テナンシの構成

Oracleのグローバル分散データベース・サービスを使用して分散データベースを作成および管理する前に、これらの準備タスクを実行してテナンシの編成、様々なリソースのポリシーの作成、ネットワーク、セキュリティおよびインフラストラクチャ・リソースの調達および構成を行う必要があります。

タスク1. Ashburn Regionについて

テナント管理者は、Globally Distributed Autonomous AI Database実装の実行に必要なアッシュバーン(IAD)リージョンおよびすべてのリージョンをサブスクライブします。

  1. アッシュバーン(IAD)リージョンをサブスクライブします。

    • このサービスを使用するには、アッシュバーン・リージョンをサブスクライブする必要があります。

    • テナンシ・ホーム・リージョンはアッシュバーン・リージョンである必要はありませんが、Oracle Globally Distributed Databaseサービスを使用するにはアッシュバーン・リージョンをサブスクライブする必要があります。

  2. データベースを配置する他のリージョンをサブスクライブします。

    • 実装用にデータベースを配置する予定のリージョンをサブスクライブします。これには、カタログ、ノードのデータベース、およびスタンバイ・データベースのOracle Data Guardを使用する予定の場合が含まれます。

詳細は、リージョンの管理を参照してください。

タスク2. コンパートメントの作成

テナント管理者は、Globally Distributed Autonomous AI Databaseに必要なすべてのリソースのコンパートメントをテナンシに作成します。

Oracleでは、次の構造が推奨され、これらのコンパートメントは設定タスク全体で参照されます。

結果のコンパートメント構造は次のようになります。

tenant /
     gdd /
          gdd_certs_vaults_keys
          gdd_clusters
          gdd_databases
          gdd_exadata
          gdd_instances

詳細は、コンパートメントの作業を参照してください。

タスク3。ユーザー・アクセス制約の作成

アクセス制御プランを策定し、適切なIAM (Identity and Access Management)リソースを作成して構成します。したがって、分散データベース内のアクセス制御は様々なレベルで実装され、ここでのグループおよびポリシーによって定義されます。

次の表で説明するユーザー・グループ、動的グループおよびポリシーは、分散データベース実装のための独自のユーザー・アクセス制御計画の作成をガイドする必要があります。

テナント管理者は、次の推奨グループ、動的グループおよびポリシーを作成して、以前に定義したロールに権限を付与します。例およびドキュメント・リンクでは、テナンシがアイデンティティ・ドメインを使用していることを前提としています。

ロールの分離について

クラウド・ユーザーが職務を遂行のためには、適切な種類のクラウド・リソースのみを使用および作成するためのアクセス権があることを確認する必要があります。Globally Distributed Databaseのベスト・プラクティスは、ロール分離の目的でロールを定義することです。

次の表で説明するロールと責任は、Globally Distributed Autonomous AI Database実装のユーザー・グループ、動的グループおよびポリシーを定義する方法を理解するためのガイドとなります。ここに示したロールの例は、環境設定、リソース作成および管理の手順全体で使用されています。

ロール 職責
テナントの管理者

リージョンのサブスクライブ

コンパートメントを作成

動的グループ、ユーザー・グループおよびポリシーの作成
インフラストラクチャ管理者

virtual-network-familyの作成/更新/削除

Autonomous Exadata Infrastructureの作成/更新/削除

Autonomous Exadata VMクラスタの作成/更新/削除

Autonomous Exadata VMクラスタのタグ付け

グローバル分散Autonomous AIデータベースのプライベート・エンドポイントの作成/更新/削除

証明書管理者

Vaultの作成/更新/削除

キーの作成/更新/削除

認証局の作成/更新/削除

証明書の作成/更新/削除

CAバンドルの作成/更新/削除

Autonomous Exadata VMクラスタへの証明書および証明書バンドルのアップロード

GSM証明書署名リクエスト(CSR)のダウンロード

GSM CSRに基づいたGSM証明書の作成

GSM証明書のアップロード
ユーザー UIとAPIを使用したグローバル分散データベースの作成と管理

動的グループ

次の動的グループを作成して、Globally Distributed Databaseコンパートメントで作成されたリソースへのアクセスを制御します。

手順については、動的グループの作成を参照してください。

動的グループの名前 摘要 ルール
gdd-cas-dg 認証局リソース

すべて

resource.type='certificateauthority'

resource.compartment.id = 'コンパートメント・テナント・ルートのOCID / gdd / gdd_certs_vaults_keys'
gdd-clusters-dg Autonomous VMクラスタのリソース

すべて

resource.compartment.id = 'コンパートメント・テナント・ルート/gdd / gdd_clustersのOCID'
gdd-instances-dg コンピュート・インスタンス・リソース

すべて

resource.compartment.id = 'コンパートメント・テナント・ルート/gdd / gdd_instancesのOCID'

ユーザー・グループ

次のグループを作成して、Globally Distributed Databaseコンパートメントのリソースを使用する権限をユーザーに付与します。

手順は、グループの作成を参照してください。

ユーザー グループ名 摘要
gdd-certificate-admins キーおよびボールトを作成および管理する証明書管理者。
gdd-infrastructure-admins クラウド・ネットワークおよびインフラストラクチャ・リソースを作成および管理するインフラストラクチャ管理者
gdd-users APIおよびUIを使用してGlobally Distributed Databaseリソースを作成および管理するユーザー

ポリシー

IAMポリシーを作成して、Globally Distributed Autonomous AI Databaseコンパートメントで作成されたリソースへのグループ・アクセス権を付与します。

前に作成したコンパートメント構造およびグループに基づく次のサンプル・ポリシーは、Globally Distributed Autonomous AI Database実装用の独自のIAMポリシーの作成をガイドする必要があります。

アイデンティティ・ドメイン(デフォルトなど)は、グループを作成したアイデンティティ・ドメインである必要があります。

手順は、ポリシーの作成を参照してください。

gdd証明書- 管理者- テナント・レベル

gdd-infrastructure-admins-tenantレベル

gdd-users-tenantレベル

gdd証明書の管理者

gdd-infrastructure-admin

gddユーザー

gdd-dg-cas

gdd-dgクラスタ

gdd-kms

gdd-okv

タスク 4 ネットワーク・リソースの構成

インフラストラクチャ管理者として、ネットワーク・リソースを作成し、分散データベースに必要な接続を有効にします。

追跡および関係を簡略化するために、これらの手順を通してリソースの名前を付ける例があります。たとえば、gdd_iadという名前は、アッシュバーン(IAD)リージョンで作成されたVCNを指します。

一般的なネットワーク・リソース

Globally Distributed Autonomous AI Databaseのすべての実装では、アッシュバーン(IAD)リージョンにVCN、サブネットおよびプライベート・エンドポイントが必要です。

インフラストラクチャ管理者として、次に示すようにリソースを作成します:

Virtual Cloud Network (VCN) +サブネット

アッシュバーン(IAD)で、VCN gdd_iadおよびサブネットgdd_subnetを作成します。

このVCNおよびサブネットは、Globally Distributed Autonomous AI DatabaseサービスとGlobally Distributed Autonomous AI Databaseトポロジ内のデータベース間の接続を有効にするために必要です。

次の値を使用します。

プライベート・エンドポイント

アッシュバーン(IAD)リージョンにプライベート・エンドポイントを作成して、Globally Distributed Autonomous AI DatabaseサービスとGlobally Distributed Autonomous AI Databaseトポロジ内のデータベース間の接続を有効にします。

トポロジに基づく追加のネットワークリソース

Globally Distributed Databaseトポロジに応じて、次のユース・ケースの説明に従って、追加のネットワーク・リソースを作成します。

トポロジのデータベースには、カタログ、ノードおよびOracle Data Guardスタンバイ・データベースが含まれます。

すべてのネットワーク・リソースをgdd/gdd_databasesコンパートメントに作成する必要があります。

すべてのデータベースがアッシュバーン(IAD)リージョンに配置されます

ネットワーク・リソース: Cloud Autonomous VMクラスタのアッシュバーン(IAD)リージョンにサブネットおよびサービス・ゲートウェイを作成します。

ピアリングと接続:

すべてのデータベースは、アッシュバーン(IAD)ではない単一のリージョンR1に配置されます。

ネットワーク・リソース: Cloud Autonomous VMクラスタのリージョンにサブネットおよびサービス・ゲートウェイを作成します。

ピアリングと接続:

ノート: Globally Distributed Databaseサービス・コントロール・プレーンは、アッシュバーン(IAD)リージョンにのみ存在します。アッシュバーン(IAD)リージョンの前のステップで作成したプライベート・エンドポイントは、各リージョンのグローバル分散データベース・リソースと通信するために使用されます。

データベースは、複数のリージョンR1、R2、…、RNに配置されます。

ネットワーク・リソース: Cloud Autonomous VMクラスタの各リージョンにサブネットおよびサービス・ゲートウェイを作成します。

ピアリングと接続:

タスク 5 セキュリティ・リソースの構成

Globally Distributed Databaseの証明書管理者として、ボールト、キー、認証局、証明書およびCAバンドル・リソースを作成します。

すべてのセキュリティ・リソースは、gdd/gdd_certs_vaults_keysコンパートメントに作成されます。

注意:キーを参照するグローバル分散データベースを作成した後は、移動されたボールトまたはキーを参照する自律型コンテナ・データベースも再起動せずに、ボールトまたはキーを新しいコンパートメントに移動することはできません。

Globally Distributed Databaseトポロジに応じて、次の表の説明に従ってセキュリティ・リソースを作成します。

次の表で使用されているリソース名の例は、Globally Distributed Database実装用の独自のセキュリティ・リソースの作成をガイドします。

自動データ分散、単一リージョン

このユース・ケースでは、セキュリティ・リソースが単一リージョンに作成されます。

次の例では、すべてのリソースがリージョンR1に作成されます。

ボールト

認証局(CA)およびTransparent Data Encryption (TDE)マスター暗号化キーのボールトを作成します。

手順: Vaultの作成

認証局キー

リージョンR1で、ボールトgdd_vault_R1にマスター暗号化キーgdd_ca_key_R1を作成します

必須の属性値:

手順: マスター暗号化鍵の作成

TDEキー

リージョンR1で、ボールトgdd_vault_R1にマスター暗号化キーgdd_TDE_key-oraspaceを作成します

必須の属性値:

手順: マスター暗号化鍵の作成

認証局(Certificate Authority)

クラウドAutonomous VMクラスタおよびGSMコンピュート・インスタンスの証明書を発行するためのCAを作成します。

サード・パーティCAを使用して証明書を作成できますが、サード・パーティCAによって発行された証明書をOCI証明書サービスにインポートする必要があります。

手順: 認証局の作成

証明書

クラウドAutonomous VMクラスタにアップロードするための証明書を作成します。

手順: 証明書の作成

CAバンドル

Cloud Autonomous VMクラスタにアップロードするためのCAバンドルを作成します。

手順: CAバンドルの作成

自動データ分散、プライマリおよびスタンバイ・リージョン

このトポロジは、プライマリ・データベースとスタンバイ・データベースが別のリージョンに配置されたときに発生します。このユース・ケースでは、セキュリティ・リソースがプライマリ・データベース・リージョンおよびスタンバイ・データベース・リージョンに作成されます。

次の例では、リソースはリージョンRp (プライマリ)およびRs (スタンバイ)に作成されます。

ボールト

認証局(CA)マスター暗号化キーのボールトを作成します。

手順: Vaultの作成

レプリケートされたVirtual Vault

Transparent Data Encryption (TDE)マスター暗号化キー用にレプリケートされた仮想ボールトを作成します。

手順: Vaultおよびキーのレプリケート

認証局キー

必須の属性値:

手順: マスター暗号化鍵の作成

TDEキー

必須の属性値:

手順: マスター暗号化鍵の作成

認証局

クラウドAutonomous VMクラスタおよびGSMコンピュート・インスタンスの証明書を発行するためのCAを作成します。

サード・パーティCAを使用して証明書を作成できますが、サード・パーティCAによって発行された証明書をOCI証明書サービスにインポートする必要があります。

手順: 認証局の作成

証明書

クラウドAutonomous VMクラスタにアップロードするための証明書を作成します。

ノート:リージョンのRpおよびRsでは、証明書に同じ共通名を使用する必要があります。

手順: 証明書の作成

CAバンドル

Cloud Autonomous VMクラスタにアップロードするためのCAバンドルを作成します。

手順: CAバンドルの作成

ユーザー管理データ分散、単一リージョン

このユース・ケースでは、セキュリティ・リソースが単一リージョンに作成されます

次の例では、すべてのリソースがリージョンR1に作成されます。

ボールト

認証局(CA)およびTransparent Data Encryption (TDE)マスター暗号化キーのボールトを作成します。

手順: Vaultの作成

認証局キー

必須の属性値:

手順: マスター暗号化鍵の作成

TDE鍵

必須の属性値:

手順: マスター暗号化鍵の作成

認証局(Certificate Authority)

クラウドAutonomous VMクラスタおよびGSMコンピュート・インスタンスの証明書を発行するためのCAを作成します。

サード・パーティCAを使用して証明書を作成できますが、サード・パーティCAによって発行された証明書をOCI証明書サービスにインポートする必要があります。

手順: 認証局の作成

証明書

クラウドAutonomous VMクラスタにアップロードするための証明書を作成します。

手順: 証明書の作成

CAバンドル

Cloud Autonomous VMクラスタにアップロードするためのCAバンドルを作成します。

手順: CAバンドルの作成

ユーザー管理のデータ分散、複数のリージョン

このユース・ケースでは、データベースが配置されるすべてのリージョンにセキュリティ・リソースが作成されます。

このトポロジは、次のいずれかまたは両方に当てはまる場合に発生することがあります。

セキュリティ・リソースは、データベースが配置される各リージョンR1、…、Rnに作成されます。

ボールト

認証局(CA)マスター暗号化キーのボールトを各リージョンに作成します。

手順: Vaultの作成

レプリケートされた仮想ボールト

Transparent Data Encryption (TDE)マスター暗号化キー用にレプリケートされた仮想ボールトを作成します。

プライマリ・リージョンRpを持つデータベース、カタログまたはノードごとに、スタンバイ・リージョンと異なるRs:

手順: Vaultおよびキーのレプリケート

認証局キー

必須の属性値:

手順: マスター暗号化鍵の作成

TDE鍵

各データベース、カタログまたはノードについて、スタンバイ・データベースがないか、プライマリ・リージョンと同じスタンバイ・リージョンがあります。

各データベース、カタログまたはノードについて、スタンバイ・リージョンとは異なるプライマリ・リージョンがあります。

必須の属性値:

手順: マスター暗号化鍵の作成

認証局

クラウドAutonomous VMクラスタおよびGSMコンピュート・インスタンスの証明書を発行するために、各リージョンに認証局(CA)を作成します。

サード・パーティCAを使用して証明書を作成できますが、サード・パーティCAによって発行された証明書をOCI証明書サービスにインポートする必要があります。

手順: 認証局の作成

証明書

クラウドAutonomous VMクラスタにアップロードするための証明書を各リージョンに作成します。

ノート:すべてのリージョンで証明書に同じ共通名を使用する必要があります。

手順: 証明書の作成

CAバンドル

Cloud Autonomous VMクラスタにアップロードするためのCAバンドルを作成します。

手順: CAバンドルの作成

タスク 6 Exadataリソースの作成

Globally Distributed Autonomous AI Databaseトポロジをインフラストラクチャ管理者として構成します。

Exadataリソースの考慮事項

以下の点に注意してください。

Exadata Infrastructureインスタンスの作成

gdd/gdd_exadataコンパートメントにExadataインフラストラクチャ・リソースを作成します。

Exadataインフラストラクチャ・リソースの作成の指示に従います。

Oracle-ApplicationNameタグ・ネームスペースのインポート

テナンシのルート・コンパートメントにOracle-ApplicationNameタグ・ネームスペースをインポートします。

  1. クラウド・コンソールのナビゲーション・メニューから、「ガバナンスと管理」、「タグ・ネームスペース」(「テナンシ管理」カテゴリの下)の順に選択します。

  2. 「タグ・ネームスペース」パネルで、テナンシのルート・コンパートメントにOracle-ApplicationNameネームスペースが存在するかどうかを確認します。

    テナンシのルート・コンパートメントが「リスト範囲」で選択されていることを確認します。

  3. リストにOracle-ApplicationNameが表示されない場合は、次を実行します。

    1. 「標準タグのインポート」を選択します(リストの上にあります)。

    2. Oracle-ApplicationNameネームスペースの横にあるチェック・ボックスを選択し、「インポート」を選択します。

クラウドAutonomous VMクラスタの作成

Globally Distributed Databaseトポロジの各データベースのクラスタを作成します。

クラスタを作成するステップは、Autonomous Exadata VMクラスタの作成を参照してください。

クラスタの作成時に、次のことを実行してください。

タスク 7 クラウドAutonomous VMクラスタ証明書のアップロード

証明書管理者は、gdd/gdd_certs_vaults_keysコンパートメントに認証局、証明書およびCAバンドルを作成しました。次に、CAバンドルを各Autonomous Exadata VMクラスタにアップロードします。

重要:

詳細は、Autonomous Exadata VMクラスタ・リソースのセキュリティ証明書の管理を参照してください。

(オプション) APIキーおよびユーザー制約の作成

Globally Distributed Database REST API、OCIソフトウェア開発キットおよびコマンドライン・インタフェースを直接使用する場合は、OCI APIキー・ペアを作成します。

必要なキーとOCIDの指示に従います。

APIにユーザー・コントロールを設定する場合は、「グローバルに分散されたAutonomous AI Database APIの権限」を参照してください。