用途
该技能用于在架构 Oracle Cloud Infrastructure（OCI）解决方案、从 AWS 或 Azure 迁移、设计多可用域（AD）部署、评估 Always-Free 免费层，以及规避 OCI 反模式时提供指导。
主要能力
禁止事项（反模式）
- 不要创建 /24 或更小 CIDR 的 VCN，因为无法扩展。应使用 /16 起步（65,536 个 IP，可容纳 256 个 /24 子网），OCI 支持 /16 到 /30。迁移成本：必须新建 VCN 并迁移全部资源，造成数小时停机、IP 变更和安全规则更新。
- 不要使用 AD 专属子网（已弃用，破坏多 AD 高可用）。应省略 --availability-domain 以创建区域子网，实例可位于区域内任意 AD。部分旧 OCI 指南仍展示 AD 专属子网，这是已弃用模式。
- 不要硬编码 AD 名称，因为它们与租户绑定、不可移植。应通过 data "oci_identity_availability_domains" 动态查询。OCI 为每个租户生成唯一前缀以实现安全隔离。
- 不要在未测试的情况下启用 Cloud Guard 自动修复。例如“检测到公共桶”的自动修复会立即将桶设为私有，破坏公共网站；“安全列表允许 0.0.0.0/0”的自动修复会移除规则，破坏互联网访问。安全做法：先以只读模式启用检测器，审查发现 1-2 周，调整响应器消除误报，仅对可信模式启用自动修复。部分租户默认启用 Cloud Guard，需先确认。
- 不要将所有资源部署在单一 AD（无 SLA）。单 AD 时 Oracle 在 3-AD 区域拒绝 SLA 索赔；多 AD 为 99.95% SLA。正确模式：AD-1、AD-2、AD-3 均匀分布 Web 实例；负载均衡器自动多 AD；数据库使用 ADB（自动 3-AD）或 RAC（2+ 节点位于不同 AD）。
OCI 与 AWS/Azure 术语对照
- VCN ↔ AWS VPC ↔ Azure Virtual Network
- Security List（子网级、有状态）↔ AWS VPC Security Group ↔ Azure NSG（网络级）
- NSG（资源级、有状态）↔ AWS Security Group ↔ Azure Application Security Group
- DRG ↔ AWS Virtual Private Gateway ↔ Azure VPN Gateway
- Compartment ↔ AWS Resource Group / OU ↔ Azure Resource Group
- Tenancy ↔ AWS Account ↔ Azure Subscription
- Availability Domain ↔ AWS Availability Zone ↔ Azure Availability Zone
- Fault Domain ↔ AWS（AZ 内）↔ Azure Availability Set
- Dynamic Group ↔ AWS IAM Role（用于 EC2）↔ Azure Managed Identity
- Instance Principal ↔ AWS EC2 Instance Profile ↔ Azure Managed Identity
- OCIR ↔ AWS ECR ↔ Azure Container Registry
- OKE ↔ AWS EKS ↔ Azure AKS
关键差异：OCI 同时具有 Security Lists（子网范围）和 NSGs（资源范围）；AWS 只有资源范围的 Security Groups。迁移时易混淆。
Always-Free 免费层（精确限额）
计算：
- 2 台 AMD VM：VM.Standard.E2.1.Micro（1/8 OCPU，1 GB RAM）
- Arm：总计 4 OCPU、24 GB RAM，仅限 VM.Standard.A1.Flex（A2 为付费）。示例：4 台 1 OCPU/6 GB 实例，永久免费。
数据库：
- 2 个 Autonomous Database：各 1 OCPU、20 GB，ATP 或 ADW
- 限额为租户级（非按区域）：1 个 ATP Phoenix + 1 个 ADW Ashburn 即达上限
- 已停止的 ADB 仍计入 2 个 ADB 限额，必须删除才能释放名额
存储/网络：
- 200 GB 块存储、10 GB 对象存储、10 GB 归档存储
- 1 个灵活负载均衡器（10 Mbps）、每区域 1 个预留公网 IP
免费层与试用：免费层永久有效；试用为 30 天 300 美元额度。二者相互独立。
Compartment 层级
Root（租户）下分 SharedServices（Network：VCN、DRG；Security：Vault、KMS、Cloud Guard）、Production（App1、App2，含计算/数据库/存储）、NonProduction（Development、Testing、Staging）、Sandbox（自动清理策略）。
OCI 特有属性：删除 Compartment 会删除其中所有资源，可用于 Sandbox 生命周期管理。IAM 策略按 Compartment 限定范围，在不增加账户/订阅的情况下实现最小权限。
多 AD 与故障域模式
具有 3 个 AD 的 OCI 区域：US-Phoenix、US-Ashburn、UK-London、DE-Frankfurt、AU-Sydney、AU-Melbourne。
注意：某些机型仅在特定 AD 可用，分配前需检查：oci compute shape list --compartment-id <ocid> --availability-domain "fMgC:US-ASHBURN-AD-1"
故障域（每 AD 3 个，独立供电/冷却/网络）：仅用于极关键应用，会增加运维复杂度。优先跨 AD 分布；仅当单实例影响重要时才增加 FD 分布。
成本：Flex 机型与存储分层
Flex 机型（OCI 独有）：解耦 OCPU 与 RAM 计费。
- 固定机型 VM.Standard2.4：4 OCPU、60 GB RAM，218 美元/月
- Flex VM.Standard.E4.Flex：4 OCPU、16 GB RAM，109 美元/月（节省 50%）
- Arm VM.Standard.A1.Flex：0.01 美元/OCPU-小时，对比 AMD 0.03 美元/OCPU-小时（便宜 67%）
对象存储分层（精确价格）：
- Standard：0.0255 美元/GB/月，检索免费、即时
- Infrequent Access：0.0125 美元/GB/月，检索 0.01 美元/GB、即时
- Archive：0.0024 美元/GB/月，检索 0.01 美元/GB、延迟 1 小时
1 TB 数据存 1 年，使用生命周期策略（30 天 Standard → 60 天 Infrequent → Archive）：72 美元/年，对比全程 Standard 306 美元/年（节省 76%）。
Security Zones（OCI 独有强制）
Security Zones 在 API 层强制策略，违规请求被拒绝而非仅标记：所有存储加密、无公共桶、无互联网网关、数据库仅私有端点。
示例：若 Compartment 位于 Security Zone，oci os bucket create --public-access-type ObjectRead 会失败并返回 HTTP 400：Security Zone violation。
在应用到生产前，先在开发环境测试 Security Zone 策略，它们可能破坏现有自动化。
使用方式
该技能以文档形式提供 OCI 最佳实践与反模式清单，包含 CLI 命令示例、Terraform 代码片段、术语对照表和价格数据。当需要 CIS OCI Foundations Benchmark 审计清单、自动化安全扫描脚本、常见发现的修复脚本、漂移检测监控设置时，加载 references/oci-well-architected-checklist.md 参考文件。
适用场景
- 架构 OCI 解决方案
- 从 AWS/Azure 迁移
- 设计多 AD 部署
- 评估 Always-Free 免费层
- 规避 OCI 反模式
限制
资料未提供该技能的安装方式、运行环境要求、支持平台或版本信息。