Déploiement d'un portail de vente Internet avec une zone de renvoi Oracle Cloud Infrastructure

Pour aider les agences gouvernementales fédérales, étatiques et locales à configurer et à sécuriser leurs workloads dans le cloud, Mythics a déployé une zone de renvoi sécurisée sur Oracle Cloud Infrastructure (OCI) qui répond aux critères du CIS (Center for Internet Security).

Grâce à la zone de renvoi OCI, Mythics peut personnaliser, configurer et sécuriser rapidement n'importe quel environnement dans les quelques heures suivant la création de l'instance.

Dans sa propre location OCI, Mythics a déployé un portail de vente Internet qui prend en charge ses groupes marketing, commerciaux, de contrats, juridiques, comptables et opérationnels. A l'aide de formulaires et d'assistants APEX et d'un entrepôt de données qui s'intègre à Oracle NetSuite, Mythics peut désormais suivre et acheminer les approbations internes de chacun de ces services, générant des centaines de milliers de transactions de vente et de transactions d'approbation de workflow par courriel chaque mois.

En déployant son portail de vente Internet à l'aide de la zone de renvoi OCI, Mythics a :

Performances et disponibilité accrues : Mythics est désormais en mesure de traiter rapidement les transactions à l'aide de plusieurs cœurs de calcul, ainsi que de maintenir une haute disponibilité à l'aide d'équilibreurs de charge. En tirant parti de leurs capacités de récupération après sinistre, Mythics peut rapidement augmenter ou diminuer à la demande, même lors de rafales saisonnières, telles qu'une clôture de mois, de trimestre ou de fin d'année.
Configurations de sécurité complexes automatisées : Mythics peut personnaliser, configurer et sécuriser rapidement son environnement en quelques heures à compter de la création de l'instance.
Publications de sécurité personnalisables créées : les mythes peuvent également réutiliser et modifier les modèles de zone de renvoi OCI, et les appliquer à n'importe quel environnement client public ou commercial, exécutant n'importe quel type de charge globale sur OCI.

Architecture

Mythics a déployé une zone de renvoi Oracle Cloud Infrastructure (OCI) pour sécuriser l'environnement de son portail de vente Internet.

A l'aide du modèle de zone de renvoi OCI, Mythics a automatiquement créé un réseau cloud virtuel (VCN), ainsi que plusieurs sous-réseaux et compartiments. Les sous-réseaux ont été créés avec isolement et segmentation du réseau, des listes de sécurité, des tables de routage et des groupes de sécurité réseau :

appdev-pvt : sous-réseau privé pour les ressources d'application
mgmt-pvt : sous-réseau privé pour les ressources de gestion
db-pvt : sous-réseau privé pour les ressources de base de données
bastion-pvt : sous-réseau privé pour l'accès à l'hôte de bastion
bastion-pub : sous-réseau public pour l'accès à l'hôte de bastion

Mythiques utilisaient des compartiments pour regrouper et contrôler l'accès aux ressources. Mythics a implémenté un modèle d'accès avec le moins de privilèges possible en créant des groupes et des stratégies, puis en affectant les droits d'accès appropriés pour contrôler qui peut accéder aux ressources. Par défaut, la zone de renvoi crée cinq compartiments :

megprod-network-cmpt : compartiment pour les ressources réseau
megprod-security-cmpt : compartiment pour les ressources de sécurité incluant, les notifications, Cloud Guard et les journaux
megprod-appdev-cmpt : compartiment pour APEX et les serveurs d'applications
megprod-database-cmpt : compartiment pour les serveurs de base de données
megprod-mgmt-cmpt : compartiment pour les ressources de gestion

Mythics a également utilisé la zone de renvoi OCI pour déployer automatiquement des outils de sécurité, tels qu'Oracle Cloud Guard pour la gestion de la posture de sécurité, OCI Logging pour consolider les journaux et OCI Notifications. Mythiques puis couches dans leurs composants, qui comprennent :

APEX pour le développement d'applications low code de formulaires, d'assistants et de workflows
Deux instances de machine virtuelle pour les processus d'application, équilibrées de charge pour une haute disponibilité
Oracle Database Cloud Service exécuté sur des machines virtuelles et un entrepôt de données pour stocker plus de 200 000 transactions de vente actuelles et historiques
Un cluster OCI Kubernetes Engine (OKE) pour automatiser la gestion des ressources
Des outils tels que Jenkins, le référentiel Git et Oracle Linux Automation Manager (OLAM) inclus dans leur cluster OKE pour automatiser le développement, les tests, le déploiement et la gestion de logiciels
Hôtes bastion qui fournissent un accès à partir d'un sous-réseau privé via le réseau sur site et à partir d'un sous-réseau public accessible à partir d'Internet

Les utilisateurs accèdent au portail de vente Internet à l'aide d'une passerelle Internet. Les développeurs et les administrateurs de Mythics gèrent l'environnement à partir d'un emplacement sur site en utilisant Tailscale pour plus de sécurité. Le réseau sur site est connecté à l'aide de tunnels VPN IPSec avec l'équipement sur site (CPE) du client connecté à des passerelles de routage dynamique (DRG). À partir d'Internet, les développeurs Mythics accèdent à l'environnement en utilisant Tailscale, un service VPN qui sécurise les appareils et les applications accessibles partout. En plus d'utiliser des groupes, des stratégies et des règles réseau, Tailscale permet à Mythics de contrôler l'accès au réseau en périphérie, et ainsi d'affiner le niveau exact d'accès qu'ils accordent. Par exemple, les développeurs Mythics peuvent accéder au cluster et à l'application OKE, tandis que les administrateurs peuvent uniquement accéder aux instances de serveur d'applications, créant ainsi une couche de sécurité supplémentaire dans le réseau d'accès de confiance zéro.

Les passerelles NAT sont utilisées pour les intégrations à Oracle NetSuite. Oracle NetSuite CRM/ERP est mis à jour toutes les 15 minutes et est extrait quotidiennement par une série de tableaux de bord APEX et de rapports ad hoc. Les API REST sont utilisées comme points d'automatisation et transmettent les modifications à NetSuite à partir de la base de données. Des points d'intégration supplémentaires permettent à Mythics d'utiliser l'application en tant qu'orchestrateur de licences pour gérer des contrats volumineux via un contrat de licence illimité (ULA).

Pour la récupération après sinistre, l'application est déployée dans une configuration active-passive. La région Est des Etats-Unis-Ashburn est la région principale et la région Ouest des Etats-Unis-Phoenix est le site de récupération après sinistre. Les deux régions sont connectées à l'aide de l'appairage à distance entre les deux passerelles de routage dynamique. Les équilibreurs de charge redirigent les utilisateurs vers le site de récupération après sinistre en cas de panne dans Ashburn. La base de données est répliquée à l'aide d'Oracle Data Guard d'Ashburn à Phoenix. Les services de stockage de fichiers et le stockage d'objets sont répliqués d'Ashburn à Phoenix. Les services de sauvegarde natifs OCI sont utilisés pour sauvegarder l'infrastructure.

Les améliorations futures pour Mythics incluent :

Tirer parti d'un plus grand nombre d'options de plate-forme en tant que service (PaaS)
Migration de la base de données d'Oracle Database Cloud Service exécutée sur des machines virtuelles vers Oracle Autonomous Database afin de libérer les équipes Mythics des opérations et de la maintenance de la base de données

Le schéma suivant illustre l'architecture de mise en réseau et de reprise après sinistre :

Description de l'image mythics-oci-architecture.png

mythiques-oci-architecture-oracle.zip

L'architecture comprend les composants suivants :

Tenancy
Une location est une partition sécurisée et isolée configurée par Oracle dans Oracle Cloud lors de votre inscription à Oracle Cloud Infrastructure. Vous pouvez créer, organiser et administrer vos ressources dans Oracle Cloud au sein de votre location. Une location est synonyme d'entreprise ou d'organisation. En général, une entreprise dispose d'une seule location et reflète sa structure organisationnelle au sein de cette location. Une location unique est généralement associée à un seul abonnement, et un seul abonnement n'a généralement qu'une seule location.
Région
Une région Oracle Cloud Infrastructure est une zone géographique précise, incluant un ou plusieurs centres de données, appelés domaines de disponibilité. Les régions sont indépendantes les unes des autres et de grandes distances peuvent les séparer (entre pays, voire continents).
Compartiment
Les compartiments sont des partitions logiques inter-régionales au sein d'une location Oracle Cloud Infrastructure. Utilisez des compartiments afin d'organiser, de contrôler l'accès et de définir des quotas d'utilisation pour les ressources Oracle Cloud. Dans un compartiment donné, vous définissez des stratégies qui contrôlent l'accès et définissent des privilèges pour les ressources.
Domaine de disponibilité
Les domaines de disponibilité sont des centres de données autonomes indépendants au sein d'une région. Les ressources physiques de chaque domaine de disponibilité sont isolées de celles des autres, ce qui garantit la tolérance aux pannes. Les domaines de disponibilité ne partagent ni infrastructure (par exemple, alimentation, système de refroidissement), ni réseau de domaine de disponibilité interne. Par conséquent, une panne sur un domaine de disponibilité ne doit pas affecter les autres domaines de disponibilité de la région.
Domaine de pannes
Un domaine de pannes est un regroupement de matériel et d'infrastructures au sein d'un domaine de disponibilité. Chaque domaine de disponibilité comporte trois domaines de pannes avec du matériel et une alimentation indépendants. Lorsque vous répartissez les ressources entre plusieurs domaines de pannes, vos applications peuvent tolérer les pannes physiques du serveur, la maintenance du système et les pannes d'alimentation au sein d'un domaine de pannes.
Réseau cloud virtuel (VCN) et sous-réseaux
Un VCN est un réseau personnalisable défini par logiciel que vous configurez dans une région Oracle Cloud Infrastructure. Comme les réseaux de centre de données traditionnels, les réseaux cloud virtuels vous donnent le contrôle sur l'environnement réseau. Un réseau cloud virtuel peut comporter plusieurs blocs CIDR qui ne se chevauchent pas et que vous pouvez modifier après l'avoir créé. Vous pouvez segmenter un réseau cloud virtuel en plusieurs sous-réseaux ciblant une région ou un domaine de disponibilité. Chaque sous-réseau est composé d'une plage contiguë d'adresses qui ne chevauchent pas celles des autres sous-réseaux du réseau cloud virtuel. Vous pouvez modifier la taille d'un sous-réseau après sa création. Un sous-réseau peut être public ou privé.
Table de routage
Les tables de routage virtuelles contiennent des règles pour acheminer le trafic des sous-réseaux vers des destinations en dehors d'un VCN, généralement via des passerelles.
Liste de sécurité
Pour chaque sous-réseau, vous pouvez créer des règles de sécurité qui indiquent la source, la destination et le type de trafic qui doivent être autorisés à entrer et à sortir du sous-réseau.
VPN site à site
Le VPN site à site fournit une connectivité VPN IPSec entre votre réseau sur site et les réseaux cloud virtuels dans Oracle Cloud Infrastructure. La suite de protocoles IPSec crypte le trafic IP avant le transfert des paquets de la source vers la destination. Elle décrypte également le trafic à son arrivée.
Passerelle Internet
La passerelle Internet autorise le trafic entre les sous-réseaux publics d'un VCN et le réseau Internet public.
Passerelle de routage dynamique
Le DRG est un routeur virtuel qui fournit un chemin pour le trafic de réseau privé entre les réseaux cloud virtuels de la même région, entre un VCN et un réseau en dehors de la région, tel qu'un VCN dans une autre région Oracle Cloud Infrastructure, un réseau sur site ou un réseau dans un autre fournisseur cloud.
Passerelle NAT (Network Address Translation)
Une passerelle NAT permet aux ressources privées d'un VCN d'accéder aux hôtes sur Internet, sans les exposer aux connexions Internet entrantes.
Passerelle de service
La passerelle de service fournit un accès à partir d'un VCN à d'autres services, tels qu'Oracle Cloud Infrastructure Object Storage. Le trafic entre le VCN et le service Oracle passe par la structure du réseau Oracle et ne traverse pas Internet.
Appairage à distance
L'appairage à distance permet aux ressources du réseau cloud virtuel de communiquer à l'aide d'adresses IP privées sans que le trafic ne soit routé sur Internet ou via votre réseau sur site. L'appairage à distance élimine le besoin d'une passerelle Internet et d'adresses IP publiques pour les instances qui doivent communiquer avec un autre VCN dans une autre région.
Equilibreur de charge
Le service Oracle Cloud Infrastructure Load Balancing fournit une répartition de trafic automatique à partir d'un seul point d'entrée vers plusieurs serveurs dans le back-end.
Oracle Base Database Service
Oracle Base Database Service est un service de base de données Oracle Cloud Infrastructure (OCI) qui vous permet de créer, de mettre à l'échelle et de gérer des bases de données Oracle complètes sur des machines virtuelles. Oracle Base Database Service utilise le stockage OCI Block Volumes au lieu du stockage local et peut exécuter Oracle Real Application Clusters (Oracle RAC) pour améliorer la disponibilité.
Data Guard
Oracle Data Guard et Oracle Active Data Guard fournissent un ensemble complet de services permettant de créer, de tenir à jour, de gérer et de surveiller des bases de données de secours, et permettant aux bases de données Oracle de production de rester disponibles sans interruption. Oracle Data Guard conserve ces bases de données de secours en tant que copies de la base de données de production à l'aide de la réplication en mémoire. Si la base de données de production devient indisponible en raison d'une coupure planifiée ou non, Oracle Data Guard peut basculer n'importe quelle base de données de secours vers le rôle de production, réduisant ainsi le temps d'inactivité associé à la coupure. Oracle Active Data Guard offre la possibilité de décharger les charges globales en lecture principalement vers les bases de données de secours, ainsi que des fonctionnalités avancées de protection des données.
Cloud Guard
Vous pouvez utiliser Oracle Cloud Guard pour surveiller et maintenir la sécurité de vos ressources dans Oracle Cloud Infrastructure. Cloud Guard utilise des recettes de détecteur que vous pouvez définir pour examiner les faiblesses de sécurité de vos ressources et pour surveiller les opérateurs et les utilisateurs afin de détecter certaines activités à risque. Lorsqu'une erreur de configuration ou une activité non sécurisée est détectée, Cloud Guard recommande des actions correctives et vous aide à effectuer ces actions, en fonction des recettes de répondeur que vous pouvez définir.
Service APEX
Oracle APEX est une plate-forme de développement low-code qui vous permet de construire des applications d'entreprise évolutives, riches en fonctionnalités, sécurisées et pouvant être déployées partout où Oracle Database est installé. Vous n'avez pas besoin d'être un expert dans une vaste gamme de technologies pour fournir des solutions sophistiquées. Oracle APEX inclut des fonctionnalités intégrées telles que des thèmes d'interface utilisateur, des contrôles de navigation, des gestionnaires de panneaux et des rapports flexibles qui accélèrent le processus de développement d'application.
Notifications
Le service Oracle Cloud Infrastructure Notifications diffuse des messages vers des composants distribués via un modèle publication-abonnement qui délivre des messages sécurisés, durables, extrêmement fiables et à faible latence pour les applications hébergées sur Oracle Cloud Infrastructure.
Logging
Logging est un service hautement évolutif et entièrement géré qui permet d'accéder aux types de journal suivants à partir des ressources du cloud :
- Journaux d'audit : journaux liés aux événements émis par le service Audit.
- Journaux de service : journaux émis par des services individuels tels qu'API Gateway, Events, Functions, Load Balancing, Object Storage et les journaux de flux VCN.
- Journaux personnalisés : journaux contenant des informations de diagnostic issues d'applications personnalisées, d'autres fournisseurs cloud ou d'un environnement sur site.
Kubernetes Engine
Oracle Cloud Infrastructure Kubernetes Engine (OCI Kubernetes Engine ou OKE) est un service entièrement géré, évolutif et hautement disponible que vous pouvez utiliser pour déployer vos applications en conteneur vers le cloud. Indiquez les ressources de calcul requises par vos applications et Kubernetes Engine les provisionne sur Oracle Cloud Infrastructure dans une location existante. OKE utilise Kubernetes pour automatiser le déploiement, le redimensionnement et la gestion des applications en conteneur dans les clusters d'hôtes.
Object Storage
Oracle Cloud Infrastructure Object Storage fournit un accès rapide à de grandes quantités de données, structurées ou non, de tout type de contenu, y compris des sauvegardes de base de données, des données analytiques et du contenu enrichi tel que des images et des vidéos. Vous pouvez stocker les données, puis les extraire directement à partir d'Internet ou de la plate-forme cloud, et ce, en toute sécurité. Vous pouvez redimensionner le stockage sans dégradation des performances ni de la fiabilité des services. Utilisez le stockage standard pour le stockage "à chaud" auquel vous devez accéder rapidement, immédiatement et fréquemment. Utilisez le stockage d'archive pour le stockage "à froid" que vous conservez pendant de longues périodes et auquel vous accédez rarement.
File Storage
Le service Oracle Cloud Infrastructure File Storage offre un système de fichiers réseau durable, évolutif, sécurisé et adapté à l'entreprise. Vous pouvez vous connecter à un système de fichiers de service File Storage à partir de n'importe quelle instance Bare Metal, de machine virtuelle ou de conteneur dans un VCN. Vous pouvez également accéder à un système de fichiers à partir de l'extérieur du VCN à l'aide d'Oracle Cloud Infrastructure FastConnect et du VPN IPSec.
DNS
Le service DNS (Domain Name System) Oracle Cloud Infrastructure est un réseau DNS (Domain Name System) anycast mondial hautement évolutif qui offre des performances, une résilience et une évolutivité DNS améliorées afin que les utilisateurs finaux se connectent rapidement aux applications Internet, où qu'ils se trouvent.
Registry
Oracle Cloud Infrastructure Registry est un registre géré par Oracle qui vous permet de simplifier votre workflow du développement jusqu'à la production. Le registre vous permet de stocker, de partager et de gérer facilement des artefacts de développement, tels que des images Docker. L'architecture hautement disponible et évolutive d'Oracle Cloud Infrastructure vous garantit un déploiement et une gestion fiables des applications.

En savoir plus

En savoir plus sur les caractéristiques de cette architecture et sur les architectures associées.

Consultez les articles de blog suivants sur la zone de renvoi d'Oracle Cloud Infrastructure :

Accusés de réception

Auteurs : Robert Huie, Sasha Banks-Louie
Contributeurs : Robert Lies