OCI Bastionサービス

by oracle4engineer

Slide 1

Slide 1 text

Oracle Cloud Infrastructure Bastion（要塞）機能概要 Oracle Cloud Infrastructure 技術資料 2025年08月

Slide 2

Slide 2 text

Safe harbor statement 以下の事項は、弊社の一般的な製品の方向性に関する概要を説明するものです。また、情報提供を唯一の目的とするものであり、いかなる契約にも組み込むことはできません。以下の事項は、マテリアルやコード、機能を提供することを確約するものではないため、購買決定を行う際の判断材料になさらないで下さい。オラクル製品に関して記載されている機能の開発、リリース、時期及び価格については、弊社の裁量により決定され、変更される可能性があります。 Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 2

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Bastion概要 Oracle Cloud Infrastructure Bastion

Slide 5

Slide 5 text

要塞 / Oracle Cloud Infrastructure Bastion Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 5 パブリック・エンドポイントを持たないターゲット・リソースに、踏み台サーバなしで制約・時間制限付きでアクセスできるサービス Bastion自体は、無償で利用可能 Bastion プライベート・サブネット内のターゲット・リソースに対し、安全にパブリック・アクセスする上で必要なネットワーク・インフラストラクチャを確立する論理エンティティ対象のVCNごとにBastionが必要セッションセッション作成時に SSH 公開キーを指定し、接続時に秘密キーを指定することで、秘密キーを持つ認可ユーザーが決められた期間内でターゲット・リソースに接続できるターゲット・リソース VCN 内のエンティティ Bastion でホストされているセッションを使用して接続できるターゲット・ホスト SSH での Linux/Windows OS へのアクセスを提供する、特定のタイプのターゲット・リソースコンピュート・インスタンス、仮想マシン DB システムなど OCI Region クライアント VCN Private Subnet Bastion サービス・ゲートウェイインスタンス SSH クライアントセッション Port 22 SSH トンネルデータベース DB クライアントセッション Port 1521

Slide 6

Slide 6 text

1. Bastionの作成 2. セッションの作成 3. 接続使用方法 Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 6 * 「動的ポート転送（SOCKS5）セッション」を使用する場合、Bastion作成画面で以下のトグルをオンにする 1. 管理対象SSHセッション 2. SSHポート転送セッション 3. 動的ポート転送（SOCKS5）セッション 1. コンソール上で作成したセッションのSSHコマンドをコピー 2. クライアント端末からSSH

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Bastion の作成 Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 8 接続先サブネットを指定動的ポート転送 (SOCKS5) セッションを使用する場合は、トグルをオンにする許可する CIDR の範囲を絞る次に作成する「セッション」にも “最大セッション存続時間” の指定欄あり • 「要塞」 TTL： 30分～ 180分 • 「セッション」 TTL： 30分～「要塞」 TTL

Slide 9

Slide 9 text

Slide 10

Slide 10 text

ターゲット・リソースのタイプ別に、3つのセッション 1. 管理対象SSHセッション • Linuxプラットフォーム・イメージで、OpenSSHサーバー実行のインスタンスに接続 2. SSHポート転送セッション • クライアント・マシンの特定のポートとターゲット・リソースの特定のポート間を安全に接続 • SSHでほとんどのTCPサービスおよびプロトコルをトンネルできる 3. 動的ポート転送（SOCKS5）セッション • プライベート・サブネット内の任意のターゲット・リソースに動的に接続 • ターゲット・サブネットへのトンネルを作成し、クライアントは接続先のリソースおよびポートを決定（他2つのセッションは特定のターゲット・リソースへの接続を構成）セッション・タイプ Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 10

Slide 11

Slide 11 text

Linuxインスタンスでのみ使用可能【要件】次をすべて満たすインスタンスにSSH可能 • Linux プラットフォーム・イメージ • OpenSSH サーバーが実行済 • Oracle Cloud Agent で Bastion プラグイン有効化セッション・タイプ 1：管理対象SSHセッション Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 11 OCI Region クライアント VCN Private Subnet Bastion サービス・ゲートウェイインスタンス SSH クライアントセッション Port 22 • Linux • OpenSSHサーバ実行 • Bastionプラグイン有効化

Slide 12

Slide 12 text

Linuxインスタンスでのみ使用可能セッション・タイプ 1：管理対象SSHセッション Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 12 セッション・タイプを指定セッション名を入力ユーザー名を入力（デフォルト：opc） VMを指定 SSH公開キーを追加 TutorialBastion ※ユーザー名についてターゲット・インスタンスの有効な OS ユーザー名を入力ほとんどのプラットフォーム・イメージにおいて、デフォルトのユーザー名は opc 詳細：OCIドキュメント「プラットフォーム・イメージ/Linuxイメージの詳細/ユーザー」 https://docs.oracle.com/ja- jp/iaas/Content/Compute/References/images.htm#Oracle__linux-users

Slide 13

Slide 13 text

クライアント・マシンの特定のポートをターゲット・リソースの特定のポートに安全に転送【トンネル可能なTCPサービス&プロトコル】次を含め、ほとんどのTCPサービス&プロトコルをトンネル可能 • リモート・デスクトップ・プロトコル（RDP） • Oracle Net Services • MySQL セッション・タイプ 2： SSHポート転送セッション Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 13 OCI Region クライアント VCN Private Subnet Bastion サービス・ゲートウェイ SSH トンネルデータベース DB クライアントセッション Port 1521

Slide 14

Slide 14 text

クライアント・マシンの特定のポートをターゲット・リソースの特定のポートに安全に転送セッション・タイプ 2： SSHポート転送セッション Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 14 セッション・タイプを指定セッション名を入力いずれかでターゲット・ホストを指定 • IPアドレス • ドメイン名 • インスタンス名ポートを入力 SSH公開キーを追加 TutorialBastion

Slide 15

Slide 15 text

ターゲット・サブネットへのトンネルを作成し、任意のターゲット・リソースに動的に接続セッション・タイプ 3：動的ポート転送（SOCKS5）セッション Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 15 【SSHポート転送セッションとの違い】 • SSHポート転送セッション ➢ 特定のターゲット・リソース（IPアドレスまたはDNS名）に接続するように構成 • 動的ポート転送（SOCKS5）セッション ➢ ターゲット・サブネットへのトンネルを作成し、クライアントは接続先のリソースおよびポートを決定 OCI Region クライアント VCN Private Subnet Bastion サービス・ゲートウェイ SSH トンネルデータベースセッション Port 1521 SOCKS5 クライアントクライアントアプリケーション SOCKS5サーバとして機能インスタンス Port 22

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

SSHコマンドのコピー Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 18 セッションの三点リーダーをクリック、「SSHコマンドのコピー」 SSHポート転送セッションのSSHコマンド例） ※ < > の部分は書き換えて使用する ssh -i -N -L :10.0.1.231:8000 -p 22 ocid1.bastionsession.oc1.ap-tokyo- 1.amaaaaaassl65iqaj6hzkof5r366muobjptvug3hfteaiyuttcwkhwqrubxq@host.bastion.ap-tokyo-1.oci.oraclecloud.com

Slide 19

Slide 19 text

クライアントでターミナルなどの端末を開き、秘密鍵が格納されているディレクトリで、コンソールからコピーして <> で指定された箇所を書き換えたSSHコマンドを実行する接続1：管理対象セッションの接続例 Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 19 PS C:¥Users¥yimai¥Downloads> ssh -i ssh-key-2024-03-07.key.pem -o ProxyCommand="ssh -i ssh-key- 2024-03-07.key.pem -W %h:%p -p 22 ocid1.bastionsession.oc1.ap-tokyo- 1.amaaaaaassl65iqajrxkhm327nk2tsxi7eyvolydyzqmd2ohvs63xicpxwzq@host.bastion.ap-tokyo- 1.oci.oraclecloud.com" -p 22 [email protected] Last login: Fri Nov 22 08:55:55 2024 from 10.0.1.96 [opc@imai-privatevm ~]$ SSHコマンドを実行 VMにアクセスできた状態

Slide 20

Slide 20 text

接続2：SSHポート転送セッションの接続例 1. ターミナルを開き、秘密鍵が格納されているディレクトリで、コンソールからコピーして <> で指定された箇所を書き換えた「SSHポート転送セッション」のSSHコマンドを実行 2. Webブラウザの検索バーに以下を入力 localhost: 20 Copyright © 2025, Oracle and/or its affiliates | Confidential: Internal/Restricted/Highly Restricted PS C:¥Users¥yimai¥Downloads> ssh -i ssh-key-2024-03-07.key.pem -N -L 12345:10.0.1.231:8000 -p 22 ocid1.bastionsession.oc1.ap- tokyo- 1.amaaaaaassl65iqaj6hzkof5r366muobjptvug3hfteaiyuttcwkhwqrubx [email protected] SSHコマンドを実行入力

Slide 21

Slide 21 text

Slide 22

Slide 22 text

◆ サービス制限（デフォルト） ◆ その他の制限 • データ転送の制限はなし • TTLの指定範囲 - Bastion 作成時に指定できるセッション TTL：30分～ 180分 - セッション作成時に指定できるセッション TTL：30分～ Bastion 作成時指定のセッション TTL 制限 Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 22 リソース制限 Bastion リージョン当たり最大 5 セッション Bastion 当たり最大 20

Slide 23

Slide 23 text

日本語マニュアル – 要塞 • https://docs.oracle.com/ja-jp/iaas/Content/Bastion/Concepts/bastionoverview.htm チュートリアル – BastionサービスでパブリックIPを持たないリソースにアクセスする • https://oracle-japan.github.io/ocitutorials/intermediates/bastion/ 要塞関連の技術情報 Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 23

Slide 24

Slide 24 text

Oracle Cloud Infrastructure マニュアル (日本語 / 英語) • https://docs.cloud.oracle.com/iaas/api/ - APIリファレンス • https://docs.cloud.oracle.com/ja-jp/iaas/Content/General/Reference/aqswhitepapers.htm - テクニカル・ホワイト・ペーパー • https://docs.oracle.com/en-us/iaas/releasenotes/ - リリースノート • https://docs.cloud.oracle.com/ja-jp/iaas/Content/knownissues.htm - 既知の問題(Known Issues) • https://docs.cloud.oracle.com/ja-jp/iaas/Content/General/Reference/graphicsfordiagrams.htm - OCIアイコン・ダイアグラム集(PPT、SVG、Visio用) ※ 日本語版は翻訳のタイムラグのため情報が古い場合があります。最新情報は英語版をご確認ください Oracle Cloud Infrastructure マニュアル・ドキュメント Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 24

Slide 25

Slide 25 text

Oracle Cloud Infrastructure 活用資料集 • https://oracle-japan.github.io/ocidocs/ チュートリアル - Oracle Cloud Infrastructureを使ってみよう • https://oracle-japan.github.io/ocitutorials/ Oracle Cloud ウェビナーシリーズ • https://www.oracle.com/goto/ocws-jp Oracle 主催セミナー、ハンズオン・ワークショップ • https://www.oracle.com/search/events/_/N-2bu/ Oracle Cloud Infrastructure – General Forum (英語) • https://cloudcustomerconnect.oracle.com/resources/9c8fa8f96f/summary Oracle Cloud Infrastructure トレーニング・技術フォーラム Copyright – © 2025 Oracle and/or its affiliates. All rights reserved. 25

Slide 26

Slide 26 text

Slide 27

Slide 27 text

No content

Slide 28

Slide 28 text

Our mission is to help people see data in new ways, discover insights, unlock endless possibilities.