Oracle Cloud (OCI) verbinden

Give CostGlass read-only access to Oracle Cost and Usage Reports with a Resource Manager stack or your own Terraform.

Oracle Cloud (OCI) verbinden

Gewähren Sie CostGlass schreibgeschützten Zugriff auf Ihre Oracle Cloud Cost and Usage Reports, indem Sie einen dedizierten IAM-Benutzer und einen Signaturschlüssel verwenden, den CostGlass für Sie generiert.

Where in CostGlassSettings → Cloud Accounts → Oracle Cloud
PlanDepends on your plan's connection limit
Who can do thisSomeone who can create IAM users and policies in your Oracle tenancy, and an owner or admin in CostGlass
Time neededAbout 15 minutes, then up to 24 hours for Oracle's first report
Kurz und bündig
  • Oracle Cloud hat keine kontoübergreifende Rolle wie AWS. Stattdessen erstellt CostGlass ein Signaturschlüsselpaar für die Verbindung, behält die private Hälfte in seinem verschlüsselten Tresor und stellt Ihnen einen Terraform-Stack zur Verfügung, der die öffentliche Hälfte für einen neuen schreibgeschützten Benutzer in Ihrem Mandanten registriert.
  • Sie führen den Stack im Oracle Resource Manager aus (nur Browser, keine zu installierenden Tools) oder bei Bedarf mit Ihrem eigenen Terraform.
  • Sie fügen drei Ausgaben zurück in CostGlass ein: die Mandanten-OCID, die CostGlass-Benutzer-OCID und die Heimatregion.
  • CostGlass liest die Kostenberichte, die Oracle bereits erstellt. Es kann sich nicht an der Konsole anmelden und hat keinen Schreibzugriff.
  • Bei einem brandneuen Mandanten kann es bis zu 24 Stunden dauern, bis Oracle den ersten Bericht veröffentlicht. CostGlass stellt trotzdem eine Verbindung her und lädt die Daten, wenn sie angezeigt werden.
  • Sie können mehr als einen Mandanten mit derselben Organisation verbinden.

So funktioniert es

Oracle veröffentlicht Ihre Kostendaten als sogenannte CSV-Dateien Kosten- und Nutzungsberichte (Cost and Usage Reports). Sie werden in einen Speicher-Bucket geschrieben, der sich in einem Oracle-eigenen Mandanten befindet, nicht in Ihrem, und Oracle gewährt Ihnen über eine IAM-Richtlinie Zugriff darauf. CostGlass benötigt einen Benutzer, als den es sich anmelden kann, also erstellt der Stack einen.

Mietverhältnis
Ihr Oracle Cloud-Konto der obersten Ebene. Jede Ressource lebt darin.
OCID
Oracle Cloud Identifier: die lange ID (sie beginnt mit ocid1.), die Oracle jeder Ressource zuweist. Ihr Mandant und jeder Benutzer haben einen.
API-Signaturschlüssel
Ein Paar Schlüssel. Die private Hälfte beweist, wer anruft. Die öffentliche Hälfte wird für einen Benutzer registriert, damit Oracle den Beweis überprüfen kann. CostGlass behält die private Hälfte und zeigt Ihnen immer nur die öffentliche Hälfte.
Ressourcenmanager
Oracle's built-in service for running Terraform from the browser. You upload a file and click Apply.
Heimatregion
Die Region, in der Ihr Mandant erstellt wurde. Oracle speichert dort Kosten- und Nutzungsberichte, unabhängig davon, in welcher Region Sie täglich arbeiten.
Identitätsdomänen
Oracle's current way of organising users. The stack creates the new group in the Default identity domain.

Der Stack erzeugt genau diese Dinge in Ihrem Mietverhältnis:

RessourceNameZweck
IAM-Benutzercostglass-readonly-billingThe identity CostGlass signs in as. It has no console password. It carries the email address you supply.
IAM-GruppeCostGlassReadOnlyHolds the user and receives the policy.
Gruppenmitgliedschaftn/aFügt den Benutzer der Gruppe hinzu.
API-Schlüsseln/aRegisters CostGlass's public signing key on the user.
IAM-RichtlinieCostGlassReadOnlyBillingPolicyAllows reading the cost reports, plus a read-only inventory (see below).

The policy has one statement that lets the group read objects in Oracle's cost-report tenancy, and several read-only statements for resource inventory:

  • inspect compartments in tenancy
  • inspect tenancies in tenancy
  • read instance-family in tenancy
  • inspect volume-family in tenancy
  • read public-ips in tenancy

NEIN use oder manage permission is ever granted. Mithilfe der Inventarabrechnungen listet CostGlass Recheninstanzen, Volumes und reservierte IP-Adressen auf, um nach Einsparungen zu suchen. Wenn Sie eine Verbindung hergestellt haben, bevor sie existierten, wenden Sie einen neuen Stapel an, um sie hinzuzufügen. Auf der Karte „Cloud-Konten“ wird ein Hinweis angezeigt, wenn dies erforderlich ist.

Bevor Sie beginnen
  • Ein Oracle Cloud-Mandanten, in dem Sie (oder ein Kollege) IAM-Benutzer, -Gruppen und -Richtlinien erstellen können.
  • Eine E-Mail-Adresse, die Sie für den CostGlass-Benutzer steuern. Ideal ist ein gemeinsames FinOps-Postfach. Es darf von keinem anderen Nutzer im Mietverhältnis genutzt werden.
  • Ein Besitzer- oder Administratorkonto in CostGlass und Platz in Ihrem Plan für eine weitere Verbindung (siehe Konten verwalten).
  • Ihr Mandant verwendet Identitätsdomänen mit einer Standarddomäne. Die generierte Richtlinie verweist auf die Gruppe als Default/CostGlassReadOnly.

aufgeführt Verbinden Sie sich mit dem Ressourcenmanager (empfohlen)

1
Öffnen Sie die Registerkarte „Oracle Cloud“
Go to Settings → Cloud Accounts and open the Oracle Cloud tab. Read the heads-up box, then click Generate Keypair & Continue →. CostGlass erstellt das Signaturschlüsselpaar für diese Verbindung. In Ihrem Oracle-Konto ist noch nichts erstellt.
Cloud-Konten → Oracle Cloud.
2
Laden Sie den Stapel herunter
Under Step 1 — Download & deploy the stack click Download Stack (.zip). The file is called costglass-oci-readonly.zip and contains one Terraform file with the public key already filled in. The page also shows the key's Fingerabdruck; Halten Sie es sichtbar, Sie werden es später vergleichen.
3
Erstellen Sie den Stack in Oracle
Click Open OCI Console (or go to Entwicklerdienste → Ressourcenmanager → Stacks selbst), klicken Stapel erstellen und laden Sie die Zip-Datei hoch. Resource Manager fills in tenancy_ocid Und Region from your session, and the signing key is pre-filled. It asks for one value: costglass_user_email. Geben Sie die von Ihnen gewählte E-Mail-Adresse ein.
4
Tragen Sie den Stapel auf
Klicken Sie sich durch den Assistenten und wählen Sie Anwenden. Warten Sie, bis der Job Erfolgreich. Wenn dies fehlschlägt, öffnen Sie das Jobprotokoll. Die häufigsten Ursachen finden Sie im Abschnitt zur Fehlerbehebung weiter unten.
5
Kopieren Sie die Ausgaben
Öffne den Stapel, dann ist Ausgänge (or the job's outputs). Kopieren tenancy_ocid, costglass_user_ocid, Region and, if you want the extra safety check, api_key_fingerprint.
6
Fügen Sie sie in CostGlass ein und überprüfen Sie
Back in CostGlass, under Step 2 — Paste the stack outputs, fill in Tenancy OCID, CostGlass User OCID, OCI Region (home region) and, optionally, API key fingerprint (recommended). Click Verify & Connect Oracle Cloud.
Tipp
Fügen Sie den Fingerabdruck ein. If the stack you applied was made for a different key (for example before you chose Start over with a new key), CostGlass compares the two and tells you to download a fresh stack, instead of giving a vague sign-in error.

Was jedes Feld bedeutet

WoFeldWas muss eingegeben werden
Ressourcenmanagercostglass_user_emailAn email address you control, unique in the tenancy. Oracle requires one for every user when Identity Domains are used. The user never signs in with it.
Ressourcenmanagertenancy_ocidFilled in by Resource Manager. Leave it.
RessourcenmanagerRegionFilled in by Resource Manager. Any region you can use works; it is only where the job runs.
Ressourcenmanagercostglass_public_keyCostGlass's public key, already filled in. Nicht bearbeiten.
CostGlassMietverhältnis-OCIDThe tenancy_ocid output, starting ocid1.tenancy.
CostGlassCostGlass-Benutzer-OCIDThe costglass_user_ocid output, starting ocid1.user.
CostGlassangezeigt OCI-Region (Heimatregion)The region output. This is your tenancy home region, for example uk-london-1 or us-ashburn-1, not necessarily where you ran the stack.
CostGlassFingerabdruck des API-Schlüssels (empfohlen)The api_key_fingerprint output. It must match the fingerprint shown in step 1.

Was passiert, wenn Sie

CostGlass signiert eine echte Anfrage mit dem gespeicherten privaten Schlüssel und fordert Oracle auf, Ihren Kosten- und Nutzungsberichts-Bucket aufzulisten. Es gibt drei Ergebnisse:

ErgebnisWas Sie sehenWas es bedeutet
Verbunden mit DatenEine Karte für das Mietverhältnis mit der letzten Synchronisierungszeit und einer Datensatzanzahl.Berichte liegen vor und wurden gelesen.
Verbunden, Berichte ausstehendEine grüne Meldung besagt, dass Oracle Ihren ersten Kostenbericht noch nicht veröffentlicht hat.Ihr Schlüssel, Benutzer und Mandant sind korrekt, aber der Berichts-Bucket kann noch nicht gelesen werden. Siehe den nächsten Abschnitt.
AbgelehntEine rote Nachricht unter dem Formular.Schlüssel, Benutzer oder Mandant stimmen nicht überein oder der Fingerabdruck stammt von einem anderen Schlüssel. Nichts wird als aktiv gespeichert.

Derselbe Mietvertrag kann nicht zweimal verbunden werden. Bei einem zweiten Versuch wird die Meldung zurückgegeben, dass bereits eine Verbindung besteht.

Auf den ersten Bericht warten, fortfahren und von vorne beginnen

Oracle erstellt etwa alle sechs Stunden Kostenberichte. Bei einem Mietverhältnis, das gerade erst erstellt wurde, kann der erste Bericht bis zu 24 Stunden dauern, und eine Richtlinie, die Sie vor ein paar Minuten angewendet haben, kann möglicherweise kurze Zeit brauchen, bis sie wirksam wird. Solange kein Bericht vorliegt, kann Oracle nicht danach gefragt werden.

Sie müssen nicht am Bildschirm warten
CostGlass stellt sofort eine Verbindung her und zeigt den Status warte auf den ersten Bericht und überprüft noch einmal seinen Sechs-Stunden-Plan. Wenn es nach etwa 48 Stunden immer noch wartet, ändert sich der Status in einen Fehler, der die wahrscheinliche Ursache nennt, normalerweise die Richtlinie.

Machen Sie weiter oder beginnen Sie von vorne

Wenn Sie die Site verlassen, bevor Sie die Ausgaben eingefügt haben, wird auf der Registerkarte „Oracle Cloud“ die Meldung „Sie haben eine nicht abgeschlossene Oracle Cloud-Verbindung“ mit zwei Schaltflächen angezeigt:

des Schlüssels angezeigt KnopfWas es bewirktWann sollte man es verwenden?
Nehmen Sie diese Verbindung wieder aufKeeps the same signing key. The stack you already applied stays valid; you only paste its outputs again.Almost always. For example when you applied the stack but have not verified yet.
Beginnen Sie von vorne mit einem neuen SchlüsselDiscards the unfinished connection and its stored key and generates a new key.Only if you want a new key. You then need to apply a new stack, because the old stack carries the old public key.

Es kann immer nur eine OCI-Verbindung gleichzeitig eingerichtet werden; Ein Neuanfang ersetzt das Unvollendete.

erstellen kann Direkte Verwendung von Terraform anstelle von Resource Manager

The downloaded zip is ordinary Terraform: one main.tf that uses the official oracle/oci Anbieter. Der Ressourcenmanager ist lediglich ein bequemer Ort, um ihn auszuführen. Wenn Ihre Organisation auf Terraform standardisiert, es über eine eigene Pipeline ausführt oder hierfür nicht die Oracle-Konsole verwenden möchte, können Sie dieselbe Datei selbst ausführen. Sonst ändert sich nichts: Sie fügen weiterhin dieselben Ausgaben in CostGlass ein.

Lokal ausführen

Führen Sie den CostGlass-Stack mit Ihrem eigenen Terraform
  • You need Terraform installed and credentials for the OCI provider (the OCI CLI session or an API key in ~/.oci/config). Das sind deine; Sie werden niemals an CostGlass gesendet.
  • Die Datei konfiguriert nur den Anbieter mit einer Region. In Resource Manager, tenancy and region come from your session; locally you pass them with -var as shown.
  • The public key is the default value of the costglass_public_key variable, so you do not need to supply it.
  • Verwenden Sie eine Identität, die zum Erstellen von Benutzern, Gruppen, API-Schlüsseln und Richtlinien im Tenancy-Root-Compartment berechtigt ist.
  • Bewahren Sie den Terraform-Status an einem sicheren Ort auf. Es enthält nur OCIDs und den öffentlichen Schlüssel; Darin liegt kein Geheimnis, denn CostGlass gibt Ihnen niemals den privaten Schlüssel.
  • To remove CostGlass access later, run terraform destroy with the same variables, or delete the stack in Resource Manager, then disconnect the tenancy in CostGlass.
Warnung
Bearbeiten Sie die Richtlinienanweisungen nicht. In particular the define tenancy usage-report as … line uses a fixed ID that belongs to Oracle, the same for every customer. Eine Änderung macht die Richtlinie stillschweigend nutzlos.
Hinweis
Wenn Ihr Mandant nicht die Standardidentitätsdomäne verwendet oder Ihre eigenen Richtlinien die Erstellung einer Gruppe dort verbieten, passen Sie die Gruppenreferenz in Ihrer Kopie an und testen Sie sie. CostGlass hat die Datei nur so getestet, wie sie generiert wurde.

Mehrere Mandanten verbinden

Once one tenancy is connected the tab lists it as a card, with the heading Connected Oracle Cloud tenancies. Klicken Sie auf + Einen weiteren Oracle Cloud-Mandanten hinzufügen und wiederholen Sie die Schritte mit dem anderen Mandanten. Jeder Mandant hat seinen eigenen Schlüssel, Benutzer und Synchronisierungsstatus, und ein ausgefallener Mandant stoppt nie die Synchronisierung der anderen. „Alle synchronisieren“ wird angezeigt, wenn zwei oder mehr vorhanden sind. Every connection counts towards your plan's limit.

Wie die Synchronisierung funktioniert und was Sie sehen werden

  • CostGlass checks every six hours, or when you click Sync Now on a tenancy's card. Auf jeder Karte werden der Zeitpunkt der letzten Synchronisierung, der Status und die Anzahl der Datensätze angezeigt.
  • Oracle's reports can be several hours behind, and on each pass CostGlass reads up to the most recent 60 report files rather than the whole history. Kosten erscheinen in Kosten-Explorer Und Berichte neben deinen anderen Wolken.
  • Die Karte zeigt die Mieter-OCID und die Heimatregion. CostGlass liest keine Fachnamen für Kostendaten, daher gelten Budgets und Filter für das Mietverhältnis als Ganzes.
  • Beim Trennen der Verbindung werden Sie zur Bestätigung aufgefordert, das Lesen von Berichten wird beendet und der gespeicherte Signaturschlüssel wird gelöscht. Bereits erhobene Kostendaten bleiben erhalten. Ihre eigenen Benutzer, Gruppen und Richtlinien bleiben in Oracle, bis Sie sie entfernen.

Fehlerbehebung

The stack fails with "The primary email must be specified".
Enter an email address for costglass_user_email. Mandanten, die Identitätsdomänen verwenden, lehnen es ab, einen Benutzer ohne Identitätsdomänen zu erstellen.
Der Stapel schlägt fehl, da die E-Mail bereits vorhanden ist.
Die Adresse muss im gesamten Mandanten eindeutig sein. Verwenden Sie ein anderes Postfach oder eines, über das kein anderer Benutzer verfügt.
Die Überprüfung ergab, dass der Schlüssel nicht mit dem Stapel übereinstimmt.
Der von Ihnen angewendete Stapel wurde für einen anderen Schlüssel erstellt. Download the stack again from the current connection (or choose Start over with a new key and apply the new stack), then use that stack's outputs.
Die Überprüfung schlägt mit einem Authentifizierungsfehler fehl.
Überprüfen Sie die Mandanten-OCID, die Benutzer-OCID und ob die Region Ihre Heimatregion ist. Ein Tippfehler in einem von ihnen wird von Oracle zurückgewiesen, bevor alles andere überprüft wird.
Es wurde eine Verbindung hergestellt, es werden jedoch keine Daten angezeigt.
Vermutlich ist der erste Bericht noch nicht veröffentlicht. Warten Sie bis zu 24 Stunden. Wenn der Status nach etwa zwei Tagen in einen Fehler wechselt, überprüfen Sie, ob die Richtlinie vorhanden ist und die Nutzungsberichtsanweisungen enthält.
Ich habe den Stack in einer anderen Region als meiner Heimatregion ausgeführt.
Das ist in Ordnung. Paste the Region output, which is the home region. Die Berichte leben dort.
Auf der Karte „Cloud-Konten“ steht, dass für das Ressourceninventar ein Zuschuss erforderlich ist.
ein Ihre Verbindung wurde hergestellt, bevor die Inventarabrechnungen existierten. Laden Sie einen neuen Stack von einer neuen Verbindung herunter, wenden Sie ihn an oder fügen Sie die fünf oben aufgeführten schreibgeschützten Anweisungen zu Ihrer Richtlinie hinzu.

Was CostGlass kann und was nicht

  • Es kann die Kostenberichte und das schreibgeschützte Inventar lesen, das die Richtlinie zulässt.
  • Es kann nichts in Ihrem Mandanten geändert, erstellt oder gelöscht werden.
  • Es gibt kein Konsolenpasswort und keinen Administratorzugriff.
  • The private signing key is stored only in CostGlass's encrypted secrets store and is not returned by any screen.

Verwandte Anleitungen