リカバリ・サービスへのOracle Databaseのオンボーディング

チェックリストを使用して必須要件を確認し、Oracle Database to Recovery Serviceのオンボーディングを計画します。

• リカバリ・サービスの必須要件チェックリスト
  このチェックリストを使用して、Oracle Database to Recovery Serviceをオンボードするための必須の前提条件を確認します。

• リカバリ・サービスのオプションの構成チェックリスト
  リカバリ・サービスのこれらの追加オプションを構成することを選択できます。

• リカバリ・サービス・リソース制限
  サービス制限は、リソースに設定された割当てまたは許諾容量です。Autonomous Recovery Serviceには、保護されたデータベースの数およびバックアップ・ストレージ領域使用率の最大制限があります。制限は各リージョンに適用されます。

• OCIのOracle Databasesのオプションの権限
  デフォルトでは、OCIのOracle Databasesには、リカバリ・サービスにアクセスする権限が割り当てられます。サービスは、データベースVCN内のネットワーク・リソースにもアクセスできます。このトピックの説明に従って、OCIデータベースに対する追加権限およびオプション権限の割当てを選択できます。

• Oracle Multicloudデータベースがリカバリ・サービスを使用するために必要な権限
  Oracle Multicloudデータベースがリカバリ・サービスにバックアップを送信できるようにするリカバリ・サービスIAMポリシーを割り当てます。

• リカバリ・サービスのネットワーク・リソースの構成
  データベースVCNのリカバリ・サービス操作用に既存のIPv4専用サブネットを作成または使用します。データベースとリカバリ・サービス間のバックアップ・トラフィックを制御するセキュリティ・ルールを定義します。

• リカバリ・サービス・サブネットを登録する
  リカバリ・サービス・サブネットを登録するには、この手順を使用します。

• リカバリ・サービス・リソースを管理する方法
  Oracle Cloud Infrastructure (OCI)では、様々な管理ユース・ケースに合せて提供される様々なインタフェースを使用して、リカバリ・サービス・リソースを作成および管理できます。

リカバリ・サービスの必須要件チェックリスト

このチェックリストを使用して、Oracle Database to Recovery Serviceをオンボードするための必須の前提条件を確認します。

ノート

ノート: 2つの異なるバックアップ先への操作バックアップでは、データ損失シナリオが発生する可能性があります。したがって、リカバリ・サービスへの自動バックアップを有効にする前に、他の記憶域宛先への手動バックアップ・スクリプトおよびプロセスを無効にする必要があります。

表3-1 Database to Recoveryサービスのオンボーディングの必須要件

関連トピック

• 自律型リカバリ・サービスのチェックリスト

リカバリ・サービスのオプションの構成チェックリスト

リカバリ・サービスのこれらの追加オプションの構成を選択できます。

表3-2リカバリ・サービスのオプションの構成チェックリスト

関連トピック

• 自律型リカバリ・サービスのチェックリスト

リカバリ・サービス・リソース制限

サービス制限は、リソースに対して設定された割当てまたは許容量です。Autonomous Recovery Serviceには、保護されたデータベースの数およびバックアップ・ストレージ領域の使用率の最大制限があります。制限は各リージョンに適用されます。

表3-3 Autonomous Recovery Serviceのリソース制限

コンソールを使用して、現在のサービス制限および使用状況情報を確認し、必要に応じてリソース制限の引上げをリクエストします。

1. ナビゲーション・メニューで、「ガバナンスと管理」、「テナンシ管理」の順に選択します。

2. 「制限、割当ておよび使用状況」を選択します。

3. 「サービス」リストから「Autonomous Recovery Service」を選択します。

   現在の制限および使用状況の情報を確認します。

4. 必要な場合は、サービス・リソース制限の引上げをリクエストします。Oracle Multicloudデータベースの場合、「制限、割当ておよび使用状況」ページから、マルチクラウド・サブスクリプションに固有の制限を確認して調整してください。

   注意:マルチクラウド・サブスクリプションを選択しない場合、増加した制限がOCIリソースに適用されます。

5. (オプション)コンパートメント内のリソース使用率を制御することもできます。詳細は、割当て制限ポリシーのクイック・スタートを参照してください。

関連トピック

• サービス制限

OCIのOracle Databasesに対するオプションの権限

デフォルトでは、OCIのOracle Databasesには、リカバリ・サービスにアクセスする権限が割り当てられます。サービスは、データベースVCN内のネットワーク・リソースにもアクセスできます。このトピックの説明に従って、OCIデータベースに追加およびオプションの権限を割り当てることができます。

OCIデータベースにオプションの権限を割り当てるには:

1. ポリシー・ビルダーで、「ポリシー・ユースケース」として「Autonomous Recovery Service」を選択します。

2. ポリシー・ビルダーの手動エディタを使用して、ポリシー・テンプレートを選択するか、ポリシー・ステートメントを追加します(表3-4、表3-5および表3-6を参照)。

表3-4自律型リカバリ・サービス・ポリシー・テンプレートですべてを行う機能の追加権限

表3-5自律型リカバリ・サービスで保護ポリシーを管理させます

次に例を示します。

このポリシーは、ABCコンパートメントで保護ポリシーを作成、更新および削除する権限をRecoveryServiceUserグループに付与します。

Allow group RecoveryServiceUser to manage recovery-service-policy in compartment ABC

ユーザーが自律型リカバリ・サービス・サブネットを管理できるようにするポリシー・テンプレート

表3-6ユーザーに自律型リカバリ・サービス・サブネットを管理させます

次に例を示します。

このポリシーは、RecoveryServiceAdminグループに、ABCコンパートメント内のリカバリ・サービス・サブネットを管理する権限を付与します。

Allow group RecoveryServiceAdmin to manage recovery-service-subnet in compartment ABC

関連トピック

• リカバリ・サービス・リソース・タイプおよびポリシー

リカバリ・サービスを使用するためのOracle Multicloudデータベースに必要な権限

Oracle Multicloudデータベースによるリカバリ・サービスへのバックアップの送信を許可するリカバリ・サービスIAMポリシーを割り当てます。

ポリシー・ビルダーで、「ポリシー・ユース・ケース」として「Autonomous Recovery Service」を選択し、Oracle Multicloudデータベースに関連するこれらのポリシーのいずれかを割り当てます。

Oracle AI Database@Azure

Oracle AI Database@Azureでバックアップに自律型リカバリ・サービスを使用する

Allow service database to manage tagnamespace in tenancy
Allow group admin to manage recovery-service-family in tenancy
Allow service database to use organizations-assigned-subscription in tenancy
where target.subscription.serviceName = 'ORACLEDBATAZURE'

ORACLEDBATAZUREは、Oracle AI Database@Azureのサービス名を示します。

Oracle AI Database@Google Cloud

Oracle AI Database@Google Cloudでバックアップに自律型リカバリ・サービスを使用する

Allow service database to manage tagnamespace in tenancy
Allow group admin to manage recovery-service-family in tenancy
Allow service database to use organizations-assigned-subscription in tenancy
where target.subscription.serviceName = 'ORACLEDBATGOOGLE'

ORACLEDBATGOOGLEは、Oracle AI Database@Google Cloudのサービス名を示します。

Oracle AI Database@AWS

既存のOCIテナンシの場合は、ポリシー・ビルダーのマニュアル・エディタを使用して、Oracle AI Database@AWSがリカバリ・サービスにバックアップするために必要なこれらのポリシー・ステートメントを追加します。新しいOCIテナンシの場合、これらの権限はデフォルトで割り当てられます。

Allow service database to manage tagnamespace in tenancy
Allow group admin to manage recovery-service-family in tenancy
Allow service database to use organizations-assigned-subscription in tenancy
where target.subscription.serviceName = 'ORACLEDBATAWS'

ORACLEDBATAWSは、Oracle AI Database@AWSのサービス名を示します。

関連トピック

• マルチクラウドのOracle Databaseバックアップのサポート

リカバリ・サービスのネットワーク・リソースの構成

データベースVCNのリカバリ・サービス操作で、既存のIPv4専用サブネットを作成または使用します。データベースとリカバリ・サービス間のバックアップ・トラフィックを制御するセキュリティ・ルールを定義します。

リカバリ・サービスは、次のOracle Multicloudデータベース・サービスをサポートしています。

• Oracle Database@Azure

• Oracle Database@Google Cloud

• Oracle Database@AWS

ネットワーク・ポート2484および8005により、Oracle Database@AWSとリカバリ・サービスの間のネットワーク接続が可能になります。既存のOCIテナンシで、ネットワーク・ポート2484および8005を開いてください。新しいOCIテナンシでは、Oracle Database@AWSに対して同じネットワーク・ポートがデフォルトで開かれます。

Oracle Database@AWSリソースをリカバリ・サービスにオンボードすると、サービスはバックアップ・サブネットをリカバリ・サービス・サブネットとして自動的に登録します。サービスによって自動的に登録されたリカバリ・サービス・サブネットを使用するか、独自のリカバリ・サービス・サブネットを登録できます。

リカバリ・サービス操作でのプライベート・サブネットの使用について

リカバリ・サービスでは、データベースが存在するのと同じ仮想クラウド・ネットワーク(VCN)にプライベート・サブネットが必要です。プライベート・サブネットには、データベースとリカバリ・サービス間のバックアップ・ネットワークを制御するセキュリティ・ルールが含まれている必要があります。

データベースVCNのリカバリ・サービス・サブネットに関する推奨事項

• データベースVCNには、リカバリ・サービスへのバックアップ用の単一のプライベート・サブネットが必要です。プライベート・サブネットは、データベースが存在するのと同じVCNに存在する必要があります。

• データベースVCNのリカバリ・サービス用のIPv4専用サブネットを選択します。リカバリ・サービスではIPv6対応サブネットの使用がサポートされていないため、IPv6対応サブネットを選択しないでください。詳細は、「サブネットの作成」を参照してください。

• 推奨されるサブネットサイズは /24 (256 IPアドレス)です。

  リカバリ・サービスは、プライベート・エンドポイントをサポートするために必要な空きIPアドレス数を動的に割り当てます。使用可能な空きIPアドレスの数に制限がある場合は、最小の/27サブネット・サイズを使用します。これにより、32個のIPアドレスが許可されます。

  新しいプライベート・サブネットを作成するか、データベースVCNで使用可能な既存のサブネット(推奨サイズの)を選択できます。

  Oracle Exadata Database Service on Dedicated Infrastructureの場合、バックアップ・サブネットはデフォルトでリカバリ・サービス操作に使用されます。Oracle Base Database Serviceの場合、データベース・サブネットはリカバリ・サービスへのバックアップにも使用されます。

• Autonomous Recovery Serviceへの自動バックアップを有効にすると、サービスはプライベート・サブネットをリカバリ・サービス・サブネットとして自動的に登録します。自動的に登録されたリカバリ・サービス・サブネットを使用するか、独自のリカバリ・サービス・サブネットを登録できます。

  ネットワーク・セキュリティ・グループ(NSG)を使用してセキュリティ・ルールを実装している場合は、リカバリ・サービスNSGをリカバリ・サービス・サブネットに関連付ける必要があります。詳細は、リカバリ・サービス・サブネットの登録を参照してください。

• リカバリ・サービス・サブネットに使用可能なIPアドレスの数が不足している場合、新しいデータベースを追加しようとすると、リカバリ・サービスによってアラート・メッセージが発行されます。このシナリオでは、複数のサブネットをリカバリ・サービス・サブネットに関連付けることで、IPアドレスを追加できます。リカバリ・サービス・サブネットのサブネットの追加または置換を参照してください。

• Oracle Cloudデータベースは、Recovery Serviceで使用されるものと同じプライベート・サブネット、または同じVCN内の異なるサブネットに配置できます。

ノート

ノート: Oracleでは、リカバリ・サービスへのバックアップにプライベート・サブネットを使用することをお薦めします。ただし、パブリック・サブネットを使用することは可能です。

リカバリ・サービス・サブネットのセキュリティ・ルールの実装

データベースVCNには、データベースとリカバリ・サービス間のバックアップ・トラフィックを許可するためのセキュリティ・ルールが必要です。

リカバリ・サービス・サブネットのセキュリティ・ルールには、宛先ポート8005および2484を許可するステートフル・イングレス・ルールが含まれている必要があります。

次のネットワーキング・サービス機能を使用して、セキュリティ・ルールを実装します。

• セキュリティ・リスト

  セキュリティ・リストを使用すると、サブネット・レベルでセキュリティ・ルールを追加できます。

  データベースVCNで、リカバリ・サービス・サブネットに使用されるセキュリティ・リストを選択し、宛先ポート8005および2484を許可するイングレス・ルールを追加します。

• ネットワーク・セキュリティ・グループ(NSG)
  ネットワーク・セキュリティ・グループ(NSG)を使用すると、VCN内の個々のVNICに適用されるセキュリティ・ルールを詳細に制御できます。リカバリ・サービスでは、NSGを使用してセキュリティ・ルールを構成するために次のオプションがサポートされています:

  • エグレス・ルールを使用してデータベースVNICに1つのNSGを作成し、ポート2484および8005を許可します。ポート2484および8005を許可するイングレス・ルールを使用して、リカバリ・サービス用に別のNSGを追加します。この方法は、ネットワーク分離を実装する場合に使用します。

  • データベースVNICおよびリカバリ・サービスに対して単一のNSG (エグレスおよびイングレス・ルールを含む)を作成および使用します。

さらに学習するには、セキュリティ・リストとネットワーク・セキュリティ・グループの比較を参照してください。

関連トピック

• 自律型リカバリ・サービスのチェックリスト

サブネットを構成するためのネットワーキング・サービス権限の確認

データベースVCNにサブネットを作成し、リカバリ・サービスのセキュリティ・ルールを割り当てるには、これらのネットワーキング・サービス権限が必要です。

表3-8プライベート・サブネットの作成およびリカバリ・サービスのセキュリティ・ルールの構成に必要なネットワーキング・サービス権限

または、ネットワーク・コンポーネントへのより広範なアクセスを持つ指定されたグループを許可するポリシーを作成できます。

たとえば、このポリシーを使用して、NetworkAdminグループがテナンシ内の任意のコンパートメント内のすべてのネットワークを管理できるようにします。

例3-1ネットワーク管理者のポリシー

Allow group NetworkAdmin to manage virtual-network-family in tenancy

リカバリ・サービス・サブネットのサブネットワーク・サイズおよびセキュリティ・ルール

データベースとリカバリ・サービス間のバックアップ・トラフィックを許可するには、セキュリティ・ルールが必要です。

表3-9リカバリ・サービス・サブネットのサブネット・サイズおよびセキュリティ・ルール

ノート

ノート:ネットワーク・セキュリティ・グループ(NSG)を使用してセキュリティ・ルールを実装する場合、またはデータベースVCNがサブネット間のネットワーク・トラフィックを制限する場合は、必ず、データベースのNSGまたはサブネットから作成したリカバリ・サービスNSGまたはサブネットにポート2484および8005のエグレス・ルールを追加してください。

データベースVCNでのリカバリ・サービス・サブネットの作成

OCIコンソールを使用して、データベース仮想クラウド・ネットワーク(VCN)でリカバリ・サービスのプライベート・サブネットを構成します。

1. ナビゲーション・メニューで、「ネットワーキング」、「仮想クラウド・ネットワーク」の順に選択して、「Virtual Cloud Networks」リスト・ページを表示します。

2. データベースが存在するVCNを選択します。

3. 次のステップを使用して、セキュリティ・リストを含むリカバリ・サービス・サブネットを作成します。ネットワーク・セキュリティ・グループを使用する場合は、[ステップ4]に進みます。

   1. 仮想クラウドネットワークの詳細ページで、「Security」タブを選択します。

   2. 「セキュリティ・リスト」で、VCNに使用されるセキュリティ・リストを選択します。

   3. セキュリティ・リストの詳細ページで、「セキュリティ・ルール」タブを選択します。

      宛先ポート8005および2484を許可するには、2つのイングレス・ルールを追加する必要があります。

   4. 「イングレス・ルールの追加」を選択し、次の詳細を追加して、どこからでもHTTPSトラフィックを許可するステートフル・イングレス・ルールを設定します:

      • ソース・タイプ: CIDR

      • ソースCIDR: データベースが存在するVCNのCIDRを指定します。

      • IP Protocol: TCP

      • ソース・ポート範囲: すべて

      • 宛先ポート範囲: 8005

      • 説明: セキュリティ・ルールの管理に役立つイングレス・ルールの説明(オプション)を指定します。

   5. 「+別のイングレス・ルール」を選択し、次の詳細を追加して、どこからでもSQLNetトラフィックを許可するステートフル・イングレス・ルールを設定します:

      • ソース・タイプ: CIDR

      • ソースCIDR: データベースが存在するVCNのCIDRを指定します。

      • IP Protocol: TCP。

      • ソース・ポート範囲: すべて

      • 宛先ポート範囲: 2484

      • 説明: セキュリティ・ルールの管理に役立つイングレス・ルールの説明(オプション)を指定します。

        ノート
        
        ノート:データベースVCNのリカバリ・サービス用のIPv4専用サブネットを選択します。リカバリ・サービスではIPv6対応サブネットの使用がサポートされていないため、IPv6対応サブネットを選択しないでください。詳細は、「サブネットの作成」を参照してください。

      詳細は、「リカバリ・サービス・サブネットのサブネット・サイズおよびセキュリティ・ルール」を参照してください。

4. 「イングレス・ルールの追加」を選択します。

   1. 仮想クラウド・ネットワーク・ページの詳細ページで、「サブネット」タブを選択し、「サブネットの作成」を選択します。

   2. プライベート・サブネットを作成するか、データベースVCNにすでに存在するプライベート・サブネットを選択します。Oracleでは、プライベート・サブネットのサブネット・サイズ/24 (256 IPアドレス)をお薦めします。

   3. サブネットの詳細ページで、「セキュリティ」タブを選択します。「セキュリティ・リスト」で、宛先ポート8005および2484を許可するイングレス・ルールを含むセキュリティ・リストを追加します。

      ノート
      
      ノート:データベースVCNでサブネット間のネットワーク・トラフィックが制限されている場合は、必ず、ポート2484および8005のエグレス・ルールをデータベース・サブネットから作成したリカバリ・サービス・サブネットに追加してください。

5. 次のステップを使用して、ネットワーク・セキュリティ・グループ(NSG)を含むリカバリ・サービス・サブネットを作成します。

   1. 仮想クラウド・ネットワークの詳細ページで、「セキュリティ」タブを選択し、「ネットワーク・セキュリティ・グループ」セクションに移動します。

   2. 「ネットワーク・セキュリティ・グループの作成」を選択します。

      NSGを使用してセキュリティ・ルールを構成するには、次のサポートされている方法のいずれかを使用します:

      • ネットワーク分離を実装するには、データベースVNICにNSGを1つ(ポート2484および8005を許可するエグレス・ルールを追加)作成し、リカバリ・サービスには別のNSGを作成します(ポート2484および8005を許可するイングレス・ルールを追加します)。

      • データベースVNICおよびリカバリ・サービスの単一のNSG (エグレスおよびイングレス・ルール付き)を作成して使用します。

      「ネットワーク・セキュリティ・グループ」ページには、作成するNSGがリストされます。

リカバリ・サービス・サブネットの登録

リカバリ・サービス・サブネットを登録するには、この手順を使用します。

1. 「リカバリ・サービス・サブネット」リスト・ページで、「リカバリ・サービス・サブネットの登録」を選択します。リスト・ページにアクセスする詳細なステップは、リカバリ・サービス・サブネットのリストを参照してください。

2. リカバリ・サービス・サブネットの名前を入力します。「名前」フィールドに機密情報を入力しないでください。

3. リカバリ・サービス・サブネットを作成するコンパートメントを確認します。必要に応じて、「コンパートメントに作成」フィールドを使用して、別のコンパートメントを選択します。

4. 使用する仮想クラウド・ネットワーク(VCN)を含むコンパートメントを選択します。VCNは、一度に1つのコンパートメントのみから選択できます。

5. 仮想クラウド・ネットワークを選択します。

6. 「サブネット」で、次のオプションを選択します:

   1. 使用されるプライベート・サブネットが含まれているコンパートメントを選択します。

   2. 選択したVCNでリカバリ・サービス操作用に構成したサブネットを選択します。

7. (オプション)「+別のサブネット」を選択して、追加のサブネットをリカバリ・サービス・サブネットに割り当てます。

   1つのサブネットに、リカバリ・サービスのプライベート・エンドポイントをサポートするのに十分なIPアドレスが含まれていない場合は、複数のサブネットを割り当てることができます。詳細は、リカバリ・サービスのプライベート・サブネットの使用についてを参照してください。

8. 「拡張オプション」を展開して、次のオプションを構成します。

   • ネットワーク・セキュリティ・グループ

     ネットワーク・セキュリティ・グループ(NSG)を使用してデータベースVCNのリカバリ・サービスのセキュリティ・ルールを実装している場合は、リカバリ・サービスNSG (最大5)をリカバリ・サービス・サブネットに追加する必要があります。リカバリ・サービスNSGは、同じコンパートメントまたは別のコンパートメントに配置できます。ただし、NSGは、指定されたサブネットが属しているのと同じVCNに属している必要があります。

     リカバリ・サービスNSGをリカバリ・サービス・サブネットに追加するには、次のステップを使用します。

     1. 「Network security groups」セクションで、「Use network security groups to control traffic」を選択します。

     2. データベースVCNに作成したリカバリ・サービスNSGを選択します。

     3. 複数のNSGを関連付けるには、「+別のネットワーク・セキュリティ・グループ」を選択します(最大5)。

   • セキュリティ属性

     (オプション)「セキュリティ属性」セクションで、セキュリティ属性を追加して、リカバリ・サービス・サブネットへのアクセスを制限できます。詳細は、リカバリ・サービス・サブネットのセキュリティ属性の管理を参照してください。

     ノート
     
     

     注意:

     • リソースを作成する権限がある場合、そのリソースにセキュリティ属性を追加する権限もあります。セキュリティ属性を追加するには、セキュリティ属性ネームスペースを使用する権限が必要です。セキュリティ属性およびセキュリティ属性ネームスペースの詳細は、Zero Trust Packet Routingを参照してください。セキュリティ属性を追加するかどうかわからない場合は、このオプションをスキップするか、管理者に問い合せてください。セキュリティ属性は後で追加できます。

     • エンドポイントにZero Trust Packet Routing (ZPR)セキュリティ属性がある場合、エンドポイントへのトラフィックはZPRポリシーとすべてのNSGおよびセキュリティ・リスト・ルールを満たす必要があります。たとえば、すでにNSGを使用していて、エンドポイントにセキュリティ属性を追加した場合、エンドポイントへのすべてのトラフィックがブロックされます。それ以降、ZPRポリシーでエンドポイントへのトラフィックを明示的に許可する必要があります。

   • タグ: (オプション) 1つ以上のタグをリソースに追加します。リソースを作成する権限がある場合、そのリソースにフリーフォーム・タグを適用する権限もあります。定義済タグを適用するには、タグ・ネームスペースを使用する権限が必要です。タグ付けの詳細は、リソース・タグを参照してください。タグを適用するかどうかわからない場合は、このオプションをスキップするか、管理者に問い合せてください。後でタグを適用できます。

9. 「登録」を選択します。

   ノート
   
   ノート:リカバリ・サービス・サブネットは、データベースVCNに属する少なくとも1つのサブネットに関連付けられている必要があります。

サブネットを置き換えるか、サブネットを追加することで、必要な数のプライベート・エンドポイントをサポートできます。詳細については、Add or Replace Subnets for a Recovery Service Subnetを参照してください。

既存のリカバリ・サービス・サブネットにNSGを追加する詳細なステップは、「NSGのリカバリ・サービス・サブネットへの関連付け」を参照してください。

リカバリ・サービス・リソースの管理方法

Oracle Cloud Infrastructure (OCI)では、様々な管理ユース・ケースに合せて提供される様々なインタフェースを使用して、リカバリ・サービス・リソースを作成および管理できます。

関連トピック

• リカバリ・サービスを使用したOracle Cloudデータベースのバックアップおよびリカバリ

• APIを使用したリカバリ・サービス・リソースの管理