GCP 学习计划
验证：未记录
- 适用版本
- 未记录
- 验证范围
- 尚未登记验证记录。
先按目标选择主线#
| 目标 | 最小阅读与实验路径 | 暂时可跳过 |
|---|---|---|
| 部署一个 HTTP 容器服务 | 环境 → IAM → Artifact Registry → Cloud Run → 日志 | GKE、Mesh、企业订单项目 |
| 给现有 Cloud Run 接自有域名 | ALB 架构 → 全局 ALB → DNS / TLS；需员工登录再选 IAP | Regional ALB、CDN，除非确有需求 |
| 使用 Kubernetes | 环境 / IAM / VPC → GKE Autopilot → 网络 → Ingress | 自管 node pool、Mesh；按需求再学 Standard |
| 应用接数据库 | Cloud SQL 连接选型 → 本地连接 → SQL 权限 → 备份恢复 | 异步投影、缓存，直到业务需要 |
| 自动化交付 | Cloud Build → 无密钥 CI → Terraform | 多平台迁移与复杂企业拓扑 |
产品名和术语查 索引；下面全课程表用于扩展覆盖面。
目标与节奏#
下表是 14 个学习单元，周数仅用于安排顺序，不是实测耗时。按目标选择路径，完成验收再继续；无需把所有产品同时部署。
| 周 | 内容与实验 | 验收 |
|---|---|---|
| 1 | 环境与账单、IAM | 能解释项目层级；证明同一对象允许读、拒绝写 |
| 2 | VPC/NAT、VM、DNS | VM 能通过 IAP 登录、NAT 出网；完成公共域名委派和私有解析 |
| 3 | 镜像仓库、构建、Cloud Run | 从代码构建镜像，以专用身份部署，完成版本回滚 |
| 4 | 对象存储、密钥、数据库 | 操作版本化对象、轮换密钥、备份并恢复数据库 |
| 5 | 消息、分析、负载均衡 | 解释重投与幂等；查询业务数据；从统一入口访问服务 |
| 6 | GKE、无密钥 CI、Terraform | Pod 和 CI 使用短期身份；基础设施变更可预览、销毁 |
| 7 | 日志、监控、故障演练 | 注入故障，收到告警，定位并恢复 |
| 8 | 综合项目 | 提交订单→异步处理→SQL 落库→对象归档→分析，完成发布与回滚 |
| 9 | DNS 路由、证书、CDN、WAF、IAP | 域名/TLS/缓存/入口防护均可验收；员工登录与机器调用分开 |
| 10 | Scheduler、Tasks、Eventarc、函数 | 分清定时、任务、事件；鉴权调用、失败重试和源码部署成功 |
| 11 | 私网连接、KMS、Firestore、Redis | SQL 无公网 IP；完成密钥轮换、文档 CRUD、缓存过期/降级 |
| 12 | 治理与账单、PITR、项目进阶 | 能盘点权限与费用、恢复数据，并把新服务接入同一订单项目 |
| 13 | 企业综合项目、GKE Standard | 从已提交源码构建、签名、部署；私网数据库、三副本应用和节点排空通过验收 |
| 14 | Service Mesh、GKE 升级 | 正确身份成功、错误身份和明文失败；完成升级预检、恢复演练及证据归档 |
基础服务篇负责单项能力；第 13–14 周是需要生产架构、GKE/Mesh 实践者的进阶选做，不是理解 GCP 基础必须同时部署的资源。先完成企业项目第 1–3 节，再在同一 VPC 部署 GKE；Mesh 复用该集群与数据库。数据库、镜像、签名密钥和网络需保留到依赖实验结束。
毕业记录包含：源码提交号、镜像摘要、工具/集群版本、区域、脱敏资源清单、允许/拒绝结果、故障与恢复时间、数据对账、剩余资源及费用。未完成云端执行的项目标记“未验证”，不能只凭 apply 成功判定通过。
AWS 经验如何迁移#
| AWS | GCP 切入点 | 不要直接照搬 |
|---|---|---|
| Account / Organizations | Project / Organization / Folder | Project、 Cloud Billing account、身份目录是不同边界 |
| IAM User / Role / STS | 人的身份、Service Account、 Identity Federation | GCP Role 是权限集合；Service Account 才是工作负载身份 |
| VPC / Subnet | VPC / Subnet | GCP VPC 是全局资源， subnet 是区域资源 |
| EC2 / EKS / Fargate | Compute Engine / GKE / Cloud Run | Cloud Run 适合容器服务，不是完整 Kubernetes 替代品 |
| S3 / RDS PostgreSQL | Cloud Storage / Cloud SQL | 网络认证、数据库认证分别配置 |
| SNS + SQS | Pub/Sub Topic + Subscription | 投递、顺序与重试语义必须重新确认 |
| ECR / CodeBuild / CloudWatch | Artifact Registry / Cloud Build / Logging + Monitoring | 构建身份和运行身份分开 |
| Athena / Redshift | BigQuery | 先学扫描量、分区与查询费用 |
| Route 53 | Cloud DNS | 域名注册、NS 委派、DNSSEC、路由与健康检查分别确认 |
| ACM / CloudFront / WAF | Certificate Manager / Cloud CDN / Cloud Armor | 证书、缓存、后端与访问保护不是同一层 |
| Lambda | Cloud Run functions | 先确认函数代际、触发方式与构建身份 |
| EventBridge Scheduler / SQS / EventBridge | Cloud Scheduler / Cloud Tasks / Eventarc | 对应部分用途，不能照搬投递和重试语义 |
| KMS / DynamoDB / ElastiCache | Cloud KMS / Firestore / Memorystore | 分别学习密钥、文档数据库、缓存的权限与一致性 |
| Cost Explorer / Config 资源盘点 | Billing export / Cloud Asset Inventory | 账单和资源清单都存在覆盖范围与更新延迟 |
以上是学习对照，不是产品的一对一等价关系。
实验依赖与保留顺序#
按篇首前置条件操作，引用的资源若已删除则先重建。公共 DNS → LB → Certificate Manager / Armor 共享入口；Tasks / Scheduler / IAP 复用演示 Cloud Run，依次执行并还原配置。Eventarc、私网 SQL 和项目进阶依赖第 8 周订单项目。
第 9–12 周不是保持所有资源运行四周：合并执行有依赖的实验，完成后按逆依赖顺序清理，尤其是 SQL、LB、NAT、GKE、Redis。
每篇的完成标准#
- 不复制答案，画出请求路径和身份链。
- 成功执行一次，再制造一次权限或网络失败。
- 记录证据：命令结果、日志、指标、恢复结果。
- 清理资源并核对账单；没有验收证据就不标记完成。
进阶边界#
本轮已覆盖常见应用基础设施。Shared VPC、PSC、HA VPN/Interconnect 在私网篇解释选型，但多项目/混合云搭建仍需专项实验；Spanner、Bigtable、Dataflow、Dataproc、Vertex AI、API Gateway 等按项目方向继续学习，不声称已覆盖它们的 hands-on。
能接手项目的标志是：能找出入口、身份、网络、数据、发布路径和恢复路径；遇到陌生服务能按官方文档验证，而不是记住全部产品。