Private Service Access

OCI Private Service Accessの特長

OCI Private Service Accessの仕組みを教えてください。

仮想クラウド・ネットワーク（VCN）の中で、どのOCIサービスにプライベート・ネットワーク経由でアクセスするかを決定できます。VCNのユーザー・インタフェースから、使用するサービスごとにPSAを作成します。

作成すると、VCNのサブネット内でPSAがプライベートIPアドレスとして存在するようになります。お客様はPSAのライフサイクルを制御し、不要になったときに削除できます。各PSAによってプライベートDNSのマッピングが行われ、サービスのFQDNがプライベートIPアドレスに関連付けられます。

サービスへのアクセスを制御するには、サブネット内の仮想NICの場合と同様に、NSGまたはゼロトラスト・セキュリティ属性を設定します。

複数のサービスへのアクセスが必要な場合は、複数のPSAを作成します（サービスごとにPSAを1つずつ）。

オンプレミス・ネットワーク内のリソースは、仮想プライベート・ネットワークまたはFastConnect専用回線（プライベート・ピアリング）を経由して動的ルーティング・ゲートウェイに到達した後、該当するサブネット内のプライベート・エンドポイントに到達します。ネットワーク・トラフィックはOCIの内部に維持され、公共インターネットを経由することはありません。オンプレミス・ネットワークからは、リージョンのOCIサービスのDNSルックアップをVCNリゾルバ内のリスニング・エンドポイントに転送することで、プライベートIPが返され、サービス通信に使用されます。

この図は、OCI Private Service Accessの一般的なシナリオにおけるリソースと接続の論理レイアウトを示しています。

図に示すOCIリージョンには、インターネット・ゲートウェイ、動的ルーティング・ゲートウェイ、およびPrivate Service Accessがアタッチされた仮想クラウド・ネットワークが含まれています。

仮想クラウド・ネットワークには、仮想マシン・リソースを持つパブリック接続サブネットが含まれています。仮想マシンからはインターネット・ゲートウェイを介してインターネットにアクセスできます。

仮想クラウド・ネットワークには、仮想マシン・リソースを持つプライベート・サブネットも含まれています。また、プライベート・サブネット内には、サブネット内のIPアドレスを占有するプライベート・サービス・アクセス・コンポーネントがあります。

リージョン内には、Oracle Services Networkと呼ばれるオラクル・マネージド・リソースのグループがあります。これにはOCIオブジェクト・ストレージが含まれます。オブジェクト・ストレージには、リージョン内のネットワークから離れることなく、PSAエンドポイントを経由して到達できます。

プライベート・サブネット内のリソースは、サービスに対して対応するPSAが作成されたときに、そのサービスにアクセスできます。複数のサービスへのアクセスを必要とする場合は、それぞれ独自のPSAエンドポイントが必要になります。