Service Gatewayを経由したOMCへのプライベート接続

Cloud Agent/GatewayがPrivate IPでOracle Management Cloudにアクセスするためには、NAT Gateway、もしくは、Service Gatewayを経由したアクセスが必要になります。
今回は、各Cloud AgentがOMCにリージョン内のプライベートアクセスのみで通信するための構成例を紹介します。以下の図のように、GatewayがすべてのCloud Agentのアクセスのプロキシとなり、Service Gateway経由でOMCに情報をアップロードします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/bbda2639-00ac-6a19-1b35-0b3795ee3795.png)

※細かい話ですが、Cloud Agent/Gatewayのインストール処理は、内部的にIDCS認証 -> OMCアクセスという流れになります。Service Gatewayは同一リージョンのみしかサポートしていないので、Tokyoに作成したOMCが、TokyoのIDCSを使っているようであれば問題ありません。
テナントの時期によっては、IDCSがSydneyを使っている場合があります(OMCはTokyo, IDCSはSydney)。このデフォルトのIDCSを変更することはできないので、この構成になってしまう方は、IDCS認証用にNAT Gatewayが必要になります。IDCSがどちらで動作しているかは、OMCにアクセスする際に表示される認証URLのホスト名(idcs-xxx.identity.oraclecloud.com)をnslookupすると分かります。

##  VCN Wizardを使用した例 
- 仮想クラウド・ネットワーク -> Start VCN Wizardをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/ba59a017-f472-dfe3-0198-8b45852d3c19.png)

- VCN with Internet Connectivityを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/2c8e2ce2-2852-df76-249e-58c029a0c824.png)

- VCN名を入力。CIDRはデフォルトをそのまま利用。次をクリックし作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/825640f2-f79a-864f-67be-5710f3b03484.png)

- 作成したVCNのセキュリティリストをクリック -> プライベートサブネット用のセキュリティリストを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/aabdde4f-ae6c-345b-26d0-142eb65ab281.png)

- セキュリティ・リストに443ポートをの通信を許可する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/396515fd-9ca5-e59b-8b88-82f6751dab5b.png)

下記のOMC Gateway用のVMインスタンス作成へ

## Service Gatewayを個別に設定する例
- 仮想クラウド・ネットワーク -> サービス・ゲートウェイ -> サービス・ゲートウェイの作成をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/208c9f71-bbf1-3a38-b661-376e1cd68df2.png)

- All FRA Services In Oracle Services Networkを選択して作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/3f5cd018-cc58-7f34-4c78-d664e3b2a55b.png)

- ルート表 -> ルート表の作成をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/65f09387-0428-9b23-dc76-9dd0b7a858ae.png)

- 下記のように作成したサービス・ゲートウェイを割り当てる
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/d76971b2-3d58-6085-79ff-fd3c7eb2c4c9.png)

- セキュリティ・リストに443ポートをの通信を許可する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/396515fd-9ca5-e59b-8b88-82f6751dab5b.png)

- Service Gateway用のプライベート・サブネットの作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/ad05610d-5764-6ac8-b6a9-d8bc48d65358.png)

- CIDRブロックは、自分の環境に合わせて、プライベートサブネットを指定。ルート表、セキュリティリストは作成したものを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/464c0772-2f08-7d91-5dc0-570d64dd9cd2.png)

## OMC Gateway用のVMインスタンス作成

- 作成したサブネット、パブリックのIPは割り当てないを選択して作成する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/302702a9-fd28-07ae-505a-aae044223c44.png)

作成したコンピュートからOMCにHTTPS通信できるか確認する
Publid IPアドレスがないので直接作成したVMインスタンスにログインできない。他のインスタンスからPrivate IPでSSHログインする

```
[opc@omcgateway ~]$ wget https://omcホスト名

--2019-10-02 00:51:35--  https://omctest-orasejapan.omc.ocp.oraclecloud.com/
Resolving omc-orasejapan.omc.ocp.oraclecloud.com (omctest-orasejapan.omc.ocp.oraclecloud.com)... 147.154.134.178
Connecting to omc-orasejapan.omc.ocp.oraclecloud.com (omctest-orasejapan.omc.ocp.oraclecloud.com)|147.154.134.178|:443... connected.
HTTP request sent, awaiting response... 302 Moved Temporarily
Location: https://idcs-91589ad55fa940b79bf9fce1dffc45fb.identity.oraclecloud.com/oauth2/v1/authorize?response_mode=form_post&respo
```

## Gatewayのインストール
以下のリンクを参考にゲートウェイをインストールする
違いは、ダウンロードするのはクラウド・エージェントではなくゲートウェイ、agent.rspではなくgateway.rspに設定情報を追記する

[OMC Cloud Agentのインストール - Linux編 -](https://qiita.com/western24/items/29df71fe0cfd6a0677d1)

## Cloud Agentのインストール
Cloud AgentをGateway経由の構成でインストールする場合は、agent.rspの以下のパラメータに追記する

GATEWAY_HOST=Gatewayサーバ名
GATEWAY_PORT=4459

※Cloud Agentがインストール失敗する場合は、Gatewayまでのネットワーク設定を確認する。セキュリティリストが4459をインバウンド許可にしているか？ GatewayサーバーのFirewallが4459をブロックしていないか等

Customer DCにあるCloud AgentからGatewayまでのVPNアクセスがつながらないとなったら、それぞれの経路のルートテーブル、セキュリティリスト、Firewall等の通信経路をPING等で切り分けしながら、落ち着いて見直しましょう。

Oracle Management Cloud関連の情報は[こちら](https://qiita.com/western24/items/1e44bfcaa77f3251a263)