Configuración del arrendamiento

Para poder utilizar los servicios de base de datos distribuida globalmente de Oracle para crear y gestionar una base de datos distribuida, debe realizar estas tareas preparatorias para organizar su arrendamiento, crear políticas para los distintos recursos y, a continuación, adquirir y configurar los recursos de red, seguridad e infraestructura.

• Tarea 1. Suscribirse a la región de Ashburn
  
• Tarea 2. Crear compartimentos
  
• Tarea 3. Crear restricciones de acceso de usuario
  
• Tarea 4. Configuración de recursos de red
  
• Tarea 5. Configuración de Recursos de Seguridad
  
• Tarea 6. Creación de recursos de Exadata
  
• (Opcional) Crear restricciones de usuario y clave de API
  

Tarea 1. Suscribirse a la región de Ashburn

Como administrador de inquilinos, suscríbase a la región Ashburn (IAD) y a todas las regiones necesarias para ejecutar la implantación de la base de datos de Exadata distribuida globalmente en la infraestructura de Exascale.

1. Suscríbase a la región de Ashburn (IAD).
   • Para utilizar el servicio, debe suscribirse a la región de Ashburn.

   • La región principal de su arrendamiento no tiene que ser la región de Ashburn, pero debe suscribirse a la región de Ashburn para utilizar los servicios de Globally Distributed Database de Oracle.

2. Suscríbase a cualquier otra región en la que vaya a colocar una base de datos.
   • Suscríbase a cualquier región en la que desee colocar bases de datos para la implantación; esto incluye bases de datos para el catálogo, particiones horizontales y base de datos en espera opcional de Oracle Data Guard para el catálogo.

     Note:

     La base de datos de Exadata distribuida globalmente en la infraestructura de Exascale solo soporta la creación de particiones horizontales en dos regiones. Además, para obtener el mejor rendimiento, las bases de datos distribuidas que utilizan la replicación de Raft deben tener particiones horizontales en la misma región.

Para obtener más información, consulte Gestión de regiones.

Tarea 2. Creación de compartimentos

Como administrador de inquilinos, cree compartimentos en su arrendamiento para todos los recursos necesarios para el servicio Oracle Globally Distributed Exadata Database on Exascale Infrastructure.

Oracle recomienda la siguiente estructura y se hace referencia a estos compartimentos en todas las tareas de configuración:

• Un compartimento "principal" para todo el despliegue. Esto es gdd en los ejemplos.
• Compartimentos "secundarios" para cada uno de los distintos tipos de recursos:
  • gdd_certs_vaults_keys para autoridades de certificación, certificados, paquetes de certificados, almacenes y claves
  • gdd_databases para bases de datos, clusters de VM, redes virtuales en la nube, subredes, puntos finales privados y recursos de base de datos de Exadata distribuida globalmente en infraestructura de Exascale.
  • gdd_instances para instancias informáticas para servidores de aplicaciones (nodo perimetral/host de salto que actúa como bastión para conectarse a la base de datos)

La estructura de compartimento resultante se parecerá a la siguiente:

tenant /
     gdd /       
          gdd_certs_vaults_keys 
          gdd_databases  
          gdd_instances

Para obtener más información, consulte Trabajar con compartimentos.

Tarea 3. Crear restricciones de acceso de usuario

Formule un plan de control de acceso y, a continuación, inscríbalo mediante la creación de recursos de IAM (Identity and Access Management) adecuados. En consecuencia, el control de acceso dentro de una base de datos distribuida se implementa en varios niveles, que son definidos por los grupos y políticas aquí.

Los grupos de usuarios, los grupos dinámicos y las políticas que se describen en las siguientes tablas deben guiar la creación de su propio plan de control de acceso de usuario para la implantación de la base de datos distribuida.

Como administrador de inquilinos, cree los siguientes grupos recomendados, grupos dinámicos y políticas para otorgar permisos a los roles definidos anteriormente. En los ejemplos y los enlaces de documentación se asume que su arrendamiento utiliza dominios de identidad.

• Baja de roles
  
• Grupos Dinámicos
  
• Grupos de Usuarios
  
• Políticas
  

Concepto de separación de roles

Se debe asegurar de que sus usuarios en la nube tienen acceso para utilizar y crear solo los tipos adecuados de recursos en la nube para realizar sus tareas. Una mejor práctica consiste en definir roles para la separación de roles.

Los roles y las responsabilidades que se describen en la siguiente tabla deben guiar su comprensión de cómo definir grupos de usuarios, grupos dinámicos y políticas para la implantación de Distributed ExaDB-XS. Los roles de ejemplo que se presentan aquí se utilizan en todas las instrucciones de configuración, creación de recursos y gestión del entorno.

Roles	Responsabilidades
Administrador de inquilino	Suscribirse a regiones Crear compartimentos Crear grupos dinámicos, grupos de usuarios y políticas
Administrador de infraestructura	Crear/actualizar/suprimir familia de red virtual Crear, actualizar o suprimir infraestructura de Exadata Crear, actualizar o suprimir clusters de VM de Exadata Etiquetar clusters de máquina virtual de Exadata Crear/actualizar/suprimir puntos finales privados de base de datos distribuida globalmente
Administrador de certificados	Crear/Actualizar/Suprimir Almacén Crear/Actualizar/Eliminar Claves
Usuario	Crear y gestionar bases de datos distribuidas globalmente mediante IU y API

Grupos Dinámicos

Cree los siguientes grupos dinámicos para controlar el acceso a los recursos creados en los compartimentos de Oracle Globally Distributed Exadata Database on Exascale Infrastructure.

Consulte Creación de un grupo dinámico para obtener instrucciones.

Nombre de grupo dinámico	Descripción	Reglas
gdd-cas-dg	Recursos de la autoridad de certificación	Todas resource.type='certificateauthority' resource.compartment.id = 'OCID de raíz de inquilino de compartimento / gdd / gdd_certs_vaults_keys'
gdd-clusters-dg	Recursos de cluster de VM de base de datos de Exadata	Todas resource.compartment.id = 'OCID de raíz de inquilino de compartimento / gdd / gdd_databases'
gdd-instances-dg	Recursos de instancia informática	Todas resource.compartment.id = 'OCID de raíz de inquilino de compartimento / gdd / gdd_instances'

Grupos de usuarios

Cree los siguientes grupos para otorgar a los usuarios permisos para utilizar recursos en los compartimentos de Globally Distributed Database.

Consulte Creating a Group para obtener instrucciones.

Nombre del Grupo de Usuarios	Descripción
gdd-certificate-admins	Administradores de certificados que crean y gestionan claves y almacenes.
gdd-infraestructura-administradores	Administradores de infraestructura que crean y gestionan recursos de infraestructura y red en la nube
usuarios de gdd	Usuarios que crean y gestionan recursos de Globally Distributed Database mediante las API y la interfaz de usuario

Políticas

Cree políticas de IAM para otorgar a los grupos acceso a los recursos creados en los compartimentos para el arrendamiento de Oracle Globally Distributed Exadata Database on Exascale Infrastructure.

Tenga en cuenta que hay más de un servicio de base de datos distribuida globalmente en Oracle Cloud. Estas políticas son específicas del servicio Base de datos de Exadata distribuida globalmente en infraestructura de Exascale.

Las siguientes políticas de ejemplo, que se basan en la estructura de compartimentos y los grupos creados anteriormente, deben guiar la creación de sus propias políticas de IAM para su implantación.

El dominio de identidad (por ejemplo, por defecto) debe ser el dominio de identidad en el que ha creado los grupos.

Consulte Creación de una política para obtener instrucciones.

gdd-certificate-admins-tenant-level

• Descripción: Privilegios de nivel de inquilino para el grupo gdd-certificate-admins
• Compartimento: inquilino
• Sentencias:

  Allow group 'Default' / 'gdd-certificate-admins' to INSPECT tenancies in tenancy
  Allow group 'Default' / 'gdd-certificate-admins' to INSPECT work-requests in tenancy

gdd-infraestructura-admins-nivel de inquilino

• Descripción: Privilegios de nivel de inquilino para el grupo gdd-infrastructure-admins
• Compartimento: inquilino
• Sentencias:

  Allow group 'Default' / 'gdd-infrastructure-admins' to INSPECT tenancies in tenancy
  Allow group 'Default' / 'gdd-infrastructure-admins' to INSPECT work-requests in tenancy
  Allow group 'Default' / 'gdd-infrastructure-admins' to READ limits in tenancy
  Allow group 'Default' / 'gdd-infrastructure-admins' to READ tag-namespaces in tenancy

gdd-users-tenant-level

• Descripción: Privilegios de nivel de inquilino para el grupo gdd-users

• Compartimento: inquilino
• Sentencias:

  Allow group 'Default' / 'gdd-users' to INSPECT tenancies in tenancy
  Allow group 'Default' / 'gdd-users' to INSPECT work-requests in tenancy
  Allow group 'Default' / 'gdd-users' to READ limits in tenancy
  Allow group 'Default' / 'gdd-users' to READ Distributed-database in tenancy
  Allow group 'Default' / 'gdd-users' to READ tag-namespaces in tenancy

gdd-certificate-admins

• Descripción: privilegios de nivel de compartimento para el grupo gdd-certificate-admins
• Compartimento: inquilino/gdd
• Sentencias:

  Allow group 'Default' / 'gdd-certificate-admins' to MANAGE keys in compartment gdd
  Allow group 'Default' / 'gdd-certificate-admins' to MANAGE vaults in compartment gdd

gdd-infraestructura-administradores

• Descripción: Privilegios de nivel de compartimento para el grupo gdd-infrastructure-admins
• Compartimento: inquilino/gdd
• Sentencias:

  Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE exadb-vm-clusters in compartment gdd
  Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE instance-family in compartment gdd
  Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE Distributed-database in compartment gdd
  Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE tags in compartment gdd
  Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE virtual-network-family in compartment gdd
  Allow group 'Default' / 'gdd-infrastructure-admins' to READ exascale-db-storage-vaults in compartment gdd
  Allow group 'Default' / 'gdd-infrastructure-admins' to READ distributed-database-workrequest in compartment gdd

usuarios de gdd

• Descripción: Privilegios de nivel de compartimento para el grupo gdd-users
• Compartimento: inquilino/gdd
• Sentencias:

  Allow group 'Default' / 'gdd-users' to MANAGE database-family in compartment gdd
  Allow service database to manage recovery-service-family in compartment gdd 
  Allow service rcs to manage recovery-service-family in compartment gdd
  Allow group 'Default' / 'gdd-users' to manage objects in compartment gdd
  Allow group 'Default' / 'gdd-users' to read buckets in compartment gdd
  Allow group 'Default' / 'gdd-users' to USE exadb-vm-clusters in compartment gdd
  Allow group 'Default' / 'gdd-users' to MANAGE instance-family in compartment gdd
  Allow group 'Default' / 'gdd-users' to MANAGE distributed-database in compartment gdd
  Allow group 'Default' / 'gdd-users' to MANAGE tags in compartment gdd
  Allow group 'Default' / 'gdd-users' to READ dns-records in compartment gdd
  Allow group 'Default' / 'gdd-users' to READ dns-zone in compartment gdd
  Allow group 'Default' / 'gdd-users' to READ keys in compartment gdd
  Allow group 'Default' / 'gdd-users' to READ distributed-database-workrequest in compartment gdd
  Allow group 'Default' / 'gdd-users' to READ vaults in compartment gdd
  Allow group 'Default' / 'gdd-users' to READ vcns in compartment gdd
  Allow group 'Default' / 'gdd-users' to USE network-security-groups in compartment gdd
  Allow group 'Default' / 'gdd-users' to USE private-ips in compartment gdd
  Allow group 'Default' / 'gdd-users' to USE subnets in compartment gdd
  Allow group 'Default' / 'gdd-users' to USE vnics in compartment gdd
  Allow group 'Default' / 'gdd-users' to USE volumes in compartment gdd

gdd-dg cas

• Descripción: privilegios de nivel de compartimento para el grupo dinámico gdd-cas-dg
• Compartimento: inquilino/gdd
• Sentencias:

  Allow dynamic-group 'Default' / 'gdd-cas-dg' to MANAGE objects in compartment gdd
  Allow dynamic-group 'Default' / 'gdd-cas-dg' to USE keys in compartment gdd

gdd-dg-clusters

• Descripción: privilegios de nivel de compartimento para el grupo dinámico gdd-clusters-dg
• Compartimento: inquilino/gdd
• Sentencias:

  Allow dynamic-group 'Default' / 'gdd-clusters-dg' to MANAGE keys in compartment gdd_certs_vaults_keys
  Allow dynamic-group 'Default' / 'gdd-clusters-dg' to READ vaults in compartment gdd_certs_vaults_keys

gdd-kms

• Descripción: privilegios de nivel de compartimento para el servicio Key Management
• Compartimento: inquilino/gdd
• Sentencias:

  Allow service keymanagementservice to MANAGE vaults in compartment gdd_certs_vaults_keys

Tarea 4. Configuración de recursos de red

Como administrador de la infraestructura, cree los recursos de red y active la conectividad que necesita la base de datos distribuida.

Los recursos de ejemplo se denominan en estas instrucciones para simplificar el seguimiento y las relaciones. Por ejemplo, el nombre "gdd_iad" hace referencia a la VCN creada en la región de Ashburn (IAD).

• Recursos de red comunes
  
• Recursos de red adicionales basados en su topología
  

Recursos de red comunes

Todas las implantaciones de base de datos de Exadata distribuida globalmente en infraestructura de Exascale (ExaDB-XS distribuida) requieren una VCN, una subred y un punto final privado en la región de Ashburn (IAD).

Como administrador de la infraestructura, cree los recursos como se describe en la siguiente tabla.

Recurso	Instrucciones
Red virtual en la nube (VCN)+ subred	En Ashburn (IAD), cree la VCN gdd_iad y la subred gdd_subnet. Esta VCN y subred son necesarias para activar la conectividad entre el servicio ExaDB-XS distribuido y las bases de datos de la topología. Utilice los valores siguientes: Compartimento = gdd / gdd_databases Región = Ashburn (IAD) Nombre de subred = gdd_subnet Subnet Type (Tipo de subred): Regional La subred debe ser regional, abarcando todos los dominios de disponibilidad Consulte VCNs y subredes para conocer los pasos para crearlas.
Punto final privado	Cree un punto final privado en la región Ashburn (IAD) para activar la conectividad entre el servicio Distributed ExaDB-XS y las bases de datos de la topología. Abra el menú de navegación, haga clic en Oracle Database y, a continuación, en Base de datos de Exadata distribuida globalmente en infraestructura de Exascale. Haga clic en Puntos finales privados en el panel de navegación. Haga clic en Crear punto final privado, Introduzca la siguiente información. Nombre: por ejemplo, gdd_pe Compartimento: gdd/gdd_databases Este debe ser el compartimento que contiene la subred de la región de Ashburn que ha creado anteriormente. Subred: gdd_subnet Si no ve la subred mostrada, verifique que se haya creado como una subred regional. Red en la nube virtual: gdd_iad Agregar etiquetas (opcional): puede seleccionar etiquetas para este recurso haciendo clic en Mostrar opciones de etiquetado. Consulte Creación y gestión de puntos finales privados para obtener más información sobre este recurso.

Recursos de red adicionales basados en la topología

Según la topología de Oracle Globally Distributed Exadata Database on Exascale Infrastructure, cree recursos de red adicionales como se describe a continuación.

Tenga en cuenta que las bases de datos para la topología incluyen el catálogo, las particiones horizontales y la base de datos en espera opcional de Oracle Data Guard para el catálogo.

Todos los recursos de red se deben crear en el compartimento gdd/gdd_databases.

Caso de uso	Recursos de red	Intercambio de tráfico y conectividad
Todas las bases de datos se ubican en la región de Ashburn (IAD).	Cree una subred y un gateway de servicio en la región de Ashburn (IAD) para los clusters de VM de base de datos de Exadata en la nube. En la región Ashburn (IAD), cree una subred osd-databases-subnet-iad en la VCN gdd_iad. En la región Ashburn (IAD), cree el gateway de servicios gdd_sgw_iad	Intercambio de tráfico necesario ninguno Conectividad necesaria Conectividad sin restricciones con subred gdd_subnet
Todas las bases de datos se colocan en una única región, R1, que no sea Ashburn (IAD)*	Cree una subred y un gateway de servicio en la región para los clusters de VM de base de datos de Exadata en la nube. En la región R1, cree la VCN gdd_R1 con la subred osd-database-subnet-R1 En la región R1, cree el gateway de servicio gdd_sgw_R1	Intercambio de tráfico necesario gdd_iad ↔ gdd_R1 Conectividad necesaria Sin restricciones entre gdd_iad.gdd_subnet y gdd_R1.osd-database-subnet-R1
Las bases de datos se colocan en varias regiones: R1, R2, ..., RN	Cree subredes y gateways de servicio en cada región para los clusters de VM de base de datos de Exadata en la nube. Subred : En la región R1, cree la VCN gdd_R1 con la subred osd-database-subnet-R1 En la región R2, cree la VCN gdd_R2 con la subred osd-database-subnet-R2 ... En la región Rn, cree la VCN gdd_Rn con la subred osd-database-subnet-Rn Gateways de servicio: En la región R1, cree el gateway de servicio gdd_sgw_R1 En la región R2, cree el gateway de servicio gdd_sgw_R2 ... En la región Rn, cree el gateway de servicio gdd_sgw_Rn	Intercambio de tráfico necesario gdd_iad ↔ gdd_R1 gdd_iad ↔ gdd_R2 gdd_iad ↔ gdd_Rn gdd_R1 ↔ gdd_R2 gdd_R1 ↔ gdd_Rn gdd_R2 ↔ gdd_Rn Conectividad necesaria Sin restricciones y bidireccionales entre gdd_iad.gdd_subnet y gdd_R1.osd-database-subnet-R1 gdd_R2.osd-database-subnet-R2 gdd_Rn.osd-database-subnet-Rn Sin restricciones y bidireccionales entre gdd_R1.osd-database-subnet-R1 y gdd_R2.osd-database-subnet-R2 gdd_Rn.osd-database-subnet-Rn Sin restricciones y bidireccionales entre gdd_R2.osd-database-subnet-R2 y gdd_Rn.osd-database-subnet-Rn

*El plano de control del servicio Oracle Globally Distributed Exadata Database on Exascale Infrastructure solo existe en la región de Ashburn (IAD). El punto final privado que ha creado en un paso anterior en la región de Ashburn (IAD) se utiliza para comunicarse con los recursos de la base de datos distribuida de sus respectivas regiones.

Las instrucciones para crear los recursos están disponibles en:

• VCN y subredes
• Creación de un gateway de servicios
• Intercambio de tráfico de varias VCN de diferentes regiones a través de DRG

Tarea 5. Configuración de recursos de seguridad

Todos los recursos de seguridad se crean en el compartimento gdd/gdd_certs_vaults_keys.

Atención:

Después de crear una base de datos distribuida que haga referencia a una clave, no puede mover el almacén o las claves a un nuevo compartimento sin reiniciar también las bases de datos de contenedores que hagan referencia al almacén o la clave movidos.

• Creación de un almacén
  
• Crear una clave de TDE
  

Crear un archivo nativo

Cree un almacén en el compartimento gdd/gdd_certs_vaults_keys para las claves de cifrado maestras de cifrado de datos transparente (TDE) en la región en la que residirán las bases de datos de partición horizontal.

Por ejemplo, en la región R1, cree el almacén gdd_vault_R1

Para obtener más información sobre la creación de un almacén, consulte Creación de un almacén.

Crear una clave de TDE

Cree la clave de cifrado maestra para acceder a la base de datos.

Por ejemplo, cree la clave de cifrado maestra gdd_TDE_key-orapace en el almacén gdd_vault_R1 con los siguientes atributos.

• Modo de protección = Software

• Unidad de clave: algoritmo = AES

• Longitud = 256

Para obtener más información sobre la creación de claves de cifrado maestras, consulte Crear una clave de cifrado maestra.

Tarea 6. Crear recursos de Exadata

Como administrador de infraestructura, configure la topología de Oracle Globally Distributed Exadata Database on Exascale Infrastructure en los siguientes pasos.

• Importación del espacio de nombres de etiqueta Oracle-ApplicationName
  
• Creación de clusters de VM de Exadata en infraestructura de Exascale
  

Importar Espacio de Nombres de Etiqueta Oracle-ApplicationName

Importe el espacio de nombres de etiqueta Oracle-ApplicationName en el compartimento raíz de su arrendamiento.

1. En el menú de navegación de la consola de Cloud, seleccione Gobernanza y administración y, a continuación, Espacios de nombres de etiqueta (en la categoría Gestión de arrendamiento).

2. En el panel Espacios de nombres de etiquetas, compruebe si el espacio de nombres Oracle-ApplicationName existe en el compartimento raíz de su arrendamiento.

   Asegúrese de que el compartimento raíz de su arrendamiento está seleccionado en Ámbito de lista.

3. Si no ve Oracle-ApplicationName en la lista, realice lo siguiente:

   1. Haga clic en Importar etiquetas estándar (ubicado encima de la lista).

   2. Seleccione la casilla de control situada junto al espacio de nombres Oracle-ApplicationName y haga clic en Importar.

Creación de clusters de VM de Exadata en infraestructura de Exascale

Cree un cluster de VM mediante el servicio Exadata Database Service on Exascale Infrastructure para la base de datos de catálogo, la base de datos de catálogo en espera opcional de Data Guard y cada base de datos de partición horizontal que desee desplegar en la topología ExaDB-XS distribuida.

Al crear los clusters de VM, utilice los siguientes requisitos y recomendaciones:

• Se recomienda utilizar un cluster de VM por base de datos (shard, catálogo, catálogo en espera).

  Una base de datos de partición horizontal y una base de datos de catálogo se pueden ubicar en un cluster de VM determinado. Sin embargo, el uso de un cluster de VM común tanto para el catálogo como para la partición horizontal puede provocar un cuello de botella de procesamiento.

• Cree clusters de nodo único. Solo están soportados los clusters de nodo único.

• Compartimento: cree los clusters de VM en el compartimento gdd/gdd_clusters de su arrendamiento.

• ECPU activadas por máquina virtual: active 8 ECPU para los clusters de máquina virtual destinados a particiones horizontales.

• Almacenamiento de base de datos: puede utilizar el mismo almacén para todos los clusters de VM (catálogo y particiones horizontales), siempre que configure un mínimo de 500 GB de capacidad de almacenamiento para cada base de datos de la topología.

  Por ejemplo, si tiene 3 particiones horizontales y 1 catálogo, el almacenamiento mínimo total necesario es de 500 GB x 4 = 2000 GB. En este caso, creará un único almacén con una capacidad de almacenamiento mínima de 2000 GB.

• Zona horaria: defina todos los clusters de VM de la topología en la misma zona horaria. Esta configuración se encuentra en Opciones avanzadas.

• Etiquetas: agregue la etiqueta definida Oracle-ApplicationName.Other_Oracle_Application: Sharding. Esta configuración se encuentra en Opciones avanzadas.

  Para poder agregar la etiqueta, debe importar el espacio de nombres de la etiqueta como se describe en Importar espacio de nombres de etiqueta Oracle-ApplicationName.

  Note:

  Una vez que etiquete un cluster de VM para su uso en una base de datos distribuida, seguirá facturando ese SKU hasta que se suprima el cluster de VM.

Consulte Gestión de clusters de VM para conocer los pasos para crear los clusters.

(Opcional) Crear restricciones de usuario y clave de API

Cree un par de claves de API de OCI si desea utilizar directamente la API de REST de base de datos distribuida globalmente, los kits de desarrollo de software de OCI y la interfaz de línea de comandos.

Siga las instrucciones de Claves y OCID necesarios.

Si desea definir controles de usuario en las API, consulte Permisos para API de base de datos distribuida globalmente.