Oracleサービスへのアクセス: サービス・ゲートウェイ

1. コンソールで、サービス・ゲートウェイを追加するVCNを含むコンパートメントを表示していることを確認します。コンパートメントとアクセス制御の詳細は、アクセス制御を参照してください。
2. ナビゲーション・メニューを開き、「ネットワーキング」、「仮想クラウド・ネットワーク」の順にクリックします。
3. 関心のあるVCNをクリックします。
4. ページの左側にある「サービス・ゲートウェイ」をクリックします。
5. 「サービス・ゲートウェイの作成」をクリックします。

6. 次の値を入力します。

   • 名前: サービス・ゲートウェイのわかりやすい名前。一意である必要はありません。機密情報の入力は避けてください。
   • コンパートメントに作成: サービス・ゲートウェイを作成するコンパートメント(現在作業しているコンパートメントと異なる場合)。
   • サービス: オプションで、目的のサービスCIDRラベルを選択します。ここで1つ選択しない場合は、後でサービス・ゲートウェイを更新するときに、サービスCIDRラベルを追加できます。ゲートウェイに対してサービスCIDRラベルが1つも有効になっていない場合、それを流れるトラフィックはありません。
   • ルート表関連付け: (拡張オプション)特定のVCNルート表をこのゲートウェイに関連付けることができます。ルート表を関連付ける場合、ゲートウェイにはその後、常に関連付けられたルート表が必要です。現在のルート表のルールを変更することも、別のルート表に置き換えることもできます。
   • タグ: (拡張オプション)リソースを作成する権限がある場合、そのリソースにフリーフォーム・タグを適用する権限もあります。定義済のタグを適用するには、タグ・ネームスペースを使用する権限が必要です。タグ付けの詳細は、リソース・タグを参照してください。タグを適用するかどうかがわからない場合は、このオプションをスキップするか(後でタグを適用できます)、管理者に問い合せてください。

7. 「サービス・ゲートウェイの作成」をクリックします。

   選択したコンパートメント内にサービス・ゲートウェイが作成され、「サービス・ゲートウェイ」ページに表示されます。デフォルトでは、ゲートウェイを通過するトラフィックは許可されます。いつでも、ゲートウェイを介するトラフィックをブロックまたは許可できます。

特定のサービスCIDRラベルにサービス・ゲートウェイを構成する場合は、そのラベルを宛先とし、サービス・ゲートウェイをターゲットとして指定したルート・ルールを作成する必要もあります。ゲートウェイにアクセスする必要があるサブネットごとに、これを行います。

1. VCN内のどのサブネットがサービス・ゲートウェイにアクセスする必要があるかを決定します。

2. これらのサブネットごとに、新しいルールを含めてサブネットのルート表を更新します:

   1. ナビゲーション・メニューを開き、「ネットワーキング」、「仮想クラウド・ネットワーク」の順にクリックします。
   2. 関心のあるVCNをクリックします。
   3. 「リソース」で、「ルート表」をクリックします。
   4. 目的のルート表をクリックします。
   5. 「ルート・ルールの編集」をクリックします。

   6. 「ルート・ルールの追加」をクリックし、次の値を入力します:

      • ターゲット・タイプ: サービス・ゲートウェイ。
      • 宛先サービス: ゲートウェイに対して有効になっているサービスCIDRラベル。
      • コンパートメント: サービス・ゲートウェイが配置されているコンパートメント。
      • ターゲット: サービス・ゲートウェイ。
      • 説明: ルールのオプションの説明。
   7. 「保存」をクリックします。

ルールに一致する宛先のサブネット・トラフィックは、サービス・ゲートウェイにルーティングされます。ルート・ルールの設定の詳細は、VCNルート表を参照してください。

その後、サービス・ゲートウェイが不要になってNATゲートウェイを削除する場合は、そのサービス・ゲートウェイをターゲットとして指定しているVCN内のすべてのルート・ルールを最初に削除する必要があります。

サービスCIDRラベルにアクセスするようにサービス・ゲートウェイを構成するときは、必要なトラフィックを許可するようにセキュリティ・ルールが構成されていることを確認する必要もあります。セキュリティ・ルールですでにこのトラフィックが許可されている場合もあるため、このタスクはオプションになっています。次の手順では、セキュリティ・リストを使用してセキュリティ・ルールを実装することを前提としています。この手順では、サービスCIDRラベルを使用するルールを設定する方法について説明します。ゲートウェイにアクセスする必要があるサブネットごとに、これを行います。

1. VCN内のどのサブネットが目的のサービスに接続する必要があるかを決定します。

2. それらの各サブネットのセキュリティ・リストを更新して、特定のサービスとの間の必要なエグレス・トラフィックまたはイングレス・トラフィックを許可するルールを含めます:

   1. コンソールで、目的のVCNを表示している状態で、「セキュリティ・リスト」をクリックします。
   2. 目的のセキュリティ・リストをクリックします。

   3. 「すべてのルールの編集」をクリックし、1つ以上のルールを作成します。各ルールは、許可する特定のタイプのトラフィックに対応します。詳細は、次の例を参照してください。

      例

      たとえば、サブネットからオブジェクト・ストレージとOracle YUMリポジトリの両方へのエグレスHTTPS (TCPポート443)トラフィックを有効化するステートフル・ルールを追加するとします。ルールを追加する際の基本的なステップは次のとおりです:

      1. 「エグレスのルール許可」セクションで、「+ルールの追加」をクリックします。
      2. 「ステートレス」チェック・ボックスは選択を解除したままにします。
      3. 宛先タイプ: サービス。
      4. 宛先サービス: 目的のサービスCIDRラベル。オブジェクト・ストレージとOracle YUMリポジトリの両方にアクセスする場合は、「Oracle Services Networkのすべての<region>サービス」になります。
      5. IPプロトコル: TCPのままにします。
      6. ソース・ポート範囲: 「すべて」のままにします。
      7. 宛先ポート範囲: 443と入力します。
      8. 説明: ルールのオプションの説明。
   4. ダイアログ・ボックスの下部にある「セキュリティ・リスト・ルールの保存」をクリックします。

セキュリティ・ルールの設定の詳細は、セキュリティ・ルールを参照してください。

このタスクを適用できるのは、サービス・ゲートウェイを使用してオブジェクト・ストレージにアクセスする場合のみです。オプションで、ネットワーク・ソースを作成し、特定のVCN内のリソースのみに特定のバケットへのオブジェクトの書込みを許可するIAMポリシーを記述することもできます。

• ネットワーク・ソースを作成して、許可されるVCNを指定します。ネットワーク・ソースの作成の詳細は、ネットワーク・ソースの管理を参照してください。
• ポリシーを作成します。次の例では、ObjectBackupグループ例のリソースが、ABCというコンパートメントにあるdb-backupという既存のバケットにオブジェクトを書き込めるようにします。

  Allow group ObjectBackup to read buckets in compartment ABC
  
  Allow group ObjectBackup to manage objects in compartment ABC where
     all {target.bucket.name='db-backup', 
          request.networkSource.name='<VCN_NETWORK_SOURCE',
          any {request.permission='OBJECT_CREATE', request.permission='OBJECT_INSPECT'}}

ポリシーに複数のネットワーク・ソースを作成して指定することで、複数のVCNを指定できます。次の例には、2つのVCNのネットワーク・ソースがあります。VCNを介してOracleサービスにプライベート・アクセスできるオンプレミス・ネットワークを設定し、さらに各自のサービス・ゲートウェイを使用する他のVCNを1つ以上設定した場合は、これを行う可能性があります。詳細は、オンプレミス・ネットワークからOracleサービスへのプライベート・アクセスの概要を参照してください。

Allow group ObjectBackup to read buckets in compartment ABC

Allow group ObjectBackup to manage objects in compartment ABC where
   all {target.bucket.name='db-backup', 
        any {request.networkSource.name='<NETWORK_SOURCE_FOR_VCN_1>', request.networkSource.name='<NETWORK_SOURCE_FOR_VCN_2'},
        any {request.permission='OBJECT_CREATE', request.permission='OBJECT_INSPECT'}}

タスク1: サービス・ゲートウェイの作成の手順を参照してください。

サービスCIDRラベルを「OCI <region>オブジェクト・ストレージ」と「Oracle Services Networkのすべての<region>サービス」の間で切り替える間にオブジェクト・ストレージ接続が中断されないように、次のプロセスを使用します:

1. サービス・ゲートウェイの更新: 既存のサービスCIDRラベルを削除してから、切替え先のサービスCIDRラベルを追加します。サービス・ゲートウェイに対して両方のラベルを有効にすることはできません。
2. 関連するルート・ルールの更新: サービス・ゲートウェイをターゲットとして使用するルールごとに、ルールの宛先サービスを既存のサービスCIDRラベルから切替え先のサービスCIDRラベルに切り替えます。
3. 関連するセキュリティ・ルールの更新: 既存のサービスCIDRラベルを指定するセキュリティ・ルールを、切替え先のサービスCIDRラベルを使用するように変更します。これらのルールは、ネットワーク・セキュリティ・グループまたはセキュリティ・リストに存在している可能性があります。

そうせずに、既存のサービス・ゲートウェイを削除して新しく作成すると、オブジェクト・ストレージ接続が中断されます。サービス・ゲートウェイを削除する前に、そのゲートウェイをターゲットとして指定しているルート・ルールをすべて削除する必要があることに注意してください。

1. ナビゲーション・メニューを開き、「ネットワーキング」、「仮想クラウド・ネットワーク」の順にクリックします。
2. 関心のあるVCNをクリックします。
3. 「サービス・ゲートウェイ」をクリックします。
4. 目的のサービス・ゲートウェイについて、「アクション」メニューをクリックし、「編集」をクリックします。
5. 変更を加え、「保存」をクリックします。

1. ナビゲーション・メニューを開き、「ネットワーキング」、「仮想クラウド・ネットワーク」の順にクリックします。
2. 関心のあるVCNをクリックします。
3. 「サービス・ゲートウェイ」をクリックします。

4. 目的のサービス・ゲートウェイについて、「アクション」メニューをクリックし、「トラフィックのブロック」(サービス・ゲートウェイのトラフィックを有効にする場合は「トラフィックの許可」)をクリックします。

   トラフィックがブロックされると、サービス・ゲートウェイのアイコンがグレーに変わり、ラベルはBLOCKEDに変わります。トラフィックが許可されると、NATゲートウェイのアイコンが緑色に変わり、ラベルはAVAILABLEに変わります。

このタスクは、高度な転送ルーティング・シナリオを実装している場合にのみ実行します。

サービス・ゲートウェイは、ルート表が関連付けられていない状態でも存在できます。ただし、ルート表をサービス・ゲートウェイに関連付けた後は、常にルート表が関連付けられている必要があります。ただし、異なるルート表を関連付けることもできます。表のルールの編集や、ルールの一部またはすべての削除も可能です。

前提条件: ルート表が存在し、サービス・ゲートウェイが属するVCNに含まれている必要があります。

1. ナビゲーション・メニューを開き、「ネットワーキング」、「仮想クラウド・ネットワーク」の順にクリックします。
2. 関心のあるVCNをクリックします。
3. 「リソース」で、「サービス・ゲートウェイ」をクリックします。

4. 目的のサービス・ゲートウェイについて、「アクション」メニューをクリックし、次のいずれかをクリックします:

   • ルート表との関連付け: サービス・ゲートウェイにルート表がまだ関連付けられていない場合。
   • 異なるルート表の関連付け: サービス・ゲートウェイに関連付けられているルート表を変更する場合。
5. ルート表が存在するコンパートメントを選択し、ルート表自体を選択します。
6. 「関連付け」をクリックします。

前提条件: サービス・ゲートウェイがトラフィックをブロックする必要はありませんが、そのゲートウェイがターゲットとしてリストされたルート表が存在していない必要があります。

1. ナビゲーション・メニューを開き、「ネットワーキング」、「仮想クラウド・ネットワーク」の順にクリックします。
2. 関心のあるVCNをクリックします。
3. 「サービス・ゲートウェイ」をクリックします。

4. 目的のサービス・ゲートウェイについて、「アクション」メニューをクリックし、「削除」をクリックします。

5. プロンプトが表示されたら確認します。

1. ナビゲーション・メニューを開き、「ネットワーキング」、「仮想クラウド・ネットワーク」の順にクリックします。
2. 関心のあるVCNをクリックします。
3. 目的のサービス・ゲートウェイについて、「アクション」メニューをクリックし、「タグの表示」をクリックします。その場所で、既存のタグの表示、それらの編集、および新しいタグの適用を行うことができます。

詳細は、リソース・タグを参照してください。

サービス・ゲートウェイは、コンパートメント間で移動できます。サービス・ゲートウェイを新しいコンパートメントに移動すると、固有のポリシーがただちに適用されます。

1. ナビゲーション・メニューを開き、「ネットワーキング」、「仮想クラウド・ネットワーク」の順にクリックします。
2. 関心のあるVCNをクリックします。
3. 「リソース」で、「サービス・ゲートウェイ」をクリックします。
4. リストでサービス・ゲートウェイを検索し、「アクション」メニューをクリックして、「リソースの移動」をクリックします。
5. リストから宛先コンパートメントを選択します。
6. 「リソースの移動」をクリックします。

サービス・ゲートウェイがただちに新しいコンパートメントに移動されます。権限によっては、左側のメニューでコンパートメントを選択すると、サービス・ゲートウェイが表示されます。

コンパートメントとポリシーを使用したクラウド・ネットワークへのアクセスの制御の詳細は、アクセス制御を参照してください。コンパートメントに関する一般情報は、コンパートメントの管理を参照してください。

1. ナビゲーション・メニューを開き、「ネットワーキング」、「仮想クラウド・ネットワーク」の順にクリックします。
2. 関心のあるVCNをクリックします。
3. 目的のサービス・ゲートウェイについて、「アクション」メニューをクリックし、「別のルート表の関連付け」をクリックします。ここから、このゲートウェイに関連付けられたルート表を変更したり、ルート表がまだ関連付けられていないゲートウェイにルート表を関連付けたりできます。ルート表がゲートウェイに関連付けられた後、ゲートウェイには常に関連付けられたルート表が必要です。

詳細は、リソース・タグを参照してください。