Kubernetes 企业实践路线与交付约定
验证：未记录
- 适用版本
- 未记录
- 验证范围
- 尚未登记验证记录。
本文缩写（英文全称与中文含义）
| 缩写 | 英文全称／名称 | 中文含义 |
|---|---|---|
| API | Application Programming Interface | 应用程序编程接口 |
| CLI | Command-Line Interface | 命令行接口 |
| CNI | Container Network Interface | 容器网络接口 |
| CRD | Custom Resource Definition | Kubernetes 自定义资源定义 |
| CSI | Container Storage Interface | 容器存储接口 |
| EKS | Elastic Kubernetes Service | AWS 托管 Kubernetes 服务 |
| GitOps | GitOps | 以 Git 保存期望状态、由自动化持续协调实际状态的运维方式 |
| GKE | Google Kubernetes Engine | Google 托管 Kubernetes 服务 |
| GPU | Graphics Processing Unit | 图形处理器 |
| HA | High Availability | 高可用 |
| PVC | Persistent Volume Claim | 持久卷申领 |
目标：从接手集群、建设、交付到故障恢复。每个实验使用隔离预生产环境；命令按 Bash 编写。占位参数代表企业输入，不代表可忽略的步骤；验收通过才算完成。
1. 阅读与实施顺序#
| 阶段 | 独立 Hands-on |
|---|---|
| 理解与接手 | 架构与资源管理、权限体系、故障排查 |
| 建集群，三选一 | kubeadm HA、EKS、GKE Standard |
| 平台基线 | 安全加固、网络排障、调度资源、Add-ons |
| 交付应用 | 工作负载、Kustomize、有状态应用、供应链、渐进发布 |
| 持续运维 | 节点与证书、Operator/CRD、升级、etcd、Velero |
| 场景专项 | 裸金属入口、Ceph 存储、离线交付、多集群、GPU 批任务 |
| 综合验收 | 平台交付项目 |
2. 固定输入#
在私有变更目录创建 lab.env，不保存密码/token：
export LAB_CONTEXT='REPLACE_STAGING_CONTEXT'
export NS='orders'
export CHANGE_ID='CHG-REPLACE'
export K8S_MINOR='1.REPLACE'
export APP_IMAGE='registry.example.com/orders/api@sha256:REPLACE_DIGEST'
export DEBUG_IMAGE='registry.example.com/platform/netshoot@sha256:REPLACE_DIGEST'
export EVIDENCE="$PWD/evidence/$CHANGE_ID"
umask 077
mkdir -p "$EVIDENCE"
chmod 700 "$EVIDENCE"
kubectl config use-context "$LAB_CONTEXT"
test "$(kubectl config current-context)" = "$LAB_CONTEXT"
kubectl version -o yaml > "$EVIDENCE/versions.yaml"
kubectl get nodes -o wide > "$EVIDENCE/nodes.txt"工具：kubectl 与集群版本符合 skew policy、Helm、jq、Python 3、Git；各篇列专用 CLI。安装包、Chart、镜像固定精确版本/digest，记录 Kubernetes/CNI/CSI/CRD 的兼容矩阵。不要复制某篇的版本号推断其他组件兼容。
3. 真实业务与隔离#
应用沿用 企业业务基线：真实预生产 API/worker、专属数据库/队列、可验证的业务数据。提供 /healthz、/readyz、/metrics；下面操作默认存在 orders-api Deployment、Service 和 orders-runtime Secret。尚未具备这些资源，先完成基线；基础设施实验不依赖业务的步骤会明确指出。
生产 GitOps 管理的对象，先在独立演练副本操作；不要对生产暂停所有自愈后随意 patch。记录对象唯一管理者；Secrets 不进入 evidence/Git。每个故障实验记录开始、检测、恢复、业务对账时间。
4. 通用验收与停止线#
- 正向业务通过，错误身份/不合规制品被拒绝；保留脱敏审计证据。
- 节点维护期间满足团队确定的错误率、p95/p99；检查数据库、队列和订单数量，不只看 Running。
- 命令超时、数据不一致、容量不足、控制面或 etcd 不健康：停止推进，恢复到该篇记录的旧状态。
- 有状态变更先做可恢复备份；回滚清单不能回滚数据格式。禁止将删 PVC、强制 detach、移除全部 finalizer 当通用修复。
2026-09-23 编写与官方资料核对。仓库中的语法、清单和构建检查不是云端执行证据；实测结果填写到自己的变更记录。