本技能面向 Oracle Cloud Infrastructure Identity and Access Management (IAM) 以及 Oracle Identity Cloud Service (IDCS) 集成，提供较为全面的 OCI CLI 命令集合与最佳实践，用于弥补 Claude 在 OCI 训练数据上的不足。
一、核心 IAM 概念
- 主体（Principals）：用户（个人或应用）、组（用户集合）、动态组（基于实例/资源条件）、服务主体（访问资源的 OCI 服务）。
- 资源（Resources）：区间（compartment）、实例、数据库、存储桶等，按服务组织为资源类型。
- 策略（Policies）：定义主体可对资源执行何种操作的规则，使用策略语言编写，形式为 Allow <subject> to <verb> <resource> in <location> where <conditions>。
- 认证（Authentication）：用于 API/CLI 访问的 API 签名密钥、面向 HTTP 服务的认证令牌、用于 S3 兼容访问的客户密钥，以及用于 SSO 的 IDCS 集成。
二、主要能力（按 CLI 命令域组织）
- 区间管理：列出与查看区间（含递归列出子区间、获取区间详情、获取租户信息）、创建/更新/移动/删除区间，以及 30 天内恢复已删除区间。区间最佳实践包括：设计 3–4 层层级（租户 → 业务单元 → 环境 → 应用）、统一命名规范、隔离生产/开发/测试、按区间设置预算告警、在合适层级应用策略。
- 用户管理：列出与查看用户、创建/更新/删除用户、创建或重置控制台密码。
- 用户凭证管理：API 密钥（列出、上传、删除）、认证令牌（列出、创建用于 Docker/Swift 等、删除）、客户密钥（S3 兼容，列出、创建、删除）。
- 组管理：列出与查看组、创建/更新/删除组、组成员关系（添加用户、移除用户、列出某用户的全部成员关系）。
- 动态组：基于匹配规则自动纳入计算实例等资源；提供列出/查看、创建（如按区间内全部实例、指定实例、带标签的生产实例、Autonomous Database 等）、更新匹配规则、删除。资料列出常见匹配规则范式，如 ALL {instance.compartment.id = '<compartment-ocid>'}、instance.id = '<instance-ocid>'、ANY {…}、带 tag 条件、resource.type = 'fnfunc'、resource.type = 'autonomousdatabase' 等。
- 策略管理：列出与查看策略、创建策略（单条或多条语句、为动态组基于实例主体创建策略）、更新语句或描述、删除策略。资料给出大量常见策略模式，覆盖全量访问、计算、网络、数据库、对象存储、密钥与 Vault、监控与日志、动态组（实例主体）等场景，并说明可用 WHERE 子句做精细化控制（按请求权限、时间段、区域、IP 来源等）。
- IDCS 集成：认证设置（列出/查看身份提供者）、联合身份配置（创建/更新/删除 SAML2 身份提供者）、身份提供者组映射（创建、列出、删除）。
- 网络来源（基于 IP 的访问控制）：列出、创建、更新、删除网络来源。
- 标签与标签命名空间：列出/创建/获取标签命名空间；创建标签键、创建带校验器（枚举允许值）的标签键、列出命名空间内标签、更新标签等。
三、使用方式 本技能以 OCI CLI 命令为核心载体，用户可参照示例命令执行相应 IAM 操作；具体参数（如 OCID、名称、描述、匹配规则、策略语句）需按实际环境替换。资料未提供安装命令与运行环境要求，暂未提供。
四、适用场景 适用于需要管理 OCI 租户身份与访问控制的操作者，包括区间规划、用户与组成员的日常维护、凭证与密钥轮换、基于实例的动态组授权、策略编写与审计、IDCS/SAML 单点登录集成、基于 IP 的访问限制，以及标签治理等。
五、限制 资料主要提供 CLI 命令与策略示例，未说明图形控制台操作、价格或收费模式、性能指标与实施效果；相关资料未完整覆盖的部分（如官方安装命令、运行前提）暂未提供。