OCI CLIのインストールと認証から、Resource Managerで構成を再現するまで

※当ページにはAmazonアソシエイト等の広告リンクを含みます。

OCI CLIをインストールする

使っているOSに合わせて、次のコマンドで入れます。いずれも公式の手順にあるものです（2026-11-01確認）。

# macOS（Homebrew）
brew update && brew install oci-cli

# Linux（インストーラ）
bash -c "$(curl -L https://raw.githubusercontent.com/oracle/oci-cli/master/scripts/install/install.sh)"

# Oracle Linux 9
sudo dnf -y install oraclelinux-developer-release-el9
sudo dnf install python39-oci-cli

Windows は、管理者として開いた PowerShell で実行します。

Set-ExecutionPolicy RemoteSigned
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
Invoke-WebRequest https://raw.githubusercontent.com/oracle/oci-cli/master/scripts/install/install.ps1 -OutFile install.ps1
./install.ps1 -AcceptAllDefaults

入ったら、バージョンを確かめます。

oci --version

認証を設定する

CLIがOCIのAPIを呼ぶには、誰としての呼び出しかを示す必要があります。題材で使うのは次の3つです。

APIキーを作る

いちばん基本の方式です。

1. oci setup config を実行する。対話形式で設定ファイルとキーのペアを作れます。
2. Console の Profile メニューから User settings を開き、Token and keys で Add API Key を選ぶ。
3. Paste a public key で公開鍵を貼り付け、Add を選ぶ。
4. 確認のコマンドを実行する。

oci setup config
oci os ns get

設定は ~/.oci/config に入ります。必要な項目は user、fingerprint、key_file、tenancy、region です。東京なら region=ap-tokyo-1 です。行の途中のコメントには対応していないので、コメントは別の行に書きます。

一時的なトークンを使う

手元に長く使う鍵を置きたくなければ、セッショントークンが使えます。

oci session authenticate
oci session validate --profile <profile_name> --auth security_token
oci os ns get --profile <profile_name> --auth security_token

ブラウザでログインするとトークンが保存されます。既定の有効期間は1時間で、oci session refresh --profile <profile_name> で更新できます。更新できるのは最長24時間までです。

Compute ではキーを置かない

Compute の中でCLIを使うときは、キーのファイルを置かず、インスタンスプリンシパルを使います。

oci os ns get --auth instance_principal

環境変数 OCI_CLI_AUTH=instance_principal でも指定できます。事前に、その Compute を含む動的グループとポリシーが必要です。考え方はコンパートメントとIAMの記事で確認できます。

よく使うコマンド

書き方は oci <サービス> <種類> <操作> <オプション> です。まずは読むだけのコマンドで慣れましょう。$C にはコンパートメントのOCIDを入れます。

# Object Storage の名前空間を見る（疎通確認にも使える）
oci os ns get

# リージョンの一覧を表で見る
oci iam region list --output table

# コンパートメントの一覧
oci iam compartment list --all --query "data[].[name, \"lifecycle-state\"]"

# VCNとサブネット
oci network vcn list --compartment-id $C
oci network subnet list --compartment-id $C --vcn-id $VCN_ID

# Compute の名前と状態を表で見る
oci compute instance list --compartment-id $C \
  --query "data[].{Name:\"display-name\", State:\"lifecycle-state\"}" --output table

# アラームの一覧
oci monitoring alarm list --compartment-id $C

Resource Manager と Terraform の関係

Resource Manager は、OCIの中で Terraform を実行するサービスです。構成そのものは Terraform で書きます。自分のPCで Terraform を動かす場合との違いは、state の扱いです。

用語は2つだけ覚えれば読めます。スタックは、1つの構成に対応するリソースのまとまりです。ジョブは、スタックに対する実行の1回分です。AWS の CloudFormation も、リソースをスタックというまとまりで扱います。ただし、OCI では CloudFormation のテンプレートではなく Terraform で書きます。

CLIで同じ流れを実行すると、次のようになります。

# 1. スタックを作る
stack_id=$(oci resource-manager stack create \
  --compartment-id $NETWORK_C \
  --config-source network.zip \
  --terraform-version 1.5.x \
  --variables "{\"region\":\"ap-tokyo-1\",\"compartment_ocid\":\"$NETWORK_C\"}" \
  --query data.id --raw-output)

# 2. Plan を実行し、ログを読む
plan_id=$(oci resource-manager job create-plan-job \
  --stack-id $stack_id \
  --wait-for-state SUCCEEDED \
  --query data.id --raw-output)
oci resource-manager job get-job-logs-content --job-id $plan_id

# 3. 確認した Plan を適用する
oci resource-manager job create-apply-job \
  --stack-id $stack_id \
  --execution-plan-strategy FROM_PLAN_JOB_ID \
  --execution-plan-job-id $plan_id

# あとで：画面の手作業で変わった部分がないか調べる
oci resource-manager stack detect-drift --stack-id $stack_id

題材の構成を再現する考え方

経費申請アプリの全部を1つのファイルに書くと、小さな変更でも全体の Plan を読むことになります。変更の頻度と、壊れたときの影響で分けます。次の分け方は編集部の例です。

BastionのIPを使う受信ルールは、network ではなく Bastion と同じ security スタックに書きます。oci_core_network_security_group_security_rule でNSGへ足すと、作る順番が循環しません。

DBは変更の多い app スタックにあるので、設定の誤りや置き換えで失わないよう、データ用のスタックに分けるか、lifecycle { prevent_destroy = true } を付けることも検討します。Destroy を禁止するポリシーだけでは、Apply の置き換えは防げません。

前のスタックで作ったものの OCID は、次のスタックの変数として渡します。network の構成は、たとえば次のように書き始めます。Resource Manager では provider に必要なのは region だけです。

variable "region" {}
variable "compartment_ocid" {}

provider "oci" {
  region = var.region
}

resource "oci_core_vcn" "main" {
  compartment_id = var.compartment_ocid
  cidr_blocks    = ["10.0.0.0/16"]
  display_name   = "vcn-expense"
  dns_label      = "expense"
}

resource "oci_core_nat_gateway" "main" {
  compartment_id = var.compartment_ocid
  vcn_id         = oci_core_vcn.main.id
  display_name   = "nat-expense"
}

resource "oci_core_route_table" "private_app" {
  compartment_id = var.compartment_ocid
  vcn_id         = oci_core_vcn.main.id
  display_name   = "rt-private-app"

  route_rules {
    destination       = "0.0.0.0/0"
    destination_type  = "CIDR_BLOCK"
    network_entity_id = oci_core_nat_gateway.main.id
  }
}

resource "oci_core_subnet" "private_app" {
  compartment_id             = var.compartment_ocid
  vcn_id                     = oci_core_vcn.main.id
  cidr_block                 = "10.0.1.0/24"
  display_name               = "private-app"
  dns_label                  = "app"
  route_table_id             = oci_core_route_table.private_app.id
  prohibit_public_ip_on_vnic = true
}

これは書き出しです。Service Gateway のルートやほかのサブネットは同じ形で足します。

コンソールでスタックを作ると、region と compartment_ocid は定義しておくだけで値が入ります。CLIの例では --variables で明示します。.tfstate や .terraform は構成に含めません。

秘密情報をコードと state に残さない

ここがいちばん注意するところです。state にはパスワードなどが入ることがあり、read orm-jobs の権限があれば読めます。ジョブの変数は監査ログに平文で残ることもあります。Terraform の sensitive も、画面の表示を隠すだけで、state には保存されます。

対策は次のとおりです。

• パスワードは Vault のシークレットに置き、Terraform にはシークレットのOCIDだけを渡す。シークレットの作成自体はコードの外で行うと、中身が state に入りません。
• Autonomous のリソースでは、admin_password の代わりに secret_id を使う。作成する人には対象シークレットの read secret-bundles が要ります。パスワードは12〜30文字で、大文字、小文字、数字を各1文字以上含めます。
• orm-jobs の読み取り権限を、必要な人に絞る。

Destroy を誰にでも許さない

スタックで作ったリソースは、Destroy ジョブでまとめて解放できます。検証には便利ですが、本番では事故のもとです。公式の例のように、Plan と Apply だけを許可できます。

Allow group <group_name> to use orm-stacks in tenancy
Allow group <group_name> to read orm-jobs in tenancy
Allow group <group_name> to manage orm-jobs in tenancy where any {target.job.operation = 'PLAN', target.job.operation = 'APPLY'}

次に読むページ

• 次の項目は「資格で理解を確かめる」です。認定資格のページで、作った構成を試験範囲に照らします。
• 全体の順番は学習ロードマップで確認できます。