TCS BaNCS auf Oracle Cloud Infrastructure mit Exadata Cloud Service bereitstellen
Die BaNCS-Anwendungen sind für den täglichen Betrieb vieler Finanzinstitute von entscheidender Bedeutung. Sie können in einer Größenordnung bereitgestellt werden, die bis zu Milliarden von Konten und Hunderte von Millionen von Transaktionen pro Tag unterstützt. Diese Systeme müssen in einer Weise implementiert werden, die ein Höchstmaß an Sicherheit, Zuverlässigkeit und Leistung bietet, um die Anforderungen jedes Unternehmens zu erfüllen und auch die strengen Anforderungen seiner lokalen Finanzdienstleistungsaufsichtsbehörden zu erfüllen.
Oracle Cloud Infrastructure (OCI) ist die ideale Plattform zum Hosten von BaNCS-Anwendungen. Die OCI-Services und die zugrunde liegende Data-Center-Technologie wurden speziell für die Ausführung geschäftskritischer Systeme wie BaNCS entwickelt und optimiert. OCI verfügt in vielen Ländern über mehrere Regionen, die es Unternehmen ermöglichen, geografisch isolierte Disaster Recovery-(DR-)Architekturmuster zu konfigurieren und die Daten für die Einhaltung gesetzlicher Vorschriften innerhalb geografischer Grenzen zu halten. Darüber hinaus bietet OCI eine Reihe von Datenbankoptionen, darunter den hochoptimierten Exadata-Datenbankservice, der die resilienteste und leistungsstärkste Option für ein Transaktionssystem wie BaNCS ist.
In dieser Referenzarchitektur wird beschrieben, wie Sie BaNCS auf OCI bereitstellen, indem Sie Disaster Recovery mit mehreren Regionen und den Exadata-Datenbankservice nutzen.
Architektur
Das folgende Diagramm veranschaulicht diese Referenzarchitektur für eine Produktions- und Disaster Recovery-Umgebung BaNCS. Um das Diagramm zu vereinfachen, wurden die Nicht-Produktionsumgebungen nicht dargestellt. Diese Umgebungen folgen dem gleichen Designmuster und werden in einem eigenen isolierten Netzwerk enthalten sein.
Detaillierte Beschreibungen der verschiedenen Lösungskomponenten folgen nach dem Diagramm.
Beschreibung der Abbildung bancs-ref-architecture-no-fd.png
bancs-ref-architecture-no-fd-oracle.zip
- Tenancy
Ein Mandant ist eine sichere und isolierte Partition, die Oracle bei der Registrierung für OCI in Oracle Cloud einrichtet. Sie können Ihre Ressourcen in Oracle Cloud in Ihrem Mandanten erstellen, organisieren und verwalten.
Ein Mandant ist ein Synonym für ein Unternehmen oder eine Organisation. In der Regel verfügt ein Unternehmen über einen einzigen Mandanten und spiegelt seine Organisationsstruktur innerhalb dieses Mandanten wider. Ein einzelner Mandant ist in der Regel mit einem einzelnen Abonnement verknüpft, und ein einzelnes Abonnement hat in der Regel nur einen Mandanten. Ein Unternehmen kann sich entscheiden, seine OCI-Ressourcen, -Umgebungen oder -Anwendungen auf mehrere Mandanten aufzuteilen, wenn es dies wünscht. Die Mandanten können verknüpft und Netzwerke bei Bedarf mandantenübergreifend per Peering verbunden werden. Für das Design dieser BaNCS-Lösung wurde ein einzelner Mandant verwendet, und das OCI-Konzept von Compartments (siehe unten) wurde verwendet, um eine fein granulierte Isolation und Zugriffskontrolle für die verschiedenen Lösungskomponenten bereitzustellen.
- Region
Eine OCI-Region ist ein lokalisierter geografischer Bereich, der mindestens ein Data Center enthält, das als Availability-Domain bezeichnet wird. Regionen sind unabhängig von anderen Regionen, und große Entfernungen können sie trennen (über Länder oder sogar Kontinente). In dieser Lösung werden zwei Regionen verwendet, um einen Disaster Recovery-Standort bereitzustellen, der geografisch vom primären Standort isoliert ist.
- Compartment
Compartments sind regionsübergreifende logische Partitionen innerhalb eines OCI-Mandanten. Mit Compartments können Sie Ihre Ressourcen in Oracle Cloud organisieren, den Zugriff auf die Ressourcen kontrollieren und Nutzungs-Quotas festlegen. Um den Zugriff auf die Ressourcen in einem bestimmten Compartment zu kontrollieren, definieren Sie Policys, mit denen angegeben wird, wer auf die Ressourcen zugreifen kann und welche Aktionen sie ausführen können.
- Availability-Domains
Availability-Domains sind eigenständige, unabhängige Data Center innerhalb einer Region. Die physischen Ressourcen in jeder Availability-Domain sind von den Ressourcen in den anderen Availability-Domains isoliert, was eine Fehlertoleranz sicherstellt. Availability-Domains haben keine gemeinsame Infrastruktur wie Stromversorgung oder Kühlung oder das interne Availability-Domainnetzwerk. Daher ist es unwahrscheinlich, dass ein Fehler in einer Availability-Domain Auswirkungen auf die anderen Availability-Domains in der Region hat.
- Faultdomains
Eine Faultdomain ist eine Gruppierung aus Hardware und Infrastruktur innerhalb einer Availability-Domain. Jede Availability-Domain umfasst drei Faultdomains mit unabhängiger Stromversorgung und Hardware. Wenn Sie Ressourcen auf mehrere Faultdomains verteilen, können Ihre Anwendungen physische Serverausfälle, Systemwartungen und Stromausfälle innerhalb einer Faultdomain tolerieren. Für dieses Deployment wird empfohlen, dass die BaNCS-Load Balancer, Netzwerkfirewalls, Web-Tier- und Anwendungs-Tier-VMs in hochverfügbaren Clustern über mehrere Faultdomains hinweg bereitgestellt werden, um die maximale Resilienz für Hardwarefehler sicherzustellen.
- Identity and Access Management (IAM)
Mit OCI Identity and Access Management (IAM) können Sie kontrollieren, wer auf Ihre Ressourcen in OCI zugreifen kann und welche Vorgänge sie für diese Ressourcen ausführen können.
- Policy
Eine OCI-IAM-Policy gibt an, wer auf welche Ressourcen zugreifen kann und wie. Der Zugriff wird auf Gruppen- und Compartment-Ebene erteilt. Sie können also eine Policy schreiben, die einer Gruppe einen bestimmten Zugriffstyp in einem bestimmten Compartment oder dem Mandanten erteilt.
- Virtuelles Cloud-Netzwerk (VCN) und Subnetze
Ein VCN ist ein anpassbares, softwaredefiniertes Netzwerk, das Sie in einer OCI-Region einrichten können. Wie herkömmliche Data Center-Netzwerke erhalten Sie mit VCNs vollständige Kontrolle über Ihre Netzwerkumgebung. Ein VCN kann mehrere sich nicht überschneidende CIDR-Blöcke aufweisen, die Sie nach dem Erstellen des VCN ändern können. Sie können ein VCN in Subnetze segmentieren, die sich auf eine Region oder eine Availability-Domain beschränken. Jedes Subnetz besteht aus einem Bereich zusammenhängender Adressen, die sich nicht mit anderen Subnetzen im VCN überschneiden. Sie können die Größe eines Subnetzes nach der Erstellung ändern. Ein Subnetz kann öffentlich oder privat sein. Diese BaNCS-Referenzarchitektur nutzt mehrere VCN in einer Hub- und Spoke-Topologie. Dies wird im folgenden Abschnitt näher erläutert.
- FastConnect
OCI FastConnect bietet eine einfache Möglichkeit, eine dedizierte, private Verbindung zwischen Ihrem Data Center und OCI herzustellen. FastConnect bietet Optionen mit höherer Bandbreite und ein zuverlässigeres Netzwerkerlebnis im Vergleich zu internetbasierten Verbindungen.
- Site-to-Site-VPN
Site-to-Site VPN bietet IPSec-VPN-Konnektivität zwischen Ihrem On-Premise-Netzwerk und VCNs in OCI. Die IPSec-Protokollsuite verschlüsselt den IP-Traffic, bevor die Pakete von der Quelle zum Ziel übertragen werden, und entschlüsselt den Traffic beim Empfang.
- Dynamisches Routinggateway (DRG)
Das DRG ist ein virtueller Router, der einen Pfad für privaten Netzwerktraffic zwischen einem VCN und einem Netzwerk außerhalb der Region bereitstellt, z.B. ein VCN in einer anderen OCI-Region, ein On-Premise-Netzwerk oder ein Netzwerk in einem anderen Cloud-Provider.
- Lokales Peering-Gateway (LPG)
Mit einem LPG können Sie ein VCN mit einem anderen VCN in derselben Region verknüpfen. Peering bedeutet, dass die VCNs über private IP-Adressen kommunizieren, ohne dass der Traffic über das Internet oder das On-Premise-Netzwerk geleitet wird. Diese Lösung wurde mit einem DRG mit mehreren Anhängen erstellt, um lokales Peering für das Hub- und Spoke-Netzwerk zu erreichen. Es könnte jedoch auch mit lokalen Peering-Gateways erstellt werden.
- Network Address Translation-(NAT-)Gateway
Mit dem NAT-Gateway können private Ressourcen in einem VCN auf Hosts im Internet zugreifen, ohne diese Ressourcen für eingehende Internetverbindungen verfügbar zu machen.
- Servicegateway
Das Servicegateway ermöglicht den Zugriff von einem VCN auf andere Services wie OCI Object Storage. Der Traffic vom VCN zum Oracle-Service wird über die Oracle-Netzwerkstruktur geleitet und durchläuft nie das Internet.
- Sicherheitsliste
Für jedes Subnetz können Sie Sicherheitsregeln erstellen, die Quelle, Ziel und Typ des Traffics angeben, der im Subnetz und aus dem Subnetz zugelassen werden muss.
- Netzwerksicherheitsgruppe (NSG)
NSGs fungieren als virtuelle Firewalls für Ihre Cloud-Ressourcen. Mit dem Zero-Trust-Sicherheitsmodell von OCI wird der gesamte Traffic abgelehnt, und Sie können den Netzwerktraffic in einem VCN kontrollieren. Eine NSG besteht aus einer Gruppe von Ingress- und Egress-Sicherheitsregeln, die nur für eine bestimmte Gruppe von VNICs in einem einzelnen VCN gelten.
- Sicherheitszone
Sicherheitszonen stellen die Best Practices für die Sicherheit von Oracle von Anfang an sicher, indem sie Policys wie die Verschlüsselung von Daten durchsetzen und den öffentlichen Zugriff auf Netzwerke für ein gesamtes Compartment verhindern. Eine Sicherheitszone ist mit einem Compartment mit demselben Namen verknüpft und umfasst Sicherheitszonen-Policys oder ein "Rezept", das für das Compartment und die zugehörigen Sub-Compartments gilt. Sie können kein Standard Compartment in ein Sicherheitszonen-Compartment hinzufügen oder verschieben.
- Compute
Mit OCI Compute können Sie Compute-Hosts in der Cloud bereitstellen und verwalten. Sie können Compute-Instanzen mit Ausprägungen starten, die Ihre Ressourcenanforderungen für CPU, Arbeitsspeicher, Netzwerkbandbreite und Speicher erfüllen. Nach dem Erstellen einer Compute-Instanz können Sie sicher darauf zugreifen, die Compute-Instanz neu starten, Volumes zuordnen und trennen und die Compute-Instanz beenden, wenn Sie sie nicht mehr benötigen. OCI bietet auch die Möglichkeit für Kapazitätsreservierungen für Compute-Ressourcen. Dadurch wird Compute-Kapazität im Voraus reserviert, damit sie immer für Ihre Workloads verfügbar ist, wenn Sie sie benötigen. Sie wird häufig verwendet, um Kapazität in der Disaster-Recovery-Region zu reservieren, um sicherzustellen, dass Sie Ihre DR-Ressourcen im Falle eines Failovers immer bereitstellen und starten können.
- Functions
Oracle Functions ist eine vollständig verwaltete, mehrmandantenfähige, hoch skalierbare On-Demand-Plattform mit Funktionen als Service (FaaS). Es wird von der Open-Source-Engine Fn Project angetrieben. Mit Funktionen können Sie Ihren Code bereitstellen und entweder direkt aufrufen oder als Reaktion auf Ereignisse auslösen. Oracle Functions verwendet Docker-Container, die in der OCI Registry gehostet werden. In dieser Lösung können die Funktionen genutzt werden, um Programme schnell zu erstellen und auszuführen, die Ad-hoc-Anforderungen erfüllen, wie z. B. die Deaktivierung inaktiver Benutzer oder die Prüfung des Backupabschlusses.
- Load Balancer
Der OCI Load Balancing-Service bietet eine automatisierte Trafficverteilung von einem einzelnen Einstiegspunkt auf mehrere Server im Backend.
- Object Storage
Mit Object Storage können Sie schnell auf große Mengen an strukturierten und unstrukturierten Daten eines beliebigen Inhaltstyps zugreifen, einschließlich Datenbankbackups, analytischen Daten und umfangreichen Inhalten wie Bildern und Videos. Sie können Daten sicher und geschützt speichern und dann direkt aus dem Internet oder aus der Cloud-Plattform abrufen. Sie können den Speicher nahtlos skalieren, ohne dass die Performance oder Servicezuverlässigkeit beeinträchtigt wird. Verwenden Sie Standardspeicher für "guten" Speicher, auf den Sie schnell, sofort und häufig zugreifen müssen. Verwenden Sie Archivspeicher für "Cold Storage", den Sie über lange Zeiträume beibehalten und auf den Sie nur selten zugreifen.
- File Storage
Der OCI File Storage-Service stellt ein dauerhaftes, skalierbares, sicheres Netzwerkdateisystem der Unternehmensklasse bereit. Sie können über jede Bare-Metal-, VM- oder Containerinstanz in einem VCN eine Verbindung mit einem File Storage Service-Dateisystem herstellen. Sie können auch von außerhalb des VCN mit OCI FastConnect und IPSec-VPN auf ein Dateisystem zugreifen.
- Exadata-DB-System
Mit Exadata Cloud Service können Sie die Leistungsfähigkeit von Exadata in der Cloud nutzen. Sie können flexible X8M-Systeme bereitstellen, mit denen Sie dem System Datenbank-Compute-Server und Speicherserver je nach Bedarf hinzufügen können. X9M-Systeme bieten RoCE-(RDMA over Converged Ethernet-)Networking für Module mit hoher Bandbreite und geringer Latenz, persistente Speichermodule (PMEM) und intelligente Exadata-Software. Sie können X9M-Systeme mit einer Ausprägung bereitstellen, die einem Quarter-Rack-System X9 entspricht, und dann nach dem Provisioning jederzeit Datenbank- und Speicherserver hinzufügen.
- Oracle-Servicenetzwerk
Das Oracle-Servicenetzwerk (OSN) ist ein konzeptionelles Netzwerk in OCI, das für Oracle-Services reserviert ist. Diese Services verfügen über öffentliche IP-Adressen, die Sie über das Internet erreichen können. Hosts außerhalb von Oracle Cloud können mit OCI FastConnect oder VPN Connect privat auf das OSN zugreifen. Hosts in Ihren VCNs können über ein Servicegateway privat auf den OSN zugreifen.
- Cloud Guard
Mit Oracle Cloud Guard können Sie die Sicherheit Ihrer Ressourcen in OCI überwachen und verwalten. Cloud Guard verwendet Detektorrezepte, die Sie definieren können, um Ihre Ressourcen auf Sicherheitsschwächen zu untersuchen und Operatoren und Benutzer auf riskante Aktivitäten zu überwachen. Wenn eine falsche Konfiguration oder unsichere Aktivität erkannt wird, empfiehlt Cloud Guard Korrekturmaßnahmen und unterstützt Sie bei der Ausführung dieser Aktionen basierend auf Responder-Rezepten, die Sie definieren können.
- Data Guard
Oracle Data Guard umfasst zahlreiche Services, mit denen Sie eine oder mehrere Standbydatenbanken erstellen, verwalten und überwachen können, damit Oracle Produktionsdatenbanken ohne Unterbrechung verfügbar bleiben können. Oracle Data Guard verwaltet diese Standbydatenbanken als Kopien der Produktionsdatenbank. Wenn die Produktionsdatenbank dann aufgrund eines geplanten oder ungeplanten Ausfalls nicht mehr verfügbar ist, kann Oracle Data Guard jede Standbydatenbank in die Produktionsrolle wechseln und so die Ausfallzeit im Zusammenhang mit dem Ausfall minimieren.
- Vault
OCI Vault ermöglicht Ihnen die zentrale Verwaltung der Verschlüsselungsschlüssel, die Ihre Daten schützen, und der Secret-Zugangsdaten, mit denen Sie den Zugriff auf Ihre Ressourcen in der Cloud sichern. In dieser Lösung sind Objekt-, Datei-, Block Storage-Services und der Zertifikatsservice zur Verwaltung ihrer Schlüssel in den Vault-Service integriert.
- Zertifikatsservice
Mit dem OCI-Zertifikate-Service werden TLS-Zertifikate für Load Balancer und Speicherverschlüsselungszertifikate verwaltet.
- DNS-Zonen
Der OCI-DNS-Service ist ein verteiltes Internetsystem, das menschenlesbare Namen (wie oracle.com) IP-Adressen zuordnet. Unternehmen können OCI DNS nutzen, um die Kontinuität des Zugriffs auf die Anwendung BaNCS im Falle eines DR-Ereignisses zu erleichtern.
Empfehlungen
- High Availability (HA) und Disaster Recovery (DR)
Die Anwendung BaNCS erfordert im Allgemeinen die höchste Verfügbarkeitsebene und geografisch isolierte Redundanz. Um die isolierte Redundanz im Falle einer Katastrophe auf regionaler Ebene zu erreichen, wurde diese Lösung auf zwei OCI-Regionen verteilt. In der primären Region wird die Produktionsumgebung gehostet, in der Daten aktiv in der zweiten Region repliziert werden, die nur bei Bedarf aktiviert wird. Um RPO und RTO zu minimieren, können die Dateisysteme der Application Tier vom primären Standort auf den sekundären Standort repliziert werden, indem eine regionsübergreifende Speicherreplikation oder ein Utility wie rsync verwendet wird. Die Datenbank in dieser Lösung ist der OCI-Exadata-Datenbankservice, der mit Oracle Data Guard eine regionsübergreifende Replikation in einer anderen Exadata-Serviceinstanz in der sekundären Region bereitstellt.
Die HA-Fähigkeit wird durch zwei Hauptfunktionen bereitgestellt. Für Kernkomponenten wie Netzwerkfirewall, Load Balancer sowie die Anwendung BaNCS und Webserver sind mehrere virtuelle Maschinen (VMs) in einem Cluster über OCI-Faultdomains hinweg bereitgestellt. Dadurch wird die Geschäftskontinuität gewährleistet, da bei einem Anwendungs- oder Hardwarefehler in einer Availability-Domain immer eine sekundäre Instanz ausgeführt wird. Für die Datenbankebene stellt der Exadata-Datenbankservice mehrere aktive Compute- und Speicherknoten in einem realen Anwendungscluster (RAC) bereit, um Redundanz bereitzustellen.
- Netzwerk
Die in diesem Design verwendete Netzwerkarchitektur basiert auf einer Hub- und Spoke-Topologie, um ein Höchstmaß an Sicherheit und Trennung für die Verwaltung der BaNCS-Anwendungen zu bieten. Gemäß den Best Practices von OCI hostet das zentrale Hub-VCN eine Netzwerkfirewall der Unternehmensklasse und öffentliche oder kundenseitige (externe) Subnetze. Diese Beispiellösung verwendet ein Spoke-VCN für einen Produktions-BaNCS-Anwendungsstack, und ein zusätzliches Spoke-VCN wurde für Anwendungen und Utilitys für das Umgebungsmanagement bereitgestellt. Nicht-Produktionsumgebungen werden auch in ihrem eigenen Spoke-VCN bereitgestellt.
- Datenbank
Dieses Lösungsdesign basiert auf der Oracle-Datenbank, die auf dem Exadata-Cloud-Service ausgeführt wird. Diese Option wurde gewählt, um ein Höchstmaß an Performance und Verfügbarkeit zu bieten, da die Anwendung BaNCS ein kritisches Geschäftssystem ist. Die Datenbankkonfiguration umfasst RAC und Data Guard gemäß der Best Practice-Architektur von Oracle für maximale Verfügbarkeit.
- Sicherheit
BaNCS-Anwendungen sind für den Geschäftsbetrieb von entscheidender Bedeutung, und die End-to-End-Sicherheit der Lösung ist sehr wichtig. Es ist wichtig, dass die gesamte Lösung mit einer Sicherheitsstrategie mit geringsten Berechtigungen implementiert wird und dass die Daten während der Übertragung und im Ruhezustand immer verschlüsselt werden. Diese Lösung nutzt viele OCI-Sicherheitsfunktionen.
Administratoren der OCI-Plattform, des VCN, der BaNCS-Anwendung und der Datenbanken werden mit OCI-IAM-Rollen und -Policys verwaltet. Oracle empfiehlt, mehrere Identitätsdomains bereitzustellen und zu verwenden, um die verschiedenen Administrations- und Anwendungsbenutzer zu trennen. In diesem Design wird eine Domain für die OCI-Administratoraccounts verwendet, und die anderen Domains werden zur Authentifizierung von Benutzern der verschiedenen Management- und unterstützenden Anwendungen verwendet. OCI-Compartments werden erstellt und ihnen OCI-Ressourcen zugewiesen, um eine fein granulierte Trennung der Ressourcen und der zugehörigen IAM-Policys zu ermöglichen. Die Authentifizierung der Administratoren kann in OCI IAM oder in einem föderierten externen Identitätsprovider wie Okta konfiguriert werden.Eine Netzwerkfirewall der Unternehmensklasse muss konfiguriert werden, um böswilligen und versehentlichen Netzwerkzugriff auf OCI- und Anwendungsressourcen zu verhindern. Darüber hinaus werden die OCI-Sicherheitslisten, Netzwerksicherheitsgruppen und Routentabellen verwendet, um den Netzwerkzugriff zwischen OCI-Ressourcen zu kontrollieren. Jeder externe Netzwerktraffic wird über OCI FastConnect oder VPN weitergeleitet.
Der gesamte Anwendungs- und Datenbankspeicher ist standardmäßig verschlüsselt. Es wird empfohlen, dass der Kunde die Verschlüsselungsschlüssel und Wallets selbst verwaltet. In OCI wird empfohlen, Schlüssel und Wallets mit dem OCI Vault-Service zu verwalten.
Die mit den verschiedenen BaNCS-Anwendungsressourcen verknüpften OCI-Compartments sind mit OCI-Sicherheitszonen verknüpft. Diese Zonen verfügen über benutzerdefinierte Rezepte, die so konfiguriert sind, dass Unternehmens-Sicherheits-Policys für alle Compute-VMs, Netzwerk-, Speicher- und Datenbankressourcen durchgesetzt werden. Wenn ein Administrator versucht, eine Ressource zu erstellen oder zu ändern, die eine der Policys verletzt, wird der Vorgang abgelehnt.
Oracle empfiehlt, dass andere OCI-Services wie Cloud Guard, Data Safe und Sicherheitslücken-Scans implementiert werden, um den Sicherheitsstatus der gesamten BaNCS-Umgebung auf OCI kontinuierlich zu überwachen und zu verwalten.
- Verwaltbarkeit
Innerhalb von OCI bieten die Observability and Management-Services eine umfassende Suite von Ressourcen, die Sie bei der Verwaltung der OCI-Plattform und der BaNCS-Anwendung unterstützen. Dazu gehören Metriküberwachung, Ereigniswarnung, Logverwaltung und -analysen, Überwachung der Anwendungsperformance, Datenbankmanagement und Einblicke in den Betrieb. Angesichts der Größe, Komplexität und Kritikalität des Deployments BaNCS auf OCI empfiehlt Oracle dringend, dass diese Services aktiviert und konfiguriert werden oder alternativ das OCI-Monitoring und die Logdaten an ein SEIM-Tool eines Drittanbieters gestreamt werden.
Hinweise
- Verfügbarkeit
Die hier beschriebene Architektur basiert auf einem OCI-Deployment mit mehreren Regionen, um einen DR-Standort bereitzustellen, der eine signifikante geografische Entfernung zum primären Standort aufweist. Diese Anforderung wird nicht von allen Organisationen und BaNCS-Deployments erfüllt. Alternative Optionen umfassen die Verwendung von zwei OCI-Availability-Domains in einer einzelnen Region als primäre und sekundäre Deployment-Sites. In diesem Fall empfiehlt Oracle weiterhin, die OCI-Ressourcen auf mehrere Faultdomains zu verteilen, um die Systemverfügbarkeit zu maximieren.
- Datenbank
Die Anwendung BaNCS unterstützt eine Reihe von Datenbankplattformen für die Persistenzschicht, einschließlich PostgreSQL und Oracle-Datenbank. Für Unternehmen mit kleineren BaNCS-Deployments ist der OCI-Basisdatenbankservice eine ausgezeichnete Wahl. Es handelt sich um einen skalierbaren verwalteten Datenbankservice, der auf leistungsstarken virtuellen x86-Maschinen ausgeführt wird und für High Availability in RAC-Clustern mit einem oder mehreren Knoten ausgeführt werden kann. BaNCS unterstützt auch PostgreSQL, sodass der OCI-Service PostgreSQL eine weitere praktikable Alternative ist. Obwohl keine der beiden Optionen dasselbe Maß an Performance, Resilienz oder Skalierbarkeit von Exadata bietet, sind sie möglicherweise wirtschaftlichere Alternativen für kleinere Deployments. Beide PaaS-Datenbankoptionen bieten im Vergleich zu einer manuellen Datenbankinstallation auf IaaS immer noch erhebliche Vorteile bei der Verwaltbarkeit und den Gesamtbetriebskosten.
- Sicherheit
In der oben angegebenen Beispielarchitektur wurde eine Netzwerkfirewall von Drittanbietern für Unternehmen auf OCI Compute-VMs bereitgestellt. Alternativ können Sie den nativen OCI Network Firewall-Service verwenden, den Sie in einem VCN und Subnetz Ihrer Wahl bereitstellen können und den Nord-Süd- und Ost-West-Netzwerktraffic basierend auf einem Set von Sicherheitsregeln steuern können. Bevor Sie diese Entscheidung treffen, sollten Sie die Möglichkeiten der verschiedenen Netzwerkfirewalloptionen vergleichen.
Die OCI-IAM-Services werden in dieser Lösung verwendet, um die OCI-Systemadministratoridentitäten, -rollen und zugehörigen Policys zu speichern. Es wird extern für Single Sign-On und Multi-Factor Authentication (MFA) für diese Benutzer föderiert. Alternative Deployments können die nativen MFA-Funktionen des IAM-Service nutzen oder sogar zusätzliche IAM-Domains erstellen, um die BaNCS-Anwendungsbenutzer zusätzlich zu OCI-Administratoren zu verwalten.
Bei den Oracle-Datenbankservices auf OCI wird die Datenverschlüsselung im Ruhezustand mit Oracle Transparent Database Encryption (TDE) aktiviert. Das Verschlüsselungs-Wallet und die Schlüssel werden häufig mit dem OCI Vault gespeichert und verwaltet. Eine günstigere Alternative zum Ausführen eines privaten Vaults besteht darin, das Verschlüsselungs-Wallet lokal im Datenbankdateisystem zu hosten. Diese Verschlüsselungsdateien werden mit Oracle Data Guard von der primären zur sekundären Datenbankinstanz synchronisiert.
- Verwaltbarkeit
Mit OCI stehen eine Reihe von Lösungen zur Verfügung, mit denen ein Anwendungs-Deployment wie BaNCS überwacht, auditiert und verwaltet werden kann. OCI selbst bietet eine umfassende Suite von Observability and Management-Services, die für die meisten Anforderungen konfiguriert und aktiviert werden können. Es gibt jedoch viele Optionen von Drittanbietern, die häufig verwendet werden, wie Datadog, Splunk und Microsoft Sentinel. Glücklicherweise verfügt OCI über eine Reihe von Features wie den OCI Connector Hub, mit denen die Aggregation und Übertragung von OCI-Metriken und -Logs einfach auf Systeme von Drittanbietern vereinfacht werden kann.
- API-Management
TCS BaNCS ist eine API-First-Anwendung, die das Potenzial von APIs freisetzt, um die effektive Nutzung von Daten in einem umfassenderen Finanzökosystem eines Unternehmens zu erleichtern. Mit dem OCI API Gateway-Service in Kombination mit OCI IAM können Sie zentralisierte Governance, Beschleunigung und Sicherheit für die BaNCS-Anwendungs-APIs bereitstellen.
- Performance
Viele Faktoren tragen zur Performance und letztendlich zur Qualität der Benutzererfahrung für eine Anwendung bei, die auf OCI ausgeführt wird. In diesem speziellen Lösungsdesign für BaNCS wurden viele Entscheidungen getroffen, die auf ein höchstmögliches Leistungsniveau abzielten. Aus Sicht des Netzwerks bietet die Verwendung einer FastConnect-Schnittstelle zu OCI anstelle von VPN erhebliche Performancevorteile. In Bezug auf die Datenbank wurden die Vorteile des Exadata-Cloud-Service im Vergleich zum Cloud-Service der Basisdatenbank oder zum PostgreSQL-Service bereits erläutert. Die Nutzung der OCI Compute-VM-Flex-Ausprägungen ist auch eine hervorragende Möglichkeit, die optimale Ebene physischer Ressourcen wie CPU, RAM und die Anzahl der Netzwerkschnittstellen auszuwählen, die zugewiesen sind, um die Workload zu einem beliebigen Zeitpunkt zu erfüllen. Ebenso haben die OCI-Storage-Tier-Komponenten wie Block-Volume die Flexibilität, Performancemerkmale wie IOPS und Durchsatz auszuwählen, um den Anforderungen am besten gerecht zu werden. Die BaNCS-Komponenten wie Netzwerkfirewall, Web- und Anwendungsserver-VMs können diese OCI-Features verwenden, um eine kostengünstige Lösung bereitzustellen, die alle Erwartungen von Unternehmen an die BaNCS-Anwendungsperformance leicht erfüllt.
Mehr erfahren
Weitere Informationen zum Ausführen von BaNCS auf OCI finden Sie in den folgenden Ressourcen:
-
TCS BANCS: Eine universelle Finanzlösung (TATA Consultancy Services-Produktseite)