このページは機械翻訳したものです。

Oracle Cloud Infrastructureドキュメント
Free Tierを試してみる

シナリオA: パブリック・サブネット

シナリオAは、テナンシ内のコンピュート・インスタンスへのネットワーク接続に必要なリージョナル・パブリック・サブネットを持つ仮想クラウド・ネットワーク(VCN)で構成されます。パブリック・サーバーは冗長性のために個別の可用性ドメイン(AD)に作成され、VCNでは、より柔軟で効率的にVCNをサブネットに分割しやすくなり、潜在的な障害も発生するため、リージョナル・サブネットが使用されます。VCNは、インターネット・ゲートウェイ経由でインターネットに直接接続されています。また、オンプレミス・ネットワークへの接続にもゲートウェイが使用されます。オンプレミス・ネットワーク内のこのVCN内のリソースと通信する必要があるリソースは、パブリックIPアドレスおよびインターネットへのアクセス権を持つ必要があります。

サブネットでは初期デフォルト・セキュリティ・リストが使用されるため、Oracle Cloud Infrastructureの使用を簡単に開始できます。このリストには、一般的な必須アクセス(インバウンドSSH接続や任意のタイプのアウトバウンド接続など)を許可するセキュリティ・ルールが含まれています。セキュリティ・リスト・ルールでは、セキュリティ・リスト・ルールで明示的に許可されないトラフィックおよびトラフィックのみが暗黙的に拒否されることに注意してください。ルート・ルールについても同様です。ルート・ルールでは、アウトバウンド・トラフィックが明示的に許可され、特定の宛先へのトラフィックが必要なゲートウェイに送信されることも必要です。VCN外部のルーティング宛先は、作成するゲートウェイを介して到達可能で、リソースが使用するサブネットに関連付けられたルート表に明示的に指定する必要があります。

このシナリオでは、デフォルト・セキュリティ・リストに新しいルールを追加します。このルールは、コンピュート・インスタンスにインターネットへのアクセス権を付与するために必要です。かわりに、このルールのカスタム・セキュリティ・リストを作成し、デフォルト・セキュリティ・リストとカスタム・セキュリティ・リストの両方を使用するようにサブネットを設定できますが、これはこのシナリオの範囲外です。

ヒント

セキュリティ・リストは、VCNのリソース内外のトラフィックを制御する1つの方法です。ネットワーク・セキュリティ・グループを使用することもできます

このシナリオでは、サブネットはデフォルト・ルート表も使用します。VCNの作成時に、この表はルールなしで始まります。表に必要なルールは、インターネット・ゲートウェイに対して1つのみです。

このシナリオでは、Dynamic Routing Gateway (DRG)は使用されません。

次の図は、リージョナル・パブリック・サブネット内のパブリックIPアドレスを持つリソースと、同じサブネット内の異なるAD内の冗長リソースを示しています。パブリック・サブネット・ルート表では、すべての受信トラフィックがインターネット・ゲートウェイを介してパブリック・サブネットに進入および退出することができ、デフォルト・セキュリティ・リストを使用して、VCNに組み込まれたローカル・ルーティングを使用します。インターネット経由でVCNリソースと通信するには、オンプレミス・ホストにパブリックIPアドレスが必要です。

この図は、シナリオA: リージョナル・パブリック・サブネットおよびインターネット・ゲートウェイを使用したVCNを示しています。
コールアウト1: リージョナル・パブリック・サブネット・ルート表
宛先CIDR ルート・ターゲット
0.0.0.0/0 インターネット・ゲートウェイ

必要なIAMポリシー

Oracle Cloud Infrastructureを使用するには、管理者がテナンシ管理者によってポリシーでセキュリティ・アクセス権が付与されたグループのメンバーである必要があります。コンソールまたは(SDK、CLIまたはその他のツールを使用した) REST APIのどれを使用しているかにかかわらず、このアクセス権が必要です。権限がない、または認可されていないというメッセージが表示された場合は、どのタイプのアクセス権があり、どのコンパートメントでアクセスが機能するかをテナンシ管理者に確認してください。

管理者グループのメンバーであれば、シナリオAを実装するために必要なアクセス権はすでにある可能性があります。そうでない場合は、Networkingへのアクセス権が必要であり、インスタンスを作成できる必要もあります。ネットワーキングに対するIAMポリシーを参照してください。

コンソールでのシナリオAの設定

コンソールでの設定は簡単です。

ノート

以前にVCNを作成したことがない場合、「インターネット接続性を持つVCNの作成」で説明したワークフローは、パブリックおよびプライベートのサブネット、ゲートウェイ、およびVCN内のインスタンスおよび他のリソースへのインターネット・アクセスを提供するために必要なルート・ルールおよびセキュリティ・ルールを含むVCNを簡単に作成する方法です。ワークフローを使用してこのタスクを実行すると、ワークフローはこのシナリオのタスク1から5を処理できます。

APIを使用したシナリオAの設定

APIの使用およびリクエストの署名の詳細は、REST APIのドキュメントおよびセキュリティ資格証明を参照してください。SDKの詳細は、SDKおよびCLIを参照してください。

次の操作を使用します:

  1. CreateVcn: インスタンスにホスト名を付ける場合は、常にVCNのDNSラベルを含めてください(仮想クラウド・ネットワークのDNSを参照)。
  2. CreateSubnet: リージョナル・パブリック・サブネットを1つ作成します。インスタンスにホスト名を付ける場合は、サブネットのDNSラベルを含めてください。デフォルト・ルート表、デフォルト・セキュリティ・リストおよびデフォルトのDHCPオプション・セットを使用します。
  3. CreateInternetGateway
  4. UpdateRouteTable: インターネット・ゲートウェイ経由の通信を有効にするには、宛先を0.0.0.0/0、宛先ターゲットをインターネット・ゲートウェイに設定したルート・ルールを含めてデフォルト・ルート表を更新します。このルールにより、VCN外部のアドレスに対して送信されるすべてのトラフィックがインターネット・ゲートウェイにルーティングされます。VCN内でトラフィックをルーティングするために必要なルート・ルールはありません。
  5. UpdateSecurityList: サブネット内のインスタンスを起点または終点とする特定タイプの接続を許可します。
重要

Windowsインスタンスのセキュリティ・リスト・ルール

Windowsインスタンスを作成する場合は、Remote Desktop Protocol (RDP)アクセスを有効化するセキュリティ・ルールを追加する必要があります。RDPを有効にするには、ソース0.0.0.0/0および任意のソース・ポートからの宛先port 3389上のTCPトラフィックに対してステートフル・イングレス・ルールが必要です。詳細は、セキュリティ・リストを参照してください。

次のステップでは、サブネット内に1つ以上のインスタンスを作成します。このシナリオの図は、2つの異なる可用性ドメイン内のインスタンスを示しています。インスタンスを作成するときに、AD、使用するVCNとサブネット、およびその他の特性を選択します。

各インスタンスは、自動的にプライベートIPアドレスを取得します。パブリック・サブネットにインスタンスを作成する場合、インスタンスがパブリックIPアドレスを取得するかどうかを決定します。シナリオAでこのネットワーク設定にした場合は、各インスタンスにパブリックIPアドレスを付与する必要があります。そうしないと、インターネット・ゲートウェイを介してインスタンスにアクセスできません。デフォルト(パブリック・サブネット用)では、インスタンスがパブリックIPアドレスを取得します。

このシナリオでインスタンスを作成した後は、オンプレミス・ネットワークやインターネット上のその他の場所から、SSHまたはRDPを使用してインターネット経由でインスタンスに接続できます。詳細は、インスタンスの作成を参照してください。

この記事は役に立ちましたか。