Oracle Database@AWS で Amazon VPC への ODB ピアリングを設定する

ODB ピアリングは、Amazon VPC と ODB ネットワーク間でトラフィックをプライベートにルーティングできるようにする、ユーザー作成のネットワーク接続です。VPC と ODB ネットワークの間には 1 対 1 の関係があります。コンソール、CLI、または API を使用してピアリング接続を作成したら、VPC ルートテーブルを更新し、DNS 解決を設定してください。ODB ピアリングの概念の概要については、「ODB ピアリング」を参照してください。

Oracle Database@AWS での ODB ピアリング接続の作成

ODB ピアリング接続を使用して、Oracle Exadata インフラストラクチャと Amazon VPC で実行されているアプリケーション間のプライベートネットワーク接続を確立できます。各 ODB ピアリング接続は、ODB ネットワークとは別に作成、表示、削除できる個別のリソースです。

ODB ピアリング接続を作成するときに、ピアネットワークの CIDR 範囲を指定できます。この手法により、必要なサブネットへのネットワークアクセスを制限し、攻撃の潜在的なターゲットを減らし、コンプライアンス要件に対して、より詳細なネットワークセグメンテーションができるようになります。

次のタイプの ODB ピアリング接続を作成できます。

VPC と ODB ネットワークの間には 1 対 1 の関係があります。VPC と複数の ODB ネットワーク間、または ODB ネットワークと複数の VPC 間で ODB ピアリング接続を作成することはできません。

aws odb create-odb-peering-connection \
    --odb-network-id odbnet-1234567890abcdef \
    --peer-network-id vpc-abcdef1234567890

aws odb create-odb-peering-connection \
    --odb-network-id odbnet-1234567890abcdef \
    --peer-network-id vpc-abcdef1234567890 \
    --peer-network-cidrs-to-be-added "10.0.1.0/24,10.0.2.0/24"

aws odb list-odb-peering-connections

aws odb get-odb-peering-connection \
    --odb-peering-connection-id odbpcx-1234567890abcdef

ODB ピアリング接続の更新

既存の ODB ピアリング接続を更新し、ピアネットワーク CIDR を追加または削除できます。ピア VPC 内のどのサブネットが ODB ネットワークにアクセスできるかを制御します。

aws odb update-odb-peering-connection \
    --odb-peering-connection-id odbpcx-1234567890abcdef \
    --peer-network-cidrs-to-be-added "10.0.1.0/24,10.0.3.0/24"

aws odb update-odb-peering-connection \
    --odb-peering-connection-id odbpcx-1234567890abcdef \
    --peer-network-cidrs-to-be-removed "10.0.1.0/24,10.0.3.0/24"

ODB ピアリング用の VPC ルートテーブルの設定

ルートテーブルには、サブネットまたはゲートウェイからのネットワークトラフィックの経路を判断する、ルートと呼ばれる一連のルールが含まれます。ルートテーブルの送信先 CIDR は、トラフィックの送信先となる IP アドレスの範囲です。ODB ネットワークへの ODB ピアリング用に VPC を指定した場合、ODB ネットワークの宛先 IP 範囲を使用して VPC ルートテーブルを更新します。ODB ピアリングの詳細については、「ODB ピアリング」を参照してください。

ルートテーブルを更新するには、AWS CLI ec2 create-route コマンドを使用します。次の例では、Amazon VPC ルートテーブルを更新します。詳細については、「ODB ピアリング用の VPC ルートテーブルの設定」を参照してください。

aws ec2 create-route \
    --route-table-id rtb-1234567890abcdef \
    --destination-cidr-block 10.0.0.0/16 \
    --odb-network-arn arn:aws:odb:us-east-1:111111111111:odb-network/odbnet_1234567890abcdef

ODB ネットワークのルートテーブルは、VPC CIDR で自動的に更新されます。VPC 内のすべての CIDR ではなく、特定のサブネット CIDR に対してのみ ODB ネットワークへのアクセスを許可するには、ODB ピアリング接続を作成するときにピアネットワーク CIDR を指定するか、既存の ODB ピアリング接続を更新してピアリング CIDR 範囲を追加または削除できます。詳細については、「Oracle Database@AWS での ODB ピアリング接続の作成」および「ODB ピアリング接続の更新」を参照してください。

VPC ルートテーブルの詳細については、「Amazon Virtual Private Cloud ユーザーガイド」の「サブネットルートテーブル」および「AWS CLI コマンドリファレンス」の「ec2 create-route」を参照してください。

Oracle Database@AWS の DNS の設定

Amazon Route 53 は、DNS ルーティングに使用できる可用性と拡張性に優れたドメインネームシステム (DNS) のウェブサービスです。ODB ネットワークと VPC の間に ODB ピアリング接続を作成する場合、VPC 内から ODB ネットワークリソースの DNS クエリを解決するメカニズムが必要です。Amazon Route 53 を使用して、以下のリソースを設定できます。

Oracle Database@AWS での DNS の仕組み

Oracle Database@AWS は、ODB ネットワークのドメインネームシステム (DNS) 設定を自動的に管理します。ドメイン名には、デフォルトのドメイン名 oraclevcn.com にカスタムプレフィックスを指定するか、完全なカスタムドメイン名を指定できます。詳細については、「ステップ 1: Oracle Database@AWS で ODB ネットワークを作成する」を参照してください

Oracle Database@AWS が ODB ネットワークをプロビジョニングすると、次のリソースが作成されます。

Oracle Database@AWS の ODB ネットワークでのアウトバウンドエンドポイントの設定

アウトバウンドエンドポイントを使用すると、DNS クエリを VPC からネットワークまたは IP アドレスに送信できます。エンドポイントは、クエリの送信元の IP アドレスを指定します。DNS クエリを VPC から ODB ネットワークに転送するには、Route 53 コンソールを使用してアウトバウンドエンドポイントを作成します。詳細については、「アウトバウンド DNS クエリのネットワークへの転送」を参照してください。

Oracle Database@AWS でのリゾルバールールの設定

リゾルバールールは、DNS クエリをルーティングする方法を決定する一連の基準です。リゾルバーが ODB ネットワークの DNS に転送する DNS クエリのドメイン名を指定するルールを再利用または作成します。

既存のリゾルバールールの使用

既存のリゾルバールールを使用するのに、アクションはルールのタイプによって異なります。

新しいリゾルバールールの作成

既存のリゾルバールールを再利用できない場合、Amazon Route 53 コンソールを使用して新しいルールを作成します。

Oracle Database@AWS の DNS 設定をテストする

アウトバウンドエンドポイントとリゾルバールールを作成した後、DNS が正しく解決することをテストします。アプリケーション VPC で Amazon EC2 インスタンスを使用して、次のように DNS 解決を実行します。

Oracle Database@AWS の Amazon VPC Transit Gateway の設定

Amazon VPC Transit Gateway は、仮想プライベートクラウド (VPC) とオンプレミスネットワークを相互接続するネットワークの中継ハブです。ハブアンドスポークアーキテクチャの各 VPC は、トランジットゲートウェイに接続して、他の接続VPC にアクセスできます。AWS Transit Gateway は、IPv4 と IPv6 の両方のトラフィックをサポートしています。

Oracle Database@AWS では、ODB ネットワークは 1 つの VPC へのピア接続のみをサポートします。ODB ネットワークにピア接続されている VPC に Transit Gateway を接続する場合は、複数の VPC をこのゲートウェイに接続できます。これら異なる VPC で実行されているアプリケーションは、ODB ネットワークで実行されている Exadata VM クラスターにアクセスできます。

次の図は、2 つの VPC と 1 つのオンプレミスネットワークに接続されているトランジットゲートウェイを示しています。

前述の図では、1 つの VPC が ODB ネットワークにピア接続されています。この設定では、ODB ネットワークはトランジットゲートウェイにアタッチされたすべての VPC にトラフィックをルーティングできます。VPC のそれぞれのルートテーブルには、ローカルルートと、ODB ネットワークを宛先とするトラフィックをトランジットゲートウェイに送信するルートの両方が含まれます。

AWS Transit Gateway では、トランジットゲートウェイへの 1 時間あたりの接続数と、AWS Transit Gateway を経由するトラフィック量に対して課金されます。コストに関する情報については、「AWS Transit Gateway 料金表」を参照してください。

要件

Oracle Database@AWS 環境が以下の要件を満たしていることを確認します。

制限

Oracle Database@AWS の Amazon VPC Transit Gateway には以下の制限があることに注意してください。

トランジットゲートウェイのセットアップと設定

Amazon VPC コンソールまたは aws ec2 コマンドを使用して、トランジットゲートウェイを作成し、設定します。次の手順では、ODB ネットワークが AWS アカウントの VPC にピア接続されていないことを前提としています。ODB ネットワークと VPC がアカウントで既にピアリングされている場合、ステップ 1～3 をスキップします。

Oracle Database@AWS の AWS Cloud WAN の設定

AWS Cloud WAN は、マネージド型ワイドエリアネットワーク (WAN) サービスです。AWS Cloud WAN を使用して、クラウド環境とオンプレミス環境全体で実行されているリソースを接続する統合グローバルネットワークを構築、管理、モニタリングできます。

AWS Cloud WAN で、グローバルネットワークは、ネットワークオブジェクトの高レベルコンテナとして機能する単一のプライベートネットワークです。コアネットワークは、AWS によって管理されるグローバルネットワークの一部です。

AWS Cloud WAN には、以下のような主な利点があります。

Oracle Database@AWS では、ODB ネットワークは 1 つの VPC へのピア接続のみをサポートします。AWS Cloud WAN コアネットワークをピア接続された VPC に接続すると、グローバルトラフィックルーティングが有効になります。複数のリージョンにまたがってアタッチされた VPC 内のアプリケーションは、ODB ネットワーク内の Exadata VM クラスターにアクセスできます。ODB ネットワークトラフィックを独自のセグメントに分離したり、他のセグメントへのアクセスを有効にしたりできます。

次の図は、3 つの VPC と 1 つのオンプレミスネットワークに接続されている AWS Cloud WAN コアネットワークを示しています。

AWS Cloud WAN は、ODB ネットワークをアタッチメントとして使用するネイティブ統合は提供しません。したがって、次のような VPC 機能は利用できません。

AWS Cloud WAN では、以下に対して時間単位で課金されます。

料金の詳細については、「AWS Cloud WAN の料金表」を参照してください。