SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场best-practices

best-practices

部署与运维

查看项目

更新于 10-15 10:28

技能介绍

本技能提供 OCI（Oracle Cloud Infrastructure）特定架构与运维知识，定位为补充 Claude 缺乏的 OCI 专属内容：OCI 反模式、永久免费额度细节、术语陷阱、多 AD 模式，以及与 AWS/Azure/GCP 的差异。

一、用途 适用于以下场景：OCI 架构设计（多 AD 模式、隔间策略、VCN 网段规划）；从 AWS/Azure 迁移（术语映射、反模式规避）；成本优化（免费额度规划、Flex 规格、存储分层）；安全（Cloud Guard 调优、Security Zones、NSG 与 Security Lists 选择）；生产就绪（SLA 要求、高可用模式、容错）。

技能明确建议在 OCI 架构中使用 oracle-terraform-modules/landing-zone，而非自建 Terraform 模块。Landing Zone 用于解决通用隔间结构、日常运维使用管理员账号、网络分段不足、自建 Terraform 模块等问题。本技能提供的是部署在 Landing Zone 内部资源所需的 OCI 专属反模式、架构模式与运维知识。

二、主要能力与核心规则

  1. 关于 OCI CLI/API 的说明：资料声明不应假设或猜测 OCI CLI 语法与参数、API 端点与请求/响应格式、服务专属命令与标志、最新功能与限额及区域可用性、CIS Benchmark 要求。需要执行 OCI 操作时，应使用技能参考中的确切 CLI 命令，不猜测语法，不假设 API 端点结构；Terraform 模块参考 landing-zones 技能。技能自身掌握的是通用云架构概念、安全原则与合规框架、多层应用设计模式。

  2. VCN 网段：不要创建 /24 或更小的 VCN CIDR，因为 OCI VCN 创建后无法调整大小，若过小只能新建 VCN 并迁移。示例认为正确做法是从 /16 起步（示例注释称可容纳 65,536 个 IP，且为 256 个 /24 子网留出空间）。资料同时提到 OCI 支持 /16 到 /30。

  3. 子网：不要使用绑定单一 AD 的子网，否则无法在其他 AD 启动实例、丧失高可用。正确做法是不带 --availability-domain 参数创建区域子网，使其在该区域所有 AD 可用。资料提示部分旧 OCI 指南仍展示 AD 专属子网，属已弃用模式。

  4. Security Lists 与 NSG：OCI 有两套网络安全机制。Security Lists 是有状态、子网级，作用于子网内所有资源，适合宽泛规则（互联网出站、DNS），每个子网上限 5 个，变更影响子网内所有实例。NSG 是资源级，作用于特定资源，适合细粒度规则（应用层到数据库层），每个资源上限 5 个、每个 NSG 上限 120 条规则，变更只影响已标记资源。最佳实践：Security Lists 用于基线规则，NSG 用于应用专属规则。

  5. 多 AD：多数区域每区域 3 个 AD，AD 之间故障隔离、延迟低于 1ms。资料称单 AD 部署无 SLA，多 AD 为 99.95% SLA，且在具备 3 个 AD 的区域，Oracle 不接受单 AD 部署的 SLA 主张。建议将生产实例分布在多个 AD；负载均衡自动跨 AD；数据库可用 Autonomous（自动 3 AD）或 RAC（2 个以上节点）。不要硬编码 AD 名称，因为 AD 前缀按租户生成、不可移植，应通过 data "oci_identity_availability_domains" 动态查询。部分规格仅在特定 AD 可用，应先查询。每个 AD 内含 3 个 Fault Domain（独立供电、制冷、网络），关键应用可进一步跨 FD 分布。

  6. Cloud Guard：不要未经验证就启用自动修复，其自动响应可能破坏生产（如把检测到的公共桶改为私有而破坏公开网站、移除 0.0.0.0/0 规则而中断互联网访问）。更安全做法是先以只读模式启用检测器、观察 1–2 周、调整响应器避免误报，仅对可信模式启用自动修复。资料提示某些租户默认开启 Cloud Guard。

  7. 操作系统：OCI 并非必须使用 Oracle Linux，可使用 Ubuntu、CentOS、Rocky Linux、Windows Server 或自定义镜像。Oracle Linux 免费且经过优化，但若团队熟悉 Ubuntu 可选用 Ubuntu。

三、永久免费额度（资料给出的具体限制） 计算：2 台 AMD VM（VM.Standard.E2.1.Micro，各 1/8 OCPU、1 GB 内存）；4 个 Arm OCPU（VM.Standard.A1.Flex，可分配为 1×4 或 4×1），总内存最多 24 GB（每 OCPU 6 GB）。数据库：2 个 Autonomous Database，各 1 OCPU、每个 ADB 20 GB 存储，可选 ATP 或 ADW，全租户跨所有区域合计上限 2 个。存储：块卷合计 200 GB；对象存储 10 GB Standard 层；归档存储 10 GB Archive 层；块卷备份 10 GB。网络：1 个灵活负载均衡器、10 Mbps 带宽；每区域 2 个 VCN；每区域 1 个免费保留公网 IPv4。可观测性：监控 10 亿数据点摄取；日志每月 10 GB 摄取；通知每月 100 万封邮件。 易被忽略的注意点：2 个 ADB 上限是全租户而非按区域；Arm 实例仅限 VM.Standard.A1.Flex，不可用较新的 A2 规格；免费额度与试用金不同（试用为 30 天 300 美元额度）；已停止的 ADB 仍计入 2 个上限，需删除才能释放名额。

四、术语对照（便于从 AWS/Azure 迁移） VCN 对应 VPC / Virtual Network；Subnet 对应 Subnet / Subnet；Security List 对应 VPC Security Group / 网络级 NSG；NSG 对应 Security Group / Application Security Group；DRG 对应 Virtual Private Gateway / VPN Gateway；Compartment 对应 Resource Group 或 OU / Resource Group；Tenancy 对应 Account / Subscription；Region 对应 Region / Region；AD 对应 Availability Zone / Availability Zone；Fault Domain 对应可用区内部的可用性集；Dynamic Group 对应 IAM Role（面向实例）/ Managed Identity；Instance Principal 对应 EC2 Instance Profile / Managed Identity；OCIR 对应 ECR / Container Registry；OKE 对应 EKS / AKS。关键差异：OCI 同时有子网级 Security Lists 与资源级 NSG，AWS 只有资源级 Security Group。

五、隔间策略 给出层级示例：根隔间（租户）下分 SharedServices（Network、Security）、Production（App1 的 Compute/Database/Storage、App2）、NonProduction（Development、Testing、Staging）、Sandbox（开发者、自动清理）。关键原则：通过隔间标签按环境进行计费分离；IAM 策略按隔间限定（最小权限）；按隔间隔离配额；删除整个隔间即删除其中所有资源。反模式是无层级的扁平结构。

六、成本优化 Flex 规格可按需独立配置内存：资料举例固定规格 VM.Standard2.4（4 OCPU、60 GB）为每月 218 美元，Flex 规格 VM.Standard.E4.Flex（4 OCPU、16 GB）为每月 109 美元，并称可节省 30–50%。Arm 更便宜：示例中 AMD VM.Standard.E4.Flex（1 OCPU）为 0.03 美元/小时，Arm VM.Standard.A1.Flex（1 OCPU）为 0.01 美元/小时；Arm 永久免费提供 4 个 OCPU，适用于 Web 服务器、CI/CD runner、开发环境，限制是仅 ARM64、并非所有应用兼容。存储分层资料给出：Standard 每 GB 每月 0.0255 美元（即时、免费取回）、Infrequent Access 0.0125 美元（即时，取回 0.01 美元/GB）、Archive 0.0024 美元（1 小时，取回 0.01 美元/GB），并给出生命周期策略示例与 1 TB 数据一年的估算示例。

七、Security Zones OCI Security Zones 在基础设施层强制执行策略：所有存储加密、禁止公共桶、VCN 内禁止互联网网关、所有数据库仅私网端点、启用 Cloud Guard。其通过 API 拒绝违规请求实现预防性控制。适用于生产、PCI-DSS、医疗等强制控制场景，但可能破坏既有自动化，应先在开发环境测试。

八、渐进加载参考 资料列出 oci-well-architected-checklist.md 的适用时机：对 OCI 租户执行合规检查、准备 CIS OCI Foundations Benchmark 审计、实施自动化安全扫描、为常见发现创建修复脚本、设置漂移检测监控；不适用于快速反模式参考、架构决策、理解 OCI 术语。资料声明其反模式、术语映射与永久免费限制均来自 Oracle 官方文档与 A-Team Oracle 博客，并列出 Well-Architected Framework、Architecture Center、CIS OCI Foundations Benchmark、Security Best Practices、Compartment Design、Network Architecture Patterns 等官方来源方向。