此 ASA virtual 的使用案例 - OCI Autoscale 解决方案会显示在解决方案图中。面向互联网的负载均衡器具有使用侦听程序与目标组的组合启用的端口的公共 IP 地址。

可以为网络流量实施基于端口的明细。这可通过 NAT 规则实现。以下各部分将介绍此配置示例。

权限和策略

以下是实施解决方案所需的 OCI 权限和策略：

1. 用户和组

   注	您必须是 OCI 用户或租户管理员才能创建用户和组。

   创建 Oracle 云基础设施用户账户和用户账户所属的组。如果存在具有用户账户的相关组，则无需再进行创建。有关创建用户和组的说明，请参阅创建组和用户。

2. 组策略

   您需要创建策略，然后将其映射到组。要创建策略，请转至 OCI > 身份和安全 (Identity & Security) > 策略 (Policies) > 创建策略 (Create Policy)。创建以下策略并将其添加到所需的组中：

   • 允许组 <Group_Name> 使用隔离专区 <Compartment_Name> 中的指标

   • 允许组 <Group_Name> 管理隔离专区 <Compartment_Name> 中的警报

   • 允许组 <Group_Name> 管理隔离专区 <Compartment_Name> 中的主题

   • 允许组 <Group_Name> 检查隔离专区 <Compartment_Name> 中的指标

   • 允许组 <Group_Name> 读取隔离专区 <Compartment_Name> 中的指标

   • 允许组 <Group_Name> 使用隔离专区 <Compartment_Name> 中的标记命名空间

   • 允许组 <Group_Name> 读取隔离专区 <Compartment_Name> 中的日志组

   • 允许组 <Group_Name> 使用隔离专区 <Compartment_Name> 中的实例池

   • 允许组 <Group_Name> 使用租户中的 Cloud Shell

   • 允许组 <Group_Name> 读取租户中的对象存储命名空间

   • 允许组 <Group_Name> 管理租户中的存储库

   注	您也可以在租户级别创建策略。您可以自行决定如何提供所有的权限。

3. Oracle 功能的权限

   要让 Oracle 功能能够访问另一个 Oracle 云基础设施资源，请将该功能包含在动态组中，然后创建一个策略以授予该动态组对该资源的访问权限。

4. 创建动态组

   要创建动态组，请转至 OCI > 身份和安全 (Identity & Security) > 动态组 (Dynamic Group) > 创建动态组 (Create Dynamic Group)

   在创建动态组时指定以下规则：

   ALL {resource.type = 'fnfunc', resource.compartment.id = '<Your_Compartment_OCID>'}

   有关动态组的更多详细信息，请参阅：

   • https://docs.oracle.com/en-us/iaas/Content/Functions/Tasks/functionsaccessingociresources.htm

   • https://docs.oracle.com/en-us/iaas/Content/Identity/Tasks/managingdynamicgroups.htm

5. 为动态组创建策略

   要添加策略，请转至 OCI > 身份和安全 (Identity & Security) > 策略 (Policies) > 创建策略 (Create Policy)。将以下策略添加到组：

   允许动态组 <Dynamic_Group_Name> 管理隔离专区 <Compartment_OCID> 中的所有资源

从 GitHub 下载文件

ASA virtual – OCI Autoscale 解决方案已作为 GitHub 存储库提供。您可以从存储库中提取或下载文件。

Python3 环境

可以在克隆存储库中找到 make.py 文件。此程序会将 Oracle 功能和模板文件压缩为 Zip 文件；将它们复制到目标文件夹。为了执行这些任务，应配置 Python 3 环境。

注	此 Python 脚本只能用于 Linux 环境中。

基础设施配置

必须配置以下选项：

1. VCN

   根据 ASA virtual 应用的需要创建 VCN。创建具有互联网网关的 VCN，该网关至少有一个通过到互联网的路由连接的子网。

   有关创建 VCN 的信息，请参阅https://docs.oracle.com/en-us/iaas/Content/GSG/Tasks/creatingnetwork.htm。

2. 应用程序子网

   根据 ASA virtual应用的需要创建子网。要根据此使用案例实施解决方案，ASA virtual实例需要 3 个子网才能运行。

   有关创建子网的信息，请参阅 https://docs.oracle.com/en-us/iaas/Content/Network/Tasks/managingVCNs_topic-Overview_of_VCNs_and_Subnets.htm#。

3. 外部子网

   子网应该具有能够通过“0.0.0.0/0”连接互联网网关的路由。此子网包含思科 ASA virtual 的外部接口和面向互联网的负载均衡器。确保为出站流量添加 NAT 网关。

   有关详情，请参阅以下文档：

   • https://docs.oracle.com/en-us/iaas/Content/Network/Tasks/managingIGs.htm

   • https://docs.oracle.com/en-us/iaas/Content/Network/Tasks/NATgateway.htm#To_create_a_NAT_gateway

4. 内部子网

   这与具有或没有 NAT/互联网网关的应用程序子网类似。

   注	对于 ASA virtual 运行状况探测，您可以通过端口 80 来访问元数据服务器 (169.254.169.254)。

5. 管理子网

   管理子网应是公共子网，这样它才能支持对 ASA virtual 的 SSH 可访问性。

6. 安全组 - ASA virtual 实例的网络安全组

   为满足以下要求的 ASA virtual实例配置安全组：

   • Oracle 功能（在同一 VCN 中）会执行到 ASA virtual的管理地址的 SSH 连接。

   • 管理主机可能需要对 ASA virtual实例进行 SSH 访问。

   • ASA virtual 会发起与 CSSM/卫星服务器的通信以获取许可。

7. 对象存储命名空间

   此对象存储命名空间用于托管静态网站，包含 configuration.txt 文件。您必须为 configuration.txt 文件创建预身份验证请求。此预身份验证 URL 可在模板部署期间使用。

   注	确保 ASA virtual 实例可通过 HTTP URL 访问已上传的以下配置。 当 ASA virtual 启动时，它会执行以下命令 $ copy /noconfirm <configuration.txt file’s pre-authenticated request URL > disk0:Connfiguration.txt 此命令支持要使用 configuration.txt 文件配置的 ASA virtual 启动。

8. 上传 configuration.txt 文件

   要创建 ASA virtual配置文件的预身份验证请求 URL，请执行以下操作：

   1. 点击存储桶 (Buckets) > 创建存储桶 (Create Bucket)。

   2. 点击上传 (Upload)。

   3. 上传配置文件后，选择创建预身份验证请求 (Create Pre-Authenticated Request)，如下图所示。

      

   注	现在应该就能从 oracle 功能访问配置文件了。

网络配置

1. 入站流量

   确保 configuration.txt 中的 <Application VM IP> 地址正确无误，如配置对象、许可、NAT 规则和访问策略中所述。

2. 出站流量

   • 确保 configuration.txt 中的 <External Server IP> 地址正确无误，如配置对象、许可、NAT 规则和访问策略中所述。

   • 确保外部 VCN 中有一个 NAT 网关。

   • 确保在通过 NAT 网关指定的外部 VCN 的路由表中添加相同的 <External Server IP>，如下图示例所示：

     

在完成部署的必备步骤后，开始创建 OCI 堆栈。您可以使用 Cloud Shell 执行手动部署或使用 Cloud Shell 执行部署。您的版本的部署脚本和模板可从 GitHub 存储库获取。

验证是否已部署所有资源，并且 Oracle 功能是否已与警报和事件连接。默认情况下，实例池的最小和最大实例数为零。您可以使用所需的最小和最大数量在 OCI UI 中编辑实例池。这将触发新的 ASA virtual 实例。

我们建议您仅启动一个实例并检查其工作流程，并验证其行为以确保符合预期。完成验证后，您可以部署 ASA virtual 的实际要求。

注	将 ASA virtual 实例的最小数量指定为受扩展保护 (Scale-In protected)，以避免被 OCI 扩展策略删除。

升级 Autoscale 堆栈

此版本不支持升级。应重新部署堆栈。

升级 ASA Virtual VM

此版本不支持升级 ASA virtual VM。应使用所需的 ASA virtual 映像来重新部署堆栈。

实例池

1. 要更改实例池中的最小和最大实例数，请执行以下操作：

   点击开发人员服务 (Developer Services) > 功能 (Function) > 应用名称 (Application Name)（通过 Terraform Template-1 创建） > 配置 (Configuration)。

   分别更改 min_instance_count 和 max_instance_count。

2. 删除/终止实例不等于内向扩展。如果实例池中的任何实例因外部操作而并非内向扩展操作而被删除/终止，则实例池会自动启动新实例进行恢复。

3. Max_instance _count 定义外向扩展操作的阈值限制，但可以通过 UI 更改实例池的实例计数来超过此限制。确保 UI 中的实例计数小于在 OCI 应用中设置的 max_instance_count。否则，请相应地增大阈值。

4. 直接从应用减少实例池中的实例计数不会执行以编程方式设置的清理操作。由于这些后端不会从两个负载均衡器中耗尽和删除，如果 ASA virtual 有许可证，它将丢失。

5. 由于某些原因，如果 ASA virtual 实例在一段时间内运行状况不佳、无响应且无法通过 SSH 访问，则实例会被强制从实例池中删除，任何许可证都可能丢失。

Oracle 功能

• Oracle 功能实际上就是 Docker 映像。这些映像会别保存到 OCI 容器注册表的根目录中。这些映像不应被删除，否则也会删除在 Autoscale 解决方案中使用的功能。

• 通过 Terraform Template-1 创建的 OCI 应用包含 Oracle 功能正常工作所需的关键环境变量。除非强制要求，否则不应更改这些环境变量的值和格式。所做的任何更改只会反映在新实例中。

可以使用 OCI 中的资源管理器以相同的方式删除使用 Terraform 部署的堆栈。删除堆栈会删除其创建的所有资源，并且与这些资源关联的所有信息都会被永久删除。

注	在堆栈删除的情况下，建议将实例池中的最小实例数设置为 0，然后等待实例终止。这样将有助于删除所有实例，并且不会留下任何残留。

您可以执行手动删除或使用 Cloud Shell。