リカバリ・サービスの構成

この記事では、Oracle Base Database Serviceで使用するOracle Database Autonomous Recovery Serviceの構成について説明します。

Oracle Database Autonomous Recovery Serviceは、Oracle Cloud Infrastructure(OCI)データベース向けのフルマネージド、スタンドアロン、一元化されたクラウド・バックアップ・ソリューションです。

リカバリ・サービスの詳細は、Oracle Database Autonomous Recovery Serviceについてに関する項を参照してください。

リカバリ・サービスの前提条件構成チェックリスト

ノート: Data Guardが有効なデータベースのバックアップ保存先としてリカバリ・サービスを構成する場合は、Data Guardブローカが必要です。

このチェックリストでは、テナンシ内のデータベースのバックアップ保存先としてリカバリ・サービスを使用する前に完了する必要がある前提条件タスクについて説明します。

1. リカバリ・サービスおよび関連リソースへのアクセスを許可するポリシーの割当て
2. サブネットを構成するためのネットワーキング・サービス権限の確認
3. リカバリ・サービス・サブネットのサブネットワーク・サイズ要件およびセキュリティ・ルールの確認
4. データベースVCNでのリカバリ・サービス・サブネットを作成します
5. リカバリ・サービス・サブネットの登録
6. リカバリ・サービス・サブネットがOracle Servicesと通信できることの確認
7. データベースにTDEが完全に構成されていることの確認
8. 手動操作バックアップをオフにする

リカバリ・サービスおよび関連リソースへのアクセスを許可するポリシーの割当て

サポートされているOCI Database Servicesがデータ保護にリカバリ・サービスを使用できるように、ポリシー・ステートメントを割り当てます。

コンソールで、ポリシー・ビルダーを使用して、テナンシでリカバリ・サービスを使用するために必要なポリシーをすばやく割り当てます。ポリシー・ビルダーで、ポリシー・ユースケースとして自律タイプ・リカバリ・サービスを選択してから、事前定義済のポリシー・テンプレートを選択します。

• 自律型リカバリ・サービスですべてを行う機能
• ユーザーに自律型リカバリ・サービスで保護ポリシーを管理させる
• ユーザーに自律型リカバリ・サービス・サブネットを管理させる

自律型リカバリ・サービスですべてを行う機能

Autonomous Recovery Serviceですべてを実行する機能ポリシー・テンプレートには、リカバリ・サービスを使用する権限、およびリカバリ・サービスがネットワーク・リソースを使用してVCN内のデータベースにアクセスするために必要なすべてのポリシー・ステートメントが含まれます。

ポリシー・テンプレートを選択するか、ポリシー・ビルダーの手動エディタを使用してこれらのポリシー・ステートメントを追加できます。

ポリシー・ステートメント	作成	目的
Allow service database to manage recovery-service-family in tenancy	ルート・コンパートメント	OCI Databaseサービスは、テナンシ内の保護されたデータベース、保護ポリシーおよびリカバリ・サービス・サブネットにアクセスできます。
Allow service database to manage tagnamespace in tenancy	ルート・コンパートメント	OCIデータベース・サービスがテナンシのタグ・ネームスペースにアクセスできるようにします。
Allow service rcs to manage recovery-service-family in tenancy	ルート・コンパートメント	リカバリ・サービスが、保護されたデータベース、リカバリ・サービス・サブネットおよびテナンシ内の保護ポリシーにアクセスおよび管理できるようにします。
Allow service rcs to manage virtual-network-family in tenancy	ルート・コンパートメント	リカバリ・サービスが、テナンシ内の各データベースVCNのプライベート・サブネットにアクセスして管理できるようにします。プライベート・サブネットは、データベースとリカバリ・サービス間のバックアップのネットワーク・パスを定義します。
Allow group admin to manage recovery-service-family in tenancy	ルート・コンパートメント	指定したグループのユーザーがすべてのリカバリ・サービス・リソースにアクセスできるようにします。指定したグループに属するユーザーは、保護されたデータベース、保護ポリシーおよびリカバリ・サービス・サブネットを管理できます。

ユーザーに自律型リカバリ・サービスで保護ポリシーを管理させる

ユーザーにAutonomous Recovery Serviceでの保護ポリシーの管理を許可ポリシー・テンプレートは、指定したグループ内のユーザーに、リカバリ・サービスの保護ポリシー・リソースを作成、更新および削除する権限を付与します。

ポリシー・テンプレートを選択するか、ポリシー・ビルダーの手動エディタを使用してこのポリシー・ステートメントを追加できます。

ポリシー・ステートメント	作成	目的
Allow group {group name} to manage recovery-service-policy in compartment {location}	保護ポリシーを所有するコンパートメント。	指定したグループ内のすべてのユーザーがリカバリ・サービスで保護ポリシーを作成、更新および削除できるようにします。

この例を考えてみます。このポリシーは、ABCコンパートメントで保護ポリシーを作成、更新および削除する権限をRecoveryServiceUserグループに付与します。

Allow group RecoveryServiceUser to manage recovery-service-policy in compartment ABC

ユーザーに自律型リカバリ・サービス・サブセットを管理させます

ユーザーによる自律型リカバリ・サービス・サブネットの管理ポリシー・テンプレートは、指定したグループ内のユーザーに、リカバリ・サービス・サブネット・リソースを作成、更新および削除する権限を付与します。

ポリシー・テンプレートを選択するか、ポリシー・ビルダーでこのポリシー・ステートメントを追加できます。

ポリシー・ステートメント	作成	目的
Allow Group {group name} to manage recovery-service-subnet in compartment {location}	リカバリ・サービス・サブネットを所有するコンパートメント。	指定したグループ内のすべてのユーザーがリカバリ・サービス・サブネットを作成、更新および削除できるようにします。

この例を考えてみます。このポリシーは、RecoveryServiceAdminグループに、ABCコンパートメント内のリカバリ・サービス・サブネットを管理する権限を付与します。

Allow group RecoveryServiceAdmin to manage recovery-service-subnet in compartment ABC

ポリシーの詳細は、ポリシーの管理を参照してください。

リカバリ・サービスのプライベート・サブネットの使用について

リカバリ・サービスでは、データベースが存在する仮想クラウド・ネットワーク(VCN)内のプライベート・サブネットが使用されます。プライベート・サブネットは、データベースとリカバリ・サービス間のバックアップのネットワーク・パスを定義します。

Oracleでは、データベースVCNに、リカバリ・サービスへのバックアップ専用の単一のプライベート・サブネットが必要であることをお薦めします。Oracle Cloudデータベースは、リカバリ・サービスで使用される同じプライベート・サブネット、または同じVCN内の別のサブネットに存在できます。

プライベート・サブネットを作成するか、データベースVCN内の既存のサブネットを使用できます。Oracleでは、/24 (256 IPアドレス)のサブネット・サイズを使用することをお薦めします。

ノート:データベースVCNのリカバリ・サービス用のIPv4専用サブネットを選択します。リカバリ・サービスではIPv6対応サブネットの使用がサポートされていないため、IPv6対応サブネットを選択しないでください。

データベースVCNには、データベースとリカバリ・サービス間のバックアップ・トラフィックを許可するためのセキュリティ・ルールが必要です。セキュリティ・ルールには、宛先ポート8005を許可するステートフル・イングレス・ルールが含まれている必要があります。

1. 次のネットワーキング・サービス機能を使用して、セキュリティ・ルールを実装できます。

• セキュリティ・リスト: セキュリティ・リストを使用すると、サブネット・レベルでセキュリティ・ルールを追加できます。データベースVCNで、リカバリ・サービス・サブネットに使用されるセキュリティ・リストを選択し、宛先ポート8005および2484を許可するイングレス・ルールを追加します。
• ネットワーク・セキュリティ・グループ: ネットワーク・セキュリティ・グループ(NSG)により、VCN内の個々のVNICに適用されるセキュリティ・ルールを詳細に制御できます。リカバリ・サービスでは、NSGを使用してセキュリティ・ルールを構成するために次のオプションがサポートされています:
  • ネットワーク分離を実装するには、データベースVNIC用に1つのNSG (ポート2484および8005を許可するエグレス・ルールを追加)と、リカバリ・サービス用に別のNSG (ポート2484および8005を許可するイングレス・ルールを追加)を作成します。
  • データベースVNICおよびリカバリ・サービスの単一のNSG (エグレスおよびイングレス・ルール付き)を作成して使用します。

ノート:データベースVCN内にセキュリティ・リストおよびNSGを構成した場合、NSGで定義されたルールは、セキュリティ・リストで定義されたルールよりも優先されます。

データベースVCNにプライベート・サブネットを作成した後、セキュリティ・ルールを割り当ててから、そのサブネットをリカバリ・サービスのリカバリ・サービス・サブネットとして登録します。セキュリティ・ルールを実装するためにNSGを作成した場合は、リカバリ・サービスNSGをリカバリ・サービス・サブネットに関連付けることも確認する必要があります。

ノート: Oracleでは、バックアップにプライベート・サブネットを使用することをお薦めします。ただし、パブリック・サブネットを使用することは可能です。

詳細は、次の各トピックを参照してください:

• セキュリティ・リスト
• ネットワーク・セキュリティ・グループ
• VCNとサブネットの管理

リカバリ・サービス・サブネットのサブネットワーク・サイズ要件およびセキュリティ・ルールの確認

データベースとリカバリ・サービス間のバックアップ・トラフィックを許可するには、セキュリティ・ルールが必要です。

ノート:データベースVCNのリカバリ・サービス用のIPv4専用サブネットを選択します。リカバリ・サービスではIPv6対応サブネットの使用がサポートされていないため、IPv6対応サブネットを選択しないでください。

アイテム	要件
推奨サブネット・サイズ	/24 (256のIPアドレス)
一般的なイングレス・ルール1: AnywhereからのHTTPSトラフィックの許可	このルールにより、OCIデータベースからリカバリ・サービスへのバックアップ・トラフィックが許可されます。 ステートレス: いいえ(すべてのルールをステートフルにする必要がある) ソース・タイプ: CIDR ソースCIDR: データベースが存在するVCNのCIDR IPプロトコル: TCP ソース・ポート範囲: すべて 宛先ポート範囲: 8005
一般イングレス・ルール2: 任意の場所からのSQLNetトラフィックを許可する	このルールにより、OCI DatabaseからRecovery Serviceへのリカバリ・カタログ接続およびリアルタイム・データ保護が可能になります。 ステートレス: いいえ(すべてのルールをステートフルにする必要がある) ソース・タイプ: CIDR ソースCIDR: データベースが存在するVCNのCIDR IPプロトコル: TCP ソース・ポート範囲: すべて 宛先ポート範囲: 2484

ノート:ネットワーク・セキュリティ・グループ(NSG)を使用してセキュリティ・ルールを実装する場合、またはデータベースVCNがサブネット間のネットワーク・トラフィックを制限する場合は、必ず、データベースのNSGまたはサブネットのポート2484および8005のエグレス・ルールを、作成するリカバリ・サービスのNSGまたはサブネットに追加してください。

サブネットを構成するためのネットワーキング・サービス権限の確認

データベースVCNにサブネットを作成し、リカバリ・サービスのセキュリティ・ルールを割り当てるには、これらのネットワーキング・サービス権限が必要です。

オペレーション	必要なIAMポリシー
データベースVCN内のプライベート・サブネットの構成	use vcns for the compartment which the VCN is in use subnets for the compartment which the VCN is in manage private-ips for the compartment which the VCN is in manage vnics for the compartment which the VCN is in manage vnics for the compartment which the database is provisioned or is to be provisioned in

または、ネットワーク・コンポーネントへの広範なアクセスを持つ指定されたグループを許可するポリシーを作成できます。

たとえば、このポリシーを使用して、NetworkAdminグループがテナンシ内の任意のコンパートメント内のすべてのネットワークを管理できるようにします。

例- ネットワーク管理者のポリシー

Allow group NetworkAdmin to manage virtual-network-family in tenancy

データベースVCNでのリカバリ・サービス・サブネットを作成します

OCIコンソールを使用して、データベース仮想クラウド・ネットワーク(VCN)でリカバリ・サービスのプライベート・サブネットを構成します。

1. ナビゲーション・メニューから、「ネットワーキング」、「仮想クラウド・ネットワーク」の順に選択します。

   VCNリスト・ページが開きます。選択したコンパートメント内のすべてのVCNsが表に表示されます。

2. データベースが存在するVCNを選択します。

3. 次のステップを使用して、セキュリティ・リストを含むリカバリ・サービス・サブネットを作成します。ネットワーク・セキュリティ・グループを使用する場合は、このステップをスキップします。

   1. VCNの詳細ページで、「セキュリティ」タブを選択します。
   2. VCNに使用されるセキュリティ・リストを選択します。宛先ポート8005および2484を許可するには、2つのイングレス・ルールを追加する必要があります。

   3. セキュリティ・リストの詳細ページで、「セキュリティ・ルール」タブを選択します。

      「イングレス・ルールの追加」を選択し、次の詳細を追加して、任意の場所からのHTTPSトラフィックを許可するステートフル・イングレス・ルールを設定します:

      • ソース・タイプ: CIDR
      • ソースCIDR: データベースが存在するVCNのCIDRを指定します。
      • IPプロトコル: TCP
      • ソース・ポート範囲: すべて
      • 宛先ポート範囲: 8005
      • 説明: セキュリティ・ルールの管理に役立つイングレス・ルールの説明(オプション)を指定します。

   4. 「イングレス・ルールの追加」を選択し、次の詳細を追加して、任意の場所からのSQLNetトラフィックを許可するステートフル・イングレス・ルールを設定します:

      • ソース・タイプ: CIDR
      • ソースCIDR: データベースが存在するVCNのCIDRを指定します。
      • IPプロトコル: TCP
      • ソース・ポート範囲: すべて
      • 宛先ポート範囲: 2484
      • 説明: セキュリティ・ルールの管理に役立つイングレス・ルールの説明(オプション)を指定します。

      ノート:データベースVCNのリカバリ・サービス用のIPv4専用サブネットを選択します。リカバリ・サービスではIPv6対応サブネットの使用がサポートされていないため、IPv6対応サブネットを選択しないでください。

4. VCNの詳細ページに戻り、「サブネット」タブを選択します。

   1. 「サブネットの作成」を選択します。
   2. プライベート・サブネットを作成するか、データベースVCNにすでに存在するプライベート・サブネットを選択します。Oracleでは、プライベート・サブネットに/24 (256 IPアドレス)のサブネット・サイズを推奨しています。
   3. サブネットの詳細ページで、「セキュリティ」タブを選択します。

   4. 「セキュリティ・リストの追加」を選択して、宛先ポート8005および2484を許可するイングレス・ルールを含むセキュリティ・リストを追加します。

      ノート:データベースVCNがサブネット間のネットワーク・トラフィックを制限する場合は、必ず、データベース・サブネットから作成したリカバリ・サービス・サブネットにポート2484および8005のエグレス・ルールを追加してください。

5. 次のステップを使用して、ネットワーク・セキュリティ・グループ(NSG)を含むリカバリ・サービス・サブネットを作成します。

   1. VCNの詳細ページに戻り、「サブネット」タブを選択します。
   2. 「ネットワーク・セキュリティ・グループ」セクションで、「ネットワーク・セキュリティ・グループの作成」を選択します。

   3. NSGを使用してセキュリティ・ルールを構成するには、次のいずれかの方法を使用します。

      • ネットワーク分離を実装するには、データベースVNIC用に1つのNSG (ポート2484および8005を許可するエグレス・ルールを追加)と、リカバリ・サービス用に別のNSG (ポート2484および8005を許可するイングレス・ルールを追加)を作成します。
      • データベースVNICおよびリカバリ・サービスの単一のNSG (エグレスおよびイングレス・ルール付き)を作成して使用します。

      「ネットワーク・セキュリティ・グループ」ページには、作成するNSGがリストされます。

6. データベースVCNにリカバリ・サービス・サブネットを作成した後、そのサブネットをリカバリ・サービス・サブネットとして登録します。Oracleでは、VCNごとに1つのリカバリ・サービス・サブネットを登録することをお薦めします。NSGを使用してセキュリティ・ルールを実装している場合は、リカバリ・サービスNSGをリカバリ・サービス・サブネットに追加することも確認する必要があります。

リカバリ・サービス・サブネットの登録

データベースVCNにリカバリ・サービスのプライベート・サブネットを作成した後、この手順を使用してサブネットをリカバリ・サービスに登録します。

複数の保護されたデータベースで、同じリカバリ・サービス・サブネットを使用できます。リカバリ・サービス・プライベート・エンドポイントをサポートするために必要な数のIPアドレスを使用できるようにするために、複数の保護されたデータベースで使用されるリカバリ・サービス・サブネットに複数のサブネットを割り当てることができます。

ノート:データベースVCNのリカバリ・サービス用のIPv4専用サブネットを選択します。リカバリ・サービスではIPv6対応サブネットの使用がサポートされていないため、IPv6対応サブネットを選択しないでください。

リカバリ・サービス・サブネットを登録するには、次のステップを実行します。

1. ナビゲーション・メニューを開き、「Oracle AI Database」、「データベース・バックアップ」の順に選択します。

2. 「リカバリ・サービス・サブセット」を選択します。

   リカバリ・サービス・サブネットのリスト・ページが開きます。選択したコンパートメント内のすべてのリカバリ・サービス・サブネットが表に表示されます。

3. 「リカバリ・サービス・サブネットの登録」を選択します。
4. 「リカバリ・サービス・サブネットの登録」パネルで、次の詳細を入力します:
5. 「名前」フィールドに、リカバリ・サービス・サブネットの名前を入力します。
6. 「コンパートメント」フィールドで、リカバリ・サービス・サブネットを作成するコンパートメントをクリックします。
7. 「仮想クラウド・ネットワーク」フィールドで、データベースVCNを選択します。別のコンパートメントに属するVCNを選択するには、「コンパートメント」を選択します。
8. 「サブネット」フィールドで、データベースVCNのリカバリ・サービス操作用に構成したプライベート・サブネットを選択します。別のコンパートメントからプライベート・サブネットを選択するには、「コンパートメント」を選択します。
9. (オプション)「+別のサブネット」を選択して、追加のサブネットをリカバリ・サービス・サブネットに割り当てます。1つのサブネットに、リカバリ・サービスのプライベート・エンドポイントをサポートするのに十分なIPアドレスが含まれていない場合は、複数のサブネットを割り当てることができます。

10. 「拡張オプション」を展開して、次の追加機能を入力します。

    • ネットワーク・セキュリティ・グループ
    • タグ

    ネットワーク・セキュリティ・グループ(NSG)を使用してデータベースVCNのリカバリ・サービスのセキュリティ・ルールを実装している場合は、リカバリ・サービスNSGをリカバリ・サービス・サブネットに追加する必要があります。リカバリ・サービスNSGは、同じコンパートメントまたは別のコンパートメントに配置できます。ただし、NSGは、指定されたサブネットが属しているのと同じVCNに属している必要があります。

    1. 「ネットワーク・セキュリティ・グループ」セクションで、「ネットワーク・セキュリティ・グループを使用したトラフィックの制御」を選択します。
    2. データベースVCNに作成したリカバリ・サービスNSGを選択します。
    3. 複数のNSGを関連付けるには、「+別のネットワーク・セキュリティ・グループ」を選択します(最大5)。

    (オプション)「タグ・ネームスペース」フィールドで、タグ・ネームスペースを追加するか、既存のタグ・ネームスペースでコントロールをタグ付けすることを検討してください。

11. 「登録」を選択します。

サブネットを置き換えるか、サブネットを追加することで、必要な数のプライベート・エンドポイントをサポートできます。

既存のリカバリ・サービス・サブネットを更新するには、次のステップを使用します:

1. 「リカバリ・サービス・サブネット」詳細ページで、「サブネット」タブを選択します。
2. 「サブネットの追加」を選択し、追加するサブネットを選択します。
3. 既存のサブネットを置換するには、「アクション」メニューを選択し、「削除」を選択します。その後、別のサブネットを追加できます。

ノート:リカバリ・サービス・サブネットは、データベースVCNに属する少なくとも1つのサブネットに関連付けられている必要があります。

既存のリカバリ・サービス・サブネットのネットワーク・セキュリティ・グループ(NSG)を管理するには、次のステップを使用します:

1. 「ネットワーク・セキュリティ・グループ」タブで、「ネットワーク・セキュリティ・グループを追加」を選択します。
2. リカバリ・サービスのネットワーク・セキュリティ・グループを選択して追加します(最大5つ)。
3. NSGを削除するには、リソースを選択して「削除」を選択します。

リカバリ・サービス・サブネットがOracle Servicesと通信できることの確認

登録したリカバリ・サービス・サブネットは、リカバリ・サービスと通信する必要があります。

サービスにアクセスするには、プライベート・サブネットのルーティング表に「Oracle Services NetworkのすべてのIADサービス」を含める必要があります。

データベースにTDEが完全に構成されていることの確認

リカバリ・サービスを使用する場合は、データベースのTDEを完全に暗号化する必要があります。

クラウドに生まれた新しいデータベースの場合は、すでにこれを行う必要があります。ただし、OCIでスタブ・データベースを作成し、データベースをオンプレミスまたは他の場所からOracle Database Cloud Serviceに移行する場合、すべての基準を満たすとはかぎりません。これらのデータベースでは、リカバリ・サービスへのバックアップの前提条件を満たしていることを確認する必要があります。私はあなたが実行するクエリで何をチェックするかを概説するここで見つけることができるブログ記事を持っています。

次の3つの基準を満たす必要があります。

• データベースにWALLET_ROOTを構成する必要があります。引き続きsqlnet.oraを使用している場合は、dbaascliを使用して、リカバリ・サービスを利用するすべてのデータベースに対してWALLET_ROOTを正しく設定する必要があります。既存のデータベースのwallet_root SPFILEパラメータを有効にするには、次を実行します。

  dbaascli tde enableWalletRoot

ノート: sqlnet.oraでのENCRYPTION_WALLET_LOCATIONの設定はサポートされていないため、非推奨になります。

• CDBおよびデータベース内のすべてのPDBに暗号化キーを設定する必要があります。
• 最初のバックアップを実行する前に、すべての表領域をTDEで暗号化する必要があります。

手動操作バックアップをオフにする

場合によっては、OCIユーザーが手動の操作バックアップを実行します。これらのバックアップは、標準のツール以外で実行され、Point-in-Timeリカバリ(KEEP以外のバックアップ)をサポートします。

これらのタイプの運用バックアップのいずれかを実行している場合は、この時点でそれらをオフにすることが重要です。2つの異なる場所に操作バックアップを実行すると、両方のバックアップで問題が発生し、データ損失シナリオが発生する可能性があります。したがって、自動バックアップを有効にする前に、他の記憶域宛先への手動バックアップ・スクリプトおよびプロセスを無効にする必要があります。

注意:オブジェクト・ストレージ・バックアップのツールを使用していて、Recovery Serviceに切り替える場合、スイッチオーバーはツールによって自動化され、以前のすべてのバックアップは引き続き使用できます。