Oracle Secure Global Desktopの設定
Oracle Secure Global Desktop (SGD)は、Microsoft Windows、Linux、Solaris、およびメインフレームサーバー上で実行されるクラウドホスト型のエンタープライズアプリケーションおよびデスクトップ向けのセキュアなリモートアクセスソリューションです。
SGDとSSHまたはVPNの違いは、クライアントがネットワークに接続しないことと、SGDの管理者がコピー&ペースト、印刷、デバイスアクセスなどのクライアント機能を含むすべてのアクセスを制御することです。
セキュアなWebブラウザ接続を介してサービスと対話し、制御された環境で実行されているアプリケーションを起動、一時停止および再開できます。データはデータ・センターまたはクラウドから離れません。失われたクライアントデバイスには機密情報は含まれません。SGDは単一のアクセスポイントを提供し、管理者はいつでもユーザーを承認解除してアクティブなセッションを終了できます。
アーキテクチャ
このアーキテクチャーは、ロードバランサとアプリケーションサーバーの間の独自のプライベートサブネット内のSecure Global Desktopゲートウェイおよびサーバーを示します。インターネットに公開されるポートは、ロード・バランサを介して443 (HTTPS)のみです。
アプリケーションを起動すると、Secure Global Desktop (SGD)はネイティブのリモートデスクトッププロトコル(RDP)またはX11トラフィックをAIP (Adaptive Internet Protocol)と呼ばれる独自のプロトコルに変換し、視覚的な表示をクライアントに返します。
次の図は、この参照アーキテクチャを示しています。
図architecture-secure-global-desktop.pngの説明
アーキテクチャには次のコンポーネントがあります。
- リージョン
Oracle Cloud Infrastructureリージョンは、可用性ドメインと呼ばれる1つ以上のデータ・センターを含む、ローカライズされた地理的領域です。地域は他の地域から独立しており、広く離れた距離(国間または大陸間)にすることができます。
- 可用性ドメイン
可用性ドメインは、リージョン内のスタンドアロンの独立したデータ・センターです。各可用性ドメインの物理リソースは、フォルト・トレランスを提供する他の可用性ドメインのリソースから分離されます。可用性ドメインは、電源や冷却などのインフラストラクチャや内部可用性ドメイン・ネットワークを共有しません。したがって、ある可用性ドメインで障害が発生しても、リージョン内の他の可用性ドメインに影響する可能性はほとんどありません。
- フォルト・ドメイン
フォルト・ドメインは、可用性ドメイン内のハードウェアおよびインフラストラクチャのグループです。各可用性ドメインには、独立した電源とハードウェアを備えた3つのフォルト・ドメインがあります。コンピュート・インスタンスを複数のフォルト・ドメインに配置すると、アプリケーションは物理サーバー障害、システム・メンテナンス、および可用性ドメイン内の多くの一般的なネットワーキングや電源障害を許容できます。
- 仮想クラウド・ネットワーク(VCN)およびサブネット
VCNは、Oracle Cloud Infrastructureリージョンで設定するソフトウェア定義ネットワークです。VCNは、リージョンまたは可用性ドメインに固有のサブネットにセグメント化できます。リージョン固有のサブネットと可用性ドメイン固有のサブネットの両方を同じVCNに共存させることができます。サブネットはパブリックまたはプライベートにできます。
- セキュリティ・リスト
サブネットごとに、サブネット内外で許可する必要があるトラフィックのソース、宛先およびタイプを指定するセキュリティ・ルールを作成できます。
- ルート表
仮想ルート表には、通常はゲートウェイを介して、サブネットからVCN外部の宛先にトラフィックをルーティングするルールが含まれます。
- クライアントデバイス
Windows PC、Macs、Linux PC、およびApple iPadやAndroidベースのデバイスなどのタブレットなど、広く普及しているクライアントデバイス。また、最新のWebブラウザを備えたすべてのシステムでHTML5クライアントを使用できます。
- ロード・バランサ
Oracle Cloud Infrastructure Load Balancingサービスは、あるエントリポイントからVCN内で到達可能な複数のSGDゲートウェイへの自動トラフィック分散を提供します。ロード・バランサからSGDゲートウェイへの接続は、HTTPSではなく443のTCPである必要があります。
- 計算サーバーとアプリケーション・サーバー
アプリケーション・サーバーは、SGDがセキュア・アクセスを提供する実際のターゲット・リソースです。SGDサーバーへのRDP、SSHまたはTelnetアクセスを提供する任意のものを指定できます。SGDサーバーのみがアプリケーション・サーバー(物理または仮想エンド・ポイント)と通信する必要があります。SGDは、アプリケーションサーバー上でアプリケーションまたはデスクトップ環境を起動します。
- SGDサーバー
サーバーは、認証および認可を処理して、エンド・ユーザーにHTMLワークスペースを提供します。また、サーバーはRDP、SSH、またはTelnetプロトコルをSGD独自のAIP (Adaptive Internet Protocol)に変換し、SGD Gatewayを介してクライアントにトラフィックを送信します。SGDサーバーは、ユーザーが実行する資格のあるアプリケーションおよびアプリケーションサーバーの承認も処理します。SGDサーバーは、この承認を内部構成データベースに格納します。
単一の構成データベースを共有するアレイに複数のSGDサーバーを構成して、容量を増やし、冗長性を提供できます。クライアント・アクセスを中断することなく、サーバーを動的に追加または削除できます。
- SGDゲートウェイ
ゲートウェイは、サービスを外部に公開する特殊なリバース・プロキシです。また、ルーティングおよびロード・バランシングも提供します。ゲートウェイはステートレスで、アイデンティティまたはアプリケーション構成に関する情報はありません。SGDサーバーと通信する必要があるのは、このコンポーネントのみです。負荷および冗長性のために複数のゲートウェイを構成できます。
推奨事項
実際の要件は、ここで説明するアーキテクチャとは異なる場合があります。開始点として次の推奨事項を使用します。
- VCN
VCNを作成するときに、各サブネットのクラウド・リソースに必要なIPアドレスの数を決定します。クラスレス・ドメイン間ルーティング(CIDR)表記を使用して、必要なIPアドレスに十分な大きさのサブネット・マスクおよびネットワーク・アドレス範囲を指定します。標準のプライベートIPアドレス空間内のアドレス範囲を使用します。
オンプレミス・ネットワークと重複しないアドレス範囲を選択して、必要に応じてVCNとオンプレミス・ネットワーク間の接続を設定できるようにします。
VCNを作成した後は、そのアドレス範囲を変更できません。
サブネットを設計する際には、トラフィック・フローとセキュリティ要件を考慮してください。特定の層またはロール内のすべてのリソースを、セキュリティ境界として機能する同じサブネットにアタッチします。
- セキュリティ・リスト
セキュリティ・リストを使用して、各サブネットに適用されるイングレス・ルールおよびエグレス・ルールを定義します。次のポートへのトラフィックが許可されていることを確認します。
SGDゲートウェイとSGDサーバー間のトラフィック用のポート443および5307。
SGDサーバーとほかのSGDサーバー間のトラフィック用のポート443および5427。
SGDサーバーと計算サーバーまたはアプリケーションサーバー間のトラフィック用のポート22および3389。
- SGDサイズ設定
一般的に、画面サイズが1920x1200および32ビットの単一のWindowsまたはX11アプリケーションでは、SGDサーバーで1500 MB前後、SGDゲートウェイで80 MB前後のメモリーが使用されます。これらの値は、ユーザーの数および同時アプリケーションの数によって増加します。
注意事項
- パフォーマンス
SGDサーバーは、可用性ドメインやリージョンなど、アクセスする必要があるアプリケーション・サーバーにできるだけ近い場所に配置する必要があります。
- NETNET
すべてのゲートウェイがすべてのSGDサーバーと通信できる必要があり、すべてのSGDサーバーがアレイ内のほかのすべてのSGDサーバーと通信できる必要があります。同じドメインまたはリージョン内のSGDサーバーのみが、同じドメインまたはリージョン内のアプリケーション・サーバーと通信できる必要があります。この操作モードでは、SGDサーバーに、アプリケーションサーバーの場所と一致するSGD内の場所が割り当てられます。SGDインフラストラクチャがターゲット・アプリケーション・サーバーと同じコンパートメントにデプロイされている場合は、実行する内容に応じて、単一のリージョナル・サブネットで十分です。SGDを使用して、コンパートメントおよびリージョン全体に分散されたリソースへのアクセスを安全かつ簡単に制御する場合は、複数のサブネットを構成する必要があります。このレベルでは、SGDはほかのネットワーク接続された製品と同様に動作します。SGDインフラストラクチャーとSGDサーバーおよびターゲットアプリケーションサーバーの間で必要なポートが開いている必要があります。
- セキュリティ
リソースはパブリックIPアドレスを必要とせず、SGDを介してのみアクセスできます。
- 可用性
可用性を高めるには、複数のSGDゲートウェイおよびSGDサーバーをお薦めします。
- コスト
SGDには、名前付きユーザーとライセンスがあります。SGDがデプロイされる回数や場所に関係なく、すべてのエンド・ユーザーにライセンスが必要です。同じライセンス・ユーザーが、Oracle Cloud InfrastructureおよびオンプレミスにインストールされているSGDにアクセスできます。
デプロイ
SGDから始める最も簡単な方法は、Oracle Cloud Marketplaceイメージを使用することです。
Oracle Cloud Marketplaceイメージには、同じコンピュート・インスタンス上に同じ場所に配置された設定として構成されたSGDゲートウェイおよびSGDサーバーがあります。ゲートウェイとサーバー・コンポーネントを同じインスタンスに配置すると、SGDアレイを形成できません。ただし、Marketplaceイメージを再構成してゲートウェイまたはサーバー・コンポーネントをインストールしたままにして、アレイの構成に進むことができます。
- Oracle Cloud Marketplaceに移動します。
- 「Get App」をクリックします。
- 画面に表示されるプロンプトに従います。