用途
本技能用于 Oracle Cloud Infrastructure（OCI）的 IAM 与身份管理相关工作，覆盖策略编写、权限排错、动态组配置、区间（compartment）层级设计以及 IDCS 联合集成。其定位是补充模型在 OCI 专有 IAM 语法与操作知识上的不足，提供当前可用的 OCI 特定模式与语法。
主要能力
- IAM 策略语法：动词层级（inspect < read < use < manage）、资源类型族（instance-family、volume-family、object-family、database-family、all-resources）、位置语法（in compartment、in tenancy、in resource）以及 WHERE 条件（标签、名称正则、请求属性、多条件 all/any）。
- 权限排错：针对“404 - NotAuthorizedOrNotFound”和“403 - NotAuthorized”提供决策树，涵盖资源是否存在、是否缺少 inspect/read 权限、策略所在区间是否正确、动态组/实例主体是否匹配、跨区间访问策略位置等。
- 动态组模式：按区间、按标签、按多条件组合的匹配规则最佳实践，以及测试动态组成员身份的方法（获取实例详情、查看动态组规则、验证规则匹配、从实例发起实际 API 调用）。
- 区间策略：环境化层级结构示例，以及扁平结构等反模式说明。
- 认证方式选择：API Key、实例主体（Instance Principal）、资源主体（Resource Principal）、会话令牌（Session Token）的适用场景与优缺点。
- IDCS 集成：联合设置要点、组映射、常见问题（可登录但看不到资源、无效凭据、组成员不同步）。
使用方式
技能建议在 OCI 操作时使用其参考资料中的确切 CLI 命令，不要猜测 OCI IAM 策略语法，也不要套用 AWS/Azure 的 IAM 模式。需要详细策略文档时，加载参考文件 oci-iam-policies-reference.md。技能还建议使用 oracle-terraform-modules/landing-zone 搭建 IAM 结构，避免扁平区间、日常运维使用管理员、手工 IAM 策略等不良实践。
适用场景
- 编写 IAM 策略：语法、动词选择、条件。
- 排错：403/404 错误、授权失败、权限调试。
- 动态组：匹配规则、成员测试、实例主体。
- 区间策略：层级设计、策略放置。
- IDCS 集成：联合设置、组映射、SSO 排错。
限制
技能明确指出模型对 OCI CLI 命令与 OCI API 结构存在知识缺口，训练数据对 OCI CLI 语法与参数、API 端点与请求/响应格式、IAM 服务 CLI 操作、策略动词/资源组合、最新 IAM 功能与身份域的了解有限且可能过时。因此需要 OCI 操作时应使用技能参考资料中的确切命令，不应猜测语法或套用其他云厂商模式。技能本身不提供收费、价格或平台信息。