Obtener más información sobre la configuración de funciones avanzadas de Java Management Service
Java Management Service (JMS) es un servicio nativo en Oracle Cloud Infrastructure (OCI). JMS se puede utilizar para gestionar, supervisar y proteger instalaciones de Java en sus propias instancias informáticas gestionadas (local o en OCI).
Puede utilizar JMS para:
- Visibilidad: descubra y gestione Java en toda la empresa
- Estadísticas: Análisis de la configuración de Java Virtual Machine (JVM), la seguridad, el cumplimiento, el rendimiento
- Ajuste: seguridad, migración, optimización y automatización
¿Alguna vez se ha preguntado si su estrategia de seguridad actual está alineada con las recomendaciones de seguridad realizadas por Oracle para los tiempos de ejecución de Java y está actualizada? JMS puede ayudarle a encontrar la respuesta para eso, puede informar de cualquier biblioteca Java problemática utilizada por sus aplicaciones y comprobar si las aplicaciones que ya están en ejecución no tienen fallos en el área de seguridad. ¿Le cuesta el rendimiento de sus aplicaciones Java o le resulta difícil comprender los logs del recolector de basura Java? JMS se rescata con análisis de rendimiento. ¿No está seguro si puede cambiar fácilmente a una versión más reciente de Java? Lo hemos tratado con Java Migration Analysis.
Con JMS, las grabaciones de Java Flight Recorder (JFR) nunca fueron más fáciles, solo necesita seleccionar la aplicación en JMS, proporcionar algunos detalles y enviar la solicitud de grabación. Una vez finalizada la solicitud de trabajo de registro de JFR, puede acceder fácilmente a ella desde el cubo del conjunto de JMS. Y eso no es todo, JMS también incluye capacidades de gestión del ciclo de vida de Java como la instalación de tiempos de ejecución de Java o proporcionar detalles adicionales sobre los servidores de aplicaciones Java.
En este manual de soluciones se describen los pasos para configurar las funciones avanzadas de JMS para resolver los problemas de TI de Java descritos anteriormente.
Las funciones avanzadas de JMS se pueden utilizar para obtener información sobre diferentes aspectos de Java en su entorno. Por ejemplo, mediante las funciones avanzadas, puede:
- Analice las bibliotecas Java utilizadas por sus aplicaciones para identificar y notificar posibles vulnerabilidades (CVE) asociadas a bibliotecas Java de terceros.
- Optimice el rendimiento de la carga de trabajo Java con recomendaciones de ajuste de JVM mediante el análisis de rendimiento.
- Evalúe la viabilidad y el esfuerzo necesarios para migrar aplicaciones Java a versiones más recientes de JDK con Java Migration Analysis.
- Ayuda a mantener tus aplicaciones seguras mediante el análisis de eventos criptográficos para identificar usos criptográficos débiles que dejarán de funcionar con las próximas actualizaciones en la hoja de ruta criptográfica de Oracle JRE y JDK.
- Comprenda qué servicios y aplicaciones se ejecutan en cada servidor de aplicaciones Java mediante la exploración de servidores Java.
- Ejecute JDK Flight Recorder para recopilar de forma remota estadísticas de la aplicación.
- Descargue, instale y configure Java Runtime.
- Elimine versiones de Oracle Java notificadas.
- Distribuya o elimine el juego de reglas de despliegue.
Antes de empezar
El acceso a Java Management Service requiere una cuenta de Oracle Cloud (OCI). Puede utilizar su propia cuenta en la nube o puede obtener una cuenta gratuita de OCI.
En los ejemplos descritos en este manual de soluciones, utilizamos la herramienta de línea de comandos de OCI. Si está interesado en probar esos ejemplos por su cuenta, configure y configure la CLI de OCI de acuerdo con la siguiente guía Interfaz de línea de comandos (CLI). Los requisitos adicionales para ejecutar el ejemplo son la presencia de la utilidad de línea de comandos jq en la máquina donde ejecutará los comandos de la herramienta oci. Puede obtener esta utilidad para casi todas las plataformas desde la página del proyecto GitHub: https://github.com/jqlang/jq.
Asegúrese de que una máquina de Oracle Linux esté configurada correctamente para permitir la comunicación con los servicios de OCI. La máquina puede ser:
- Una instancia informática de OCI que está disponible en su arrendamiento. Si aún no tiene una instancia configurada, consulte Creación de una instancia informática de OCI.
- Host que no es de OCI, que es local (en su propio centro de datos, nube de terceros, etc.) y que se debe supervisar mediante el servicio JMS.
Arquitectura
En este manual se describe una visión general de las funciones avanzadas de Java Management Service incorporadas, específicamente para obtener información sobre las instalaciones de Java y realizar acciones correctivas según sea necesario. Esta solución se aplica a la activación de la funcionalidad de funciones avanzadas en JMS, para instalaciones de Oracle en OCI, locales y en la nube de terceros.
El agente de JMS se instala en las instancias gestionadas para recopilar metadatos de uso de Java y telemetría de uso de Java. Los datos de telemetría se emiten y almacenan en su arrendamiento para proteger la privacidad.
El siguiente diagrama ilustra la topología del servicio JMS en producción. En el diagrama se muestran los agentes desplegados para realizar un seguimiento de Java que se ejecuta en OCI, sus escritorios locales, computadoras portátiles y servidores, y servicios en la nube de terceros. Estos agentes se despliegan en sus instancias gestionadas y están asociados a sus recursos (fleets) creados en sus arrendamientos.
El agente instalado en sus arrendamientos filtra los metadatos de uso de Java de su arrendamiento. JMS utiliza estos metadatos para generar estadísticas como la versión de Java, la línea base de seguridad y las próximas actualizaciones de Java, y el uso de aplicaciones, que se presentan al conectarse a la consola de OCI. No hay acceso a Oracle más allá del procesamiento de los metadatos extraídos.
Con las funciones avanzadas disponibles en JMS, puede analizar el uso de los servidores de aplicaciones Java, identificar posibles vulnerabilidades en las bibliotecas Java utilizadas por las aplicaciones que se ejecutan en su entorno, utilizar Java Flight Recorder para el rendimiento y el análisis criptográfico y gestionar Oracle Java Runtime (versiones de JDK) en su entorno. Puede utilizar la función avanzada para gestionar Java que se ejecuta en su entorno.
En el siguiente diagrama se ilustra esta arquitectura.
En un nivel superior, la siguiente sección describe cómo fluyen los datos entre el agente JMS instalado en la instancia gestionada y el servicio JMS en OCI:
- Instala el agente en la instancia gestionada y el agente se registra con OCI.
- Puede configurar o activar el plugin de JMS (transferiendo el conjunto de JMS como parámetro). El agente de JMS ahora está asociado al conjunto de JMS deseado.
- El agente de JMS registrado sondea JMS para buscar trabajo. JMS responderá al sondeo con las solicitudes de trabajo adecuadas, si las hubiera.
- El agente JMS explora periódicamente la instancia gestionada en busca de instalaciones o entradas de Java en el rastreador de uso y envía las métricas de Java y los metadatos de Java a OCI.
Para obtener más información sobre el flujo de datos entre el agente de JMS y el servicio de OCI y los flujos de tráfico entre el agente de JMS instalado en las máquinas host (local) y JMS que se ejecutan en OCI, consulte Supervisión y gestión de las instalaciones de aplicaciones Java y Java.
Esta arquitectura tiene los siguientes componentes:
- Región
Una región de OCI es un área geográfica localizada que contiene uno o más centros, denominados dominios de disponibilidad. Las regiones son independientes de otras regiones y pueden haber grandes distancias que las separan (entre países o incluso continentes).
- Dominios de disponibilidad
Los dominios de disponibilidad son centros de datos independientes dentro de una región. Los recursos físicos de cada dominio de disponibilidad están aislados de los recursos de los otros dominios de disponibilidad, lo que proporciona tolerancia a fallos. Los dominios de disponibilidad no comparten infraestructura, como la alimentación o la refrigeración, ni la red interna del dominio de disponibilidad. Por lo tanto, un fallo en un dominio de disponibilidad no debería afectar a los demás dominios de disponibilidad de la región.
- Tenancy
Un arrendamiento es una partición segura y aislada que Oracle configura en Oracle Cloud cuando se registra en OCI. Puede crear, organizar y administrar sus recursos en OCI dentro de su arrendamiento. Un arrendamiento es sinónimo de una compañía u organización. Normalmente, una compañía tendrá un único arrendamiento y reflejará su estructura organizativa dentro de ese arrendamiento. Un único arrendamiento suele estar asociado a una única suscripción y una única suscripción suele tener un solo arrendamiento.
- Compartimento
Los compartimentos son particiones lógicas entre regiones dentro de un arrendamiento de OCI. Utilice compartimentos para organizar, controlar el acceso y definir cuotas de uso para sus recursos de Oracle Cloud. En un compartimento determinado, puede definir políticas que controlen el acceso y definan privilegios para los recursos.
- Red virtual en la nube (VCN) y subredes
Una red virtual en la nube (VCN) es una red personalizable y definida por software que se configura en una región de OCI. Al igual que las Redes de los Centros de Datos Tradicionales, las Redes Virtuales le proporcionan el control sobre su entorno de red. Una VCN puede tener varios bloques de CIDR no superpuestos que puede cambiar después de crear la VCN. Puede segmentar una VCN en subredes, las cuales se pueden acotar a una región o a un dominio de disponibilidad. Cada subred está formada por un rango contiguo de direcciones que no se solapan con las demás subredes de la VCN. Puede cambiar el tamaño de una subred después de la creación. Una subred puede ser pública o privada.
- Pool de instancia
Un pool de instancia es un grupo de instancias dentro de una región que se crean a partir de la misma configuración que se gestionan como un grupo.
- Red local
Se trata de una red local utilizada por la organización.
- Gateway de API de OCI
Oracle Cloud Infrastructure API Gateway permite publicar API con puntos finales privados a los que se puede acceder desde la red y que, si es necesario, se pueden exponer a la red pública de Internet. Los puntos finales soportan las validaciones de API, las transformaciones de solicitud y respuesta, CORS, la autenticación y autorización, y la limitación de solicitudes.
- Gateway de enrutamiento dinámico (DRG)
The DRG is a virtual router that provides a path for private network traffic between VCNs in the same region, between a VCN and a network outside the region, such as a VCN in another OCI region, an on-premises network, or a network in another cloud provider.
- Gateway de servicio
Un gateway de servicios proporciona acceso desde una VCN a otros servicios, como Oracle Cloud Infrastructure Object Storage. El tráfico desde la VCN al servicio Oracle recorre el tejido de red de la Oracle y no atraviesa Internet.
- Oracle Autonomous Database
Oracle Autonomous Database es un entorno de base de datos preconfigurado y totalmente gestionado que puede utilizar para cargas de trabajo de procesamiento de transacciones y almacenamiento de datos. No necesita configurar ni gestionar ningún hardware, ni instalar ningún software. OCI gestiona la creación, la copia de seguridad, la aplicación de parches, la actualización y el ajuste de la base de datos.
- Host bastión
El host bastión es una instancia informática que sirve como punto de entrada seguro y controlado a la topología desde fuera de la nube. El host bastión se aprovisiona, por lo general, en una zona desmilitarizada (DMZ). Le permite proteger los recursos sensibles colocándolos en redes privadas a los que no se puede acceder directamente desde fuera de la nube. La topología tiene un único punto de entrada conocido que puede supervisar y auditar con regularidad. Por lo tanto, puede evitar exponer los componentes más sensibles de la topología sin comprometer el acceso.
- Agente de Oracle Cloud
Oracle Cloud Agent es un proceso ligero que gestiona el ciclo de vida de los plugins que se ejecutan en instancias informáticas en OCI. Los plugins de JMS recopilan metadatos Java de su entorno desplegado en la instancia gestionada en OCI. El plugin JMS exfiltra estos metadatos Java en el servicio JMS de OCI.
- Computación de OCI
Con Oracle Cloud Infrastructure Compute, puede aprovisionar y gestionar hosts informáticos en la nube. Puede iniciar instancias informáticas con unidades que cumplan los requisitos de recursos para CPU, memoria, ancho de banda de red y almacenamiento. Después de crear una instancia informática, puede acceder a ella de forma segura, reiniciarla, asociar y desasociar volúmenes, y terminarla cuando ya no la necesite.
- DNS de OCI
El servicio de sistema de nombres de dominio (DNS) de Oracle Cloud Infrastructure es una red de sistema de nombres de dominio (DNS) anycast global con grandes posibilidades de ampliación que ofrece un rendimiento de DNS mejorado, resiliencia y posibilidades de ampliación para que los usuarios finales se conecten a las aplicaciones de Internet de forma rápida y desde cualquier lugar.
- Flujos de Kafka
Kafka Streams es una biblioteca cliente para crear aplicaciones y microservicios, donde los datos de entrada y salida se almacenan en clusters de Kafka. Combina la simplicidad de la escritura y el despliegue de aplicaciones Java y Scala estándar en el lado del cliente con las ventajas de la tecnología de cluster del lado del servidor de Kafka.
- Registro de OCIOracle Cloud Infrastructure Logging es un servicio altamente escalable y totalmente gestionado que proporciona acceso a los siguientes tipos de logs de sus recursos en la nube:
- Logs de auditoría: logs relacionados con eventos producidos por OCI Audit.
- Logs de servicio: logs publicados por servicios individuales como OCI API Gateway, OCI Events, OCI Functions, OCI Load Balancing, OCI Object Storage y logs de flujo de VCN.
- Logs personalizados: logs que contienen información de diagnóstico a partir de aplicaciones personalizadas, otros proveedores de nube o un entorno local.
- Oracle Management Agent
Oracle Management Agent es un servicio que proporciona una recopilación de datos y comunicación interactiva de baja latencia entre Oracle Cloud Infrastructure y las instancias gestionadas locales. Los agentes de gestión recopilan datos de los orígenes que desea supervisar. Management Agent Service, un servicio de Oracle Cloud Service, gestiona el ciclo de Vida del agente y los plugins de los servicios.
- Supervisión de OCI
Oracle Cloud Infrastructure Monitoring supervisa de forma activa y pasiva los recursos en la nube, y utiliza alarmas para notificarle cuando las métricas cumplen los disparadores especificados.
- OCI Object Storage
OCI Object Storage proporciona acceso a grandes cantidades de datos estructurados y no estructurados de cualquier tipo de contenido, incluidas copias de seguridad en bases de datos, datos analíticos y contenido enriquecido como imágenes y vídeos. Puede almacenar datos de forma segura directamente desde las aplicaciones o desde la plataforma en la nube. Puedes ampliar el almacenamiento sin experimentar ninguna degradación del rendimiento o la fiabilidad del servicio.
Utilice el almacenamiento estandar para el almacenamiento "caliente" al que debe acceder de forma rápida, inmediata y frecuente. Utilice este tipo de almacenamiento para el almacenamiento "frío" que conserva durante largos períodos de tiempo y a los a los que rara vez accede.
- Política
Una política de Oracle Cloud Infrastructure Identity and Access Management especifica quién puede acceder a qué recursos y cómo. El acceso se otorga en los niveles de grupo y compartimento, lo que significa, que puede escribir una política que proporcione un tipo específico de acceso a un grupo en un compartimento específico o al arrendamiento.
- Lista de seguridad
Para cada subred, puede crear reglas de seguridad que especifiquen el origen, el destino y el tipo de tráfico que se permite dentro y fuera de la subred.
- Zona de seguridad
Las zonas de seguridad implantan las mejores prácticas clave de seguridad de Oracle al aplicar políticas para un compartimento completo, como el cifrado de datos y la prevención del acceso público a las redes. Una zona de seguridad está asociada a un compartimento con el mismo nombre e incluye políticas de zona de seguridad (una receta) que se aplican al compartimento y sus subcompartimentos. No puede agregar ni mover un compartimento estándar a un compartimento del área de seguridad.
- OCI Vault
Oracle Cloud Infrastructure Vault permite crear y gestionar de forma centralizada las claves de cifrado que protegen los datos y las credenciales secretas que utiliza para proteger el acceso a los recursos en la nube. La gestión de claves por defecto son las claves gestionadas por Oracle. También puede utilizar claves gestionadas por el cliente que utilizan OCI Vault. OCI Vault ofrece un juego enriquecido de API de REST para gestionar almacenes y claves.
- Flujo de trabajo de OCI
Oracle Cloud Infrastructure Workflow es un motor de flujo de trabajo sin servidor con un diseñador gráfico de flujos para desarrolladores y arquitectos. Acelera la creación, ejecución y orquestación de servicios de OCI, como OCI Functions o AI/ML.
Consideraciones
Debe tener en cuenta los siguientes puntos al activar las funciones avanzadas.
- Se necesitan políticas adicionales para utilizar las funciones avanzadas de JMS
- El análisis de eventos criptográficos, el análisis de rendimiento y JDK Flight Recorder pueden aumentar el uso general de la memoria de la JVM de la aplicación.
- Para el análisis de eventos Crypto, el análisis de rendimiento y JDK Flight Recorder, las versiones de tiempo de ejecución de Java de la aplicación deben ser de la versión 8u361 o superior.
- El límite superior del análisis de eventos criptográficos y del análisis de rendimiento para cada grabación JFR se establece en 4096 MB.
- Se pueden cargar costos adicionales mediante los servicios de OCI Object Storage y OCI Logging para almacenar los datos producidos por las funciones avanzadas de JMS.
- Gestión del ciclo de vida de Java
- La función de juego de reglas de despliegue solo se aplica a los tiempos de ejecución de Java 8. La sobrecarga adicional es la distribución del jar de política en las instancias gestionadas del conjunto.
- La instalación de Java puede alterar la configuración del sistema Java en la instancia gestionada. Siga las instrucciones de instalación para la versión de Java Runtime seleccionada y las plataformas de instancias gestionadas.
- La eliminación de Java Runtime puede alterar la configuración del sistema Java en la instancia gestionada. Por ejemplo, si se selecciona Java Runtime, es el único tiempo de ejecución configurado por el sistema en una instancia gestionada.
- Seguimiento de consumo avanzado
- Para la detección de la ejecución de servidores de aplicaciones Java, su tiempo de ejecución Java Runtime debe ser al menos de la versión 8u361 o superior.
- La detección de bibliotecas puede aumentar significativamente el consumo de recursos en instancias gestionadas durante la inspección de la aplicación y sus bibliotecas, especialmente el uso de CPU y E/S.
- Según el número de servidores de aplicaciones y bibliotecas detectados en la instancia gestionada, la carga útil enviada a JMS puede ser superior a la habitual. En circunstancias normales, debe estar dentro de un rango de unos pocos cientos de kilobytes.
- Análisis de eventos criptográficos
- Según cuánto utilice cada aplicación los subsistemas relacionados con la seguridad de JVM durante la grabación, el tamaño final del archivo de grabación de JFR puede variar, en circunstancias normales, el tamaño habitual de la grabación es de entre unos pocos cientos de kilobytes y unos pocos megabytes.
- Si la aplicación está inactiva, es posible que algunos mecanismos de detección no informen posibles problemas.
- El uso de la red se puede aumentar según el número de instancias gestionadas, el número de aplicaciones y el tamaño de cada registro. La red se utiliza durante la carga de las grabaciones de JFR en OCI para su análisis.
- Análisis de Rendimiento
- El tamaño final de cada archivo de grabación de JFR depende del comportamiento de la aplicación. Se capturan varios eventos de JFR relacionados con el rendimiento, como detalles sobre las recopilaciones de elementos no utilizados, la memoria, etc. En circunstancias normales, el tamaño de grabación habitual es de unos pocos megabytes.
- Si la aplicación está inactiva, es posible que algunos mecanismos de detección no informen posibles problemas de rendimiento.
- El uso de la red se puede aumentar según el número de instancias gestionadas y el tamaño de cada registro. La red se utiliza durante la carga de las grabaciones de JFR en OCI para su análisis.
- JDK Flight Recorder (JFR)
- El tamaño final del archivo de grabación de JFR depende del perfil seleccionado o de la configuración personalizada de JFC proporcionada, otro factor que influye en el tamaño es la duración de grabación seleccionada para la aplicación.
- Análisis de migración a Java
- La utilización de recursos puede aumentar durante el análisis de la aplicación.
- El resultado del análisis suele ser de unos pocos cientos de kilobytes dependiendo del tamaño de las aplicaciones en sí y sus dependencias.
Algunas funciones avanzadas como el análisis criptográfico y el análisis de rendimiento se basan en la API de asociación de JVM. Durante la ejecución de las solicitudes de trabajo, el plugin JMS puede enviar nuevos eventos al objeto de log de inventario del conjunto. La siguiente carga útil de ejemplo ilustra lo que se entregará en el log de inventario de la flota en tales situaciones:
{
"datetime": 1752483223432,
"logContent": {
"id": "3d6a9915-af91-4527-a6d4-2a0d86106b15",
"time": "2025-07-14T08:53:43.432Z",
"oracle": {
"compartmentid": "ocid1.compartment.oc1..compartment-id",
"ingestedtime": "2025-07-14T08:55:27.274970180Z",
"instanceid": "ocid1.instance.oc1.eu-frankfurt-1.instance-id",
"loggroupid": "ocid1.loggroup.oc1.eu-frankfurt-1.log-group-id",
"logid": "ocid1.log.oc1.eu-frankfurt-1.log-id",
"tenantid": "ocid1.tenancy.oc1..tenant-id"
},
"source": "ocid1.instance.oc1.eu-frankfurt-1.instance-id",
"specversion": "1.0",
"subject": "Oracle JMS Plugin",
"type": "jms.jvm.usage.attach.log",
"data": {
"data": {
"additionalProperties": {
"java.runtime.name": "Java(TM) SE Runtime Environment",
"user.dir": "/home/opc/crypto",
"user.name": "opc"
},
"applicationName": "spring-tls-server-1.1.0.jar",
"classPath": "spring-tls-server-1.1.0.jar",
"classPathElements": [
"spring-tls-server-1.1.0.jar"
],
"fleetId": "ocid1.jmsfleet.oc1.eu-frankfurt-1.fleet-id",
"javaArgs": "n/a",
"javaCommand": "spring-tls-server-1.1.0.jar --debug",
"javaDistribution": "Java(TM) SE Runtime Environment",
"javaHome": "/usr/lib/jvm/jdk-21-oracle-x64",
"javaMajorVersion": "21",
"javaVendor": "Oracle Corporation",
"javaVersion": "21",
"managedInstanceId": "ocid1.instance.oc1.eu-frankfurt-1.instance-id",
"osArch": "amd64",
"osName": "Linux",
"osVersion": "5.15.0-306.177.4.el9uek.x86_64",
"startTime": "2025-07-14T08:48:34.947541200Z",
"typeOfStart": "VM start"
},
"datacontenttype": "application/json",
"dataschema": "1.0",
"id": "3d6a9915-af91-4527-a6d4-2a0d86106b15",
"source": "ocid1.instance.oc1.eu-frankfurt-1.instance-id",
"specversion": "1.0",
"time": "2025-07-14T08:53:43.432Z",
"type": "jms.jvm.usage.attach.log"
}
},
"regionId": "eu-frankfurt-1"
}Otras Consideraciones
Una vez que se envía una solicitud de ejecución de función en JMS, el servicio JMS crea una solicitud de trabajo identificada por un OCID de solicitud de trabajo único. A continuación se muestra el proceso típico para realizar un seguimiento del progreso de la solicitud de trabajo desde la consola de OCI Cloud.
- Navegue hasta el conjunto haciendo clic en Observability & Management, Java Management, Fleets.
- Seleccione su flota.
- Haga clic en la sección Solicitudes de trabajo del conjunto.
Cómo realizar un seguimiento del progreso de la solicitud de trabajo desde la CLI de OCI:
- Ejecute el siguiente comando:
oci jms work-request get --work-request-id $WORK_REQUEST_OCID - Si solo le interesa el estado actual de la solicitud de trabajo, puede ejecutar la sentencia anterior con la utilidad
jq:oci jms work-request get --work-request-id $WORK_REQUEST_OCID | jq .data.status
La capacidad de enviar y realizar un seguimiento de las solicitudes de trabajo de funciones también está disponible en la API de JMS, a la que se puede acceder mediante el SDK de OCI.