Descripción de la Arquitectura de PeopleSoft

Acerca del Host Bastion

Un host de cesta es un componente opcional que puede utilizar con políticas de firewall para proteger las interfaces de gestión de los servidores de aplicaciones y bases de datos del acceso externo. Un host de base es una instancia de Oracle Cloud Infrastructure Compute que utiliza Linux como su sistema operativo.

Coloque el host de base en una subred pública y asígnele una dirección IP pública para acceder a él desde Internet.

Para proporcionar un nivel de seguridad adicional, puede configurar listas de seguridad para acceder al host de base solo desde la dirección IP pública de la red local. Puede acceder a las instancias de Oracle Cloud Infrastructure en la subred privada a través del host de base. Para ello, active el reenvío de ssh-agent, que permite conectarse al host de base y, a continuación, acceder al siguiente servidor reenviando las credenciales de la computadora. También puede acceder a las instancias de la subred privada mediante el canal SSH dinámico. El canal SSH es una forma de acceder a una aplicación web u otro servicio de recepción. El túnel dinámico proporciona un proxy SOCKS en el puerto local, pero las conexiones se originan desde el host remoto.

Acerca del Nivel de Equilibrador de Carga

Utilice Oracle Cloud Infrastructure Load Balancing para distribuir el tráfico a las instancias de la aplicación entre los dominios de disponibilidad de una VCN. Este servicio proporciona una instancia primaria y en espera del equilibrador de carga para garantizar que si el equilibrador de carga primario se cae, el equilibrador de carga en espera reenvía las solicitudes. El equilibrador de carga asegura que las solicitudes se direccionan a las instancias de la aplicación en perfectas condiciones. Si hay un problema con una instancia de la aplicación, el equilibrador de carga elimina dicha instancia e inicia las solicitudes de direccionamiento a las instancias de la aplicación en perfectas condiciones.

Según sus necesidades, puede colocar equilibradores de carga en una subred pública o privada.

Para puntos finales internos, a los que no se puede acceder desde Internet, utilice un equilibrador de carga privado. Un equilibrador de carga privado tiene una dirección IP privada y no se puede acceder a él desde Internet. Las instancias primaria y en espera de un equilibrador de carga residen en la misma subred privada. Puede acceder a los equilibradores de carga privados en la VCN o en su centro de datos mediante la VPN de IPSec mediante DRG. El equilibrador de carga privado acepta tráfico desde el centro de datos y distribuye el tráfico a las instancias de la aplicación subyacente.
Para puntos finales en Internet, utilice un equilibrador de carga público. Un equilibrador de carga público tiene una dirección IP pública y se puede acceder a él desde Internet. Puede acceder a los equilibradores de carga públicos desde Internet a través del gateway de Internet.
Para acceder a puntos finales internos y puntos finales orientados a Internet, configure equilibradores de carga privados y equilibradores de carga pública. Configure equilibradores de carga privados para servir el tráfico interno y configure equilibradores de carga pública para servir el tráfico de Internet.

Registre la dirección IP pública o privada de las instancias de Oracle Cloud Infrastructure Load Balancing en el servidor de nombres de dominio local o público (DNS) para la resolución de dominios del punto final de la aplicación.

Acerca de la Capa de Aplicaciones

Todas las instancias del nivel de aplicación se configuran y se conectan a instancias de base de datos que están en estado activo. El nivel de aplicación contiene los siguientes componentes de arquitectura de Internet de PeopleSoft:

Servidores web de PeopleSoft: los servidores web de PeopleSoft reciben solicitudes de aplicación del entorno web, Internet e intranet, mediante el equilibrador de carga. El equilibrador de carga distribuye el tráfico entrante a través del puerto 8000. Reenvía las solicitudes al puerto de Oracle Tuxedo Jolt en el servidor de aplicaciones. En el diagrama de arquitectura, se han desplegado varios servidores Web para soportar alta disponibilidad.
Servidores ElasticSearch: El marco de búsqueda de Oracle PeopleSoft proporciona un método estándar para utilizar índices de búsqueda para todas las aplicaciones de PeopleSoft. El marco de búsqueda depende de servidores de ElasticSearch. Interactúa con los servidores web de PeopleSoft a través del puerto 9200.
Servidores de aplicaciones PeopleSoft: los servidores de aplicaciones PeopleSoft manejan el bloque de la carga de trabajo en el sistema PeopleSoft. Ejecuta la lógica empresarial y procesa todas las solicitudes de aplicación procedentes del servidor web a través de los puertos Oracle Tuxedo Jolt 9000. El servidor de aplicaciones también es responsable de mantener la conexión SQL a la base de datos a través del puerto 1521. Las solicitudes de aplicaciones se reciben en el servidor web. Estas solicitudes se reenvían a los servidores de aplicaciones y, a continuación, los servidores de aplicaciones envían el SQL a los servidores de bases de datos.
PeopleSoft Process Scheduler: es necesaria una instancia de PeopleSoft Process Scheduler para ejecutar procesos o trabajos específicos de Windows, como NVision. Esta instancia se despliega en el sistema operativo Windows.
Cliente de PeopleTools: los clientes de PeopleTools son clientes basados en Windows. También se conocen como PeopleTools Development Environment. Estos clientes, que se ejecutan en plataformas Microsoft Windows admitidas, se pueden conectar a la base de datos PeopleSoft mediante el software de conectividad de cliente (conexión de dos capas) a través del puerto 1521 o a través de un servidor de aplicaciones PeopleSoft (conexión de tres capas) a través del puerto 7000. El cliente de PeopleTools es una parte integrada de la arquitectura de Internet de PeopleSoft, ya que ayuda a los administradores a realizar tareas de gestión y migración.

Configure Oracle Cloud Infrastructure File Storage para almacenar en zona intermedia el software de PeopleSoft. Se puede crear un único sistema de archivos de almacenamiento para compartir binarios de software en servidores de aplicaciones, servidores web y servidores de ElasticSearch.

Puede utilizar Oracle Cloud Infrastructure Object Storage para realizar una copia de seguridad de las instancias de la aplicación PeopleSoft .

Acerca de la Capa de Base de Datos

Para los requisitos de alta disponibilidad, Oracle recomienda que utilice una de las siguientes opciones para configurar las instancias de la base de datos PeopleSoft :

Sistemas de base de datos de dos nodos, Oracle Real Application Clusters (Oracle RAC) en la máquina virtual.
Instancias de Oracle Database Exadata Cloud Service. Este servicio proporciona Oracle Database alojado en Oracle Exadata Database Machine en Oracle Cloud.

Colocar los sistemas de base de datos en una subred independiente.

Las instancias de base de datos se configuran para que estén disponibles en gran medida y las dos instancias de la base de datos en un dominio de disponibilidad están activas. Las solicitudes recibidas del nivel de aplicación se equilibran en carga en las instancias de base de datos. Si una instancia de base de datos está caída, el resto de la instancia de base de datos da servicio a las solicitudes. Puede utilizar Oracle Cloud Infrastructure Object Storage para realizar una copia de seguridad de la base de datos PeopleSoft mediante RMAN.

Utilice listas de seguridad para restringir el acceso a los servidores de bases de datos solo desde el host de base, los servidores de aplicaciones y los servidores locales. Configure listas de seguridad para asegurarse de que la comunicación se produce sólo a través del puerto 22, a través del host de base y del puerto 1521, a través del servidor de aplicaciones. Asegúrese también de que no se pueda acceder a los sistemas de base de datos por Internet.

Si ha desplegado PeopleSoft en varios dominios de disponibilidad, utilice Oracle Active Data Guard en modo síncrono para replicar la base de datos en los dominios de disponibilidad. El puerto 1521 está abierto para la comunicación con Oracle Active Data Guard. Los servicios de transporte de Data Guard utilizan el puerto 1521 para transmitir archivos redo log de Oracle Active Data Guard.

Acerca de las Listas de Seguridad

En Oracle Cloud Infrastructure, las reglas de firewall se configuran mediante listas de seguridad. Se crea una lista de seguridad independiente para cada subred.

Oracle recomienda crear subredes independientes para la base de datos, la aplicación, el equilibrador de carga y los hosts de base de datos para asegurarse de que se asigna la lista de seguridad adecuada a las instancias de cada subred. Utilice listas de seguridad para permitir el tráfico entre diferentes niveles y entre el host de base y los hosts externos. Las listas de seguridad contienen reglas de entrada y salida para filtrar el tráfico en el nivel de subred. También contienen información sobre los puertos de comunicación a través de los cuales se permite la transferencia de datos. Esos puertos (o en algunos casos, los protocolos que necesitan puertos abiertos en las reglas de seguridad) se muestran en cada línea de regla de seguridad en los diagramas de arquitectura.

Cada lista de seguridad se aplica a nivel de instancia. Sin embargo, al configurar las listas de seguridad a nivel de subred, todas las instancias de una subred determinada están sujetas al mismo conjunto de reglas. Cada subred puede tener varias listas de seguridad asociadas a ella, y cada lista puede tener varias reglas. La transferencia de un paquete de datos se permite si una regla de cualquiera de las listas permite el tráfico (o si el tráfico forma parte de una conexión existente de la que se está realizando un seguimiento). Además de las listas de seguridad, use iptables para implementar otra capa de seguridad en el nivel de instancia.

Para los despliegues de una subred pública, puede proporcionar un nivel adicional de seguridad al evitar el acceso a la aplicación y a las instancias de base de datos desde Internet. Utilice una lista de seguridad personalizada para evitar el acceso a las instancias de la aplicación y la base de datos desde Internet y permitir el acceso a la base de datos y a los hosts de la aplicación a través del puerto 22 desde el host de la base de datos para fines de administración. No active el acceso SSH a las instancias de la aplicación y la base de datos desde Internet, pero puede permitir el acceso SSH a estas instancias desde la subred que contiene el host de la base.

Puede acceder a las instancias de la subred privada a través del servidor de base.

Para la arquitectura de varios dominios de disponibilidad, utilice las mismas listas de seguridad en las subredes de todos los dominios de disponibilidad.

Lista de seguridad para el host Bastion

La lista de seguridad de la base permite que se pueda acceder al host de la base desde Internet en el puerto 22 público.

Para permitir el tráfico SSH desde la red local hasta el host de base a través de Internet:

Entrada con estado: permita el tráfico TCP del CIDR de origen 0.0.0.0/0 y todos los puertos de origen al puerto de destino 22 (SSH).

Source Type = CIDR, Source CIDR = 0.0.0.0/0, IP Protocol = TCP, Source Port Range = All, Destination port range = 22

También puede restringir el acceso al host de la base a través de Internet en el puerto 22 sólo desde el centro de datos en lugar de la red pública de Internet (0.0.0.0/0). Para lograr esto, utilice la IP del enrutador de posición en lugar del origen CIDR como 0.0.0.0/0 en la regla de entrada con estado.
Para permitir el tráfico SSH desde el host de base hasta las instancias de Oracle Cloud Infrastructure Compute :

Salida con estado: permita el tráfico TCP al destino CIDR0.0.0/0 de todos los puertos de origen a todos los puertos de destino.

Destination Type = CIDR, Destination CIDR = <CIDR block of VCN>, IP Protocol = TCP, Source Port Range = All, Destination port range = All

Lista de seguridad para el nivel de equilibrador de carga

Los diagramas de arquitectura muestran equilibradores de carga privados, que se colocan en subredes privadas. Si coloca las instancias del equilibrador de carga en una subred pública, permitirá el tráfico de Internet (0.0.0.0/0) en las instancias del equilibrador de carga.

Para permitir el tráfico de Internet al equilibrador de carga:

Entrada con estado: Allow TCP traffic from source CIDR (Internet) 0.0.0.0/0 y todos los puertos de origen al puerto de destino 8000/8448 (HTTP) o 443 (HTTPS).

Source Type = CIDR, Source CIDR = 0.0.0.0/0, IP Protocol = TCP, Source Port Range = All, Destination port range = 8000/8448 or 443
Para permitir el tráfico de la red local al equilibrador de carga:

Entrada con estado: permitir el tráfico TCP desde el bloque CIDR de red local y todos los puertos de origen al puerto de destino 8000/8448 (HTTP) o 443 (HTTPS).

Source Type = CIDR, Source CIDR = <CIDR block for onpremises network>, IP Protocol = TCP, Source Port Range = All, Destination port range = 8888 or 443
Para permitir el tráfico de los niveles de equilibrio de carga a los niveles de aplicación:

Salida con estado: permita que el tráfico TCP dirija CIDR0.0.0/0 de todos los puertos de origen al puerto de destino 8000/8448 (HTTP) .

Destination Type = CIDR, Destination CIDR = <CIDR block for application subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 8000/8448

Lista de Seguridad para la Capa de Aplicaciones

Para permitir el tráfico del host de base al nivel de aplicación:

Entrada con Estado: permite el tráfico TCP desde el bloque CIDR de origen del host de la base en TCP al puerto de destino 22.

Source Type = CIDR, Source CIDR = <CIDR block of bastion subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 22
Para permitir el tráfico de la subred del equilibrador de carga a la subred del servidor web en el nivel de aplicación:

Entradas con Estado: Permitir tráfico TCP desde el bloque CIDR de origen de los niveles del equilibrador de carga al puerto de destino 8000 o 8443.

Source Type = CIDR, Source CIDR = <CIDR block of load balancer subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 8000 o 8443
Para permitir el tráfico de la subred del servidor web a la subred del servidor de aplicaciones:

Entradas con estado: permitir el tráfico TCP de los bloques CIDR de origen de los servidores web de PeopleSoft a los puertos de destino 9033 a 9039.

Source Type = CIDR, Source CIDR = <CIDR block of web server subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 9033 a 9039
Para permitir el tráfico de la subred del servidor web a servidores ElasticSearch:

Salida con estado: permita el tráfico TCP de los bloques CIDR de origen de los servidores web al puerto de destino 9200.

Destination Type = CIDR, Destination CIDR = 0.0.0.0/0, IP Protocol = TCP, Source Port Range = All, Destination port range = 9200
Para permitir el tráfico de servidores de ElasticSearch a servidores de programador de procesos:

Salida con estado: permita el tráfico TCP de los bloques CIDR de origen de los servidores web al puerto de destino 3389.

Destination Type = CIDR, Destination CIDR = 0.0.0.0/0, IP Protocol = TCP, Source Port Range = All, Destination port range = 3389
Para permitir el tráfico de la subred del servidor de aplicaciones al cliente de PeopleTools:

Salida con estado: permitir el tráfico TCP de los bloques CIDR de origen de la subred del cliente de PeopleTools al puerto de destino 3389.

Destination Type = CIDR, Destination CIDR = 0.0.0.0/0, IP Protocol = TCP, Source Port Range = All, Destination port range = 3389
Para permitir el tráfico del nivel de aplicación al nivel de base de datos:

Salida con estado: Permitir bloques CIDR de origen de tráfico TCP de la subred del servidor de aplicaciones al puerto de destino 1521.

Destination Type = CIDR, Destination CIDR = 0.0.0.0/0, IP Protocol = TCP, Source Port Range = All, Destination port range = 1521

Lista de seguridad del cliente de PeopleTools

El cliente de PeopleTools utiliza el sistema operativo Windows, por lo que debe utilizar RDP para esta instancia.

Para permitir el tráfico del host de base al cliente de PeopleTools:

Entrada con Estado: permite el tráfico TCP de los bloques CIDR de origen del host de base en TCP al puerto de destino 3389 utilizando RDP.

Source Type = CIDR, Source CIDR = <CIDR block of bastion subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 3389
Para permitir el tráfico de un cliente de PeopleTools a una subred de servidor de base de datos:

Salida con estado: permitir el tráfico TCP de los bloques CIDR de origen de la subred del cliente de PeopleTools al puerto de destino 1521.

Destination Type = CIDR, Destination CIDR = 0.0.0.0/0, IP Protocol = TCP, Source Port Range = All, Destination port range = 1521

Lista de Seguridad para la Capa de Base de Datos

Para permitir el tráfico del host de base al nivel de base de datos:

Entradas con estado: Source Type = CIDR, Source CIDR = <CIDR block of bastion subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 22
Para permitir el tráfico de los niveles de aplicación al nivel de base de datos:

Entradas con estado: Source Type = CIDR, Source CIDR = <CIDR block of application subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range =1521
Para permitir el tráfico del nivel de base de datos al nivel de aplicación:

Salida con estado: Destination Type = CIDR, Destination 0.0.0.0/0 on TCP, source port = All, destination port = All
Para permitir el tráfico de copia de seguridad de la base de datos a Oracle Cloud Infrastructure Object Storage :

Salida con estado: Destination Type = Service, Destination OCI <region> Object Storage, source port = All, destination port = 443

Para la arquitectura de varios dominios de disponibilidad, para permitir el tráfico entre las capas de bases de datos entre los dominios de disponibilidad para Oracle Active Data Guard:
- Entradas con estado: Source Type = CIDR, Source CIDR = <CIDR block of database subnet in availability domain 1>, IP Protocol = TCP, Source Port Range = All, Destination port range =1521
- Entradas con estado: Source Type = CIDR, Source CIDR = <CIDR block of database subnet in availability domain 2>, IP Protocol = TCP, Source Port Range = All, Destination port range =1521

Para el aprovisionamiento del sistema de Oracle Database Exadata Cloud Service , se necesitan las siguientes reglas adicionales:

Entradas con estado: Source Type = CIDR, Source CIDR = <CIDR block of exadata client subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range =All
Entradas con estado: Source Type = CIDR, Source CIDR = <CIDR block of exadata client subnet>, IP Protocol = ICMP, Type and Code = All
Salida con estado: Destination Type = CIDR, Destination CIDR = <CIDR block of exadata client subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = All
Salida con estado: Destination Type = CIDR, Destination CIDR = <CIDR block of exadata client subnet>, IP Protocol = ICMP, Type and Code = All