Configuración de una base de datos de IA autónoma con arquitectura de referencia

En este caso de uso se muestra cómo configurar los recursos de su base de datos de IA autónoma en una infraestructura de Exadata dedicada para aprovechar mejor sus capacidades. Esta es una configuración completa y recomendada que aprovecha la arquitectura de referencia de la base de datos de IA autónoma en una infraestructura de Exadata dedicada.

Oracle Autonomous AI Database on Dedicated Exadata Infrastructure es un entorno de base de datos altamente automatizado y totalmente gestionado que se ejecuta en Oracle Cloud Infrastructure (OCI) con recursos de hardware y software comprometidos. Estos recursos aislados permiten a las organizaciones cumplir con estrictos requisitos de seguridad, disponibilidad y rendimiento, al tiempo que reducen los costos y la complejidad.

Consejo: si está buscando orientación para configurar rápidamente un entorno POC de base de datos de IA autónoma, consulte Configuración de base de datos de IA autónoma para prueba de concepto (POC).

Conocimiento de requisitos previos

Para comprender y apreciar plenamente este caso de uso, debe tener una comprensión básica de la base de datos de IA autónoma en una infraestructura de Exadata dedicada, incluidas sus opciones de despliegue, componentes clave de infraestructura, roles de usuario y funciones principales. Para obtener información más detallada, consulte Acerca de la base de datos de IA autónoma en una infraestructura de Exadata dedicada.

Caso de uso

La compañía Acme ha optado por utilizar Autonomous AI Database on Dedicated Exadata Infrastructure para sus aplicaciones de proyecto internas. El departamento de TI de Acme asumirá el rol de administrador de conjunto, responsable de crear y gestionar los recursos de infraestructura de Exadata (EI) y cluster de VM de Exadata autónomo (AVMC) para la compañía. Dentro de cada equipo de proyecto o línea de negocio, los usuarios designados asumirán el rol de DBA de la aplicación, encargado de crear bases de datos de contenedores autónomas (ACD) y bases de datos de IA autónomas para los usuarios de sus bases de datos, incluidos desarrolladores de aplicaciones, probadores y despliegues.

Nota: En este ejemplo, se muestra el DBA de la aplicación que crea y gestiona los recursos de ACD. Sin embargo, su organización puede preferir que el administrador de la flota realice esta tarea por sí mismo.

Acme I.T. asignará recursos a los distintos equipos, asegurando la provisión de AVMC que cumplan con los SLA requeridos. Además, para controlar la asignación de recursos de forma justa, Acme I.T. no desea que ningún equipo del proyecto ni línea de negocio tenga acceso para la gestión a la infraestructura dedicada subyacente. Además, la gestión de Acme, de conformidad con las auditorías reguladoras, no desea que el Acme I.T. pueda acceder a los datos que pertenezcan a los diferentes equipos o líneas de negocio del proyecto; es saber, los datos que están introduciendo a sus bases de datos.

AcmeHR, una aplicación de RR. HH. interna desarrollada y utilizada por Acme, opera en dos entornos distintos: uno para desarrollo y prueba (Dev) y otro para producción (Prod). Acme I.T. se compromete a mantener un estricto aislamiento entre estos entornos para evitar cualquier acceso no autorizado o interacción entre los equipos de desarrollo y producción.

Recursos necesarios

Componentes de OCI IAM

Descripción de la ilustración configure-adb-d-resource-isolation.png

Recursos de red

Descripción de la ilustración configure-adbd-refarch-network.png

icono de lista de seguridad representa una lista de seguridad.

Recursos de base de datos de IA autónoma

Descripción de la ilustración configure-adb-d-resources.png

Recursos de base de datos de IA autónoma según la configuración descrita anteriormente.

Pasos de alto nivel

Antes de que Acme I.T. comience a configurar recursos de base de datos de IA autónoma en una infraestructura de Exadata dedicada, solicita un aumento del límite de servicio mediante la consola de OCI para agregar recursos de infraestructura de Exadata: servidores de base de datos y servidores de almacenamiento al arrendamiento. Consulte Solicitud de aumento del límite de servicio para obtener más información.

A continuación se enumeran los pasos de alto nivel para implantar este caso de uso:

  1. El administrador de seguridad para el arrendamiento en la nube de la compañía Acme crea los siguientes compartimentos, grupos y políticas de compartimentos para el aislamiento de recursos:

    • Los compartimentos FleetComp, DevComp y ProdComp.

    • Los grupos FAGroup, DevGroup y ProdGroup.

    • Las políticas FleetCompPolicy, DevCompPolicy y ProdCompPolicy.

  2. Para aislamiento de acceso:

    • Para los despliegues de Oracle Public Cloud, Acme I.T. o el administrador de red de Acme crea los siguientes recursos de red en el compartimento FleetComp:

      • VCN: AcmeHRVCN

      • Subredes privadas: DevVMSubnet y ProdVMSubnet

      • Subred pública: AppSubnet

    • Para los despliegues de Exadata Cloud@Customer, Acme I.T. o el administrador de red de Acme se aseguran de:

      • Configure las reglas de red como se indica en Requisitos de red para Oracle Exadata Database Service on Cloud@Customer en Preparación para Exadata Database Service on Cloud@Customer.

      • Abra el puerto 1522 para permitir el tráfico TCP entre la base de datos principal y la base de datos en espera en una configuración de Autonomous Data Guard.

  3. Después de crear recursos de red, el administrador de la seguridad agrega el usuario en la nube de un miembro designado de Acme I.T. al FAGroup, lo que autoriza a ese usuario como administrador del conjunto.

  4. El administrador de conjunto recién autorizado crea los siguientes recursos de infraestructura dedicados:

    • Un recurso de infraestructura de Exadata AcmeInfrastructure en el compartimento FleetComp.

    • Dos clusters de VM de Exadata autónomos (AVMC) en el compartimento FleetComp, especificando la infraestructura de Exadata recién creada:

      • DevAVMC.

        Para los despliegues de Oracle Public Cloud, especifique AcmeHRVCN y DevVMSubnet como su VCN y subred.

      • ProdAVMC.

        Para los despliegues de Oracle Public Cloud, especifique AcmeHRVCN y ProdVMSubnet como su VCN y subred.

  5. A continuación, el administrador de la seguridad agrega usuarios designados en la nube a DevGroup y ProdGroup, lo que los autoriza como DBA de aplicaciones para los entornos Dev y Prod.

  6. Los DBA de aplicaciones recién autorizados crean los siguientes recursos en sus respectivos entornos de trabajo, es decir, Dev y Prod:

    • Dos bases de datos de contenedores autónomas (ACD):

      • DevACD en el compartimento DevComp, especificando DevAVMC como su recurso subyacente

      • ProdACD en el compartimento ProdComp, especificando Prod AVMC como su recurso subyacente.

    • Base de datos de IA autónoma denominada DevADB en el compartimento DevComp.

    • Base de datos de IA autónoma denominada ProdADB en el compartimento ProdComp.

Paso 1. Creación de compartimentos

En este paso, el administrador de seguridad para el arrendamiento en la nube de la compañía Acme crea los compartimentos FleetComp, DevComp y ProdComp.

Para realizar este paso, el administrador de seguridad sigue las instrucciones de Gestión de compartimentos de la Documentación de Oracle Cloud Infrastructure para crear un compartimento mediante la consola de Oracle Cloud. Al seguir estas instrucciones, el administrador de la seguridad especifica el compartimento raíz del arrendamiento como compartimento principal de cada uno de los tres compartimentos.

Paso 2. Creación de grupos

En este paso, el administrador de la seguridad crea los grupos FAGroup, DevGroup y ProdGroup.

Para realizar este paso, el administrador de seguridad sigue las instrucciones de Gestión de grupos de la Documentación de Oracle Cloud Infrastructure para crear un grupo mediante la consola de Oracle Cloud.

Paso 3. Creación de políticas

En este paso, el administrador de la seguridad crea las políticas FleetCompPolicy, DevCompPolicy y ProdCompPolicy.

Para realizar este paso, el administrador de seguridad sigue las instrucciones de Gestión de políticas de la Documentación de Oracle Cloud Infrastructure para crear una política mediante la consola de Oracle Cloud.

Nota: Además de crear las sentencias en política necesarias, en este ejemplo el administrador de seguridad también crea sentencias en política "USE tag-namespaces" para permitir a los miembros de grupo asignar las etiquetas existentes a los recursos que crean. Para permitir a los miembros de grupo crear etiquetas así como utilizarlas, el administrador de seguridad crearía en su lugar sentencias de política "MANAGE tag-namespaces".

Al seguir estas instrucciones para la política FleetCompPolicy, el administrador de seguridad:

  1. Define Compartimento en el menú lateral en FleetComp antes de hacer clic en Crear política.

  2. Agrega cualquiera de las siguientes sentencias de política en función de su plataforma de despliegue:

    • Despliegues de Oracle Public Cloud:

      • Permitir que el grupo FAGroup gestione las infraestructuras de metadatos en la nube en el compartimento FleetComp

      • Permitir que el grupo FAGroup gestione los clusters de VM autónomos en la nube en el compartimento FleetComp

      • Permitir que el grupo FAGroup USE virtual-network-family en el compartimento FleetComp

      • Permitir que el grupo FAGroup utilice espacios de nombres de etiquetas en el compartimento FleetComp

      • Permitir al grupo DevGroup leer las infraestructuras de metadatos en la nube en el compartimento FleetComp

      • Permitir que el grupo DevGroup LEER los clusters de VM autónomos en la nube del compartimento FleetComp

      • Permitir que el grupo DevGroup utilice la familia de red virtual en el compartimento FleetComp

      • Permitir al grupo ProdGroup leer las infraestructuras de metadatos en la nube en el compartimento FleetComp

      • Permitir que el grupo ProdGroup LEER los clusters de VM autónomos en la nube en el compartimento FleetComp

      • Permitir que el grupo ProdGroup USE la familia de red virtual en el compartimento FleetComp

    • Despliegues de Exadata Cloud@Customer:

      • Permitir que el grupo FAGroup gestione infraestructuras de exadata en el compartimento FleetComp

      • Permitir que el grupo FAGroup gestione los vmclusters autónomos en el compartimento FleetComp

      • Permitir que el grupo FAGroup utilice espacios de nombres de etiquetas en el compartimento FleetComp

      • Permitir al grupo DevGroup leer infraestructuras de exadata en el compartimento FleetComp

      • Permitir que el grupo DevGroup LEER los vmclusters autónomos en el compartimento FleetComp

      • Permitir al grupo ProdGroup leer infraestructuras de exadata en el compartimento FleetComp

      • Permitir que el grupo ProdGroup LEA grupos autónomos-vmclusters en el compartimento FleetComp

Al seguir estas instrucciones para la política DevCompPolicy, el administrador de seguridad:

  1. Define Compartimento en el menú lateral en DevComp antes de hacer clic en Crear política.

  2. Agrega estas sentencias de política:

    • Permitir que el grupo DevGroup gestione bases de datos de contenedor autónomas en el compartimento DevComp

    • Permitir que el grupo DevGroup gestione bases de datos autónomas en el compartimento DevComp

    • Permitir que el grupo DevGroup gestione copias de seguridad autónomas en el compartimento DevComp

    • Permitir que el grupo DevGroup gestione la familia de instancias en el compartimento DevComp

    • Permitir que el grupo DevGroup utilice espacios de nombres de etiquetas en el compartimento DevComp

    • Permitir que el grupo DevGroup gestione métricas en el compartimento DevComp

    • Permitir al grupo DevGroup INSPECTAR solicitudes de trabajo en el compartimento DevComp

Al seguir estas instrucciones para la política ProdCompPolicy, el administrador de seguridad:

  1. Define Compartment en el menú lateral en ProdComp antes de hacer clic en Crear política.

  2. Agrega estas sentencias de política:

    • Permitir que el grupo ProdGroup gestione bases de datos de contenedores autónomas en el compartimento ProdComp

    • Permitir que el grupo ProdGroup gestione bases de datos autónomas en el compartimento ProdComp

    • Permitir que el grupo ProdGroup gestione copias de seguridad autónomas en el compartimento ProdComp

    • Permitir que el grupo ProdGroup gestione la familia de instancias en el compartimento ProdComp

    • Permitir que el grupo ProdGroup utilice espacios de nombres de etiquetas en el compartimento ProdComp

    • Permitir que el grupo ProdGroup gestione métricas en el compartimento ProdComp

    • Permitir al grupo ProdGroup INSPECTAR solicitudes de trabajo en el compartimento ProdComp

Paso 4. Creación de la VCN y las subredes

SE APLICA A: Aplicable Solo Oracle Public Cloud

En este paso, Acme I.T. o el administrador de red de Acme crean la VCN AcmeHRVCN y las subredes DevVMSubnet, ProdVMSubnet y AppSubnet en el compartimento FleetComp.

Para realizar este paso, Acme I.T. primero confiere a la red del departamento de Acme I.T. la reserva de un rango de direcciones IP CIDR que no entre en conflicto con la red local de la compañía. (De lo contrario, la VCN entraría en conflicto con la red local y no se podría configurar una VPN con IPSec). El rango reservado es CIDR 10.0.0.0/16.

A continuación, Acme I.T. adapta las instrucciones descrita en Escenario B: subred privada con una VPN en la documentación de Oracle Cloud Infrastructure para crear la VCN, las subredes y otros recursos de red mediante la consola de Oracle Cloud.

En este ejemplo, se utilizarán los siguientes bloques de CIDR para las tres (3) subredes de AcmeHRVCN:

Al adaptar estas instrucciones, Acme I.T. crea manualmente listas para aislar y separar reglas de seguridad y, de este modo, simplificar la gestión de red. Estas listas de seguridad son:

Para obtener más información sobre los requisitos de entrada y salida de AVMC, consulte Requisitos para aprovisionar un cluster de VM de Exadata autónomo.

Reglas de seguridad en DevSeclist

Estas son las reglas de entrada creadas en DevSeclist:

Sin Estado Origen Protocolo IP Rango de puertos de origen Rango de puertos de destino Tipo y código Permite
N.º 10.0.10.0/24 ICMP Todas Todas Todas Tráfico ICMP para: Todo
N.º 10.0.10.0/24 TCP Todas Todas   Tráfico TCP para puertos: Todo
N.º 10.0.100.0/24 TCP Todas 1521   Tráfico TCP para el puerto: Red de Oracle 1521
N.º 10.0.100.0/24 TCP Todas 2484   Tráfico de TCPS para puerto: Red de Oracle 2484
N.º 10.0.100.0/24 TCP Todas 6200   ONS/FAN para puertos: 6200
N.º 10.0.100.0/24 TCP Todas 443   Tráfico HTTPS para puerto: 443

Estas son las reglas de salida creadas en DevSeclist:

Sin Estado Destino Protocolo IP Rango de puertos de origen Rango de puertos de destino Tipo y código Permite
N.º 10.0.10.0/24 ICMP Todas Todas Todas Todo el tráfico ICMP dentro de DevVMSubnet
N.º 10.0.10.0/24 TCP Todas Todas   Todo el tráfico TCP en DevVMSubnet

Reglas de seguridad en ProdSeclist

Nota: Aunque ProdSeclist tiene las mismas reglas de seguridad que DevSeclist, el administrador de red ha creado listas de seguridad independientes en lugar de crear una única lista de seguridad para que ambos equipos de proyecto puedan incluir cualquier regla de seguridad adicional que necesite uno de los equipos de proyecto en el futuro.

Estas son las reglas de entrada creadas en ProdSeclist:

Sin Estado Origen Protocolo IP Rango de puertos de origen Rango de puertos de destino Tipo y código Permite
N.º 10.0.20.0/24 ICMP Todas Todas Todas Tráfico ICMP para: Todo
N.º 10.0.20.0/24 TCP Todas Todas   Tráfico TCP para puertos: Todo
N.º 10.0.100.0/24 TCP Todas 1521   Tráfico TCP para el puerto: Red de Oracle 1521
N.º 10.0.100.0/24 TCP Todas 2484   Tráfico de TCPS para puerto: Red de Oracle 2484
N.º 10.0.100.0/24 TCP Todas 6200   ONS/FAN para puertos: 6200
N.º 10.0.100.0/24 TCP Todas 443   Tráfico HTTPS para puerto: 443

Estas son las reglas de salida creadas en ProdSeclist:

Sin Estado Destino Protocolo IP Rango de puertos de origen Rango de puertos de destino Tipo y código Permite
N.º 10.0.20.0/24 ICMP Todas Todas Todas Todo el tráfico ICMP dentro de ProdVMSubnet
N.º 10.0.20.0/24 TCP Todas Todas   Todo el tráfico TCP en ProdVMSubnet

Reglas de seguridad en AppSeclist

Esta es la regla de entrada creada en AppSeclist:

Sin Estado Origen Protocolo IP Rango de puertos de origen Rango de puertos de destino Tipo y código Permite
N.º 0.0.0.0/0 TCP Todas 22 Todas Tráfico SSH para los puertos: 22

Nota: Se recomienda cambiar 0.0.0.0/0 en las reglas de seguridad a la lista aprobada de rangos de CIDR/direcciones IP.

Estas son las reglas de salida creadas en AppSeclist:

Sin Estado Destino Protocolo IP Rango de puertos de origen Rango de puertos de destino Tipo y código Permite
N.º 10.0.10.0/24 TCP Todas 1521    
N.º 10.0.10.0/24 TCP Todas 2484    
N.º 10.0.10.0/24 TCP Todas 443    
N.º 10.0.10.0/24 TCP Todas 6200    
N.º 10.0.20.0/24 TCP Todas 1521    
N.º 10.0.20.0/24 TCP Todas 2484    
N.º 10.0.20.0/24 TCP Todas 443    
N.º 10.0.20.0/24 TCP Todas 6200    

Paso 5. Asignar administrador de conjunto

En este paso, el administrador del sistema agrega el usuario en la nube de un miembro designado de I.T. de Acme al grupo de FAG.

Para realizar este paso, el administrador de seguridad sigue las instrucciones de Gestión de usuarios de la Documentación de Oracle Cloud Infrastructure para agregar un usuario a un grupo mediante la consola de Oracle Cloud.

Paso 6. Creación del recurso de infraestructura de Exadata

En este paso, el administrador del juego sigue las instrucciones de Crear un recurso Exadata Infrastructure para crear un recurso Exadata Infrastructure denominado AcmeInfrastructure en la compartimento FleetComp.

Paso 7. Creación de los recursos de cluster Exadata de VM autónomo

En este paso, el administrador del conjunto sigue las instrucciones de Creación de un cluster de VM de Exadata autónomo para crear DevAVMC y ProdAVMC en el compartimento FleetComp con las siguientes especificaciones, dejando todos los demás atributos en su configuración por defecto.

Valor Entorno de desarrollo Entorno de producción
Nombre de AVMC DevAVMC ProdAVMC
Infraestructura de Exadata subyacente Infraestructura de Acme Infraestructura de Acme
La red virtual en la nube (VCN)

se aplica solo a: Aplicable Oracle Public Cloud
AcmeHRVCN AcmeHRVCN
Subred

SE APLICA A: Aplicable Solo Oracle Public Cloud
DevVMSubnet ProdVMSubnet

Paso 8. Asignar DBA de aplicación

En este paso, el administrador de la seguridad agrega usuarios designados de la nube a DevGroup, lo que los autoriza como DBA de aplicación para los recursos de desarrollo y, a continuación, repite el proceso para ProdGroup.

Para realizar este paso, para cada usuario, el administrador de seguridad sigue las instrucciones de Gestión de usuarios de la Documentación de Oracle Cloud Infrastructure para agregar un usuario a un grupo mediante la consola de Oracle Cloud.

Paso 9. Creación de recursos de base de datos de contenedores autónoma

En este paso, los respectivos DBA de aplicaciones siguen las instrucciones de Creación de una base de datos de contenedores autónoma para crear las bases de datos de contenedores autónomas (ACD) para los entornos Dev y Prod. Estas ACD se crean con las siguientes especificaciones, dejando todos los demás atributos en su configuración predeterminada.

Valor Entorno de desarrollo Entorno de producción
Compartimiento Comp Dev ProdComp
Nombre de ACD DevACD Prodacd
AVMC subyacente DevAVMC ProdAVMC
Versión de Software de la Base de Datos de Contenedores Última versión de software (N) Predecesor inmediato de la versión de software (N-1)
Versión de mantenimiento Última RU (actualización de la versión) Siguiente RU (actualización de la versión)
Período de retención de copia de seguridad 7 días 30 días

Paso 10. Crear recursos de base de datos de IA autónoma

En este paso, los respectivos DBA de aplicaciones siguen las instrucciones de Creación de una base de datos de IA autónoma para crear las bases de datos de IA autónomas para los entornos de desarrollo y producción. Estas bases de datos se crean con las siguientes especificaciones, dejando todos los demás atributos en su configuración por defecto.

Valor Entorno de desarrollo Entorno de producción
Compartimiento Comp Dev ProdComp
Nombre de base de datos DevADB BDAP
ACD subyacente DevACD Prodacd
Instancia de la Base de Datos Puede elegir crear una base de datos de IA autónoma o una base de datos de IA autónoma para desarrolladores Base de datos de IA autónoma

La base de datos de IA autónoma en una infraestructura de Exadata dedicada ahora está configurada para desarrollar y probar la aplicación AcmeHR, con un despliegue posterior en el entorno de producción.

Contenido relacionado

Componentes de la base de datos de IA autónoma en una infraestructura de Exadata dedicada