Exascale InfrastructureOracle Exadata Database Service on Exascale InfrastructureインスタンスのOracle Exadata Database Serviceのネットワーク設定

このオプションは、概念実証または開発作業を行う際に役立ちます。

インターネット・ゲートウェイをVCNで使用する場合や、パブリック・ネットワークのみで実行されるサービスがあり、データベースへのアクセスが必要なサービスがある場合は、この設定を本番で使用できます。次の図および説明を参照してください。

設定するもの:

• サブネット:

  • パブリック・クライアント・サブネット(パブリックとは、サブネット内のリソースが任意でパブリックIPアドレスを持つことができることを意味します)。
  • プライベート・バックアップ・サブネット(プライベートとは、サブネット内のリソースがパブリックIPアドレスを持つことができず、インターネットからの着信接続を受信できないことを意味します)。

• VCNのゲートウェイ:

  • インターネット・ゲートウェイ(クライアント・サブネットで使用)。
  • サービス・ゲートウェイ(バックアップ・サブネットで使用)。

• ルート表:

  • 0.0.0.0/0およびターゲット = インターネット・ゲートウェイのルートを含むパブリック・クライアント・サブネットのカスタム・ルート表。
  • サービスCIDRラベル(CIDRラベルについては、サービス・ゲートウェイの概要および使用可能なサービスCIDRラベルを参照)、およびターゲット = サービス・ゲートウェイのルート・ルールを含むプライベート・バックアップ・サブネットの個別のカスタム・ルート表。
• Exadata仮想マシンのコンピュート・ノードとの間で必要なトラフィックを有効化するセキュリティ・ルール。
• Exadata Cloud Serviceインスタンスのコンピュート・ノード上のオブジェクト・ストレージへのノード・アクセス: 静的ルート(バックアップ・サブネットを介したOCIサービスへのアクセスを有効にするため)。

本番システムにはプライベート・サブネットをお薦めします。

どちらのサブネットもプライベートであるため、インターネットからはアクセスできません。次の図および説明を参照してください。

設定するもの:

• サブネット:

  • プライベート・クライアント・サブネット。
  • プライベート・バックアップ・サブネット。

• VCNのゲートウェイ:

  • FastConnectまたはIPSec VPNでオンプレミス・ネットワークに接続する動的ルーティング・ゲートウェイ(DRG) (クライアント・サブネットで使用)。
  • サービス・ゲートウェイバックアップ用のオブジェクト・ストレージ、OS更新用のYUM、IAM (Identity Access Management)およびOCI Vault (KMS統合)などのOCIサービスに接続するためにバックアップ・サブネットおよびクライアント・サブセットで使用しますオプション2: オブジェクト・ストレージとYUMリポジトリの両方へのサービス・ゲートウェイ・アクセスも参照してください。
  • NATゲートウェイ(オプション)。クライアント・サブネットで使用して、サービス・ゲートウェイでサポートされていないパブリック・エンドポイントにアクセスします。

• ルート表:

  • 次のルールを含む、プライベート・クライアント・サブネットのカスタム・ルート表:

    • オンプレミス・ネットワークのCIDRおよびターゲット = DRGのルール。
    • サービスCIDRラベルがOracle Services Networkのすべての<region>サービスでターゲット = サービス・ゲートウェイのルール。Oracle Services Networkは、Oracleサービス用に予約されているOracle Cloud Infrastructureの概念的なネットワークです。このルールによって、クライアント・サブネットがOSの更新のためにリージョンのOracle YUMリポジトリにアクセスできるようになります。また、オプション2: オブジェクト・ストレージとYUMリポジトリの両方へのサービス・ゲートウェイ・アクセスも参照してください。
    • オプションで、0.0.0.0/0、およびターゲット = NATゲートウェイのルール。
  • 1つのルールを含む、プライベート・バックアップ・サブネットの別のカスタム・ルート表:
    • クライアント・サブネット用と同じルール: サービスCIDRラベルがOracle Services Networkのすべての<region>サービスで、ターゲット = サービス・ゲートウェイ用。このルールは、バックアップ・サブネットがバックアップのためにリージョンのオブジェクト・ストレージにアクセスできるようにします。
• Exadataノードとの間で必要なトラフィックを有効化するセキュリティ・ルール。Exadata Cloud Serviceインスタンスのセキュリティ・ルールを参照してください。
• オプションで、コンピュート・ノード上の静的ルートを他のOCIサービス(VMクラスタ、仮想マシン)に追加して、NAT Gatewayの使用時などに、クライアント・サブネットを介してではなく、バックアップ・サブネットでのみサービスにアクセスできる場合に、アクセスを有効にします。

2つのサブネットを持つVCNを作成し、VMクラスタのサイズに十分なアドレスがあることを確認する必要があります。

クライアント・サブネットでは、各ノードが4つのIPアドレスを必要とし、さらに、3つのアドレスが単一クライアント・アクセス名(SCAN)用に予約されています。バックアップ・サブネットでは、各ノードに3つのアドレスが必要です。ネットワーキング・サービスでは、各サブネットに3つのIPアドレスを予約しています。

次の式を使用して、変数nがVMクラスタ内のVMの数であるIPアドレスの最小数を計算します:

クライアントアドレスの最小数= 4*n+6

バックアップアドレスの最小数= 3*n+3

手順については、オブジェクト・ストレージへのノード・アクセス: 静的ルートを参照してください。

DNSを使用すると、IPアドレスのかわりにホスト名を使用してExadata Cloud Infrastructureインスタンスと通信できます。

Virtual Cloud NetworkのDNSの説明に従って、インターネットおよびVCNリゾルバ(VCNに組み込まれたDNS機能)を使用できます。クライアント・サブネットのDNS名前解決にはVCN Resolverを使用することをお薦めします。Exadataインスタンスでのデータベースのバックアップ、クラウド・ツールのパッチ適用および更新に必要なSwiftエンドポイントが自動的に解決されます。

インターネットおよびVCNリゾルバにより、データベースのSCANのラウンド・ロビン解決が可能になります。また、Oracle Exadata Database Service on Exascale Infrastructureインスタンスでのデータベースのバックアップ、パッチ適用およびクラウド・ツールの更新に必要な重要なサービス・エンドポイントも解決できます。Internet and VCN Resolverは、VCN内のDNSに対するVCNのデフォルトの選択肢です。詳細は、Virtual Cloud NetworkのDNSおよびDHCPオプションを参照してください。

VCN、サブネットおよびExadataを作成する場合、VCNのDNSに関連して次の識別子を慎重に設定する必要があります:

• VCNドメイン・ラベル
• サブネット・ドメイン・ラベル
• Oracle Exadata Database Service on Exascale InfrastructureインスタンスのクラウドVMクラスタ・リソースのホスト名接頭辞

これらの値は、ノードの完全修飾ドメイン名(FQDN)を構成します:

<hostname_prefix>-######.<subnet_domain_label>.<vcn_domain_label>.oraclevcn.com

次に例を示します:

exacs-abcde1.clientpvtad1.acmevcniad.oraclevcn.com

この例では、クラウドVMクラスタの作成時に、ホスト名接頭辞としてexacsを割り当てます。データベース・サービスによって、ハイフンと、5文字の文字列、末尾のノード番号が自動的に追加されます。次に例を示します:

• ノード1: exacs-abcde1.clientpvtad1.acmevcniad.oraclevcn.com
• ノード2: exacs-abcde2.clientpvtad1.acmevcniad.oraclevcn.com
• ノード3: exacs-abcde3.clientpvtad1.acmevcniad.oraclevcn.com
• など

ホスト名の接頭辞の要件:

• 推奨される最大文字数: 23文字。詳細は、「VCNおよびサブネット・ドメイン・ラベルの要件」の例を参照してください。
• 文字列localhostにすることはできません

VCNおよびサブネット・ドメイン・ラベルの要件:

• 推奨最大文字数: それぞれ14文字。基礎となる実際の要件は、両方のドメイン・ラベルで合計28文字です(ラベル間のピリオドは除く)。たとえば、subnetad1.verylongvcnphxまたはverylongsubnetad1.vcnphxのどちらも使用できます。簡単にするために、推奨はそれぞれ14文字です。
• ハイフンやアンダースコアは使用できません。

• 推奨: VCNのドメイン・ラベルにリージョン名を含め、サブネットのドメイン・ラベルに可用性ドメイン名を含めます。

• 一般に、FQDNの最大合計制限は128文字で、そのうち16文字はサービス追加文字に割り当てられます。安全な一般ルールを次に示します:

  <23_chars_max>-######.<14_chars_max>.<14_chars_max>.oraclevcn.com

VCNおよびサブネットの作成時、前述の最大値は強制されません。ただし、ラベルが最大を超えると、Exadataデプロイメントは失敗します。

• DNS: オンプレミス・ネットワークとVCNの間
  Oracleでは、オンプレミス・ホストとVCNリソースは相互に通信するときにホスト名を使用できるように、プライベートDNSリゾルバを使用することをお薦めします。

プライベートDNSを使用するために必要な前提条件を確認します。

• VMクラスタ・プロビジョニングを起動する前に、プライベート・ビューおよびプライベート・ゾーンを作成する必要があります。詳細は、プライベートDNSリゾルバを参照してください。
• 別のDNSサーバーへの転送は、事前にDNSコンソールで設定する必要があります。これを行うには、VCNのリゾルバに移動し、エンドポイントを作成してからルールを作成します。詳細は、Virtual Cloud NetworkのDNSを参照してください。
• プライベートゾーンの名前には4つ以上のラベルを指定できません。たとえば、a.b.c.dは許可されますが、a.b.c.d.eは許可されません。
• VCNのリゾルバにプライベート・ビューを追加する必要もあります。詳細は、リゾルバへのプライベート・ビューの追加を参照してください。
• プライベートDNS機能を使用してExadata VMクラスタをプロビジョニングする場合、Exadataでは、Exadata VMクラスタのコンパートメントに逆引きDNSゾーンを作成する必要があります。コンパートメントにタグまたはタグのデフォルトが定義されている場合は、タグの管理に関連する追加のポリシーが必要です。詳細は、次のトピックを参照してください。
  • 定義済タグの作業に必要な権限
  • タグのデフォルトの作業に必要な権限

このトピックでは、VCNのホストに不可欠な接続性を有効にする、いくつかの一般ルールを示します。

セキュリティ・リストを使用してセキュリティ・ルールを実装する場合、デフォルトで次のルールがデフォルトのセキュリティ・リストに含まれることに注意してください。特定のセキュリティ・ニーズを満たすようにリストを更新または置換してください。Oracle Cloud Infrastructure環境内でネットワーク・トラフィックが適切に機能するには、2つのICMPルール(一般イングレス・ルール2および3)が必要です。VCN内のリソースと通信する必要があるホスト間のトラフィックのみが許可されるように、一般イングレス・ルール1 (SSHルール)と一般エグレス・ルール1を調整します。

• 一般イングレス・ルール1: 任意の場所からのSSHトラフィックを許可する
  
• 一般イングレス・ルール2: Path MTU Discovery断片化メッセージを許可する
  
• 一般イングレス・ルール3: VCN内の接続エラー・メッセージを許可する
  このルールにより、VCN内のホストは相互に接続エラー・メッセージを受信できるようになります。
• 一般エグレス・ルール1: すべてのエグレス・トラフィックを許可する
  

クライアント・ネットワークには、次のセキュリティ・ルールが重要です。

• クライアント・イングレス・ルール1: クライアント・サブネット内からのONSおよびFANトラフィックを許可する
  最初のルールが推奨され、Oracle Notification Services (ONS)で高速アプリケーション通知(FAN)イベントについて通信できるようになります。
• クライアント・イングレス・ルール2: クライアント・サブネット内からのSQL*NETトラフィックを許可する
  これは、SQL*NETトラフィックに関するルールであり、次の場合に必要です:
• クライアント・エグレス・ルール1: クライアント・サブネット内のすべてのTCPトラフィックを許可します
  このルールは、前述のようにSQL*NETトラフィック用です。
• クライアント・エグレス・ルール2: すべてのエグレス・トラフィックを許可する(Oracle YUMリポジトリへの接続の許可)
  クライアント・エグレス・ルール3は、Oracle YUMリポジトリへの接続を許可するため重要です。

次のセキュリティ・ルールは、VMクラスタがサービス・ゲートウェイを介してオブジェクト・ストレージと通信できるようにするため(また、クライアント・ネットワークにアクセス権がない場合にはオプションでOracle YUMリポジトリと)バックアップ・ネットワークにとって重要です。

これは、一般的なエグレス・ルール1: すべてのエグレス・トラフィックを許可と重複します。これはオプションですが、一般エグレス・ルール(またはデフォルトのセキュリティ・リスト)が誤って変更された場合に備えて推奨されます。

コンピュート・インスタンス・メトリックをイベント・サービスに送信できるようにするには、コンピュート・インスタンスにパブリックIPアドレスまたはサービス・ゲートウェイが必要です。

デフォルトのエグレス・ルールで、コンピュート・インスタンス・メトリックがイベント・サービスに送信されるようにするには十分です。

インスタンスにパブリックIPアドレスがない場合は、仮想クラウド・ネットワーク(VCN)上にサービス・ゲートウェイを設定します。サービス・ゲートウェイにより、インスタンスは、トラフィックがインターネットを経由することなく、コンピュート・インスタンス・メトリックをイベント・サービスに送信できます。イベント・サービスにアクセスするためのサービス・ゲートウェイの設定に関する特別な注意事項を次に示します:

• サービス・ゲートウェイを作成する場合は、「Oracle Services Networkのすべての<region>サービス」というサービス・ラベルを有効にします。これには、イベント・サービスが含まれます。

• インスタンスが含まれるサブネットのルーティングを設定するときに、「ターゲット・タイプ」を「サービス・ゲートウェイ」に、「宛先サービス」を「Oracle Services Networkのすべての<region>サービス」に設定して、ルート・ルールを設定します。

  詳細な手順は、Oracle Servicesへのアクセス: サービス・ゲートウェイを参照してください。

コンピュート・インスタンス・メトリックをモニタリング・サービスに送信できるようにするには、コンピュート・インスタンスにパブリックIPアドレスまたはサービス・ゲートウェイが必要です。

コンピュート・インスタンスがコンピュート・インスタンス・メトリックをモニタリング・サービスに送信できるようにするには、デフォルトのエグレス・ルールで十分です。

インスタンスにパブリックIPアドレスがない場合は、仮想クラウド・ネットワーク(VCN)上にサービス・ゲートウェイを設定します。サービス・ゲートウェイにより、インスタンスは、トラフィックがインターネットを経由することなく、コンピュート・インスタンス・メトリックをモニタリング・サービスに送信できます。モニタリング・サービスにアクセスするためのサービス・ゲートウェイの設定に関する特別な注意事項を次に示します:

• サービス・ゲートウェイを作成する場合は、「Oracle Services Networkのすべての<region>サービス」というサービス・ラベルを有効にします。これには、モニタリング・サービスが含まれています。

• インスタンスが含まれるサブネットのルーティングを設定するときに、「ターゲット・タイプ」を「サービス・ゲートウェイ」に、「宛先サービス」を「Oracle Services Networkのすべての<region>サービス」に設定して、ルート・ルールを設定します。

  詳細な手順は、Oracle Servicesへのアクセス: サービス・ゲートウェイを参照してください。

OCIコンソールで、オブジェクト・ストレージへのサービス・ゲートウェイを作成します。自動更新および構成メタデータには、サービス・ゲートウェイが必要です。