Implantar uma Solução de Recuperação de Desastres para um Gateway de API do Oracle Cloud Infrastructure
O Oracle Cloud Infrastructure API Gateway está disponível em uma região do OCI regida por acordos de nível de serviço (SLAs). Essa arquitetura de referência detalha a arquitetura subjacente à implementação de uma solução de recuperação de desastres gerenciada pelo cliente entre regiões para o OCI API Gateway.
- Topologias "ativo-passivas", em que apenas um gateway processa toda a carga, mesmo que ambos os gateways estejam ativos e em execução. Um gateway ativo é determinado não por seu estado (Ativo/Excluído/Atualizando), mas pelo gateway para o qual o tráfego é direcionado e está ativado para executar todas as funções.
- Replicação gerenciada pelo cliente de categorias do OCI API Gateway; por exemplo, implantações de API, planos de uso e assinantes de API.
Antes de Começar
- Provisione um segundo Gateway de API do OCI em outra região do OCI.
- Obtenha um nome de DNS/host personalizado (em um domínio de sua escolha) e um certificado SSL associado.
Arquitetura
Essa arquitetura de referência para o OCI API Gateway consiste em dois OCI API Gateways em duas regiões de nuvem diferentes, que são acessadas usando um único ponto final personalizado (URL). Para implementar um único ponto final personalizado, você pode usar uma zona DNS (Domain Name System) do OCI para resolver o nome do ponto final personalizado.
Você pode usar esses URLs personalizados como ponto de entrada para os Gateway de API do OCI; por exemplo, api.mycompany.com. Para obter mais informações sobre como configurar pontos finais personalizados, consulte "Gerenciando Zonas de Serviço de DNS", que você pode acessar em "Explorar Mais", abaixo.
Os dois Gateway de API do OCI na arquitetura são designados como principal e secundário, e ambos os gateways são executados simultaneamente; no entanto, apenas um dos gateways recebe tráfego. Inicialmente, o gateway principal recebe o fluxo de tráfego. Se a região principal ficar indisponível, o registro de DNS poderá ser atualizado para rotear o tráfego para a região secundária.
O diagrama a seguir ilustra essa arquitetura de referência para um gateway público (padrão de zona de destino para o OCI API Gateway):
Descrição da ilustração apigw-oci-customer-managed-dr-topology.png
apigw-oci-customer-managed-dr-topology-oracle.zip
- Tenancy
Uma tenancy é uma partição segura e isolada que a Oracle configura no Oracle Cloud quando você se inscreve no Oracle Cloud Infrastructure. Você pode criar, organizar e administrar seus recursos no Oracle Cloud em sua tenancy. Uma tenancy é sinônimo de uma empresa ou organização. Normalmente, uma empresa terá uma única locação e refletirá sua estrutura organizacional dentro dessa locação. Uma única tenancy geralmente é associada a uma única assinatura, e uma única assinatura geralmente só tem uma tenancy.
- Região
Região do Oracle Cloud Infrastructure é uma área geográfica localizada que contém um ou mais data centers, denominada domínios de disponibilidade. As regiões são independentes de outras regiões, e grandes distâncias podem separá-las (entre países ou até mesmo continentes).
- Compartimento
Os compartimentos são partições lógicas entre regiões em uma tenancy do Oracle Cloud Infrastructure. Use compartimentos para organizar, controlar o acesso e definir cotas de uso para seus recursos do Oracle Cloud. Em um determinado compartimento, você define políticas que controlam o acesso e definem privilégios para recursos.
- Domínio de disponibilidade
Domínios de disponibilidade são data centers stand-alone e independentes dentro de uma região. Os recursos físicos de cada domínio de disponibilidade são isolados dos recursos de outros domínios de disponibilidade, o que oferece tolerância a falhas. Os domínios de disponibilidade não compartilham infraestrutura como energia ou refrigeração ou a rede interna do domínio de disponibilidade. Portanto, uma falha em um domínio de disponibilidade não deve afetar os outros domínios de disponibilidade na região.
- Rede virtual na nuvem (VCN) e sub-rede
Uma VCN é uma rede personalizável definida por software que você configura em uma região do Oracle Cloud Infrastructure. Como as redes tradicionais de data center, as VCNs oferecem controle sobre seu ambiente de rede. Uma VCN pode ter vários blocos CIDR não sobrepostos que você pode alterar após a criação da VCN. Você pode segmentar uma VCN em sub-redes, com escopo definido para uma região ou para um domínio de disponibilidade. Cada sub-rede consiste em um intervalo contíguo de endereços que não se sobrepõem a outras sub-redes da VCN. Você pode alterar o tamanho de uma sub-rede após a criação. Uma sub-rede pode ser pública ou privada.
- Tabela de roteamento
As tabelas de roteamento virtual contêm regras para rotear o tráfego de sub-redes para destinos fora de uma VCN, geralmente por meio de gateways.
- Lista de segurança
Para cada sub-rede, você pode criar regras de segurança que especifiquem a origem, o destino e o tipo de tráfego que deve ser permitido dentro e fora da sub-rede.
- Serviço Oracle Cloud Infrastructure DNS
As zonas de DNS públicas contêm os registros de DNS confiáveis que residem nos servidores de nomes do OCI. Você pode criar zonas públicas com nomes de domínio disponíveis publicamente acessíveis na internet. Para obter mais informações, consulte "Visão Geral do DNS", que você pode acessar em "Explorar Mais", abaixo.
- Gateway de internet
O gateway de internet permite o tráfego entre as sub-redes públicas em uma VCN e a internet pública.
- Oracle Cloud Infrastructure Web Application Firewall (WAF)
Os WAFs protegem os aplicativos contra tráfego malicioso e indesejado na internet com um serviço de firewall de aplicativo web global baseado em nuvem e compatível com PCI. Combinando inteligência contra ameaças com aplicação consistente de regras no OCI Flexible Network Load Balancer, o Oracle Cloud Infrastructure Web Application Firewall fortalece as defesas e protege servidores de aplicativos voltados para a internet e aplicativos internos. (Este componente é opcional)
- Flexible Load Balancer
Um balanceador de carga melhora a utilização de recursos direcionando solicitações entre serviços de aplicativos que operam em paralelo. À medida que a demanda aumenta, o número de serviços de aplicativo pode ser aumentado, e o balanceador de carga os usará para equilibrar o processamento de solicitações. (Este componente é opcional)
- Serviço Bastion
O Oracle Cloud Infrastructure Bastion fornece acesso seguro restrito e limitado por tempo a recursos que não têm pontos finais públicos e que exigem controles rígidos de acesso a recursos, como bare metal e máquinas virtuais, Oracle MySQL Database Service, Autonomous Transaction Processing (ATP), Oracle Cloud Infrastructure Kubernetes Engine (OKE) e qualquer outro recurso que permita acesso ao Secure Shell Protocol (SSH). Com o serviço OCI Bastion, você pode permitir o acesso a hosts privados sem implantar e manter um jump host. Além disso, você ganha uma postura de segurança aprimorada com permissões baseadas em identidade e uma sessão SSH centralizada, auditada e limitada por tempo. O OCI Bastion elimina a necessidade de um IP público para acesso ao bastion, eliminando o aborrecimento e a potencial superfície de ataque ao fornecer acesso remoto.
- Gateway de API
O Oracle Cloud Infrastructure API Gateway permite publicar APIs com pontos finais privados acessíveis de dentro da sua rede e que você pode expor à internet pública, se necessário. Os pontos finais suportam validação de API, transformação de solicitação e resposta, CORS, autenticação e autorização e limitação de solicitação.
- Analytics
O Oracle Analytics Cloud é um serviço de nuvem pública escalável e seguro que capacita os analistas de negócios com recursos modernos de análise de autoatendimento com tecnologia de IA para preparação de dados, visualização, relatórios corporativos, análise aumentada e processamento e geração de linguagem natural. Com o Oracle Analytics Cloud, você também obtém recursos flexíveis de gerenciamento de serviços, incluindo configuração rápida, dimensionamento e aplicação de patches fáceis e gerenciamento automatizado do ciclo de vida.
- Serviço IAM (Identity and Access Management)
O Oracle Cloud Infrastructure Identity and Access Management (IAM) é o plano de controle de acesso do Oracle Cloud Infrastructure (OCI) e do Oracle Cloud Applications. A API do IAM e a interface do usuário permitem gerenciar domínios de identidades e os recursos dentro do domínio de identidades. Cada domínio de identidades do OCI IAM representa uma solução de gerenciamento de identidade e acesso independente ou uma população de usuários diferente.
- Domínio de Identidades (IDom)
O serviço IAM usa Domínios de Identidade (IDom) para fornecer recursos de gerenciamento de identidade e acesso, como autenticação, sign-on único (SSO) e gerenciamento do ciclo de vida de identidade do Oracle Cloud, bem como para aplicativos Oracle e não da Oracle, seja SaaS, hospedado na nuvem ou local.
- Política
Uma política do Oracle Cloud Infrastructure Identity and Access Management especifica quem pode acessar quais recursos e como. O acesso é concedido no nível de grupo e compartimento. Isso significa que você pode gravar uma política que dá a um grupo um tipo específico de acesso em um compartimento específico ou à tenancy.
- Auditoria
O serviço Oracle Cloud Infrastructure Audit registra automaticamente as chamadas para todos os pontos finais suportados da API (application programming interface) pública do Oracle Cloud Infrastructure como eventos de log. Todos os serviços do OCI suportam registro em log pelo Oracle Cloud Infrastructure Audit.
- LoggingO registro em log é um serviço altamente escalável e totalmente gerenciado que oferece acesso aos seguintes tipos de logs de seus recursos na nuvem:
- Logs de auditoria: Logs relacionados a eventos emitidos pelo serviço Audit.
- Logs de serviço: Logs emitidos por serviços individuais, como API Gateway, Events, Functions, Load Balancing, Object Storage e logs de fluxo da VCN.
- Logs personalizados: Logs que contêm informações de diagnóstico de aplicativos personalizados, outros provedores de nuvem ou um ambiente on-premises.
- Análise de log
O Logging Analytics é um serviço de nuvem baseado em aprendizado de máquina que monitora, agrega, indexa e analisa todos os dados de log de ambientes on-premises e multicloud. Permitir que os usuários pesquisem, explorem e correlacionem esses dados para solucionar problemas e resolvê-los mais rapidamente e obter insights para tomar melhores decisões operacionais.
Recomendações
- VCN
Ao criar uma VCN, determine o número de blocos CIDR necessários e o tamanho de cada bloco com base no número de recursos que você planeja anexar a sub-redes na VCN. Use blocos CIDR que estejam dentro do espaço de endereço IP privado padrão.
Selecione blocos CIDR que não se sobreponham a nenhuma outra rede (no Oracle Cloud Infrastructure, em seu data center local ou em outro provedor de nuvem) para a qual você pretende configurar conexões privadas.
Depois de criar uma VCN, você poderá alterar, adicionar e remover seus blocos CIDR.
Ao projetar as sub-redes, considere seus requisitos de fluxo de tráfego e segurança. Anexe todos os recursos dentro de uma camada ou atribuição específica à mesma sub-rede, que pode servir como um limite de segurança.
Usar sub-redes regionais.
- Conectividade (Gateway de API Privada)
Ao implantar recursos no OCI, você pode começar pequeno, com uma única conexão com sua rede local. Essa conexão única pode ser por meio do OCI FastConnect ou por meio da IPSec VPN. Para planejar a redundância, considere todos os componentes (dispositivos de hardware, instalações, circuitos e energia) entre sua rede local e a OCI. Considere também a diversidade para garantir que as instalações não sejam compartilhadas entre os caminhos.
Considerações
Ao implantar uma solução de recuperação de desastres para um Gateway de API do OCI, considere esses fatores.
- Usar uma Zona de Gerenciamento de DNS do OCI
Configure registros de DNS para seus Gateway de API do OCI. Você pode usar uma zona de DNS do OCI para gerenciar registros de DNS e fornecer resolução de nome de host para seus Gateway de API do OCIs.
Depois de adquirir um domínio (ou um subdomínio) para seus gateways de API, adicione uma zona de DNS do OCI por meio da Console do OCI ou da API. Para obter detalhes sobre como criar uma zona de DNS do OCI e adicionar um registro a ela, consulte "Gerenciando Zonas de Serviço de DNS", que você pode acessar em "Explorar Mais", abaixo.- Na zona, adicione o nome de host personalizado do OCI API Gateway como um registro CNAME.
- Depois de publicar com sucesso as alterações de zona, atualize seu domínio para usar os servidores de nomes de DNS do OCI.
- Segurança
Use as políticas do OCI Identity and Access Management (IAM) para controlar quem pode acessar seus recursos de nuvem e quais operações podem ser executadas. Os serviços de nuvem do OCI usam políticas do IAM, como permitir que o Gateway de API do OCI chame funções. O OCI API Gateway também pode controlar o acesso usando autenticação e autorização OAuth. O IAM permite autenticação e autorização que podem ser federadas via IAM. Como resultado, o OCI API Gateway tem o poder de autenticação em uma ampla variedade de serviços e configurações de autenticação.
- Desempenho e custo
O OCI API Gateway suporta o armazenamento em cache de resposta por meio da integração com um servidor de cache externo (como um servidor Redis ou KeyDB), que ajuda a evitar carga desnecessária em serviços de back-end. Quando as respostas são armazenadas em cache, se forem recebidas solicitações semelhantes, elas podem ser concluídas recuperando dados de um cache de resposta em vez de enviar a solicitação ao serviço de backend. Isso reduz a carga nos serviços de back-end e, assim, ajuda a melhorar o desempenho e reduzir custos. O OCI API Gateway também armazena em cache tokens de autorização (com base em seu tempo para sair do TTL), reduzindo a carga no Provedor de Identidades e melhorando o desempenho.
- Disponibilidade
Considere o uso de uma opção de alta disponibilidade com base em seus requisitos de implantação e sua região. As opções incluem distribuir recursos entre vários domínios de disponibilidade em uma região e distribuir recursos entre os domínios de falha dentro de um domínio de disponibilidade.
- Monitoramento e alertas
Configure monitoramento e alertas nas métricas do Gateway de API.
Implante
Você pode implantar essa arquitetura de referência no Oracle Cloud Infrastructure executando as etapas a seguir:
O código oci_apigateway_api do Terraform está disponível em GitHub. Veja "Explore mais", abaixo, para um link.
Explorar Mais
Saiba mais sobre como implantar uma solução de recuperação de desastres para um Gateway de API do OCI.
Revise estes recursos adicionais: