Monitorare e gestire le installazioni di applicazioni Java e Java
Operazioni preliminari
Questa architettura di riferimento presuppone il corretto inserimento nell'infrastruttura OCI.
JMS è un servizio nativo OCI che è possibile distribuire in realm commerciali e limitati. È accessibile tramite l'API (OCI Software Development Kit (SDK) per JMS) o la console JMS.
Creare le flotte JMS all'interno di un compartimento della tenancy. È possibile disporre di più flotte e risorse JMS in una o più aree geografiche. Utilizzare le flotte per controllare l'accesso alla risorsa associata e assegnarle ai reparti dell'azienda. Con questo approccio, ogni reparto dell'azienda cliente può controllare la propria flotta e le proprie risorse.
Per completare l'inserimento JMS, eseguire le operazioni riportate di seguito.
- Impostare Oracle Cloud Infrastructure per JMS (gestire manualmente i criteri o utilizzare una procedura guidata).
- Crea una flotta JMS.
- Distribuire un agente o configurare l'agente e abilitare il plugin JMS.
- Monitorare le installazioni e le applicazioni Java nell'istanza gestita.
- Eseguire le operazioni delle funzioni avanzate, in base alle esigenze.
Per ulteriori informazioni, consulta la sezione relativa al servizio di gestione Java nella documentazione OCI.
Architettura
L'agente JMS viene installato nelle istanze gestite per raccogliere i metadati di telemetria d'uso Java e Java. I dati di telemetria vengono emessi e memorizzati nella tenancy per garantire la protezione della privacy.
I metadati di uso Java vengono esfiltrabili dalla tenancy dall'agente installato nelle tenancy. JMS utilizza questi metadati per generare approfondimenti quali la versione Java, la baseline di sicurezza e i prossimi aggiornamenti Java e l'uso delle applicazioni, che vengono presentati quando si esegue il login a OCI Console. L'accesso Oracle non esiste oltre l'elaborazione dei metadati integrati.
Utilizzando le funzioni avanzate disponibili in JMS, è possibile analizzare l'uso degli Application Server Java, identificare potenziali vulnerabilità nelle librerie Java utilizzate dalle applicazioni in esecuzione nell'ambiente, utilizzare Java Flight Recorder per l'analisi delle prestazioni e della crittografia e gestire Oracle Java Runtime (versioni JDK) nell'ambiente. È possibile utilizzare la funzione avanzata per gestire Java in esecuzione nell'ambiente in uso.
Il diagramma riportato di seguito illustra la topologia del servizio JMS in produzione. Il diagramma mostra gli agenti distribuiti per tenere traccia di Java in esecuzione su OCI, i desktop on premise, i laptop e i server e i servizi cloud di terze parti. Questi agenti vengono distribuiti nelle istanze gestite e sono associati alle risorse (flotta) create nelle tenancy.
Il seguente diagramma illustra questa architettura di riferimento.
Descrizione dell'immagine jms-oci-topology.png
Di seguito viene descritto il flusso di dati tra l'agente JMS installato nell'istanza gestita e il servizio JMS su OCI.
- L'agente viene installato nell'istanza gestita e l'agente si registra con OCI.
- È possibile configurare o abilitare il plugin JMS (passando la flotta JMS come parametro). L'agente JMS è ora associato alla flotta JMS desiderata.
- L'agente JMS registrato esegue il polling di JMS per il lavoro. JMS risponderà al sondaggio con eventuali richieste di lavoro appropriate.
- L'agente JMS analizza periodicamente l'istanza gestita per cercare installazioni o voci Java nel tracker di utilizzo e invia le metriche Java e i metadati Java a OCI.
Il flusso di dati tra l'agente JMS e il servizio OCI è illustrato nella figura riportata di seguito.
Descrizione dell'immagine jms-oci-workflow.png
- Utente: installa l'agente sull'agente JMS e una richiesta viene inviata all'agente JMS (richiesta).
- Agente JMS: Invia una richiesta di registrazione ai servizi OCI (richiesta).
- Servizi OCI: convalida la chiave e restituisce i metadati e i token di autenticazione e invia una risposta all'agente JMS (risposta).
- Agente JMS: l'agente viene avviato e invia una risposta all'utente (risposta).
- Agente JMS: installa i plugin richiesti nei servizi OCI (richiesta).
- Agente JMS: esegue il polling dei servizi OCI come richiesta di lavoro (richiesta).
- Servizi OCI: invia una richiesta di lavoro (risposta).
- Agente JMS: L'agente ottiene il bundle di plugin e installa (richiesta).
- Agente JMS: esegue periodicamente i polling e invia l'inventario ai servizi OCI sulla tenancy del cliente (richiesta).
Il diagramma di rete riportato di seguito descrive i flussi di traffico tra l'agente JMS installato sui computer host (in locale) e JMS in esecuzione in OCI. Tra i computer host in OCI e JMS si verifica un pattern di traffico simile.
Descrizione dell'immagine jms-oci-network-traffic.png
jms-oci-network-traffic-oracle.zip
- L'agente JMS avvia sempre la richiesta autenticandosi con OCI utilizzando una porta aperta consentita dal firewall (443).
- Il Management Agent e il servizio JMS di OCI non inviano dati all'agente.
- L'agente JMS esegue il polling del servizio per le richieste di lavoro.
- L'intervallo di polling delle richieste di lavoro dell'agente JMS può essere inferiore a 30 secondi.
- L'intervallo di polling dell'agente JMS è configurabile. L'intervallo di polling massimo è di 10 minuti.
- I dati trasmessi vengono cifrati utilizzando TLS.
- I servizi OCI inviano quindi di nuovo i dati in risposta a questa richiesta una volta stabilita la connessione.
L'architettura presenta i seguenti componenti:
- Area
Un'area geografica Oracle Cloud Infrastructure è un'area geografica localizzata che contiene uno o più data center, denominati domini di disponibilità. Le regioni sono indipendenti da altre regioni e grandi distanze possono separarle (tra paesi o addirittura continenti).
- Domini di disponibilità
I domini di disponibilità sono data center standalone e indipendenti all'interno di un'area geografica. Le risorse fisiche in ciascun dominio di disponibilità sono isolate dalle risorse negli altri domini di disponibilità, il che fornisce tolleranza agli errori. I domini di disponibilità non condividono l'infrastruttura, ad esempio alimentazione o raffreddamento, o la rete interna del dominio di disponibilità. Pertanto, un errore in un dominio di disponibilità non dovrebbe influire sugli altri domini di disponibilità nell'area.
- Compartimento
I compartimenti sono partizioni logiche tra più aree all'interno di una tenancy Oracle Cloud Infrastructure. Usare i compartimenti per organizzare, controllare l'accesso e impostare le quote d'uso per le risorse Oracle Cloud. In un determinato compartimento, si definiscono i criteri che controllano l'accesso e impostano i privilegi per le risorse.
- Gateway di instradamento dinamico (DRG)
Il gateway DRG è un router virtuale che fornisce un percorso per il traffico di rete privato tra le reti VCN nella stessa area, tra una rete VCN e una rete esterna all'area, ad esempio una rete VCN in un'altra area Oracle Cloud Infrastructure, una rete on premise o una rete in un altro provider cloud.
- Pool di istanze
Un pool di istanze è un gruppo di istanze all'interno di un'area creata dalla stessa configurazione di istanza e gestita come un gruppo.
- Rete in locale
Questa rete è la rete locale utilizzata dall'organizzazione. È uno dei raggi della topologia.
- Lista di sicurezza
Per ogni subnet, puoi creare regole di sicurezza che specificano l'origine, la destinazione e il tipo di traffico che devono essere consentiti all'interno e all'esterno della subnet.
- Zona di sicurezza
Le zone di sicurezza garantiscono le procedure ottimali di sicurezza di Oracle fin dall'inizio applicando criteri quali la cifratura dei dati e la prevenzione dell'accesso pubblico alle reti per un intero compartimento. Una zona di sicurezza è associata a un compartimento con lo stesso nome e include criteri della zona di sicurezza o una "ricetta" che si applica al compartimento e ai relativi compartimenti secondari. Non è possibile aggiungere o spostare un compartimento standard in un compartimento della zona di sicurezza.
- Gateway di instradamento dinamico (DRG)
Il gateway DRG è un router virtuale che fornisce un percorso per il traffico di rete privato tra le reti VCN nella stessa area, tra una rete VCN e una rete esterna all'area, ad esempio una rete VCN in un'altra area Oracle Cloud Infrastructure, una rete on premise o una rete in un altro provider cloud.
- Gateway del servizio
Il gateway di servizi fornisce l'accesso da una VCN ad altri servizi, come Oracle Cloud Infrastructure Object Storage. Il traffico dalla VCN al servizio Oracle viene instradato sul fabric di rete Oracle e non attraversa Internet.
- Tenancy
Una tenancy è una partizione sicura e isolata che Oracle imposta all'interno di Oracle Cloud quando ti iscrivi a Oracle Cloud Infrastructure. Puoi creare, organizzare e amministrare le risorse in Oracle Cloud all'interno della tua tenancy. Una tenancy è sinonimo di azienda o organizzazione. Di solito, un'azienda avrà una singola tenancy e rifletterà la sua struttura organizzativa all'interno di quella tenancy. Una singola tenancy viene in genere associata a una singola sottoscrizione e una singola sottoscrizione in genere ha una sola tenancy.
- LogLogging è un servizio altamente scalabile e completamente gestito che fornisce l'accesso ai seguenti tipi di log dalle risorse nel cloud:
- Log di audit: log relativi agli eventi emessi dal servizio di audit.
- Log del servizio: log emessi da singoli servizi, ad esempio gateway API, eventi, funzioni, bilanciamento del carico, storage degli oggetti e log di flusso VCN.
- Log personalizzati: log che contengono informazioni di diagnostica provenienti da applicazioni personalizzate, altri provider cloud o da un ambiente in locale.
- Monitoraggio
Il servizio Oracle Cloud Infrastructure Monitoring monitora attivamente e passivamente le tue risorse cloud utilizzando le metriche per monitorare le risorse e gli allarmi per avvisarti quando queste metriche soddisfano i trigger specificati dall'allarme.
- Criterio
Un criterio di Oracle Cloud Infrastructure Identity and Access Management specifica chi può accedere a quali risorse e come. L'accesso viene concesso a livello di gruppo e compartimento. Ciò significa che è possibile scrivere un criterio che fornisce a un gruppo un tipo specifico di accesso all'interno di un compartimento specifico o alla tenancy.
- Oracle Cloud Infrastructure Vault
Oracle Cloud Infrastructure Vault ti consente di gestire centralmente le chiavi di cifratura che proteggono i tuoi dati e le credenziali segrete utilizzate per proteggere l'accesso alle tue risorse nel cloud. È possibile utilizzare il servizio Vault per creare e gestire vault, chiavi e segreti.
OCI Vault offre anche un ricco set di API Rest per gestire vault e chiavi.
- Flusso di lavoro
Oracle Cloud Infrastructure Workflow Service è un motore di workflow serverless con un designer di flussi grafici per sviluppatori e architetti. Accelera la creazione e l'esecuzione dell'orchestrazione dei servizi OCI, come OCI Functions, AI/ML, per eseguire la logica aziendale, le attività IT e i job di dati.
- Rete cloud virtuale (VCN) e subnet
Una VCN è una rete personalizzabile e definita dal software configurata in un'area Oracle Cloud Infrastructure. Come le tradizionali reti di data center, le reti VCN consentono di controllare l'ambiente di rete. Una VCN può avere più blocchi CIDR non sovrapposti che è possibile modificare dopo aver creato la VCN. Puoi segmentare una VCN in subnet, che possono essere definite in un'area o in un dominio di disponibilità. Ogni subnet è costituita da un intervallo contiguo di indirizzi che non si sovrappongono alle altre subnet nella VCN. È possibile modificare le dimensioni di una subnet dopo la creazione. Una subnet può essere pubblica o privata.
- Gateway API
Oracle Cloud Infrastructure API Gateway ti consente di pubblicare le API con endpoint privati accessibili dall'interno della tua rete e che, se necessario, puoi esporre alla rete Internet pubblica. Gli endpoint supportano la convalida delle API, la trasformazione delle richieste e delle risposte, il CORS, l'autenticazione e l'autorizzazione e la limitazione delle richieste.
- Autonomous Database
Oracle Autonomous Database è un ambiente di database completamente gestito e preconfigurato che puoi utilizzare per l'elaborazione delle transazioni e i carichi di lavoro di data warehousing. Non è necessario configurare o gestire alcun componente hardware né installare software. Oracle Cloud Infrastructure gestisce la creazione, il backup, l'applicazione di patch, l'upgrade e il tuning del database.
- Host Bastion
L'host bastion è un'istanza di computazione che funge da punto di accesso sicuro e controllato alla topologia dall'esterno del cloud. Il provisioning dell'host bastion viene in genere eseguito in una zona demilitarizzata (DMZ). Ti consente di proteggere le risorse sensibili posizionandole in reti private a cui non è possibile accedere direttamente dall'esterno del cloud. La topologia dispone di un singolo punto di accesso noto che è possibile monitorare e controllare regolarmente. È quindi possibile evitare di esporre i componenti più sensibili della topologia senza compromettere l'accesso a tali componenti.
- Calcolo
Con Oracle Cloud Infrastructure Compute, puoi eseguire il provisioning e gestire gli host di computazione nel cloud. Puoi avviare istanze di computazione con forme che soddisfano i requisiti delle risorse per CPU, memoria, larghezza di banda di rete e storage. Dopo aver creato un'istanza di computazione, è possibile accedervi in modo sicuro, riavviarla, collegare e scollegare volumi e arrestarla quando non è più necessaria.
- DNS
Il servizio DNS (Domain Name System) di Oracle Cloud Infrastructure è una rete DNS (Domain Name System) anycast, globale e altamente scalabile che offre prestazioni, resilienza e scalabilità DNS ottimizzate, in modo che gli utenti finali si connettano alle applicazioni Internet in modo rapido, da qualsiasi luogo.
- Flussi Kafka
Kafka Streams è una libreria client per la creazione di applicazioni e microservizi, in cui i dati di input e output vengono memorizzati nei cluster Kafka. Combina la semplicità di scrittura e distribuzione di applicazioni Java e Scala standard sul lato client con i vantaggi della tecnologia cluster lato server di Kafka.
- Storage degli oggetti
Lo storage degli oggetti Oracle Cloud Infrastructure fornisce un accesso rapido a grandi quantità di dati strutturati e non strutturati di qualsiasi tipo di contenuto, inclusi backup del database, dati analitici e contenuti avanzati come immagini e video. Puoi memorizzare e quindi recuperare i dati direttamente da Internet o dall'interno della piattaforma cloud. Puoi ridimensionare lo storage senza alcun deterioramento delle prestazioni o dell'affidabilità del servizio. Utilizza lo storage standard per lo storage "caldo" a cui è necessario accedere rapidamente, immediatamente e frequentemente. Utilizza lo storage di archivio per lo storage "freddo" che conservi per lunghi periodi di tempo e a cui accedi raramente o raramente.
- Oracle Management Agent
Oracle Management Agent è un servizio che fornisce comunicazioni interattive a bassa latenza e raccolta di dati tra Oracle Cloud Infrastructure e le istanze gestite on-premise. I Management Agent raccolgono i dati dalle origini che si desidera monitorare. Management Agent Service, un Oracle Cloud Service, gestisce il ciclo di vita del Management Agent e dei plugin per i servizi.
- Agente Oracle Cloud
Oracle Cloud Agent è un processo leggero che gestisce il ciclo di vita dei plugin in esecuzione sulle istanze di computazione nell'infrastruttura OCI. I plugin JMS raccolgono i metadati Java dall'ambiente distribuito nell'istanza gestita in OCI. Il plugin JMS estrae questi metadati Java al servizio JMS in OCI.
- Kiev come servizio (KaaS)
KaaS è un servizio di piattaforma dati completamente gestito utilizzato principalmente dai servizi del piano di controllo su OCI. KaaS fornisce API NoSQL di alto livello per una facile integrazione, scansioni serializzabili, streaming con feed di modifica e altre funzioni. KaaS è un servizio costruito sopra Kiev. Kiev è un "NoSQL key-value store" che supporta anche mini-transazioni per comodità. Per prevenire i bug di concorrenza nelle applicazioni, le mini-transazioni di Kiev hanno un forte isolamento che fornisce garanzie più forti rispetto ai livelli di isolamento più deboli comunemente utilizzati in Oracle e MySQL. Kiev ha un accordo sul livello di servizio per la disponibilità del 99,9%.
Suggerimenti
- VCN
Quando crei una VCN, determina il numero di blocchi CIDR necessari e la dimensione di ciascun blocco in base al numero di risorse che intendi collegare alle subnet nella VCN. Utilizzare i blocchi CIDR all'interno dello spazio di indirizzi IP privati standard.
Selezionare i blocchi CIDR che non si sovrappongono a qualsiasi altra rete (in Oracle Cloud Infrastructure, nel data center on premise o in un altro provider cloud) a cui si intende impostare connessioni private.
Dopo aver creato una VCN, puoi modificarne, aggiungerne e rimuoverne i blocchi CIDR.
Quando si progettano le subnet, considerare il flusso di traffico e i requisiti di sicurezza. Collega tutte le risorse all'interno di un livello o ruolo specifico alla stessa subnet, che può fungere da limite di sicurezza.
Utilizzare le subnet regionali.
- Sicurezza
Utilizza Oracle Cloud Guard per monitorare e mantenere la sicurezza delle tue risorse in Oracle Cloud Infrastructure in modo proattivo. Utilizzare le zone di sicurezza per la massima sicurezza.
- Cloud Guard
Duplica e personalizza le ricette predefinite fornite da Oracle per creare ricette personalizzate del rilevatore e del rispondente. Queste ricette consentono di specificare il tipo di violazione della sicurezza che genera un'avvertenza e le azioni consentite per l'esecuzione. Ad esempio, potresti voler rilevare i bucket di storage degli oggetti con visibilità impostata su Pubblico.
Applica Cloud Guard a livello di tenancy per coprire l'ambito più ampio e ridurre l'onere amministrativo legato alla gestione di più configurazioni.
È inoltre possibile utilizzare la funzione Lista gestita per applicare determinate configurazioni ai rilevatori.
- Zone di sicurezza
Per le risorse che richiedono una maggiore sicurezza, Oracle consiglia di utilizzare le zone di sicurezza. Una zona di sicurezza è un compartimento associato a una ricetta definita da Oracle dei criteri di sicurezza che si basano sulle best practice. Ad esempio, le risorse in una zona di sicurezza non devono essere accessibili dalla rete Internet pubblica e devono essere cifrate utilizzando chiavi gestite dal cliente. Quando crei e aggiorni le risorse in una zona di sicurezza, Oracle Cloud Infrastructure convalida le operazioni in base ai criteri nella ricetta della zona di sicurezza e nega le operazioni che violano uno qualsiasi dei criteri.
- Gruppi di sicurezza di rete (NSG)
Puoi utilizzare i gruppi NSG per definire un set di regole in entrata e in uscita che si applicano a VNIC specifiche. Si consiglia di utilizzare i gruppi NSG anziché gli elenchi di sicurezza, poiché i gruppi NSG consentono di separare l'architettura della subnet della VCN dai requisiti di sicurezza dell'applicazione.
- Larghezza di banda del load balancer
Durante la creazione del load balancer, puoi selezionare una forma predefinita che fornisca una larghezza di banda fissa oppure specificare una forma personalizzata (flessibile) in cui impostare un intervallo di larghezza di banda e consentire al servizio di ridimensionare automaticamente la larghezza di banda in base ai pattern di traffico. Con entrambi gli approcci, puoi modificare la forma in qualsiasi momento dopo aver creato il load balancer.
Considerazioni
Quando si distribuisce questa architettura di riferimento, tenere presente quanto riportato di seguito.
- PrestazioniQuando si implementa l'architettura di riferimento, prendere in considerazione i seguenti elementi per rilevare e gestire le installazioni Java e le applicazioni java in istanze gestite on premise.
- JMS utilizza l'agente per l'esfiltrazione dei metadati Java (il traffico di rete e l'attenta configurazione del firewall sono una considerazione).
- L'agente richiede l'esecuzione dell'ultima versione di JRE 8 sull'istanza gestita.
- L'agente richiede 512 MB di memoria heap libera nell'istanza gestita.
- L'agente sarà in concorrenza con l'applicazione per la CPU nell'istanza gestita.
I metadati esfiltrabili sono disponibili nell'oggetto di log. JMS elabora i metadati per generare approfondimenti. Questi insight e metriche vengono memorizzati nel database Oracle Autonomous Transaction Processing di proprietà del servizio. È possibile utilizzare l'API per eseguire query sul servizio per ottenere informazioni cronologiche su Java distribuito nell'ambiente in uso. JMS non è un sistema in tempo reale. Può esserci latenza che fornisce insight attuali e storici a causa del caricamento del servizio da parte di numerose altre query dei clienti.
- Sicurezza
Utilizza i criteri per limitare gli utenti che possono accedere alle risorse Oracle Cloud Infrastructure (OCI) nella tua azienda e come possono accedervi. I metadati Java trasferiti dall'ambiente in uso in un oggetto di log di proprietà dell'azienda. JMS elabora questi metadati e gli approfondimenti vengono presentati all'utente. Gli insight sono memorizzati nel database Oracle Autonomous Transaction Processing. I report generati vengono memorizzati nello storage degli oggetti OCI.
La cifratura è abilitata per impostazione predefinita per lo storage degli oggetti OCI e non può essere disattivata.
- Disponibilità
JMS è stato designato come servizio di categoria 10 con un obiettivo livello di servizio pubblicato di 3'9s (99.9).
- Costo
JMS è un servizio gratuito. Le funzioni di base per il monitoraggio e l'esecuzione di query sugli insight su Java nel tuo ambiente sono disponibili per tutti. Le funzioni avanzate che prevedono la gestione di Java nell'ambiente in uso sono disponibili solo per i sottoscrittori di Java SE che eseguono istanze gestite in locale. La versione completa delle funzioni di JMS è disponibile anche quando si esegue l'intero carico di lavoro su OCI.
Se disponi di istanze gestite on premise e utilizzi carichi di lavoro Java minimi, potresti ritenere accettabile lavorare JMS entro i limiti del livello gratuito OCI (evitando il costo mensile minimo di computazione, storage e costo di uscita dalla rete).
Visualizza altro
Vai su Imposta Java Management Service per monitorare l'uso di Java su un host Oracle Linux per impostare e abilitare il monitoraggio dell'uso Java sui tuoi computer Oracle Linux.
- Valutatore costi Oracle Cloud
- Kit di sviluppo software (SDK) di Oracle Cloud Infrastructure per JMS (GitHub)
- Infrastruttura Oracle Cloud - Cloud Adoption Framework
- Autonomous Database
- Oracle Cloud Infrastructure Identity and Access Management
- Java Management Service
- Agente Oracle Cloud
- Management Agent
- Obiettivi del livello di servizio per Oracle PaaS e IaaS Public Cloud Services
- Account livello gratuito Oracle Cloud