Déployer un portail de ventes Internet avec une zone d'atterrissage d'Oracle Cloud Infrastructure
Pour aider les organismes gouvernementaux fédéraux, d'État et locaux à configurer et à sécuriser leurs charges de travail dans le nuage, Mythics a déployé une zone d'atterrissage sécurisée sur Oracle Cloud Infrastructure (OCI) qui répond aux normes du Centre pour la sécurité Internet (CIS).
À l'aide de la zone d'atterrissage OCI, Mythics peut rapidement personnaliser, configurer et sécuriser n'importe quel environnement en quelques heures après la création de l'instance.
Dans sa propre location OCI, Mythics a déployé un portail de vente Internet qui prend en charge ses groupes de marketing, de ventes, de contrats, juridiques, comptables et opérationnels. Au moyen d'assistants et de formulaires APEX et d'un entrepôt de données qui s'intègre à Oracle NetSuite, Mythics peut désormais suivre et acheminer les approbations internes de chacun de ces services, générant des centaines de milliers de transactions de vente et envoyant un courriel aux transactions d'approbation de flux de travail chaque mois.
En déployant son portail de vente sur Internet à l'aide de la zone d'atterrissage d'OCI, Mythics a :
- Performance et disponibilité accrues : Mythics est maintenant en mesure de traiter rapidement les transactions à l'aide de plusieurs coeurs de calcul et de maintenir une haute disponibilité à l'aide des équilibreurs de charge. En tirant parti de leurs capacités de reprise après sinistre, Mythics peut rapidement s'adapter à la demande ou à l'extérieur, même pendant les périodes de pointe saisonnières, comme la clôture d'un mois, d'un trimestre ou d'une fin d'exercice.
- Configurations de sécurité complexes automatisées : Mythics peut personnaliser, configurer et sécuriser rapidement son environnement en quelques heures après la création de l'instance.
- Publiques de sécurité personnalisables créées : Les mythes peuvent également réutiliser et modifier les modèles de zone d'atterrissage d'OCI et les appliquer à n'importe quel environnement de client du secteur public ou commercial, et exécuter n'importe quel type de charge de travail sur OCI.
Architecture
Mythics a déployé une zone d'atterrissage Oracle Cloud Infrastructure (OCI) pour sécuriser l'environnement de son portail de vente Internet.
À l'aide du modèle de zone d'atterrissage OCI, les mythes ont créé automatiquement un réseau en nuage virtuel (VCN), ainsi que plusieurs sous-réseaux et compartiments. Les sous-réseaux ont été créés avec l'isolement et la segmentation du réseau, les listes de sécurité, les tables de routage et les groupes de sécurité de réseau :
- appdev-pvt : Sous-réseau privé pour les ressources d'application
- Management-pvt : Sous-réseau privé pour les ressources de gestion
- db-pvt : Sous-réseau privé pour les ressources de base de données
- bastion-pvt : Sous-réseau privé pour l'accès à l'hôte bastion
- bastion-pub : Sous-réseau public pour l'accès à l'hôte bastion
Les mythes utilisent des compartiments pour regrouper et contrôler l'accès aux ressources. Les mythes ont mis en oeuvre un modèle d'accès avec privilège minimal en créant des groupes et des politiques, puis en affectant les autorisations appropriées pour contrôler qui peut accéder aux ressources. La zone d'atterrissage, par défaut, crée cinq compartiments :
- megprod-network-cmpt : Compartiment des ressources de réseau
- megprod-security-cmpt : Compartiment des ressources de sécurité, notamment les avis, le service de protection d'infrastructure en nuage et les journaux
- megprod-appdev-cmpt : Compartiment pour les serveurs d'applications et APEX
- megprod-database-cmpt : Compartiment des serveurs de base de données
- megprod-mgmt-cmpt : Compartiment des ressources de gestion
Les mythes ont également utilisé la zone d'atterrissage OCI pour déployer automatiquement des outils de sécurité, tels qu'Oracle Cloud Guard pour la gestion de la posture de sécurité, la journalisation OCI pour consolider les journaux et les avis OCI. Les mythes puis les couches dans leurs composants, qui comprennent :
- APEX pour le développement d'applications à faible code de formulaires, d'assistants et de flux de travail
- Deux instances de machine virtuelle pour les processus d'application, dont la charge est équilibrée pour une haute disponibilité
- Oracle Database Cloud Service s'exécutant sur des machines virtuelles et un entrepôt de données pour stocker plus de 200 000 transactions de vente courantes et historiques
- Une grappe OCI Kubernetes Engine (OKE) pour automatiser la gestion des ressources
- Des outils tels que Jenkins, le référentiel Git et Oracle Linux Automation Manager (OLAM) inclus dans leur grappe OKE pour automatiser le développement, les tests, le déploiement et la gestion des logiciels
- Hôtes bastion qui fournissent l'accès à partir d'un sous-réseau privé au moyen du réseau sur place et d'un sous-réseau public accessible à partir d'Internet
Les utilisateurs accèdent au portail de vente Internet à l'aide d'une passerelle Internet. Les développeurs et les administrateurs de mythes gèrent l'environnement à partir d'un emplacement sur place à l'aide de Tailscale pour une sécurité accrue. Le réseau sur place est connecté à l'aide de tunnels RPV IPSec avec l'équipement sur place (CPE) du client connecté à des passerelles de routage dynamique (DRG). À partir d'Internet, les développeurs Mythics accèdent à l'environnement à l'aide de Tailscale, un service VPN qui sécurise les appareils et les applications accessibles partout. En plus d'utiliser des groupes, des stratégies et des règles réseau, Tailscale permet à Mythics de contrôler l'accès réseau en périphérie, et ainsi d'affiner le niveau exact d'accès qu'ils accordent. Par exemple, les développeurs Mythics peuvent accéder à la grappe et à l'application OKE, tandis que les administrateurs ne peuvent accéder qu'aux instances de serveur d'applications, créant ainsi une couche de sécurité supplémentaire dans le réseau d'accès sans confiance.
Les passerelles NAT sont utilisées pour les intégrations à Oracle NetSuite. Oracle NetSuite CRM/ERP est mis à jour toutes les 15 minutes et est miné quotidiennement par une série de tableaux de bord APEX et de rapports ad hoc. Les API REST sont utilisées comme points d'automatisation et poussent les modifications vers NetSuite à partir de la base de données. Des points d'intégration supplémentaires permettent à Mythics d'utiliser l'application en tant qu'orchestrateur de licence pour gérer des contrats volumineux au moyen d'un contrat de licence illimité.
Pour la récupération après sinistre, l'application est déployée dans une configuration active-passive. La région Est des États-Unis - Ashburn est la région principale et la région Ouest des États-Unis - Phoenix est le site de reprise après sinistre. Les deux régions sont connectées à l'aide de l'appairage distant entre les deux DRG. Les équilibreurs de charge redirigent les utilisateurs vers le site de reprise après sinistre en cas de défaillance d'Ashburn. La base de données est répliquée à l'aide d'Oracle Data Guard, d'Ashburn à Phoenix. Les services de stockage de fichiers et de stockage d'objets sont répliqués d'Ashburn à Phoenix. Les services de sauvegarde native OCI sont utilisés pour sauvegarder l'infrastructure.
- Tirer parti d'un plus grand nombre d'options de plate-forme-service (PaaS)
- Migration de la base de données à partir d'Oracle Database Cloud Service exécutée sur des machines virtuelles vers Oracle Autonomous Database afin de libérer les équipes Mythics des opérations et de la maintenance de la base de données
Le diagramme suivant illustre l'architecture de réseau et de reprise après sinistre :
mythics-oci-architecture-oracle.zip
L'architecture comprend les composants suivants :
- Location
Une location est une partition sécurisée et isolée qu'Oracle configure dans Oracle Cloud lors de votre inscription à Oracle Cloud Infrastructure. Vous pouvez créer, organiser et administrer vos ressources dans Oracle Cloud au sein de votre location. Une location est synonyme d'une société ou d'une organisation. Habituellement, une société aura une seule location et reflétera sa structure organisationnelle au sein de cette location. Une seule location est généralement associée à un seul abonnement, et un seul abonnement n'a généralement qu'une seule location.
- Région
Une région Oracle Cloud Infrastructure est une zone géographique localisée qui contient un ou plusieurs centres de données, appelés domaines de disponibilité. Les régions sont indépendantes les unes des autres, et de grandes distances peuvent les séparer (dans différents pays ou continents).
- Compartiment
Les compartiments sont des partitions logiques inter-régions dans une location Oracle Cloud Infrastructure. Utilisez des compartiments pour organiser, contrôler l'accès et définir des quotas d'utilisation pour vos ressources Oracle Cloud. Dans un compartiment donné, vous définissez des politiques qui contrôlent l'accès et définissent des privilèges pour les ressources.
- Domaine de disponibilité
Les domaines de disponibilité sont des centres de données indépendants et autonomes dans une région. Les ressources physiques de chaque domaine de disponibilité sont isolées des ressources des autres domaines de disponibilité, ce qui garantit la tolérance aux pannes. Les domaines de disponibilité ne partagent pas les éléments d'infrastructure (alimentation ou refroidissement, par exemple) ni le réseau de domaines de disponibilité interne. Par conséquent, une défaillance d'un domaine de disponibilité ne devrait pas affecter les autres domaines de disponibilité de la région.
- Domaine d'erreur
Un domaine d'erreur est un regroupement de matériel et d'infrastructure au sein d'un domaine de disponibilité. Chaque domaine de disponibilité comporte trois domaines d'erreur avec une puissance et un matériel indépendants. Lorsque vous répartissez des ressources entre plusieurs domaines d'erreur, vos applications peuvent tolérer les pannes physiques de serveur, la maintenance du système et les pannes d'alimentation au sein d'un domaine d'erreur.
- Réseau en nuage virtuel (VCN) et sous-réseau
Un VCN est un réseau défini par logiciel personnalisable que vous avez configuré dans une région Oracle Cloud Infrastructure. Comme les réseaux en nuage virtuels traditionnels, ils vous offrent un contrôle sur votre environnement de réseau. Un VCN peut disposer de plusieurs blocs CIDR sans chevauchement que vous pouvez modifier après avoir créé le VCN. Vous pouvez segmenter un VCN en sous-réseaux, dont la portée peut concerner une région ou un domaine de disponibilité. Un sous-réseau est constitué d'un intervalle contigu d'adresses qui ne chevauchent pas les autres sous-réseaux dans le réseau en nuage virtuel. Vous pouvez modifier la taille d'un sous-réseau après sa création. Un sous-réseau peut être public ou privé.
- Table de routage
Les tables de routage virtuelles contiennent des règles pour acheminer le trafic des sous-réseaux vers des destinations en dehors d'un VCN, généralement au moyen de passerelles.
- Liste de sécurité
Pour chaque sous-réseau, vous pouvez créer des règles de sécurité qui spécifient la source, la destination et le type de trafic qui doivent être autorisés à entrer et à sortir du sous-réseau.
- RPV site-à-site
Un RPV site à site fournit une connectivité RPV IPSec entre votre réseau sur place et les réseaux en nuage virtuels d'Oracle Cloud Infrastructure. La suite de protocoles IPSec chiffre le trafic IP avant que les paquets ne soient transférés de la source à la destination, et le déchiffre à son arrivée.
- Passerelle Internet
La passerelle Internet permet le trafic entre les sous-réseaux publics d'un VCN et l'Internet public.
- Passerelle de routage dynamique (DRG)
La passerelle DRG est un routeur virtuel qui fournit un chemin pour le trafic réseau privé entre les réseaux en nuage virtuels de la même région, entre un VCN et un réseau en dehors de la région, tel qu'un VCN dans une autre région Oracle Cloud Infrastructure, un réseau sur place ou un réseau d'un autre fournisseur de nuage.
- Passerelle de traduction d'adresses de réseau (NAT)
Une passerelle NAT permet aux ressources privées d'un VCN d'accéder à des hôtes sur Internet, sans les exposer aux connexions Internet entrantes.
- Passerelle de service
La passerelle de service fournit l'accès d'un VCN à d'autres services, tels qu'Oracle Cloud Infrastructure Object Storage. Le trafic entre le réseau VCN et le service Oracle circule sur la matrice réseau Oracle et ne passe pas par Internet.
- Appairage distant
L'appairage distant permet aux ressources des réseaux en nuage virtuels de communiquer à l'aide d'adresses IP privées sans acheminer le trafic par Internet ou par votre réseau sur place. L'appairage distant élimine le besoin d'une passerelle Internet et d'adresses IP publiques pour les instances qui doivent communiquer avec un autre VCN dans une autre région.
- Équilibreur de charge
Le service Oracle Cloud Infrastructure Load Balancing permet une répartition automatisée du trafic à partir d'un point d'entrée unique vers plusieurs serveurs dorsaux.
- Service de base de données de base Oracle
Oracle Base Database Service est un service de base de données Oracle Cloud Infrastructure (OCI) qui vous permet de créer, dimensionner et gérer des bases de données Oracle complètes sur des machines virtuelles. Oracle Base Database Service utilise le stockage du service de volumes par blocs OCI au lieu du stockage local et peut exécuter Oracle Real Application Clusters (Oracle RAC) pour améliorer la disponibilité.
- Data Guard
Oracle Data Guard et Oracle Active Data Guard fournissent un jeu complet de services qui créent, tiennent à jour, gèrent et surveillent une ou plusieurs bases de données de secours et qui permettent aux bases de données Oracle de production de rester disponibles sans interruption. Oracle Data Guard tient à jour ces bases de données de secours en tant que copies de la base de données de production à l'aide de la réplication en mémoire. Si la base de données de production devient indisponible en raison d'une interruption planifiée ou non planifiée, Oracle Data Guard peut remplacer n'importe quelle base de données de secours par le rôle de production, réduisant ainsi le temps d'arrêt associé à l'interruption. Oracle Active Data Guard offre la possibilité supplémentaire de décharger les charges de travail en lecture principalement vers les bases de données de secours et fournit également des fonctions avancées de protection des données.
- Protection d'infrastructure en nuage
Vous pouvez utiliser Oracle Cloud Guard pour surveiller et maintenir la sécurité de vos ressources dans Oracle Cloud Infrastructure. Le service de protection d'infrastructure en nuage utilise des recettes de détecteur que vous pouvez définir pour examiner vos ressources afin de détecter les faiblesses en matière de sécurité et pour surveiller les opérateurs et les utilisateurs pour certaines activités risquées. Lorsqu'une mauvaise configuration ou une activité non sécurisée est détectée, le service de protection d'infrastructure en nuage recommande des actions correctives et aide à effectuer ces actions, en fonction des recettes de répondant que vous pouvez définir.
- Service APEX
Oracle APEX est une plate-forme de développement à code réduit qui permet de créer des applications d'entreprise évolutives, riches en fonctions et sécurisées qui peuvent être déployées partout où Oracle Database est installé. Vous n'avez pas besoin d'être un expert dans une vaste gamme de technologies pour fournir des solutions sophistiquées. Oracle APEX comprend des fonctions intégrées, telles que des thèmes d'interface utilisateur, des contrôles de navigation, des programmes de traitement de formulaires et des rapports flexibles, qui accélèrent le processus de développement d'applications.
- Avis
Le service Oracle Cloud Infrastructure Notifications diffuse des messages vers des composants répartis au moyen d'un modèle de publication-abonnement. Cela permet une livraison sécurisée, hautement fiable, à faible latence et durable des messages pour des applications hébergées sur Oracle Cloud Infrastructure.
- JournalisationLe service de journalisation est un service hautement évolutif entièrement géré qui permet d'accéder aux types de journal suivants à partir de vos ressources en nuage :
- Journaux du service de vérification : Journaux liés aux événements émis par le service de vérification.
- Journaux de service : Journaux émis par des services individuels tels que passerelle d'API, événements, fonctions, équilibreur de charge, stockage d'objets et journaux de flux VCN.
- Journaux personnalisés : Journaux contenant des informations de diagnostic provenant d'applications personnalisées, d'autres fournisseurs de services infonuagiques ou d'un environnement sur place.
- Moteur Kubernetes
Oracle Cloud Infrastructure Kubernetes Engine pour (Moteur Kubernetes pour OCI ou OKE) est un service entièrement géré, évolutif et hautement disponible que vous pouvez utiliser pour déployer vos applications conteneurisées dans le nuage. Vous indiquez les ressources de calcul dont vos applications ont besoin et Kubernetes Engine les provisionne sur Oracle Cloud Infrastructure dans une location existante. OKE utilise Kubernetes pour automatiser le déploiement, l'ajustement et la gestion des applications conteneurisées sur les grappes d'hôtes.
- Stockage d'objets
Le service de stockage d'objets pour Oracle Cloud Infrastructure offre un accès rapide à de grandes quantités de données structurées et non structurées de tous types, notamment des sauvegardes de base de données, des données analytiques et du contenu riche, comme des images et des vidéos. Vous pouvez stocker des données en toute sécurité, puis les extraire directement à partir d'Internet ou de la plate-forme en nuage. Vous pouvez adapter le stockage sans que la performance ou la fiabilité des services soit affectée. Utilisez le stockage standard pour le stockage "à chaud" auquel vous devez accéder rapidement, immédiatement et fréquemment. Utilisez le stockage d'archives pour le stockage "à froid" que vous retenez pendant de longues périodes et auquel vous accédez rarement.
- Stockage de fichiers
Le service de stockage de fichiers pour Oracle Cloud Infrastructure fournit un système de fichiers de réseau durable, évolutif, sécurisé et de niveau entreprise. Vous pouvez vous connecter à un système de fichiers du service de stockage de fichiers à partir de toute instance sans système d'exploitation, sur machine virtuelle ou en conteneur d'un VCN. Vous pouvez également accéder à un système de fichiers depuis l'extérieur du réseau VCN à l'aide d'Oracle Cloud Infrastructure FastConnect et du RPV IPSec.
- DNS
Le service de système de noms de domaine (DNS) d'Oracle Cloud Infrastructure est un réseau de système de noms de domaine à unidiffusion aléatoire mondial hautement évolutif qui offre une performance, une résilience et une extensibilité améliorées du DNS afin que les utilisateurs finaux se connectent rapidement aux applications Internet, où qu'ils se trouvent.
- Registre
Oracle Cloud Infrastructure Registry est un registre géré par Oracle qui vous permet de simplifier votre flux de travail, du développement à la mise en production. Le registre vous permet de stocker, de partager et de gérer facilement des artefacts de développement, tels que des images Docker. L'architecture hautement disponible et évolutive d'Oracle Cloud Infrastructure vous permet de déployer et de gérer vos applications en toute confiance.
Informations complémentaires
En savoir plus sur les caractéristiques de cette architecture et sur les architectures connexes.
Voir les billets de blogue suivants sur la zone d'atterrissage d'Oracle Cloud Infrastructure :