使用须知

此 30 分钟的教程介绍了规划虚拟云网络以与 PeopleSoft Cloud Manager 一起使用的过程。您可以在安装 Cloud Manager 的过程中或在 Oracle Cloud Infrastructure 控制台中创建虚拟云网络。

背景信息

要在 Oracle Cloud Infrastructure 上创建 Cloud Manager 实例，您需要虚拟云网络 (Virtual Cloud Network，VCN)、公共或专用子网、路由表和安全列表来定义访问规则和限制。此教程包含有关创建 VCN 功能以与 Cloud Manager 一起使用的信息。有关 VCN 的更多详细信息，请参阅 Oracle Cloud Infrastructure 文档。

请注意，如果使用资源管理器安装云管理器堆栈，您可以在资源管理器过程中创建 VCN 和必要的网络资源。在这种情况下，您可以跳过本教程。此过程适用于希望手动设置网络资源的高级用户。

请参阅 Oracle Cloud Infrastructure 文档中的 Networking Overview 。

注意：

在本教程中提到端口的那些地方，它指的是 TCP 端口，除非明确提及为 UDP 端口。

这是安装 PeopleSoft Cloud Manager 系列中的第三个教程。按列出的顺序阅读教程。可选教程提供了用于设置的替代方法。

查看虚拟云网络元素

用于 Cloud Manager 环境的网络组件包括：

VCN —您可以在 Cloud Manager 资源管理器堆栈设置中或在 Oracle Cloud Infrastructure 控制台中创建 VCN。

  • 在资源管理器中安装云管理器堆栈时，您可以选择是创建新 VCN 还是使用现有 VCN。

    如果您创建新的 VCN，安装过程将在与 Cloud Manager 实例相同的区间中创建具有网关、子网和安全规则的 VCN。

  • 在 Oracle Cloud Infrastructure 控制台中，您可以创建包含相关资源的 VCN，从而创建包含默认组件的 VCN，包括公共或专用子网、安全列表、Internet 或 NAT 网关以及路由表。

    请参阅 Oracle Cloud Infrastructure 控制台中的“Create a VCN”教程。

  • 您还可以选择在 Oracle Cloud Infrastructure 控制台中仅创建 VCN，并在以后指定其他资源。
  • 您可以为某些预配和迁移的环境使用单独的 VCN。

    请参阅教程“将定制或专用网络资源与 PeopleSoft Cloud Manager（可选）结合使用”。

  • VCN 对用于云管理器资料档案库的文件存储服务文件系统的要求取决于您用于设置的方法。

    注意：

    由于文件存储服务文件系统由挂载目标的 IP 地址或 DNS 访问，因此本教程有时会引用挂载目标，而不是文件系统。

    有关详细信息，请参阅 PeopleSoft Cloud Manager 资料档案库的教程“使用文件存储服务”。

子网—您可以在 Cloud Manager VCN 中创建公共、专用和区域子网。请参见“定义子网”部分。

  • 公共子网

    您在公共子网中创建的实例具有公共 IP 地址，可以通过 Internet 访问。

  • 专用子网

    当您在专用子网中创建实例时，该实例将没有公共 IP 地址。要为专用子网中的实例提供对 Internet 的出站访问，而不向入站 Internet 连接公开这些实例，您可以设置网络地址转换 (Network Address Translation，NAT) 网关，也可以使用 Web 代理。Oracle 建议使用 NAT 网关，这往往比设置 Web 代理更容易。但是，您也可以选择 Web 代理来满足业务或安全要求。

    在资源管理器中安装 Cloud Manager 堆栈时，可以选择创建公共子网或专用子网。如果选择专用子网，则可以选择在安装过程中创建堡垒实例或“跳转主机”。无法直接从 Internet 访问专用子网的 IP。要访问专用子网中的 CM 实例，可以设置堡垒以启用与 Cloud Manager Web 服务器 (PIA) 的 SSH 隧道连接和套接字安全 (SOCKS) 代理连接。堡垒实例是使用 Oracle Linux 平台映像创建的，将在新的 VCN 中创建。

    有关设置 NAT 网关的信息，请参阅 Oracle Cloud Infrastructure 文档。请参阅教程 "Configure a Web Proxy for Cloud Manager"（为云管理器配置 Web 代理），了解如何在 Cloud Manager 实例上设置必要的环境变量以与 Web 代理一起使用。

  • 区域子网

    区域子网不特定于特定的可用性域。它可以包含区域中的任何可用性域中的资源。Oracle 推荐他们是因为他们更灵活。您可以在 Oracle Cloud Infrastructure 控制台中创建区域子网，Cloud Manager 将能够在这些区域子网上部署 PeopleSoft 环境实例。

此图显示了包含公共、专用和区域子网的简单 VCN。

具有区域子网和专用子网的 VCN
此图的说明 (plan-vcn1-sample_options.png)

安全列表和端口

  • 本教程中的“Plan Subnets（计划子网）”部分介绍了如何设计 VCN 子网以适应组件之间的必要通信，包括云管理器、文件系统的文件存储服务挂载目标、全层、中间层等。
  • “Review Security Lists for Necessary Ports（查看必要端口的安全列表）”部分举例说明了如何为 Cloud Manager 实例设置安全列表，其中组件在不同的子网中分隔。
  • "Review Cloud Manager Ports"（查看云管理器端口）部分列出了云管理器配置使用的端口。
  • 您还可以将网络安全组设置为与预配和迁移的 PeopleSoft 环境一起使用。请参阅教程“将定制或专用网络资源与 PeopleSoft Cloud Manager（可选）结合使用”。

查看 Cloud Manager 部署示例

此图显示了 Cloud Manager 部署样例的网络组件。

Cloud Manager 部署体系结构
此图的说明 (plan-vcn-sample-cloud_manager_deploy_arch.png)
  • 所有实例和 VCN 都安装在可用性域 1 中。
  • Cloud Manager 实例安装在专用子网 B 中，这意味着它无权访问 Internet。
  • 预配的 PeopleSoft 环境在同一专用子网 B 中设置。
  • 预配的 PeopleSoft 环境可包括各种节点，包括数据库 (DB)、PeopleTools 客户机、应用服务器（APP 服务器）、Web 服务器和搜索堆栈。
    搜索堆栈节点可以包括搜索（OpenSearch 或 Elasticsearch）和仪表盘（OpenSearch 仪表盘或 Kibana）。
  • 堡垒或跳转主机安装在公共子网 A 中，并通过 NAT 网关到达 Internet。
  • Cloud Manager 实例或预配的 PeopleSoft 环境必须通过堡垒访问 Internet。
  • Cloud Manager 实例通过挂载目标连接到在文件存储服务上设置的文件系统，该挂载目标与 Cloud Manager 实例位于同一专用子网 B 中。
  • PeopleSoft 应用程序映像 (APP DPK) 和 PeopleTools 修补程序将下载到文件存储服务文件系统，并在 Cloud Manager 资料档案库中提供。

    下载的项还包括可在预配环境（例如 COBOL DPK）时选择的软件，以及错误和 PRP。

  • 您可以通过云管理器快速迁移 (Cloud Manager Lift and Shift Process) 将内部部署环境上载到对象存储。

    在此图中，内部部署环境通过动态路由网关连接到 VCN。

  • 预配环境的数据库可以在数据库服务 (DBaaS) 中托管。
  • 子网具有允许访问各个组件所需的端口的安全列表。

    本教程中的 "Review Cloud Manager Ports"（查看云管理器端口）部分列出了所需的端口。

计划子网

使用子网和安全列表可根据您的安全和通信需求组织环境组件。

您在 VCN 中定义的子网必须考虑 PeopleSoft 环境与 Cloud Manager 组件之间的通信要求。需要注意的是，所有子网都必须允许来自 Cloud Manager 实例的流量。要实现此目的，必须向每个安全列表添加规则，以允许 SSH、WinRM 和文件存储服务从源子网（Cloud Manager 所在的子网）挂载目标端口。

要成功部署 PeopleSoft 环境，您必须根据将在该子网中部署的 PeopleSoft 实例类型定义子网的安全列表。

例如，如果为中间层、数据库层和 PeopleSoft Windows Client 创建单独的子网，则必须为托管中间层实例的子网创建安全列表，以便用户在部署 PeopleSoft 环境时允许使用所有必需的端口。

如果您计划将多个子网用于 PeopleSoft 部署，则这些子网必须允许从一个子网到另一个子网以及从设置了 Cloud Manager 的子网进行通信。为子网创建安全列表，以允许 Cloud Manager 和文件存储服务挂载目标与将部署在其他子网上的实例通信。此外，子网必须能够相互通信。例如，如果使用中间层子网和数据库子网，则必须设置每个子网的安全列表，以便数据库子网除了允许来自 Cloud Manager 子网的流量外，还允许来自中间层子网的流量。

为云管理器创建 VCN 时，您可以从中选择用于创建具有相关资源的 VCN 或仅创建 VCN 的选项。The tutorial Create a Virtual Cloud Network for PeopleSoft Cloud Manager in the Oracle Cloud Infrastructure Console creates a VCN using the option to create related resources.这将创建包含默认组件的 VCN，包括具有开放访问的公共子网、专用子网、Internet 网关、路由表和安全列表。在这种情况下，您必须使用规则更新默认安全列表，以允许所有 Cloud Manager SSH、WinRM 和文件存储服务挂载目标端口将 VCN CIDR 作为源，或者将 Cloud Manager 的子网 CIDR 作为源。

如果您选择仅创建 VCN，则需要分别定义子网。在这种情况下，每个子网将有一个安全列表，您必须更新每个安全列表以允许来自 Cloud Manager 所在子网的流量。

PeopleSoft Cloud Manager 映像包含具有默认端口 8000 (HTTP) 和 8443 (HTTPS) 的 Web 服务器安装。您的安全协议可能要求您使用其他端口值。如果使用其他端口，请在此处配置它们，并在安装 Cloud Manager 堆栈时提供相同的值。

注意。Oracle 强烈建议您在所有部署中使用 HTTPS 协议。按照 PeopleTools System and Server Administration 产品文档中的说明实施安全套接字层 (Secure Sockets Layer，SSL) 加密所需的加密密钥和证书。请参阅 Oracle 帮助中心上的 PeopleSoft PeopleTools 、联机帮助和 PeopleBooks。

下表显示了基于 PeopleSoft 节点类型所需的必需安全规则：

目标 源：Cloud Manager 和文件存储服务装载目标 来源：中层 Source： Database - 源数据库 来源：PeopleSoft Windows 客户端 来源：Full-tier (PUM) 来源：OpenSearch 或 Elasticsearch
Cloud Manager 和文件存储服务装载目标
文件存储服务挂载目标（TCP 端口 111、2048、2049、2050；UDP 端口 111 和 2048）
SSH（端口 22）
文件存储服务挂载目标（TCP 端口 111、2048、2049、2050；UDP 端口 111 和 2048） 文件存储服务挂载目标（TCP 端口 111、2048、2049、2050；UDP 端口 111 和 2048）
文件存储服务挂载目标（TCP 端口 111、2048、2049、2050；UDP 端口 111 和 2048）
PIA HTTP（端口 8000）
PIA HTTPS（端口 8443）

数据库端口 (1521，1522)
 文件存储服务挂载目标（TCP 端口 111、2048、2049、2050；UDP 端口 111 和 2048） 文件存储服务挂载目标（TCP 端口 111、2048、2049、2050；UDP 端口 111 和 2048）
中间层 SSH（端口 22）
Jolt（端口 9033）
PIA HTTP（端口 8443）
NA
PIA HTTP（端口 8000）
PIA HTTPS（端口 8443）
NA
 NA
数据库 SSH（端口 22） 数据库接口 (1521) NA
 数据库端口（1521 和 1522）
NA
 NA
PeopleSoft Windows 客户端
Winrm（端口 5985 和 5986）
CIFS（TCP 端口 139 和 445；UDP 端口 137 和 138）
NA
 NA
 NA
 NA
 NA
全层 (PUM)
 SSH（端口 22）
 NA
 NA
NFS 共享资源（TCP 端口 111、892、2049 和 32803）
PIA HTTP（端口 8000）
PIA HTTPS（端口 8443）

数据库端口 (1521，1522)
 NA
PIA HTTP（端口 8000）
PIA HTTPS（端口 8443）
OpenSearch 或 Elasticsearch SSH（端口 22） OpenSearch 或 Elasticsearch HTTP（端口 9200）
 NA
 NA
 OpenSearch 或 Elasticsearch（端口 9200） NA

查看必要端口的安全列表

以下是为 Cloud Manager 的 VCN 创建的三个子网的示例安全列表。这将假定以下设置：

  • Cloud Manager 实例和文件存储服务装载目标托管在公共子网 evQs 上：US-ASHBURN-AD-1 (10.0.0.0/24)。
  • 中间层组件（应用服务器、进程调度器和 Web 服务器）、Windows Client、全层和搜索堆栈实例托管在公共子网 evQs 上：US-ASHBURN-AD-2 (10.0.1.0/24)。
  • 数据库实例托管在公共子网 evQs 上：US-ASHBURN-AD-3 (10.0.2.0/24)。

下表列出了托管 Cloud Manager 实例和文件系统挂载目标的第一个公共子网的安全列表所需的规则。

源 CIDR IP 协议 源端口范围 目的地端口的范围
10.0.0.0/24 TCP
 全部
 2048-2050（文件存储服务装载目标）
10.0.0.0/24 TCP 全部 111（文件存储服务装载目标）
10.0.0.0/24 UDP 全部 2048（文件存储服务装载目标）
10.0.0.0/24 UDP 全部 111（文件存储服务装载目标）
10.0.1.0/24 TCP 全部 2048-2050（文件存储服务装载目标）
10.0.1.0/24 TCP 全部 111（文件存储服务装载目标）
10.0.1.0/24 UDP 全部 2048（文件存储服务装载目标）
10.0.1.0/24 UDP 全部 111（文件存储服务装载目标）
10.0.2.0/24 TCP 全部 2048-2050（文件存储服务装载目标）
10.0.2.0/24 TCP 全部 111（文件存储服务装载目标）
10.0.2.0/24 UDP 全部 2048（文件存储服务装载目标）
10.0.2.0/24 UDP 全部 111（文件存储服务装载目标）
0.0.0.0/0 TCP 全部 22 (SSH)

下表列出了托管中间层、PeopleSoft Windows 客户端、全层和搜索堆栈（OpenSearch 或 Elasticsearch）的第二个子网的安全列表所需的规则。

源 CIDR IP 协议 源端口范围 目的地端口的范围
10.0.0.0/24 TCP
 全部
 22 (SSH)
10.0.0.0/24 TCP 全部 5985 和 5986 (Winrm)
139 和 445 (CIFS)
10.0.0.0/24 UDP 全部 137 和 138 (CIFS)
10.0.1.0/24 TCP 全部
  • 8000（默认 PIA HTTP 端口）
  • 8443（默认 PIA HTTPS 端口）
  • 9033（默认 Jolt 端口）
  • 3389（RDP 端口）
  • 9200（默认 OpenSearch 或 Elasticsearch 端口）
0.0.0.0/0 TCP 全部 3389 (RDP)

下表列出了托管数据库的第三个子网的安全列表所需的规则。

源 CIDR IP 协议 源端口范围 目的地端口的范围
10.0.0.0/24 TCP
 全部
 22 (SSH)
10.0.0.0/24 TCP 全部 1521（数据库端口）

查看公共负载平衡器的安全列表

您可以在 Oracle Cloud Infrastructure 中创建公共或专用负载平衡器，并将其用于 PeopleSoft Cloud Manager 环境的流量分配。请参阅教程“在 Oracle Cloud Infrastructure 中为 PeopleSoft Cloud Manager 环境创建负载平衡器”（可选）。

此部分包含具有公共负载平衡器的两个子网的示例安全列表。这将假定以下设置：

子网类型 公共或专用 子网名称 CIDR
外部负载平衡器 公共
 A
10.0.10.0/24
中层实例 专用 C 10.0.30.0/24

公共负载平衡器托管在公共子网 A (10.0.10.0/24) 上。它对互联网开放。监听程序使用 SSL 端口 443。

下表列出了公共子网 A 的安全列表所需的规则。

源 CIDR IP 协议 源端口范围 目的地 CIDR 目的地端口的范围
所有
（可从 Internet 访问）		 TCP
 全部
 10.0.10.0/24
（公共负载平衡器的 CIDR、子网 A）		 443 (HTTPS)

中间层组件（PIA、应用程序服务器、进程调度器、搜索堆栈）托管在子网 C (10.0.30.0/24) 上。应用程序服务器域配置有 IB。进程调度器配置有报告节点。

下表列出了托管中间层实例的子网 C 的安全列表所需的规则。此子网应允许从子网 A 中的负载平衡器进行入站。显示的目标端口是默认值。

源 CIDR IP 协议 源端口范围 目的地 CIDR 目的地端口的范围
10.0.10.0/24
（公共负载平衡器的 CIDR、子网 A）
 TCP
 全部
 10.0.30.0/24
（中间层的 CIDR、子网 C）		 8000(PIA HTTP)
5601（OpenSearch 仪表盘或 Kibana）

查看专用负载平衡器的安全列表

此部分包含具有专用负载平衡器的两个子网的示例安全列表。这将假定以下设置：

子网类型 公共或专用 子网名称 CIDR
内部负载平衡器 专用
 B
 10.0.20.0/24
中层实例 专用 C 10.0.30.0/24

专用负载平衡器托管在专用子网 B (10.0.20.0/24) 上。监听程序使用端口 443。它需要接受来自子网 C (10.0.30.0/24) 中层组件的流量。

下表列出了专用子网 B 的安全列表所需的规则。

源 CIDR IP 协议 源端口范围 目的地 CIDR 目的地端口的范围
10.0.30.0/24
（中间层的 CIDR、子网 C）		 TCP
 全部
 10.0.20.0/24
（专用负载平衡器、子网 B 的 CIDR）		 443 (HTTPS)
内部最终用户的 CIDR
（所有内部/内联网用户）		 TCP 全部 10.0.20.0/24
（专用负载平衡器、子网 B 的 CIDR）		 443 (HTTPS)

中间层组件（PIA、App Server、Process Scheduler、ELK/Kibana）托管在子网 C (10.0.30.0/24) 上。应用程序服务器域配置有 IB。进程调度器配置有报告节点。

下表列出了托管中间层实例的子网 C 的安全列表所需的规则。此子网应允许从子网 B 中的负载平衡器进行入站。显示的目标端口是默认值。

源 CIDR IP 协议 源端口范围 目的地 CIDR 目的地端口的范围
10.0.20.0/24
（专用负载平衡器、子网 B 的 CIDR）
 TCP
 全部
 10.0.30.0/24
（中间层的 CIDR、子网 C）		 8000(PIA HTTP)
5601（OpenSearch 仪表盘或 Kibana）

查看 Cloud Manager 端口

下表列出了 Cloud Manager 配置使用的端口。

端口名 值 备注
RDP 3389 需要远程桌面访问 Windows VM。
文件存储服务装载目标 TCP 端口 111、2048、2049 和 2050
UDP 端口 111 和 2048		 必需 *
Winrm "5985" 和 ""5986 Winrm 是 Cloud Manager 用于远程连接到 Windows VM 的 Windows 管理协议。请参阅 Oracle Cloud Infrastructure 中为 PeopleSoft Cloud Manager 创建 Windows 定制映像的教程。
CIFS 流程 TCP 端口 139 和 445
UDP 端口 137 和 138		 Common Internet File System (CIFS) 是用于将文件从 Windows VM 传输到 Cloud Manager VM 的协议。
NFS TCP 端口 111、892、2049 和 32803 Cloud Manager 自更新时在 PUM 实例子网中需要。
HTTP 8000 (默认值) 出于安全原因，Oracle 建议您不要使用默认 HTTP 端口号。在 Cloud Manager 堆栈设置中对其进行更改。
HTTPS 8443 (默认值) 出于安全原因，Oracle 建议您不要使用默认 HTTPS 端口号。Cloud Manager 堆栈设置中的更改。
WSL 7000 (默认值) 如果需要，可在 Cloud Manager 堆栈设置中进行更改。
JOLT 9033-9062 供 JOLT 使用的端口范围。如果需要，可在 Cloud Manager 堆栈设置中进行更改。
数据库端口 1521 和 1522（默认值） 需要在 Cloud Manager 子网中提供端口 1521 以支持 Autonomous Database - Dedicated（在 Cloud Manager 文档中称为 ADB-D）。
JMX 端口 "10100" 和 ""10101 一个应用程序服务器域的 JMX 端口。这用于 PeopleSoft Health Center 和自动缩放。
在使用自动缩放的应用程序服务器域的子网中打开 TCP 端口 10100 和 10101 的入站。如果在同一节点 (VM) 中部署多个 Application Server 域，请打开其他端口；例如：
  • 第一个域：10100 和 10101
  • 第二个域名：10102 和 10103
  • 第三个域名：10104 和 10105
JMX 端口 "10200" 和 ""10201 一个进程调度器域的 JMX 端口。此项用于 PeopleSoft Health Center。
OpenSearch 或 Elasticsearch HTTP 端口 9200 (默认值) 无
OpenSearch 仪表盘或 Kibana HTTP 端口 5601 (默认值) 无
OpenSearch 群集传输端口 9300 (默认值) 在预配的环境中使用搜索集群时，需要集群传输端口。

* 文件存储服务文件系统需要有状态入站到 TCP 端口 111、2048、2049 和 2050，以及 UDP 端口 111 和 2048 的有状态入站。文件存储服务文件系统还需要来自 TCP 端口 111、2048、2049 和 2050 的有状态出站以及来自 UDP 端口 111 的有状态出站。

请参阅 Oracle Cloud Infrastructure 文档中的为文件存储配置 VCN 安全列表规则。

后续步骤

在 Oracle Cloud Infrastructure 控制台中为 PeopleSoft Cloud Manager 创建虚拟云网络（可选）

了解更多