Despliegue de un portal de ventas de Internet con una zona de llegada de Oracle Cloud Infrastructure

Para ayudar a las agencias gubernamentales federales, estatales y locales a configurar y proteger sus cargas de trabajo en la nube, Mythics ha desplegado una zona de llegada segura en Oracle Cloud Infrastructure (OCI) que cumple con las referencias del Centro para la seguridad de Internet (CIS).

Con la zona de llegada de OCI, Mythics puede personalizar, configurar y proteger rápidamente cualquier entorno unas horas después de crear la instancia.

En su propio arrendamiento de OCI, Mythics implementó un portal de ventas de Internet que admite sus grupos de marketing, ventas, contratos, legales, contables y operaciones. Gracias a los formularios y asistentes de APEX y a un almacén de datos que se integra con Oracle NetSuite, Mythics ahora puede realizar un seguimiento de las aprobaciones internas de cada uno de estos departamentos y enviarlas por correo electrónico, generando cientos de miles de transacciones de venta y transacciones de aprobación de flujos de trabajo por correo electrónico cada mes.

Al desplegar su portal de ventas de Internet mediante la zona de llegada de OCI, Mythics:

Mayor rendimiento y disponibilidad: Mythics ahora puede procesar transacciones rápidamente mediante el uso de varios núcleos de recursos informáticos y también puede mantener una alta disponibilidad mediante el uso de equilibradores de carga. Aprovechando sus capacidades de recuperación ante desastres, Mythics puede reducir o reducir rápidamente a demanda, incluso durante ráfagas estacionales, como un cierre de fin de mes, trimestre o año.
Configuraciones de seguridad complejas automatizadas: Mythics puede personalizar, configurar y proteger rápidamente su entorno pocas horas después de crear la instancia.
Posiciones de seguridad personalizables creadas: los mitos también pueden reutilizar y modificar las plantillas de la zona de llegada de OCI y aplicarlas a cualquier entorno de cliente comercial o del sector público, ejecutando cualquier tipo de carga de trabajo en OCI.

Arquitectura

Mythics desplegó una zona de llegada de Oracle Cloud Infrastructure (OCI) para proteger el entorno de su portal de ventas de Internet.

Mediante la plantilla de zona de llegada de OCI, Mythics creó automáticamente una red virtual en la nube (VCN), así como varias subredes y compartimentos. Las subredes se crearon con aislamiento y segmentación de red, listas de seguridad, tablas de rutas y grupos de seguridad de red (NSG):

appdev-pvt: subred privada para recursos de aplicación
mgmt-pvt: una subred privada para recursos de gestión
db-pvt: subred privada para recursos de bases de datos
bastion-pvt: subred privada para el acceso al host bastión
bastion-pub: subred pública para acceso de host bastión

Mythics utilizaba compartimentos para agrupar y controlar el acceso a recursos. Mythics implementó un modelo de acceso con privilegios mínimos mediante la creación de grupos y políticas y la asignación de los permisos adecuados para controlar quién puede acceder a los recursos. La zona de llegada, por defecto, crea cinco compartimentos:

megprod-network-cmpt: un compartimento para recursos de red
megprod-security-cmpt: un compartimento para recursos de seguridad que incluyen, notificaciones, Cloud Guard y logs
megprod-appdev-cmpt: un compartimento para APEX y servidores de aplicaciones
megprod-database-cmpt: compartimento para servidores de base de datos
megprod-mgmt-cmpt: un compartimento para recursos de gestión

Mythics también utilizó la zona de llegada de OCI para desplegar automáticamente herramientas de seguridad, como Oracle Cloud Guard para la gestión de la estrategia de seguridad, OCI Logging para consolidar logs y OCI Notifications. Los mitos entonces estratifican sus componentes, que incluyen:

APEX para el desarrollo de aplicaciones con poco código de formularios, asistentes y flujos de trabajo
Dos instancias de máquina virtual (VM) para procesos de aplicación, con equilibrio de carga para alta disponibilidad
Oracle Database Cloud Service se ejecuta en máquinas virtuales y un almacén de datos para almacenar más de 200 000 transacciones de ventas actuales e históricas
Un cluster de OCI Kubernetes Engine (OKE) para automatizar la gestión de recursos
Herramientas como Jenkins, el repositorio de Git y Oracle Linux Automation Manager (OLAM) incluidas en su cluster de OKE para automatizar el desarrollo, las pruebas, el despliegue y la gestión de software
Hosts bastión que proporcionan acceso desde una subred privada a través de la red local y desde una subred pública a la que se puede acceder desde Internet

Los usuarios acceden al portal de ventas de Internet mediante un gateway de Internet. Los desarrolladores y administradores de Mythics gestionan el entorno desde una ubicación local mediante Tailscale para una mayor seguridad. La red local está conectada mediante túneles VPN IPSec con el equipo local (CPE) del cliente conectado a gateways de enrutamiento dinámico (DRG). Desde Internet, los desarrolladores de Mythics acceden al entorno mediante Tailscale, que es un servicio VPN que protege dispositivos y aplicaciones a los que se puede acceder desde cualquier lugar. Además de utilizar grupos, políticas y reglas de red, Tailscale permite a Mythics controlar el acceso a la red perimetral y, por lo tanto, ajustar el nivel exacto de acceso que otorgan. Por ejemplo, los desarrolladores de Mythics pueden acceder al cluster y la aplicación de OKE, mientras que los administradores solo pueden acceder a las instancias del servidor de aplicaciones, creando una capa de seguridad adicional en la red de acceso de confianza cero.

Los gateways de NAT se utilizan para integraciones con Oracle NetSuite. Oracle NetSuite CRM/ERP se actualiza cada 15 minutos y se extrae diariamente mediante una serie de paneles de control de APEX e informes ad hoc. Las API de REST se utilizan como puntos de automatización y transfieren los cambios a NetSuite desde la base de datos. Los puntos de integración adicionales permiten a Mythics utilizar la aplicación como orquestador de licencias para gestionar grandes contratos a través de un acuerdo de licencia ilimitado (ULA).

Para la recuperación ante desastres, la aplicación se despliega en una configuración activa-pasiva. La región este de EE. UU.-Ashburn es la región principal y la región oeste de EE. UU.-Phoenix es el sitio de recuperación ante desastres (DR). Las dos regiones se conectan mediante un intercambio de tráfico remoto entre los dos DRG. Los equilibradores de carga redirigen a los usuarios al sitio de recuperación ante desastres en caso de que se produzca un fallo en Ashburn. La base de datos se replica mediante Oracle Data Guard de Ashburn a Phoenix. Los servicios de almacenamiento de archivos y de objetos se replican desde Ashburn a Phoenix. Los servicios de copia de seguridad nativos de OCI se utilizan para realizar copias de seguridad de la infraestructura.

Las mejoras futuras para Mitos incluyen:

Aprovechamiento de más opciones de plataforma como servicio (PaaS)
Migración de la base de datos de Oracle Database Cloud Service que se ejecuta en máquinas virtuales a Oracle Autonomous Database para liberar a los equipos de Mitos de las operaciones y el mantenimiento de la base de datos

El siguiente diagrama ilustra la arquitectura de redes y recuperación ante desastres:

Descripción de mítico-oci-architecture.png

Descripción de la ilustración mitics-oci-architecture.png

mito-oci-arquitectura-oracle.zip

La arquitectura tiene los siguientes componentes:

Tenancy
Un arrendamiento es una partición segura y aislada que Oracle configura en Oracle Cloud al registrarse en Oracle Cloud Infrastructure. Puede crear, organizar y administrar sus recursos en Oracle Cloud dentro de su arrendamiento. Un arrendamiento es sinónimo de una compañía u organización. Normalmente, una compañía tendrá un único arrendamiento y reflejará su estructura organizativa dentro de ese arrendamiento. Un único arrendamiento suele estar asociado a una única suscripción, y una única suscripción normalmente solo tiene un arrendamiento.
Región
Una región de Oracle Cloud Infrastructure es un área geográfica localizada que contiene uno o más centros de datos, denominados dominios de disponibilidad. Las regiones son independientes entre sí y puede haber grandes distancias que las separen (entre países e incluso continentes).
Compartimento
Los compartimentos son particiones lógicas entre regiones dentro de un arrendamiento de Oracle Cloud Infrastructure. Utilice compartimentos para organizar, controlar el acceso y definir cuotas de uso para los recursos de Oracle Cloud. En un compartimento determinado, defina políticas que controlen el acceso y definan privilegios para los recursos.
Dominio de disponibilidad
Los dominios de disponibilidad son centros de datos independientes dentro de una región. Los recursos físicos de cada dominio de disponibilidad están aislados de los recursos de los otros dominios de disponibilidad, lo que proporciona tolerancia a fallos. Los dominios de disponibilidad no comparten infraestructura, como la alimentación o la refrigeración, ni la red interna del dominio de disponibilidad. Por lo tanto, un fallo en un dominio de disponibilidad no debería afectar a los otros dominios de disponibilidad de la región.
Dominio de errores
Un dominio de errores es una agrupación de hardware e infraestructura dentro de un dominio de disponibilidad. Cada dominio de disponibilidad cuenta con tres dominios de errores con energía y hardware independientes. Al distribuir los recursos entre varios dominios de errores, las aplicaciones pueden tolerar fallos físicos del servidor, mantenimiento del sistema y fallos de energía en un dominio de errores.
Red y subredes virtuales en la nube (VCN)
Una VCN es una red personalizable y definida por software que puede configurar en una región de Oracle Cloud Infrastructure. Al igual que las redes de los centros de datos tradicionales, las redes virtuales le proporcionan el control de su entorno de red. Una VCN puede tener varios bloques de CIDR no superpuestos que puede cambiar después de crear la VCN. Puede segmentar una VCN en subredes, las cuales se pueden acotar a una región o a un dominio de disponibilidad. Cada subred está formada por un rango contiguo de direcciones que no se solapan con las demás subredes de la VCN. Puede cambiar el tamaño de una subred después de la creación. Una subred puede ser pública o privada.
Tabla de rutas
Las tablas de rutas virtuales contienen reglas para enrutar el tráfico de subredes a destinos fuera de una VCN, normalmente a través de gateways.
Lista de seguridad
Para cada subred, puede crear reglas de seguridad que especifiquen el origen, el destino y el tipo de tráfico que se debe permitir dentro y fuera de la subred.
VPN de sitio a sitio
La VPN de sitio a sitio proporciona conectividad VPN IPSec entre la red local y las VCN en Oracle Cloud Infrastructure. El conjunto de protocolos IPSec cifra el tráfico IP antes de transferir los paquetes del origen al destino y descifra el tráfico cuando llega.
Gateway de Internet
El gateway de Internet permite el tráfico entre las subredes públicas de una VCN y la red pública de Internet.
Gateway de enrutamiento dinámico (DRG)
El DRG es un enrutador virtual que proporciona una ruta para el tráfico de red privada entre las redes virtuales en la misma región, entre una VCN y una red fuera de la región, como una VCN en otra región de Oracle Cloud Infrastructure, una red local o una red en otro proveedor en la nube.
Gateway de traducción de direcciones de red (NAT)
Un gateway de NAT permite que los recursos privados de una VCN accedan a hosts en Internet, sin exponer dichos recursos a conexiones de Internet entrantes.
Gateway de servicio
El gateway de servicios proporciona acceso desde una VCN a otros servicios, como Oracle Cloud Infrastructure Object Storage. El tráfico de la VCN al servicio Oracle viaja por el tejido de red de Oracle y no atraviesa Internet.
Intercambio de tráfico remoto
El intercambio de tráfico remoto permite a los recursos de las VCN comunicarse mediante direcciones IP privadas sin enrutar el tráfico por Internet ni a través de la red local. El intercambio de tráfico remoto elimina la necesidad de un gateway de Internet y direcciones IP públicas para las instancias que deben comunicarse con otra VCN en una región diferente.
Equilibrador de carga
El servicio Oracle Cloud Infrastructure Load Balancing proporciona una distribución automatizada del tráfico desde un único punto de entrada a varios servidores en el backend.
Oracle Base Database Service
Oracle Base Database Service es un servicio de base de datos de Oracle Cloud Infrastructure (OCI) que permite crear, escalar y gestionar bases de datos Oracle con todas las funciones en máquinas virtuales. Oracle Base Database Service utiliza OCI Block Volumes storage en lugar de almacenamiento local y puede ejecutar Oracle Real Application Clusters (Oracle RAC) para mejorar la disponibilidad.
Data Guard
Oracle Data Guard y Oracle Active Data Guard proporcionan un completo juego de servicios que permiten crear, mantener, gestionar y controlar una o más bases de datos en espera y que permiten que las bases de datos Oracle de producción permanezcan disponibles sin interrupción. Oracle Data Guard mantiene estas bases de datos en espera como copias de la base de datos de producción mediante la replicación en memoria. Si la base de datos de producción deja de estar disponible debido a una interrupción planificada o no planificada, Oracle Data Guard puede cambiar cualquier base de datos en espera al rol de producción, minimizando el tiempo de inactividad asociado a la interrupción. Oracle Active Data Guard proporciona la capacidad adicional de descargar cargas de trabajo de lectura principalmente en bases de datos en espera y también proporciona funciones avanzadas de protección de datos.
Cloud Guard
Puede utilizar Oracle Cloud Guard para supervisar y mantener la seguridad de los recursos en Oracle Cloud Infrastructure. Cloud Guard utiliza recetas de detector que puede definir para examinar los recursos en busca de deficiencias de seguridad y para supervisar a los operadores y usuarios para determinadas actividades de riesgo. Cuando se detecta una configuración incorrecta o una actividad no segura, Cloud Guard recomienda acciones correctivas y ayuda a realizar esas acciones, en función de las recetas de responsable de respuesta que pueda definir.
Servicio APEX
Oracle APEX es una plataforma de desarrollo con poco código que permite crear aplicaciones empresariales seguras, escalables, con muchas funciones y que se pueden desplegar en cualquier lugar donde esté instalado Oracle Database. No es necesario que sea un experto en una amplia gama de tecnologías para crear soluciones sofisticadas. Oracle APEX incluye funciones incorporadas como temas de la interfaz del usuario, controles de navegación, manejadores de formulario e informes flexibles que aceleran el proceso de desarrollo de las aplicaciones.
Notifications
El servicio Oracle Cloud Infrastructure Notifications transmite mensajes a componentes distribuidos a través de un patrón de publicación y suscripción, lo que permite que los mensajes dirigidos a aplicaciones alojadas en Oracle Cloud Infrastructure sean seguros, altamente fiables, duraderos y de baja latencia.
Logging
Logging es un servicio altamente escalable y totalmente administrado que proporciona acceso a los siguientes tipos de registros de sus recursos en la nube:
- Logs de auditoría: logs relacionados con eventos emitidos por el servicio de auditoría.
- Logs de servicios: logs emitidos por servicios individuales como API Gateway, eventos, funciones, equilibrio de carga, Object Storage y logs de flujo de VCN.
- Logs personalizados: logs que contienen información de diagnóstico de aplicaciones personalizadas, otros proveedores de nube o un entorno local.
Kubernetes Engine
Oracle Cloud Infrastructure Kubernetes Engine (OCI Kubernetes Engine u OKE) es un servicio totalmente gestionado, escalable y disponible que puede utilizar para desplegar las aplicaciones en contenedores en la nube. Especifique los recursos informáticos que necesitan sus aplicaciones y Kubernetes Engine los provisionará en Oracle Cloud Infrastructure en un arrendamiento existente. OKE utiliza Kubernetes para automatizar el despliegue, la ampliación y la gestión de aplicaciones en contenedores en clusters de hosts.
Almacenamiento de objetos
Oracle Cloud Infrastructure Object Storage proporciona acceso rápido a grandes cantidades de datos estructurados y no estructurados de cualquier tipo de contenido, incluidas copias de seguridad de base de datos, datos analíticos y contenido enriquecido, como imágenes y vídeos. Puede almacenar datos de forma segura y, a continuación, recuperarlos directamente desde Internet o desde la plataforma en la nube. Puede ampliar el almacenamiento sin experimentar ninguna degradación del rendimiento ni de la fiabilidad del servicio. Utilice el almacenamiento estándar para el almacenamiento al que debe acceder de forma rápida, inmediata y frecuente. Utilice el almacenamiento de archivo para el almacenamiento "frío" al que conserva durante largos períodos de tiempo y al que rara vez accede.
Almacenamiento de archivos
El servicio Oracle Cloud Infrastructure File Storage proporciona un sistema de archivos de red duradero, escalable, seguro y empresarial. Puede conectarse a un sistema de archivos del servicio File Storage desde cualquier instancia con hardware dedicado, de máquina virtual o de contenedor en una VCN. También puede acceder a un sistema de archivos desde fuera de la VCN mediante Oracle Cloud Infrastructure FastConnect y la VPN IPSec.
DNS
El servicio de sistema de nombres de dominio (DNS) de Oracle Cloud Infrastructure es una red anycast global con gran capacidad de ampliación de un sistema de nombre de dominio (DNS) que ofrece rendimiento, resiliencia y posibilidades de ampliación de DNS para que los usuarios finales se conecten a las aplicaciones de Internet rápidamente y desde cualquier lugar.
Registro
Oracle Cloud Infrastructure Registry es un registro gestionado por Oracle que permite simplificar el desarrollo y el flujo de trabajo de producción. El registro facilita el almacenamiento, el uso compartido y la gestión de artefactos de desarrollo, como imágenes de Docker. La arquitectura altamente disponible y escalable de Oracle Cloud Infrastructure garantiza que pueda desplegar y gestionar sus aplicaciones de forma fiable.

Explorar más

Obtenga más información sobre las funciones de esta arquitectura y las arquitecturas relacionadas.

Consulte las siguientes publicaciones de blog sobre la zona de llegada de Oracle Cloud Infrastructure:

Confirmaciones

Autores: Robert Huie, Sasha Banks-Louie
Contribuyentes: Robert Lies