Informazioni sulla configurazione delle funzioni avanzate di Java Management Service
Java Management Service (JMS) è un servizio nativo su Oracle Cloud Infrastructure (OCI). JMS può essere utilizzato per gestire, monitorare e proteggere le installazioni Java nelle istanze di computazione gestite (on-premise o su OCI).
È possibile utilizzare JMS per:
- Visibilità: scopri e gestisci Java in tutta l'azienda
- Insights: Analizzare la configurazione, la sicurezza, la conformità e le prestazioni di Java Virtual Machine (JVM)
- Tuning: sicurezza, migrazione, ottimizzazione e automazione
Ti sei mai chiesto se il tuo attuale livello di sicurezza è allineato ai suggerimenti sulla sicurezza forniti da Oracle per le runtime Java e sono aggiornati? JMS può aiutarti a trovare la risposta, può segnalare qualsiasi libreria Java problematica utilizzata dalle tue applicazioni e verificare se le tue applicazioni già in esecuzione non hanno difetti nell'area di sicurezza. Hai difficoltà con le prestazioni delle tue applicazioni Java o hai difficoltà a comprendere i log di Garbage Collector Java? JMS viene in soccorso con l'analisi delle prestazioni. Non sei sicuro di poter passare facilmente a una versione più recente di Java? Abbiamo trattato con l'analisi della migrazione Java.
Con JMS, le registrazioni di Java Flight Recorder (JFR) non sono mai state più facili, tutto ciò di cui hai bisogno è solo selezionare l'applicazione in JMS, fornire alcuni dettagli e sottomettere la richiesta di registrazione. Una volta terminata la registrazione della richiesta di lavoro JFR, è possibile accedervi facilmente dal bucket della flotta JMS. E non è tutto, JMS viene fornito anche con funzionalità di gestione del ciclo di vita Java come l'installazione di Java Runtime o la fornitura di dettagli aggiuntivi sui server applicazioni Java.
Questo playbook della soluzione descrive i passi per configurare le funzioni avanzate JMS per risolvere i problemi IT Java descritti in precedenza.
Le funzioni avanzate JMS possono essere utilizzate per ottenere approfondimenti su diversi aspetti di Java nell'ambiente in uso. Ad esempio, utilizzando le funzioni avanzate, è possibile:
- Cercare le librerie Java utilizzate dalle applicazioni per identificare e segnalare potenziali vulnerabilità (CVE) associate a librerie Java di terze parti.
- Ottimizza le prestazioni del carico di lavoro Java con i suggerimenti di ottimizzazione JVM sfruttando l'analisi delle prestazioni.
- Valuta la fattibilità e l'impegno necessari per la migrazione delle applicazioni Java alle versioni JDK più recenti con Java Migration Analysis.
- Aiuta a proteggere le tue applicazioni utilizzando l'analisi degli eventi crittografici per identificare usi crittografici deboli che non funzioneranno più con i prossimi aggiornamenti nella roadmap crittografica di Oracle JRE e JDK.
- Scopri quali servizi e applicazioni sono in esecuzione su ogni application server Java eseguendo la scansione dei server Java.
- Eseguire JDK Flight Recorder per raccogliere in remoto approfondimenti sull'applicazione.
- Scaricare, installare e configurare Java Runtime.
- Rimuovi versioni Oracle Java segnalate.
- Distribuire o rimuovere il set di regole di distribuzione.
Operazioni preliminari
L'accesso a Java Management Service richiede un account Oracle Cloud (OCI). Puoi utilizzare il tuo account cloud oppure ottenere un account OCI Free Tier.
Negli esempi descritti in questo playbook della soluzione, utilizziamo lo strumento della riga di comando OCI. Se sei interessato a provare questi esempi autonomamente, imposta e configura l'interfaccia CLI OCI in base alla guida Command Line Interface (CLI) riportata di seguito. Ulteriori requisiti per l'esecuzione dell'esempio sono la presenza dell'utility della riga di comando jq sul computer in cui verranno eseguiti i comandi dello strumento oci. È possibile ottenere questa utility per quasi tutte le piattaforme dalla pagina del progetto GitHub: https://github.com/jqlang/jq.
Assicurarsi che un computer Oracle Linux sia impostato correttamente per consentire la comunicazione con i servizi OCI. La macchina può essere:
- Istanza di computazione OCI disponibile nella tenancy in uso. Se non si dispone già di un'istanza impostata, vedere Creare un'istanza di computazione OCI.
- Host non OCI, ovvero in locale (nel data center, nel cloud di terze parti e così via) che deve essere monitorato tramite il servizio JMS.
Architettura
Questo playbook descrive una panoramica sulle funzioni avanzate di Java Management Service integrate, in particolare per ottenere insight sulle tue installazioni Java e intraprendere le azioni correttive necessarie. Questa soluzione è applicabile all'abilitazione della funzionalità avanzata in JMS per le installazioni Oracle in OCI, on-premise e cloud di terze parti.
L'agente JMS viene installato nelle istanze gestite per raccogliere la telemetria d'uso Java e i metadati d'uso Java. I dati di telemetria vengono emessi e memorizzati nella tenancy per garantire la protezione della privacy.
Il diagramma riportato di seguito illustra la topologia del servizio JMS in produzione. Il diagramma mostra gli agenti distribuiti per tenere traccia di Java in esecuzione su OCI, i desktop, i laptop e i server on-premise e i servizi cloud di terze parti. Questi agenti vengono distribuiti nelle istanze gestite e sono associati alle risorse (flotte) create nelle tenancy.
I metadati sull'uso di Java vengono esfiltrati dalla tenancy dall'agente installato nelle tenancy. JMS utilizza questi metadati per generare approfondimenti quali la versione Java, la baseline di sicurezza e gli aggiornamenti Java imminenti e l'uso delle applicazioni, che vengono presentati quando si esegue il login a OCI Console. Non esiste alcun accesso Oracle oltre l'elaborazione dei metadati esfiltrati.
Utilizzando le funzioni avanzate disponibili in JMS, è possibile analizzare l'uso dei server applicazioni Java, identificare potenziali vulnerabilità nelle librerie Java utilizzate dalle applicazioni in esecuzione nell'ambiente in uso, utilizzare il registratore di volo Java per l'analisi delle prestazioni e delle crittografia e gestire Oracle Java Runtimes (versioni JDK) nell'ambiente in uso. È possibile utilizzare la funzione avanzata per gestire l'esecuzione di Java nell'ambiente.
Il diagramma seguente descrive questa architettura.
A livello avanzato, la sezione riportata di seguito descrive i flussi di dati tra l'agente JMS installato nell'istanza gestita e il servizio JMS in OCI.
- Si installa l'agente nell'istanza gestita e l'agente si registra con OCI.
- È possibile configurare o abilitare il plugin JMS (passando la flotta JMS come parametro). L'agente JMS è ora associato alla flotta JMS desiderata.
- L'agente JMS registrato esegue il polling di JMS per il lavoro. JMS risponderà al polling con eventuali richieste di lavoro appropriate.
- L'agente JMS analizza periodicamente l'istanza gestita per le installazioni o le voci Java nel tracker di utilizzo e invia le metriche Java e i metadati Java a OCI.
Per ulteriori informazioni sul flusso di dati tra l'agente JMS e il servizio OCI e i flussi di traffico tra l'agente JMS installato sui computer host (in locale) e JMS in esecuzione in OCI, vedere Monitorare e gestire le installazioni delle applicazioni Java e Java.
Questa architettura include i seguenti componenti:
- Area
Un'area geografica OCI è un'area geografica localizzata che contiene uno o più data center, che ospitano domini di disponibilità. Le regioni sono indipendenti da altre regioni e vaste distanze possono separarle (tra paesi o addirittura continenti).
- Domini di disponibilità
I domini di disponibilità sono data center autonomi e indipendenti all'interno di un'area. Le risorse fisiche in ogni dominio di disponibilità sono isolate dalle risorse negli altri domini di disponibilità, il che fornisce tolleranza agli errori. I domini di disponibilità non condividono l'infrastruttura, ad esempio alimentazione o raffreddamento, o la rete interna del dominio di disponibilità. Pertanto, un errore in un dominio di disponibilità non dovrebbe influire sugli altri domini di disponibilità nell'area.
- Tenancy
Una tenancy è una partizione sicura e isolata impostata da Oracle all'interno di Oracle Cloud al momento dell'iscrizione a OCI. È possibile creare, organizzare e amministrare le risorse su OCI all'interno della tenancy. Una tenancy è sinonimo di azienda o organizzazione. In genere, un'azienda disporrà di una singola tenancy, all'interno della quali rifletterà la propria struttura organizzativa. Una singola tenancy viene in genere associata a una singola sottoscrizione e una singola sottoscrizione di solito ha una sola tenancy.
- Compartimento
I compartimenti sono partizioni logiche interregionali all'interno di una tenancy OCI. Utilizzare i compartimenti per organizzare, controllare l'accesso e impostare le quote di utilizzo per le risorse Oracle Cloud. In un determinato compartimento, è possibile definire criteri che controllano l'accesso e impostano i privilegi per le risorse.
- Rete e subnet cloud virtuale (VCN)
Una rete cloud virtuale (VCN, virtual cloud network) è una rete personalizzabile e definita dal software impostata in un'area OCI. Come le reti di data center tradizionali, le reti VCN ti danno il controllo sul tuo ambiente di rete. Una VCN può avere più blocchi CIDR (Classless Inter-Domain Routing) non sovrapposti che è possibile modificare dopo aver creato la VCN. È possibile segmentare una VCN in subnet, che possono essere definite in un'area o in un dominio di disponibilità. Ogni subnet è costituita da un intervallo contiguo di indirizzi che non si sovrappongono alle altre subnet nella VCN. È possibile modificare le dimensioni di una sottorete dopo la creazione. Una subnet può essere pubblica o privata.
- Pool di istanze
Un pool di istanze è un gruppo di istanze create dalla stessa configurazione e gestite come gruppo.
- Rete in locale
Si tratta di una rete locale utilizzata dall'organizzazione.
- OCI API Gateway
Oracle Cloud Infrastructure API Gateway ti consente di pubblicare API con endpoint privati accessibili dall'interno della tua rete e che puoi esporre alla rete Internet pubblica, se necessario. Gli endpoint supportano la convalida dell'API, la trasformazione di richieste e risposte, CORS, autenticazione e autorizzazione e limitazione delle richieste.
- Gateway di instradamento dinamico (DRG)
Il gateway DRG è un router virtuale che fornisce un percorso per il traffico di rete privato tra le reti VCN nella stessa area, tra una VCN e una rete esterna all'area, ad esempio una VCN in un'altra area OCI, una rete on premise o una rete in un altro provider cloud.
- Gateway del servizio
Un gateway di servizi fornisce l'accesso da una VCN ad altri servizi, ad esempio Oracle Cloud Infrastructure Object Storage. Il traffico dalla VCN al servizio Oracle viaggia sul fabric di rete Oracle e non attraversa Internet.
- Oracle Autonomous Database
Oracle Autonomous Database è un ambiente di database completamente gestito e preconfigurato che puoi utilizzare per l'elaborazione delle transazioni e i carichi di lavoro di data warehousing. Non è necessario configurare o gestire alcun hardware né installare alcun software. OCI gestisce la creazione, il backup, l'applicazione di patch, l'upgrade e il tuning del database.
- Host bastion
L'host bastion è un'istanza di computazione che funge da punto di accesso sicuro e controllato alla topologia dall'esterno del cloud. Il provisioning dell'host bastion viene eseguito in genere in una zona demilitarizzata (DMZ). Ti consente di proteggere le risorse sensibili inserendole in reti private a cui non è possibile accedere direttamente dall'esterno del cloud. La topologia dispone di un unico punto di accesso noto che è possibile monitorare e controllare regolarmente. Pertanto, è possibile evitare di esporre i componenti più sensibili della topologia senza comprometterne l'accesso.
- Agente Oracle Cloud
Oracle Cloud Agent è un processo leggero che gestisce il ciclo di vita dei plugin in esecuzione sulle istanze di computazione su OCI. I plugin JMS raccolgono i metadati Java dall'ambiente distribuito nell'istanza gestita in OCI. Il plugin JMS esegue l'esfiltrazione dei metadati Java nel servizio JMS in OCI.
- Computazione OCI
Con Oracle Cloud Infrastructure Compute, puoi eseguire il provisioning e gestire gli host di computazione nel cloud. Puoi avviare istanze di computazione con forme che soddisfano i requisiti delle risorse per CPU, memoria, larghezza di banda della rete e storage. Dopo aver creato un'istanza di computazione, puoi accedervi in modo sicuro, riavviarla, collegare e scollegare i volumi e interromperla quando non ne hai più bisogno.
- DNS OCI
Il servizio DNS (Domain Name System) di Oracle Cloud Infrastructure è una rete DNS (Qualcast Domain Name System) altamente scalabile e globale che offre prestazioni, resilienza e scalabilità DNS ottimizzate, in modo che gli utenti finali si connettano rapidamente alle applicazioni Internet, da qualsiasi luogo.
- Flussi Kafka
Kafka Streams è una libreria client per la creazione di applicazioni e microservizi, in cui i dati di input e output vengono memorizzati nei cluster Kafka. Combina la semplicità di scrittura e implementazione di applicazioni Java e Scala standard sul lato client con i vantaggi della tecnologia cluster lato server di Kafka.
- Log OCIOracle Cloud Infrastructure Logging è un servizio altamente scalabile e completamente gestito che fornisce l'accesso ai seguenti tipi di log dalle tue risorse nel cloud:
- Log di audit: log correlati agli eventi prodotti da OCI Audit.
- Log dei servizi: log pubblicati da singoli servizi quali il gateway API OCI, gli eventi OCI, le funzioni OCI, il bilanciamento del carico OCI, lo storage degli oggetti OCI e i log di flusso VCN.
- Log personalizzati: log che contengono informazioni di diagnostica da applicazioni personalizzate, altri provider cloud o un ambiente in locale.
- Oracle Management Agent
Oracle Management Agent è un servizio che fornisce comunicazioni interattive a bassa latenza e raccolta di dati tra Oracle Cloud Infrastructure e le istanze gestite on-premise. Management Agent raccoglie i dati dalle origini che si desidera monitorare. Management Agent Service, un servizio Oracle Cloud Service, gestisce il ciclo di vita del Management Agent e i plugin per i servizi.
- Monitoraggio OCI
Oracle Cloud Infrastructure Monitoring monitora in modo attivo e passivo le tue risorse cloud e utilizza gli allarmi per avvisarti quando le metriche soddisfano i trigger specificati.
- Memorizzazione degli oggetti OCI
Lo storage degli oggetti OCI fornisce l'accesso a grandi quantità di dati strutturati e non strutturati di qualsiasi tipo di contenuto, inclusi backup del database, dati analitici e contenuti avanzati come immagini e video. Puoi memorizzare in tutta sicurezza i dati direttamente dalle applicazioni o dall'interno della piattaforma cloud. È possibile ridimensionare lo storage senza subire alcun deterioramento a livello di prestazioni o affidabilità del servizio.
Utilizza lo storage standard per lo storage "caldo" a cui devi accedere in modo rapido, immediato e frequente. Utilizzare lo storage di archivio per lo storage "a freddo" che si conserva per lunghi periodi di tempo e a cui si accede raramente o raramente.
- Criterio
Un criterio di Oracle Cloud Infrastructure Identity and Access Management specifica chi può accedere a quali risorse e in che modo. L'accesso viene concesso a livello di gruppo e compartimento. Ciò significa che È possibile scrivere un criterio che fornisca a un gruppo un tipo specifico di accesso all'interno di un compartimento specifico o nella tenancy.
- Lista di sicurezza
Per ogni subnet, puoi creare regole di sicurezza che specificano l'origine, la destinazione e il tipo di traffico consentito all'interno e all'esterno della subnet.
- Zona di sicurezza
Le zone di sicurezza implementano le principali procedure di sicurezza di Oracle applicando criteri per un intero compartimento, come la cifratura dei dati e la prevenzione dell'accesso pubblico alle reti. Una zona di sicurezza è associata a un compartimento con lo stesso nome e include criteri della zona di sicurezza (una recipe) che si applicano al compartimento e ai relativi compartimenti secondari. Non è possibile aggiungere o spostare un compartimento standard in un compartimento della zona di sicurezza.
- OCI Vault
Oracle Cloud Infrastructure Vault ti consente di creare e gestire centralmente le chiavi di cifratura che proteggono i tuoi dati e le credenziali segrete che utilizzi per proteggere l'accesso alle tue risorse nel cloud. La gestione delle chiavi predefinita è costituita da chiavi gestite da Oracle. È inoltre possibile utilizzare chiavi gestite dal cliente che utilizzano OCI Vault. OCI Vault offre un ricco set di API REST per la gestione di vault e chiavi.
- Workflow OCI
Oracle Cloud Infrastructure Workflow è un motore di flusso di lavoro serverless con un designer di flussi grafici per sviluppatori e architetti. Accelera la creazione, l'esecuzione e l'orchestrazione di servizi OCI come le funzioni OCI o AI/ML.
Considerazioni
Quando si abilitano le funzioni avanzate, tenere presenti i punti riportati di seguito.
- Criteri aggiuntivi per l'utilizzo delle funzioni avanzate JMS
- L'analisi degli eventi crittografici, l'analisi delle prestazioni e JDK Flight Recorder possono aumentare l'uso complessivo della memoria della JVM dell'applicazione.
- Per l'analisi degli eventi Crypto, l'analisi delle prestazioni e JDK Flight Recorder, le versioni runtime Java dell'applicazione devono essere della versione 8u361 o successiva.
- Il limite massimo per l'analisi degli eventi crittografici e l'analisi delle prestazioni per ogni registrazione JFR è impostato su 4096 MB.
- È possibile addebitare costi aggiuntivi utilizzando i servizi di storage degli oggetti OCI e log OCI per la memorizzazione dei dati prodotti dalle funzioni avanzate JMS.
- Gestione del ciclo di vita Java
- La funzione Set di regole di distribuzione è applicabile solo per le istanze di Java 8 Runtime. Ulteriori costi indiretti sono la distribuzione del file jar dei criteri nelle istanze gestite della flotta.
- L'installazione Java può modificare la configurazione del sistema Java nell'istanza gestita. Seguire le istruzioni di installazione per la versione Java Runtime selezionata e le piattaforme delle istanze gestite.
- La rimozione di Java Runtime può alterare la configurazione del sistema Java nell'istanza gestita. Ad esempio, se Java Runtime selezionato è l'unico runtime configurato dal sistema in un'istanza gestita.
- Tracciamento utilizzo avanzato
- Per il rilevamento dell'esecuzione di Application Server Java, Java Runtime deve essere almeno della versione 8u361 o successiva.
- Il rilevamento della libreria può aumentare in modo significativo il consumo di risorse sull'istanza gestita durante l'ispezione dell'applicazione e delle relative librerie, in particolare l'utilizzo della CPU e dell'IO potrebbe aumentare.
- A seconda del numero di application server e librerie rilevate sull'istanza gestita, il payload inviato a JMS potrebbe essere maggiore del solito. In circostanze normali, dovrebbe essere entro un intervallo di poche centinaia di kilobyte.
- Analisi eventi crittografici
- A seconda di quanto ogni applicazione utilizza i sottosistemi correlati alla sicurezza JVM durante la registrazione, la dimensione finale del file di registrazione JFR può variare, in circostanze normali la dimensione abituale della registrazione è compresa tra poche centinaia di kilobyte e pochi megabyte.
- Se l'applicazione è inattiva, alcuni meccanismi di rilevamento potrebbero non segnalare potenziali problemi.
- L'utilizzo della rete può essere aumentato a seconda del numero di istanze gestite, del numero di applicazioni e della dimensione di ogni registrazione. La rete viene utilizzata durante il caricamento delle registrazioni JFR in OCI per l'analisi.
- Analisi Delle prestazioni
- La dimensione finale di ogni file di registrazione JFR dipende dal comportamento dell'applicazione. Diversi eventi JFR correlati alle prestazioni vengono acquisiti come dettagli sulle garbage collection, sulla memoria e così via. In circostanze normali, la normale dimensione di registrazione è di pochi megabyte.
- Se l'applicazione è inattiva, alcuni meccanismi di rilevamento potrebbero non segnalare potenziali problemi di prestazioni.
- L'utilizzo della rete può essere aumentato a seconda del numero di istanze gestite e della dimensione di ogni registrazione. La rete viene utilizzata durante il caricamento delle registrazioni JFR in OCI per l'analisi.
- JDK Flight Recorder (JFR)
- La dimensione finale del file di registrazione JFR dipende dal profilo selezionato o dalla configurazione JFC personalizzata fornita, un altro fattore che influenza la dimensione è la durata di registrazione selezionata per l'applicazione.
- Analisi migrazione Java
- L'utilizzo delle risorse può aumentare durante l'analisi dell'applicazione.
- Il risultato dell'analisi è di solito in ordine di poche centinaia di kilobyte a seconda della dimensione delle applicazioni stesse e delle sue dipendenze.
Alcune funzioni avanzate come l'analisi crittografica e l'analisi delle prestazioni si basano sull'API di collegamento JVM. Durante l'esecuzione delle richieste di lavoro, il plugin JMS può inviare nuovi eventi all'oggetto di log dell'inventario della flotta. Il payload di esempio seguente illustra cosa verrà consegnato nel log di inventario della flotta in tali situazioni:
{
"datetime": 1752483223432,
"logContent": {
"id": "3d6a9915-af91-4527-a6d4-2a0d86106b15",
"time": "2025-07-14T08:53:43.432Z",
"oracle": {
"compartmentid": "ocid1.compartment.oc1..compartment-id",
"ingestedtime": "2025-07-14T08:55:27.274970180Z",
"instanceid": "ocid1.instance.oc1.eu-frankfurt-1.instance-id",
"loggroupid": "ocid1.loggroup.oc1.eu-frankfurt-1.log-group-id",
"logid": "ocid1.log.oc1.eu-frankfurt-1.log-id",
"tenantid": "ocid1.tenancy.oc1..tenant-id"
},
"source": "ocid1.instance.oc1.eu-frankfurt-1.instance-id",
"specversion": "1.0",
"subject": "Oracle JMS Plugin",
"type": "jms.jvm.usage.attach.log",
"data": {
"data": {
"additionalProperties": {
"java.runtime.name": "Java(TM) SE Runtime Environment",
"user.dir": "/home/opc/crypto",
"user.name": "opc"
},
"applicationName": "spring-tls-server-1.1.0.jar",
"classPath": "spring-tls-server-1.1.0.jar",
"classPathElements": [
"spring-tls-server-1.1.0.jar"
],
"fleetId": "ocid1.jmsfleet.oc1.eu-frankfurt-1.fleet-id",
"javaArgs": "n/a",
"javaCommand": "spring-tls-server-1.1.0.jar --debug",
"javaDistribution": "Java(TM) SE Runtime Environment",
"javaHome": "/usr/lib/jvm/jdk-21-oracle-x64",
"javaMajorVersion": "21",
"javaVendor": "Oracle Corporation",
"javaVersion": "21",
"managedInstanceId": "ocid1.instance.oc1.eu-frankfurt-1.instance-id",
"osArch": "amd64",
"osName": "Linux",
"osVersion": "5.15.0-306.177.4.el9uek.x86_64",
"startTime": "2025-07-14T08:48:34.947541200Z",
"typeOfStart": "VM start"
},
"datacontenttype": "application/json",
"dataschema": "1.0",
"id": "3d6a9915-af91-4527-a6d4-2a0d86106b15",
"source": "ocid1.instance.oc1.eu-frankfurt-1.instance-id",
"specversion": "1.0",
"time": "2025-07-14T08:53:43.432Z",
"type": "jms.jvm.usage.attach.log"
}
},
"regionId": "eu-frankfurt-1"
}Altre considerazioni
Una volta sottomessa una richiesta di esecuzione delle funzioni in JMS, il servizio JMS crea una richiesta di lavoro identificata da un OCID di richiesta di lavoro univoco. Di seguito è riportato il processo tipico per tenere traccia dello stato di avanzamento delle richieste di lavoro dalla console cloud OCI.
- Passare alla flotta facendo clic su Osservabilità e gestione, Java Management, Fleets.
- Selezionare la flotta.
- Fare clic sulla sezione Richieste di lavoro della flotta.
Come tenere traccia dell'avanzamento della richiesta di lavoro dall'interfaccia CLI OCI:
- Eseguire il seguente comando:
oci jms work-request get --work-request-id $WORK_REQUEST_OCID - Se si è interessati solo allo stato corrente della richiesta di lavoro, è possibile eseguire l'istruzione precedente con la utility
jq:oci jms work-request get --work-request-id $WORK_REQUEST_OCID | jq .data.status
La possibilità di sottomettere e tenere traccia delle richieste di lavoro delle funzioni è disponibile anche nell'API JMS, accessibile tramite l'SDK OCI.