設定租用戶

您必須先執行這些準備作業來組織您的租用戶、建立各種資源的原則，然後採購並設定網路、安全性及基礎架構資源，才能使用 Oracle 的 Globally Distributed Database 服務來建立及管理分散式資料庫。

父項主題： Globally Distributed Autonomous AI Database 入門

作業 1。訂閱阿什本地區

租用戶管理員可以訂閱 Ashburn (IAD) 區域和執行 Globally Distributed Autonomous AI Database 導入所需的所有區域。

  1. 訂閱阿什本 (IAD) 區域。
    • 您必須訂閱阿什本 (Ashburn) 區域才能使用此服務。

    • 您的租用戶原建立區域不必是阿什本區域，但您必須訂閱阿什本區域，才能使用 Oracle 的全球分散式資料庫服務。

  2. 訂閱您將放置資料庫的任何其他區域。
    • 訂閱您計畫放置資料庫以供實行的任何區域；這包括目錄、分區的資料庫，以及計畫對待命資料庫使用 Oracle Data Guard 的資料庫。

如需更多資訊，請參閱管理區域。

父項主題：設定租用戶

作業 2。建立隔間

租用戶管理員可為 Globally Distributed Autonomous AI Database 所需的所有資源，在您的租用戶中建立區間。

Oracle 建議使用下列結構，且這些區間會在整個設定任務中參考：

  • 整個部署的「父項」區間。這是範例中的 gdd 。
  • 各類資源的「子項」區間：
    • gdd_certs_vaults_keys ，適用於憑證授權機構、憑證、憑證組合、保存庫和金鑰
    • gdd_clusters 適用於雲端自治式 VM 叢集
    • gdd_databases 適用於資料庫、VCN、子網路、專用端點及全球分散式資料庫資源。
    • Exadata 基礎架構適用的 gdd_exadata
    • gdd_instances ，適用於應用程式伺服器的運算執行處理 (邊緣節點 / 跳躍主機，可作為連線至資料庫的堡壘主機)

產生的區間結構如下所示：

tenant /
     gdd /       
          gdd_certs_vaults_keys 
          gdd_clusters       
          gdd_databases  
          gdd_exadata             
          gdd_instances

如需更多資訊，請參閱使用區間。

父項主題：設定租用戶

作業 3。建立使用者存取限制條件

制定存取控制計畫，然後建立適當的 IAM (Identity and Access Management) 資源來制定該計畫。因此，分散式資料庫內的存取控制會在不同層次實行，這些層次是由此處的群組和原則所定義。

下表中描述的使用者群組、動態群組及原則，應引導您為分散式資料庫實行建立自己的使用者存取控制計畫。

租用戶管理員可以建立下列建議的群組、動態群組以及原則，以將權限授予先前定義的角色。範例和文件連結假設您的租用戶使用識別網域。

父項主題：設定租用戶

瞭解角色區隔

您必須確保雲端使用者能夠存取使用及建立適當的雲端資源，以執行工作職責。全球分散式資料庫的最佳做法是定義角色以進行角色區隔。

下表所述的角色和職責應引導您瞭解如何定義 Globally Distributed Autonomous AI Database 實作的使用者群組、動態群組和原則。此處提供的角色範例會用於整個環境設定、資源建立及管理指示。

角色 職務
租用戶管理者

訂閱地區

建立隔間

建立動態群組、使用者群組和原則
基礎架構管理員

建立 / 更新 / 刪除 virtual-network-family

建立 / 更新 / 刪除自治式 Exadata 基礎架構

建立 / 更新 / 刪除自治式 Exadata VM 叢集

標記自治式 Exadata VM 叢集中

建立 / 更新 / 刪除全球分散式自治式 AI 資料庫專用端點

憑證管理員

建立 / 更新 / 刪除保存庫

建立 / 更新 / 刪除金鑰

建立 / 更新 / 刪除憑證授權機構

建立 / 更新 / 刪除憑證

建立 / 更新 / 刪除 CA 組合

將憑證和憑證組合上傳至自治式 Exadata VM 叢集

下載 GSM 憑證簽署要求 (CSR)

根據 GSM CSR 建立 GSM 憑證

上傳 GSM 憑證
User 使用 UI 和 API 建立及管理 Globally Distributed Database

父項主題：任務 3。建立使用者存取限制條件

動態群組

建立下列動態群組以控制對 Globally Distributed Database 區間中建立之資源的存取。

如需相關指示，請參閱建立動態群組。

動態群組名稱為 描述 規則
繁體中文 (台灣) 憑證授權機構資源

全部

resource.type='certificateauthority'

resource.compartment.id = 'OCID of compartment tenant root / gdd / gdd_certs_vaults_keys'
gdd 叢集 -dg 自治式 VM 叢集 資源

全部

resource.compartment.id = 'OCID of compartment tenant root / gdd / gdd_clusters'
gdd- 實例 -dg 運算執行處理資源

全部

resource.compartment.id = 'OCID of compartment tenant root / gdd / gdd_instances'

父項主題：任務 3。建立使用者存取限制條件

使用者群組

建立下列群組，讓使用者有權使用 Globally Distributed Database 區間中的資源。

如需相關指示，請參閱建立群組。

使用者群組的名稱 描述
gdd- 憑證管理員 建立及管理金鑰和保存庫的憑證管理員。
gdd- 基礎架構管理員 建立及管理雲端網路和基礎架構資源的基礎架構管理員
gdd 使用者 使用 API 和 UI 建立及管理 Globally Distributed Database 資源的使用者

父項主題：任務 3。建立使用者存取限制條件

原則

建立 IAM 原則，以授予群組對 Globally Distributed Autonomous AI Database 區間中建立之資源的存取權。

下列以先前建立的區間結構和群組為基礎的範例原則，應引導您為全球分散式自治式 AI 資料庫導入建立自己的 IAM 原則。

識別網域 (例如「預設」) 應該是您在其中建立群組的識別網域。

如需相關指示，請參閱建立原則。

gdd - 憑證管理員 - 租用戶層級

  • 描述：群組 gdd-certificate-admins 的用戶層級權限
  • 區間：租用戶
  • 敘述句： 
    Allow group 'Default' / 'gdd-certificate-admins' to INSPECT tenancies in tenancy
Allow group 'Default' / 'gdd-certificate-admins' to INSPECT work-requests in tenancy

gdd-infrastructure-admins-tenant 層次

  • 描述：群組 gdd-infrastructure-admins 的用戶層級權限
  • 區間：租用戶
  • 敘述句： 
    Allow group 'Default' / 'gdd-infrastructure-admins' to INSPECT tenancies in tenancy
Allow group 'Default' / 'gdd-infrastructure-admins' to INSPECT work-requests in tenancy
Allow group 'Default' / 'gdd-infrastructure-admins' to READ limits in tenancy
Allow group 'Default' / 'gdd-infrastructure-admins' to READ tag-namespaces in tenancy

gdd- 使用者租用戶層級

  • 描述：群組 gdd-users 的用戶層級權限

  • 區間：租用戶
  • 敘述句： 
    Allow group 'Default' / 'gdd-users' to INSPECT tenancies in tenancy
Allow group 'Default' / 'gdd-users' to INSPECT work-requests in tenancy
Allow group 'Default' / 'gdd-users' to READ limits in tenancy
Allow group 'Default' / 'gdd-users' to READ distributed-autonomous-database in tenancy
Allow group 'Default' / 'gdd-users' to READ tag-namespaces in tenancy

gdd- 憑證管理員

  • 描述：群組 gdd-certificate-admins 的區間層次權限
  • 區間：tenant/gdd
  • 敘述句： 
    Allow group 'Default' / 'gdd-certificate-admins' to MANAGE certificate-authority-family in compartment gdd
Allow group 'Default' / 'gdd-certificate-admins' to MANAGE keys in compartment gdd
Allow group 'Default' / 'gdd-certificate-admins' to MANAGE distributed-autonomous-database in compartment gdd
Allow group 'Default' / 'gdd-certificate-admins' to MANAGE vaults in compartment gdd
Allow group 'Default' / 'gdd-certificate-admins' to READ buckets in compartment gdd
Allow group 'Default' / 'gdd-certificate-admins' to READ instances in compartment gdd
Allow group 'Default' / 'gdd-certificate-admins' to READ distributed-database-workrequest in compartment gdd
Allow group 'Default' / 'gdd-certificate-admins' to USE key-delegate in compartment gdd
Allow group 'Default' / 'gdd-certificate-admins' to USE subnets in compartment gdd
Allow group 'Default' / 'gdd-certificate-admins' to INSPECT autonomous-databases in compartment gdd  
Allow group 'Default' / 'gdd-certificate-admins' to INSPECT autonomous-exadata-infrastructures in compartment gdd 
Allow group 'Default' / 'gdd-certificate-admins' to INSPECT cloud-autonomous-vmclusters in compartment gdd

    此外，如果使用 Oracle Key Vault，則需要下列原則：

    Allow group 'Default' / 'gdd-certificate-admins' to MANAGE secret-family in compartment gdd
Allow group 'Default' / 'gdd-certificate-admins' to MANAGE keystores in compartment gdd

gdd- 基礎架構管理員

  • 描述：群組 gdd-infrastructure-admins 的區間層級權限
  • 區間：tenant/gdd
  • 敘述句： 
    Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE autonomous-exadata-infrastructures in compartment gdd
Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE cloud-autonomous-vmclusters in compartment gdd
Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE instance-family in compartment gdd
Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE distributed-autonomous-database in compartment gdd
Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE tags in compartment gdd
Allow group 'Default' / 'gdd-infrastructure-admins' to MANAGE virtual-network-family in compartment gdd
Allow group 'Default' / 'gdd-infrastructure-admins' to READ autonomous-container-databases in compartment gdd
Allow group 'Default' / 'gdd-infrastructure-admins' to READ autonomous-virtual-machines in compartment gdd
Allow group 'Default' / 'gdd-infrastructure-admins' to READ leaf-certificate-family in compartment gdd
Allow group 'Default' / 'gdd-infrastructure-admins" to READ distributed-database-workrequest in compartment gdd

gdd 使用者

  • 描述：群組 gdd-users 的區間層級權限
  • 區間：tenant/gdd
  • 敘述句： 
    Allow group 'Default' / 'gdad-users' to INSPECT exadata-infrastructures in compartment gdd
Allow group 'Default' / 'gdad-users' to INSPECT distributed-database-privateendpoint in compartment gdd
Allow group 'Default' / 'gdad-users' to INSPECT autonomous-virtual-machines in compartment gdd
Allow group 'Default' / 'gdad-users' to MANAGE autonomous-backups in compartment gdd
Allow group 'Default' / 'gdad-users' to MANAGE autonomous-container-databases in compartment gdd
Allow group 'Default' / 'gdad-users' to MANAGE autonomous-databases in compartment gdd
Allow group 'Default' / 'gdad-users' to MANAGE distributed-autonomous-database in compartment gdd
Allow group 'Default' / 'gdad-users' to MANAGE instance-family in compartment gdd
Allow group 'Default' / 'gdad-users' to MANAGE tags in compartment gdd
Allow group 'Default' / 'gdad-users' to READ distributed-database-workrequest in compartment gdd
Allow group 'Default' / 'gdad-users' to READ keys in compartment gdd
Allow group 'Default' / 'gdad-users' to READ vaults in compartment gdd
Allow group 'Default' / 'gdad-users' to READ vcns in compartment gdd
Allow group 'Default' / 'gdad-users' to USE autonomous-exadata-infrastructures in compartment gdd
Allow group 'Default' / 'gdad-users' to USE cloud-autonomous-vmclusters in compartment gdd
Allow group 'Default' / 'gdad-users' to USE network-security-groups in compartment gdd
Allow group 'Default' / 'gdad-users' to USE private-ips in compartment gdd
Allow group 'Default' / 'gdad-users' to USE subnets in compartment gdd
Allow group 'Default' / 'gdad-users' to USE vnics in compartment gdd
Allow group 'Default' / 'gdad-users' to USE volumes in compartment gdd

    此外，如果使用 Oracle Key Vault，則需要下列原則：

    Allow group 'Default' / 'gdad-users' to READ secret-family in compartment gdd
Allow group 'Default' / 'gdad-users' to READ keystores in compartment gdd

gdd-dg-cas

  • 描述：動態群組 gdd-cas-dg 的區間層次權限
  • 區間：tenant/gdd
  • 敘述句： 
    Allow dynamic-group 'Default' / 'gdd-cas-dg' to MANAGE objects in compartment gdd
Allow dynamic-group 'Default' / 'gdd-cas-dg' to USE keys in compartment gdd

gdd-dg 叢集

  • 描述：動態群組 gdd-clusters-dg 的區間層級權限
  • 區間：tenant/gdd
  • 敘述句： 
    Allow dynamic-group 'Default' / 'gdd-clusters-dg' to MANAGE keys in compartment gdd_certs_vaults_keys
Allow dynamic-group 'Default' / 'gdd-clusters-dg' to READ vaults in compartment gdd_certs_vaults_keys

    此外，如果使用 Oracle Key Vault，則需要下列原則：

    Allow dynamic-group 'Default' / 'gdd-clusters-dg' to READ secret-family in compartment gdd_certs_vaults_keys
Allow dynamic-group 'Default' / 'gdd-clusters-dg' to READ keystores in compartment gdd_certs_vaults_keys

gdd-kms

  • 描述：金鑰管理服務的區間層級權限
  • 區間：tenant/gdd
  • 敘述句： 
    Allow service keymanagementservice to MANAGE vaults in compartment gdd_certs_vaults_keys

gdd-okv

  • 描述：Oracle Key Vault 的區間層次權限
  • 區間：tenant/gdd
  • 敘述句： 
    Allow service database to READ secret-family in compartment gdd_certs_vaults_keys

父項主題：任務 3。建立使用者存取限制條件

作業 4。設定網路資源

身為基礎架構管理員，請建立網路資源並啟用分散式資料庫所需的連線。

這些指示中會命名資源範例，以簡化追蹤與關係。例如，名稱「gdd_iad」是指在阿什本 (IAD) 區域中建立的 VCN。

父項主題：設定租用戶

一般網路資源

所有 Globally Distributed Autonomous AI Database 實作都需要在 Ashburn (IAD) 區域中使用 VCN、子網路和專用端點。

以基礎架構管理員身分建立資源，如下表所述。

資源 指示
虛擬雲端網絡 (VCN) + 子網路

在阿什本 (IAD) 中建立 VCN gdd_iad 和子網路 gdd_subnet。

需要此 VCN 和子網路，才能在 Globally Distributed Autonomous AI Database 服務與 Globally Distributed Autonomous AI Database 拓樸中的資料庫之間進行連線。

使用下列值：

  • 區間 = gdd / gdd_databases
  • 區域 = 阿什本 (IAD)

  • 子網路名稱 = gdd_subnet

  • 子網路類型 = 區域

    子網路必須是區域網路，跨所有可用性網域

專用端點

在阿什本 (IAD) 區域中建立專用端點，以啟用 Globally Distributed Autonomous AI Database 服務與 Globally Distributed Autonomous AI Database 拓樸中的資料庫之間的連線。

  1. 開啟導覽功能表，按一下 Oracle Database ，然後按一下 Globally Distributed Autonomous AI Database 。
  2. 按一下導覽窗格中的專用端點。
  3. 按一下建立專用端點。

  4. 請輸入下列資訊。

    • 名稱：例如 gdd_pe
    • 區間： gdd/gdd_databases

      這應該是包含您在上方建立之阿什本區域子網路的區間。

    • 子網路：gdd_subnet

      如果您沒有看到列出的子網路，請確認該子網路是以區域子網路的形式建立。

    • 虛擬雲端網路： gdd_iad
    • 新增標記 (選擇性)：您可以按一下「顯示標記選項」來選取此資源的標記。

父項主題：任務 4。設定網路資源

根據拓樸的其他網路資源

視您的「全域分散式資料庫」拓樸而定，建立其他網路資源，如下所述。

請注意，拓樸的資料庫包括目錄、分區和 Oracle Data Guard 待命資料庫。

所有網路資源都應該建立在 gdd/gdd_databases 區間中。

使用案例 網路資源 對等互連與連線

所有資料庫都放置在阿什本 (IAD) 區域中

在雲端自治式 VM 叢集的阿什本 (IAD) 區域中建立子網路和服務閘道。

  • 在阿什本 (IAD) 區域中，於 VCN gdd_iad 中建立子網路 osd-databases-subnet-iad。
  • 在阿什本 (IAD) 區域中，建立服務閘道 gdd_sgw_iad

必要對等互連

無。

必要的連線

與子網路 gdd_subnet 的無限制連線 (針對專用端點建立)
所有資料庫都放置在單一區域 R1，而不是阿什本 (IAD) *

在區域中為您的雲端自治式 VM 叢集建立子網路和服務閘道。

  • 在 R1 區域中，建立含有 osd-database-subnet-R1 子網路的 VCN gdd_R1
  • 在 R1 區域中，建立服務閘道 gdd_sgw_R1

必要對等互連

gdd_iad ↔ gdd_R1

必要的連線

gdd_iad.gdd_subnet (為專用端點建立) 與 gdd_R1.osd-database-subnet-R1 之間沒有限制
資料庫位於多個區域 R1、R2、...、RN

在每個區域中為您的雲端自治式 VM 叢集建立子網路和服務閘道。

子網路：

  • 在 R1 區域中，建立含有 osd-database-subnet-R1 子網路的 VCN gdd_R1
  • 在 R2 區域中，建立含有 osd-database-subnet-R2 子網路的 VCN gdd_R2

    ...

  • 在區域 Rn 中，建立子網路為 osd-database-subnet-Rn 的 VCN gdd_Rn

服務閘道：

  • 在 R1 區域中，建立服務閘道 gdd_sgw_R1
  • 在 R2 區域中，建立服務閘道 gdd_sgw_R2

    ...

  • 在區域 Rn 中建立服務閘道 gdd_sgw_Rn

必要對等互連

gdd_iad ↔ gdd_R1

gdd_iad ↔ gdd_R2

gdd_iad ↔ gdd_Rn

gdd_R1 ↔ gdd_R2

gdd_R1 ↔ gdd_Rn

gdd_R2 ↔ gdd_Rn

必要的連線

gdd_iad.gdd_subnet (為專用端點建立) 與雙向之間不受限

gdd_R1.osd 資料庫子網路 -R1

gdd_R2.osd 資料庫子網路 -R2

gdd_Rn.osd- 資料庫子網路 -Rn

gdd_R1.osd-database-subnet-R1 之間不受限制且雙向

gdd_R2.osd 資料庫子網路 -R2

gdd_Rn.osd- 資料庫子網路 -Rn

gdd_R2.osd-database-subnet-R2 之間不受限制且雙向

gdd_Rn.osd- 資料庫子網路 -Rn

* 全球分散式資料庫服務控制層只存在於阿什本 (IAD) 區域中。您在阿什本 (IAD) 區域上一個步驟建立的專用端點，可用來與各自區域中的 Globally Distributed Database 資源進行通訊。

父項主題：任務 4。設定網路資源

作業 5。設定安全資源

身為全球分散式資料庫憑證管理員，請建立保存庫、金鑰、憑證授權機構、憑證及 CA 組合資源。

所有安全資源都建立在 gdd/gdd_certs_vaults_keys 區間中。

警示：

建立參照金鑰的 Globally Distributed Database 之後，您必須一併重新啟動參照已移動保存庫或金鑰的自治式容器資料庫，才能將保存庫或金鑰搬移至新的區間。

視您的「全域分散式資料庫」拓樸而定，建立安全資源，如下表所述。

下表中使用的資源名稱範例，應引導您為 Globally Distributed Database 實作建立自己的安全資源。

父項主題：設定租用戶

自動資料分佈，單一區域

在此使用案例中，安全資源是在單一區域中建立。

在下面的範例中，所有資源都會在區域 R1 中建立。

資源 指示與範例
保存庫

建立憑證授權機構 (CA) 的保存庫和通透資料加密 (TDE) 主要加密金鑰。

  • 在 R1 區域中建立保存庫 gdd_vault_R1

指示：建立保存庫
憑證機構金鑰
  • 在 R1 區域中，於保存庫 gdd_vault_R1 中建立主要加密金鑰 gdd_ca_key_R1

必要的屬性值：

  • 保護模式 = HSM

  • 關鍵型態：演算法 = RSA

  • 長度 = 2048

指示：建立主要加密金鑰
TDE 金鑰
  • 在 R1 區域中，於保存庫 gdd_vault_R1 中建立主要加密金鑰 gdd_TDE_key-oraspace

必要的屬性值：

  • 保護模式 = 軟體

  • 關鍵型態：演算法 = AES

  • 長度 = 256

指示：建立主要加密金鑰
憑證授權機構

建立用於發出雲端自治式 VM 叢集和 GSM 運算執行處理憑證的 CA。

  • 在 R1 區域中，使用金鑰 gdd_ca_key_R1 建立 CA gdd_ca_R1

您可以使用第三方 CA 建立憑證，但必須將第三方 CA 發出的憑證匯入 OCI 憑證服務。

指示：建立憑證授權機構
憑證

建立要上傳至雲端自治式 VM 叢集的憑證。

  • 在 R1 區域中，使用 CA gdd_ca_R1 建立憑證 gdd_cert

指示：建立憑證
CA 組合

建立要上傳至雲端自治式 VM 叢集的 CA 組合。

  • 在 R1 區域中，建立一個 CA 組合 gdd_cert_bundle，其中包含憑證 gdd_cert 的憑證鏈

指示：建立 CA 捆包

父項主題：任務 5。設定安全資源

自動資料分配、主要與待命區域

當主要資料庫和待命資料庫放置在不同的區域時，此拓樸就會產生結果。在此使用案例中，會在主要資料庫和待命資料庫區域中建立安全資源。

在下面的範例中，會在 Rp (主要) 和 Rs (待命) 區域中建立資源。

資源 指示與範例
保存庫

建立憑證授權機構 (CA) 主要加密金鑰的保存庫。

  • 在區域 Rp 中建立保存庫 gdd_vault_Rp

  • 在 Rs 區域中，建立 Vault gdd_vault_Rs

指示：建立保存庫
複製的虛擬保存庫

為通透資料加密 (TDE) 主要加密金鑰建立複製的虛擬保存庫。

  • 在區域 Rp 中，建立複寫至區域 R 的虛擬保存庫 gdd_vault_Rp_Rs

指示：複製保存庫和金鑰
憑證機構金鑰
  • 在 Rp 區域中，在保存庫 gdd_vault_Rp 中建立主要加密金鑰 gdd_ca_key_Rp
  • 在 Rs 區域中，在保存庫 gdd_vault_Rs 中建立主要加密金鑰 gdd_ca_key_Rs

必要的屬性值：

  • 保護模式 = HSM

  • 關鍵型態：演算法 = RSA

  • 長度 = 2048

指示：建立主要加密金鑰
TDE 金鑰
  • 在區域 Rp 中，在複製的虛擬保存庫 gdd_vault_Rp_Rs 中建立主要加密金鑰 gdd_TDE_key-oraspace

必要的屬性值：

  • 保護模式 = 軟體

  • 關鍵型態：演算法 = AES

  • 長度 = 256

指示：建立主要加密金鑰
憑證授權機構

建立用於發出雲端自治式 VM 叢集和 GSM 運算執行處理憑證的 CA。

  • 在區域 Rp 中，使用金鑰 gdd_ca_key_Rp 建立 CA gdd_ca_Rp

  • 在區域 Rs 中，使用金鑰 gdd_ca_key_Rs 建立 CA gdd_ca_Rs

您可以使用第三方 CA 建立憑證，但必須將第三方 CA 發出的憑證匯入 OCI 憑證服務。

指示：建立憑證授權機構
憑證

建立要上傳至雲端自治式 VM 叢集的憑證。

注意：您必須為 RP 和 R 區域中的憑證使用相同的一般名稱。

  • 在區域 Rp 中，使用 CA gdd_ca_Rp 建立憑證 gdd_cert
  • 在區域 Rs 中，使用 CA gdd_ca_Rs 建立憑證 gdd_cert

指示：建立憑證
CA 組合

建立要上傳至雲端自治式 VM 叢集的 CA 組合。

  • 在區域 Rp 中，建立 CA 組合 gdd_cert_bundle，其中包含區域 Rp 和 Rs 中憑證 gdd_cert 的憑證鏈

  • 在 Rs 區域中建立 CA 組合 gdd_cert_bundle，其中包含 Rp 和 Rs 區域中憑證 gdd_cert 的憑證鏈

指示：建立 CA 捆包

父項主題：任務 5。設定安全資源

使用者管理的資料分佈，單一區域

在此使用案例中，會在單一區域中建立安全資源

在下面的範例中，所有資源都會在區域 R1 中建立。

資源 指示與範例
保存庫

建立憑證授權機構 (CA) 的保存庫和通透資料加密 (TDE) 主要加密金鑰。

  • 在 R1 區域中建立保存庫 gdd_vault_R1

指示：建立保存庫
憑證機構金鑰
  • 在 R1 區域中，於保存庫 gdd_vault_R1 中建立金鑰 gdd_ca_key_R1

必要的屬性值：

  • 保護模式 = HSM

  • 關鍵型態：演算法 = RSA

  • 長度 = 2048

指示：建立主要加密金鑰
TDE 金鑰

  • 在 R1 區域中，於保存庫 gdd_vault_R1 中建立金鑰 gdd_TDE_key-catalog 以加密目錄

  • 在 R1 區域中，在保存庫 gdd_vault_R1 中建立金鑰 gdd_TDE_key-spaceN，以加密分區空間中的分區 N

必要的屬性值：

  • 保護模式 = 軟體

  • 關鍵型態：演算法 = AES

  • 長度 = 256

指示：建立主要加密金鑰
憑證授權機構

建立用於發出雲端自治式 VM 叢集和 GSM 運算執行處理憑證的 CA。

  • 在 R1 區域中，使用金鑰 gdd_ca_key_R1 建立 CA gdd_ca_R1

您可以使用第三方 CA 建立憑證，但必須將第三方 CA 發出的憑證匯入 OCI 憑證服務。

指示：建立憑證授權機構
憑證

建立要上傳至雲端自治式 VM 叢集的憑證。

  • 在 R1 區域中，使用 CA 金鑰 gdd_ca_R1 建立憑證 gdd_cert

指示：建立憑證
CA 組合

建立要上傳至雲端自治式 VM 叢集的 CA 組合。

  • 在 R1 區域中，建立一個 CA 組合 gdd_cert_bundle，其中包含憑證 gdd_cert 的憑證鏈

指示：建立 CA 捆包

父項主題：任務 5。設定安全資源

使用者管理的資料分佈，多個區域

在此使用案例中，會在每個要放置資料庫的區域中建立安全資源。

下列任一或二者皆為真時，便會產生此拓樸：

  • 主要目錄和分區資料庫會放置在不同的區域

  • 分區空間內的資料庫會放置在不同的區域中

安全資源會在每個區域 (R1、...、Rn) 中建立，其中會放置資料庫。

資源 指示與範例
保存庫

在每個區域中為憑證授權機構 (CA) 主要加密金鑰建立保存庫。

  • 在 R1 區域中建立保存庫 gdd_vault_R1

  • 在 R2 區域中建立保存庫 gdd_vault_R2

    ...

  • 在區域 Rn 中建立保存庫 gdd_vault_Rn

指示：建立保存庫
複寫的虛擬保存庫

為通透資料加密 (TDE) 主要加密金鑰建立複製的虛擬保存庫。

針對每個資料庫、目錄或分區，主要區域 Rp 與其待命區域 Rs 不同：

  • 在資料庫的主要區域 Rp 中建立虛擬保存庫 gdd_vault_Rp_Rs，此區域會複製到資料庫的待命區域 Rs。
複寫保存庫和金鑰
憑證機構金鑰

  • 在 R1 區域中，於保存庫 gdd_vault_R1 中建立金鑰 gdd_ca_key_R1

  • 在 R2 區域中，於保存庫 gdd_vault_R2 中建立金鑰 gdd_ca_key_R2

    ...

  • 在區域 Rn 中，在保存庫 gdd_vault_Rn 中建立金鑰 gdd_ca_key_Rn

必要的屬性值：

  • 保護模式 = HSM

  • 關鍵型態：演算法 = RSA

  • 長度 = 2048

指示：建立主要加密金鑰
TDE 金鑰 對於每個沒有待命資料庫的資料庫、目錄或分區，或具有與其主要區域相同的待命區域：
  • 在目錄資料庫所在區域的保存庫中，建立目錄資料庫的索引鍵 gdd_TDE_key- 目錄
  • 為位於分區資料庫所在區域的保存庫中的分區空間資料庫建立金鑰 gdd_TDE_key-spaceN
針對每個資料庫、目錄或分區，主要區域與其依區域的不同：
  • 在目錄主要資料庫所在區域的複製虛擬保存庫中建立 gdd_TDE_key 金鑰目錄
  • 在分區主要資料庫所在區域的複製虛擬保存庫中建立金鑰 gdd_TDE_key-spaceN

必要的屬性值：

  • 保護模式 = 軟體

  • 關鍵型態：演算法 = AES

  • 長度 = 256

指示：建立主要加密金鑰
憑證授權機構

在每個區域建立一個憑證授權機構 (CA)，用於核發雲端自治式 VM 叢集和 GSM 運算執行處理的憑證。

  • 在 R1 區域中，使用金鑰 gdd_ca_key_R1 建立 CA gdd_ca_R1
  • 在 R2 區域中，使用金鑰 gdd_ca_key_R2 建立 CA gdd_ca_R2

    ...

  • 在區域 Rn 中，使用金鑰 gdd_ca_key_Rn 建立 CA gdd_ca_Rn

您可以使用第三方 CA 建立憑證，但必須將第三方 CA 發出的憑證匯入 OCI 憑證服務。

指示：建立憑證授權機構
憑證

在每個區域中建立憑證以上傳至雲端自治式 VM 叢集。

注意：您必須在所有區域的憑證使用相同的一般名稱。

  • 在 R1 區域中，使用 CA gdd_ca_R1 建立憑證 gdd_cert
  • 在 R2 區域中，使用 CA gdd_ca_R2 建立憑證 gdd_cert

    ...

  • 在區域 Rn 中，使用 CA gdd_ca_Rn 建立憑證 gdd_cert

指示：建立憑證
CA 組合

建立要上傳至雲端自治式 VM 叢集的 CA 組合。

  • 在 R1 區域中，建立 CA 組合 gdd_cert_bundle，其中包含 R1、R2、...、Rn 區域中憑證 gdd_cert 的憑證鏈
  • 在 R2 區域中，建立 CA 組合 gdd_cert_bundle，其中包含 R1、R2、...、Rn 區域中憑證 gdd_cert 的憑證鏈

    ...

  • 在區域 Rn 中，建立 CA 組合 gdd_cert_bundle，其中包含 R1，R2，...，Rn 區域中憑證 gdd_cert 的憑證鏈

指示：建立 CA 捆包

父項主題：任務 5。設定安全資源

作業 6。建立 Exadata 資源

身為基礎架構管理員，請在下列步驟中設定 Globally Distributed Autonomous AI Database 拓樸。

父項主題：設定租用戶

Exadata 資源考量

請記住以下事項：

  • Globally Distributed Autonomous AI Database 服務僅支援兩個節點的四分之一機架 Exadata。
  • Exadata 基礎架構是區域特定的基礎架構。這表示您計畫放置目錄或分區資料庫的每個區域都需要一個 Exadata 基礎架構。
  • 您必須為計畫在 Globally Distributed Autonomous AI Database 中部署的每個目錄和分區資料庫建立雲端自治式 VM 叢集。
  • 分區和目錄資料庫可以共置於指定的雲端自治式 VM 叢集上。不過，針對目錄和分區資料庫使用常見的雲端自治式 VM 叢集可能會導致處理瓶頸。

父項主題：任務 6。建立 Exadata 資源

建立 Exadata 基礎架構執行個體

在 gdd/gdd_exadata 區間中建立 Exadata 基礎架構資源。

依照建立 Exadata 基礎架構資源中的指示進行。

父項主題：任務 6。建立 Exadata 資源

匯入 Oracle-ApplicationName 標記命名空間

將 Oracle-ApplicationName 標記命名空間匯入您租用戶的根區間中。

  1. 從雲端主控台導覽功能表中，依序選取治理與管理和標記命名空間 (在「租用戶管理」類別底下)。

  2. 在「標記命名空間」面板中，檢查 Oracle-ApplicationName 命名空間是否存在於您租用戶的根區間中。

    確定已在清單範圍底下選取您租用戶的根區間。

  3. 如果清單中沒有看到 Oracle-ApplicationName，請執行下列作業：

    1. 按一下匯入標準標記 (位於清單上方)。

    2. 選取 Oracle-ApplicationName 命名空間旁邊的核取方塊，然後按一下匯入。

父項主題：任務 6。建立 Exadata 資源

建立雲端自治式 VM 叢集

為 Globally Distributed Database 拓樸中的每個資料庫建立叢集。

請參閱建立自治式 Exadata VM 叢集以瞭解建立叢集的步驟。

建立叢集時，請務必執行下列動作：

  • 您必須在建立每個叢集時定義下列標記：

    Oracle-ApplicationName.Other_Oracle_Application: Sharding

    您必須先匯入標記的命名空間，才能將標記新增至自治式 Exadata VM 叢集。

    附註：

    標記叢集以在 Globally Distributed Database 中使用後，將繼續對 Globally Distributed Database SKU 計費，直到叢集刪除為止。

  • 在 gdd/gdd_clusters 區間中建立叢集。

  • 26ai 版：如果您打算使用 26ai 版資料庫，請查看建立自治式 Exadata VM 叢集中的先決條件小節，瞭解 26ai 版資料庫軟體版本需求。

  • 設定叢集時，必須將其設為相同的時區。

  • 建議您在每個資料庫 (分區或目錄) 使用一個 VM 叢集。

父項主題：任務 6。建立 Exadata 資源

作業 7。上傳雲端自治式 VM 叢集憑證

身為憑證管理員，您已在 gdd/gdd_certs_vaults_keys 區間中建立憑證授權機構、憑證及 CA 組合。您現在已將 CA 組合上傳至每個自治式 Exadata VM 叢集。

重要事項：

  • 所有自治式 Exadata VM 叢集的上傳 CA 組合都必須相同。

  • 所有自治式 Exadata VM 叢集的憑證通用名稱都必須相同。

如需詳細資訊，請參閱管理自治式 Exadata VM 叢集資源的安全憑證。

父項主題：設定租用戶

(選擇性) 建立 API 金鑰和使用者限制條件

如果您打算直接使用 Globally Distributed Database REST API、OCI Software Development Kits 和 Command Line Interface，請建立 OCI API 金鑰組。

依照必要的金鑰和 OCID 中的指示進行。

若要設定 API 的使用者控制，請參閱 Globally Distributed Autonomous AI Database API 的權限。

父項主題：設定租用戶