Configurazione della tenancy

Prima di poter utilizzare i servizi Globally Distributed Database di Oracle per creare e gestire un database distribuito, è necessario eseguire questi task preparatori per organizzare la tenancy, creare criteri per le varie risorse, quindi procurarsi e configurare le risorse di rete, sicurezza e infrastruttura.

Task 1. Iscriviti alla Regione di Ashburn

In qualità di amministratore dei tenant, esegui la sottoscrizione all'area Ashburn (IAD) e a tutte le aree necessarie per eseguire l'implementazione di Globally Distributed Autonomous AI Database.

  1. Eseguire la sottoscrizione all'area Ashburn (IAD).

    • Per utilizzare il servizio, è necessario effettuare la sottoscrizione all'area Ashburn.

    • L'area di origine della tenancy non deve essere l'area Ashburn, ma è necessario effettuare la sottoscrizione all'area Ashburn per utilizzare i servizi Globally Distributed Database di Oracle.

  2. Eseguire la sottoscrizione a qualsiasi altra area geografica in cui verrà inserito un database.

    • Esegui la sottoscrizione a qualsiasi area geografica in cui prevedi di posizionare i database per l'implementazione, inclusi i database per il catalogo, i nodi e, se prevedi di utilizzare Oracle Data Guard, per i database in standby.

Per ulteriori informazioni, vedere Gestione delle aree.

Task 2. Crea compartimenti

Come amministratore del tenant, crea compartimenti nella tua tenancy per tutte le risorse richieste da Globally Distributed Autonomous AI Database.

Oracle consiglia la struttura riportata di seguito e ai compartimenti riportati di seguito viene fatto riferimento durante i task di impostazione.

La struttura del compartimento risultante assomiglierà a quanto segue:

tenant /
     gdd /
          gdd_certs_vaults_keys
          gdd_clusters
          gdd_databases
          gdd_exadata
          gdd_instances

Per ulteriori informazioni, vedere Utilizzo dei compartimenti.

Task 3. Crea vincoli di accesso utente

Formulare un piano di controllo dell'accesso, quindi istituirlo creando risorse IAM (Identity and Access Management) appropriate. Di conseguenza, il controllo dell'accesso all'interno di un database distribuito viene implementato a vari livelli, definiti dai gruppi e dai criteri qui riportati.

I gruppi di utenti, i gruppi dinamici e i criteri descritti nelle tabelle riportate di seguito dovrebbero guidare la creazione del proprio piano di controllo dell'accesso utente per l'implementazione del database distribuito.

L'amministratore del tenant deve creare i gruppi, i gruppi dinamici e i criteri consigliati riportati di seguito per concedere le autorizzazioni ai ruoli definiti in precedenza. Gli esempi e i collegamenti alla documentazione presuppongono che la tenancy utilizzi i domini di Identity.

Introduzione alla separazione dei ruoli

Devi assicurarti che i tuoi utenti cloud abbiano accesso per utilizzare e creare solo i tipi appropriati di risorse cloud per svolgere le loro mansioni lavorative. Una best practice per Globally Distributed Database consiste nel definire i ruoli ai fini della separazione dei ruoli.

I ruoli e le responsabilità descritti nella tabella seguente dovrebbero guidare l'utente nella comprensione di come definire gruppi di utenti, gruppi dinamici e criteri per l'implementazione di Globally Distributed Autonomous AI Database. I ruoli di esempio riportati qui vengono utilizzati in tutte le istruzioni di impostazione dell'ambiente, creazione delle risorse e gestione.

Ruoli Responsabilità
Amministratore tenant

Sottoscrivi aree

Crea compartimenti

Creare gruppi dinamici, gruppi di utenti e criteri
Amministratore dell'infrastruttura

Crea/Aggiorna/Elimina virtual-network-family

Crea/Aggiorna/Elimina Autonomous Exadata Infrastructure

Crea/Aggiorna/Elimina cluster VM Autonomous Exadata

Assegna tag a cluster VM Autonomous Exadata

Crea/aggiorna/elimina endpoint privati di Globally Distributed Autonomous AI Database

Amministratore certificato

Creazione, aggiornamento ed eliminazione del vault

Crea/aggiorna/elimina chiavi

Crea/aggiorna/elimina autorità di certificazione

Crea/aggiorna/elimina certificato

Crea/aggiorna/elimina bundle CA

Carica bundle di certificati e certificati in cluster VM Autonomous Exadata

Scarica richiesta di firma certificato GSM (CSR)

Crea un certificato GSM basato su CSR GSM

Carica certificato GSM
Utente Crea e gestisce i database distribuiti a livello globale utilizzando interfacce utente e API

Gruppi dinamici

Creare i gruppi dinamici seguenti per controllare l'accesso alle risorse create nei compartimenti di Globally Distributed Database.

Per istruzioni, vedere Creazione di un gruppo dinamico.

Nome del gruppo dinamico Descrizione Regole
gdd-cas-dg Risorse autorità di certificazione

Tutto

resource.type='certificateauthority'

resource.compartment.id = 'OCID della radice del tenant del compartimento / gdd / gdd_certs_vaults_keys'
gdd-clusters-dg Risorse del Cluster VM Autonomous

Tutto

resource.compartment.id = 'OCID della radice tenant del compartimento / gdd / gdd_clusters'
gdd-instances-dg Risorse delle istanze di computazione

Tutto

resource.compartment.id = 'OCID della radice del tenant del compartimento / gdd / gdd_instances'

Gruppi utenti

Creare i gruppi riportati di seguito per concedere agli utenti le autorizzazioni per utilizzare le risorse nei compartimenti di Globally Distributed Database.

Per istruzioni, vedere Creazione di un gruppo.

Nome gruppi di utenti Descrizione
gdd-certificate-admins Amministratori di certificati che creano e gestiscono chiavi e vault.
gdd-infrastructure-admins Amministratori dell'infrastruttura che creano e gestiscono le risorse della rete e dell'infrastruttura cloud
gdd-users Utenti che creano e gestiscono risorse di Globally Distributed Database utilizzando API e interfaccia utente

Criteri

Creare criteri IAM per concedere AI gruppi l'accesso alle risorse create nei compartimenti Globally Distributed Autonomous AI Database.

I criteri di esempio riportati di seguito, che si basano sulla struttura del compartimento e sui gruppi creati in precedenza, dovrebbero guidare la creazione di criteri IAM personalizzati per l'implementazione di Globally Distributed Autonomous AI Database.

Il dominio di Identity, ad esempio Predefinito, deve essere il dominio di Identity in cui sono stati creati i gruppi.

Per istruzioni, vedere Creazione di un criterio.

gdd-certificato-admins-livello tenant

gdd-infrastructure-admins-tenant-level

gdd-utenti-livello tenant

gdd-certificato-admins

gdd-infrastructure-admins

utenti gdd

gdd-dg-cas

gdd-dg-cluster

gdd-km

gdd-okv

Task 4. Configurare le risorse di rete

In qualità di amministratore dell'infrastruttura, creare le risorse di rete e abilitare la connettività necessaria per il database distribuito.

Le risorse di esempio sono denominate in queste istruzioni per semplificare il tracciamento e le relazioni. Ad esempio, il nome gdd_iad si riferisce alla VCN creata nell'area Ashburn (IAD).

Risorse di rete comuni

Tutte le implementazioni di Globally Distributed Autonomous AI Database richiedono una VCN, una subnet e un endpoint privato nell'area Ashburn (IAD).

Come amministratore dell'infrastruttura, creare le risorse come descritto qui:

Rete Cloud virtuale (VCN) + subnet

In Ashburn (IAD), creare la gdd_iad VCN e la subnet gdd_subnet.

Questa VCN e subnet sono necessarie per abilitare la connettività tra il servizio Globally Distributed Autonomous AI Database e i database nella topologia di Globally Distributed Autonomous AI Database.

Utilizzare i valori riportati di seguito.

Endpoint privato

Crea un endpoint privato nell'area Ashburn (IAD) per abilitare la connettività tra il servizio Globally Distributed Autonomous AI Database e i database nella topologia Globally Distributed Autonomous AI Database.

Risorse di rete aggiuntive basate sulla topologia

A seconda della topologia di Globally Distributed Database in uso, creare risorse di rete aggiuntive come descritto nei casi d'uso riportati di seguito.

Tenere presente che i database per la topologia includono il catalogo, i nodi e i database di standby Oracle Data Guard.

Tutte le risorse di rete devono essere create nel compartimento gdd/gdd_databases.

Tutti i database vengono inseriti nell'area Ashburn (IAD)

Risorse di rete: crea una subnet e un gateway di servizi nell'area Ashburn (IAD) per i cluster VM Cloud Autonomous.

Peering e connettività:

Tutti i database vengono posizionati in una singola area, R1, che non è Ashburn (IAD)

Risorse di rete: crea una subnet e un gateway di servizi nell'area per i cluster VM Autonomous cloud.

Peering e connettività:

Nota: il piano di controllo del servizio Globally Distributed Database esiste solo nell'area Ashburn (IAD). L'endpoint privato creato in un passo precedente nell'area Ashburn (IAD) viene utilizzato per comunicare con le risorse del Globally Distributed Database nelle rispettive aree.

I database sono posizionati in più aree R1, R2, …, RN

Risorse di rete: crea subnet e gateway di servizi in ogni area per i cluster VM cloud autonomi.

Peering e connettività:

Task 5. Configura risorse di sicurezza

In qualità di amministratore dei certificati di Globally Distributed Database, creare le risorse di vault, chiave, autorità di certificazione, certificato e bundle CA.

Tutte le risorse di sicurezza vengono create nel compartimento gdd/gdd_certs_vaults_keys.

Attenzione: dopo aver creato un Globally Distributed Database che fa riferimento a una chiave, non puoi spostare il vault o le chiavi in un nuovo compartimento senza anche riavviare i container database autonomi che fanno riferimento al vault o alla chiave spostati.

A seconda della topologia di Globally Distributed Database in uso, creare risorse di sicurezza come descritto nelle tabelle riportate di seguito.

I nomi delle risorse di esempio utilizzati nelle tabelle seguenti dovrebbero guidare la creazione di risorse di sicurezza proprie per l'implementazione di Globally Distributed Database.

Distribuzione automatica dei dati, area singola

In questo caso d'uso, le risorse di sicurezza vengono create in un'unica area.

Negli esempi seguenti, tutte le risorse vengono create nell'area R1.

Vault

Creare un vault per le chiavi di cifratura master TDE (Transparent Data Encryption) e CA (Certificate Authority).

Istruzioni: Creazione di un v Vault

Chiave autorità di certificazione

Nell'area R1, creare la chiave di cifratura master gdd_ca_key_R1 nel vault gdd_vault_R1

Valori attributo obbligatori:

Istruzioni: Creare una chiave di cifratura master

Chiave TDE

Nell'area R1, creare la chiave di cifratura master gdd_TDE_key-oraspace nel vault gdd_vault_R1

Valori attributo obbligatori:

Istruzioni: Creare una chiave di cifratura master

Autorità di certificazione

Creare una CA per l'emissione di certificati per i cluster VM Cloud Autonomous e le istanze di computazione GSM.

È possibile utilizzare una CA di terze parti per creare un certificato, ma è necessario importare il certificato emesso dalla CA di 3a parte nel servizio certificati OCI.

Istruzioni: Creazione di un'autorità di certificato

Certificato

Creare un certificato per il caricamento nei cluster VM Autonomous cloud.

Istruzioni: Creazione di un buono

Bundle CA

Creare un bundle CA per il caricamento nei cluster VM Autonomous cloud.

Istruzioni: Creazione di un gruppo CA

Distribuzione automatica dei dati, aree principali e in standby

Questa topologia si verifica quando i database primari e in standby vengono posizionati in aree diverse. In questo caso d'uso, le risorse di sicurezza vengono create in un database primario e in un database in standby.

Negli esempi seguenti, le risorse vengono create nelle aree Rp (primario) e Rs (standby).

Vault

Creare i vault per le chiavi di cifratura master CA (Certificate Authority).

Istruzioni: Creazione di un v Vault

Vault virtuale replicato

Creare un vault virtuale replicato per la chiave di cifratura master TDE (Transparent Data Encryption).

Istruzioni: Replica di un vault e di chiavi

Chiavi autorità di certificazione

Valori attributo obbligatori:

Istruzioni: Creare una chiave di cifratura master

Chiave TDE

Valori attributo obbligatori:

Istruzioni: Creare una chiave di cifratura master

Autorità di certificazione

Crea CA per l'emissione di certificati per i cluster VM Cloud Autonomous e le istanze di computazione GSM.

È possibile utilizzare una CA di terze parti per creare un certificato, ma è necessario importare il certificato emesso dalla CA di 3a parte nel servizio certificati OCI.

Istruzioni: Creazione di un'autorità di certificato

Certificati

Creare i certificati per il caricamento nei cluster VM Autonomous cloud.

Nota: è necessario utilizzare lo stesso nome comune per i certificati nelle aree Rp e Rs.

Istruzioni: Creazione di un buono

Bundle CA

Creare i bundle CA per il caricamento nei cluster VM Cloud Autonomous.

Istruzioni: Creazione di un gruppo CA

Distribuzione dati gestita dall'utente, area singola

In questo caso d'uso, le risorse di sicurezza vengono create in un'area specifica

Negli esempi seguenti, tutte le risorse vengono create nell'area R1.

Vault

Creare un vault per le chiavi di cifratura master TDE (Transparent Data Encryption) e CA (Certificate Authority).

Istruzioni: Creazione di un v Vault

Chiave autorità di certificazione

Valori attributo obbligatori:

Istruzioni: Creare una chiave di cifratura master

Chiavi TDE

Valori attributo obbligatori:

Istruzioni: Creare una chiave di cifratura master

Autorità di certificazione

Creare una CA per l'emissione di certificati per i cluster VM Cloud Autonomous e le istanze di computazione GSM.

È possibile utilizzare una CA di terze parti per creare un certificato, ma è necessario importare il certificato emesso dalla CA di 3a parte nel servizio certificati OCI.

Istruzioni: Creazione di un'autorità di certificato

Certificato

Creare un certificato per il caricamento nei cluster VM Autonomous cloud.

Istruzioni: Creazione di un buono

Bundle CA

Creare un bundle CA per il caricamento nei cluster VM Autonomous cloud.

Istruzioni: Creazione di un gruppo CA

Distribuzione dati gestita dall'utente, più aree

In questo caso d'uso, le risorse di sicurezza vengono create in ogni area in cui verrà posizionato un database.

Questa topologia può risultare quando una delle due condizioni seguenti è vera o entrambe:

Le risorse di sicurezza vengono create in ogni regione, R1, …, Rn, dove verrà posizionato un database.

Vault

Creare un vault in ogni area per le chiavi di cifratura master dell'autorità di certificazione (CA).

Istruzioni: Creazione di un v Vault

Vault virtuali replicati

Crea vault virtuali replicati per le chiavi di cifratura master TDE (Transparent Data Encryption).

Per ogni database, catalogo o nodo, con una region primaria, Rp, diversa dalla relativa standby region, Rs:

Istruzioni: Replica di un vault e di chiavi

Chiavi autorità di certificazione

Valori attributo obbligatori:

Istruzioni: Creare una chiave di cifratura master

Chiavi TDE

Per ogni database, catalogo o nodo che non dispone di database in standby o che dispone di un'area di standby uguale alla relativa area primaria:

Per ogni database, catalogo o nodo, con un'area primaria diversa da quella stand-by:

Valori attributo obbligatori:

Istruzioni: Creare una chiave di cifratura master

Autorità di certificazione

Creare un'autorità di certificazione (CA) in ogni area per l'emissione di certificati per i cluster VM Cloud Autonomous e le istanze di computazione GSM.

È possibile utilizzare una CA di terze parti per creare un certificato, ma è necessario importare il certificato emesso dalla CA di 3a parte nel servizio certificati OCI.

Istruzioni: Creazione di un'autorità di certificato

Certificati

Creare i certificati in ogni area per il caricamento nei cluster VM Autonomous cloud.

Nota: è necessario utilizzare lo stesso nome comune per i certificati in tutte le aree.

Istruzioni: Creazione di un buono

Bundle CA

Creare i bundle CA per il caricamento nei cluster VM Cloud Autonomous.

Istruzioni: Creazione di un gruppo CA

Task 6. Crea risorse Exadata

Configura la topologia di Globally Distributed Autonomous AI Database come amministratore dell'infrastruttura.

Considerazioni sulle risorse Exadata

Tenere a mente quanto segue:

Crea istanze infrastruttura Exadata

Creare le risorse dell'infrastruttura Exadata nel compartimento gdd/gdd_exadata.

Seguire le istruzioni riportate in Crea una risorsa dell'infrastruttura Exadata.

Importa spazio di nomi tag Oracle-ApplicationName

Importare lo spazio di nomi tag Oracle-ApplicationName nel compartimento radice della tenancy.

  1. Nel menu di navigazione della console cloud selezionare Governance e amministrazione, quindi Aree di nomi tag (nella categoria Gestione tenancy).

  2. Nel pannello Spazi di nomi tag, verificare se lo spazio di nomi Oracle-ApplicationName esiste nel compartimento radice della tenancy.

    Assicurarsi che il compartimento radice della tenancy sia selezionato in Ambito lista.

  3. Se Oracle-ApplicationName non è presente nell'elenco, effettuare le operazioni riportate di seguito.

    1. Selezionare Importa tag standard (sopra l'elenco).

    2. Selezionare la casella di controllo accanto allo spazio di nomi Oracle-ApplicationName e selezionare Importa.

Crea cluster VM Autonomous cloud

Creare un cluster per ogni database nella topologia di Globally Distributed Database.

Per informazioni sui passi da eseguire per creare i cluster, vedere Creare un cluster VM Autonomous Exadata.

Durante la creazione dei cluster, assicurarsi di effettuare le operazioni riportate di seguito.

Task 7. Caricare i certificati del cluster VM Autonomous cloud

L'amministratore dei certificati ha creato il bundle CA, di certificati e autorità di certificazione nel compartimento gdd/gdd_certs_vaults_keys. Ora si carica il bundle CA in ogni cluster VM Autonomous Exadata.

Importante:

Per ulteriori informazioni, vedere Gestire i certificati di sicurezza per una risorsa cluster VM Autonomous Exadata.

(Facoltativo) Crea chiave API e vincoli utente

Crea una coppia di chiavi API OCI se intendi utilizzare direttamente l'API REST di Globally Distributed Database, i kit di sviluppo software OCI e l'interfaccia della riga di comando.

Seguire le istruzioni in Chiavi e OCID obbligatori.

Se si desidera impostare controlli utente sulle API, vedere Autorizzazioni per le API di Globally Distributed Autonomous AI Database.