Configuration de la location
Avant de pouvoir utiliser les services Oracle Globally Distributed Database pour créer et gérer une base de données répartie, vous devez effectuer ces tâches préparatoires pour organiser votre location, créer des politiques pour les différentes ressources, puis acquérir et configurer les ressources de réseau, de sécurité et d'infrastructure.
- Tâche 1. S'abonner à la région Ashburn
- Tâche 2. Créer des compartiments
- Tâche 3. Créer des contraintes d'accès d'utilisateur
- Tâche 4. Configurer les ressources de réseau
- Tâche 5. Configurer les ressources de sécurité
- Tâche 6. Créer des ressources Exadata
- (Facultatif) Créer une clé d'API et des contraintes d'utilisateur
Tâche 1. S'abonner à Ashburn Region
En tant qu'administrateur du locataire, abonnez-vous à la région Ashburn (IAD) et à toutes les régions requises pour exécuter votre mise en oeuvre de base de données Exadata répartie à l'échelle mondiale sur une infrastructure exaflopique.
- S'abonner à la région Ashburn (IAD).
- Pour utiliser le service, vous devez vous abonner à la région Ashburn.
-
Il n'est pas nécessaire que votre région principale de location soit la région Ashburn, mais vous devez vous abonner à la région Ashburn pour utiliser les services de base de données répartie globalement d'Oracle.
- Abonnez-vous à toute autre région où vous placerez une base de données.
- Abonnez-vous à toutes les régions où vous prévoyez de placer des bases de données pour votre mise en oeuvre, notamment les bases de données pour le catalogue, les partitions horizontales et la base de données de secours Oracle Data Guard facultative pour le catalogue.
Note :
La base de données Exadata répartie à l'échelle mondiale sur une infrastructure exaflopique prend uniquement en charge la création de partitions horizontales dans deux régions. En outre, pour des performances optimales, les bases de données distribuées utilisant la réplication Raft doivent avoir des partitions horizontales dans la même région.
- Abonnez-vous à toutes les régions où vous prévoyez de placer des bases de données pour votre mise en oeuvre, notamment les bases de données pour le catalogue, les partitions horizontales et la base de données de secours Oracle Data Guard facultative pour le catalogue.
Pour plus d'informations, voir Gestion des régions.
Rubrique parent : Configuration de la location
Tâche 2. Créer des compartiments
En tant qu'administrateur du locataire, créez des compartiments dans votre location pour toutes les ressources requises par le service Oracle Globally Distributed Exadata Database on Exascale Infrastructure.
Oracle recommande la structure suivante et ces compartiments sont référencés tout au long des tâches de configuration :
- Compartiment "parent" pour l'ensemble du déploiement. Il s'agit de gdd dans les exemples.
- Compartiments "enfants" pour chacun des différents types de ressource :
- gdd_certs_vaults_keys pour les autorités de certification, les certificats, les ensembles de certificats, les chambres fortes et les clés
- gdd_databases pour les bases de données, les grappes de machines virtuelles, les réseaux en nuage virtuels, les sous-réseaux, les points d'extrémité privés et les ressources de base de données Exadata répartie globalement sur une infrastructure exaflopique.
- gdd_instances pour les instances de calcul des serveurs d'applications (noeud de bordure/hôte de saut servant d'hôte bastion pour la connexion à la base de données)
La structure de compartiment résultante ressemblera à ce qui suit :
tenant /
gdd /
gdd_certs_vaults_keys
gdd_databases
gdd_instances
Pour plus d'informations, voir Utilisation des compartiments.
Rubrique parent : Configuration de la location
Tâche 3. Créer des contraintes d'accès utilisateur
Formulez un plan de contrôle d'accès, puis inscrivez-le en créant les ressources IAM appropriées (Identity and Access Management). En conséquence, le contrôle d'accès au sein d'une base de données distribuée est mis en œuvre à différents niveaux, qui sont définis par les groupes et les politiques ici.
Les groupes d'utilisateurs, les groupes dynamiques et les politiques décrits dans les tableaux suivants doivent guider la création de votre propre plan de contrôle d'accès utilisateur pour l'implémentation de votre base de données distribuée.
En tant qu'administrateur du locataire, créez les groupes recommandés, les groupes dynamiques et les politiques suivants pour accorder des autorisations aux rôles définis précédemment. Les exemples et les liens de documentation supposent que votre location utilise des domaines d'identité.
Rubrique parent : Configuration de la location
Présentation de la séparation des rôles
Vous devez vous assurer que les utilisateurs du nuage ont accès à l'utilisation et à la création des types de ressources en nuage appropriés pour l'exécution de leurs tâches. La meilleure pratique consiste à définir des rôles aux fins de séparation des rôles.
Les rôles et responsabilités décrits dans le tableau suivant doivent vous aider à comprendre comment définir des groupes d'utilisateurs, des groupes dynamiques et des politiques pour votre mise en oeuvre Distributed ExaDB-XS. Les exemples de rôles présentés ici sont utilisés tout au long de la configuration de l'environnement, de la création des ressources et des instructions de gestion.
| Rôles | Responsabilités |
|---|---|
| Administrateur des clients |
S'abonner à des régions Créer des compartiments Créer des groupes dynamiques, des groupes d'utilisateurs et des politiques |
| Administrateur d'infrastructure |
Créer/Mettre à jour/Supprimer virtual-network-family Créer/mettre à jour/supprimer une infrastructure Exadata Créer/mettre à jour/supprimer des grappes de machines virtuelles Exadata Marquer les grappes de machines virtuelles Exadata Créer/mettre à jour/supprimer des points d'extrémité privés de base de données répartis dans le monde entier |
| Administrateur de certificat |
Créer/Mettre à jour/Supprimer une chambre forte Créer/Mettre à jour/Supprimer des clés |
| Utilisateur | Créer et gérer des bases de données réparties dans le monde entier à l'aide de l'interface utilisateur et des API |
Rubrique parent : Tâche 3. Créer des contraintes d'accès d'utilisateur
Groupes dynamiques
Créez les groupes dynamiques suivants pour contrôler l'accès aux ressources créées dans les compartiments Oracle Globally Distributed Exadata Database on Exascale Infrastructure.
Pour obtenir des instructions, voir Création d'un groupe dynamique.
| Nom du groupe dynamique | Description | Règles |
|---|---|---|
| gdd-cas-dg | Ressources de l'autorité de certification |
Tous resource.type='autorité de certification' resource.compartment.id = 'OCID de la racine du locataire du compartiment / gdd / gdd_certs_vaults_keys' |
| gdd-grappes-dg | Ressources de grappe de machines virtuelles de base de données Exadata |
Tous resource.compartment.id = 'OCID de la racine du locataire du compartiment / gdd / gdd_databases' |
| gdd-instances-dg | Ressources d'instance de calcul |
Tous resource.compartment.id = 'OCID de la racine du locataire du compartiment / gdd / gdd_instances' |
Rubrique parent : Tâche 3. Créer des contraintes d'accès d'utilisateur
Groupes d'utilisateurs
Créez les groupes suivants pour accorder aux utilisateurs l'autorisation d'utiliser des ressources dans les compartiments de la base de données répartie globalement.
Pour obtenir des instructions, voir Création d'un groupe.
| Nom du groupe d'utilisateurs | Description |
|---|---|
| gdd-certificate-admins | Administrateurs de certificats qui créent et gèrent des clés et des chambres fortes. |
| gdd-infrastructure-admins | Administrateurs de l'infrastructure qui créent et gèrent le réseau et les ressources d'infrastructure en nuage |
| gdd-utilisateurs | Utilisateurs qui créent et gèrent des ressources de base de données réparties globalement à l'aide des API et de l'interface utilisateur |
Rubrique parent : Tâche 3. Créer des contraintes d'accès d'utilisateur
politiques
Créez des politiques IAM pour accorder aux groupes l'accès aux ressources créées dans les compartiments pour votre location Oracle Globally Distributed Exadata Database on Exascale Infrastructure.
Notez qu'il existe plus d'un service de base de données répartie dans le monde sur Oracle Cloud. Ces politiques sont propres au service Base de données Exadata répartie à l'échelle mondiale sur une infrastructure exaflopique.
Les exemples de politiques suivants, basés sur la structure de compartiment et les groupes créés précédemment, doivent guider la création de vos propres politiques IAM pour votre mise en oeuvre.
Le domaine d'identité (par exemple, Par défaut) doit être le domaine d'identité dans lequel vous avez créé les groupes.
Pour obtenir des instructions, voir Création d'une politique.
gdd-certificate-admins-tenant level
- Description : Privilèges de niveau locataire pour le groupe gdd-certificate-admins
- Compartiment : locataire
- Énoncés :
Allow group 'Default' / 'gdd-certificate-admins' to INSPECT tenancies in tenancy Allow group 'Default' / 'gdd-certificate-admins' to INSPECT work-requests in tenancy
gdd-infrastructure-admins-tenant-level
- Description : Privilèges de niveau locataire pour le groupe gdd-infrastructure-admins
- Compartiment : locataire
- Énoncés :
Allow group 'Default' / 'gdd-infrastructure-admins' to INSPECT tenancies in tenancy Allow group 'Default' / 'gdd-infrastructure-admins' to INSPECT work-requests in tenancy Allow group 'Default' / 'gdd-infrastructure-admins' to READ limits in tenancy Allow group 'Default' / 'gdd-infrastructure-admins' to READ tag-namespaces in tenancy
niveau gdd-users-tenant
-
Description : Privilèges de niveau locataire pour le groupe gdd-users
- Compartiment : locataire
- Énoncés :
Allow group 'Default' / 'gdd-users' to INSPECT tenancies in tenancy Allow group 'Default' / 'gdd-users' to INSPECT work-requests in tenancy Allow group 'Default' / 'gdd-users' to READ limits in tenancy Allow group 'Default' / 'gdd-users' to READ Distributed-database in tenancy Allow group 'Default' / 'gdd-users' to READ tag-namespaces in tenancy
gdd-certificate-admins
- Description : Privilèges de niveau compartiment pour le groupe gdd-certificate-admins
- Compartiment : tenant/gdd
- Énoncés :
Allow group 'Default' / 'gdd-certificate-admins' to MANAGE keys in compartment gdd Allow group 'Default' / 'gdd-certificate-admins' to MANAGE vaults in compartment gdd
gdd-infrastructure-admins
- Description : Privilèges de niveau compartiment pour le groupe gdd-infrastructure-admins
- Compartiment : tenant/gdd
- Énoncés :
Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE exadb-vm-clusters in compartment gdd Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE instance-family in compartment gdd Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE Distributed-database in compartment gdd Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE tags in compartment gdd Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE virtual-network-family in compartment gdd Allow group 'Default' / 'gdd-infrastructure-admins' to READ exascale-db-storage-vaults in compartment gdd Allow group 'Default' / 'gdd-infrastructure-admins' to READ distributed-database-workrequest in compartment gdd
gdd-utilisateurs
- Description : Privilèges de niveau compartiment pour le groupe gdd-users
- Compartiment : tenant/gdd
- Énoncés :
Allow group 'Default' / 'gdd-users' to MANAGE database-family in compartment gdd Allow service database to manage recovery-service-family in compartment gdd Allow service rcs to manage recovery-service-family in compartment gdd Allow group 'Default' / 'gdd-users' to manage objects in compartment gdd Allow group 'Default' / 'gdd-users' to read buckets in compartment gdd Allow group 'Default' / 'gdd-users' to USE exadb-vm-clusters in compartment gdd Allow group 'Default' / 'gdd-users' to MANAGE instance-family in compartment gdd Allow group 'Default' / 'gdd-users' to MANAGE distributed-database in compartment gdd Allow group 'Default' / 'gdd-users' to MANAGE tags in compartment gdd Allow group 'Default' / 'gdd-users' to READ dns-records in compartment gdd Allow group 'Default' / 'gdd-users' to READ dns-zone in compartment gdd Allow group 'Default' / 'gdd-users' to READ keys in compartment gdd Allow group 'Default' / 'gdd-users' to READ distributed-database-workrequest in compartment gdd Allow group 'Default' / 'gdd-users' to READ vaults in compartment gdd Allow group 'Default' / 'gdd-users' to READ vcns in compartment gdd Allow group 'Default' / 'gdd-users' to USE network-security-groups in compartment gdd Allow group 'Default' / 'gdd-users' to USE private-ips in compartment gdd Allow group 'Default' / 'gdd-users' to USE subnets in compartment gdd Allow group 'Default' / 'gdd-users' to USE vnics in compartment gdd Allow group 'Default' / 'gdd-users' to USE volumes in compartment gdd
gdd-dg-cas
- Description : Privilèges de niveau compartiment pour le groupe dynamique gdd-cas-dg
- Compartiment : tenant/gdd
- Énoncés :
Allow dynamic-group 'Default' / 'gdd-cas-dg' to MANAGE objects in compartment gdd Allow dynamic-group 'Default' / 'gdd-cas-dg' to USE keys in compartment gdd
Grappes gdd-dg
- Description : Privilèges de niveau compartiment pour le groupe dynamique gdd-clusters-dg
- Compartiment : tenant/gdd
- Énoncés :
Allow dynamic-group 'Default' / 'gdd-clusters-dg' to MANAGE keys in compartment gdd_certs_vaults_keys Allow dynamic-group 'Default' / 'gdd-clusters-dg' to READ vaults in compartment gdd_certs_vaults_keys
gdd-kms
- Description : Privilèges au niveau du compartiment pour le service Key Management
- Compartiment : tenant/gdd
- Énoncés :
Allow service keymanagementservice to MANAGE vaults in compartment gdd_certs_vaults_keys
Rubrique parent : Tâche 3. Créer des contraintes d'accès d'utilisateur
Tâche 4. Configurer les ressources de réseau
En tant qu'administrateur de l'infrastructure, créez les ressources réseau et activez la connectivité nécessaire à la base de données distribuée.
Des exemples de ressources sont nommés dans ces instructions pour simplifier le suivi et les relations. Par exemple, le nom "gdd_iad" fait référence au VCN créé dans la région Ashburn (IAD).
Rubrique parent : Configuration de la location
Ressources de réseau communes
Toutes les mises en oeuvre de base de données Exadata répartie à l'échelle mondiale sur une infrastructure exaflopique (Distributed ExaDB-XS) nécessitent un VCN, un sous-réseau et un point d'extrémité privé dans la région Ashburn (IAD).
En tant qu'administrateur d'infrastructure, créez les ressources comme décrit dans le tableau suivant.
| Ressource | Instructions |
|---|---|
| Sous-réseau de réseau en nuage virtuel (VCN)+ |
Dans Ashburn (IAD), créez le VCN gdd_iad et le sous-réseau gdd_subnet. Ce VCN et ce sous-réseau sont requis pour activer la connectivité entre le service Distributed ExaDB-XS et les bases de données de la topologie. Utilisez les valeurs suivantes :
Voir Réseaux en nuage virtuels et sous-réseaux pour les étapes de création. |
| Point d'extrémité privé |
Créez un point d'extrémité privé dans la région Ashburn (IAD) pour permettre la connectivité entre le service Distributed ExaDB-XS et les bases de données de la topologie.
Voir Créer et gérer des points d'extrémité privés pour plus d'informations sur cette ressource. |
Rubrique parent : Tâche 4. Configurer les ressources de réseau
Ressources réseau supplémentaires en fonction de votre topologie
Selon votre topologie Oracle Globally Distributed Exadata Database on Exascale Infrastructure, créez des ressources de réseau supplémentaires comme décrit ci-dessous.
Notez que les bases de données de la topologie incluent le catalogue, les partitions horizontales et la base de secours Oracle Data Guard facultative pour le catalogue.
Toutes les ressources de réseau doivent être créées dans le compartiment gdd/gdd_databases.
| Cas d'utilisation | Ressources de réseau | Appairage et connectivité |
|---|---|---|
|
Toutes les bases de données sont placées dans la région Ashburn (IAD)
|
Créez un sous-réseau et une passerelle de service dans la région Ashburn (IAD) pour vos grappes de machines virtuelles de base de données Exadata en nuage.
|
Appairage requis Aucune Connectivité requise Connectivité sans restriction avec le sous-réseau gdd_subnet |
| Toutes les bases de données sont placées dans une seule région, R1, qui n'est pas Ashburn (IAD)* |
Créez un sous-réseau et une passerelle de service dans la région pour vos grappes de machines virtuelles de base de données Exadata en nuage.
|
Appairage requis gdd_iad ↔ gdd_R1 Connectivité requise Sans restriction entre gdd_iad.gdd_subnet et gdd_R1.osd-database-subnet-R1 |
| Les bases de données sont placées dans plusieurs régions R1, R2, ..., RN |
Créez des sous-réseaux et des passerelles de service dans chaque région pour vos grappes de machines virtuelles de base de données Exadata en nuage. Sous-réseau :
Passerelles de service :
|
Appairage requis gdd_iad ↔ gdd_R1 gdd_iad ↔ gdd_R2 gdd_iad ↔ gdd_Rn gdd_R1 ↔ gdd_R2 gdd_R1 ↔ gdd_Rn gdd_R2 ↔ gdd_Rn Connectivité requise Sans restriction et bidirectionnel entre gdd_iad.gdd_subnet et gdd_R1.osd-database-subnet-R1 gdd_R2.osd-database-subnet-R2 gdd_Rn.osd-database-subnet-Rn Sans restriction et bidirectionnel entre gdd_R1.osd-database-subnet-R1 et gdd_R2.osd-database-subnet-R2 gdd_Rn.osd-database-subnet-Rn Sans restriction et bidirectionnel entre gdd_R2.osd-database-subnet-R2 et gdd_Rn.osd-database-subnet-Rn |
*Le plan de contrôle du service Oracle Globally Distributed Exadata Database on Exascale Infrastructure n'existe que dans la région Ashburn (IAD). Le point d'extrémité privé que vous avez créé à l'étape précédente dans la région Ashburn (IAD) est utilisé pour communiquer avec les ressources de base de données réparties dans leurs régions respectives.
Les instructions de création des ressources sont disponibles à l'adresse suivante :
Rubrique parent : Tâche 4. Configurer les ressources de réseau
Tâche 5. Configurer les ressources de sécurité
Attention :
Après avoir créé une base de données distribuée qui référence une clé, vous ne pouvez pas déplacer la chambre forte ou les clés vers un nouveau compartiment sans redémarrer également les bases de données conteneur qui référencent la chambre forte ou la clé déplacée.Rubrique parent : Configuration de la location
Créer une chambre forte
Créez une chambre forte dans le compartiment gdd/gdd_certs_vaults_keys pour les clés de chiffrement principales TDE dans la région où résident les bases de données de partition horizontale.
Par exemple, dans la région R1, créez la chambre forte gdd_vault_R1
Pour plus de détails sur la création d'une chambre forte, voir Création d'une chambre forte.
Rubrique parent : Tâche 5. Configurer les ressources de sécurité
Créer une clé TDE
Créez la clé de chiffrement principale pour accéder à la base de données.
Par exemple, créez la clé de chiffrement principale gdd_TDE_key-oraspace dans la chambre forte gdd_vault_R1 avec les attributs suivants.
-
Mode de protection = Logiciel
-
Forme de la clé : Algorithme = AES
-
Longueur = 256
Pour plus de détails sur la création de clés de chiffrement principales, voir Créer une clé de chiffrement principale.
Rubrique parent : Tâche 5. Configurer les ressources de sécurité
Tâche 6. Créer des ressources Exadata
En tant qu'administrateur de l'infrastructure, configurez la topologie Oracle Globally Distributed Exadata Database on Exascale Infrastructure dans les étapes suivantes.
- Importer l'espace de noms de marqueur Oracle-ApplicationName
- Créer des grappes de machines virtuelles Exadata sur une infrastructure exaflopique
Rubrique parent : Configuration de la location
Importer l'espace de noms de marqueur Oracle-ApplicationName
Importez l'espace de noms de marqueur Oracle-ApplicationName dans le compartiment racine de votre location.
-
Dans le menu de navigation de la console Cloud, sélectionnez Gouvernance et administration, puis Espaces de noms de marqueur (dans la catégorie Gestion des locations).
-
Dans le panneau Espaces de noms de marqueur, vérifiez si l'espace de noms Oracle-ApplicationName existe dans le compartiment racine de votre location.
Assurez-vous que le compartiment racine de votre location est sélectionné sous Portée de la liste.
-
Si vous ne voyez pas Oracle-ApplicationName dans la liste, procédez de la façon suivante :
-
Cliquez sur Importer des marqueurs standard (situé au-dessus de la liste).
-
Cochez la case à côté de l'espace de noms Oracle-ApplicationName et cliquez sur Importer.
-
Rubrique parent : Tâche 6. Créer des ressources Exadata
Créer des grappes de machines virtuelles Exadata sur une infrastructure exaflopique
Créez une grappe de machines virtuelles à l'aide du service Exadata Database sur une infrastructure exaflopique pour la base de données de catalogue, la base de données facultative du catalogue de secours Data Guard et chaque base de données de partition, que vous prévoyez de déployer dans la topologie Distributed ExaDB-XS.
Lors de la création des grappes de machines virtuelles, utilisez les exigences et recommandations suivantes :
-
Il est recommandé d'utiliser une grappe de machines virtuelles par base de données ( partition horizontale, catalogue, base de données de secours du catalogue).
Une base de données partitionnée et une base de données de catalogue peuvent être colocalisées sur une grappe de machines virtuelles donnée. Toutefois, l'utilisation d'une grappe de machines virtuelles commune pour le catalogue et la partition horizontale peut entraîner un goulot d'étranglement de traitement.
-
Créer des grappes à un seul noeud. Seules les grappes à noeud unique sont prises en charge.
-
Compartiment : Créez les grappes de machines virtuelles dans le compartiment gdd/gdd_clusters de votre location.
-
ECPU activées par machine virtuelle : Activez 8 ECPU pour les grappes de machines virtuelles destinées aux partitions horizontales.
-
Stockage de base de données : Vous pouvez utiliser la même chambre forte pour toutes les grappes de machines virtuelles (catalogue et partitions horizontales), à condition de configurer une capacité de stockage minimale de 500 Go pour chaque base de données de la topologie.
Par exemple, si vous avez 3 partitions et 1 catalogue, le stockage minimum total requis est de 500 Go x 4 = 2000 Go. Dans ce cas, vous créez une chambre forte unique d'une capacité de stockage minimale de 2000 Go.
-
Fuseau horaire : Réglez toutes les grappes de machines virtuelles de la topologie au même fuseau horaire. Ce paramètre se trouve sous Options avancées.
-
Marqueurs : Ajoutez le marqueur défini
Oracle-ApplicationName.Other_Oracle_Application: Sharding. Ce paramètre se trouve sous Options avancées.Avant de pouvoir ajouter le marqueur, vous devez importer l'espace de noms du marqueur, comme décrit sous Importer l'espace de noms de marqueur Oracle-ApplicationName.
Note :
Une fois que vous marquez une grappe de machines virtuelles pour une utilisation dans une base de données distribuée, elle continuera de facturer cette UDS jusqu'à ce que la grappe de machines virtuelles soit supprimée.
Voir Gérer les grappes de machines virtuelles pour les étapes de création des grappes.
Rubrique parent : Tâche 6. Créer des ressources Exadata
(Facultatif) Créer une clé d'API et des contraintes d'utilisateur
Créez une paire de clés d'API OCI si vous avez l'intention d'utiliser directement l'API REST de base de données répartie globalement, les trousses de développement logiciel OCI et l'interface de ligne de commande.
Suivez les instructions de la rubrique Clés et OCID requis.
Pour définir les contrôles d'utilisateur sur les API, voir Autorisations pour les API de base de données réparties globalement.
Rubrique parent : Configuration de la location