Oracle Cloud Infrastructureドキュメント

Autonomous AI Databaseのデータベース管理プライベート・エンドポイントの作成

データベース管理プライベート・エンドポイントを作成して、データベース管理と自律型AIデータベース間のネットワーク・アクセスを構成できます。

ノート

このトピックの情報は、専用Exadataインフラストラクチャ上のAutonomous AI DatabaseサーバーレスおよびAutonomous AI Databaseにのみ適用でき、ExaDB-C@C上のAutonomous AI Databaseには適用されません。

プライベート・エンドポイントは、Autonomous AI DatabaseにアクセスできるVCN内のデータベース管理を表したもので、選択されたサブネット内でプライベートIPアドレスを持つVNICとして機能します。VCNで作成されたプライベート・エンドポイントを使用して、同じVCNで使用可能なAutonomous AIデータベースのデータベース管理診断および管理を有効にでき、複数のVCNs間では使用できません。プライベート・エンドポイントは、Autonomous AI Databaseと同じサブネット上にある必要はありませんが、Autonomous AI Databaseと通信できるサブネット上にある必要があります。

データベース管理では、次のタイプのプライベート・エンドポイントを作成できます:

  • Autonomous AI Databases Serverlessのプライベート・エンドポイント: Autonomous AI Database Serverlessに接続するために、テナンシ(リージョン当たり)に最大7つのDatabase Managementプライベート・エンドポイントを作成できます。単一のプライベート・エンドポイントを使用して診断および管理を有効にできるAutonomous AI Databases Serverlessの数に制限はありません。Autonomous AI Databases Serverlessのプライベート・エンドポイントには、プライベートIPアドレスが1つのみあります。
  • 専用Exadataインフラストラクチャ上のAutonomous AIデータベースのプライベート・エンドポイント: テナンシに3つのデータベース管理プライベート・エンドポイント(リージョン当たり)を作成して、専用Exadataインフラストラクチャ上のAutonomous AIデータベースに接続できます。専用Exadataインフラストラクチャ上のAutonomous AI Databaseのプライベート・エンドポイントには、2つのプライベートIPアドレスがあります。

VCNには、各タイプのプライベート・エンドポイントを1つ作成できます。つまり、Autonomous AI Databases Serverless用に1つずつ、専用Exadata Infrastructure上のAutonomous AI Databases用に1つずつプライベート・エンドポイントを作成することができます。Autonomous AI Databases Serverlessの7つのプライベート・エンドポイントのデフォルト制限よりも多くのプライベート・エンドポイントが必要で、テナンシのDedicated Exadata InfrastructureのAutonomous AI Databasesの3つのプライベート・エンドポイントが必要な場合は、プライベート・エンドポイント制限の拡大をリクエストできます。

プライベート・エンドポイントの詳細は、プライベート・エンドポイントについてを参照してください。

VCNでデータベース管理プライベート・エンドポイントを作成する前に、Oracle Cloud Infrastructureで仮想ネットワーキング・リソースを使用するために必要な権限を取得し、データベース管理プライベート・エンドポイントを作成する必要があります。詳細は、Autonomous AI Databaseの診断および管理を有効にするために必要な権限を参照してください。

データベース管理プライベート・エンドポイントを作成するには:

  1. Oracle Cloud Infrastructureコンソールにサインインします。
  2. ナビゲーション・メニューを開き、「オブザーバビリティおよび管理」をクリックします。「データベース管理」で、「管理」をクリックします。
  3. 左ペインで、「プライベート・エンドポイント」をクリックします。
  4. 「プライベート・エンドポイント」ページで、「プライベート・エンドポイントの作成」をクリックします。
  5. 「プライベート・エンドポイントの作成」パネルで:
    1. 次の詳細を入力します。
      1. 名前: プライベート・エンドポイントの名前を入力します。
      2. 説明: オプションで、プライベート・エンドポイントの説明を入力します。
      3. コンパートメント: プライベート・エンドポイントを配置するコンパートメントを選択します。デフォルトでは、プライベート・エンドポイント・ページで選択したコンパートメントが表示されますが、ドロップダウン・リストで別のコンパートメントを選択できます。
      4. 専用Autonomous AIデータベースにこのプライベート・エンドポイントを使用: 専用Exadataインフラストラクチャ上のAutonomous AIデータベースのデータベース管理プライベート・エンドポイントを作成する場合は、このチェック・ボックスを選択します。
      5. 仮想クラウド・ネットワーク: 仮想クラウド・ネットワーク・コンパートメントを選択し、Autonomous AI DatabaseにアクセスできるVCNを選択します。
      6. サブネット: サブネット・コンパートメントを選択し、選択したVCN内のサブネットを選択します。新しいデータベース管理プライベート・エンドポイントがAutonomous AI Databases ServerlessまたはAutonomous AI Databases on Dedicated Exadata Infrastructure用かどうかに応じて、選択したサブネットでそれぞれ2つまたは3つのプライベートIPアドレスが使用されます。サブネットはVCNとは異なるコンパートメントに配置できますが、VCN内のデータベース・サブネットにアクセスできる必要があります。
      7. ネットワーク・セキュリティ・グループ: オプションで、「ネットワーク・セキュリティ・グループを使用したトラフィックの制御」をオンにして、Autonomous AIデータベースに追加されたNSGを選択します。「+別のセキュリティ・グループ」をクリックして、別のNSGを選択することもできます。
        ノート

        Autonomous AI Database内の既存のNSJをデータベース管理プライベート・エンドポイントに関連付けるオプションにより、プライベート・エンドポイントがデータベースにアクセスできるようになります。NSGを使用して、データベース管理プライベート・エンドポイントとAutonomous AI Database間の通信を有効にするイングレスおよびエグレス・セキュリティ・ルールを追加できます。
      8. タグ: オプションで、データベース管理プライベート・エンドポイントにフリーフォーム・タグまたは定義済タグを追加します。データベース管理プライベート・エンドポイントの作成に必要な権限がある場合、フリーフォーム・タグを追加する権限もあります。定義済タグを追加するには、タグ・ネームスペースを使用する権限が必要です。

        詳細は、次を参照してください:

      9. セキュリティ属性: オプションで、プライベート・エンドポイントにセキュリティ属性を追加します。「セキュリティ属性の追加」をクリックし、セキュリティ属性ネームスペース、キーおよび値を指定します。セキュリティ属性の詳細は、後述の「プライベート・エンドポイントのセキュリティ属性の管理」を参照してください。
    2. 「作成」をクリックします。
VCNにデータベース管理プライベート・エンドポイントが作成されます。これを使用して、Autonomous AI Databaseのデータベース管理を有効にできます。

データベース管理プライベート・エンドポイントの詳細を表示するには、その名前をクリックします。「プライベート・エンドポイントの詳細」ページでは、次のことができます:

  • 関連付けられたVCNやサブネット、およびデータベース管理プライベート・エンドポイントに割り当てられたプライベートIPアドレスなどの詳細を表示します。セキュリティ・ルールを構成するには、プライベートIPアドレス情報が必要です。
  • 「詳細」タブの「データベース」セクションで、関連付けられたデータベースを表示します。
  • 「作業リクエスト」タブで、プライベート・エンドポイントに関連する作業リクエストをモニターします。特定の作業リクエストをクリックすると、作業リクエスト情報、ログ・メッセージおよびエラー・メッセージ(ある場合)を表示できます。
  • 「タグ」タブで、タグ関連タスクを実行します。

プライベート・エンドポイントのセキュリティ属性の管理

オプションで、Zero Trust Packet Routing (ZPR)セキュリティ属性をプライベート・エンドポイントに追加して、ZPRポリシーを介したアクセスを制御できます。ZPRは、これらの属性を既存のネットワーク・コントロールとともに評価します。

セキュリティー属性およびZPRの詳細は、Security Attributesおよび Overview of Zero Trust Packet Routingを参照してください。

ノート

プライベート・エンドポイントにセキュリティ属性を追加する場合は、必要なZPRポリシーが設定されていることを確認してください。そうしないと、目的のトラフィックをブロックできます。

設定

プライベート・エンドポイントにセキュリティ属性を追加する前に、必要なZPR設定を完了し、ネットワーク構成で目的のトラフィックが許可されていることを確認します。

  1. 必要なIAM権限、セキュリティ属性ネームスペース、セキュリティ属性およびZPRポリシーがすでに構成されていることを確認します。詳細は、Zero Trust Packet Routing IAMポリシー、セキュリティ属性およびZero Trust Packet Routingポリシーを参照してください。
  2. 適用可能なZPRポリシーが目的のトラフィックを許可するように、プライベート・エンドポイントに追加するセキュリティ属性を決定します。

重要な考慮事項

  • 管理者は、ユーザーがプライベート・エンドポイントにセキュリティ属性を適用する前に、テナンシにセキュリティ属性ネームスペースおよびセキュリティ属性を設定する必要があります。
  • セキュリティ属性を使用すると、プライベート・エンドポイントへのアクセスは、セキュリティ・リストやNSGなどの既存のネットワーク制御とともにZPRポリシーによって管理されます。
  • セキュリティ属性は、適切なZPRポリシーが定義されている場合にのみ有効です。対応するポリシーなしでセキュリティ属性を追加した場合、NSGまたはセキュリティ・リストがトラフィックを許可しなくても、プライベート・エンドポイントへのアクセスはデフォルトで拒否されます。
  • 最大3つのセキュリティ属性をプライベート・エンドポイントに追加できます。使用する属性がわからない場合は、ネットワーク管理者に連絡してください。

セキュリティ属性の追加

セキュリティ属性は、プライベート・エンドポイントの作成時に追加することも、プライベート・エンドポイントの作成後に「プライベート・エンドポイントの詳細」ページから追加することもできます。

「プライベート・エンドポイントの詳細」ページからセキュリティ属性を追加するには:

  1. プライベート・エンドポイントの「プライベート・エンドポイント詳細」ページに移動します
  2. 「セキュリティ」タブの「セキュリティ属性」セクションで、「追加」をクリックします。
  3. セキュリティ属性ネームスペース、キーおよび値を指定します。
  4. 「セキュリティ属性の追加」をクリックします。

セキュリティ属性のリスト

プライベート・エンドポイントに追加されたセキュリティ属性を表示するには、プライベート・エンドポイントの「プライベート・エンドポイントの詳細」ページに移動し、「セキュリティ」タブをクリックします。「セキュリティ属性」セクションには、プライベート・エンドポイントに追加されたセキュリティ属性がリストされます。