OCI Dedicated Region

解決する課題

規制やデータ主権の要件でデータを自国・自社施設の外に出せない一方、オンプレミスを自前で作り込むとクラウドの俊敏性や運用性を失います。OCI Dedicated Region は、この「クラウドの中身を手元に置きたい」要求に応えます。

• データを国外・社外のデータセンターに置けないが、クラウドの運用性は手放したくない
• 金融・公共・通信など、**厳格な規制やデータ所在地（データレジデンシー）**要件がある
• オンプレの基幹系と極めて低い遅延で連携させたいが、自前で IaaS 基盤は作りたくない
• パブリックリージョンと同じ API・同じ運用・同じサービスを、専有環境でそのまま使いたい
• 設備の調達・保守・パッチといった基盤運用は委ねたい

主要概念と用語

• Dedicated Region（専有リージョン）: OCI のパブリックリージョンとほぼ同等のサービス群を、顧客が用意したデータセンター内に専有で構築する形態。施設・電源・空調・物理セキュリティは顧客側、基盤の構築・運用・パッチは Oracle が担う
• リージョン / 可用性ドメイン（AD）/ フォールトドメイン（FD）: パブリックと同じ階層概念。専有リージョンも内部に AD・FD を持ち、可用性設計の考え方を踏襲できる
• コントロールプレーン / データプレーン: 操作を受け付ける管理面と、実際のワークロードが動く実行面。専有リージョン内に両方を内包し、外部依存を最小化する設計
• クラウドサービス群（Compute / Storage / Networking / Database 等）: パブリックで提供される主要サービスを専有環境で利用できる。提供されるサービスの範囲は時期や契約で異なる
• Oracle 運用責任 / 顧客責任: ハードウェア・ソフトウェア基盤の運用は Oracle、施設と物理環境・ワークロードは顧客という責任分界
• OCI Compute Cloud@Customer / Exadata Cloud@Customer: より小さい単位でクラウドを持ち込む関連オファリング。専有リージョンはこれらよりはるかに広い「リージョン丸ごと」に相当

仕様・制限・クォータ

• 専有リージョンは顧客のデータセンター内に設置され、施設・電源・冷却・物理セキュリティは顧客が用意し、基盤の運用・保守・パッチは Oracle が担当する
• 設置には一定規模のラック数・電力・冷却・床面積などの前提条件があり、要件は契約・構成ごとに個別に定義される（具体値は時期や構成で変動するため断定しない）
• パブリックリージョンと同じ OCI API・コンソール・SDK・CLI が使え、運用手順を共通化できる
• 提供されるサービスの範囲は時期・地域・契約によって異なり、パブリックの全サービスが即時に揃うとは限らない
• 専有リージョンは内部に可用性ドメイン / フォールトドメインの概念を持ち、パブリックと同じ可用性設計を適用できる（AD 数などの構成は契約による）
• 利用は長期の契約・コミットメントを前提とする商用モデルで、従量だけの即時利用とは性質が異なる
• 設備容量は物理的に有限のため、クォータ・サービス制限はパブリック以上に事前のキャパシティ計画が重要になる

内部の仕組み

OCI Dedicated Region は、Oracle がパブリックリージョンを構築するのと同じアーキテクチャ・同じソフトウェアスタックを、顧客のデータセンター内のハードウェア上に展開したものです。コントロールプレーン（操作・管理を司る面）とデータプレーン（ワークロードが動く面）を専有環境内に内包し、外部のパブリックリージョンへ常時依存しなくてもリージョンとして自立して動作するよう設計されています。

• ハードウェアの設置後、Oracle がリモートと現地保守でリージョンを構築・運用し、ソフトウェア更新やパッチもパブリックと同じ運用プロセスで適用される
• 顧客は施設側（建物・電源・空調・物理セキュリティ・ネットワーク引き込み）を提供し、その内側のクラウド基盤運用は Oracle が担う、という責任分界になる
• データは専有リージョン内に留まり、データ所在地・データ主権の要件を満たしやすい
• 内部の AD / FD 構成により、パブリックと同じ冗長設計・分散配置の作法をそのまま適用できる

設計パターン / ベストプラクティス

• パブリックリージョン向けに設計したアーキテクチャをほぼそのまま移植できる前提で、IaC（Terraform / Resource Manager）を共通化する
• 可用性ドメイン / フォールトドメインへ分散配置し、専有環境でもパブリックと同じ冗長設計を適用する
• データ主権が目的なら、バックアップ・DR の保管先も要件に整合する場所（専有リージョン内や別の許可された拠点）に設計する
• パブリックと専有を併用するハイブリッド構成では、どのデータがどこに留まるべきかを分類し、配置ポリシーを明文化する
• 設備容量が有限のため、キャパシティ計画とクォータ管理を前倒しで行い、ピーク需要を見越して確保する
• 認証・権限は IAM ポリシーで最小権限に統一し、パブリックと同じガバナンスを専有にも適用する

運用・監視

• パブリックリージョンと同じツール（OCI コンソール / CLI / SDK、Monitoring、Logging）でメトリクスとログを収集・監視できる
• 基盤（ハードウェア・クラウドソフトウェア）の監視・保守・パッチは Oracle 側が担い、顧客はワークロードの監視に集中できる
• 施設側の電源・冷却・物理アクセスは顧客運用の責任範囲となるため、データセンター運用と Oracle の保守窓口の連携体制を整える
• 容量の逼迫は物理増設を伴うため、使用率トレンドを継続監視し、増設リードタイムを見込んで早めに計画する
• 障害切り分けでは、ワークロード起因か基盤起因かを明確にし、基盤起因は Oracle のサポート経路へ確実にエスカレーションする

コスト

Dedicated Region は、設備を専有しその基盤運用を Oracle が担うため、従量課金中心のパブリックリージョンとは課金の性質が異なり、長期コミットメント型の商用モデルが基本です。具体的な金額や条件は契約・構成・時期で変動するため、ここでは構造のみを定性的に整理します。

セキュリティ

• データが専有リージョン内に留まるため、データ所在地・データ主権・規制対応の要件を満たしやすい
• 施設の物理セキュリティ・入退室管理は顧客側、クラウド基盤側のセキュリティは Oracle 側という責任分界を明確にする
• 認証情報のハードコードを避け、サービス間アクセスはインスタンスプリンシパル / リソースプリンシパルを使う
• シークレットは OCI Vault で集中管理し、暗号鍵のライフサイクルを統制する
• 操作権限は IAM ポリシーで最小権限に絞り、パブリックと同じガバナンス・監査をそのまま適用する

関連サービス・比較

最も近い関連サービスは、同じく顧客施設へクラウドを持ち込む OCI Compute Cloud@Customer です。Cloud@Customer がラック単位で機能を持ち込むのに対し、Dedicated Region は OCI のリージョンそのものを丸ごと再現する点が決定的に異なります。他クラウドでは AWS Outposts が近い発想ですが、持ち込む範囲の広さに差があります。

ハンズオン / CLI例

Dedicated Region は専用ハードウェアの設置を伴うため、リージョン自体の構築は Oracle との契約・プロビジョニングで行います。構築後は、パブリックリージョンとまったく同じ OCI CLI でリソースを操作できます。以下は、専有リージョンを対象に CLI を向けて操作する骨子です（OCID やリージョン識別子は環境に合わせて置き換えてください）。

# 利用可能なリージョン（専有リージョンを含む）を一覧
# 専有リージョンも通常のリージョンとして識別子を持つ
oci iam region-subscription list \
  --query "data[].{Region:\"region-name\", Key:\"region-key\"}" \
  --output table

# 専有リージョンを明示して可用性ドメインを確認
# パブリックと同じく内部に AD/FD の概念を持つ
oci iam availability-domain list \
  --region "my-dedicated-region-1" \
  --compartment-id "ocid1.tenancy.oc1..xxxx" \
  --output table

# 専有リージョン上で Compute インスタンスを作成（操作はパブリックと同一）
oci compute instance launch \
  --region "my-dedicated-region-1" \
  --compartment-id "ocid1.compartment.oc1..xxxx" \
  --availability-domain "Uocm:MYDR-AD-1" \
  --shape "VM.Standard.E4.Flex" \
  --shape-config '{"ocpus": 2, "memoryInGBs": 16}' \
  --image-id "ocid1.image.oc1..xxxx" \
  --subnet-id "ocid1.subnet.oc1..xxxx" \
  --display-name "app-on-dr"