DevOpsエンジニア向けOCIガイド
Oracle Cloud Infrastructure (OCI)は、クラウド・ネイティブ・アプリケーションを構築、管理および自動化するためのツールを開発者に提供します。このガイドでは、DevOpsライフ・サイクル内のツールとそのアプリケーションの概要を示します。
DevOpsライフ・サイクル
DevOpsは、ソフトウェア開発ライフ・サイクルでコラボレートして継続的デリバリを実現するために、複数のチーム(主に開発と運用)を奨励する作業方法です。様々なツールがライフ・サイクルの様々なステップに役立ちます。
|
|
開発側では、次のステップに役立つツールが必要です:
|
運用側では、次のステップに役立つツールが必要です:
|
OCIがDevOps用に提供するツールの多くは、密接に接続され、ライフ・サイクルの複数のステップに対応します。このガイドの各セクションでは、関連するステップと情報を適切にグループ化します。
- 構成管理(CM)およびinfrastructure-as-code (IaC)ツールを使用して、インフラストラクチャを計画および管理します。
- アプリケーション設計戦略およびツールを使用した絶え間ない変化のためのコード。
- CI/CDツールを使用して、構築、テスト、リリースおよびデプロイします。
- OCIセキュリティを使用して自信を持って運用します。
- 監視ツールでモニターします。
DevOpsアプローチ
自動化は、DevOpsライフ・サイクル全体で使用されます。手動タスクと介入の必要性が減り、配信の頻度が増えます。構成管理とinfrastructure-as-codeにより、この自動化の多くが実現されます。
構成管理(CM)は、アプリケーションの実装、機能およびパフォーマンスを確保するためにプログラムによる方法を適用するプロセスです。
Infrastructure-as-code (IaC)は、人間が読めるコードを使用してインフラストラクチャを定義、プロビジョニングおよび管理します。IaCは、継続的デリバリ・モデルの主要なコンポーネントです。
OCIでは、AnsibleおよびTerraformが、CMおよびIaCに役立ち最も一般的に使用されるツールです。Ansibleは、主にインフラストラクチャの構成、パッチ適用およびアプリケーションのデプロイメントとメンテナンスに使用されるCMツールです。Terraformは、インフラストラクチャのプロビジョニングと廃止に使用されるIaCツールです。これらはよく一緒に使用されます。
構成管理
OCI DevOpsサービスは、AnsibleとChefの2つのCMツールとシームレスに統合するように設計されています。
Ansible
OCI Ansibleコレクションは、コンピュート、ロード・バランシング、データベース・サービスなどのOCIリソースのインフラストラクチャのプロビジョニングおよび構成を自動化します。
OCI Ansibleモジュールは、AnsibleがOCI APIエンドポイントに対してコールを行うのに役立つインタプリタのセットです。基本レベルでは、Ansibleは、次の概念を使用して、サーバーまたはホストのリストを既知の状態にします:
- インベントリ: 実行場所(静的または動的)の説明
- タスク: Ansibleモジュールへのコール
- 再生: インベントリ内のホストのグループにマップされた一連のAnsibleタスクまたはロール。順番に実行されます
- プレイブック: 何を実行するかと何がYAMLを使用するかを説明する一連の再生
- ロール: タスクおよび変数を指定するための標準構造。モジュール性と再利用を可能にします
Chef
Chefは、ITスタック全体の配信および管理に重点を置いたCM用の自動化ツールです。OCI DevOpsサービスを使用すると、ユーザーはChef Knifeプラグインを使用してOCIリソースを管理できます。
Puppetは、サーバーの設計、デプロイ、構成および管理に使用されるもう1つの一般的なCMツールです。PuppetはOCIと統合できますが、OCIには直接プラグインがないため、手動のスクリプティングが必要です。
Infrastructure-as-Code
OCIは、IaCにTerraformを使用します。Terraformにはインフラストラクチャをコード化できる宣言型言語と、それらの構成を使用してインフラストラクチャを管理するエンジンがあります。
OCI Terraform ProviderおよびTerraform CLIを使用して、OCIインフラストラクチャを管理するローカル・マシンから構成を作成および適用できますが、このアプローチには2つの問題があります:
- バージョン管理がない: ロールバックまたはブランチが必要な場合、様々なバージョンのコードを追跡する必要があります。
- コラボレーション: 構成と計画を一元化して、全員が同期を維持する必要があります。
Terraformを直接使用するかわりに、一元化されたソース管理、状態管理およびジョブ・キューイングに対して、クラウドベースのTerraformホストであるOCIリソース・マネージャを使用します。リソース・マネージャでは、テンプレートでTerraformを非表示にすることで、DevOps担当者がインフラストラクチャまたはスタックを簡単に管理できます。
リソース・マネージャには、リソース検出やドリフト検出などのTerraformベースの自動化も含まれています。最初にTerraform構成を作成してからインフラストラクチャをプロビジョニングするのは常に現実的とはかぎらないため、コンソールにリソースを作成し、リソース・マネージャ・リソース検出を使用してスタックおよび構成を生成できます。ドリフト検出レポートでは、プロビジョニングされたリソースの状態が、スタックの最終実行構成で定義されている状態と異なるかどうかを確認できます。
マイクロサービスを使用すると、「シェア・ナッシング」モデルを使用し、ステートレス・プロセスとして実行する疎結合されたサービスのコレクションとしてアプリケーションを設計できます。このアプローチにより、アプリケーションのスケーリングとメンテナンスが容易になります。
マイクロサービス・アーキテクチャでは、各マイクロサービスは単純なタスクを所有し、REST APIリクエストなどの軽量な通信メカニズムを使用してクライアントまたはその他のマイクロサービスと通信します。マイクロサービスとして設計されたアプリケーションには、次の特性があります:
- メンテナンスが簡単で独立したデプロイが可能
- 拡張が簡単で可用性が高い
- 他のサービスと疎結合されている
- 問題に最も適したプログラミング言語とフレームワークを使用して開発されている
コンテナ化は、マイクロサービス・アーキテクチャへの一般的なアプローチです。コンテナはOS仮想化を使用し、アプリケーションとその関連バイナリのみを保持するため、迅速な起動とセキュリティの向上が実現されます。
コンテナ化とDocker
Dockerは、アプリケーションとその依存関係のパッケージングを、同じホストOSを共有するコンテナに標準化するオープン・ソースのプロジェクトおよびコンテナ化プラットフォームです。Dockerコンテナを使用して、迅速で一貫したアプリケーション配信、応答性に優れたデプロイメントとスケーリング、および移植性を実現します。
Dockerイメージは読取り専用テンプレートで、Dockerコンテナを作成する手順が示されています。Dockerイメージには、Dockerがコンテナとして実行するアプリケーションおよび依存関係が保持されています。Dockerイメージを作成するには、最初にDockerfileを作成してそのアプリケーションを記述し、次にDockerfileからDockerイメージを構築します。
Dockerイメージは、OCIコンテナ・レジストリなどのレジストリに格納できます。レジストリがないと、開発チームがコンテナ化されたアプリケーションに対して一貫したDockerイメージのセットを維持するのが難しくなります。管理対象レジストリがない場合、イメージに対するアクセス権およびセキュリティ・ポリシーの適用は困難です。
Kubernetes
コンテナ化されたアプリケーションをデプロイすると、何千ものコンテナを管理するという新しい問題が作成されます。Kubernetesは、コンテナのライフ・サイクルを自動的に調整し、ホスティング・インフラストラクチャ全体にコンテナを分散するオープン・ソース・ツールです。Kubernetesは、要求に応じてリソースをスケール・アップまたはスケール・ダウンします。コンテナのプロビジョニング、スケジュール、削除およびヘルスのモニターを行います。
OCI Container Engine for Kubernetes
OCI Container Engine for Kubernetes (OKEとも呼ばれる)は、コンテナ化されたアプリケーションをクラウドにデプロイするために使用できる、完全に管理されたスケーラブルで可用性の高いサービスです。
マネージドKubernetesサービスを使用する必要はありませんが、OCI Container Engine for Kubernetesは、DevOpsチームの可視性と制御性を高めるOCIの制御、セキュリティおよび予測可能なパフォーマンスで高可用性クラスタを簡単に実行する方法です。
- クラウド・シェルに含まれている
kubectlを使用してクラスタにアクセスするか、kubectlのローカル・インストールを使用します。 - Kubernetesノード・プールおよびポッドの自動スケーリングを利用することで、任意の商用リージョン内の複数の可用性ドメイン(データ・センター)にまたがるクラスタを使用してアプリケーションの可用性を高めます。
- ダウンタイムを発生させずに簡単かつ迅速にコンテナ・クラスタをアップグレードして、最新の安定したKubernetesバージョンで最新の状態に保ちます。
- メトリック、ログおよび作業リクエストを使用したKubernetesクラスタの監視。
Functions
Functionsは、実際のサーバーから抽象化しながらアプリケーションをホストします。Functionsのサーバーレスおよびエラスティック・アーキテクチャは、実行する必要があるインフラストラクチャ管理やソフトウェア管理がないことを意味します。コンピュート・インスタンスをプロビジョニングまたはメンテナンスすることはなく、オペレーティング・システムのソフトウェアのパッチやアップグレードは自動的に適用されます。Functionsにより、アプリケーションは可用性が高くスケーラブルかつセキュアであり、モニターされることが確実になります。Java、Python、Node、Go、RubyおよびC#でコードを作成できます(また、高度なユース・ケースの場合は、独自のDockerfileおよびGraal VMを使用できます)。その後、コードをデプロイし、直接コールするか、イベントに応答してトリガーできます。
継続的インテグレーションと継続的デリバリまたはデプロイメント(CI/CD)は、DevOpsのベスト・プラクティスです。
継続的インテグレーションは、開発者がライフ・サイクルでできるだけ早くすべての作業を統合する手法です。必要に応じて、定期的なフィードバックに基づいて、頻繁な増分コード変更が構築、テストおよび改訂されます。コードを変更すると、リポジトリにマージされるコード変更にエラーがなく、既存のコードで動作することを確認する標準化されたビルドおよびテストのステップが自動的にトリガーされます。
継続的デリバリまたはデプロイメントは、開発者からユーザーにコード変更をすばやく渡す手法です。コードが単体、統合、受入れおよびその他のテストに合格すると、自動化された継続的デプロイメントまたは手動の継続的デリバリ・プロセスで本番環境にリリースされます。
OCI DevOps
ビルドおよびデプロイメント・パイプラインは、DevOps CI/CDワークフローの中心です。
OCI DevOpsサービスを使用すると、より焦点を絞ったツールのコールを自動化するビルドおよびデプロイメント・パイプラインを視覚的にスクリプト化できます。DevOpsには、既存のCI/CDワークフローと統合する柔軟性があります。
OCIでCI/CDを調べるには、DevOpsを使用してCDパイプラインを構築するか、Container Engine for Kubernetesでアプリケーションを開発、デバッグおよびデプロイします。
DevOpsプロジェクト
OCI DevOpsサービスを使用してアプリケーションを構築およびデプロイする最初のステップは、DevOpsプロジェクトを作成することです。DevOpsプロジェクトは、CI/CDワークフローの実装に必要なDevOpsリソースの論理グループです。コンソールでのプロジェクト作成の一環として、またはAPIかCLIを使用して、次のリソースを作成します:
|
 |
DevOpsプロジェクトでは、ソフトウェア配信ライフ・サイクル・リソースを1箇所で管理し、簡単に共有できます。OCI DevOpsとアーティファクト・リポジトリを一緒に使用する場合、リリース対象のソフトウェア・バージョンがデプロイされることと、既知の以前のバージョンにロールバックできることに確信を持つことができます。
コード
DevOpsサービスでは、GitのようなOCIコード・リポジトリに独自のプライベート・コード・リポジトリを作成できます。コミット、更新、ブランチおよびストレージの使用状況はコンソールに表示され、リポジトリの作成時にOracle Cloud ID (OCID)がリポジトリに割り当てられます。リポジトリを編集、クローニングおよび削除することもできます。
または、GitHubやGitLabなどの外部コード・リポジトリを使用するか、GitHub、GitLabまたはBitbucket CloudからOCIコード・リポジトリに外部コード・リポジトリをミラー化することもできます。プライベートIPアドレスでセルフホスト・リポジトリ(GitLab ServerおよびBitbucket Server)を使用している場合、パイプラインからそれらにアクセスできます。
アーティファクト
アーティファクトは、アプリケーションを構成し、ターゲット・デプロイメント環境に配信される、任意のバイナリ、パッケージ、Kubernetesマニフェスト、コンテナ・イメージまたはその他のファイルへの参照です。ビルドによって生成され、デプロイメントで使用されるアーティファクトは、レジストリに格納されます。OCIには、アーティファクトを格納、共有および管理するための2つのタイプのレジストリがあります:
- コンテナ・レジストリは、複数のバージョンのDockerまたはその他のコンテナ・イメージに加え、マニフェストやHelmチャートなどの関連ファイルを格納する、オープン標準ベースのマネージド・サービスです。これらのイメージは、Container Engine for Kubernetesを使用してデプロイメントするためにKubernetesクラスタにプッシュできます。
- アーティファクト・レジストリには、アプリケーションのデプロイに使用されるソフトウェア・パッケージ、ライブラリ、.zipファイルおよびその他のタイプのファイルが格納されます。これらのファイルは、デプロイメント・パイプラインがトリガーされたときにコールできます。
SonatypeやArtifactoryなどの外部アーティファクト・レジストリを使用し、OCIのアーティファクト・レジストリでミラー化することもできます。つまり、OCI DevOpsで現在の設定を引き続き使用できます。
ビルドおよびデプロイメント・パイプライン
OCI DevOpsのビルド・パイプラインとデプロイメント・パイプラインは、変更主導型のエラーを削減し、ビルドおよびデプロイメントに費やす時間を短縮します。開発者は、ソース・コードをコード・リポジトリにコミットし、ビルド・ランナーを使用してソフトウェア・アーティファクトを構築およびテストします。また、OCIリポジトリにアーティファクトを配信し、OCIプラットフォームへのデプロイメントを実行します。
DevOpsを使用して、ブルー/グリーン戦略(2つの同一の本番環境で構成される)、カナリア戦略、ローリング戦略など、様々なデプロイメント・パイプライン戦略を実装できます。
ビルド実行およびデプロイメントからのログは、監査およびガバナンスのためにOCIロギング・サービスに格納されます。チームは、OCI通知サービスを介して、DevOpsパイプラインのイベントから通知を受信することもできます。
Compute Jenkinsプラグインを使用して、ビルド自動化の一元化とデプロイメントのスケーリング、OCIアーティファクト・レジストリへのアーティファクトの配布およびDevOpsデプロイメント・パイプラインのトリガーを行うこともできます。
環境とは、アーティファクトがデプロイされるコンピュート・リソースの集合であり、アプリケーションのターゲット・プラットフォームです。OCIでサポートされているターゲット・ランタイム環境タイプには、Oracle LinuxおよびCentOS内のVMまたはベア・メタルコンピュート・インスタンス、Container Engine for KubernetesおよびFunctionsが含まれます。デプロイメント用に選択する環境は、柔軟性、セキュリティ、速度およびその他の要件に関するニーズによって決まります:
- ベア・メタル・ホストは、最も優れた制御性、セキュリティおよびコストを提供します。より一定した、大きい、または分離されて安全なスペースを必要とするプロジェクトに最適です。コンピュート・サービスの概要を参照してください。
- VMは、汎用性、スケーリングおよびリソース共有に優れています。共有アプリケーションおよび物理ハードウェアにより、コストの削減、ディザスタ・リカバリの速度およびプロビジョニングの高速化が実現されます。コンピュート・サービスの概要を参照してください。
- Container Engine for Kubernetesは、高密度環境、およびより少ないリソースでより多くのことを行う必要がある中小規模デプロイメントに最適です。アプリケーション設計を参照してください。
- Functionsは、使用時にのみサービス料金を支払うため、使用状況が頻繁に変化する動的ワークロードに最適です。
DevOps環境を作成する前に、Container Engine for Kubernetesクラスタ、ファンクションまたはコンピュート・インスタンスを作成する必要があります。その後、DevOpsデプロイメント用の様々な宛先環境への参照を作成できます。
DevSecOpsは、DevOpsライフ・サイクル全体でセキュリティを共同の責任として統合する、文化、自動化およびプラットフォーム設計に対するアプローチです。
継続的セキュリティには、次の3つの主要要素があります:
- 新機能が追加されると、セキュリティ状態を継続的に調整および更新する必要があります。新規または変更されたセキュリティ制御が追加されたり、一部が削除されたりすることがあります。これらの制御は、自動セキュリティ・テスト・スイートを使用して開発およびデプロイメント・サイクル中に継続的にテストする必要があります。
- クラウド・ネイティブ・アプリケーションは、レジリエンシを確保するように構築する必要があります。慎重に設計およびテストされたソフトウェアにセキュリティの脆弱性が含まれる場合もあるため、堅牢なセキュリティ・モニタリング・システムは侵入と感染をリアルタイムで特定する必要があります。自動化されたインシデント・レスポンスはサービスを保護する必要があります。
- CI/CDパイプラインを介して新機能が本番環境でリリースされると、セキュリティ・コンプライアンス・チェッカおよび脆弱性評価システムは、新しいリスク・エクスポージャを測定して記録する必要があります。新機能統合時に特定されるリスクにより、これらのリスクを軽減するために変更する必要があるセキュリティ制御フレームワークを再検討する必要があります。
IAM
Vault
DevOpsエンジニアは、ベスト・プラクティスとして、OCI Vaultサービスを使用して、アプリケーションおよびサービス・デプロイメントのセキュリティ状態全般を改善できます。
Vaultサービスを使用して、暗号化キーおよびシークレットを一元的に管理できます。シークレットは、パスワード、トークン、その他の機密データなどの資格証明であり、他のOCIサービスや外部アプリケーションまたはシステムで使用する必要があります。シークレットをボールトに格納すると、コードや構成ファイルなどの他の場所に格納する場合よりも優れたセキュリティを実現できます。
Vaultは、OCIサービス、SDKおよびAPIクライアントと直接統合され、外部アプリケーションで使用されるパスワード資格証明の暗号化を処理します。
Container Engine for Kubernetesのセキュリティのベスト・プラクティス
OCI Container Engine for Kubernetesを使用する場合は、次のセキュリティのベスト・プラクティスに従います:
- IAMポリシーとKubernetesロールベースのアクセス制御(RBAC)ルールの両方を使用して、プロビジョニングされたクラスタへのアクセスを制御します。アクセス制御およびContainer Engine for Kubernetesについてを参照してください。
- 機密データ・オブジェクト(認証トークンや資格証明など)をetcdに格納するときにKubernetesシークレットとして暗号化します。
- ポッド・セキュリティ・ポリシーを使用して、リソースへのアクセスを制限します。Container Engine for Kubernetesでのポッド・セキュリティ・ポリシーの使用を参照してください。
- クラスタおよびポッドにノード・プールのセキュリティを使用します。
- ポッドとの間の通信用のネットワーク・アクセス・ルールを定義します。
- Kubernetesクラスタ(分離)の複数テナンシ使用モデルを定義します。
- 署名検証および脆弱性スキャンを使用してコンテナ・イメージのセキュリティを強化します。セキュリティのためのイメージの署名および脆弱性のためのイメージのスキャンを参照してください。
OCI Functionsを使用する場合は、次のセキュリティのベスト・プラクティスに従います:
- IAMを使用して、ファンクションおよびアプリケーションの起動および管理アクセスを制御します。
- 署名検証および脆弱性スキャンを使用してコンテナ・イメージのセキュリティを強化します。セキュリティのためのイメージの署名および脆弱性のためのイメージのスキャンを参照してください。
- アクセスの制御に関するガイダンスに従います。
DevOpsツールは、システムの動作を完全に理解し、プロアクティブにモニターする適切なメトリックを選択するのに役立ちます。プロセスの早い段階で問題を見つけ、常にヘルスをモニターできる必要があります。
DevOpsツールは、物理データ・センター、ネットワークまたはアプリケーションのいずれであるかにかかわらず、情報システムのエンドツーエンドのセキュリティを維持するのにも役立ちます。
監視に対する適切なアプローチにより、ダウンタイムの短縮、平均検出時間(MTTD)と平均解決時間(MTTR)の短縮、顧客満足度とサービス提供の向上が可能になります。
主なOCI監視サービス
モニタリングは、ヘルスおよびパフォーマンスのDevOpsメトリックを使用してOCIワークロードに関するインサイトを取得するのに役立ちます。しきい値を使用してアラームを構成し、インフラストラクチャおよびアプリケーションの異常を検出して対応できます。
ロギングでは、数百のソースからログ・データを取り込むことができます。監査ログやネットワーキング・フロー・ログなどのログを生成し、それらを使用してセキュリティの問題を診断できます。DevOpsログは、すべてのDevOpsプロジェクト・リソース・ログを生成します。
ログ・アナリティクスは、オンプレミス環境およびマルチクラウド環境からのすべてのログ・データをモニター、集計、索引付けおよび分析する機械学習ベースのクラウド・ソリューションです。このデータの検索や調査を行い、相互に関連付けることで、問題の解決を早め、運用上のインサイトを導出し、より適切な意思決定を行うことができます。
通知は、アラートおよびメッセージをファンクション、電子メールおよびメッセージ配信パートナ(Slack、PagerDutyなど)に送信する、可用性が高く低レイテンシのパブリッシュ/サブスクライブ・サービスです。
イベントは、Cloud Native Computing Foundation (CNCF) CloudEvents標準に準拠するイベントを使用して、リソースの変更を追跡します。これにより、クラウド・リソース全体の変更を手動で追跡する複雑さがなくなります。DevOpsイベントは、一部のサービス操作で発行され、その操作に関する情報を伝達するJSONファイルです。イベントの発生時に特定のアクションをトリガーするルールを定義できます。
DevOpsサービスおよびツール
- アプリケーション依存関係管理は、アプリケーション依存関係のセキュリティの脆弱性を検出します。
- アプリケーション・パフォーマンス・モニタリングには、アプリケーションをモニターし、パフォーマンスの問題を診断するための包括的な機能セットが備えられています。
- アーティファクト・レジストリは、ソフトウェア開発パッケージを格納、共有および管理するためのリポジトリを提供します。
- Container Engine for Kubernetesでは、Kubernetesクラスタを定義および作成して、コンテナ化されたアプリケーションのデプロイメント、スケーリングおよび管理を行うことができます。
- コンテナ・レジストリを使用すると、コンテナ・イメージ(Dockerイメージなど)をOracle管理レジストリ内に格納し、共有および管理できます。
- コンソール・ダッシュボードでは、コンソールにカスタム・ダッシュボードを作成して、テナンシのリソース、診断および主要なメトリックをモニターできます。
- DevOpsは、ソフトウェアの配信およびデプロイメントを自動化する(CI/CD)サービスです。
- イベントを使用して、テナンシ全体のリソースの状態変更に基づいて自動化を作成できます。
- Functionsは、インフラストラクチャを管理することなくビジネス・ロジックを作成、実行およびスケーリングできるサーバーレス・プラットフォームです。
- IAMでは、アイデンティティ・ドメインを使用して、認証、シングル・サインオン(SSO)、アイデンティティ・ライフ・サイクル管理などのアイデンティティおよびアクセス管理機能を提供します。
- ロギングは、テナンシ内のすべてのログに対応した、スケーラビリティの高いフルマネージド型の単一のインタフェースを提供します。
- ログ・アナリティクスでは、アプリケーションおよびシステム・インフラストラクチャからのすべてのログ・データを索引付け、エンリッチ、集計、探索、検索、分析、相関付け、ビジュアル化およびモニターできます。
- モニタリングでは、メトリックの問合せとアラームの管理を行うことができます。メトリックとアラームにより、クラウド・リソースのヘルス、容量およびパフォーマンスをモニターできます。
- 通知は、パブリッシュ/サブスクライブ・パターンで分散コンポーネントにメッセージをブロードキャストすることで、安全で信頼性が高く、低レイテンシかつ永続的なメッセージを配信します。
- リソース・マネージャは、IaCモデルを使用してOCIの全リソースのデプロイメントと操作を自動化します。
- サービス・メッシュは、マイクロサービス・デプロイメントのロギング、メトリック、セキュリティおよびトラフィック管理機能を提供します。
- ストリーミングは拡張性と耐久性が高いフル・マネージド・ソリューションで、大規模なデータ・ストリームをリアルタイムで取り込んで消費することができます。
- Vaultサービスは、暗号化キーとシークレットを格納および管理してリソースに安全にアクセスする暗号化管理サービスです。
- 脆弱性スキャンは、ホストとコンテナ・イメージの潜在的な脆弱性を定期的にチェックすることで、セキュリティ状態を改善するのに役立ちます。