Google CloudのOracle AI Database上のAutonomous Databaseをプライベート・サービス接続を介したGoogle Cloud Storageに接続 (2026/03/30)

Google CloudのOracle AI Database上のAutonomous Databaseをプライベート・サービス接続を介したGoogle Cloud Storageに接続 (2026/03/30)

https://www.ateam-oracle.com/connect-adbs-to-gcs-psc

投稿者：Catalin Andrei | Master Principal Cloud Architect

Julien Silverston | Solution Architect Multicloud

この記事では、Google API のプライベート サービス コネクト (PSC) エンドポイントを使用して、Google Cloud 上の Oracle AI Database の Autonomous AI Database を Google Cloud Storage バケットに接続する方法をご紹介します。この設定では、データベースをプライベート エンドポイントに保持し、送信データベース トラフィックをそのプライベート エンドポイントを使用するように強制し、オブジェクト ストレージ ホスト名のプライベート DNS レコードを公開し、オブジェクト ストアの認証情報を使用して DBMS_CLOUD を使用します。

Google Cloud における主な違いは、Azure Blob のプライベート エンドポイントと同様にサービス固有のプライベート エンドポイントではなく、Google API 用の PSC エンドポイントを介して Cloud Storage にアクセスする点です。Oracle Autonomous AI Database 側では、プライベート エンドポイントのアウトバウンド ルーティングに OCI VCN リゾルバーが使用されるため、プライベート DNS コントロール ポイントは OCI 内に残ります。

以下の手順では、Autonomous AI Database が既にプライベートエンドポイントを使用しており、Oracle が管理するネットワークと PSC エンドポイントが作成される Google Cloud VPC との間にプライベートネットワーク接続が確立されていることを前提としています。

このデプロイメントのネットワーク概念を理解しておく必要があります。まずは、  プライベートエンドポイントに関する ADB-Sドキュメント、 DBMS_CLOUDドキュメント、 および 「プライベートエンドポイントを使用したアウトバウンド接続のセキュリティ強化」ドキュメントを読むことをお勧めします。

データベースの「ROUTE_OUTBOUND_CONNECTIONS」プロパティを変更すると、ADB-S によって開始されるすべての接続は、子サイトの VCN 内のプライベートエンドポイントを使用するようになることにご注意ください。ROUTE_OUTBOUND_CONNECTIONS データベースプロパティの値に基づいたアウトバウンド接続の処理と DNS 解決の概要については、ドキュメントの表を参照して ください。

アーキテクチャ概要

最終状態は次のようになります。

  1. ファイルはGoogle Cloud Storageのバケットに保存されます。
  2. Google Cloud VPC 内に、すべての Google API 用のプライベート Service Connect エンドポイントが作成されます。
  3. PSCエンドポイントは内部IPアドレスを受け取ります。
  4. OCIプライベートDNSレコードは、バケットのホスト名をそのPSCのIPアドレスにマッピングします。
  5. Autonomous AI Database は、ROUTE_OUTBOUND_CONNECTIONS = ENFORCE_PRIVATE_ENDPOINT で構成されています。
  6. DBMS_CLOUDは、Google Cloud StorageのHMAC認証情報を使用してバケットに接続します。

        

リファレンスアーキテクチャ
図をダウンロード

前提条件

  • プライベートエンドポイントを備えた、Google Cloud上のOracle AI DatabaseにデプロイされたAutonomous AI Database。
  • DNSおよびAutonomous AI Databaseの設定を行うためのOCIコンソールへのアクセス。
  • バケットとPSCエンドポイントが作成されるGoogle Cloudプロジェクトへのアクセス権。
  • バケットへのアクセス権を付与でき、かつHMACキーを所有できるGoogle Cloudサービスアカウント。
  • Autonomous AI DatabaseのプライベートエンドポイントがTCP 443でPSCエンドポイントIPにアクセスできるようにするネットワーク接続。

ステップ1：Google Cloud Storageバケットを作成する

Google Cloud コンソールで、Cloud Storage > バケットを開き、新しいバケットを作成します。グローバルに一意な名前を使用してください。この例では、以下のバケット名を使用します。


クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
adb-private-gcs-demo

ステップ2：Google Cloud Serviceアカウントにバケットへのアクセス権を付与する

Autonomous Databaseとの統合用に、専用のGoogle Cloudサービスアカウントを作成するか、既存のアカウントを選択してください。バケットに対して、必要最小限の権限のみを付与してください。

  • 読み取り専用アクセスには、ストレージオブジェクトビューアを使用してください。
  • アップロード、削除、または更新も必要な場合は、ストレージオブジェクト管理者を使用してください。

この投稿の例では、DBMS_CLOUD.LIST_OBJECTS を使用して構成を検証するため、読み取り専用アクセスで十分です。

ステップ3：クラウドストレージ相互運用性のためのHMACキーを作成する

Cloud Storage > 設定 > 相互運用性を開き、前の手順で作成したサービスアカウントの新しい HMAC キーを作成します。Google Cloud は、次の 2 つの重要な値を生成します。

  • アクセスID
  • シークレット

キーを作成する際に、両方の値を安全に保管してください。シークレットは一度だけ表示され、Autonomous AI DatabaseでDBMS_CLOUD認証情報を作成する際に必要になります。

ステップ4：Google API用のプライベートサービスコネクトエンドポイントを作成する

Google Cloud コンソールで、[ネットワーク サービス] > [プライベート サービス コネクト] > [接続済みエンドポイント]を開き、新しいエンドポイントを作成します。ターゲットとして[すべての Google API]を選択します。エンドポイントに内部 IP アドレスを割り当てるか、予約します。

PSCエンドポイントのIPアドレスを記録します。この例では、以下を使用します。


クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
10.13.13.6

これは、Autonomous AI Database が OCI プライベート DNS を介してバケットホスト名に対して解決する IP アドレスです。

ステップ5：バケットホスト名のOCIプライベートDNSレコードを作成する

これはOCI側で最も重要な設定手順です。アウトバウンドトラフィックがAutonomous AI Databaseのプライベートエンドポイントを経由するように強制される場合、名前解決にはOCI VCNリゾルバが使用されます。そのため、バケットホスト名はOCI内部でプライベートに解決される必要があります。

DBMS_CLOUDがGoogle Cloud Storageで使用するバケットURLは、次の形式に従います。


クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
https://<bucket-name>.storage.googleapis.com/</bucket-name>

この例のバケットの場合、ホスト名は次のとおりです。


クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
adb-private-gcs-demo.storage.googleapis.com

OCIで、以下の項目を完了してください。

  1. Autonomous AI Databaseのプライベートエンドポイントに関連付けられているVCNを開きます。
  2. VCN DNSリゾルバを開きます。
  3. そのリゾルバで使用されるプライベートビューを作成または選択します。
  4. storage.googleapis.com という名前のプライベートゾーンを作成します。         
  5. 10.13.13.6 を指す adb-private-gcs-demo という名前の A レコードを追加します。

結果は、以下のDNSマッピングと同等になるはずです。


クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
adb-private-gcs-demo.storage.googleapis.com  IN  A  10.13.13.6

代替案として、 OCI から Google Cloud への DNS 転送を設定することもできます。 ドキュメント (OCI からの解決セクション)を参照してください。

ステップ6：Autonomous AI Databaseのプライベートエンドポイントから送信ルールを確認

Autonomous AI Databaseのプライベートエンドポイントに関連付けられているNSGまたはセキュリティリストが、PSCエンドポイントIP、またはPSCエンドポイントIPが存在するサブネットCIDRへのTCP 443アウトバウンドトラフィックを許可していることを確認してください。

この送信がブロックされた場合、DNS構成は正しく解決される可能性がありますが、オブジェクトストレージへの接続は依然として失敗します。

ステップ7：プライベートエンドポイント経由でのアウトバウンドデータベース接続を強制

先に進む前に、Oracle DatabaseツールからADBへの接続が正常に確立されている必要があります。特定のツールの設定方法やADBへの接続設定については、このブログの範囲外です。 

Oracle Databaseツールについてさらに詳しく知りたい場合は、 公式ドキュメントをお読みください。

データベースに接続するには、SQLクライアントが必要です。このブログでは、ADB-Sを含むODBネットワークがピアリングされているのと同じVPCにプロビジョニングされたGCPのCompute EngineのLinux VMを使用しました。ADB-Sへの接続に使用したSQLクライアントは、こちらからダウンロードしました。

管理者としてAutonomous AI Databaseに接続し、送信ルーティングモードをENFORCE_PRIVATE_ENDPOINTに設定してください。これは、ターゲットがDBMS_CLOUDによってアクセスされる外部オブジェクトストアである場合に推奨される設定です。


クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
ALTER DATABASE PROPERTY SET ROUTE_OUTBOUND_CONNECTIONS = 'ENFORCE_PRIVATE_ENDPOINT';

プロパティ値を検証する：


クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
SELECT property_name, property_value
FROM   database_properties
WHERE  property_name = 'ROUTE_OUTBOUND_CONNECTIONS';

ステップ8：バケットホスト名のネットワークACLを追加

データベースユーザーに、バケットホスト名を解決して接続する権限を付与します。次の例では、ADMINユーザーに必要なACL権限を付与しています。


クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
BEGIN
  DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE(
    host => 'adb-private-gcs-demo. storage.googleapis.com',
    ace  => xs$ace_type(
      privilege_list => xs$name_list('connect', 'resolve'),
      principal_name => 'ADMIN',
      principal_type => xs_acl.ptype_db
    )
  );
END;
/

ステップ9：DBMS_CLOUD認証情報を作成

認証情報ユーザー名としてGoogle Cloud StorageのHMACアクセスIDを、パスワードとしてHMACシークレットを使用してください。


クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'GCP_GCS_PSC_CRED',
    username        => 'ACCESS_ID',
    password        => 'SECRET'
  );
END;
/

ACCESS_IDとSECRETを、ステップ3で生成された値に置き換えてください。

ステップ10：バケットへのアクセス権限を検証

最終検証ステップは、DBMS_CLOUDを使用してバケット内のオブジェクトを一覧表示することです。


クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
SELECT object_name,
       bytes,
       checksum
FROM   DBMS_CLOUD.LIST_OBJECTS(
         'GCP_GCS_PSC_CRED',
         'https://adb-private-gcs-demo.storage.googleapis.com/'
       );

クエリがデータを返した場合、完全なプライベートパスが正常に機能しています。OCIプライベートDNSがバケットホスト名をPSCエンドポイントIPに解決し、Autonomous AI Databaseがプライベートエンドポイント経由でアウトバウンド接続をルーティングし、Google Cloud StorageがHMAC認証情報を使用してリクエストを受け入れます。

トラブルシューティングのヒント

  • OCI DNSプライベートビューから、バケットのホスト名がPSCエンドポイントIPに解決されることを確認してください。
  • ROUTE_OUTBOUND_CONNECTIONSがENFORCE_PRIVATE_ENDPOINTに設定されていることを確認してください。
  • ACLにバケットホスト名に対する解決権限と接続権限の両方が含まれていることを確認してください。
  • HMACキーが有効であること、および認証情報に正しいアクセスIDとシークレットが使用されていることを確認してください。
  • Autonomous AI DatabaseのプライベートエンドポイントからPSCエンドポイントIPへのTCP 443の送信が許可されていることを確認してください。

まとめ

この記事では、ADBからGCPストレージのプライベートエンドポイントへの接続を段階的に設定する方法、送信トラフィックをプライベートネットワークパス経由で強制的に送信する方法、およびプライベートDNSを使用してオブジェクトストレージのホスト名をプライベートIPアドレスに解決する方法を詳しく説明しました。

Google Cloud では、Google API 用のプライベート サービス コネクト エンドポイントが、Cloud Storage でこの機能を実現するための重要な構成要素となります。このエンドポイントが設定されれば、残りの作業は簡単です。OCI プライベート DNS にバケット ホスト名を公開し、データベースでアウトバウンド プライベート エンドポイント ルーティングを設定し、ネットワーク ACL を追加し、DBMS_CLOUD 認証情報を作成します。

コメント

コメントを投稿

このブログの人気の投稿

Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20)

イメージ
Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20) https://mikedietrichde.com/2024/11/20/important-update-to-oracle-database-19c-support-timelines/ 長い沈黙は、私が隠れているという意味ではありません。つまり、今はとても忙しいということです。そして、より少ない旅行で、私はあなたのコメントにもブログと返信するより多くの時間を持っていることを願っています。それでも、Oracle Database 19cサポート・タイムラインの非常に重要な更新について説明します。 * 更新された内容 2024年11月19日現在、Oracle Database 19cのサポート・タイムラインが調整されています。 MOSノート: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールを見ると、新しい日付が表示されます。 Premier Support、2029年12月31日まで 2030年1月1日から2032年12月31日までの拡張サポート 2033年1月1日から2034年12月31日までのアップグレード・サポート これは知ることがとても大切です。 他のリリースの更新はありますか。 MOSノートの終わりにある変更ログ: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールでは、Oracle Database 21cの最新の更新も確認できます。このリリースのPremier Support期間は、2027年7月31日まで延長されました。 また、Oracle Database 23aiのパッチ適用終了日は2032年12月31日に設定されています。 Lifetime Support Policy 更新は、Oracle Technology Productsの Oracle Lifetime Support Policy (6ページ)でも確認できます。 From: Oracle Lifetime Support Policy for Oracle Technology Product s – page 6 – Nov 19, 2024 特に、次の表に示す制限事項に注意してください。 Oracle Database 1...
続きを読む

ミリ秒の問題: BCCグループとOCIが市場データ・パフォーマンスを再定義する方法(AWSに対するベンチマークを使用) (2025/11/13)

イメージ
ミリ秒の問題: BCCグループとOCIが市場データ・パフォーマンスを再定義する方法(AWSに対するベンチマークを使用) (2025/11/13) https://blogs.oracle.com/cloud-infrastructure/post/milliseconds-matter-bcc-group-and-oci-vs-aws 投稿者： Steven Riley | Senior Cloud Architect William Bierds | Business Analyst and Systems Engineer - BCC Group International Travis Liles | Master Principal Cloud Architect Puru Patel | Cloud Architect - FSI これは、BCC グループと Oracle Cloud Infrastructure (OCI) 間の市場データ パートナーシップを紹介するブログ シリーズの第 2 部です。   はじめに 金融市場データアプリケーションは、トレーダー、金融機関、そして市場参加者が情報に基づいた意思決定を行えるよう、リアルタイムデータを提供することで、取引エコシステムにおいて重要な役割を果たしています。 前回のブログ で述べたように、取引環境において最適なパフォーマンスを確保するには、市場データを超低レイテンシかつ高い信頼性で配信する必要があります。 今日の急速に変化する金融市場において、クラウドは市場データ・アプリケーションにとって強力な推進力として台頭しています。適切なネットワークとインフラストラクチャがあれば、企業は実行時間の短縮、可用性の向上、そして堅牢なセキュリティを実現できます。しかし、企業によるクラウド導入は遅れており、ワークロードのクラウド移行計画を中止しているケースもあります。そこで、BCCグループとOracle Cloud Infrastructure（OCI）のパートナーシップが注目されています。 BCCグループは、主力市場データアプリケーションであるONE PlatformをOCI上に導入しました。このブログでは、以下の点について説明します。 このパートナーシップがなぜこれほど相乗効果をもたらすのかを探る OC...
続きを読む

OCIのカスタム・ルート表を使用した詳細なルーティング制御 (2025/02/27)

イメージ
OCIのカスタム・ルート表を使用した詳細なルーティング制御 (2025/02/27) https://www.ateam-oracle.com/post/granular-routing-control-with-custom-route-tables-in-oci 投稿者： Achinthya Gopinath | Principal Cloud Architect OCIでは、カスタムVCNルート表をVNIC上の個々のVNICまたは特定のIPアドレスに割り当てることができるため、ルーティングの柔軟性を高める強力な新機能が導入されました。この更新により、異なるトラフィック・ルーティング・ポリシーを必要とするインスタンスに対して個別のサブネットを作成する必要がなくなります。 概要: 以前は、VCNルート表はサブネット・レベルでのみ割り当てられていました。つまり、同じサブネット内の異なるインスタンスで異なるルーティング・ルールが必要な場合は、別々のサブネットを作成し、ネットワーク設計に複雑さを加える必要がありました。 この機能により、次のことができるようになりました。 •    カスタムVCNルート表をVNICまたはVNICの特定のIPアドレスに割り当てます。 •    プライマリIPアドレスとセカンダリIPアドレスの両方にルーティング・ポリシーを適用します。 •    階層ルート表のプリファレンスを有効にします。このプリファレンスは、使用するルート表を決定する構造化アプローチに従います。 ルーティングに関する考慮事項: •    一度にトラフィック・ルーティングを決定するために使用されるルート表は1つのみです。 •    ルート表がIPアドレスに関連付けられている場合は、他のルート表よりも優先されます。 •    IPアドレス/VNICにルート表がない場合は、階層内の次に使用可能なルート表(VNICレベルまたはサブネット・レベル)が使用されます。 詳細の選択プロセス: 1.    VNICのIPアドレスにルート表が関連付けられている場合、その表はIPアドレスからのトラフィックのルーティングに使用されます。 2.  ...
続きを読む