Aller au contenu
  • Société
    • Qui sommes-nous
    • Nos valeurs
    • Nos partenaires
    • Entreprise citoyenne
    • Régions
  • Services
    • Expertise
    • Formation
    • Développement
    • Migration
    • Infogérance
  • Join the Team
  • Actualités
  • Blog
  • Formations
  • Rugb’Easyteam
  • Contact
Menu
  • Société
    • Qui sommes-nous
    • Nos valeurs
    • Nos partenaires
    • Entreprise citoyenne
    • Régions
  • Services
    • Expertise
    • Formation
    • Développement
    • Migration
    • Infogérance
  • Join the Team
  • Actualités
  • Blog
  • Formations
  • Rugb’Easyteam
  • Contact
Inscrivez-vous à la newsletter

Inscrivez-vous à la newsletter

Abonnez-vous maintenant et nous vous tiendrons au courant.
Nous respectons votre vie privée. Vous pouvez vous désabonner à tout moment.

Bienvenue sur le Blog d'EASYTEAM (ex ArKZoYd)

  • Accueil
  • Actualités
  • Cloud
  • Infrastructure
  • Données / Sécurité
  • Intégration
  • Dev / DevOps
  • SAM / FinOps
Menu
  • Accueil
  • Actualités
  • Cloud
  • Infrastructure
  • Données / Sécurité
  • Intégration
  • Dev / DevOps
  • SAM / FinOps
  • le 27/11/2019
  • dummydba
  • Données / Sécurité, Oracle, Oracle 12c

Sécurisation des environnements colocatifs

Partager sur linkedin
LinkedIn
Partager sur twitter
Twitter
Partager sur facebook
Facebook
Partager sur google
Google+

A partir de la version 20c, l’architecture colocative deviendra la norme – l’architecture historique étant dépréciée.
Cette architecture n’a pas encore été largement adoptée, et pour cause, elle nécessite l’acquisition d’une option payante : Multitenant.
Un mode gratuit est néanmoins possible en créant un conteneur (CDB) avec une seule Pluggable Database (PDB) : Single Tenant.

Pour populariser cette option, Oracle permet, à partir de la version 19c, de créer jusqu’à 3 PDBs dans une base de données de conteneurs sans surcoût.

Une bonne occasion pour présenter une nouvelle fonctionnalité permettant de sécuriser des environnements consolidés (notamment avec des PDB) : Database Service Firewall.

Pour rappel :

Le nombre maximum de PDB par Edition en 12c :

La version 12cR2 apportait les fonctionnalités suivantes :

  • Clonage à chaud d’une Pluggable Database,
  • Simplification des Plug/Unplug de PDB,
  • Création d’Application Containers permettant de regrouper logiquement des PDB,
  • Proxy PDBs : permettant le référencement et l’accès de PDB situés dans d’autres CDB,
  • PDB Lockdown Profile : profil de ressources que l’on associera à un ensemble de PDB,
  • Gestion améliorée de la mémoire permettant de définir la mémoire au niveau PDB.

La version 18c apportait les fonctionnalités suivantes :

  • CDB Fleet permettant de gérer un groupe de CDB comme une seule. Deux rôles existent pour définir les membres de ce groupe (LEAD ou MEMBER). Le « leader » permet de gérer toutes les PDB (qui doivent être unique dans la flotte) des autres CDB.
  • PDB Snapshot Carousel : les clichés de PDB et un fichier d’archive .pdb permettent de restaurer des PDB anciennes sans utiliser la technologie de FLASHBACK. Un « Carousel » est un référentiel pour les copies périodiques d’un PDB. Cela permet par exemple d’effectuer un cliché tous les jours, conservé sur 7 jours glissants (MAX_PDB_SNAPSHOTS inférieur à 8).
  • En 12cR2, il était possible de définir une stratégie de partitionnement dans plusieurs PDB selon les valeurs d’une colonne. En 18c, la propriété CONTAINER_MAP est maintenant dynamique.
  • En 12c, il était possible de créer des clones réguliers d’une PDB (Refreshable Cloned PDB). En 18c, il est possible d’échanger le rôle entre la base principale et un clone.
  • Clonage d’une Pluggable Database avec DBCA.

La version 19c apporte les fonctionnalités suivantes :

  • Clonage d’une Pluggable Database avec DBCA en mode silencieux,
  • Relocalisation d’une Pluggable Database avec DBCA en mode silencieux,
  • Duplication d’une Pluggable Database avec DBCA en mode silencieux.

 

Database Service Firewall se configure à deux niveaux :

  • Sur le module d’écoute, en positionnant l’option FIREWALL=ON,
  • Dans la base, en associant des listes de contrôle d’accès (ACL) aux services : Service-Level Access Control Lists (ACLs).

La configuration du module d’écoute s’effectue avec la commande suivante :

   $ srvctl modify listener -endpoints TCP:1521:FIREWALL=ON

ou (sans la Grid Infrastructure) en modifiant le fichier listener.ora :

LISTENER =
  (DESCRIPTION_LIST =
    (DESCRIPTION =
      (ADDRESS = (PROTOCOL = TCP)(HOST = )(PORT = )(FIREWALL=ON))
      (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1521))
    )
  )

Dans les deux cas, il est nécessaire de positionner le paramètre « LOCAL_REGISTRATION_ADDRESS_LISTENER = ON ».

 

Pour rappel, la création d’un service de deux manières :

  • Avec une Grid Infrastructure (Oracle Restart ou Oracle Clusterware) : srvctl add service
  • Sans Grid Infrastructure : DBMS_SERVICE.CREATE_SERVICE

Ensuite, la création des ACL s’effectue de la manière suivante :

BEGIN
   DBSFWUSER.DBMS_SFW_ACL_ADMIN.IP_ADD_ACE(p_service_name => '', p_host => '');
   DBSFWUSER.DBMS_SFW_ACL_ADMIN.COMMIT_ACL;
END;
/

Le paramètre P_HOST de la procédure IP_ADD_ACE permet de définir l’hôte qui est autorisé à accéder aux services de base de données. Cette valeur peut être un nom d’hôte, une adresse IPv4 ou une adresse IPv6. Les caractères génériques « * » pour les formats IPv4 et CIDR sont également autorisés.

La procédure COMMIT_ACL du package DBMS_SFW_ACL_ADMIN envoie la configuration à tous les modules d’écoute locaux.

La procédure IP_REMOVE_ACE du package DBMS_SFW_ACL_ADMIN permet d’annuler la configuration.

 

Dans le cas de l’architecture colocative, il est possible de positionner ces ACL au niveau de chaque PDB :

BEGIN
   DBSFWUSER.DBMS_SFW_ACL_ADMIN.IP_ADD_PDB_ACE (p_pdb_name => '', p_host => '');
   DBSFWUSER.DBMS_SFW_ACL_ADMIN.COMMIT_ACL;
END;
/

Pour rappel, il est également possible de démarrer une PDB en créant un service associé (srvctl add service … -pdb ) et ainsi de démarrer une PDB sur un nœud et d’ouvrir cette PDB sur un autre nœud en cas d’arrêt planifié ou d’incident.

L’association des services et des PDB permet ainsi de contrôler la disponibilité, l’évolutivité et la sécurité des applications.

 

dummydba
dummydba
Voir tous ses articles
Partager sur linkedin
LinkedIn
Partager sur twitter
Twitter
Partager sur facebook
Facebook
Partager sur google
Google+

Laisser un commentaire Annuler la réponse

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Les derniers articles

  • AZURE IaaS VM BACKUP 11/12/2019
  • Gestion de la haute disponibilité PostgreSQL avec REPMGR 09/12/2019
  • Migrer votre workload dans Azure avec Azure Migrate et Azure Site Recovery 2/2 04/12/2019
  • Migrer votre workload dans Azure avec Azure Migrate et Azure Site Recovery 1/2 02/12/2019
  • Sécurisation des environnements colocatifs 27/11/2019

Les derniers commentaires

  • Hafedh Kaddachi dans Duplicate for standby : RMAN-05507: standby control file checkpoint is more recent than duplication point-in-time
  • manu sharma dans Les outils du Big Data
  • Oracle Cloud Gen 2 (OCI) : (4) Utiliser Terraform - EASYTEAM dans Oracle Cloud Gen 2 : (1) Les premiers pas
  • Isaac ARNAULT dans Terraform & Microsoft Azure : Partie 1 – l’IaC c’est quoi ?
  • קידום אתרים בגוגל dans Introduction à Oracle UCM : Content Server
Espace Membres
Mot de passe perdu?
EASYTEAM

Tour Nova, 71 Boulevard National,
92250 La Garenne-Colombes
Tél. 0800 40 60 40
contact@easyteam.fr

Facebook Linkedin Twitter
Navigation
  • Accueil
  • Qui sommes-nous
  • Entreprise citoyenne
  • Nos valeurs
  • Régions
  • Partenaires
  • Contact
  • Support
Menu
  • Accueil
  • Qui sommes-nous
  • Entreprise citoyenne
  • Nos valeurs
  • Régions
  • Partenaires
  • Contact
  • Support
Services
  • Développement
  • Migration
  • Infogérance
  • Expertise
  • Formation
Menu
  • Développement
  • Migration
  • Infogérance
  • Expertise
  • Formation
Blog
  • Cloud
  • Infrastructures
  • Data
  • Intégration
  • Dev / DevOps
  • SAM / FinOps
  • Applications
Menu
  • Cloud
  • Infrastructures
  • Data
  • Intégration
  • Dev / DevOps
  • SAM / FinOps
  • Applications
Copyright 2018 - EASYTEAM, Tous droits réservés
Mentions légales
Politique de confidentialité​