頂端列

登入後畫面最上面那一列，由左到右是：

• ☰（導覽選單）：所有服務的入口，內容見〈導覽選單的分類〉。選單上方有一個搜尋框，打服務名稱就列出它所在的分類，例如打 Bastion 會列出「Bastion · Identity & Security」。
• 搜尋（放大鏡）：搜尋資源與服務，也能用資源名稱找到某一台主機或某一個 VCN。
• 區域選擇器：目前選定的區域，例如「Indonesia North (Batam)」。清單頁只顯示這個區域的資源。
• Developer tools：兩個項目，Cloud Shell（瀏覽器裡的終端機，已經裝好 OCI CLI 並以目前登入的身分驗證，不必在本機安裝 CLI 或設定金鑰）與 Code Editor。
• 通知（鈴鐺）：Oracle 的公告，包括排定的硬體維護。
• 說明（問號）：文件與支援的入口。
• 人像選單：從上到下是目前的使用者名稱、identity domain（tenancy 裡存放使用者與群組的分區，新帳號只有 Default 一個）、tenancy 名稱（tenancy 是 Oracle Cloud 的帳號，一個客戶一個）、介面語言、User settings（個人的密碼、多因素驗證、API 簽章金鑰與其他憑證）、Console settings、Sign out。點 tenancy 名稱進入 Tenancy Details 頁，那裡看得到 home region 與 tenancy 的 OCID（Oracle Cloud ID：Oracle Cloud 給每個資源的唯一識別碼，以 ocid1. 開頭，CLI 與 API 用它指定要操作的對象）。

Free Tier 帳號在試用期間，頂端列上方另有一條「Free Tier account」的橫幅，說明試用結束後只剩 Always Free 資源，並附 Upgrade 連結。

導覽選單的分類

選單左欄是分類，點一個分類，右側展開它底下的服務與頁面。實測的分類依序是：Home、Compute、Storage、Networking、Oracle AI Database、Databases、Analytics & AI、Developer Services、Identity & Security、Observability & Management、Hybrid & Multicloud、Migration & Recovery、Billing & Cost Management、Governance & Administration、Marketplace。管理一台主機會用到的是下面這幾類：

Compute：Overview、Instances、Instance Maintenance、Dedicated Virtual Machine Hosts、Instance Configurations、Instance Pools、Cluster Networks、Autoscaling Configurations、Capacity Reservations、Custom Images。建立與管理主機都從 Instances 進去。

Storage：Block Storage（Block Volumes、Block Volume Backups、Block Volume Replicas、Volume Groups 與它們的備份與複本、Backup Policies）、File Storage（File Systems、Mount Targets）、Object Storage & Archive Storage（Buckets、Private Endpoints）。開機磁碟不列在導覽選單上：進入任一個 Block Storage 頁面（例如 Block Volumes）之後，頁面頂端的「Storage」那一列可以展開，子選單裡有 Boot Volumes、Boot Volume Backups 等項目，刪除主機後留下的開機磁碟從這裡找。進入服務頁面之後，頁面頂端都有這樣一列可以展開的服務子選單，在同一個服務的各頁面之間切換用它比回導覽選單快。

Networking：Overview、Virtual cloud networks、Load balancers（Load balancer、Network load balancer）、DNS management（Public zones、Private zones 等）、IP management（Reserved public IPs、BYOIP、Public IP pools 等）、Network Command Center（Network visualizer、Network Path Analyzer 等）。VCN、subnet、security list、NSG、閘道都從 Virtual cloud networks 進入某一個 VCN 之後設定。

Identity & Security：Identity（Overview、Domains、Network Sources、Policies、Compartments）、Cloud Guard、Security Zones、Security Advisor、Certificates、Scanning（Vulnerability Reports 等）、Key Management（Vault 等）、Secret Management、Zero Trust Packet Routing，以及 Bastion。使用者與群組在 Domains 裡的 Default domain 底下管理。

Observability & Management：Application Performance Monitoring、Logging（Logs、Audit 等）、Monitoring（Metrics Explorer、Alarm Definitions 等）、Log Analytics、Events Service、Management Agent 等。主機的 CPU 與記憶體圖表在主機頁面上就看得到；跨主機的指標與告警從 Monitoring 進去。

Billing & Cost Management：Billing（Subscriptions、Invoices、Usage Statements、Payment History、Upgrade and Manage Payment）、Cost Management（Overview、Cost Analysis、Cost and Usage Reports、Budgets、Scheduled Reports、Cost Anomaly Detection 等）。

Governance & Administration：Account Management（Tenancy Details、Announcements、Region Management）、Cloud Advisor、Resource Scheduler、Tenancy Management（Resource Explorer、Tenancy Explorer、Quota policies、Limits, quotas and usage、Tag Namespaces）、Organization Management。

右側每個項目滑過時會出現「Press P to pin link」，釘選的項目出現在 Home 分類與首頁的 Pinned 區，常用的頁面釘起來就不必每次翻選單。

清單頁的 compartment 篩選器

Compartment 是 tenancy 底下用來分組資源與套用權限政策的容器，tenancy 本身是最上層的 root compartment，每個資源都建在某一個 compartment 裡。Instances、Virtual cloud networks、Block Volumes 這類清單頁的表格上方有一行「Applied filters」，其中的 Compartment 那一項篩選條件就是 compartment 篩選器，清單只列出選定 compartment 裡的資源。實測新帳號的預設是 root compartment，這一項篩選條件顯示為「<tenancy 名稱> (root)」。資源建在另一個 compartment 時，清單看起來是空的，要把篩選器切過去。建立頁上的下拉選單也一樣：VCN、subnet 的選單只列出「所在 compartment」那一欄選定的 compartment 裡的資源。

常用頁面的路徑

試用與 Free Tier 帳號只能有一個訂閱區域（就是 home region），升級成 Pay As You Go 之後還要先在 Limits, quotas and usage 申請提高 Subscribed region count，才能在 Region Management 訂閱第二個區域。

選單路徑對不上時（改版、介面語言不同），在導覽選單的搜尋框打表格裡的頁面名稱。

延伸閱讀：各頁面背後的概念

這些分類各自管什麼、Google Cloud 與 AWS 的對應名稱，見 雲端主控台的管理領域；從 Compute → Instances 進去之後建立頁每個分頁的取值，見 Oracle Cloud 建立主機的實測紀錄；Tenancy Details 頁上 home region 的意義與它對 Always Free 額度的限制，見 Oracle Cloud 的帳號結構與 home region。

Tenancy、home region、compartment 與 availability domain

OCI 的帳號叫 tenancy（主控台中文介面寫作「租用戶」）。一個 tenancy 對應一個客戶，裡面所有的使用者、群組、政策與資源都屬於它；申請時填的 Cloud Account Name 就是 tenancy 的名稱。Tenancy 與它底下的每一個資源各有一個以 ocid1. 開頭的唯一識別碼，叫 OCID（Oracle Cloud ID），CLI 與 API 用它指定要操作的對象；tenancy 的 OCID 在 Tenancy Details 頁，其他資源的在各自的詳細頁上。

Home region 是 tenancy 建立時所在的那一個區域。官方文件〈Managing Regions〉說明它存放帳號資訊與身分資源（使用者、群組、政策），而且建立之後不能變更，FAQ 的原文是「No. Oracle assigns your home region and you can’t change it.」使用者、群組、政策與 compartment 的定義住在 home region、只能在那裡修改：用 API 改 IAM 資源時要打 home region 的端點，用主控台改時主控台會替使用者把請求送到 home region，改完之後由 IAM 自動傳播到 tenancy 訂閱的其他區域，官方提醒傳播可能要幾分鐘。

Tenancy 可以另外訂閱其他區域（region subscription），訂閱之後能在那一區建資源，而帳號與身分資源仍然住在 home region。訂閱改變的是資源能放在哪裡，不改變 home region。訂閱的數量有上限：官方〈Regions and Availability Domains〉寫明試用、Free Tier 與 Pay As You Go 的 tenancy 都只能有一個訂閱區域，也就是 home region 本身；升級成付費帳戶（Pay As You Go）之後可以申請提高這個上限；試用與 Free Tier 的 tenancy 不能申請，訂閱區域就只有 home region 一個。

Compartment 是 tenancy 底下用來分組資源與套用政策的容器。Tenancy 本身就是最上層的 root compartment，新帳號一開始只有它。實驗用的資源另開一個 compartment 放，清理時刪那一個 compartment 底下的資源就好，不會碰到 root 裡的其他設定。

Availability domain（AD）是一個區域裡彼此隔離的資料中心，跨業者的概念見 Availability Zone（可用區）。區域之間的 AD 數量不同：有些區域有三個，有些只有一個。申請之前，各區域的 AD 數列在官方〈Regions and Availability Domains〉頁的區域表；申請之後，oci iam availability-domain list（登入方式見 從本機用 OCI CLI 操作 Oracle Cloud）回傳的清單長度就是自己 home region 的 AD 數。AD 數會影響免費機型建不起來時的退路，見〈A1 容量不足時的退路〉。

Always Free 的額度與它綁在 home region 上的範圍

OCI 的免費方案有兩個部分。試用金是 300 美元、30 天內有效，可以用在大部分付費服務上；Always Free 是沒有期限的固定額度，試用結束之後仍然繼續。官方 Free Tier 頁的原文是「After your trial ends, your account remains active. There is no interruption to the availability of the Always Free Resources you have provisioned.」沒有升級成付費帳戶的帳號，試用結束後不會開始扣款；試用期間用試用金建的付費資源，在試用結束時被回收，A1 主機另有一條依合計規格停用的規則，見下方〈試用結束時超出額度〉那一項。試用中、試用結束而沒有升級、付費帳戶這三種狀態下超出額度各自的結果，整理在〈超出 Always Free 額度時：試用中、未升級與付費帳戶各自的結果〉。

運算的 Always Free 額度有兩種機型：

• Ampere A1（VM.Standard.A1.Flex，ARM）：每月 1,500 OCPU 小時與 9,000 GB 小時的記憶體，相當於 2 OCPU、12 GB 記憶體整個月開著。可以全部給一台，也可以拆成兩台各 1 OCPU。付費 tenancy 的免費量比這個大：2026-10-26 讀到的 Oracle 的 Compute 價目頁（頁名這次沒有記下）寫的是「Each paid tenancy gets the first 3,000 OCPU hours and 18,000 GB hours per month for free」，也就是每月 3,000 OCPU 小時、18,000 GB 小時，相當於 4 OCPU、24 GB 整個月開著。OCI 的 OCPU 是一顆實體核心，跟其他業者以 vCPU 計價時的單位不同，比較時見 雲端免費額度與小型主機的收費比較。
• AMD Micro（VM.Standard.E2.1.Micro，x86）：最多兩台，每台 1/8 OCPU、1 GB 記憶體。

儲存與網路另有額度：開機磁碟與區塊磁碟合計 200 GB（每台主機的開機磁碟預設 50 GB，從同一份 200 GB 額度裡扣）、備份最多 5 份、出站流量每月 10 TB；試用結束後沒有升級的 Free Tier tenancy，VCN 最多 2 個。預設 50 GB 的開機磁碟實際扣 47 GB 額度，數值是 46.6 GiB 進位（2026-10-27 從用量推論），查法見 Oracle Cloud 私有子網路 Ubuntu 主機的實測紀錄：套件來源的出站（NAT gateway、路由與 NSG）、序列主控台的連線，以及被回收之後的重建〈費用與額度：A1、開機磁碟與區塊儲存額度、出站流量與 NAT gateway〉。

運算與區塊磁碟的 Always Free 額度只能用在 home region。 Free Tier 頁寫的是「You can provision Always Free Autonomous AI Databases and compute instances only in the home region」；Always Free Resources 頁對區塊磁碟的原文是「the volume must be created in the home region of the tenancy」。升級成付費帳戶並訂閱其他區域之後，建在 home region 以外那些訂閱區域的主機照一般價格計費。

免費主機只能建在 home region，主機的實體位置因此就是 home region。這個位置決定兩件事。一是出口 IP 的國家：業者配給一台主機的公開 IP 位址，屬於那個區域所在國家的位址段，主機對外連線時，對方看到的來源 IP 就登記在那個國家。二是延遲：從使用者所在地連到主機的延遲，由兩地的距離決定。

Always Free 的主機另有兩條回收規則：

• 閒置回收：連續 7 天內 CPU 使用率（第 95 百分位）、網路使用率、記憶體使用率（只算 A1）三項指標各自都低於 20%，Oracle 可能回收這台主機。官方頁用的詞是 reclaim，沒有寫回收之後主機是停止還是刪除。只在需要時才登入的實驗機會符合這個條件。
• 試用結束時超出額度：Free Tier 頁判斷 A1 是否超額，看的是 tenancy 裡全部 A1 主機的合計（OCPU 加總、記憶體加總），不看單台主機的規格。合計超過 2 OCPU、12 GB 時，試用結束那一刻 tenancy 裡的 A1 主機全部被停用，30 天後刪除，除非升級成付費帳戶。被停用的是每一台 A1 主機，包括單台規格在額度內的那幾台。官方沒有寫已經被停用的主機在升級之後會不會恢復。試用期間超出的部分由試用金支付，帳單上看不到費用，所以 A1 合計超額的後果要到試用結束那一刻才浮現。這個合計要自己加總：到 Compute → Instances 清單逐台記下 A1 主機的 OCPU 與記憶體；清單一次只列一個 compartment，每個放過主機的 compartment 都要切過去看。要保留 A1 主機，試用結束前把合計壓回 2 OCPU、12 GB 以內：把其中幾台的 OCPU 或記憶體改小，或刪掉其中一台。

官方對閒置回收只寫了三項指標都要低於 20%，沒有寫網路使用率的 20% 是對什麼的比例，也沒有寫升級成付費帳戶之後這條規則還適不適用；被回收之後主機的狀態與能不能恢復同樣沒寫。回收之後是停止或刪除兩種情形各自留下哪些資源、怎麼發現，以及照原樣重建一台 A1 主機的腳本，見 Oracle Cloud 私有子網路 Ubuntu 主機的實測紀錄：套件來源的出站（NAT gateway、路由與 NSG）、序列主控台的連線，以及被回收之後的重建〈被回收之後的重建：怎麼發現、留下與消失的資源、重建腳本〉。

A1 容量不足時的退路

A1 免費機型在某個 AD 暫時沒有容量時，建立主機的 API 回 Out of host capacity。可以做的事有下面這些，出處分別是官方 Always Free 頁與 Compute 的〈Known Issues〉頁；標明「會計費」的幾項不在 Always Free 額度內，結果依帳號狀態而定，見〈超出 Always Free 額度時：試用中、未升級與付費帳戶各自的結果〉：

• 換一個 AD（Always Free 頁）：home region 只有一個 AD 時，這一項不存在。
• 等一段時間再試（Always Free 頁）：有人釋出資源時才會短暫空出位置。重送的間隔看回應碼調整：429 TooManyRequests 是請求太頻繁被限流（Rate Limit 卡），收到就拉長間隔，做法見 Exponential Backoff 卡；Out of host capacity 才是那個 AD 當下沒有硬體。限流的門檻依帳號與 API 而定。
• 不指定 fault domain（Known Issues 頁）：建立頁的 Fault domain 欄選「Let Oracle choose the best fault domain」，不把主機限定在單一個 fault domain 的硬體上。
• 改小規格（Known Issues 頁）：同一個機型把 OCPU 或記憶體改小，需要的硬體少，容量比較容易拿到，仍然在免費額度內。
• 建立前查容量（Known Issues 頁）：用 CreateComputeCapacityReport 這個 API 查某個機型當下在某個 AD 有沒有容量，查完再送建立請求。
• 換成 x86 機型（會計費）：x86 的 Flex 機型不在免費額度內；試用期間用試用金建，當天就有主機可用，代價是這台用試用金建的 x86 主機在試用結束時會被回收。換架構要重新確認軟體有沒有那個架構的版本，見 機型與映像檔 的〈CPU 架構：x86 與 ARM〉。免費的 x86 機型 E2.1.Micro 在一個區域裡只建得在一個 AD 上，2026-10-24 實測的 ap-batam-1 沒有這種機型，出處與實測見〈E2.1.Micro 在各區域的供應：服務配額表與 404 錯誤〉。
• 改用可被收回的容量（preemptible）（官方沒有寫它算不算免費額度，這裡按會計費看待）：官方 Always Free 頁與 Free Tier 頁都沒有提到 preemptible。業者需要容量時會直接終止這種主機，價格與限制見 機型與映像檔 的〈計費模式：隨用隨付、可被收回、預留容量與專屬主機〉。
• 預留容量（capacity reservation）（會計費）：先向業者保留某種機型的容量，保留期間的計費方式見 機型與映像檔 的〈計費模式：隨用隨付、可被收回、預留容量與專屬主機〉。
• 升級成付費帳戶（Always Free 頁）：官方寫升級之後能用的運算資源種類變多（原文「gives you access to more types of Compute resources」）。對容量不足來說，升級的作用是讓上面那幾項會計費的選項（x86 的 Flex 機型、可被收回的容量、預留容量）在試用金用完或試用結束之後仍然建得起來。Always Free 的部分仍然不收費，額度以外建的資源照一般價格計費。

Home region 只有一個 AD、而且只用免費額度時，能用的退路是等待重試、不指定 fault domain、改小規格與建立前查容量這四項；換 AD 在這種區域不存在；x86 的 Flex 機型、可被收回的容量與預留容量不在免費額度內，要用試用金或升級成付費帳戶才建得起來。在只有一個 AD 的 ap-batam-1 實際重送的紀錄、OCI CLI 在一條指令裡自己重送造成的限流，以及依回應碼調整間隔的重送腳本，見 Oracle Cloud 建立主機的實測紀錄 的〈重送建立請求：CLI 自己的重送、限流門檻與重送腳本〉。

E2.1.Micro 在各區域的供應：服務配額表與 404 錯誤

E2.1.Micro 是 Always Free 的另一種機型。官方 Always Free 頁對它的供應寫的是 AD 層級：「Instances using the VM.Standard.E2.1.Micro shape can only be created in one availability domain.」也就是一個區域裡只有一個 AD 建得了 Micro，而官方沒有列出是哪一個 AD、哪些區域完全沒有。2026-10-24 在 ap-batam-1 實測，這一區唯一的 AD 沒有 E2.1.Micro，所以在這一區，A1 建不起來時改用 Micro 也建不起來。

主控台的服務配額表（Limits, quotas and usage 頁）上的數字是這個帳號允許開的台數上限，它不反映那一區是否提供那種硬體。這次的帳號在配額表上的 vm-standard-e2-1-micro-count 是 2，而 ap-batam-1 一台 Micro 也建不起來。

在沒有這個機型的區域用 CLI 建立 Micro 主機，API 回的是 404 NotAuthorizedOrNotFound。這個錯誤碼同時涵蓋權限不足與資源不存在，從訊息本身分不出是哪一種。一個區域實際提供哪些機型，用 oci compute shape list --compartment-id <compartment 的 OCID> --availability-domain <AD 名稱> 查，回傳的清單才是那個 AD 能建的機型；AD 名稱要填 oci iam availability-domain list 回傳的完整名稱，它帶有 tenancy 專屬的前綴，只寫 AD-1 會失敗。這條指令要先有 tenancy 才能跑，所以申請之前沒有辦法確認某一區有沒有 E2.1.Micro；申請之後才發現缺機型時，能做的事見〈選錯 home region 之後的選項〉。

超出 Always Free 額度時：試用中、未升級與付費帳戶各自的結果

多建一台 A1、加大一顆磁碟、改用不在免費額度內的 x86 機型，這類讓用量超出 Always Free 額度的操作，結果由帳號當下的狀態決定：

• 試用中：超出的部分由試用金支付，帳單上看不到費用。試用結束時，用試用金建的付費資源會被回收，A1 合計超額時全部 A1 主機會被停用。
• 試用結束而沒有升級：官方 Always Free 頁寫明，用不在 Always Free 範圍內的映像建主機，帳號必須是付費帳戶、或是還有試用金餘額的 Free Trial 帳號（原文「you must have a paid account or a Free Trial account with available credits」）；試用結束而沒有升級的帳號兩者都不是，所以超出額度的運算資源建不了，運算以外的資源這一頁沒有逐字寫；Free Tier 頁另外寫明，不升級的話申請時填的信用卡不會被扣款。
• 升級成付費帳戶（Pay As You Go）：Always Free 的部分仍然不收費，超出的部分照一般價格計費。區塊磁碟的「超出的部分」以整顆磁碟計：沒有用 compartment quota 另設上限時，合計超過 200 GB 的建立請求不會被擋下，新建而放不進剩餘額度的那一顆整顆不算免費額度（2026-10-27 實測，見 Oracle Cloud 私有子網路 Ubuntu 主機的實測紀錄：套件來源的出站（NAT gateway、路由與 NSG）、序列主控台的連線，以及被回收之後的重建〈費用與額度：A1、開機磁碟與區塊儲存額度、出站流量與 NAT gateway〉）。A1 的免費量是每月 3,000 OCPU 小時、18,000 GB 小時（相當於 4 OCPU、24 GB 整個月開著），出處是 2026-10-26 讀到的 Oracle 的 Compute 價目頁，見〈Always Free 的額度與它綁在 home region 上的範圍〉的 A1 那一項。

站內各篇寫到「超出免費額度」的地方，指的都是這三種結果。升級之前先設好預算警示，見 雲端主控台的管理領域 的〈帳單與成本：花了多少、會花多少〉；升級時的 100 美元預先授權、扣款的信用卡要留多少額度、預算門檻與配額怎麼從每月能接受的上限推出來，見 租用雲端主機之前的費用規劃：費用訊號的延遲、停止之前的最大超支、扣款的信用卡額度、配額與預算門檻的計算，以及停損停到哪一層。

選 home region 時要先確認的事

Home region 在申請表上是一個下拉選單，選定的區域同時決定了免費主機的實體位置（出口 IP 的國家、延遲）與容量不足時有沒有別的 AD 可以換。選之前先確認這台免費主機要做什麼：

• 用途需要特定國家的出口 IP（例如要讓連線看起來從日本發出）：只有那個國家的區域符合，其他區域的延遲再低都達不到目的。以日本為例，這個條件與下方「主要拿來實驗」那一條的「選 AD 多的區域」同時滿足不了：日本的兩個區域（東京 ap-tokyo-1、大阪 ap-osaka-1）都只有一個 AD，選了日本，A1 容量不足時就沒有別的 AD 可以換，而 E2.1.Micro 有沒有提供要申請之後才查得到。兩者只能取一個：日本的出口 IP 是硬條件時，選日本的區域，接受 A1 容量不足時無處可換；出口 IP 只是加分項時，選 AD 多的區域，放棄日本的出口 IP。東京與大阪之間，官方沒有公開各區的容量資訊，選哪一個只能看延遲。預算為零而容量一直不足時，能用的退路見〈A1 容量不足時的退路〉最後一段。
• 用途是給特定地區的使用者連：選離使用者近的區域，延遲由距離決定。
• 主要拿來實驗：優先選 AD 多的區域（官方區域表上 AD 數為 3 的那幾個，名單見 Availability Zone（可用區） 卡），A1 容量不足時有其他 AD 可以換。AD 多代表的是多了可以換的地方，不代表那一區的 A1 空閒容量比較多。
• 資料要留在特定國家（法規或合約要求）：只有那個國家的區域符合，跟出口 IP 那一條同樣是硬條件。

選錯 home region 之後的選項

Home region 不能改；官方有刪除 tenancy 的流程（〈Deleting a Free Tier Tenancy and Cloud Account〉：管理員在 Tenancy Details 頁按「Request tenancy deletion」），刪除後資源先被暫停、30 天後永久刪除且無法復原，而官方文件沒有寫明刪除之後能不能用同一個 email 與付款方式重新申請。走這條路之前，先開 support ticket 問清楚重新申請的條件。不刪 tenancy 的做法是保留原帳號、在想要的區域另建付費主機：管理員先把帳號升級成 Pay As You Go，再到 Limits, quotas and usage 頁申請提高訂閱區域的上限（Subscribed region count）；核准之後訂閱想要的區域，在那一區建的主機照一般價格計費。Always Free 額度仍然只能用在原本的 home region。

主控台登入：租用戶與使用者名稱兩個欄位，與「使用者名稱或密碼無效」

OCI 的登入頁把登入拆成兩個欄位，依序出現：

1. 租用戶（Cloud Account Name）：填 tenancy 的名稱，也就是申請時取的帳戶名稱。OCI 用它找到要登入的是哪一個 tenancy。已經登入的主控台上，右上角人像選單的「租用戶」或「Tenancy:」後面就是這個值。
2. 使用者名稱：填 tenancy 裡那個使用者的名稱。申請時建立的管理員帳號，使用者名稱是申請用的 email。頁面要求選 identity domain（tenancy 裡存放使用者與群組的分區）時選 Default，新帳號只有這一個。

兩個欄位任一個填錯，登入頁顯示的都是同一句「使用者名稱或密碼無效」，不會指出是哪一欄錯。實際登入時，租用戶欄填對、使用者名稱欄填成 tenancy 名稱，得到的就是這句訊息，密碼本身沒有錯。從本機用 oci session authenticate 登入時開出的瀏覽器頁面是同一個登入頁，欄位與錯誤訊息相同。

延伸閱讀：CLI 登入、免費額度比較、位置與管理通道

同一個 tenancy 從終端機登入的做法，以及 session token 與 API 簽章金鑰各自的時效，見 從本機用 OCI CLI 操作 Oracle Cloud；Always Free 的 home region 限制跟 Google Cloud、AWS 的區域限制並排，見 雲端免費額度與小型主機的收費比較；home region 這一層之下，可用區與故障域在建立主機時各決定什麼，見 位置：區域、可用區與故障域；compartment 這種資源分組在三家主控台上的對應，見 雲端主控台的管理領域；主機建好之後，管理員登入它要經過的網路可達性、通道授權與主機登入驗證三層，見 伺服器管理通道的設計。

CLI 的兩種身分驗證：session token 與 API 簽章金鑰

OCI 的 API 不收帳號密碼。CLI 送出的每一個請求都用一把私鑰簽章，OCI 用對應的公鑰驗證簽章、再查這把公鑰屬於哪個使用者，以那個使用者的權限執行請求。兩種做法的差別在這對金鑰從哪裡來、公鑰怎麼讓 OCI 認得：

• Session token：CLI 在本機產生一對臨時金鑰，開瀏覽器讓使用者登入主控台；登入成功後 OCI 簽發一個綁定這把臨時公鑰的 token，token 過期之後這對金鑰就沒有用了。
• API 簽章金鑰：使用者在主控台把一把公鑰登記到自己的帳號下，之後持有對應私鑰的程式都能以這個使用者的身分呼叫 API，直到公鑰被刪除為止。

兩者在本機都會留下一個私鑰檔，差別在私鑰檔外洩之後能用多久。Session token 的私鑰在 token 過期後失效；API 簽章金鑰的私鑰在使用者到主控台刪掉公鑰之前一直有效。實驗與互動式操作用 session token，私鑰外洩之後可被冒用的時間最長到登入後 24 小時（見〈Session token 的時效與 refresh〉）；排程腳本、CI，以及經由 SSH 連進去、沒有瀏覽器可開的遠端機器，這類沒有人能開瀏覽器登入的場合才需要 API 簽章金鑰。

用瀏覽器登入換 session token

1oci session authenticate --region ap-batam-1 --profile-name DEFAULT

• --region：填 tenancy 的 home region 的識別碼，這次實測的 home region 是 ap-batam-1，換成自己的。CLI 用它決定開哪一區的登入頁、並寫進設定檔當成之後指令的預設區域；試用與 Free Tier 的 tenancy 只訂閱 home region 一個區域，填它就對。識別碼與主控台上的顯示名稱（例如「Indonesia North (Batam)」）是兩種寫法，對照列在 Governance & Administration → Account Management → Region Management 頁；不給這個選項時，CLI 也會列出全部區域的識別碼讓使用者輸入編號。
• --profile-name：設定檔 ~/.oci/config 裡這一組身分的名稱。DEFAULT 是 CLI 在指令沒有指定 --profile 時使用的那一組；同一台機器要切換多個 tenancy 時，每個 tenancy 用一個不同的 profile 名稱。

實測 Homebrew 版的 CLI 跑在 Python 3.15 上時，這條指令與之後每條指令的開頭都會印一行 SyntaxWarning，來源是 CLI 自己的程式碼裡的正規表示式字串，不影響結果。要讓輸出乾淨，在指令前面加上 PYTHONWARNINGS=ignore（例如 PYTHONWARNINGS=ignore oci session validate）只對那一條生效；改用 export PYTHONWARNINGS=ignore 的話，整個 shell 裡所有 Python 程式的警告都會被關掉。

登入過程中 CLI 會問兩個問題：區域與 profile 名稱，兩個都給在選項裡就不必互動輸入。這一點在 CLI 不是跑在互動式終端機裡時有差別——例如透過另一個程式代為執行、標準輸入沒有接到鍵盤——CLI 讀不到輸入，印出 Abort 後結束。實測少給 --region 時就是在區域清單之後直接 Abort。

CLI 接著開瀏覽器到登入頁，並在本機的 localhost:8181 等登入結果。瀏覽器的登入頁跟主控台是同一個，先填租用戶，頁面要求選 identity domain 時選 Default，再填使用者名稱與密碼，各欄的填法見 Oracle Cloud 的帳號結構與 home region 的〈主控台登入：租用戶與使用者名稱兩個欄位，與「使用者名稱或密碼無效」〉。登入成功後瀏覽器把 token 送回 localhost:8181，終端機印出 Completed browser authentication process! 與 Config written to: /Users/<user>/.oci/config。瀏覽器頁面不小心關掉時，終端機上印著同一個登入網址，貼回瀏覽器就能繼續；網址裡帶著這次產生的臨時公鑰，所以只對正在等待的這一次登入有效。

設定檔裡的這一組長這樣（值是佔位的）：

1[DEFAULT]
2fingerprint=<臨時公鑰的指紋>
3key_file=/Users/<user>/.oci/sessions/DEFAULT/oci_api_key.pem
4tenancy=<tenancy 的 OCID>
5region=<home region 的識別碼>
6security_token_file=/Users/<user>/.oci/sessions/DEFAULT/token

tenancy 是 tenancy 的 OCID：OCI 給每一個資源（tenancy、compartment、VCN、主機）一個以 ocid1.<資源類型>. 開頭的唯一識別碼，叫 OCID（Oracle Cloud ID），CLI 與 API 用它指定要操作哪一個資源，各資源的詳細頁上都有一個可以複製的 OCID 欄位。key_file 是 CLI 產生的臨時私鑰，security_token_file 是 OCI 簽發的 token，兩個檔都在 ~/.oci/sessions/<profile 名稱>/ 底下。

不再使用時跑 oci session terminate --profile <profile 名稱>。官方 CLI 參考對這條指令的說明是從設定檔移除這一組，並刪掉它參照的資源（例如金鑰檔），沒有寫 OCI 那一端會不會撤銷已經簽發的 token。所以 token 與私鑰檔在 terminate 之前被複製走時，要假設那份 token 仍然有效：拿到的人可以在它過期前跑 oci session refresh，按〈Session token 的時效與 refresh〉寫的上限，影響的期限最長到登入後 24 小時。

使用 session token 時每條指令要帶的設定：config file is invalid 與 user missing

CLI 預設用 API 簽章金鑰的方式驗證身分，用 session token 時要明確告訴它。兩種寫法效果相同：

1# 每條指令各自指定
2oci iam region-subscription list --auth security_token
3# 整個 shell 工作階段都用 session token
4export OCI_CLI_AUTH=security_token

少了這個設定，CLI 照 API 簽章金鑰的流程檢查設定檔，而那個流程要求設定檔裡有 user（使用者的 OCID），session 登入寫出的設定檔沒有這一欄。實測 CLI 在送出請求之前就停下來，印出 ERROR: The config file at ~/.oci/config is invalid，表格裡列出 user | missing，提示去主控台找使用者的 OCID——照提示補上 user 是在改成 API 簽章金鑰的做法，對 session token 是錯的方向，該補的是 --auth security_token。

確認登入成功、同時查出 tenancy 的基本資訊，可以跑這幾條：

1oci session validate --auth security_token          # 印出 token 的到期時間
2oci iam region-subscription list --auth security_token   # 訂閱的區域，is-home-region 為 true 的是 home region
3oci iam availability-domain list --auth security_token   # home region 的 availability domain 清單

Session token 的時效與 refresh

Token 的預設效期是 1 小時：實測 17:44 登入，oci session validate 回報到期時間 18:44。過期之前可以延長：

1oci session refresh --profile DEFAULT

--profile 填登入時取的 profile 名稱；登入那一條指令的選項叫 --profile-name，其他指令（refresh、terminate、一般查詢）都叫 --profile。profile 不是 DEFAULT 時，上一節那幾條查詢指令也要各加 --profile <名稱>。官方文件說明 refresh 要在 token 還有效時做，可以一路延長到登入後的 24 小時；超過 24 小時，或 token 已經過期，就要重新跑一次 oci session authenticate、在瀏覽器重新登入。

API 簽章金鑰：不需要每天登入的做法

API 簽章金鑰在主控台的人像選單 → User settings 頁建立。官方〈Required Keys and OCIDs〉對這一頁的寫法有兩種：一處寫進入「Token and keys」分頁，另一處寫左下角 Resources 區段裡的「API Keys」，畫面上找得到哪一個就用哪一個；兩者都從「Add API Key」按鈕開始。在 Add API Key 的對話框讓主控台產生金鑰對並下載私鑰（Download Private Key），按 Add 之後頁面顯示一段 [DEFAULT] 開頭的設定文字。官方寫明一個使用者最多三把 API 金鑰。

那段文字是 CLI 設定檔的一組 profile，其中 key_file 是一個佔位路徑，CLI 會照這一行去讀私鑰，所以貼進 ~/.oci/config 之後要把它改成私鑰實際存放的路徑。同一台機器已經照上面的步驟用 session token 登入過時，設定檔裡已經有一組 [DEFAULT]，貼上的這一組要改成另一個名稱（例如 [apikey]），兩組同名時 CLI 只會讀其中一組。私鑰檔的權限設成只有自己能讀寫，因為持有它的人能以這個使用者的全部權限呼叫 API：

1mv ~/Downloads/<下載的私鑰檔名>.pem ~/.oci/   # 瀏覽器下載的位置換成自己的
2chmod 600 ~/.oci/<下載的私鑰檔名>.pem          # 私鑰檔只允許擁有者讀寫
3unset OCI_CLI_AUTH                              # 前面設過 session token 的 shell 要先取消，否則仍走 session
4oci iam region-subscription list --profile apikey   # 不帶 --auth，CLI 用 API 簽章金鑰

這把金鑰沒有到期時間。不用的時候回到 User settings 頁的 API 金鑰清單刪掉它，持有私鑰的程式就無法再呼叫 API。私鑰外洩的影響範圍是這個使用者的全部權限，所以給排程與 CI 用的金鑰，建在一個只有必要權限的專用使用者底下，不建在申請時建立的管理員帳號底下。

延伸閱讀：帳號結構、免費額度與憑證設計

登入頁的租用戶與使用者名稱欄位、home region 對 Always Free 的限制，見 Oracle Cloud 的帳號結構與 home region；登入之後要建主機時各家免費額度的計算方式，見 雲端免費額度與小型主機的收費比較；session token 與 API 簽章金鑰這組取捨背後的概念，見 身分與存取憑證地基 — IAM 模型、OIDC 短期憑證與權限邊界設計 的〈長期 access key 的風險〉與〈OIDC：給 CI/CD 的短期憑證〉。