[OCI] Oracle Cloud의 기본 사항

1. 물리적 아키텍처 개념(Physical Architecture Concepts)

1) 리전(Regions)

OCI는 리전(Regions) 및 가용성 도메인(Availability Domains)에서 물리적으로 호스팅된다. 리전(Regions)은 제한된 지리적 영역이며, 가용성 도메인(AD)은 리전에 위치한 하나 이상의 데이터 센터이다.

Oracle Cloud 리전은 안전하고 고성능의 로컬 환경을 제공하는 전 세계적으로 분산된 데이터 센터입니다. 이러한 리전을 통해 기업은 지역 데이터 규정을 준수하면서 클라우드의 모든 워크로드를 인프라에서 애플리케이션으로 마이그레이션, 구축 및 실행할 수 있습니다.

https://docs.oracle.com/en-us/iaas/Content/General/Concepts/regions.htm#top

Regions and Availability Domains

https://docs.oracle.com/en-us/iaas/Content/General/Concepts/dedicatedregions.htm#dedicatedregions

Dedicated Regions

 

 

2) 가용성 도메인(AD, Availability Domains)

가용성 도메인(Availability Domains)은 서로 격리되고 내결함성이기 때문에 동시에 장애가 발생하거나 다른 가용성 도메인(AD)의 장애에 영향을 받지 않는다. 클라우드 서비스를 구성할 때 여러 가용성 도메인(AD)을 사용하여 고가용성을 보장하고 리소스 장애로부터 보호한다. 인스턴스 및 이에 연결된 스토리지 볼륨과 같은 일부 자원은 동일한 가용성 도메인(AD) 내에 작성되어야 한다.

https://docs.oracle.com/en-us/iaas/Content/General/Concepts/regions.htm#About

Regions and Availability Domains

 

3) 오류 도메인(Fault Domain)

Fault Domain은 Availability Domain 내의 하드웨어 및 인프라의 그룹이다. 각 Availability Domain은 3개의 Fault Domain이 포함되어 있다.

Fault Domain은 단일 Availability Domain 내에서 인스턴스가 동일한 물리적 하드웨어에 존재하지 않도록 인스턴스를 분산 시킬 수 있다. 

하나의 Fault Domain 내의 하드웨어 장애 또는 컴퓨팅 하드웨어 유지 보수 작업은 다른 Fault Domain의 인스턴스에 영향을 주지 않는다.

 

새 인스턴스를 생성할 때, 사용자는 Fault Domain을 선택할 수 있다. 선택하지 않으면 시스템이 자동으로 지정한다. 인스턴스의 Fault Domain을 변경하기 위해서는 인스턴스를 Terminate 시키고 다시 생성하여야 하므로 인스턴스 생성 시 잘 선택해야 한다.

 

※ Fault Domain을 사용하는 경우

• 예상하지 못한 하드웨어 실패에 대비하기 위한 경우
• 계획된 하드웨어 유지 보수 작업에 대비하기 위한 경

4) 영역(Realms)

영역(Realms)은 리전의 논리적 모음이다. 영역은 서로 격리되어 데이터를 공유하지 않는다. 테넌시는 단일 영역에 존재하며 해당 영역에 속한 리전에 액세스할 수 있다.

 

[참고] https://docs.oracle.com/en-us/iaas/Content/GSG/Concepts/concepts-physical.htm

 

 

2. 계정 및 액세스 개념(Account and Access Concepts)

1) 테넌시(Tenancy)

Oracle Cloud 서비스에 가입하거나 구독하면 테넌시를 생성한다. 계정으로 생각할 수 있지만, 클라우드 리소스를 생성, 구성 및 관리할 수 있는 OCI 내에서 보안적으로 분리된 파티션이기도 한다. 가입하면 테넌시가 홈 리전에 생성되지만 테넌시에서는 필요한 수의 리전을 구독할 수 있다. 대규모 조직에서는 여러 테넌시를 가질 수 있다.

https://docs.oracle.com/en-us/iaas/Content/General/Concepts/tenancy_management.htm#tenancy_management

Tenancy Management

 

2) 컴파트먼트(Compartment)

Compartment를 사용하면 클라우드 리소스에 대한 액세스를 구성하고 제어할 수 있다. Compartment는 관리자가 권한이 부여된 특정 그룹만 액세스할 수 있는 관련 리소스(인스턴스, 가상 클라우드 네트워크, 블록 볼륨 등)의 모음이다. 자원들을 쉽게 관리할 수 있도록 하는 개념으로 디렉터리 구조로 생각할 수 있다.

Tenancy가 생성되면 최초로 Root Compartment 하나가 만들어져 있으며, 관리자가 Root Compartment 하위로 새로운 Compartment를 추가할 수 있다. 모든 OCI 자원들은 특정 Compartment에 속하게 되며 Compartment 단위로 사용자들의 접근 정책을 관리할 수 있다.

계층 구조로 되어 있으며, 관리자는 부서, 사용 목적 등을 생각해 Compartment를 구성하고, 그에 따라 사용자 그룹을 할당하고, Compartment 별로 IAM Policy를 설정하여, 사용자 및 자원에 대한 권한을 설정할 수 있다.

 

3) 신원 도메인 및 정책(Identity Domains and Policies)

Identity Domains은 사용자 및 역할 관리, 사용자 페더레이션 및 프로비저닝, Oracle Single Sign-On(SSO) 구성을 사용한 보안 애플리케이션 통합 및 OAuth 관리를 위한 컨테이너이다. 이는 Oracle Cloud Infrastructure 사용자 인구와 관련 구성 및 보안 설정(ex. MFA)을 나타낸다.

https://docs.oracle.com/en-us/iaas/Content/Identity/getstarted/identity-domains.htm#overview

Overview of IAM

 

Policy는 누가 어떤 리소스에 액세스할 수 있는지, 어떻게 액세스할 수 있는지를 지정하는 문서이다. Oracle Cloud Infrastructure 내의 모든 서비스에 대한 액세스를 제어하는 정책을 작성할 수 있다. 액세스는 그룹 및 구획 수준에서 부여된다. 즉, 특정 구획 내에서 또는 테넌시 자체에 대한 특정 유형의 액세스를 그룹에 제공하는 정책을 작성할 수 있다. 그룹에 테넌시에 대한 액세스 권한을 부여하면 해당 그룹은 자동으로 테넌시 내부의 모든 구획에 대해 동일한 유형의 액세스 권한을 갖게 된다.

https://docs.oracle.com/en-us/iaas/Content/Identity/policiesgs/get-started-with-policies.htm#Example

Getting Started with Policies

https://docs.oracle.com/en-us/iaas/Content/Identity/policieshow/how-policies-work.htm#how_policies_work

How Policies Work (with Identity Domains)

 

4) 오라클 클라우드 식별자(Oracle Cloud Identifier, OCID)

모든 Oracle Cloud Infrastructure 리소스에는 OCID(Oracle Cloud Identifier)라는 Oracle에서 할당한 고유 ID가 있다. 이 ID는 콘솔과 API 모두에서 리소스 정보의 일부로 표현된다.

https://docs.oracle.com/en-us/iaas/Content/General/Concepts/identifiers.htm#Resource_Identifiers

Resource Identifiers

 

5) 보안 구역(Security Zone)

보안 영역(Security Zone)을 사용하면 컴퓨팅, 네트워킹, 객체 스토리지, 데이터베이스 및 기타 리소스가 Oracle 보안 원칙 및 모범 사례를 준수하는지 확신할 수 있다. 보안 영역(Security Zone)은 하나 이상의 Compartment와 연결된다.

https://docs.oracle.com/iaas/security-zone/using/security-zones.htm

Overview of Security Zones

 

[참고] https://docs.oracle.com/en-us/iaas/Content/GSG/Concepts/concepts-account.htm

 

3. 핵심 서비스 개념(Core Services Concepts)

1) VCN

가상 클라우드 네트워크는 인스턴스가 실행되는 서브넷, 라우팅 테이블, 게이트웨이를 포함한 기존 네트워크의 가상 버전이다. 클라우드 네트워크는 단일 지역 내에 상주하지만 모든 지역의 가용성 도메인(AD, Availability Domains)에 있거나 지역의 모든 가용성 도메인(AD)을 포함한다.

 

클라우드 네트워크에서 정의하는 각 서브넷은 단일 가용성 도메인(AD)에 걸쳐 있을 수 있다.

 

인스턴스를 시작하려면 먼저 하나 이상의 클라우드 네트워크를 설정해야 한다. 공용 트래픽을 처리하기 위한 선택적인 인터넷 게이트웨이와 온프레미스 네트워크를 안전하게 확장하기 위한 선택적인 IPSec 연결 또는 FastConnect를 사용하여 클라우드 네트워크를 구성할 수 있다.

https://docs.oracle.com/en-us/iaas/Content/Network/Concepts/landing.htm#top

Networking

 

2) Instance

인스턴스는 클라우드에서 실행되는 컴퓨팅 호스트이다. Oracle Cloud Infrastructure 컴퓨팅 인스턴스를 사용하면 기존 소프트웨어 기반 가상 머신이 아닌 호스팅된 물리적 하드웨어를 활용하여 높은 수준의 보안과 성능을 보장할 수 있다.

 

위 사진은 Oracle Linux와 같은 인스턴스의 운영체제 및 기타 소프트웨어를 정의하는 가상 하드 드라이브의 템플릿이다. 인스턴스를 시작할 때 해당 이미지를 선택하여 해당 특성을 정의할 수 있다. Oracle은 사용할 수 있는 플랫폼 이미지 세트를 제공한다. 또한 동일한 소프트웨어 및 사용자 지정으로 더 많은 인스턴스를 시작하기 위한 템플릿으로 사용하도록 이미 구성한 인스턴스의 이미지를 저장할 수 도 있다.

 

Compute에서 형태는 인스턴스에 할당된 CPU 수와 메모리 양을 지정한다. Oracle Cloud Infrastructure는 다양한 컴퓨팅 요구 사항에 맞는 형태를 제공한다.

 

https://docs.oracle.com/iaas/Content/Compute/References/images.htm

Platform Images

https://docs.oracle.com/iaas/Content/Compute/References/computeshapes.htm

Compute Shapes

 

3) Block Volume

블록 볼륨(Block Volume)은 Oracle Cloud Infrastructure 인스턴스에 영구 블록 스토리지 공간을 제공하는 가상 디스크이다.

예를 들어 데이터와 애플리케이션을 저장하기 위해 컴퓨터의 물리적 하드 드라이브와 마찬가지로 블록 볼륨을 사용한다. 데이터 손실 없이 한 인스턴스에서 볼륨을 분리하고 다른 인스턴스에 연결할 수 있다.

 

[참고] https://docs.oracle.com/en-us/iaas/Content/GSG/Concepts/concepts-core.htm