Oracleサービスへのプライベート・アクセス

• オンプレミス・ネットワークがVCN経由でOracle Services Network内のOracleサービスにプライベート・アクセスできるように、VCNを設定できます。オンプレミス・ネットワーク内のホストは、それぞれのプライベートIPアドレスと通信します。
• VCNは、動的ルーティング・ゲートウェイ(DRG)を使用して、オンプレミス・ネットワークと通信します。Oracleサービスへのアクセスは、VCN上のサービス・ゲートウェイを介して行われます。VCNからOracleサービスへのトラフィックは、Oracleネットワーク・ファブリック上を移動し、パブリック・インターネットを通過することはありません。
• サービス・ゲートウェイはリージョナルであり、これを使用すると、VCNと同じリージョン内のサポートされているOracleサービスのみにアクセスできます。
• サポートされるOracleサービスは、Oracle Services NetworkのOracle Cloud Infrastructure Object Storageなどです。リストについては、サービス・ゲートウェイ: Oracle Services Networkでサポートされているクラウド・サービスを参照してください。
• サービス・ゲートウェイでは、サービスCIDRラベルという概念を使用します。これは、対象となるサービスまたはサービス・グループのすべてのリージョナル・パブリックIPアドレス範囲を表す文字列です(たとえば、OCI PHXオブジェクト・ストレージは、米国西部(フェニックス)でのオブジェクト・ストレージを表す文字列です)。そのサービスCIDRラベルは、サービス・ゲートウェイおよび関連するルート・ルールを構成してサービスへのトラフィックを制御する場合に使用します。これは、セキュリティ・ルールを構成するときにオプションで使用できます。サービスのパブリックIPアドレスが将来変わった場合に、それらのルールを調整する必要はありません。
• オンプレミス・ネットワークからの目的のトラフィックがVCNを経由してOracleサービスに送信されるようにするには、VCNのDRGアタッチメントおよびサービス・ゲートウェイに対してルート・ルールを実装します。
• 必要に応じて、VCN内のプライベートIPを介した転送ルーティングを設定できます。たとえば、オンプレミス・ネットワークとOracleサービスの間のトラフィックのフィルタ処理または検査が必要な場合があります。その場合、トラフィックを検査のためにVCNのインスタンス上のプライベートIPにルーティングし、結果のトラフィックをその宛先に送信します。このトピックでは、VCNのゲートウェイ間での直接の転送ルーティングと、プライベートIPを介した転送ルーティングの両方の状況について説明します。

Oracle Services Networkは、Oracleサービス用に予約されているOracle Cloud Infrastructure内の概念ネットワークです。これらのサービスには、通常はパブリック・インターネットを介してアクセスするパブリックIPアドレスがあります。ただし、パブリック・インターネット経由のトラフィックを発生させずにOracle Services Networkにアクセスすることもできます。どのホストからアクセスする必要があるかによって、方法は異なります:

• オンプレミス・ネットワーク内のホスト:

  • FastConnectプライベート・ピアリングまたはサイト間VPNを使用した、VCNを介するプライベート・アクセス: このシナリオはこのトピックで説明します。オンプレミス・ホストはプライベートIPアドレスを使用し、VCNおよびVCNのサービス・ゲートウェイを経由してOracle Services Networkに到達します。
  • FastConnectパブリック・ピアリングを使用したパブリック・アクセス: オンプレミス・ホストはパブリックIPアドレスを使用します。
• VCN内のホスト:
  • サービス・ゲートウェイを介するプライベート・アクセス: VCNのホストではプライベートIPアドレスが使用されます。

次の図は、オンプレミス・ネットワークにOracleサービスへのプライベート・アクセス権を付与するための基本的なレイアウトを示しています。

オンプレミス・ネットワークは、FastConnectプライベート仮想回線またはサイト間VPNを経由してVCNに接続します。これらのタイプの接続はそれぞれ、VCNにアタッチされている動的ルーティング・ゲートウェイ(DRG)で終了します。また、VCNにはサービス・ゲートウェイもあり、これによってVCNにOracle Services Networkへのアクセス権が付与されます。オンプレミス・ネットワークからのトラフィックは、VCN、サービス・ゲートウェイを順に経由して目的のOracleサービスに到達します。レスポンスは、サービス・ゲートウェイおよびVCNを介してオンプレミス・ネットワークに返されます。

サービス・ゲートウェイを設定するときには、サービスCIDRラベルを有効にします。これは、サービス・ゲートウェイを介してアクセスするサービスまたはサービス・グループのすべてのリージョナル・パブリックIPアドレス範囲を表す文字列です。たとえば、「Oracle Services NetworkのすべてのPHXサービス」は、サービス・ゲートウェイを介して米国西部(フェニックス)で使用可能なOracleサービスを表すサービスCIDRラベルです。Oracleは、DRG上でBorder Gateway Protocol (BGP)を使用して、これらのリージョナル・パブリックIPアドレス範囲をオンプレミス・ネットワーク内のエッジ・デバイス(顧客構内機器またはCPEとも呼ばれる)に通知します。サービス・ゲートウェイを介して使用可能なこれらの範囲のリストは、VCNのパブリックIPアドレスおよびOracle Services Networkを参照してください。

Oracleサービスへのプライベート・アクセス権を持つ複数のVCN

組織が、複数のVCNを使用し、それぞれにサービス・ゲートウェイを設定して、VCNのリソースにOracleサービスへのアクセス権を付与することを選択する場合があります。たとえば、組織の部門ごとに異なるVCNを設定する場合などです。

さらに、サービス・ゲートウェイを設定したVCNを介してOracleサービスにプライベート・アクセスできるオンプレミス・ネットワークも設定する必要がある場合、この構成で説明されている2種類のネットワーク・レイアウトを使用できます。

1つ目のレイアウトでは、次の図に示すように、ハブアンドスポーク・レイアウトのVCNを使用して単一のDRGを設定します。ハブとして機能するVCNは、オンプレミス・ネットワークがOracleサービスにプライベート・アクセスできるようにするための専用のVCNです。他のVCNは、ハブVCNとローカルにピアリングされています。Oracleサービスへのプライベート・アクセスの設定の手順に従って、ハブVCNのみを構成します。このハブアンドスポーク・レイアウトは推奨されるレイアウトであり、ハブVCN内の転送ルーティングで詳しく説明されています。

2つ目のレイアウトでは、VCNごとに個別のDRGがあり、オンプレミス・ネットワークから各DRGへの接続には個別のFastConnectプライベート仮想回線またはサイト間VPNが使用されます。オンプレミス・ネットワークがOracleサービスにプライベート・アクセスできるようにするための専用のDRGおよびVCNを1つ設定します。次の図では、中央にあるのがそのVCNです。そのVCNを構成するには、Oracleサービスへのプライベート・アクセスの設定の手順に従ってください。

どちらのレイアウトでも、オンプレミス・ネットワークは単一のVCNのサービス・ゲートウェイ(この目的専用のもの)を介してのみOracleサービスに到達でき、他のVCNのサービス・ゲートウェイを介しては到達できないことに注意してください。他のVCNでは、そのVCN内部のリソースのみがそのVCNのサービス・ゲートウェイを介してOracleサービスに到達できます。

どのレイアウトを選択するかに関係なく、オブジェクト・ストレージ・バケットに対して、特定のVCNのサービス・ゲートウェイを介して入ってきたリクエストのみが許可されるようにアクセスを制限するIAMポリシーを記述できます。どちらのレイアウトでも、複数のVCNからのリクエストを許可するポリシーを記述することができます。特定のVCNへのアクセスを制限するには、ネットワーク・ソースを作成して許可されるVCNを指定してから、ネットワーク・ソースのみへのアクセスを制限するポリシーを記述します。1つのネットワーク・ソースで複数のVCNを指定することも、VCNごとに1つのネットワーク・ソースを作成することもできます。ネットワーク・ソースの作成の詳細は、ネットワーク・ソースの管理を参照してください。

次のポリシーの例では、各VCNに1つのネットワーク・ソースを設定することを想定しています。このポリシーでは、ObjectBackupグループ例のリソースが、ABCというコンパートメントにあるdb-backupという既存のバケットにオブジェクトを書き込めるようにします。このようなポリシーを記述するときには、1つ以上のネットワーク・ソースを指定できます。この例では、3つ示されています。

Allow group ObjectBackup to read buckets in compartment ABC

Allow group ObjectBackup to manage objects in compartment ABC where
   all {target.bucket.name='db-backup', 
        any {request.networkSource.name='<hub_VCN_network_source>', request.networkSource.name='<spoke_1_VCN_network_source>', request.networkSource.name='<spoke_2_VCN_network_source>'},
        any {request.permission='OBJECT_CREATE', request.permission='OBJECT_INSPECT'}}

詳細は、サービス・ゲートウェイの設定手順のコンソールでのサービス・ゲートウェイの設定を参照してください。

Oracleサービスへのプライベート・アクセスのためにVCNを介したルーティングを行う場合、2つのオプションがあります:

• ゲートウェイを介した直接の転送ルーティング: ゲートウェイ間でVCNを介してトラフィックを直接ルーティングします。
• プライベートIPを介した転送ルーティング: オンプレミス・ネットワークとOracle Services Network間のトラフィックをフィルタ処理または検査するためのインスタンスをVCN内に設定し、そのインスタンス上のプライベートIPを介してトラフィックをルーティングします。

次の各項に示す例では、オンプレミス・ネットワークまたはOracle Services Networkにアクセスする必要のあるワークロードがVCNに含まれていないことを前提にしています。VCNは、VCNを介したトラフィックの転送ルーティングにのみ使用されています。

管理者グループのメンバーであれば、転送ルーティングを設定するために必要なアクセス権はすでに持っています。そうでない場合は、ネットワーキング・サービスへのアクセス権が必要であり、インスタンスを起動できる必要もあります。ネットワーキングに対するIAMポリシーを参照してください。

この項では、コンソールを使用して、VCNが関与する転送ルーティングを設定して、オンプレミス・ネットワークにOracleサービスへのプライベート・アクセス権を付与する方法を示します。

転送ルーティングを無効にするには、次のものからルールを削除します:

• DRGアタッチメントに関連付けられたルート表。
• サービス・ゲートウェイに関連付けられたルート表。

ルート表は、ルールなしでリソースに関連付けられている場合もあります。少なくとも1つのルールがないと、ルート表は何も行いません。

DRGアタッチメントまたはサービス・ゲートウェイは、ルート表が関連付けられていない状態でも存在できます。ただし、ルート表をDRGアタッチメントまたはサービス・ゲートウェイに関連付けた後は、常にルート表が関連付けられている必要があります。ただし、異なるルート表を関連付けることもできます。表のルールの編集や、ルールの一部またはすべての削除も可能です。