Surveiller et gérer vos installations d'applications Java et Java
Étapes préliminaires
Cette architecture de référence suppose que vous avez intégré OCI avec succès.
JMS est un service natif OCI que vous pouvez déployer dans des domaines commerciaux et restreints. Il est accessible au moyen de l'API (trousse SDK pour JMS) ou de la console JMS.
Vous allez créer des parcs JMS dans un compartiment de votre location. Vous pouvez avoir plusieurs parcs et ressources JMS dans une ou plusieurs zones géographiques. Utilisez des parcs pour contrôler l'accès à la ressource associée et les affecter aux services de votre entreprise. Grâce à cette approche, chaque service de l'entreprise cliente peut contrôler son propre parc et ses ressources.
Effectuez les opérations suivantes pour terminer l'intégration JMS :
- Configurez Oracle Cloud Infrastructure pour JMS (gérez manuellement les politiques ou utilisez un assistant).
- Crée un parc JMS.
- Déployer un agent ou configurer l'agent et activer le plugiciel JMS.
- Surveillez les installations et les applications Java dans votre instance gérée.
- Effectuez des opérations de fonctions avancées, au besoin.
Pour plus d'informations, voir Service de gestion Java dans la documentation OCI.
Architecture
L'agent JMS est installé sur les instances gérées pour collecter les métadonnées de télémétrie d'utilisation Java et d'utilisation Java. Les données de télémétrie sont émises et stockées dans votre location pour la protection de la confidentialité.
Les métadonnées d'utilisation Java sont exfiltrées de votre location par l'agent installé dans vos locations. JMS utilise ces métadonnées pour générer des informations telles que la version de Java, la référence de sécurité, les mises à jour Java à venir et l'utilisation des applications, qui sont présentées lors de la connexion à la console OCI. Il n'y a pas d'accès Oracle au-delà du traitement des métadonnées exfiltrées.
À l'aide des fonctionnalités avancées disponibles dans JMS, vous pouvez analyser l'utilisation des serveurs d'applications Java, identifier les vulnérabilités potentielles dans les bibliothèques Java utilisées par les applications exécutées dans votre environnement, utiliser l'enregistreur de vol Java pour l'analyse des performances et des cryptomonnaies et gérer les environnements d'exécution Oracle Java (versions JDK) dans votre environnement. Vous pouvez utiliser la fonction avancée pour gérer Java exécuté dans votre environnement.
Le diagramme suivant illustre la topologie du service JMS en production. Le diagramme présente les agents déployés pour suivre l'exécution de Java sur OCI, vos ordinateurs de bureau sur place, vos ordinateurs portables et vos serveurs, ainsi que des services infonuagiques tiers. Ces agents sont déployés dans vos instances gérées et sont associés aux ressources (flottes) que vous avez créées dans vos locations.
Le diagramme suivant illustre cette architecture de référence.
Description de l'illustration jms-oci-topology.png
À un niveau élevé, ce qui suit illustre le flux de données entre l'agent JMS installé sur votre instance gérée et le service JMS sur OCI :
- Vous installez l'agent sur l'instance gérée et l'agent s'enregistre auprès d'OCI.
- Vous configurez ou activez le plugiciel JMS (en transmettant le parc JMS en tant que paramètre). L'agent JMS est maintenant associé au parc JMS souhaité.
- L'agent JMS enregistré interroge JMS pour le travail. JMS répondra au sondage avec les demandes de travail appropriées, le cas échéant.
- L'agent JMS balaye périodiquement l'instance gérée pour rechercher des installations Java ou des entrées dans le suivi de l'utilisation et envoie les mesures Java et les métadonnées Java à OCI.
Le flux de données entre l'agent JMS et le service OCI est présenté dans l'illustration ci-dessous.
Description de l'illustration jms-oci-workflow.png
- User : Installe l'agent sur l'agent JMS et une demande est envoyée à l'agent JMS (demande).
- Agent JMS : Envoie une demande d'inscription aux services OCI (demande).
- Services OCI : Valide la clé, retourne les métadonnées et les jetons d'authentification et envoie une réponse à l'agent JMS (réponse).
- Agent JMS : L'agent est démarré et envoie une réponse à l'utilisateur (réponse).
- Agent JMS : Installe les plugiciels demandés dans les services OCI (demande).
- Agent JMS : interroge les services OCI en tant que demande de travail (demande).
- Services OCI : Envoie une demande de travail (réponse).
- Agent JMS : L'agent obtient l'ensemble de plugiciels et installe (demande).
- Agent JMS : Effectue des sondages périodiquement et envoie l'inventaire aux services OCI sur la location du client (demande).
Le diagramme de réseau ci-dessous décrit les flux de trafic entre l'agent JMS installé sur vos machines hôtes (sur place) et JMS s'exécutant dans OCI. Un modèle de trafic similaire se produit entre vos machines hôtes dans OCI et JMS.
Description de l'illustration jms-oci-network-traffic.png
jms-oci-network-traffic-oracle.zip
- L'agent JMS lance toujours la demande en s'authentifiant auprès d'OCI à l'aide d'un port ouvert autorisé par le pare-feu (443).
- L'agent de gestion et le service JMS à partir d'OCI ne poussent aucune donnée vers l'agent.
- L'agent JMS interroge le service pour les demandes de travail.
- L'intervalle de scrutation des demandes de travail de l'agent JMS peut être inférieur à 30 secondes.
- L'intervalle de scrutation de l'agent JMS est configurable, l'intervalle de scrutation maximal est de 10 minutes.
- Les données transmises sont chiffrées à l'aide de TLS.
- Les services OCI renvoient ensuite les données en réponse à cette demande une fois la connexion établie.
L'architecture comprend les composants suivants :
- Région
Une région Oracle Cloud Infrastructure est une zone géographique localisée qui contient un ou plusieurs centres de données, appelés domaines de disponibilité. Les régions sont indépendantes les unes des autres, et de grandes distances peuvent les séparer (dans différents pays ou continents).
- Domaines de disponibilité
Les domaines de disponibilité sont des centres de données indépendants et autonomes dans une région. Les ressources physiques de chaque domaine de disponibilité sont isolées des ressources des autres domaines de disponibilité, ce qui garantit la tolérance aux pannes. Les domaines de disponibilité ne partagent pas les éléments d'infrastructure (alimentation ou refroidissement, par exemple) ni le réseau de domaines de disponibilité interne. Par conséquent, une défaillance d'un domaine de disponibilité ne devrait pas affecter les autres domaines de disponibilité de la région.
- Compartiment
Les compartiments sont des partitions logiques inter-régions dans une location Oracle Cloud Infrastructure. Utilisez des compartiments pour organiser, contrôler l'accès et définir des quotas d'utilisation pour vos ressources Oracle Cloud. Dans un compartiment donné, vous définissez des politiques qui contrôlent l'accès et définissent des privilèges pour les ressources.
- Passerelle de routage dynamique (DRG)
La passerelle DRG est un routeur virtuel qui fournit un chemin pour le trafic réseau privé entre les réseaux en nuage virtuels de la même région, entre un VCN et un réseau en dehors de la région, tel qu'un VCN dans une autre région Oracle Cloud Infrastructure, un réseau sur place ou un réseau d'un autre fournisseur de nuage.
- Groupe d'instances
Un groupe d'instances comprend des instances dans une région créées à partir d'une même configuration d'instance et gérées ensemble.
- Réseau sur place
Ce réseau est le réseau local utilisé par votre organisation. C'est l'un des rayons de la topologie.
- Liste de sécurité
Pour chaque sous-réseau, vous pouvez créer des règles de sécurité qui spécifient la source, la destination et le type de trafic qui doivent être autorisés à entrer et à sortir du sous-réseau.
- Zone de sécurité
Les zones de sécurité garantissent les meilleures pratiques de sécurité d'Oracle dès le départ en appliquant des politiques telles que le chiffrement des données et la prévention de l'accès public aux réseaux pour un compartiment entier. Une zone de sécurité est associée à un compartiment du même nom et inclut des politiques de zone de sécurité ou une "recette" qui s'applique au compartiment et à ses sous-compartiments. Vous ne pouvez pas ajouter ou déplacer un compartiment standard vers un compartiment de zone de sécurité.
- Passerelle de routage dynamique (DRG)
La passerelle DRG est un routeur virtuel qui fournit un chemin pour le trafic réseau privé entre les réseaux en nuage virtuels de la même région, entre un VCN et un réseau en dehors de la région, tel qu'un VCN dans une autre région Oracle Cloud Infrastructure, un réseau sur place ou un réseau d'un autre fournisseur de nuage.
- Passerelle de service
La passerelle de service fournit l'accès d'un VCN à d'autres services, tels qu'Oracle Cloud Infrastructure Object Storage. Le trafic entre le réseau VCN et le service Oracle circule sur la matrice réseau Oracle et ne passe pas par Internet.
- Location
Une location est une partition sécurisée et isolée qu'Oracle configure dans Oracle Cloud lors de votre inscription à Oracle Cloud Infrastructure. Vous pouvez créer, organiser et administrer vos ressources dans Oracle Cloud au sein de votre location. Une location est synonyme d'une société ou d'une organisation. Habituellement, une société aura une seule location et reflétera sa structure organisationnelle au sein de cette location. Une seule location est généralement associée à un seul abonnement, et un seul abonnement n'a généralement qu'une seule location.
- JournalisationLe service de journalisation est un service hautement évolutif entièrement géré qui permet d'accéder aux types de journal suivants à partir de vos ressources en nuage :
- Journaux du service de vérification : Journaux liés aux événements émis par le service de vérification.
- Journaux de service : Journaux émis par des services individuels tels que passerelle d'API, événements, fonctions, équilibreur de charge, stockage d'objets et journaux de flux VCN.
- Journaux personnalisés : Journaux contenant des informations de diagnostic provenant d'applications personnalisées, d'autres fournisseurs de services infonuagiques ou d'un environnement sur place.
- Surveillance
Le service Oracle Cloud Infrastructure Monitoring surveille activement et passivement vos ressources en nuage à l'aide de mesures pour surveiller les ressources et les alarmes pour vous aviser lorsque ces mesures répondent aux déclencheurs spécifiés par l'alarme.
- Politique
Une politique Oracle Cloud Infrastructure Identity and Access Management spécifie qui peut accéder à quelles ressources, et comment. L'accès est accordé au niveau du groupe et du compartiment, ce qui permet d'écrire une politique qui donne à un groupe un type d'accès spécifique à un compartiment spécifique ou à la location.
- Oracle Cloud Infrastructure Vault
Oracle Cloud Infrastructure Vault vous permet de gérer, de manière centralisée, les clés de chiffrement qui protègent vos données et les données d'identification de clé secrète que vous utilisez pour sécuriser l'accès à vos ressources dans le nuage. Vous pouvez utiliser le service de chambre forte pour créer et gérer des chambres fortes, des clés et des clés secrètes.
Le service de chambre forte OCI offre également un jeu étoffé d'API Rest pour gérer les chambres fortes et les clés.
- Flux de travail
Le service de flux de travail pour Oracle Cloud Infrastructure est un moteur de flux de travail sans serveur avec un concepteur de flux graphique pour les développeurs et les architectes. Il accélère la création et l'exécution de l'orchestration des services OCI, tels que le service des fonctions pour OCI, l'intelligence artificielle et l'apprentissage automatique, pour effectuer la logique d'entreprise, les tâches informatiques et les tâches de données.
- Réseau en nuage virtuel (VCN) et sous-réseau
Un VCN est un réseau défini par logiciel personnalisable que vous avez configuré dans une région Oracle Cloud Infrastructure. Comme les réseaux en nuage virtuels traditionnels, ils vous offrent un contrôle sur votre environnement de réseau. Un VCN peut disposer de plusieurs blocs CIDR sans chevauchement que vous pouvez modifier après avoir créé le VCN. Vous pouvez segmenter un VCN en sous-réseaux, dont la portée peut concerner une région ou un domaine de disponibilité. Un sous-réseau est constitué d'un intervalle contigu d'adresses qui ne chevauchent pas les autres sous-réseaux dans le réseau en nuage virtuel. Vous pouvez modifier la taille d'un sous-réseau après sa création. Un sous-réseau peut être public ou privé.
- Passerelle d'API
Oracle Cloud Infrastructure API Gateway vous permet de publier des API avec des points d'extrémité privés qui sont accessibles à partir de votre réseau, et que vous pouvez exposer à l'Internet public si nécessaire. Les points d'extrémité prennent en charge la validation, la transformation des demandes et des réponses, la spécification CORS, l'authentification et l'autorisation, ainsi que la limitation des demandes pour les API.
- Autonomous Database
Oracle Autonomous Database est un environnement de base de données préconfiguré entièrement géré que vous pouvez utiliser pour le traitement des transactions et les charges de travail d'entreposage de données. Il n'est pas nécessaire de configurer ou de gérer du matériel ni d'installer des logiciels. Oracle Cloud Infrastructure gère la création, la sauvegarde, l'application de correctifs, la mise à niveau et le réglage de la base de données.
- Hôte bastion
L'hôte bastion est une instance de calcul qui sert de point d'entrée sécurisé et contrôlé à la topologie en dehors du nuage. L'hôte bastion est généralement provisionné dans une zone démilitarisée (DMZ). Il vous permet de protéger les ressources sensibles en les plaçant dans des réseaux privés qui ne sont pas accessibles directement depuis l'extérieur du nuage. La topologie dispose d'un point d'entrée unique et connu que vous pouvez surveiller et vérifier régulièrement. Ainsi, vous pouvez éviter d'exposer les composants les plus sensibles de la topologie sans compromettre l'accès à ces composants.
- Calcul
Avec le service Calcul pour Oracle Cloud Infrastructure, vous pouvez provisionner et gérer des hôtes pour les calculs dans le nuage. Vous pouvez lancer des instances de calcul avec des formes qui répondent à vos besoins en ressources d'UC, de mémoire, de bande passante de réseau et de stockage. Après avoir créé une instance de calcul, vous pouvez y accéder en toute sécurité, la redémarrer, attacher et détacher des volumes, et y mettre fin lorsque vous n'en avez plus besoin.
- DNS
Le service de système de noms de domaine (DNS) d'Oracle Cloud Infrastructure est un réseau de système de noms de domaine à unidiffusion aléatoire mondial hautement évolutif qui offre une performance, une résilience et une extensibilité améliorées du DNS afin que les utilisateurs finaux se connectent rapidement aux applications Internet, où qu'ils se trouvent.
- Flux Kafka
Kafka Streams est une bibliothèque client permettant de créer des applications et des microservices, où les données d'entrée et de sortie sont stockées dans des grappes Kafka. Il combine la simplicité d'écriture et de déploiement d'applications Java et Scala standard côté client avec les avantages de la technologie de cluster côté serveur de Kafka.
- Stockage d'objets
Le service de stockage d'objets pour Oracle Cloud Infrastructure offre un accès rapide à de grandes quantités de données structurées et non structurées de tous types, notamment des sauvegardes de base de données, des données analytiques et du contenu riche, comme des images et des vidéos. Vous pouvez stocker des données en toute sécurité, puis les extraire directement à partir d'Internet ou de la plate-forme en nuage. Vous pouvez adapter le stockage sans que la performance ou la fiabilité des services soit affectée. Utilisez le stockage standard pour le stockage "à chaud" auquel vous devez accéder rapidement, immédiatement et fréquemment. Utilisez le stockage d'archives pour le stockage "à froid" que vous retenez pendant de longues périodes et auquel vous accédez rarement.
- Oracle Management Agent
Oracle Management Agent est un service qui permet une communication interactive et une collecte de données à faible latence entre Oracle Cloud Infrastructure et les instances gérées sur place. Les agents de gestion collectent des données à partir des sources que vous souhaitez surveiller. Management Agent Service, un service Oracle Cloud Service, gère le cycle de vie de l'agent de gestion et des plugiciels des services.
- Oracle Cloud Agent
Oracle Cloud Agent est un processus léger qui gère le cycle de vie des plugiciels exécutés sur les instances de calcul sur OCI. Les plugiciels JMS collectent les métadonnées Java de votre environnement déployé sur l'instance gérée dans OCI. Le plugiciel JMS exfiltre ces métadonnées Java dans le service JMS dans OCI.
- Kiev en tant que service (KaaS)
KaaS est un service de plate-forme de données entièrement géré utilisé principalement par les services de plan de contrôle sur OCI. KaaS fournit des API NoSQL de haut niveau pour une intégration facile, des balayages sérialisables, la diffusion d'informations modifiées et d'autres fonctionnalités. KaaS est un service construit au-dessus de Kiev. Kiev est un "magasin clé-valeur NoSQL" qui prend également en charge les mini-transactions pour plus de commodité. Pour prévenir les bogues d'accès simultané dans les applications, les mini-transactions de Kiev sont fortement isolées, ce qui offre des garanties plus solides que les niveaux d'isolement plus faibles couramment utilisés dans Oracle et MySQL. Kiev a un CNS de disponibilité de 99,9 %.
Recommandations
- VCN
Lorsque vous créez un VCN, déterminez le nombre de blocs CIDR requis et la taille de chaque bloc en fonction du nombre de ressources que vous prévoyez d'attacher aux sous-réseaux du VCN. Utilisez des blocs CIDR qui se trouvent dans l'espace d'adresses IP privées standard.
Sélectionnez les blocs CIDR qui ne chevauchent aucun autre réseau (dans Oracle Cloud Infrastructure, votre centre de données sur place ou un autre fournisseur de nuage) auquel vous voulez configurer des connexions privées.
Après avoir créé un VCN, vous pouvez modifier, ajouter et supprimer ses blocs CIDR.
Lorsque vous concevez les sous-réseaux, tenez compte de vos exigences en matière de flux de trafic et de sécurité. Attachez toutes les ressources d'un niveau ou d'un rôle spécifique au même sous-réseau, qui peut servir de limite de sécurité.
Utilisez des sous-réseaux régionaux.
- Sécurité
Utilisez Oracle Cloud Guard pour surveiller et maintenir la sécurité de vos ressources dans Oracle Cloud Infrastructure de manière proactive. Utilisez des zones de sécurité pour une sécurité maximale.
- Protection d'infrastructure en nuage
Cloner et personnaliser les recettes par défaut fournies par Oracle pour créer des recettes de détecteur et de répondant personnalisées. Ces recettes vous permettent de spécifier quel type de violations de sécurité génèrent un avertissement et quelles actions sont autorisées pour elles. Par exemple, vous pouvez détecter des seaux de stockage d'objets dont la visibilité est réglée à Public.
Appliquez le service de protection d'infrastructure en nuage au niveau de la location pour couvrir la portée la plus large et réduire le fardeau administratif lié à la maintenance de plusieurs configurations.
Vous pouvez également utiliser la fonction de liste gérée pour appliquer certaines configurations aux détecteurs.
- Zones de sécurité
Pour les ressources qui nécessitent une sécurité maximale, Oracle recommande d'utiliser des zones de sécurité. Une zone de sécurité est un compartiment associé à une recette de politiques de sécurité définie par Oracle et basée sur les meilleures pratiques. Par exemple, les ressources d'une zone de sécurité ne doivent pas être accessibles par l'Internet public et elles doivent être chiffrées à l'aide de clés gérées par le client. Lors de la création et de la mise à jour de ressources dans une zone de sécurité, Oracle Cloud Infrastructure valide les opérations en fonction des politiques de la recette de zone de sécurité et refuse les opérations qui violent l'une des politiques.
- Groupes de sécurité de réseau
Vous pouvez utiliser des groupes de sécurité de réseau pour définir un jeu de règles de trafic entrant et sortant qui s'appliquent à des cartes vNIC spécifiques. Nous vous recommandons d'utiliser des groupes plutôt que des listes de sécurité, car ils vous permettent de séparer l'architecture de sous-réseau du VCN des exigences de sécurité de votre application.
- Bande passante de l'équilibreur de charge
Lors de la création de l'équilibreur de charge, vous pouvez sélectionner une forme prédéfinie qui fournit une bande passante fixe, ou spécifier une forme personnalisée (flexible) dans laquelle vous définissez une plage de bande passante et laissez le service ajuster la bande passante automatiquement en fonction des modèles de trafic. Avec l'une ou l'autre approche, vous pouvez modifier la forme en tout temps après avoir créé l'équilibreur de charge.
Points à considérer
Tenez compte des points suivants lors du déploiement de cette architecture de référence.
- PerformanceTenez compte des éléments suivants lors de la mise en oeuvre de l'architecture de référence pour détecter et gérer les installations Java et les applications java dans les instances gérées sur place.
- JMS utilise Agent pour exfiltrer les métadonnées Java (le trafic réseau et la configuration soigneuse du pare-feu sont pris en compte).
- L'agent nécessite l'exécution de la dernière version de JRE 8 sur l'instance gérée.
- L'agent nécessite 512 Mo de mémoire de tas disponible sur l'instance gérée.
- L'agent sera en concurrence avec l'application pour l'UC sur l'instance gérée.
Les métadonnées exfiltrées sont disponibles dans votre objet de journal. JMS traite les métadonnées pour générer des synthèses. Ces données clés et mesures sont stockées dans la base de données Oracle Autonomous Transaction Processing appartenant au service. Vous pouvez utiliser l'API pour interroger le service afin d'obtenir des informations historiques sur Java déployé dans votre environnement. JMS n'est pas un système en temps réel. Il peut y avoir une latence fournissant des informations actuelles et historiques en raison du chargement du service par de nombreuses autres requêtes des clients.
- Sécurité
Utilisez des politiques pour restreindre l'accès aux ressources Oracle Cloud Infrastructure (OCI) de votre entreprise et la façon dont ils peuvent y accéder. Les métadonnées Java exfiltrées de votre environnement dans un objet de journal appartenant à votre entreprise. JMS traite ces métadonnées et les synthèses vous sont présentées. Les données clés sont stockées dans la base de données Oracle Autonomous Transaction Processing. Les rapports que vous générez sont stockés dans le stockage d'objets OCI.
Le chiffrement est activé par défaut pour le stockage d'objets OCI et ne peut pas être désactivé.
- Disponibilité
JMS a été désigné comme service de catégorie 10 avec un objectif de niveau de service publié de 3'9s (99.9).
- Coût
JMS est un service gratuit. Toutes les fonctionnalités de base permettant de surveiller et d'interroger des données clés sur Java dans votre environnement sont à la disposition de tous. Les fonctions avancées qui impliquent la gestion de Java dans votre environnement sont uniquement disponibles pour les abonnés Java SE exécutant des instances gérées sur place. La version complète de JMS est également disponible lorsque vous exécutez la totalité de votre charge de travail sur OCI.
Si vous disposez d'instances gérées sur place et que vous utilisez des charges de travail Java minimales, vous pourriez trouver acceptable de travailler avec JMS dans les limites du niveau gratuit d'OCI (en évitant le coût mensuel minimal de calcul, de stockage et de trafic sortant de réseau).
Informations complémentaires
Allez à Configurer Java Management Service pour surveiller l'utilisation de Java sur un hôte Oracle Linux pour configurer et activer la surveillance de l'utilisation de Java sur vos machines Oracle Linux.
- Cadre d'adoption de l'environnement en nuage pour Oracle Cloud Infrastructure
- Base de données autonome
- Service Oracle Cloud Infrastructure Identity and Access Management
- Service de gestion Java
- Oracle Cloud Agent
- Management Agent
- Objectifs de Niveau de Service pour les services Oracle PaaS et IaaS Public Cloud
- Compte Oracle Cloud gratuit