03 OCI 云基础学习路线

1. 官方定义的中文理解

OCI 官方入门页说明，Oracle Cloud Infrastructure 是一组互补的云服务，用于在高度可用的托管环境中构建和运行应用与服务。它提供高性能计算能力（物理硬件实例）和存储容量，并通过灵活叠加的虚拟网络，使这些资源可从本地网络安全访问。

原文入口：Welcome to Oracle Cloud Infrastructure。

用更直白的话理解：

• 计算：运行虚拟机、裸金属服务器或容器。
• 存储：块存储、文件存储、对象存储。
• 网络：软件定义的 VCN、子网、路由、网关和安全规则。
• 身份：租户、用户、组、策略、区间。
• 托管服务：数据库、AI、分析、集成、安全等。

2. 学习入口

• OCI Documentation Home
• Welcome to OCI
• Learn About Oracle Cloud Basics
• Get to Know the Console
• Launch an instance
• Build a load balancer
• Put data into object storage
• Get started with the CLI
• Developer Resources
• Security
• OCI Release Notes

3. 必须掌握的 OCI 空间层级

租户（Tenancy）

租户是组织在 OCI 中的顶层隔离边界。一个租户通常对应一个组织账户，拥有独立的资源、身份、配额和计费关系。

区域（Region）

区域是地理上独立的数据中心集合。资源通常创建在某个区域内，跨区域访问会涉及额外延迟和数据传输。

可用性域（Availability Domain，AD）

可用性域是区域内相互隔离的故障域。生产架构通常把关键组件分布到多个 AD，以降低单点故障风险。

故障域（Fault Domain，FD）

故障域是可用性域内的进一步隔离单元。理解 AD 和 FD 的层级，是设计高可用架构的基础。

区间（Compartment）

区间是组织资源、权限、配额和成本的最小逻辑容器。区间可以嵌套，适合按项目、环境或业务线划分。

推荐资源组织方式：

Tenancy
├── Platform
│   ├── Network
│   └── Security
├── Dev
│   ├── App
│   └── Database
├── Test
└── Prod

不要把“区间”理解成虚拟机或网络。它首先是权限与资源管理边界。

4. 身份与访问管理

OCI IAM 的核心对象包括：

• 用户（User）
• 组（Group）
• 策略（Policy）
• 区间（Compartment）
• 身份域（Identity Domain）
• 动态组（Dynamic Group）
• 实例主体（Instance Principal）

策略的基本结构通常包含：

Allow <主体> to <动作> <资源> in <位置>

例如：

Allow group AppDevelopers to use instances in compartment Dev

中文理解：

“允许 AppDevelopers 组在 Dev 区间中使用实例资源。”

学习重点：

• 最小权限
• 组而不是个人授权
• 生产环境与开发环境隔离
• 动态组与实例主体
• 审计日志
• 密钥与凭据管理

不要给开发者直接授予租户管理员权限。权限设计应从职责和资源生命周期出发。

5. 网络：VCN 是核心

Virtual Cloud Network（VCN）是 OCI 中的软件定义网络。核心组件包括：

• CIDR 地址段：VCN 和子网的地址范围
• 子网（Subnet）：可区域化或 AD 专属
• 路由表（Route Table）：决定流量去哪里
• 安全列表（Security List）：子网级虚拟防火墙规则
• 网络安全组（Network Security Group，NSG）：实例级或资源级规则，推荐优先使用
• Internet Gateway（IGW）：公网双向访问
• NAT Gateway：私有子网访问互联网，不允许互联网主动进入
• Service Gateway：访问 Oracle 服务而无需经过公网
• Dynamic Routing Gateway（DRG）：连接本地网络、其他 VCN 或远程网络
• 负载均衡器（Load Balancer）：流量分发与服务健康检查

推荐的最小网络设计

子网	用途	入站
Public Subnet	负载均衡器、跳板机	仅必要端口
Private App Subnet	应用服务器	只允许来自负载均衡器/堡垒机
Private DB Subnet	数据库	只允许来自应用子网

网络学习不能只停在“能否连通”。必须同时回答：

1. 谁应该访问
2. 从哪个网络访问
3. 经过哪个网关
4. 使用哪条路由
5. 哪一层安全规则允许
6. 如何审计

6. 计算与存储

计算

OCI Compute 提供：

• 虚拟机实例
• 裸金属实例
• 自定义镜像
• 启动卷
• 实例元数据
• 实例主体
• 自动扩缩容能力

入门实验：

1. 创建一个 VCN
2. 创建公有子网和私有子网
3. 创建 Linux 实例
4. 通过堡垒机或 SSH 登录
5. 安装 Web 服务
6. 配置负载均衡器
7. 配置监控与告警

存储

类型	中文理解	典型用途
Block Volume	块存储卷	数据库文件、系统盘、需要文件系统的数据
Object Storage	对象存储桶	备份、图片、日志、静态网站、数据湖
File Storage	网络文件系统	多实例共享文件
Archive Storage	归档对象存储	长期低成本保留

选择存储时至少考虑：

• 访问协议
• 持久性与冗余
• 性能与吞吐
• 快照和备份
• 生命周期
• 跨区域复制
• 成本

7. 自动化与运维

OCI 的常见自动化和管理能力：

• OCI CLI
• Python、Java、Go 等 SDK
• REST API
• Terraform
• Resource Manager
• Cloud Shell
• 监控（Monitoring）
• 日志（Logging）
• 审计（Audit）
• 通知（Notifications）
• 事件（Events）
• 标签（Tagging）

推荐从“手动做一次，再自动做一次”开始：

1. 控制台创建 VCN 和实例
2. 记录所有资源参数
3. 用 OCI CLI 再建一次
4. 用 Terraform 管理同样的资源
5. 删除并重建，验证可重复性

8. OCI 上的数据库选择

服务	中文理解	适用场景
Autonomous AI Database	高度自动化的托管数据库	快速上线、AI 数据应用、减少日常运维
Base Database Service	OCI 上的 Oracle 数据库托管服务	需要标准数据库控制能力
Exadata Database Service	基于 Exadata 的数据库服务	高性能、关键业务、弹性扩展
MySQL HeatWave	MySQL 与 HeatWave 分析能力	MySQL 兼容应用与分析
NoSQL Database	文档型 NoSQL 服务	灵活结构、低延迟访问

学习时先区分“你自己管理数据库”和“Oracle 托管数据库”的责任边界，再比较功能。

9. 8 周 OCI 学习安排

周次	主题	实验
第 1 周	租户、区域、AD、FD、区间	画出租户与资源边界图
第 2 周	IAM 用户、组、策略	创建开发组和最小权限策略
第 3 周	VCN、子网、路由、网关	建立公有/私有网络
第 4 周	Compute、镜像、启动卷	部署一个 Linux Web 服务
第 5 周	块、对象、文件存储	完成对象上传和块卷快照
第 6 周	负载均衡、监控、日志、审计	配置健康检查和告警
第 7 周	CLI、SDK、Terraform	用代码重建一组资源
第 8 周	Autonomous Database 或 OCI AI 服务	完成一个端到端小项目

10. 检查清单

• [ ] 能解释租户、区域、AD、FD 和区间
• [ ] 能写出一个最小权限 IAM 策略
• [ ] 能设计公有子网、私有应用子网和私有数据库子网
• [ ] 能解释 IGW、NAT、Service Gateway 和 DRG 的区别
• [ ] 能创建并连接 Linux 实例
• [ ] 能区分块、对象和文件存储
• [ ] 能配置监控、日志和审计
• [ ] 能用 CLI 或 Terraform 重建资源
• [ ] 能说明 OCI 数据库服务的责任边界