Concevoir une structure de compartiment Observability and Management sécurisée sur Oracle Cloud

Les services Observability and Management sont l'épine dorsale des solutions d'infrastructure en nuage, offrant une surveillance critique et des informations d'observabilité sur la disponibilité, la performance et la sécurité du système.

La conception d'une organisation de compartiment Observability and Management sécurisée et efficace au sein d'Oracle Cloud Infrastructure est une entreprise stratégique qui répond à ces impératifs. La structure de compartiments sert de fondement à l'efficacité des ressources en nuage et de l'organisation des données, ainsi qu'à la gouvernance du contrôle d'accès. Cette architecture de référence est conçue en fonction des meilleures pratiques d'Oracle Cloud afin d'offrir une vue d'ensemble de la santé, du comportement et des risques du système. Il vise à responsabiliser les parties prenantes avec une intelligence exploitable, permettant une prise de décision rapide et éclairée.

Architecture

Cette architecture de référence décrit les composants et les méthodologies critiques pour la conception d'un compartiment Oracle Cloud Observability and Management Platform qui assure la sécurité, la résilience et la dextérité opérationnelle dans l'écosystème en nuage.

Le diagramme suivant illustre cette architecture de référence de compartiment Oracle Cloud Observability and Management Platform.

Une description d'oracle-cloud-observability-arch.png suit

Description de l'illustration oracle-cloud-observability-arch.png

oracle-cloud-observability-arch-oracle.zip

Cette conception compartimentée reflète une structure fonctionnelle de base observée dans différentes organisations, où les responsabilités informatiques sont généralement réparties entre les administrateurs de réseau, de sécurité, de développement d'applications et de base de données. Les ressources de cette architecture de référence sont provisionnées dans les compartiments suivants :

Compartiment Oracle Cloud Observability and Management Platform pour toutes les mesures et ressources des services Observability and Management et le référentiel d'espaces de noms des mesures.
Compartiment de réseau pour toutes les ressources de réseau, y compris les passerelles de réseau et les données de journal connexes.
Compartiment de sécurité pour la journalisation de la sécurité et des événements, la gestion des clés et les journaux liés à la sécurité.
Compartiment d'application pour les services liés aux applications, notamment les services de calcul, de stockage, de fonctions, de flux, les noeuds Kubernetes, la passerelle d'API et les journaux liés aux applications.
Compartiment de base de données pour toutes les ressources de base de données et les journaux connexes.
Compartiment englobant facultatif contenant tous les compartiments ci-dessus.

L'architecture comprend les composants suivants :

Location
Une location est une partition sécurisée et isolée qu'Oracle configure dans Oracle Cloud lors de votre inscription à Oracle Cloud Infrastructure. Vous pouvez créer, organiser et administrer vos ressources dans Oracle Cloud au sein de votre location. Une location est synonyme d'une société ou d'une organisation. Habituellement, une société aura une seule location et reflétera sa structure organisationnelle au sein de cette location. Une seule location est généralement associée à un seul abonnement, et un seul abonnement n'a généralement qu'une seule location.
Politique
Une politique Oracle Cloud Infrastructure Identity and Access Management spécifie qui peut accéder à quelles ressources et comment. L'accès est accordé au niveau du groupe et du compartiment, ce qui permet d'écrire une politique qui donne à un groupe un type d'accès spécifique à un compartiment spécifique ou à la location.
Compartiment
Les compartiments sont des partitions logiques inter-régions dans une location Oracle Cloud Infrastructure. Utilisez des compartiments pour organiser vos ressources dans Oracle Cloud, contrôler l'accès aux ressources et définir des quotas d'utilisation. Pour contrôler l'accès aux ressources d'un compartiment donné, vous devez définir des politiques qui spécifient qui peut accéder aux ressources et les actions qui peuvent être exécutées.
Surveillance
Le service Oracle Cloud Infrastructure Monitoring surveille, de manière active et passive, vos ressources en nuage à l'aide de mesures pour surveiller les ressources et les alarmes afin de vous aviser lorsque ces mesures répondent aux déclencheurs spécifiés par l'alarme.
Alarmes
La fonction d'alarmes du service de surveillance fonctionne avec le service de destination configuré pour vous avertir lorsque des mesures déclenchent les alarmes.
Journalisation
Le service de journalisation est un service hautement évolutif entièrement géré qui permet d'accéder aux types de journal suivants à partir de vos ressources en nuage :
- Journaux du service de vérification : Journaux liés aux événements émis par le service.
- Journaux de service : Journaux émis par des services individuels tels que passerelle d'API, événements, fonctions, équilibreur de charge, stockage d'objets et journaux de flux VCN.
- Journaux personnalisés : Journaux contenant des informations de diagnostic provenant d'applications personnalisées, d'autres fournisseurs de services infonuagiques ou d'un environnement sur place.
Événements
Les services Oracle Cloud Infrastructure émettent des événements, qui sont des messages structurés décrivant les modifications apportées aux ressources. Des événements sont émis pour les opérations de création, de lecture, de mise à jour ou de suppression (CRUD), les modifications d'état du cycle de vie des ressources et les événements système qui ont une incidence sur les ressources en nuage.
Connecteurs de service
Le centre de connecteurs de service Oracle Cloud Infrastructure est une plate-forme de bus de messages en nuage qui orchestre le déplacement des données entre les services dans OCI. Vous pouvez utiliser des connecteurs de service pour déplacer des données d'un service source vers un service cible. Les connecteurs de service vous permettent également de spécifier une tâche (telle qu'une fonction) à exécuter sur les données avant leur transmission au service cible.

Vous pouvez utiliser le centre de connecteurs du service Oracle Cloud Infrastructure pour créer rapidement un cadre d'agrégation de journalisation pour les systèmes de gestion des informations et des événements de sécurité (SIEM).
Avis
Le service Oracle Cloud Infrastructure Notifications diffuse des messages vers des composants répartis au moyen d'un modèle de publication-abonnement, pour une livraison de messages sécurisés, hautement fiables, à faible latence et durables pour des applications hébergées sur Oracle Cloud Infrastructure.
Diffusion en continu
Le service de flux pour Oracle Cloud Infrastructure offre une solution de stockage entièrement gérée, évolutive et durable pour ingérer des flux de données en continu à volume élevé que vous pouvez consommer et traiter en temps réel. Vous pouvez utiliser le service de diffusion en continu pour l'ingestion de gros volumes de données, tels que les journaux d'application, la télémétrie opérationnelle, les données de flux liés aux clics Web, ou pour d'autres cas d'utilisation où les données sont produites et traitées en continu et séquentiellement dans un modèle de messagerie de désabonnement.
Gestion de base de données
Le service de gestion de bases de données fournit des diagnostics complets sur la performance des bases de données et des capacités de gestion pour les bases de données Oracle et les systèmes de base de données MySQL HeatWave. De plus, vous pouvez utiliser le service de gestion de bases de données pour détecter et surveiller les composants du système Oracle Database sur place (système de base de données externe) et l'infrastructure de stockage Exadata.
Service de données clés sur l'exploitation
Le service de données clés sur l'exploitation pour Oracle Cloud Infrastructure est un service natif OCI qui fournit des données clés globales sur l'utilisation et la capacité des ressources de base de données et d'hôte. Grâce aux données clés sur l'exploitation, vous pouvez :
- Analyser l'utilisation des ressources par les bases de données et les hôtes dans toute l'entreprise.
- Prévoir la demande future de ressources en fonction des tendances historiques.
- Comparer la performance SQL entre des bases de données et identifier des modèles communs.
- Identifier les tendances de performance SQL dans les bases de données à l'échelle de l'entreprise.
- Analyser les statistiques AWR pour la performance, les diagnostics et le réglage des bases de données d'un parc.
- Créez et recevez des rapports de nouvelles hebdomadaires vous donnant la répartition des nouveaux taux d'utilisation élevés, des changements d'utilisation importants et des changements d'inventaire dans votre parc de bases de données, d'hôtes et de systèmes Exadata.
Service Application Performance Monitoring
Oracle Cloud Infrastructure Application Performance Monitoring offre une visibilité complète de la performance des applications et permet de diagnostiquer rapidement les problèmes afin d'offrir un niveau de service uniforme. Cela inclut la surveillance des multiples composants et de la logique d'application répartis entre les clients, les services tiers et les niveaux de calcul dorsaux, sur place ou dans le nuage.
Surveillance de pile
Le service de surveillance de pile vous permet de surveiller de manière proactive une application et sa pile d'applications sous-jacente, notamment les serveurs d'applications et les bases de données. Il commence par la détection de tous les composants de l'application, y compris de sa topologie. Une fois détecté, il collecte automatiquement les mesures de statut, de chargement, de réponse, d'erreur et d'utilisation pour tous les composants d'application.
Logging Analytics
Oracle Logging Analytics est une solution en nuage d'Oracle Cloud Infrastructure qui vous permet d'indexer, d'enrichir, d'agréger, d'exploration, de recherche, d'analyse, de corrélation, de visualisation et de surveillance de toutes les données de journaux de vos applications et de votre infrastructure de système en nuage ou sur place.
Management Agent
Un agent de gestion permet à un plugiciel de service de collecter des données à partir de l'hôte sur lequel l'agent de gestion est installé. Il peut se connecter à Oracle Cloud Infrastructure directement à l'aide du service d'agent de gestion en nuage. L'agent de gestion est installé sur un hôte. Il surveille et collecte les données des sources qui résident sur des hôtes ou des hôtes virtuels.
Passerelle d'agent de gestion
L'agent de gestion Cloud Service (MACS), également appelé service d'agent de gestion, est un service en nuage d'Oracle Cloud Infrastructure. Il gère les agents de gestion et leur cycle de vie. Les agents de gestion permettent aux services Oracle Cloud d'interagir avec les entités qu'ils gèrent et de collecter leurs données.
Tableau de bord de gestion
Le tableau de bord de gestion vous permet de créer des solutions de surveillance de la performance, de diagnostic et d'analyse de données sur la plate-forme, l'infrastructure et les ressources d'application Oracle Cloud Infrastructure. Il dispose de puissantes options de visualisation de données qui recueillent des données en temps réel et historiques et les affichent dans des widgets. Le tableau de bord de gestion est disponible dans le cadre des services d'observabilité et de gestion Oracle Cloud Infrastructure suivants :
- Application Performance Monitoring
- Gestion de base de données
- Analyse de journalisation
- Management Agent
- Service de données clés sur l'exploitation
Réseau en nuage virtuel (VCN) et sous-réseau
Un VCN est un réseau défini par logiciel personnalisable, configuré dans une région Oracle Cloud Infrastructure. À l'instar des réseaux de centre de données traditionnels, ces derniers vous permettent de contrôler votre environnement de réseau. Un VCN peut disposer de plusieurs blocs CIDR sans chevauchement que vous pouvez modifier après avoir créé le VCN. Vous pouvez segmenter un VCN en sous-réseaux, dont la portée peut concerner une région ou un domaine de disponibilité. Un sous-réseau est constitué d'un intervalle contigu d'adresses qui ne chevauchent pas les autres sous-réseaux dans le réseau en nuage virtuel. Vous pouvez modifier la taille d'un sous-réseau après sa création. Un sous-réseau peut être public ou privé.
passerelle Internet
La passerelle Internet permet le trafic entre les sous-réseaux publics d'un VCN et l'Internet public.
Passerelle de routage dynamique (DRG)
La passerelle DRG est un routeur virtuel qui fournit un chemin pour le trafic réseau privé entre les réseaux en nuage virtuels de la même région, entre un VCN et un réseau en dehors de la région, tel qu'un VCN dans une autre région Oracle Cloud Infrastructure, un réseau sur place ou un réseau d'un autre fournisseur de nuage.
Passerelle de traduction d'adresses de réseau (NAT)
Une passerelle NAT permet aux ressources privées d'un VCN d'accéder à des hôtes sur Internet, sans les exposer aux connexions Internet entrantes.
passerelle de service
La passerelle de service fournit l'accès d'un VCN à d'autres services, tels qu'Oracle Cloud Infrastructure Object Storage. Le trafic entre le réseau VCN et le service Oracle circule sur la matrice réseau Oracle et ne passe pas par Internet.
Oracle Services Network
Oracle Services Network (OSN) est un réseau conceptuel dans Oracle Cloud Infrastructure qui est réservé aux services Oracle. Ces services ont des adresses IP publiques accessibles sur Internet. Les hôtes en dehors d'Oracle Cloud peuvent accéder au réseau OSN en privé à l'aide d'Oracle Cloud Infrastructure FastConnect ou d'une connexion RPV. Les hôtes de vos réseaux en nuage virtuels peuvent accéder au réseau OSN en privé au moyen d'une passerelle de service.
Groupe de sécurité de réseau
Le groupe de sécurité de réseau agit comme un pare-feu virtuel pour vos ressources en nuage. Avec le modèle de sécurité de confiance zéro d'Oracle Cloud Infrastructure, tout le trafic est refusé et vous pouvez contrôler le trafic réseau dans un VCN. Un groupe de NSG est composé d'un jeu de règles de sécurité de trafic entrant et sortant qui s'applique seulement à un jeu spécifié de cartes vNIC dans un seul réseau VCN.
Chambre forte
Oracle Cloud Infrastructure Vault vous permet de gérer, de manière centrale, les clés de chiffrement qui protègent vos données et les données d'identification de clé secrète que vous utilisez pour sécuriser l'accès à vos ressources dans le nuage. Vous pouvez utiliser le service de chambre forte pour créer et gérer des chambres fortes, des clés et des clés secrètes.
Protection d'infrastructure en nuage
Vous pouvez utiliser Oracle Cloud Guard pour surveiller et maintenir la sécurité de vos ressources dans Oracle Cloud Infrastructure. Le service de protection d'infrastructure en nuage utilise des recettes de détecteur que vous pouvez définir pour examiner vos ressources afin de détecter les faiblesses en matière de sécurité et pour surveiller les opérateurs et les utilisateurs pour certaines activités risquées. Lorsqu'une mauvaise configuration ou une activité non sécurisée est détectée, le service de protection d'infrastructure en nuage recommande des actions correctives et aide à effectuer ces actions, en fonction des recettes de répondant que vous pouvez définir.
Zone de sécurité
Les zones de sécurité garantissent les meilleures pratiques de sécurité d'Oracle dès le départ en appliquant des politiques telles que le chiffrement des données et la prévention de l'accès public aux réseaux pour un compartiment entier. Une zone de sécurité est associée à un compartiment du même nom et inclut des politiques de zone de sécurité ou une "recette" qui s'applique au compartiment et à ses sous-compartiments. Vous ne pouvez pas ajouter ou déplacer un compartiment standard vers un compartiment de zone de sécurité.
Service de balayage de vulnérabilités
Le service de balayage de vulnérabilité Oracle Cloud Infrastructure améliore la sécurité dans Oracle Cloud en vérifiant régulièrement si les ports et les hôtes présentent des vulnérabilités potentielles. Le service génère des rapports avec des mesures et des détails sur ces vulnérabilités.
Service d'hôte bastion
Le service d'hôte bastion pour Oracle Cloud Infrastructure fournit un accès sécurisé restreint et limité dans le temps aux ressources qui n'ont pas de points d'extrémité publics et qui nécessitent des contrôles d'accès stricts aux ressources, tels que des machines virtuelles et sans système d'exploitation, Oracle MySQL Database Service, Autonomous Transaction Processing (ATP), Oracle Container Engine for Kubernetes (OKE) et toute autre ressource qui autorise l'accès au protocole SSH. Avec le service d'hôte bastion pour Oracle Cloud Infrastructure, vous pouvez permettre l'accès à des hôtes privés sans déployer et tenir à jour un hôte de saut. En outre, vous bénéficiez d'une meilleure sécurité grâce à des autorisations basées sur l'identité et à une session SSH centralisée, auditée et limitée dans le temps. Le service d'hôte bastion pour Oracle Cloud Infrastructure élimine le besoin d'une adresse IP publique pour l'accès bastion, éliminant ainsi les tracas et la surface d'attaque potentielle lors de la fourniture d'un accès distant.
Service de stockage d'objets
Le service de stockage d'objets offre un accès rapide à de grandes quantités de données structurées et non structurées de tous types, notamment des sauvegardes de base de données, des données analytiques et du contenu riche, comme des images et des vidéos. Vous pouvez stocker des données en toute sécurité, puis les extraire directement à partir d'Internet ou de la plate-forme en nuage. Vous pouvez faire évoluer le stockage sans que la performance ou la fiabilité des services soit affectée. Utilisez le stockage standard pour le stockage "à chaud" auquel vous devez accéder rapidement, immédiatement et fréquemment. Utilisez le stockage d'archives pour le stockage "à froid" que vous conservez pendant de longues périodes et auquel vous accédez rarement.
Container Engine pour Kubernetes
Oracle Cloud Infrastructure Container Engine for Kubernetes (OKE) est un service entièrement géré, évolutif et hautement disponible que vous pouvez utiliser pour déployer vos applications conteneurisées dans le nuage. Vous indiquez les ressources de calcul dont vos applications ont besoin et Container Engine pour Kubernetes les provisionne sur Oracle Cloud Infrastructure d'une location existante. Container Engine pour Kubernetes utilise Kubernetes pour automatiser le déploiement, l'évolutivité et la gestion des applications en conteneurs dans des grappes d'hôtes.
Calcul
Le service Service de calcul pour Oracle Cloud Infrastructure permet de provisionner et de gérer des hôtes pour les calculs dans le nuage. Vous pouvez lancer des instances de calcul avec des formes qui répondent à vos besoins en ressources d'UC, de mémoire, de bande passante de réseau et de stockage. Après avoir créé une instance de calcul, vous pouvez y accéder en toute sécurité, la redémarrer, attacher et détacher des volumes, et y mettre fin lorsque vous n'en avez plus besoin.
Base de données autonome
Les bases de données autonomes d'Oracle Cloud Infrastructure sont des environnements de base de données préconfigurés et entièrement gérés que vous pouvez utiliser pour le traitement des transactions et les charges de travail d'entreposage de données. Il n'est pas nécessaire de configurer ou de gérer du matériel, ni d'installer de logiciel. Oracle Cloud Infrastructure gère la création de la base de données, ainsi que la sauvegarde, l'application de correctifs, la mise à niveau et la mise au point de la base de données.
Base de données Exadata sur une infrastructure dédiée
Exadata Cloud Infrastructure vous permet de tirer parti de la puissance d'Exadata dans le nuage. Vous pouvez provisionner des systèmes X8M et X9M flexibles qui permettent d'ajouter des serveurs de stockage et de calcul de base de données à votre système au fur et à mesure que vos besoins augmentent. Les systèmes X8M et X9M offrent un réseau RDMA sur Ethernet convergé (RoCE) pour une bande passante élevée et une faible latence, des modules de mémoire persistante (PMEM) et des logiciels Exadata intelligents. Les systèmes X8M et X9M peuvent être provisionnés à l'aide d'une forme équivalente à un système X8 ou X9M de quart de bâti. Des serveurs de base de données et de stockage peuvent ensuite être ajoutés à tout moment après le provisionnement.
Service de base de données de base Oracle
Oracle Base Database Service vous permet de maintenir un contrôle absolu sur vos données tout en utilisant les capacités combinées d'Oracle Database et d'Oracle Cloud Infrastructure. Oracle Base Database Service offre des systèmes de base de données (systèmes de base de données) sur des machines virtuelles. Ils sont disponibles en tant que systèmes de base de données à un seul noeud et systèmes de base de données RAC à plusieurs noeuds sur Oracle Cloud Infrastructure (OCI).
Stockage des fichiers
Le service de stockage de fichiers pour Oracle Cloud Infrastructure fournit un système de fichiers de réseau durable, évolutif, sécurisé, de niveau entreprise. Vous pouvez vous connecter à un système de fichiers du service de stockage de fichiers à partir de toute instance sans système d'exploitation, sur machine virtuelle ou en conteneur d'un VCN. Vous pouvez également accéder à un système de fichiers depuis l'extérieur du VCN à l'aide d'Oracle Cloud Infrastructure FastConnect et du RPV IPSec.

Recommandations

Utilisez les recommandations suivantes comme point de départ. Vos exigences peuvent différer de l'architecture décrite ici.

Compartiment d'observabilité et de gestion pour les données de mesure
- Créez un compartiment Oracle Cloud Observability and Management Platform dédié sous la location (compartiment racine).
- Stockez toutes les ressources associées aux mesures personnalisées, telles que les espaces de noms de mesure des services avancés Oracle Cloud Observability and Management Platform, les mesures pour la surveillance de pile, le service de gestion de bases de données, le service de données clés sur l'exploitation, ainsi que les mesures, alarmes et avis personnalisés définis par l'utilisateur dans le compartiment Oracle Cloud Observability and Management Platform.
- Définir des politiques pour accorder l'accès en lecture et en écriture approprié aux équipes concernées, en veillant à ce qu'elles puissent accéder aux données de mesure et aux espaces de noms de mesure tout en respectant le principal avec privilège minimal. Par exemple, l'équipe d'administration Observability and Management dispose d'une autorisation de gestion sur les données de mesure dans le compartiment Observability and Management, alors que les équipes d'administration de base de données et d'application disposent d'autorisations de lecture ou d'utilisation sur les mesures dans le compartiment Observability and Management.
Compartiment d'Oracle Cloud Observability and Management Platform pour les données de journal
- Utilisez les compartiments des ressources en nuage existantes pour stocker les données de journal des ressources en nuage afin que chaque équipe de soutien ou unité d'affaires puisse accéder à ses propres données de journal.
- Créez des groupes de journaux Logging et Logging Analytics dans le même compartiment que les ressources en nuage.
- Stockez toutes les ressources liées aux journaux, notamment les groupes de journaux, les entités de journal, les recherches enregistrées, les tableaux de bord et les politiques de conservation Logging Analytics, dans ces compartiments.
- Définir des politiques d'accès strictes pour garantir que chaque équipe puisse accéder à ses propres journaux, tout en limitant l'accès aux données des journaux des autres équipes.
- Définissez des compartiments de journaux dans le compartiment de réseau, le compartiment de sécurité, le compartiment d'application et le compartiment de base de données, respectivement.

Points à considérer

Lorsque vous implémentez cette architecture de référence, tenez compte de ces options.

Conception de la hiérarchie des compartiments connexes à Oracle Cloud Observability and Management Platform
La conception de la hiérarchie des compartiments connexes à Oracle Cloud Observability and Management Platform vise à aider les équipes d'exploitation et d'ingénierie à simplifier les opérations en nuage tout en maintenant une gouvernance et une sécurité appropriées dans le nuage. Deux données de surveillance et de journalisation distinctes dans OCI :
- Données de mesure : Points de données agrégés, tels que des mesures complètes de disponibilité et de performance collectées par les services d'observabilité et de gestion avancés à partir des ressources en nuage.
- Données de journalisation : Les données de journal brutes de l'hôte, de la base de données, de l'intergiciel ou de l'application telles que syslog, les journaux d'alerte de base de données et les données de journal brutes peuvent contenir des données sensibles.
- Nature des données de journal qui peuvent contenir des informations sensibles d'application ou d'espace de noms d'utilisateur.
- Le périmètre de sécurité des données de journal doit être défini dans le même compartiment que les ressources en nuage.
- L'équipe de soutien ou l'unité d'affaires qui a besoin d'accéder aux données de journal doit avoir le même niveau d'accès aux ressources en nuage et à leur configuration sous-jacente.
Autres ressources Oracle Cloud Observability and Management Platform dans OCI
- Mesures de service : Les ressources en nuage OCI fournissent des mesures de service de base par défaut dans le service de surveillance OCI. Les mesures de service prêtes à l'emploi sont stockées dans les espaces de noms de mesure désignés du même compartiment que les ressources en nuage. Les mesures du service de ressources en nuage sont gratuites et vous ne pouvez pas modifier le compartiment des mesures du service.
- La source de journaux, les analyseurs et les champs de Logging Analytics sont des ressources de niveau location. Ils seront associés à la location (compartiment racine).
- Les journaux générés par les ressources de compartiment Oracle Cloud Observability and Management Platform pour des diagnostics tels que les journaux d'agent de gestion et de connecteur de service doivent être stockés dans le compartiment Oracle Cloud Observability and Management Platform.

Informations complémentaires

Passez en revue ces solutions supplémentaires pour en savoir plus sur les caractéristiques de cette architecture de référence.

Confirmation

Author: Royce Fu

Contributors: Leon Shaner, Sriram Vrinda