Configuration de la location

Avant de pouvoir utiliser les services Oracle Globally Distributed Database pour créer et gérer une base de données répartie, vous devez effectuer ces tâches préparatoires pour organiser votre location, créer des politiques pour les différentes ressources, puis acquérir et configurer les ressources de réseau, de sécurité et d'infrastructure.

Tâche 1. S'abonner à Ashburn Region

En tant qu'administrateur du locataire, abonnez-vous à la région Ashburn (IAD) et à toutes les régions requises pour exécuter votre mise en oeuvre de base de données Exadata répartie à l'échelle mondiale sur une infrastructure exaflopique.

  1. S'abonner à la région Ashburn (IAD).
    • Pour utiliser le service, vous devez vous abonner à la région Ashburn.
    • Il n'est pas nécessaire que votre région principale de location soit la région Ashburn, mais vous devez vous abonner à la région Ashburn pour utiliser les services de base de données répartie globalement d'Oracle.

  2. Abonnez-vous à toute autre région où vous placerez une base de données.
    • Abonnez-vous à toutes les régions où vous prévoyez de placer des bases de données pour votre mise en oeuvre, notamment les bases de données pour le catalogue, les partitions horizontales et la base de données de secours Oracle Data Guard facultative pour le catalogue.

      Note :

      La base de données Exadata répartie à l'échelle mondiale sur une infrastructure exaflopique prend uniquement en charge la création de partitions horizontales dans deux régions. En outre, pour des performances optimales, les bases de données distribuées utilisant la réplication Raft doivent avoir des partitions horizontales dans la même région.

Pour plus d'informations, voir Gestion des régions.

Tâche 2. Créer des compartiments

En tant qu'administrateur du locataire, créez des compartiments dans votre location pour toutes les ressources requises par le service Oracle Globally Distributed Exadata Database on Exascale Infrastructure.

Oracle recommande la structure suivante et ces compartiments sont référencés tout au long des tâches de configuration :

  • Compartiment "parent" pour l'ensemble du déploiement. Il s'agit de gdd dans les exemples.
  • Compartiments "enfants" pour chacun des différents types de ressource :
    • gdd_certs_vaults_keys pour les autorités de certification, les certificats, les ensembles de certificats, les chambres fortes et les clés
    • gdd_databases pour les bases de données, les grappes de machines virtuelles, les réseaux en nuage virtuels, les sous-réseaux, les points d'extrémité privés et les ressources de base de données Exadata répartie globalement sur une infrastructure exaflopique.
    • gdd_instances pour les instances de calcul des serveurs d'applications (noeud de bordure/hôte de saut servant d'hôte bastion pour la connexion à la base de données)

La structure de compartiment résultante ressemblera à ce qui suit :

tenant /
     gdd /       
          gdd_certs_vaults_keys 
          gdd_databases  
          gdd_instances

Pour plus d'informations, voir Utilisation des compartiments.

Tâche 3. Créer des contraintes d'accès utilisateur

Formulez un plan de contrôle d'accès, puis inscrivez-le en créant les ressources IAM appropriées (Identity and Access Management). En conséquence, le contrôle d'accès au sein d'une base de données distribuée est mis en œuvre à différents niveaux, qui sont définis par les groupes et les politiques ici.

Les groupes d'utilisateurs, les groupes dynamiques et les politiques décrits dans les tableaux suivants doivent guider la création de votre propre plan de contrôle d'accès utilisateur pour l'implémentation de votre base de données distribuée.

En tant qu'administrateur du locataire, créez les groupes recommandés, les groupes dynamiques et les politiques suivants pour accorder des autorisations aux rôles définis précédemment. Les exemples et les liens de documentation supposent que votre location utilise des domaines d'identité.

Présentation de la séparation des rôles

Vous devez vous assurer que les utilisateurs du nuage ont accès à l'utilisation et à la création des types de ressources en nuage appropriés pour l'exécution de leurs tâches. La meilleure pratique consiste à définir des rôles aux fins de séparation des rôles.

Les rôles et responsabilités décrits dans le tableau suivant doivent vous aider à comprendre comment définir des groupes d'utilisateurs, des groupes dynamiques et des politiques pour votre mise en oeuvre Distributed ExaDB-XS. Les exemples de rôles présentés ici sont utilisés tout au long de la configuration de l'environnement, de la création des ressources et des instructions de gestion.

Rôles Responsabilités
Administrateur des clients

S'abonner à des régions

Créer des compartiments

Créer des groupes dynamiques, des groupes d'utilisateurs et des politiques

Administrateur d'infrastructure

Créer/Mettre à jour/Supprimer virtual-network-family

Créer/mettre à jour/supprimer une infrastructure Exadata

Créer/mettre à jour/supprimer des grappes de machines virtuelles Exadata

Marquer les grappes de machines virtuelles Exadata

Créer/mettre à jour/supprimer des points d'extrémité privés de base de données répartis dans le monde entier

Administrateur de certificat

Créer/Mettre à jour/Supprimer une chambre forte

Créer/Mettre à jour/Supprimer des clés

Utilisateur Créer et gérer des bases de données réparties dans le monde entier à l'aide de l'interface utilisateur et des API

Groupes dynamiques

Créez les groupes dynamiques suivants pour contrôler l'accès aux ressources créées dans les compartiments Oracle Globally Distributed Exadata Database on Exascale Infrastructure.

Pour obtenir des instructions, voir Création d'un groupe dynamique.

Nom du groupe dynamique Description Règles
gdd-cas-dg Ressources de l'autorité de certification

Tous

resource.type='autorité de certification'

resource.compartment.id = 'OCID de la racine du locataire du compartiment / gdd / gdd_certs_vaults_keys'

gdd-grappes-dg Ressources de grappe de machines virtuelles de base de données Exadata

Tous

resource.compartment.id = 'OCID de la racine du locataire du compartiment / gdd / gdd_databases'

gdd-instances-dg Ressources d'instance de calcul

Tous

resource.compartment.id = 'OCID de la racine du locataire du compartiment / gdd / gdd_instances'

Groupes d'utilisateurs

Créez les groupes suivants pour accorder aux utilisateurs l'autorisation d'utiliser des ressources dans les compartiments de la base de données répartie globalement.

Pour obtenir des instructions, voir Création d'un groupe.

Nom du groupe d'utilisateurs Description
gdd-certificate-admins Administrateurs de certificats qui créent et gèrent des clés et des chambres fortes.
gdd-infrastructure-admins Administrateurs de l'infrastructure qui créent et gèrent le réseau et les ressources d'infrastructure en nuage
gdd-utilisateurs Utilisateurs qui créent et gèrent des ressources de base de données réparties globalement à l'aide des API et de l'interface utilisateur

politiques

Créez des politiques IAM pour accorder aux groupes l'accès aux ressources créées dans les compartiments pour votre location Oracle Globally Distributed Exadata Database on Exascale Infrastructure.

Notez qu'il existe plus d'un service de base de données répartie dans le monde sur Oracle Cloud. Ces politiques sont propres au service Base de données Exadata répartie à l'échelle mondiale sur une infrastructure exaflopique.

Les exemples de politiques suivants, basés sur la structure de compartiment et les groupes créés précédemment, doivent guider la création de vos propres politiques IAM pour votre mise en oeuvre.

Le domaine d'identité (par exemple, Par défaut) doit être le domaine d'identité dans lequel vous avez créé les groupes.

Pour obtenir des instructions, voir Création d'une politique.

gdd-certificate-admins-tenant level

  • Description : Privilèges de niveau locataire pour le groupe gdd-certificate-admins
  • Compartiment : locataire
  • Énoncés :
    Allow group 'Default' / 'gdd-certificate-admins' to INSPECT tenancies in tenancy
    Allow group 'Default' / 'gdd-certificate-admins' to INSPECT work-requests in tenancy

gdd-infrastructure-admins-tenant-level

  • Description : Privilèges de niveau locataire pour le groupe gdd-infrastructure-admins
  • Compartiment : locataire
  • Énoncés :
    Allow group 'Default' / 'gdd-infrastructure-admins' to INSPECT tenancies in tenancy
    Allow group 'Default' / 'gdd-infrastructure-admins' to INSPECT work-requests in tenancy
    Allow group 'Default' / 'gdd-infrastructure-admins' to READ limits in tenancy
    Allow group 'Default' / 'gdd-infrastructure-admins' to READ tag-namespaces in tenancy

niveau gdd-users-tenant

  • Description : Privilèges de niveau locataire pour le groupe gdd-users

  • Compartiment : locataire
  • Énoncés :
    Allow group 'Default' / 'gdd-users' to INSPECT tenancies in tenancy
    Allow group 'Default' / 'gdd-users' to INSPECT work-requests in tenancy
    Allow group 'Default' / 'gdd-users' to READ limits in tenancy
    Allow group 'Default' / 'gdd-users' to READ Distributed-database in tenancy
    Allow group 'Default' / 'gdd-users' to READ tag-namespaces in tenancy

gdd-certificate-admins

  • Description : Privilèges de niveau compartiment pour le groupe gdd-certificate-admins
  • Compartiment : tenant/gdd
  • Énoncés :
    Allow group 'Default' / 'gdd-certificate-admins' to MANAGE keys in compartment gdd
    Allow group 'Default' / 'gdd-certificate-admins' to MANAGE vaults in compartment gdd

gdd-infrastructure-admins

  • Description : Privilèges de niveau compartiment pour le groupe gdd-infrastructure-admins
  • Compartiment : tenant/gdd
  • Énoncés :
    Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE exadb-vm-clusters in compartment gdd
    Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE instance-family in compartment gdd
    Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE Distributed-database in compartment gdd
    Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE tags in compartment gdd
    Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE virtual-network-family in compartment gdd
    Allow group 'Default' / 'gdd-infrastructure-admins' to READ exascale-db-storage-vaults in compartment gdd
    Allow group 'Default' / 'gdd-infrastructure-admins' to READ distributed-database-workrequest in compartment gdd

gdd-utilisateurs

  • Description : Privilèges de niveau compartiment pour le groupe gdd-users
  • Compartiment : tenant/gdd
  • Énoncés :
    Allow group 'Default' / 'gdd-users' to MANAGE database-family in compartment gdd
    Allow service database to manage recovery-service-family in compartment gdd 
    Allow service rcs to manage recovery-service-family in compartment gdd
    Allow group 'Default' / 'gdd-users' to manage objects in compartment gdd
    Allow group 'Default' / 'gdd-users' to read buckets in compartment gdd
    Allow group 'Default' / 'gdd-users' to USE exadb-vm-clusters in compartment gdd
    Allow group 'Default' / 'gdd-users' to MANAGE instance-family in compartment gdd
    Allow group 'Default' / 'gdd-users' to MANAGE distributed-database in compartment gdd
    Allow group 'Default' / 'gdd-users' to MANAGE tags in compartment gdd
    Allow group 'Default' / 'gdd-users' to READ dns-records in compartment gdd
    Allow group 'Default' / 'gdd-users' to READ dns-zone in compartment gdd
    Allow group 'Default' / 'gdd-users' to READ keys in compartment gdd
    Allow group 'Default' / 'gdd-users' to READ distributed-database-workrequest in compartment gdd
    Allow group 'Default' / 'gdd-users' to READ vaults in compartment gdd
    Allow group 'Default' / 'gdd-users' to READ vcns in compartment gdd
    Allow group 'Default' / 'gdd-users' to USE network-security-groups in compartment gdd
    Allow group 'Default' / 'gdd-users' to USE private-ips in compartment gdd
    Allow group 'Default' / 'gdd-users' to USE subnets in compartment gdd
    Allow group 'Default' / 'gdd-users' to USE vnics in compartment gdd
    Allow group 'Default' / 'gdd-users' to USE volumes in compartment gdd

gdd-dg-cas

  • Description : Privilèges de niveau compartiment pour le groupe dynamique gdd-cas-dg
  • Compartiment : tenant/gdd
  • Énoncés :
    Allow dynamic-group 'Default' / 'gdd-cas-dg' to MANAGE objects in compartment gdd
    Allow dynamic-group 'Default' / 'gdd-cas-dg' to USE keys in compartment gdd

Grappes gdd-dg

  • Description : Privilèges de niveau compartiment pour le groupe dynamique gdd-clusters-dg
  • Compartiment : tenant/gdd
  • Énoncés :
    Allow dynamic-group 'Default' / 'gdd-clusters-dg' to MANAGE keys in compartment gdd_certs_vaults_keys
    Allow dynamic-group 'Default' / 'gdd-clusters-dg' to READ vaults in compartment gdd_certs_vaults_keys

gdd-kms

  • Description : Privilèges au niveau du compartiment pour le service Key Management
  • Compartiment : tenant/gdd
  • Énoncés :
    Allow service keymanagementservice to MANAGE vaults in compartment gdd_certs_vaults_keys

Tâche 4. Configurer les ressources de réseau

En tant qu'administrateur de l'infrastructure, créez les ressources réseau et activez la connectivité nécessaire à la base de données distribuée.

Des exemples de ressources sont nommés dans ces instructions pour simplifier le suivi et les relations. Par exemple, le nom "gdd_iad" fait référence au VCN créé dans la région Ashburn (IAD).

Ressources de réseau communes

Toutes les mises en oeuvre de base de données Exadata répartie à l'échelle mondiale sur une infrastructure exaflopique (Distributed ExaDB-XS) nécessitent un VCN, un sous-réseau et un point d'extrémité privé dans la région Ashburn (IAD).

En tant qu'administrateur d'infrastructure, créez les ressources comme décrit dans le tableau suivant.

Ressource Instructions
Sous-réseau de réseau en nuage virtuel (VCN)+

Dans Ashburn (IAD), créez le VCN gdd_iad et le sous-réseau gdd_subnet.

Ce VCN et ce sous-réseau sont requis pour activer la connectivité entre le service Distributed ExaDB-XS et les bases de données de la topologie.

Utilisez les valeurs suivantes :

  • Compartiment = gdd / gdd_databases
  • Région = Ashburn (IAD)
  • Nom du sous-réseau = gdd_subnet

  • Type de sous-réseau = Régional

    Le sous-réseau doit être régional et couvrir tous les domaines de disponibilité

Voir Réseaux en nuage virtuels et sous-réseaux pour les étapes de création.

Point d'extrémité privé

Créez un point d'extrémité privé dans la région Ashburn (IAD) pour permettre la connectivité entre le service Distributed ExaDB-XS et les bases de données de la topologie.

  1. Ouvrez le menu de navigation, cliquez sur Oracle Database, puis sur Base de données Exadata répartie à l'échelle mondiale sur une infrastructure exaflopique.
  2. Cliquez sur Points d'extrémité privés dans le volet de navigation.
  3. Cliquez sur Créer un point d'extrémité privé.
  4. Entrez les informations suivantes .

    • Nom : Par exemple gdd_pe
    • Compartiment : gdd/gdd_databases

      Il doit s'agir du compartiment contenant le sous-réseau de la région Ashburn que vous avez créé ci-dessus.

    • Sous-réseau : gdd_subnet

      Si le sous-réseau ne figure pas dans la liste, vérifiez qu'il a été créé en tant que sous-réseau régional.

    • Réseau en nuage virtuel : gdd_iad
    • Ajouter des marqueurs (facultatif) : Vous pouvez sélectionner des marqueurs pour cette ressource en cliquant sur Afficher les options de marquage.

Voir Créer et gérer des points d'extrémité privés pour plus d'informations sur cette ressource.

Ressources réseau supplémentaires en fonction de votre topologie

Selon votre topologie Oracle Globally Distributed Exadata Database on Exascale Infrastructure, créez des ressources de réseau supplémentaires comme décrit ci-dessous.

Notez que les bases de données de la topologie incluent le catalogue, les partitions horizontales et la base de secours Oracle Data Guard facultative pour le catalogue.

Toutes les ressources de réseau doivent être créées dans le compartiment gdd/gdd_databases.

Cas d'utilisation Ressources de réseau Appairage et connectivité

Toutes les bases de données sont placées dans la région Ashburn (IAD)

Créez un sous-réseau et une passerelle de service dans la région Ashburn (IAD) pour vos grappes de machines virtuelles de base de données Exadata en nuage.

  • Dans la région Ashburn (IAD), créez le sous-réseau osd-databases-subnet-iad dans le VCN gdd_iad.
  • Dans la région Ashburn (IAD), créez une passerelle de service gdd_sgw_iad

Appairage requis

Aucune

Connectivité requise

Connectivité sans restriction avec le sous-réseau gdd_subnet

Toutes les bases de données sont placées dans une seule région, R1, qui n'est pas Ashburn (IAD)*

Créez un sous-réseau et une passerelle de service dans la région pour vos grappes de machines virtuelles de base de données Exadata en nuage.

  • Dans la région R1, créez le VCN gdd_R1 avec le sous-réseau osd-database-subnet-R1
  • Dans la région R1, créez la passerelle de service gdd_sgw_R1

Appairage requis

gdd_iad ↔ gdd_R1

Connectivité requise

Sans restriction entre gdd_iad.gdd_subnet et gdd_R1.osd-database-subnet-R1

Les bases de données sont placées dans plusieurs régions R1, R2, ..., RN

Créez des sous-réseaux et des passerelles de service dans chaque région pour vos grappes de machines virtuelles de base de données Exadata en nuage.

Sous-réseau :

  • Dans la région R1, créez le VCN gdd_R1 avec le sous-réseau osd-database-subnet-R1
  • Dans la région R2, créez le VCN gdd_R2 avec le sous-réseau osd-database-subnet-R2

    ...

  • Dans la région Rn, créez le VCN gdd_Rn avec le sous-réseau osd-database-subnet-Rn

Passerelles de service :

  • Dans la région R1, créez la passerelle de service gdd_sgw_R1
  • Dans la région R2, créez la passerelle de service gdd_sgw_R2

    ...

  • Dans la région Rn, créez la passerelle de service gdd_sgw_Rn

Appairage requis

gdd_iad ↔ gdd_R1

gdd_iad ↔ gdd_R2

gdd_iad ↔ gdd_Rn

gdd_R1 ↔ gdd_R2

gdd_R1 ↔ gdd_Rn

gdd_R2 ↔ gdd_Rn

Connectivité requise

Sans restriction et bidirectionnel entre gdd_iad.gdd_subnet et

gdd_R1.osd-database-subnet-R1

gdd_R2.osd-database-subnet-R2

gdd_Rn.osd-database-subnet-Rn

Sans restriction et bidirectionnel entre gdd_R1.osd-database-subnet-R1 et

gdd_R2.osd-database-subnet-R2

gdd_Rn.osd-database-subnet-Rn

Sans restriction et bidirectionnel entre gdd_R2.osd-database-subnet-R2 et

gdd_Rn.osd-database-subnet-Rn

*Le plan de contrôle du service Oracle Globally Distributed Exadata Database on Exascale Infrastructure n'existe que dans la région Ashburn (IAD). Le point d'extrémité privé que vous avez créé à l'étape précédente dans la région Ashburn (IAD) est utilisé pour communiquer avec les ressources de base de données réparties dans leurs régions respectives.

Les instructions de création des ressources sont disponibles à l'adresse suivante :

Tâche 5. Configurer les ressources de sécurité

Toutes les ressources de sécurité sont créées dans le compartiment gdd/gdd_certs_vaults_keys.

Attention :

Après avoir créé une base de données distribuée qui référence une clé, vous ne pouvez pas déplacer la chambre forte ou les clés vers un nouveau compartiment sans redémarrer également les bases de données conteneur qui référencent la chambre forte ou la clé déplacée.

Créer une chambre forte

Créez une chambre forte dans le compartiment gdd/gdd_certs_vaults_keys pour les clés de chiffrement principales TDE dans la région où résident les bases de données de partition horizontale.

Par exemple, dans la région R1, créez la chambre forte gdd_vault_R1

Pour plus de détails sur la création d'une chambre forte, voir Création d'une chambre forte.

Créer une clé TDE

Créez la clé de chiffrement principale pour accéder à la base de données.

Par exemple, créez la clé de chiffrement principale gdd_TDE_key-oraspace dans la chambre forte gdd_vault_R1 avec les attributs suivants.

  • Mode de protection = Logiciel

  • Forme de la clé : Algorithme = AES

  • Longueur = 256

Pour plus de détails sur la création de clés de chiffrement principales, voir Créer une clé de chiffrement principale.

Tâche 6. Créer des ressources Exadata

En tant qu'administrateur de l'infrastructure, configurez la topologie Oracle Globally Distributed Exadata Database on Exascale Infrastructure dans les étapes suivantes.

Importer l'espace de noms de marqueur Oracle-ApplicationName

Importez l'espace de noms de marqueur Oracle-ApplicationName dans le compartiment racine de votre location.

  1. Dans le menu de navigation de la console Cloud, sélectionnez Gouvernance et administration, puis Espaces de noms de marqueur (dans la catégorie Gestion des locations).

  2. Dans le panneau Espaces de noms de marqueur, vérifiez si l'espace de noms Oracle-ApplicationName existe dans le compartiment racine de votre location.

    Assurez-vous que le compartiment racine de votre location est sélectionné sous Portée de la liste.

  3. Si vous ne voyez pas Oracle-ApplicationName dans la liste, procédez de la façon suivante :

    1. Cliquez sur Importer des marqueurs standard (situé au-dessus de la liste).

    2. Cochez la case à côté de l'espace de noms Oracle-ApplicationName et cliquez sur Importer.

Créer des grappes de machines virtuelles Exadata sur une infrastructure exaflopique

Créez une grappe de machines virtuelles à l'aide du service Exadata Database sur une infrastructure exaflopique pour la base de données de catalogue, la base de données facultative du catalogue de secours Data Guard et chaque base de données de partition, que vous prévoyez de déployer dans la topologie Distributed ExaDB-XS.

Lors de la création des grappes de machines virtuelles, utilisez les exigences et recommandations suivantes :

  • Il est recommandé d'utiliser une grappe de machines virtuelles par base de données ( partition horizontale, catalogue, base de données de secours du catalogue).

    Une base de données partitionnée et une base de données de catalogue peuvent être colocalisées sur une grappe de machines virtuelles donnée. Toutefois, l'utilisation d'une grappe de machines virtuelles commune pour le catalogue et la partition horizontale peut entraîner un goulot d'étranglement de traitement.

  • Créer des grappes à un seul noeud. Seules les grappes à noeud unique sont prises en charge.

  • Compartiment : Créez les grappes de machines virtuelles dans le compartiment gdd/gdd_clusters de votre location.

  • ECPU activées par machine virtuelle : Activez 8 ECPU pour les grappes de machines virtuelles destinées aux partitions horizontales.

  • Stockage de base de données : Vous pouvez utiliser la même chambre forte pour toutes les grappes de machines virtuelles (catalogue et partitions horizontales), à condition de configurer une capacité de stockage minimale de 500 Go pour chaque base de données de la topologie.

    Par exemple, si vous avez 3 partitions et 1 catalogue, le stockage minimum total requis est de 500 Go x 4 = 2000 Go. Dans ce cas, vous créez une chambre forte unique d'une capacité de stockage minimale de 2000 Go.

  • Fuseau horaire : Réglez toutes les grappes de machines virtuelles de la topologie au même fuseau horaire. Ce paramètre se trouve sous Options avancées.

  • Marqueurs : Ajoutez le marqueur défini Oracle-ApplicationName.Other_Oracle_Application: Sharding. Ce paramètre se trouve sous Options avancées.

    Avant de pouvoir ajouter le marqueur, vous devez importer l'espace de noms du marqueur, comme décrit sous Importer l'espace de noms de marqueur Oracle-ApplicationName.

    Note :

    Une fois que vous marquez une grappe de machines virtuelles pour une utilisation dans une base de données distribuée, elle continuera de facturer cette UDS jusqu'à ce que la grappe de machines virtuelles soit supprimée.

Voir Gérer les grappes de machines virtuelles pour les étapes de création des grappes.

(Facultatif) Créer une clé d'API et des contraintes d'utilisateur

Créez une paire de clés d'API OCI si vous avez l'intention d'utiliser directement l'API REST de base de données répartie globalement, les trousses de développement logiciel OCI et l'interface de ligne de commande.

Suivez les instructions de la rubrique Clés et OCID requis.

Pour définir les contrôles d'utilisateur sur les API, voir Autorisations pour les API de base de données réparties globalement.