Netzwerkverbindung zu selbst gehosteten Oracle-Quellen konfigurieren

Auf dieser Seite wird beschrieben, wie Sie die Netzwerkverbindung zu selbst gehosteten Oracle-Quellen für heterogene Migrationen von Oracle zu Cloud SQL for PostgreSQL mit dem Database Migration Service konfigurieren.

Es gibt drei verschiedene Methoden, mit denen Sie die erforderliche Netzwerkverbindung für Migrationen von selbst gehosteten Oracle-Quellen konfigurieren können:

Verbindung über IP-Zulassungsliste konfigurieren

So verwenden Sie die Verbindungsmethode „Öffentliche IP-Zulassungsliste“:

  1. Achten Sie darauf, dass Ihre Quelldatenbank eine IP-Adresse hat, die über das öffentliche Internet erreichbar ist. Sie müssen die IP-Adresse nicht verwenden, um eine Verbindung herzustellen. Wenn Sie einen DNS-Eintrag haben, der mit der IP-Adresse verknüpft ist, können Sie stattdessen diesen verwenden.
  2. Erstellen Sie auf Ihrem Quelldatenbankserver eine Firewallregel für eingehenden Traffic, um Verbindungen von Database Migration Service zu akzeptieren. Verwenden Sie die folgende Konfiguration:
    1. Verwenden Sie für den Regeltyp port.
    2. Fügen Sie für den zulässigen IP-Adressbereich alle öffentlichen IP-Adressen von Database Migration Service für die Region hinzu, in der Sie den Migrationsjob erstellen.
    3. Legen Sie TCP als Protokoll fest.
    4. Legen Sie die Portnummer, die der Regel zugeordnet ist, auf den Port fest, an dem Ihre Quelldatenbank auf eingehende Verbindungen wartet. Dies ist dieselbe Portnummer, die Sie im Quellverbindungsprofil eingeben müssen.

      Oracle-Server verwenden standardmäßig den Port 1521.

    Die Schritte zum Konfigurieren von Firewallregeln hängen von der verwendeten Serversoftware ab. Weitere Informationen finden Sie in der Dokumentation zu Ihrem Firewall-Produkt.

  3. Wenn Sie später das Quellverbindungsprofil erstellen, wählen Sie im Abschnitt Verbindungsmethode definieren die Option IP-Zulassungsliste aus.

Verbindung über einen Weiterleitungs-SSH-Tunnel konfigurieren

So stellen Sie über einen SSH-Tunnel (Secure Shell) eine Verbindung zu Ihrer Quelldatenbank her:

  1. Erstellen Sie eine VM, die den Tunnel zwischen Database Migration Service und Ihrer Quelldatenbank öffnen kann. Der Tunnelserver kann ein beliebiger Unix-/Linux-Host sein, der:
    • Kann über das öffentliche Internet per SSH aufgerufen werden.
    • Kann auf die private IP-Adresse Ihrer Quelldatenbank zugreifen.

  2. Erstellen Sie auf dem SSH-Server ein Nutzerkonto, mit dem Database Migration Service eine Verbindung zum SSH-Tunnel herstellen kann.

    Auf einem Ubuntu-System können Sie beispielsweise die folgenden Befehle verwenden:

    1. Erstellen Sie ein Nutzerkonto: 
      adduser TUNNEL_ACCOUNT_USERNAME
    2. Schränken Sie den Shell-Zugriff für das Nutzerkonto ein, um die Sicherheit zu erhöhen: 
      usermod -s /usr/sbin/nologin TUNNEL_ACCOUNT_USERNAME

  3. Entscheiden Sie, welche Authentifizierungsmethode Database Migration Service verwenden soll, wenn eine Verbindung zum Tunnel hergestellt wird.

    Sie können ein Passwort verwenden oder SSH-Schlüssel im Format PEM generieren, die Sie später beim Erstellen des Quellverbindungsprofils in Database Migration Service hochladen können.

    • Wenn Sie ein Passwort verwenden möchten, müssen Sie nichts weiter konfigurieren. Merken Sie sich das Passwort, das Sie für das TUNNEL_ACCOUNT_USERNAME-Konto erstellt haben.
    • Wenn Sie die schlüsselbasierte Authentifizierung verwenden möchten, müssen Sie ein Schlüsselpaar aus einem privaten und einem öffentlichen Schlüssel generieren. Sie können beispielsweise das Dienstprogramm ssh-keygen verwenden:
      1. Generieren Sie das Schlüsselpaar: 
        ssh-keygen -m PEM -f YOUR_KEY_NAME
      2. Kopieren Sie den öffentlichen Schlüssel (YOUR_KEY_NAME.pub) in das Verzeichnis ~/.ssh/ auf Ihrem Tunnelserver.
      3. Speichern Sie den privaten Schlüssel. Sie müssen es später in Database Migration Service hochladen, wenn Sie das Quellverbindungsprofil erstellen.
  4. Bearbeiten Sie die Datei /etc/ssh/sshd_config, um den Forward-SSH-Tunnel gemäß den Anforderungen Ihrer Organisation zu konfigurieren. Wir empfehlen die folgenden Einstellungen: 
    # Only allow the Database Migration Service user to connect.
AllowUsers TUNNEL_ACCOUNT_USERNAME

# Send keep-alive packets every 60 seconds to ensure that
# the tunnel doesn't close during the migration
ServerAliveInterval=60

# Optional: Force key-based authentication
PasswordAuthentication no

# Enables Database Migration Service to connect from a different host
PermitTunnel yes
GatewayPorts yes
  5. Führen Sie den Befehl ssh aus, um den Tunnel zu starten.

    Ersetzen Sie folgende Werte, bevor Sie die unten aufgeführten Befehlsdaten verwenden:

    • TUNNEL_SERVER_SSH_PORT durch die Portnummer, über die Ihr Server auf SSH-Verbindungen wartet.
    • SOURCE_DATABASE_PRIVATE_IP durch die private IP-Adresse Ihrer Quelldatenbank. Der SSH-Server muss diese IP-Adresse erreichen können.
    • SOURCE_DATABASE_PORT durch die Portnummer, über die Ihre Quelldatenbank auf Verbindungen wartet. Die Standardportnummer für TCP-Verbindungen in Oracle ist 1433.
    • USERNAME durch den Namen des Nutzerkontos, das den Tunnel ausführt. Dieses Konto ist von TUNNEL_ACCOUNT_USERNAME getrennt.
    • TUNNEL_SERVER_PUBLIC_IP durch die öffentliche IP-Adresse Ihres SSH-Tunnelservers. 
    ssh -N -L \
TUNNEL_SERVER_SSH_PORT:SOURCE_DATABASE_PRIVATE_IP:SOURCE_DATABASE_PORT \
USERNAME@TUNNEL_SERVER_PUBLIC_IP
  6. Erstellen Sie eine eingehende Firewallregel für Ihren SSH-Tunnel, um Verbindungen von öffentlichen IP-Adressen von Database Migration Service für die Region zu akzeptieren, in der Sie den Migrationsjob erstellen.
  7. Wenn Sie später das Quellverbindungsprofil erstellen, gehen Sie so vor:
    1. Geben Sie im Abschnitt Verbindungsdetails definieren die private IP-Adresse Ihrer Oracle-Quellinstanz ein.
    2. Wählen Sie im Abschnitt Verbindungsmethode definieren die Option Weiterleitungs-SSH-Tunnel aus.
    3. Geben Sie die öffentliche IP-Adresse oder den Hostnamen Ihres SSH-Servers an.
    4. Geben Sie den Port an, den Sie für die SSH-Verbindungen auf dem Tunnelserver festgelegt haben.
    5. Geben Sie den Nutzernamen für den Nutzer ein, den Sie für Database Migration Service erstellt haben, um eine Verbindung herzustellen (d. h. den Wert von TUNNEL_ACCOUNT_USERNAME).
    6. Wählen Sie im Drop-down-Menü Authentifizierungsmethode die Authentifizierungsmethode aus, die Sie für den Nutzer TUNNEL_ACCOUNT_USERNAME verwenden möchten:
      • Wenn Sie das Nutzerpasswort verwenden möchten, wählen Sie Passwort aus und geben Sie das Passwort für TUNNEL_ACCOUNT_USERNAME in das Formular ein.
      • Wenn Sie Ihren SSH-Server für die schlüsselbasierte Authentifizierung konfiguriert haben, wählen Sie Privates/öffentliches Schlüsselpaar aus und laden Sie den privaten Schlüssel hoch, den Sie mit dem Befehl ssh-keygen generiert haben.

Private Konnektivität mit Private Service Connect-Schnittstellen konfigurieren

Mit dieser Verbindungsmethode können Sie eine Verbindung zur privaten IP-Adresse Ihrer Quelldatenbank herstellen, ohne das VPC-Peering-Kontingent zu verbrauchen. Private Service Connect-Schnittstellen sind die empfohlene Methode für private IP-Verbindungen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die erforderlichen IAM-Rollen für Ihr Projekt für die folgenden am Migrationsprozess beteiligten Konten zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren von Private Service Connect-Schnittstellen benötigen.

  • Nutzerkonto, das die Migration ausführt:

  • Wenn Sie einen Netzwerkanhang oder das zugrunde liegende Subnetzwerk in einem anderen Projekt als Database Migration Service erstellen müssen (z. B. wenn Sie ein freigegebene VPC-Hostprojekt verwenden), müssen Sie dem Database Migration Service-Dienstkonto (service-PROJECT_NUMBER@gcp-sa-datamigration.iam.gserviceaccount.com) die folgende Rolle zuweisen: Compute-Netzwerkbetrachter (roles/compute.networkViewer)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Ausführen homogener SQL Server-Migrationen mit Database Migration Service erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um homogene SQL Server-Migrationen mit Database Migration Service auszuführen:

  • Nutzerkonto, das die Migration ausführt:
    • datamigration.*
    • compute.networkAttachments.create
    • compute.networkAttachments.get
    • compute.networkAttachments.list
    • compute.networkAttachments.update
    • compute.networkAttachments.delete
  • Database Migration Service-Dienstkonto:
    • compute.networkAttachments.get
    • compute.networkAttachments.update
    • compute.subnetworks.get
    • compute.subnetworks.list

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Für selbst gehostete Quellen in Google Cloud

So verwenden Sie private Konnektivität mit Private Service Connect-Schnittstellen für eine Oracle-Quelldatenbank, die auf einer Compute Engine-VM gehostet wird:

  1. Erstellen Sie einen Netzwerkanhang in der VPC, in der sich Ihre selbst gehostete Quelle befindet. Gehen Sie so vor:
    1. Rufen Sie in der Google Cloud Console die Seite Netzwerkanhänge auf.

      Zu „Netzwerkanhänge“

    2. Klicken Sie auf Netzwerkanhang erstellen.
    3. Geben Sie einen Namen für den Anhang ein.
    4. Wählen Sie im Menü Netzwerk die VPC aus, in der sich Ihre selbst gehostete Quelle befindet.

    5. Verwenden Sie für die Region dieselbe Region, in der Sie die Zieldatenbank erstellen möchten.

      Database Migration Service ist ein vollständig regionales Produkt. Das bedeutet, dass alle Entitäten, die mit Ihrer Migration zusammenhängen (Quell- und Zielverbindungsprofile, Migrationsjobs, Zieldatenbanken, Konvertierungsarbeitsbereiche), in einer einzigen Region gespeichert werden müssen.

    6. Wählen Sie unter Verbindungseinstellung die Option Verbindungen für ausgewählte Projekte akzeptieren aus.

      Database Migration Service fügt das Producer-Projekt automatisch der Liste Akzeptierte Projekte hinzu, wenn Sie später die Konfiguration für private Konnektivität erstellen.

    7. Fügen Sie keine Akzeptierten Projekte oder Abgelehnten Projekte hinzu.
    8. Klicken Sie auf Netzwerkanhang erstellen.
  2. Erstellen Sie in Database Migration Service eine Konfiguration für private Konnektivität für Private Service Connect-Schnittstellen.
  3. Wenn Sie später das Quellverbindungsprofil erstellen, gehen Sie so vor:
    1. Geben Sie im Abschnitt Verbindungsdetails definieren die IP-Adresse der Compute Engine-VM ein, auf der Sie die Oracle-Datenbank hosten.

      Sie können die IP-Adresse der VM in der Google Cloud Console aufrufen.

    2. Wählen Sie im Abschnitt Verbindungsmethode definieren die Option Private Verbindung aus.
    3. Wählen Sie im Drop-down-Menü die Konfiguration für private Verbindungen aus, die Sie im vorherigen Schritt erstellt haben.

Für selbst gehostete Quellen außerhalb von Google Cloud

So verwenden Sie private Konnektivität mit Private Service Connect-Schnittstellen für eine selbst gehostete Oracle-Quelldatenbank, die sich in einem Netzwerk außerhalb vonGoogle Cloudbefindet:

  1. Richten Sie eine direkte Verbindung mit Cloud VPN zu Ihrer Oracle-Quelle ein.

    Je nach Netzwerkarchitektur müssen Sie möglicherweise zusätzliche VPN-Gateways in Ihrem System einrichten. Weitere Informationen finden Sie unter HA VPN-Gateway zu einem Peer-VPN-Gateway erstellen in der Cloud VPN-Dokumentation.

  2. Optional: Wenn Sie die Konfiguration für private Konnektivität nicht im selben VPC-Netzwerk erstellen können, in dem sich das Cloud VPN befindet, erstellen Sie eine Reverse-Proxy-VM in Compute Engine, um die Verbindungen zwischen VPCs weiterzuleiten.
  3. Erstellen Sie einen Netzwerkanhang in der VPC, in der sich Ihr Cloud VPN befindet. Gehen Sie so vor:
    1. Rufen Sie in der Google Cloud Console die Seite Netzwerkanhänge auf.

      Zu „Netzwerkanhänge“

    2. Klicken Sie auf Netzwerkanhang erstellen.
    3. Geben Sie einen Namen für den Anhang ein.
    4. Wählen Sie im Menü Netzwerk die VPC aus, in der sich Ihre selbst gehostete Quelle befindet.

    5. Verwenden Sie für die Region dieselbe Region, in der Sie die Zieldatenbank erstellen möchten.

      Database Migration Service ist ein vollständig regionales Produkt. Das bedeutet, dass alle Entitäten, die mit Ihrer Migration zusammenhängen (Quell- und Zielverbindungsprofile, Migrationsjobs, Zieldatenbanken, Konvertierungsarbeitsbereiche), in einer einzigen Region gespeichert werden müssen.

    6. Wählen Sie im Menü Subnetzwerk ein Subnetz aus, in dem Sie mindestens sechs verfügbare, verwendbare IP-Adressen für Database Migration Service haben (d. h. einen /29-Bereich).

    7. Wählen Sie unter Verbindungseinstellung die Option Verbindungen für ausgewählte Projekte akzeptieren aus.

      Database Migration Service fügt das Producer-Projekt automatisch der Liste Akzeptierte Projekte hinzu, wenn Sie später die Konfiguration für private Konnektivität erstellen.

    8. Fügen Sie keine Akzeptierten Projekte oder Abgelehnten Projekte hinzu.
    9. Klicken Sie auf Netzwerkanhang erstellen.
  4. Erstellen Sie in Database Migration Service eine Konfiguration für private Konnektivität für Private Service Connect-Schnittstellen.
  5. Wenn Sie später das Quellverbindungsprofil erstellen, gehen Sie so vor:
    1. Geben Sie im Abschnitt Verbindungsdetails definieren die private IP-Adresse Ihrer Oracle-Quelle ein.
    2. Wählen Sie im Abschnitt Verbindungsmethode definieren die Option Private Verbindung aus.
    3. Wählen Sie im Drop-down-Menü die Konfiguration für private Verbindungen aus, die Sie im vorherigen Schritt erstellt haben.

Private Konnektivität mit VPC-Peering konfigurieren

Bei dieser Verbindungsmethode muss die IP-Adresse oder der Hostname Ihrer Quelldatenbank von Ihrer Google Cloud -VPC aus erreichbar sein. Für selbst gehostete Quellen, die sich in Netzwerken außerhalb von Google Cloudbefinden, müssen Sie möglicherweise zusätzliche Netzwerkkomponenten wie Cloud VPN oder Cloud Interconnect verwenden.

Für selbst gehostete Quellen in Google Cloud

So verwenden Sie private Konnektivität mit Virtual Private Cloud-Peering für eine Oracle-Quelldatenbank, die auf einer Compute Engine-VM gehostet wird:

  1. Achten Sie darauf, dass das Virtual Private Cloud-Netzwerk, in dem Ihrer VM eine IP-Adresse zugewiesen ist, für den Zugriff auf private Dienste konfiguriert ist. Weitere Informationen finden Sie unter Zugriff auf private Dienste konfigurieren.
  2. Erstellen Sie in Database Migration Service eine private Konnektivitätskonfiguration, um ein Peering mit dem VPC-Netzwerk durchzuführen, in dem Ihre Oracle-Datenbank auf einer Compute Engine-VM gehostet wird.
  3. Wenn Sie später das Quellverbindungsprofil erstellen, gehen Sie so vor:
    1. Geben Sie im Abschnitt Verbindungsdetails definieren die IP-Adresse der Compute Engine-VM ein, auf der Sie die Oracle-Datenbank hosten.

      Sie können die IP-Adresse der VM in der Google Cloud Console aufrufen.

    2. Wählen Sie im Abschnitt Verbindungsmethode definieren die Option Private Konnektivität (VPC-Peering) aus.
    3. Wählen Sie im Drop-down-Menü die Konfiguration für private Verbindungen aus, die Sie im vorherigen Schritt erstellt haben.

Für selbst gehostete Quellen außerhalb von Google Cloud

So verwenden Sie private Konnektivität mit Virtual Private Cloud-Peering für eine selbst gehostete Oracle-Quelldatenbank, die sich in einem Netzwerk außerhalb vonGoogle Cloudbefindet:

  1. Richten Sie eine direkte Verbindung mit Cloud VPN zu Ihrer Oracle-Quelle ein.

    Je nach Netzwerkarchitektur müssen Sie möglicherweise zusätzliche VPN-Gateways in Ihrem System einrichten. Weitere Informationen finden Sie unter HA VPN-Gateway zu einem Peer-VPN-Gateway erstellen in der Cloud VPN-Dokumentation.

  2. Optional: Wenn Sie die Konfiguration für private Konnektivität nicht im selben VPC-Netzwerk erstellen können, in dem sich das Cloud VPN befindet, erstellen Sie eine Reverse-Proxy-VM in Compute Engine, um die Verbindungen zwischen VPCs weiterzuleiten.
  3. Erstellen Sie in Database Migration Service eine Konfiguration für private Konnektivität, um ein Peering mit dem VPC-Netzwerk durchzuführen, in dem sich Ihr Cloud VPN befindet.
  4. Wenn Sie später das Quellverbindungsprofil erstellen, gehen Sie so vor:
    1. Geben Sie im Abschnitt Verbindungsdetails definieren die private IP-Adresse Ihrer Oracle-Quelle ein.
    2. Wählen Sie im Abschnitt Verbindungsmethode definieren die Option Private Konnektivität (VPC-Peering) aus.
    3. Wählen Sie im Drop-down-Menü die Konfiguration für private Verbindungen aus, die Sie im vorherigen Schritt erstellt haben.

Nächste Schritte