Oracle IntegrationからOracle AI Database@AWSへのプライベート接続のプロビジョニング
トラフィックがパブリック・インターネット、顧客VPNまたは顧客管理のマルチクラウド接続を通過することはありません。パス全体は、OracleおよびAWSのプライベート管理ネットワーク内に留まります。
データベースは、Amazon Web Servicesデータ・センター(OCI子サイト)のOracle操作Exadataインフラストラクチャで物理的に実行されますが、OCIテナンシ内のネイティブOCIリソースとして表示されます。Oracle管理VCNは、ペアのOCIリージョン(親サイト)にアンカーされます。Oracle Integrationをデータベースに接続することは、標準のOCI内ネットワーキング・パターンです。
Oracle AI Database@AWSをプロビジョニングすると、Oracleは、ペアのOCIリージョンにアンカーされた専用のODBネットワークを作成および管理します。Exadata VMクラスタ・クライアントおよびバックアップ・サブネットはOCI VCNにあり、データベースSCANリスナーはプライベートIPアドレスを公開します。AWS側では、OCI VCNはODBネットワークとして表されます。ODBネットワークは、ODBピアリングを使用してAmazon VPCに接続し、AWSワークロードがデータベースにプライベートにアクセスできるようにします。
Oracle Integrationは、デフォルトでパブリック・エンドポイント経由でターゲットに到達するOracle管理のPaaSサービスです。Oracle Integrationプライベート・エンドポイントには、所有するVCNのPEサブネットにプライベートIPが割り当てられます。次に、OCIのプライベート・データベースの場合と同様に、OCIルーティング、セキュリティ・ルールおよびDNSを構成します。
アーキテクチャ
同じリージョン接続: Oracle AI Database@AWSデプロイメント・アンカーと同じOCIリージョンにOracle Integrationをプロビジョニングします。顧客VCNローカル・ピアリング・ゲートウェイ(LPG)を、ODBネットワーク内のOCI VCN上のLPGとペアにします。
同一リージョン接続性oi-od-aws-oracle.zip#GUID-D564F25E-D790-41C0-B5B1-0FB9E26415A6
- 統合により、Oracle Integrationプライベート・エンドポイントを使用するOracle AI Databaseアダプタ接続が起動されます。
- 顧客VCN PEサブネットにプライベートIPが割り当てられているプライベート・エンドポイントを介したトラフィック・エグレス。
- 顧客VCN LPGは、OCI VCN上のLPGとピアリングされます。パスはOCI内でプライベートのままです。
- 接続は、ポート1521のSCANリスナー、またはクライアント・サブネットのTLS/TCPSのポート1522に到達します。
- SCANリスナーは、Exadata VMクラスタ上のOracle Real Application Clusters (Oracle RAC)ノードにセッションを指示し、停止時間ゼロのメンテナンスによるインスタンスおよびノード・レベルのフェイルオーバーを提供します。
同一リージョンの図には次のものが含まれます。
- アプリケーションVMまたはEC2を含むアプリケーションVPC。ODBピアリングを介してOracle AI Database@AWSを含むODBネットワークに接続されます。
- クライアントおよびバックアップ・サブネットを含むODBネットワーク。クライアント・サブネットには、Oracle Exadata VMクラスタと、TCPポート1521またはTCPSポート1522のSCANリスナーが含まれます。
- PEサブネットにプライベート・エンドポイントがある顧客VCN。プライベート・エンドポイントは、Oracle Services NetworkのOracle Integrationに接続します。
- ODBネットワークLPGと顧客VCN LPGの間の双方向のローカル・ピアリング接続。
- バックアップおよびリカバリ・サービスとしてのAmazon S3およびOracle Database Autonomous Recovery Service。
クロスリージョン接続: Oracle IntegrationインスタンスがOracle AI Database@AWSデプロイメントとは異なるOCIリージョンで実行されている場合、LPGピアリングは1つのOCIリージョンに制限されているため、LPGは接続を提供できません。各リージョンで顧客管理の動的ルーティング・ゲートウェイ(DRG)、DRG間のリモート・ピアリング接続、およびデータベース・ホーム・リージョンのハブVCNを使用します。
cross-region-connectivity-oi-od-aws-oracle.zip#GUID-6ED49975-9B0C-495A-A723-051B0CE9FC26
- Oracle Integrationは、Oracle Integrationリージョンの顧客VCNのプライベート・エンドポイントを介してエグレスします。
- 顧客VCNはDRG-Aにアタッチされています。ルート・ルールは、ODBネットワークCIDRをDRGに送信します。
- DRG-Aは、リモート・ピアリング接続を介してDRG-Bに接続します。リージョン間のトラフィックはプライベートのままです。
- DRG-BはハブVCNにルーティングされます。そのLPGは、ODBネットワークLPGとピアリングされています。
- トラフィックは、同じリージョン・フローの場合と同じSCANリスナーおよびOracle RACクラスタに到達します。
クロスリージョン・ダイアグラムには次のものが含まれます。
- クライアントおよびバックアップ・サブネットを使用して、ODBピアリングを介してOracle AI Database@AWSおよびそのODBネットワークに接続されたアプリケーションVPC。
- ODBネットワークLPGからOCIリージョンBのデータベース・リージョン・ハブVCN内のLPGへの双方向ローカル・ピアリング接続。
- データベース・リージョン・ハブVCN DRGからリモート・ピアリングを介したOCIリージョンAの顧客VCN DRGへの双方向接続。
- PEサブネットにプライベート・エンドポイントがある顧客VCN。プライベート・エンドポイントは、Oracle Services NetworkのOracle Integrationに接続します。
- バックアップおよびリカバリ・サービスとしてのAmazon S3およびOracle Database Autonomous Recovery Service。
これらのアーキテクチャには次のコンポーネントがあります。
- 動的ルーティング・ゲートウェイ(DRG)
The DRG is a virtual router that provides a path for private network traffic between VCNs in the same region, between a VCN and a network outside the region, such as a VCN in another OCI region, an on-premises network, or a network in another cloud provider.
- ローカル・ピアリング
ローカル・ピアリングを使用すると、同じOCIリージョン内の2つのVCNsがプライベートIPアドレスを使用して直接通信できます。この通信は、インターネットやオンプレミス・ネットワークを経由しません。ローカル・ピアリングは、VCNs間の接続ポイントとして機能するローカル・ピアリング・ゲートウェイ(LPG)によって有効になります。各VCNでLPGを構成し、1つのVCN内のインスタンス、ロード・バランサおよびその他のリソースが同じリージョン内の別のVCN内のリソースに安全にアクセスできるように、ピアリング関係を確立します。
- ネットワーク・セキュリティ・グループ(NSG)
NSGは、クラウド・リソースのバーチャル・ファイアウォールとして機能します。ゼロトラスト・セキュリティ・モデルであるOCIでは、VCN内のネットワーク・トラフィックを制御します。NSGは、単一のVCN内の指定された仮想ネットワーク・インタフェース・カード(VNIC)のセットにのみ適用されるイングレスおよびエグレス・セキュリティ・ルールのセットで構成されます。
- Oracle Services Network
Oracle Services Network (OSN)は、Oracleサービス用に予約されているOCI上の概念的なネットワークです。これらのサービスには、インターネットを介してアクセスできるパブリックIPアドレスが含まれます。Oracle Cloud外部のホストは、Oracle Cloud Infrastructure FastConnectまたはVPN接続を使用してOSNにプライベートにアクセスできます。VCNs内のホストは、サービス・ゲートウェイを介してOSNにプライベートにアクセスできます。
- OCIのリージョン
OCIリージョンとは、可用性ドメインをホストする1つ以上のデータ・センターを含む、ローカライズされた地理的領域のことです。リージョンは他のリージョンから独立しており、長距離の場合は複数の国または大陸にまたがる領域を分離できます。
- リモート・ピアリング
リモート・ピアリングを使用すると、同じまたは異なるOCIリージョンに配置できる、異なるVCNs内のリソース間のプライベート通信が可能になります。各VCNは、リモート・ピアリングに独自のDynamic Routing Gateway (DRG)を使用します。DRGは、OCIのプライベート・バックボーンを介してVCNs間でトラフィックを安全にルーティングするため、リソースはインターネットまたはオンプレミス・ネットワークを介してトラフィックをルーティングすることなく、プライベートIPアドレスを使用して通信できます。リモート・ピアリングにより、リージョン間で接続する必要があるインスタンスのインターネット・ゲートウェイまたはパブリックIPアドレスが不要になります。
- セキュリティ・リスト
サブネットごとに、サブネット内およびサブネット外で許可されるトラフィックのソース、宛先およびタイプを指定するセキュリティ・ルールを作成できます。
- Oracle Exadata Database Service
これにより、クラウド内でExadataのパワーを活用できます。Oracle Exadata Database Serviceは、専用の最適化されたOracle Exadataインフラストラクチャ上の実績のあるOracle AI Database機能をパブリック・クラウドで提供します。組み込みのクラウド自動化、柔軟なリソーススケーリング、セキュリティ、およびすべてのOracle AI Databaseワークロードの高速パフォーマンスにより、管理を簡素化し、コストを削減できます。
- Oracle Integration
Oracle Integrationは、クラウドとオンプレミスのアプリケーションを統合し、ビジネス・プロセスを自動化し、ビジュアル・アプリケーションを開発できる、完全に管理された事前構成済の環境です。SFTP準拠のファイル・サーバーを使用してファイルを格納および取得し、何百ものアダプタおよびレシピのポートフォリオを使用してOracleおよびサード・パーティ・アプリケーションに接続することで、ビジネス間取引パートナとドキュメントを交換できます。
- OCI仮想クラウド・ネットワークおよびサブネット
仮想クラウド・ネットワーク(VCN)は、ソフトウェアで定義されたカスタマイズ可能なネットワークであり、OCIリージョン内に設定します。従来のデータ・センター・ネットワークと同様に、VCNsではネットワーク環境を制御できます。VCNには、VCNの作成後に変更できる重複しないクラスレス・ドメイン間ルーティング(CIDR)ブロックを複数含むことができます。VCNをサブネットにセグメント化して、そのスコープをリージョンまたは可用性ドメインに設定できます。各サブネットは、VCN内の他のサブネットと重複しない連続した範囲のアドレスで構成されます。サブネットのサイズは、作成後に変更できます。サブネットはパブリックにもプライベートにもできます。
- Oracle AI Database@AWS
Oracle AI Database@AWSは、Amazon Web Services (AWS)環境でOracle AI Databaseワークロードを実行するOracle Cloud Infrastructure (OCI)上のOracle AI Databaseクラウド・サービスです。
Oracle AI Database@AWSは、Oracle Exadata Database Service、Oracle Autonomous AI Database、Oracle Real Application Clusters (Oracle RAC)、Oracle Data GuardなどのOCIテクノロジをAWSのお客様に提供します。
- Oracle Database Autonomous Recovery Service
Oracle Database Autonomous Recovery Serviceは、データ損失やサイバー脅威からOracle AI Databaseを保護するために設計されたフルマネージド・サービスです。データベース・オーバーヘッドの削減、検証されたバックアップによる信頼性の高いリカバリ、および停止またはランサムウェア攻撃の1秒未満でのリカバリを可能にするリアルタイム保護により、迅速なバックアップを実現します。このサービスは一元化されたデータ保護ダッシュボードを提供し、高い耐障害性を備えたOracle AI Databaseのバックアップに推奨されます。
- Amazon仮想プライベート・クラウドおよびサブネット
Amazon仮想プライベート・クラウド(VPC)を使用すると、定義した仮想ネットワークにAWSリソースを起動できます。この仮想ネットワークは、お客様独自のデータセンターで運用する従来のネットワークに似ており、AWSのスケーラブルなインフラストラクチャを使用する利点があります。VPCを作成した後、サブネットを追加できます。
サブネットは、Amazon VPC内のIPアドレスの範囲です。Amazon EC2インスタンスなどのAWSリソースを特定のサブネット内に作成できます。
- Amazon Simple Storageサービス
Amazon Simple Storage Service (Amazon S3)は、データを格納するためのスケーラブルでセキュアで耐久性のあるプラットフォームを提供するクラウドベースのオブジェクト・ストレージ・サービスです。Amazon S3は、管理対象バックアップに使用できます。
- ODBネットワーク
ODBネットワークは、指定された可用性ゾーンでOracle AI Database@AWSをホストするプライベート・ネットワークです。ODBネットワークとVPCの間にODBピアリング接続を設定して、Oracleデータベースに接続できます。
レコメンデーション
- 顧客管理VCNおよびプライベート・エンドポイント・サブネット: Oracle Integrationプライベート・エンドポイント用に管理するVCNおよびPEサブネットをプロビジョニングします。エンドポイント用に予約された
/28などの小さなサブネットで十分です。リージョナル・サブネットを使用し、同じロールを持つリソースを同じサブネットに配置して、サブネットがセキュリティ境界として機能できるようにします。 - ルート表およびセキュリティ・ルール: ローカル・ルートに加えて、ODBネットワークCIDRをLPGに送信するように顧客VCNルート表を構成します。ODBネットワーク・クライアント・サブネット・ルート表のPEサブネットCIDRへのリターン・ルートを構成します。広範なセキュリティ・リストを介してOracle Integrationプライベート・エンドポイントおよびデータベースにスコープ指定されたネットワーク・セキュリティ・グループを優先し、データ・パス上の
0.0.0.0/0を回避します。 - TCPSの優先: ポート1522のSCANリスナーにTLSを使用します。これにより、プライベート・パス上でも転送中暗号化が提供されます。
- DNS解決: プライベート・エンドポイントは、顧客のVCN DNSリゾルバを使用します。データベースSCAN FQDNをプライベートDNSビューまたはゾーンを介してプライベートIPアドレスに解決するか、ODBネットワーク・リゾルバに条件付き転送するように、そのリゾルバを構成します。DNSの構成ミスは、プライベート・エンドポイント接続の失敗の最も一般的な原因です。稼働前にDNS解決を検証します。
- 重複しないCIDR: 顧客VCN、ハブVCNおよびODBネットワーク・サブネットのCIDR範囲と重複しないでください。重複する範囲はピアリングできず、再アドレス指定なしでプロビジョニング後に修正できません。Oracle AI Database@AWSの要件に従って、ODBネットワークのクライアントおよびバックアップ・サブネットCIDRのサイズを設定し、CIDR割当てを一元的に管理します。
- 高可用性: 可能な場合は、同じリージョンのLPGピアリングを使用できるように、Oracle IntegrationをデータベースのOCIアンカー・リージョンに配置します。それ以外の場合は、DRGリモート・ピアリングを計画します。リージョンに応じて、可用性ドメインおよびフォルト・ドメインにアプリケーション・リソースを分散します。
- Oracle Integrationアクセスの制限: プライベート・エンドポイントはアウトバウンド・トラフィックのみを保護します。Configure an allowlist so that only the specified IP addresses, CIDR blocks, and VCNs can reach the Oracle Integration instance.
考慮事項
- プライベート・エンドポイント・ライフサイクル: Oracle Integrationプライベート・エンドポイントはインスタンスごとに1つであり、作成後に変更できません。VCNまたはサブネットを変更するには、それを削除して再作成します。
- アダプタのサポート: Oracle AI DatabaseやOracle ATPアダプタなどのプライベート・エンドポイントでサポートされているアダプタを使用して、ターゲットを設計する前にターゲットのサポートを確認します。
- セキュリティ: データベース・ウォレットまたは証明書とのOracle Integration接続を構成します。Exadataデータベースでは、Transparent Data Encryptionが使用されます。Oracleでは、デフォルトでマスター・キーを管理し、OCI Vaultで顧客管理キーとして保持できます。データベース・パスワードおよびその他の接続シークレットについてOCI Vaultを検討し、最小権限のOCI Identity and Access Managementポリシーおよびデータベース・ユーザーを使用します。データベースがZero Trust Packet Routingで保護されている場合、Oracle Integrationインスタンスには必要なZero Trust Packet Routingセキュリティ属性があり、プライベート・エンドポイントを使用する必要があります。
- LPGの制限およびスケール: VCNでは、限られた数のLPGがサポートされます。Oracle Integrationが複数のODBネットワークにわたって多数のデータベースにアクセスする必要がある場合は、ハブVCNを使用します。ここに示す単一ターゲットパターンは影響を受けません。
- 監視とアラート: 接続とスループットを監視します。Oracle AI Database@AWSは、データベースレベルの可観測性のために、Amazon CloudWatchおよびAWS CloudTrailとも統合されています。
- スケーラビリティとコスト: Oracle Integrationメッセージ・パックのサイズを予期される負荷に応じて変更し、需要の変化に応じてサイズを変更します。最低コストで最適なパフォーマンスを提供するリソースをサポートするには、OCI Computeシェイプを選択します。
- 代替構成: ODBネットワーク・サブネットでプライベート・エンドポイントを直接作成すると、ピアリングの必要がなくなります。ODBネットワークとそのサブネットがOracle管理であるため、これがテナンシで許可されていることを確認します。
- バックアップ: サポートされている自動バックアップ先には、Amazon S3およびOracle Database Autonomous Recovery Serviceが含まれます。バックアップ・トラフィックでは、ODBネットワーク・バックアップ・サブネットが使用され、顧客VCNは使用されません。
デプロイ
Oracle IntegrationからOracle AI Database@AWSへのプライベート接続をデプロイするには、次のステップを実行します:
アウトバウンド・コールは、Oracle IntegrationからデータベースのSCANリスナーおよびRACノードにプライベートにフローします。
詳細の参照
- インスタンスのプライベート・エンドポイントの構成- Oracle Integration 3
- Oracle AI Database@AWSの概要
- Oracle AI Database@AWSのネットワーク・トポロジについて学習
- Amazon Web Servicesの専門家向けのOracle Cloud Infrastructure
- Oracle AI Database@AWS向けのODBネットワーク設計
- Oracle AI Database@AWSの仕組み
- Oracle AI Database@AWSの導入
- Oracle AI Database@AWSのネットワーキングの基礎
- ローカル・ピアリング・ゲートウェイを使用したローカルVCNピアリング
- アップグレード済DRGを介したリモートVCNピアリング