Connectez Oracle Cloud (OCI)
Give CostGlass read-only access to Oracle Cost and Usage Reports with a Resource Manager stack or your own Terraform.
Connectez Oracle Cloud (OCI)
Accordez à CostGlass un accès en lecture seule à vos rapports de coût et d'utilisation Oracle Cloud, en utilisant un utilisateur IAM dédié et une clé de signature que CostGlass génère pour vous.
Where in CostGlassSettings → Cloud Accounts → Oracle Cloud
PlanDepends on your plan's connection limit
Who can do thisSomeone who can create IAM users and policies in your Oracle tenancy, and an owner or admin in CostGlass
Time neededAbout 15 minutes, then up to 24 hours for Oracle's first report
En bref
- Oracle Cloud n'a pas de rôle entre comptes comme AWS. Au lieu de cela, CostGlass crée une paire de clés de signature pour la connexion, conserve la moitié privée dans son coffre-fort chiffré et vous fournit une pile Terraform qui enregistre la moitié publique sur un nouvel utilisateur en lecture seule dans votre location.
- Vous exécutez la pile dans Oracle Resource Manager (navigateur uniquement, aucun outil à installer) ou avec votre propre Terraform si vous préférez.
- Vous collez trois sorties dans CostGlass : l'OCID de location, l'OCID de l'utilisateur CostGlass et la région d'origine.
- CostGlass lit les rapports de coûts qu'Oracle produit déjà. Il ne peut pas se connecter à la console et n'a aucun accès en écriture.
- Sur une toute nouvelle location, Oracle peut prendre jusqu'à 24 heures pour publier le premier rapport. CostGlass se connecte quand même et charge les données lorsqu'elles apparaissent.
- Vous pouvez connecter plusieurs locations à la même organisation.
Comment ça marche
Oracle publie vos données de coûts sous forme de fichiers CSV appelés Rapports sur les coûts et l'utilisation (Cost and Usage Reports). Ils sont écrits dans un compartiment de stockage qui réside dans une location appartenant à Oracle, pas dans la vôtre, et Oracle vous y donne accès via une stratégie IAM. CostGlass a besoin d'un utilisateur sous lequel il peut se connecter, la pile en crée donc un.
- Location
- Votre compte Oracle Cloud de niveau supérieur. Chaque ressource y vit.
- OCID
- Identifiant Oracle Cloud : l'ID long (il commence par ocid1.) qu'Oracle attribue à chaque ressource. Votre location et chaque utilisateur en ont un.
- Clé de signature d'API
- Une paire de clés. La moitié privée prouve qui appelle. La moitié publique est enregistrée sur un utilisateur afin qu'Oracle puisse vérifier la preuve. CostGlass conserve la moitié privée et ne vous montre que la moitié publique.
- Gestionnaire de ressources
- Oracle's built-in service for running Terraform from the browser. You upload a file and click Apply.
- Région d'origine
- Région dans laquelle votre location a été créée. Oracle y stocke les rapports de coût et d'utilisation, quelle que soit la région dans laquelle vous travaillez quotidiennement.
- Domaines d'identité
- Oracle's current way of organising users. The stack creates the new group in the Default identity domain.
La pile crée exactement les éléments suivants dans votre location :
| Ressource | Nom | But |
|---|---|---|
| Utilisateur IAM | costglass-readonly-billing | The identity CostGlass signs in as. It has no console password. It carries the email address you supply. |
| Groupe IAM | CoûtGlassReadOnly | Holds the user and receives the policy. |
| Appartenance à un groupe | s/o | Place l'utilisateur dans le groupe. |
| Clé API | s/o | Registers CostGlass's public signing key on the user. |
| Politique IAM | CostGlassReadOnlyBillingPolicy | Allows reading the cost reports, plus a read-only inventory (see below). |
The policy has one statement that lets the group read objects in Oracle's cost-report tenancy, and several read-only statements for resource inventory:
inspect compartments in tenancyinspect tenancies in tenancyread instance-family in tenancyinspect volume-family in tenancyread public-ips in tenancy
Non use ou manage permission is ever granted. Les relevés d'inventaire permettent à CostGlass de répertorier les instances de calcul, les volumes et les adresses IP réservées afin de pouvoir rechercher des économies. Si vous vous êtes connecté avant qu'ils n'existent, appliquez une nouvelle pile pour les ajouter ; la carte Comptes Cloud affiche un avis lorsque cela est nécessaire.
Avant de commencer
- Une location Oracle Cloud dans laquelle vous (ou un collègue) pouvez créer des utilisateurs, des groupes et des stratégies IAM.
- Une adresse e-mail que vous contrôlez pour l'utilisateur CostGlass. Une boîte aux lettres FinOps partagée est idéale. Il ne doit être utilisé par aucun autre utilisateur de la location.
- Un compte propriétaire ou administrateur dans CostGlass et de la place dans votre forfait pour une autre connexion (voir Gérer les comptes).
- Votre location utilise des domaines d'identité avec un domaine par défaut. La stratégie générée fait référence au groupe par Default/CostGlassReadOnly.
Connectez-vous avec Resource Manager (recommandé)
1
Ouvrez l'onglet Oracle Cloud
Go to Settings → Cloud Accounts and open the Oracle Cloud tab. Read the heads-up box, then click Generate Keypair & Continue →. CostGlass crée la paire de clés de signature pour cette connexion. Rien n'est encore créé dans votre compte Oracle.
Comptes cloud → Oracle Cloud.
2
Téléchargez la pile
Under Step 1 — Download & deploy the stack click Download Stack (.zip). The file is called
costglass-oci-readonly.zip and contains one Terraform file with the public key already filled in. The page also shows the key's empreinte digitale; gardez-le visible, vous le comparerez plus tard.3
Créer la pile dans Oracle
Click Open OCI Console (or go to Services de développement → Gestionnaire de ressources → Piles vous-même), cliquez sur Créer une pile et téléchargez le zip. Resource Manager fills in
location_ocid et région from your session, and the signing key is pre-filled. It asks for one value: costglass_user_email. Saisissez l'adresse e-mail que vous avez choisie.4
Appliquer la pile
Cliquez sur l'assistant et choisissez Appliquer. Attendez que le travail affiche Réussi. En cas d'échec, ouvrez le journal des tâches. Les causes les plus courantes figurent dans la section de dépannage ci-dessous.
5
Copiez les sorties
Ouvrez la pile, puis son Sorties (or the job's outputs). Copier
location_ocid, costglass_user_ocid, région and, if you want the extra safety check, api_key_fingerprint.6
Collez-les dans CostGlass et vérifiez
Back in CostGlass, under Step 2 — Paste the stack outputs, fill in Tenancy OCID, CostGlass User OCID, OCI Region (home region) and, optionally, API key fingerprint (recommended). Click Verify & Connect Oracle Cloud.
Astuce
Collez l'empreinte digitale. If the stack you applied was made for a different key (for example before you chose Start over with a new key), CostGlass compares the two and tells you to download a fresh stack, instead of giving a vague sign-in error.
Ce que signifie chaque champ
| Où | Champ | Que saisir |
|---|---|---|
| Gestionnaire de ressources | costglass_user_email | An email address you control, unique in the tenancy. Oracle requires one for every user when Identity Domains are used. The user never signs in with it. |
| Gestionnaire de ressources | location_ocid | Filled in by Resource Manager. Leave it. |
| Gestionnaire de ressources | région | Filled in by Resource Manager. Any region you can use works; it is only where the job runs. |
| Gestionnaire de ressources | costglass_public_key | CostGlass's public key, already filled in. Ne modifiez pas. |
| CostGlass | OCID de location | The tenancy_ocid output, starting ocid1.tenancy. |
| CostGlass | OCID de l'utilisateur CostGlass | The costglass_user_ocid output, starting ocid1.user. |
| CostGlass | Région OCI (région d'origine) | The region output. This is your tenancy home region, for example uk-london-1 or us-ashburn-1, not necessarily where you ran the stack. |
| CostGlass | Empreinte digitale de clé API (recommandé) | The api_key_fingerprint output. It must match the fingerprint shown in step 1. |
Que se passe-t-il lorsque vous vérifiez
CostGlass signe une demande réelle avec la clé privée stockée et demande à Oracle de répertorier votre compartiment de rapports de coûts et d'utilisation. Il y a trois résultats :
| Résultat | Ce que tu vois | Ce que cela signifie |
|---|---|---|
| Connecté aux données | Une carte pour la location avec la dernière heure de synchronisation et un nombre d'enregistrements. | Des rapports existent et ont été lus. |
| Connecté, rapports en attente | Un message vert indiquant qu'Oracle n'a pas encore publié votre premier rapport de coûts. | Votre clé, votre utilisateur et votre location sont corrects, mais le compartiment de rapports ne peut pas encore être lu. Voir la section suivante. |
| Rejeté | Un message rouge sous le formulaire. | La clé, l'utilisateur ou la location ne correspondent pas, ou l'empreinte digitale provient d'une clé différente. Rien n'est enregistré comme actif. |
La même location ne peut pas être connectée deux fois. Une deuxième tentative renvoie un message indiquant qu'il est déjà connecté.
En attente du premier rapport, reprise et recommencement
Oracle génère des rapports de coûts environ toutes les six heures. Pour une location qui vient tout juste d'être créée, le premier rapport peut prendre jusqu'à 24 heures, et une stratégie que vous avez appliquée il y a quelques minutes peut prendre peu de temps pour prendre effet. Tant qu'un rapport n'existe pas, Oracle ne peut pas le demander.
Vous n'avez pas besoin d'attendre devant l'écran
CostGlass se connecte immédiatement, affiche l'état en attendant le premier rapport et vérifie à nouveau son horaire de six heures. S'il attend toujours après environ 48 heures, l'état se transforme en une erreur indiquant la cause probable, généralement la stratégie.
Reprendre ou recommencer
Si vous quittez avant de coller les sorties, l'onglet Oracle Cloud affiche Vous disposez d'une connexion Oracle Cloud inachevée avec deux boutons :
| de la clé. Bouton | Ce que ça fait | Quand l'utiliser |
|---|---|---|
| Reprendre cette connexion | Keeps the same signing key. The stack you already applied stays valid; you only paste its outputs again. | Almost always. For example when you applied the stack but have not verified yet. |
| Recommencer avec une nouvelle clé | Discards the unfinished connection and its stored key and generates a new key. | Only if you want a new key. You then need to apply a new stack, because the old stack carries the old public key. |
Une seule connexion OCI peut être en cours de configuration à la fois ; recommencer remplace celui inachevé.
Utiliser Terraform directement au lieu de Resource Manager
The downloaded zip is ordinary Terraform: one main.tf that uses the official oracle/oci fournisseur. Resource Manager n’est qu’un endroit pratique pour l’exécuter. Si votre organisation standardise Terraform, l'exécute via son propre pipeline ou ne souhaite pas utiliser la console Oracle pour cela, vous pouvez exécuter le même fichier vous-même. Rien d'autre ne change : vous collez toujours les mêmes sorties dans CostGlass.
L'exécuter localement
Exécutez la pile CostGlass avec votre propre Terraform
- You need Terraform installed and credentials for the OCI provider (the OCI CLI session or an API key in
~/.oci/config). Ce sont les vôtres ; ils ne sont jamais envoyés à CostGlass. - Le fichier configure uniquement le fournisseur avec une région. In Resource Manager, tenancy and region come from your session; locally you pass them with
-varas shown. - The public key is the default value of the
costglass_public_keyvariable, so you do not need to supply it. - Utilisez une identité autorisée à créer des utilisateurs, des groupes, des clés API et des stratégies dans le compartiment racine de location.
- Conservez l’état Terraform dans un endroit sûr. Il contient uniquement les OCID et la clé publique ; il n'y a pas de secret là-dedans, car CostGlass ne vous donne jamais la clé privée.
- To remove CostGlass access later, run
terraform destroywith the same variables, or delete the stack in Resource Manager, then disconnect the tenancy in CostGlass.
Avertissement
Ne modifiez pas les déclarations de stratégie. In particular the
define tenancy usage-report as … line uses a fixed ID that belongs to Oracle, the same for every customer. Le changer rend la politique silencieusement inutile. Remarque
Si votre location n'utilise pas le domaine d'identité par défaut ou si vos propres politiques interdisent d'y créer un groupe, ajustez la référence de groupe dans votre copie et testez-la. CostGlass a uniquement testé le fichier tel que généré.
Connexion de plusieurs locations
Once one tenancy is connected the tab lists it as a card, with the heading Connected Oracle Cloud tenancies. Cliquez sur + Ajouter une autre location Oracle Cloud et répétez les étapes avec l'autre location. Chaque location possède sa propre clé, son propre utilisateur et son statut de synchronisation, et une location défaillante n'arrête jamais la synchronisation des autres. Sync all apparaît lorsqu’il y en a deux ou plus. Every connection counts towards your plan's limit.
Comment fonctionne la synchronisation et ce que vous verrez
- CostGlass checks every six hours, or when you click Sync Now on a tenancy's card. Chaque carte affiche l'heure de la dernière synchronisation, l'état et le nombre d'enregistrements.
- Oracle's reports can be several hours behind, and on each pass CostGlass reads up to the most recent 60 report files rather than the whole history. Les coûts apparaissent dans Explorateur de coûts et Rapports à côté de vos autres nuages.
- La carte affiche l'OCID de location et la région d'origine. CostGlass ne lit pas les noms de compartiment pour les données de coûts ; les budgets et les filtres s'appliquent donc à la location dans son ensemble.
- La déconnexion vous demande de confirmer, arrête la lecture des rapports et supprime la clé de signature stockée. Les données de coûts déjà collectées sont conservées. Votre propre utilisateur, groupe et stratégie restent dans Oracle jusqu'à ce que vous les supprimiez.
Résolution des problèmes
The stack fails with "The primary email must be specified".
Enter an email address for
La pile échoue car l'e-mail existe déjà.costglass_user_email. Les locations qui utilisent des domaines d'identité refusent de créer un utilisateur sans un.L'adresse doit être unique dans toute la location. Utilisez une boîte aux lettres différente ou une boîte aux lettres qu'aucun autre utilisateur ne possède.
La vérification indique que la clé ne correspond pas à la pile.La pile que vous avez appliquée a été créée pour une clé différente. Download the stack again from the current connection (or choose Start over with a new key and apply the new stack), then use that stack's outputs.
La vérification échoue avec une erreur d'authentification.Vérifiez l'OCID de location, l'OCID d'utilisateur et que la région est votre région d'origine. Une faute de frappe dans l’un d’entre eux est rejetée par Oracle avant que quoi que ce soit d’autre ne soit vérifié.
Il s'est connecté mais n'affiche aucune donnée.Le premier rapport n’a probablement pas encore été publié. Attendez jusqu'à 24 heures. Si l'état se transforme en erreur après environ deux jours, vérifiez que la stratégie existe et contient les instructions de rapport d'utilisation.
J'ai exécuté la pile dans une région différente de ma région d'origine.C'est bien. Paste the
La carte Comptes Cloud indique que l'inventaire des ressources nécessite une subvention.région output, which is the home region. Les reportages y vivent.Votre connexion a été établie avant que les relevés d'inventaire n'existent. Téléchargez une nouvelle pile à partir d'une nouvelle connexion, appliquez-la ou ajoutez les cinq instructions en lecture seule répertoriées ci-dessus à votre stratégie.
Ce que CostGlass peut et ne peut pas faire
- Il peut lire les rapports de coûts et l'inventaire en lecture seule autorisé par la politique.
- Il ne peut rien modifier, créer ou supprimer dans votre location.
- Il n'a pas de mot de passe de console ni d'accès administrateur.
- The private signing key is stored only in CostGlass's encrypted secrets store and is not returned by any screen.