Provisione Conectividade Privada do Oracle Integration para o Oracle AI Database@AWS

O Oracle Integration pode estabelecer conexão privada com uma implantação do Oracle AI Database@AWS usando um ponto final privado do Oracle Integration combinado com o pareamento de rede virtual na nuvem (VCN) do Oracle Cloud Infrastructure.

Nenhum tráfego atravessa a internet pública, uma VPN do cliente ou uma conectividade multicloud gerenciada pelo cliente. Todo o caminho permanece dentro das redes gerenciadas de forma privada da Oracle e da AWS.

Embora o banco de dados seja executado fisicamente na infraestrutura do Exadata operada pela Oracle em um data center da Amazon Web Services, um site filho do OCI, ele aparece em sua tenancy do OCI como um recurso nativo do OCI. Uma VCN gerenciada pela Oracle é ancorada na região pareada do OCI, o site pai. A conexão do Oracle Integration com o banco de dados é um padrão de rede intraOCI padrão.

Quando você provisiona o Oracle AI Database@AWS, a Oracle cria e gerencia uma rede do ODB dedicada ancorada na região do OCI pareada. O cliente de cluster de VMs do Exadata e as sub-redes de backup estão na VCN do OCI, e os listeners SCAN de banco de dados expõem endereços IP privados nele. No lado do AWS, a VCN do OCI é representada como a rede do ODB. A rede do ODB usa o pareamento do ODB e se conecta ao Amazon VPC e permite que cargas de trabalho do AWS acessem o banco de dados de forma privada.

O Oracle Integration é um serviço PaaS gerenciado pela Oracle que atinge alvos em pontos finais públicos por padrão. Um ponto final privado do Oracle Integration recebe um IP privado na sub-rede PE de uma VCN que você possui. Em seguida, você configura o roteamento do OCI, as regras de segurança e o DNS como faria para qualquer banco de dados privado no OCI.

Arquitetura

Essa arquitetura de referência fornece padrões de conectividade privada da mesma região e entre regiões.

Conectividade de mesma região: Provisione o Oracle Integration na mesma região do OCI à qual a implantação do Oracle AI Database@AWS se ancora. Emparelhe o LPG (local peering gateway) da VCN do cliente com o LPG na VCN do OCI na rede do ODB.

Descrição da ilustração Same-Region-connectivity-oi-od-aws.png

mesma região-conectividade-oi-od-aws-oracle.zip#GUID-D564F25E-D790-41C0-B5B1-0FB9E26415A6

Uma integração chama uma conexão do adaptador do Oracle AI Database que usa o ponto final privado do Oracle Integration.
Saídas de tráfego por meio do ponto final privado, que recebe um IP privado na sub-rede PE da VCN do cliente.
O LPG da VCN do cliente é pareado com o LPG na VCN do OCI. O caminho permanece privado no OCI.
A conexão atinge o listener SCAN na porta 1521, ou porta 1522 para TLS/TCPS, na sub-rede do cliente.
O listener SCAN direciona a sessão para um nó do Oracle Real Application Clusters (Oracle RAC) no cluster de VMs do Exadata, fornecendo failover no nível da instância e do nó com manutenção sem tempo de inatividade.

O diagrama de mesma região inclui:

Uma VPC de Aplicativo com VMs de Aplicativo ou EC2, conectada por meio do Pareamento de ODB à rede do ODB que contém o Oracle AI Database@AWS.
Uma rede do ODB com sub-redes cliente e de backup. A sub-rede do cliente contém o Cluster de VMs do Oracle Exadata e seu listener SCAN para a porta TCP 1521 ou porta TCPS 1522.
Uma VCN do Cliente com um Ponto Final Privado em uma sub-rede PE. O Ponto Final Privado se conecta ao Oracle Integration no Oracle Services Network.
Uma conexão de pareamento local bidirecional entre o LPG da rede ODB e o LPG da VCN do Cliente.
Amazon S3 e Oracle Database Autonomous Recovery Service como serviços de backup e recuperação.

Conectividade entre regiões: Se a instância do Oracle Integration for executada em uma região do OCI diferente da implantação do Oracle AI Database@AWS, os LPGs não poderão fornecer a conexão porque o pareamento de LPG é limitado a uma região do OCI. Use um gateway de roteamento dinâmico (DRG) gerenciado pelo cliente em cada região, uma conexão de pareamento remoto entre os DRGs e uma VCN hub na região home do banco de dados.

Descrição da ilustração Cross-Region-connectivity-oi-od-aws.png

entre regiões-conectividade-oi-od-aws-oracle.zip#GUID-6ED49975-9B0C-495A-A723-051B0CE9FC26

O Oracle Integration sai por meio de seu ponto final privado na VCN do cliente na região do Oracle Integration.
A VCN do cliente é anexada ao DRG-A. Uma regra de roteamento envia o CIDR da rede do ODB para o DRG.
O DRG-A se conecta ao DRG-B por meio de uma conexão de pareamento remoto. O tráfego entre regiões permanece privado.
O DRG-B é roteado para a VCN hub. Seu LPG é pareado com o LPG de rede ODB.
O tráfego atinge o listener SCAN e o cluster do Oracle RAC como no fluxo da mesma região.

O diagrama entre regiões inclui:

Uma VPC de Aplicativo conectada por meio do Pareamento ODB ao Oracle AI Database@AWS e sua rede ODB com sub-redes cliente e de backup.
Uma conexão de pareamento local bidirecional do LPG de rede do ODB para um LPG na VCN do Database Region Hub na Região B do OCI.
Uma conexão bidirecional do DRG da VCN do Hub da Região do Banco de Dados com o DRG da VCN do Cliente na Região A do OCI por meio de pareamento remoto.
Uma VCN do Cliente com um Ponto Final Privado em uma sub-rede PE. O Ponto Final Privado se conecta ao Oracle Integration no Oracle Services Network.
Amazon S3 e Oracle Database Autonomous Recovery Service como serviços de backup e recuperação.

Essas arquiteturas têm os seguintes componentes:

Gateway de roteamento dinâmico (DRG)
O DRG é um roteador virtual que fornece um caminho para tráfego de rede privada entre VCNs na mesma região, entre uma VCN e uma rede fora da região, como uma VCN em outra região do OCI, uma rede on-premises ou uma rede em outro provedor de nuvem.
Pareamento local
O pareamento local permite que duas VCNs dentro da mesma região da OCI se comuniquem diretamente usando endereços IP privados. Essa comunicação não atravessa a internet nem a sua rede local. O pareamento local é ativado por um LPG (Local Peering Gateway), que serve como ponto de conexão entre VCNs. Configure um LPG em cada VCN e estabeleça um relacionamento de pareamento para permitir que instâncias, balanceadores de carga e outros recursos em uma VCN acessem com segurança recursos em outra VCN dentro da mesma região.
Grupo de segurança de rede (NSG)
Os NSGs atuam como firewalls virtuais para seus recursos de nuvem. Com o modelo de segurança de confiança zero da OCI, você controla o tráfego de rede dentro de uma VCN. Um NSG consiste em um conjunto de normas de segurança de entrada e saída que se aplicam apenas a um conjunto especificado de VNICs (placas de interface de rede virtual) em uma única VCN.
Oracle Services Network
O Oracle Services Network (OSN) é uma rede conceitual no OCI reservada para serviços Oracle. Esses serviços têm endereços IP públicos que você pode acessar pela Internet. Os hosts fora do Oracle Cloud podem acessar o OSN de forma privada usando o Oracle Cloud Infrastructure FastConnect ou o VPN Connect. Os hosts em suas VCNs podem acessar o OSN de forma privada por meio de um gateway de serviço.
Região da OCI
Uma região do OCI é uma área geográfica localizado que contém um ou mais data centers, hospedando domínios de disponibilidade. Regiões são independentes de outras regiões, e grandes distâncias podem separá-las (em países ou mesmo continentes).
Pareamento remoto
O pareamento remoto permite comunicação privada entre recursos em diferentes VCNs, que podem estar localizadas nas mesmas regiões da OCI ou em regiões diferentes. Cada VCN usa seu próprio DRG (Dynamic Routing Gateway) para pareamento remoto. Os DRGs roteiam com segurança o tráfego entre as VCNs pelo backbone privado da OCI, permitindo que os recursos se comuniquem usando endereços IP privados sem rotear o tráfego pela internet ou por meio de redes on-premises. O pareamento remoto elimina a necessidade de gateways de internet ou endereços IP públicos para instâncias que precisam se conectar entre regiões.
Lista de segurança
Para cada sub-rede, você pode criar regras de segurança que especifiquem a origem, o destino e o tipo de tráfego permitido dentro e fora da sub-rede.
Oracle Exadata Database Service
permite que você aproveite a energia do Exadata na nuvem. O Oracle Exadata Database Service oferece recursos comprovados do Oracle AI Database em infraestrutura otimizada e desenvolvida especificamente para o Oracle Exadata na nuvem pública. A automação integrada da nuvem, o dimensionamento elástico de recursos, a segurança e o desempenho rápido para todas as cargas de trabalho do Oracle AI Database ajudam a simplificar o gerenciamento e reduzir custos.
Oracle Integration
O Oracle Integration é um ambiente pré-configurado totalmente gerenciado que permite integrar aplicativos na nuvem e on-premises, automatizar processos de negócios e desenvolver aplicativos visuais. Ele usa um servidor de arquivos compatível com SFTP para armazenar e recuperar arquivos e permite que você troque documentos com parceiros comerciais business-to-business usando um portfólio de centenas de adaptadores e receitas para se conectar com aplicativos Oracle e de terceiros.
Rede e sub-rede virtual na nuvem da OCI
VCN (rede virtual na nuvem) é uma rede personalizável definida por software que você configura em uma região do OCI. Assim como as redes tradicionais do data center, as VCNs dão a você controle sobre seu ambiente de rede. Uma VCN pode ter vários blocos de CIDR (Classless Inter-domain Routing) não sobrepostos que você pode alterar após criar a VCN. Você pode segmentar uma VCN em sub-redes, com escopo definido para uma região ou para um domínio de disponibilidade. Cada sub-rede consiste em um intervalo contíguo de endereços que não se sobrepõem a outras sub-redes da VCN. Você pode alterar o tamanho de uma sub-rede após a criação. Uma sub-rede pode ser pública ou privada.
Oracle AI Database@AWS
O Oracle AI Database@AWS é um serviço de nuvem do Oracle AI Database na Oracle Cloud Infrastructure (OCI) que executa cargas de trabalho do Oracle AI Database em seu ambiente AWS (Amazon Web Services).

O Oracle AI Database@AWS traz tecnologias da OCI, como Oracle Exadata Database Service, Oracle Autonomous AI Database, Oracle Real Application Clusters (Oracle RAC) e Oracle Data Guard para clientes da AWS.
Oracle Database Autonomous Recovery Service
O Oracle Database Autonomous Recovery Service é um serviço totalmente gerenciado projetado para proteger os Oracle AI Databases contra perda de dados e ameaças cibernéticas. Ele oferece backups mais rápidos com redução da sobrecarga do banco de dados, recuperação confiável com backups validados e proteção em tempo real, permitindo a recuperação em menos de um segundo de uma interrupção ou ataque de ransomware. Esse serviço fornece um painel de controle centralizado de proteção de dados e é recomendado para fazer backup dos Oracle AI Databases com alta resiliência.
Nuvem privada virtual da Amazon e sub-rede
A nuvem privada virtual da Amazon (VPC) permite iniciar recursos da AWS em uma rede virtual que você definiu. Essa rede virtual se assemelha a uma rede tradicional que você opera em seu próprio data center, com os benefícios de usar a infraestrutura escalável da AWS. Depois de criar uma VPC, você pode adicionar sub-redes.

Uma sub-rede é um intervalo de endereços IP na sua Amazon VPC. Você pode criar recursos da AWS, como instâncias do Amazon EC2, em sub-redes específicas.
Serviço de armazenamento simples da Amazon
O Amazon Simple Storage Service (Amazon S3) é um serviço de armazenamento de objetos baseado em nuvem que fornece uma plataforma escalável, segura e durável para armazenar dados. O Amazon S3 pode ser usado para backups gerenciados.
Rede ODB
Uma rede do ODB é uma rede privada que hospeda o Oracle AI Database@AWS em uma zona de disponibilidade especificada. Você pode configurar uma conexão de pareamento ODB entre uma rede ODB e uma VPC para estabelecer conexão com seus bancos de dados Oracle.

Recomendações

Use essas recomendações de rede e segurança ao conectar o Oracle Integration de forma privada ao Oracle AI Database@AWS.

VCN gerenciada pelo cliente e sub-rede de ponto privado: Provisione uma VCN e uma sub-rede PE que você gerencie para o ponto final privado do Oracle Integration. Uma pequena sub-rede, como uma /28, reservada para pontos finais é suficiente. Use sub-redes regionais e coloque recursos com a mesma atribuição na mesma sub-rede para que a sub-rede possa servir como um limite de segurança.
Tabelas de roteamento e regras de segurança: Configure a tabela de roteamento da VCN do cliente para enviar o CIDR da rede do ODB ao LPG, além da rota local. Configure uma rota de retorno para o CIDR de sub-rede PE na tabela de roteamento de sub-rede do cliente da rede ODB. Prefira grupos de segurança de rede com escopo ao ponto final privado e ao banco de dados do Oracle Integration em listas de segurança amplas e evite 0.0.0.0/0 no caminho de dados.
Preferir TCPS: Use TLS para o listener SCAN na porta 1522. Isso fornece criptografia em trânsito mesmo em um caminho privado.
Resolução de DNS: O ponto final privado usa o resolvedor de DNS da VCN do cliente. Configure esse resolvedor para resolver o FQDN SCAN do banco de dados para seus endereços IP privados por meio de uma view ou zona DNS privada ou encaminhamento condicional para o resolvedor de rede ODB. A configuração incorreta de DNS é a causa mais comum de uma falha na conexão de ponto final privado. Valide a resolução de DNS antes de entrar em operação.
CIDRs Não Sobrepostos: Não sobreponha as faixas de CIDR das sub-redes VCN, VCN hub e rede ODB do cliente. Intervalos sobrepostos não podem ser pareados e não podem ser corrigidos após o provisionamento sem novo endereçamento. Dimensione os CIDRs de sub-rede de cliente e backup da rede do ODB de acordo com os requisitos do Oracle AI Database@AWS e controle a alocação do CIDR centralmente.
Alta disponibilidade: Coloque o Oracle Integration na região de âncora do OCI do banco de dados quando possível para que você possa usar o pareamento LPG da mesma região. Caso contrário, planeje o pareamento remoto do DRG. Distribua recursos de aplicativos entre domínios de disponibilidade e domínios de falha, conforme apropriado para a região.
Restringir o acesso ao Oracle Integration: Um ponto final privado só protege o tráfego de saída. Configure uma lista de permissões para que somente os endereços IP, blocos CIDR e VCNs especificados possam acessar a instância do Oracle Integration.

Considerações

Considere essas características de serviço, segurança, escala e operacionais ao implantar a conectividade privada.

Ciclo de vida do ponto final privado: Um ponto final privado do Oracle Integration é um por instância e não pode ser modificado após a criação. Para alterar sua VCN ou sub-rede, exclua-a e recrie-a.
Suporte ao adaptador: Use um adaptador suportado por ponto de extremidade privado, como o adaptador Oracle AI Database ou Oracle ATP, e confirme o suporte para o destino antes de projetar em torno dele.
Segurança: Configure a conexão do Oracle Integration com a wallet ou o certificado do banco de dados. Os bancos de dados Exadata usam Criptografia Transparente de Dados. Por padrão, a Oracle gerencia chaves mestras e você pode mantê-las como chaves gerenciadas pelo cliente no OCI Vault. Considere o OCI Vault para senhas de banco de dados e outros segredos de conexão, e use políticas de OCI Identity and Access Management e usuários de banco de dados com menos privilégios. Se o banco de dados for protegido por Roteamento de Pacote de Confiança Zero, a instância do Oracle Integration deverá ter os atributos de segurança necessários de Roteamento de Pacote de Confiança Zero e usar um ponto final privado.
Limites e escala de GLP: Uma VCN suporta um número limitado de LPGs. Se o Oracle Integration tiver que acessar muitos bancos de dados em várias redes do ODB, use uma VCN hub. O padrão de destino único mostrado aqui não é afetado.
Monitoramento e alertas: Monitore a conectividade e o throughput. O Oracle AI Database@AWS também se integra ao Amazon CloudWatch e ao AWS CloudTrail para observabilidade no nível do banco de dados.
Escalabilidade e custo: Dimensione os pacotes de mensagens do Oracle Integration para a carga esperada e redimensione-os conforme a demanda mudar. Selecione as formas do OCI Compute para oferecer suporte a recursos que fornecem desempenho ideal com o menor custo.
Configuração alternativa: A criação do ponto final privado diretamente em uma sub-rede de rede do ODB remove a necessidade de pareamento. Verifique se isso é permitido na tenancy porque a rede do ODB e suas sub-redes são gerenciadas pela Oracle.
Backups: Os destinos de backup automático suportados incluem Amazon S3 e Oracle Database Autonomous Recovery Service. O tráfego de backup usa a sub-rede de backup da rede do ODB e não usa a VCN do cliente.

Implante

Configure a rede privada e um ponto final privado do Oracle Integration para estabelecer conexão com o Oracle AI Database@AWS.

Para implantar a conectividade privada do Oracle Integration com o Oracle AI Database@AWS, conclua estas etapas:

Acesse a Console do OCI com suas credenciais do Oracle Cloud.
Confirme se o banco de dados Oracle AI Database@AWS, provisionado por meio da Console de Gerenciamento da AWS ou do AWS Marketplace, e sua rede do ODB criada automaticamente com sub-redes de cliente e backup estão visíveis na tenancy do OCI.
Provisione a VCN gerenciada pelo cliente e a sub-rede de ponto privado com o grupo de segurança de rede, a tabela de roteamento e a configuração do resolvedor de DNS necessários.
Estabeleça o pareamento necessário.

Conectividade de mesma região: emparelhe o LPG da VCN do cliente com o LPG de mesmo nível da rede ODB.

Atualize as tabelas de roteamento na VCN do cliente e na rede ODB. Adicione uma rota na tabela de roteamento da VCN do cliente que direcione o tráfego destinado ao CIDR da rede ODB por meio do LPG da VCN do cliente. Adicione uma rota de retorno na tabela de roteamento da rede do ODB que direcione o tráfego destinado ao CIDR da VCN do cliente, incluindo a sub-rede de ponto privado do Oracle Integration, por meio do LPG de rede do ODB. Verifique se as regras de roteamento estão ativas antes de configurar o ponto final privado do Oracle Integration.

Conectividade entre regiões: Conecte os DRGs com uma conexão de pareamento remoto e uma ponte para a rede do ODB por meio da VCN hub. Verifique se o status do pareamento é PEERED.

Depois de estabelecer a conexão de pareamento remoto, atualize as tabelas de roteamento no caminho de rede. Adicione regras de roteamento na VCN do cliente, no DRG da VCN do cliente, na VCN hub, no DRG da região do banco de dados e na rede do ODB para que o tráfego destinado ao CIDR da rede do ODB seja roteado por meio dos DRGs, da conexão de pareamento remoto e do LPG. Configure as rotas de retorno correspondentes para direcionar o tráfego destinado à sub-rede de ponto privado do Oracle Integration de volta por meio do LPG, DRGs e da conexão de pareamento remoto com a VCN do cliente.

Verifique se todas as regras de roteamento estão ativas antes de configurar o ponto final privado do Oracle Integration.
Crie o ponto final privado para a instância do Oracle Integration na Console do OCI.

Selecione a VCN do cliente e a sub-rede PE. O OCI provisiona o ponto final privado com um IP privado. Não é possível editar o ponto final privado após a criação.
Valide se o FQDN SCAN do banco de dados é resolvido para seus endereços IP privados por meio do resolvedor de VCN do cliente.
Crie uma conexão do Oracle Integration que use um adaptador suportado por ponto de extremidade privado.

Forneça o FQDN do SCAN, o nome do serviço, a porta 1522 para TLS e as credenciais e a wallet necessárias.
Teste a conexão.

As chamadas de saída fluem de forma privada do Oracle Integration para o listener SCAN do banco de dados e nós RAC.

Explorar Mais

Use esses recursos para saber mais sobre conectividade privada do Oracle Integration para o Oracle AI Database@AWS.

Confirmações

Autores: Dilip Kumar Panchali, Achinthya Gopinath
Colaboradores: Sujit Nair, Antony Reynolds, Sreya Dutta