Anweisungen unter Erforderliche Schlüssel und OCIDs.

Wenn Sie Benutzersteuerungen für die APIs festlegen möchten, finden Sie weitere Informationen unter Berechtigungen für APIs für global verteilte Datenbanken.