第3周：云计算与云原生

本日概要

用 NIST 的五个基本特征、IaaS/PaaS/SaaS 三种服务模型与公有云、私有云、社区云、混合云四种部署模型建立统一语言；从责任边界、弹性、可计量、数据位置、合规、可移植性与退出路径评估服务，而不是把“上云”当作单一产品选择。练习不比较易变价格，只记录计费单位、成本驱动因素与必须在实际选区重新核验的变量。

学习目标

• 能用五个基本特征判断一项能力是否符合 NIST 云计算定义
• 能区分 IaaS、PaaS、SaaS 的控制权与运维责任，不把服务模型等同部署位置
• 能比较公有云、私有云、社区云、混合云的访问范围与连接关系
• 能用需求、风险、可运维性和成本驱动因素形成可复核选型假设

核心讲解

实践任务

为同一个小型 Web API 分别设计 IaaS、PaaS、SaaS 组合，画出用户与提供方责任边界，并说明公有云、私有云和混合云部署条件。

• 平台：浏览器与本地表格；权限：只读访问 NIST 和云厂商官方文档，不登录或创建资源。列出小型 API 的用户、数据、峰值、恢复、合规和团队约束。
• 建立“服务模型—使用方管理—提供方管理—可替换接口—失败影响”矩阵，分别给出 IaaS/PaaS/SaaS 方案；将事实、推断和建议分列。
• 为公有云、私有云、社区云、混合云画访问者和资源边界，指出混合连接、身份、数据同步与退出验证点。
• 安全：不录入账号、密钥或真实业务数据；成本只写计费单位与情景假设，不复制会变化的单价。清理：关闭浏览器中的未提交计算器草案，删除本人临时表格前确认路径与文件名。

自测与答案

今日完成标准

• 完成三种服务模型与四种部署模型的正交矩阵，至少标出六项责任或风险
• 提交一个不含易变单价的三情景成本驱动表，并给出官方来源与实际核验日期

常见错误与纠正提示

• 把 PaaS 直接写成公有云，混淆服务模型和部署模型
• 把资源创建快等同于可用、合规或可恢复，没有定义验证证据
• 复制某地区即时价格后写成长期普遍结论

分层任务

关联知识点

• 云计算

延伸阅读

• NIST SP 800-145：云计算定义（NIST 官方出版物）

本日概要

以华为云 ECS、EVS、VPC、OBS、RDS 为例进行云服务选型：先按计算、块存储、对象存储、网络和托管数据库区分职责，再用数据路径、故障域、权限、备份恢复和计费单位验证组合。课堂默认只读查文档与画方案；真实控制台创建必须使用授权沙箱、预算和清理单，不把拥有账号误当作拥有业务变更权限。

学习目标

• 能解释 ECS、EVS、VPC、OBS、RDS 的核心职责和连接关系
• 能根据块访问、对象访问、事务数据库和网络隔离需求排除不适合的服务
• 能为一套方案标注最小权限、数据保护、恢复与成本核验点
• 能区分官方产品事实、自己的架构推断和仍需沙箱验证的假设

核心讲解

实践任务

为静态资源加小型事务 API 选择 ECS/EVS/VPC/OBS/RDS 组合，提交控制面、数据面、责任与成本驱动图；可选沙箱只做创建前计划评审。

• 平台：浏览器、绘图工具和华为云官方文档；权限：默认匿名只读。若教师提供沙箱，先用 `whoami` 对应的云身份页或 IAM 页面核对仅限指定项目的角色，不请求管理员权限。
• 画 ECS—EVS—VPC—OBS—RDS 架构，分别标出对象上传、事务请求、数据库备份和运维控制路径；每条连线写协议或访问类型。
• 建立选型表：数据形态、持久性、可用区、恢复、网络暴露、身份、可观测性、退出与成本驱动；逐项映射来源：ECS 文档支持计算单元组成，EVS 文档的 EVS/SFS/OBS 对比表同时支持块存储与对象存储差异，VPC 和 RDS 文档分别支持网络与托管数据库声明。所有产品声明附官方 URL 和学习者实际访问日期。
• 安全：只使用虚构数据、禁填 Access Key 和生产地址；清理：本课不默认创建云资源。获批沙箱必须先记录 resource_id 与 `aiknow.exercise` 标签，删除前双重核验，创建失败或归属不明时停止清理并通知负责人。

自测与答案

今日完成标准

• 架构图正确覆盖五类服务、四条数据/控制路径与至少三个故障或权限边界
• 提交创建前检查与精确清理清单，成本部分只使用计费驱动和待核验变量

常见错误与纠正提示

• 把 EVS 与 OBS 都写成普通网盘，忽略块设备和对象 API 差异
• 认为 RDS 托管等于无需备份恢复验收或应用权限治理
• 先创建公网资源再补安全组、标签和预算计划

分层任务

关联知识点

• 云计算

延伸阅读

• Huawei Cloud：What Is ECS?（华为云官方 ECS 产品文档）
• Huawei Cloud：EVS 与 OBS 存储语义对比（华为云官方 EVS 产品文档（含 EVS/SFS/OBS 对比表））
• Huawei Cloud：What Is VPC?（华为云官方产品文档）
• Huawei Cloud：RDS Service Overview（华为云官方产品文档）

本日概要

把 12-Factor 视为服务化应用设计检查表，而不是必须拆成微服务的口号：代码库、依赖、配置、后端服务、build-release-run、无状态进程、端口绑定、并发、可处置性、开发生产一致、日志事件流和一次性管理任务共同提高可部署性。再将声明式期望状态、不可变制品与小步发布连接起来，同时识别数据库状态、密钥和迁移不能靠“无状态”一笔带过。

学习目标

• 能解释 12-Factor 各原则解决的部署问题及其边界
• 能区分 build-release-run 三阶段以及代码、配置、制品的身份
• 能把无状态进程、后端服务、日志事件流与平台职责联系起来
• 能用差距证据决定是否需要微服务、声明式配置或不可变制品

核心讲解

实践任务

审查一个虚构小应用的配置、日志、启动、状态和发布流程，形成 12-Factor 差距表与最小改造计划。

• 平台：任意文本编辑器和 POSIX shell；权限：只读审查教师提供的虚构仓库清单，不访问真实 CI 变量、密钥库或生产日志。
• 逐项填写 12-Factor 差距表，至少引用配置、依赖锁定、启动、日志、状态和管理任务六类具体证据；为每项标注事实或推断。
• 画出 commit → build 制品 → release（制品加配置）→ run 的身份链，为每一段定义可核验 ID 与失败停止点。
• 安全：示例配置只写变量名，不写秘密值；清理：所有草稿创建在 `mktemp -d` 返回目录，记录 `work_dir`，结束时确认目录含本次随机标记且无他人文件后仅删除该目录。

自测与答案

今日完成标准

• 完成十二项差距表，至少六项有具体仓库或运行证据和验收信号
• 提交 build-release-run 身份链与一个不依赖手改运行实例的改造顺序

常见错误与纠正提示

• 把 12-Factor 等同微服务数量，忽略单体也能采用这些运行原则
• 认为配置放环境变量后秘密自动安全
• 把声明式配置当成正确性证明，不设计 readiness、回滚和数据兼容验证

分层任务

关联知识点

• 云计算

延伸阅读

• The Twelve-Factor App（12-Factor 官方站点）
• Kubernetes Concepts（Kubernetes 官方文档）

本日概要

从控制平面和工作 Node 解释 Kubernetes：API server 接受期望状态，etcd 保存集群状态，scheduler 选择 Node，controller manager 推动实际状态收敛，kubelet 管理 Pod，容器运行时执行容器。再用 Deployment 管理无状态副本与更新、Service 以 selector 提供稳定访问、Ingress 为 HTTP/HTTPS 路由且必须由控制器实现；同时注明官方已建议新设计评估 Gateway API，Ingress API 冻结但仍稳定。

学习目标

• 能沿 API 请求解释控制平面组件、Node、kubelet、Pod 和容器运行时的协作
• 能区分 Pod、Deployment、Service 与 Ingress 的职责和 selector 关系
• 能在最小权限和专用 namespace 中验证声明状态、实际状态和访问路径
• 能以资源 UID、镜像 digest、事件、日志和清理记录证明一次部署

核心讲解

实践任务

在本人专用、随机 profile 的 minikube 本地集群中，用随机 namespace 部署教师批准且以 digest 固定的小应用，验证 Deployment、Service、就绪与回环访问，再按保存的 UID 和归属标签精确清理。

• 平台：macOS/Linux、POSIX shell、本机 Docker、minikube 与 kubectl。权限：仅本人本机容器运行时，不用 sudo，不连接共享或生产集群。以下代码均为学习者运行，不是课程作者已经执行的结果；在同一个 shell 中依次运行，任一步失败即停止。先初始化全部状态：`command -v openssl >/dev/null || { printf '工具缺失：openssl；改走静态证据包\n' >&2; exit 2; }; set -eu; work_dir=$(mktemp -d); lab_token=$(openssl rand -hex 8); profile_name="aiknow-w3-$lab_token"; cluster_context="$profile_name"; namespace_name="aiknow-w3-$lab_token"; app_name="demo-$lab_token"; profile_created=0; profile_preexisted=0; namespace_created=0; namespace_uid=""; pf_pid=""; : "${APP_IMAGE_DIGEST:?教师必须先提供获批的 name@sha256:digest}"; case "$APP_IMAGE_DIGEST" in *@sha256:*) ;; *) printf '镜像必须固定为 name@sha256:digest\n' >&2; exit 1;; esac`。
• 检查工具，并用 profile 清单而非运行状态判断名称是否已存在：`for tool in minikube kubectl python3 curl grep sed; do command -v "$tool" >/dev/null || { printf '工具缺失：%s；不要声称运行成功，改走静态证据包\n' "$tool" >&2; exit 2; }; done; minikube profile list -o json > "$work_dir/profile-list-before.json"; profile_preexisted=$(python3 -c 'import json,sys; target=sys.argv[1]; data=json.load(open(sys.argv[2], encoding="utf-8")); walk=lambda value: (any(str(key).casefold()=="name" and child==target for key,child in value.items()) or any(walk(child) for child in value.values())) if isinstance(value,dict) else any(walk(child) for child in value) if isinstance(value,list) else value==target; print(1 if walk(data) else 0)' "$profile_name" "$work_dir/profile-list-before.json"); case "$profile_preexisted" in 0|1) ;; *) printf 'profile 清单解析结果非法，停止\n' >&2; exit 1;; esac; test "$profile_preexisted" -eq 0 || { printf '同名 profile 已存在（包括 Stopped），停止且不得启动或删除\n' >&2; exit 1; }; minikube start -p "$profile_name" --driver=docker; profile_created=1; test "$(kubectl config get-contexts "$cluster_context" -o name)" = "$cluster_context"`。若清单读取/解析或 start 失败，保留输出并停止，不改 context、不提权；`profile_preexisted` 永久记录 start 前的所有权状态。
• 先核对权限，再创建并记录唯一归属：`test "$(kubectl --context "$cluster_context" auth can-i create namespaces)" = yes; test "$(kubectl --context "$cluster_context" auth can-i create deployments.apps --namespace "$namespace_name")" = yes; test "$(kubectl --context "$cluster_context" auth can-i create services --namespace "$namespace_name")" = yes; kubectl --context "$cluster_context" create namespace "$namespace_name"; namespace_created=1; kubectl --context "$cluster_context" label namespace "$namespace_name" "aiknow.exercise=$lab_token"; namespace_uid=$(kubectl --context "$cluster_context" get namespace "$namespace_name" -o jsonpath='{.metadata.uid}'); test -n "$namespace_uid"`。
• 用 kubectl 客户端生成最小 Deployment 与 ClusterIP Service 文件，并在任何服务端写入前静态校验：`kubectl create deployment "$app_name" --image="$APP_IMAGE_DIGEST" --port=8080 --dry-run=client -o yaml > "$work_dir/deployment.yaml"; kubectl label --local -f "$work_dir/deployment.yaml" "aiknow.exercise=$lab_token" -o yaml > "$work_dir/deployment.labeled.yaml"; kubectl create service clusterip "$app_name" --tcp=8080:8080 --dry-run=client -o yaml > "$work_dir/service.yaml"; kubectl label --local -f "$work_dir/service.yaml" "aiknow.exercise=$lab_token" -o yaml > "$work_dir/service.labeled.yaml"; kubectl --context "$cluster_context" -n "$namespace_name" apply --dry-run=client -f "$work_dir/deployment.labeled.yaml" -f "$work_dir/service.labeled.yaml"; kubectl --context "$cluster_context" -n "$namespace_name" apply -f "$work_dir/deployment.labeled.yaml" -f "$work_dir/service.labeled.yaml"`。这些生成命令会让 Service selector 与 Deployment 的 `app=$app_name` 标签一致；不使用 privileged、hostNetwork、NodePort、LoadBalancer、宿主 socket 或根目录挂载。
• 等待就绪并收集可复核证据：`kubectl --context "$cluster_context" -n "$namespace_name" rollout status deployment/"$app_name" --timeout=120s; kubectl --context "$cluster_context" -n "$namespace_name" wait --for=condition=Ready pod -l "app=$app_name" --timeout=120s; kubectl --context "$cluster_context" -n "$namespace_name" get deployment,service,pod -l "app=$app_name" -o wide; kubectl --context "$cluster_context" -n "$namespace_name" get endpointslice -l "kubernetes.io/service-name=$app_name" -o yaml; kubectl --context "$cluster_context" -n "$namespace_name" get pods -l "app=$app_name" -o json > "$work_dir/pods.json"; grep -F "$APP_IMAGE_DIGEST" "$work_dir/pods.json" >/dev/null; kubectl --context "$cluster_context" -n "$namespace_name" get events --sort-by=.metadata.creationTimestamp > "$work_dir/events.txt"`。Ingress 仅生成不提交的草案，因为没有 Ingress controller 时对象不会提供路由：`kubectl create ingress "$app_name" --class=nginx --rule="demo.invalid/*=$app_name:8080" --dry-run=client -o yaml > "$work_dir/ingress.yaml"; kubectl --context "$cluster_context" -n "$namespace_name" apply --dry-run=client -f "$work_dir/ingress.yaml"`。
• 只通过回环地址验证应用，并给后台转发进程设置退出清理：`kubectl --context "$cluster_context" -n "$namespace_name" port-forward --address 127.0.0.1 "service/$app_name" :8080 > "$work_dir/port-forward.log" 2>&1 & pf_pid=$!; trap 'test -z "$pf_pid" || { kill "$pf_pid" 2>/dev/null || true; wait "$pf_pid" 2>/dev/null || true; }' 0 1 2 15; pf_ready=0; i=0; while test "$i" -lt 30; do if grep -q 'Forwarding from 127.0.0.1:' "$work_dir/port-forward.log"; then pf_ready=1; break; fi; kill -0 "$pf_pid" 2>/dev/null || break; i=$((i + 1)); sleep 1; done; test "$pf_ready" -eq 1; local_port=$(sed -n 's/.*Forwarding from 127\.0\.0\.1:\([0-9][0-9]*\).*/\1/p' "$work_dir/port-forward.log" | head -n 1); test -n "$local_port"; curl --fail --silent --show-error --max-time 10 "http://127.0.0.1:$local_port/" > "$work_dir/response.txt"; kill "$pf_pid"; wait "$pf_pid" || true; pf_pid=""; trap - 0 1 2 15`。若应用约定的健康路径不是 `/`，教师应先在任务卡替换路径；不能把端口转发启动当作请求成功。
• 安全：不使用 privileged、hostNetwork、NodePort、LoadBalancer、宿主挂载、生产凭据或共享 context。清理：重新验证 context、UID 和标签，只删除精确拥有的对象：`test "$namespace_created" -eq 1; test "$(kubectl config get-contexts "$cluster_context" -o name)" = "$cluster_context"; namespace_uid_now=$(kubectl --context "$cluster_context" get namespace "$namespace_name" -o jsonpath='{.metadata.uid}'); owner_label_now=$(kubectl --context "$cluster_context" get namespace "$namespace_name" -o jsonpath='{.metadata.labels.aiknow\.exercise}'); test "$namespace_uid_now" = "$namespace_uid"; test "$owner_label_now" = "$lab_token"; kubectl --context "$cluster_context" delete namespace "$namespace_name" --wait=true; namespace_created=0; test "$profile_created" -eq 1; test "$profile_preexisted" -eq 0; test "$profile_name" = "aiknow-w3-$lab_token"; test "$(kubectl config get-contexts "$cluster_context" -o name)" = "$cluster_context"; minikube delete -p "$profile_name"; profile_created=0`。任一检查不匹配就停止并请教师处理；即使同名 profile 在 start 前只是 Stopped，也属于预先存在，绝不启动或删除。禁止 default、通配资源或全部 profile。最后只删已记录的本轮文件：`rm -- "$work_dir/profile-list-before.json" "$work_dir/deployment.yaml" "$work_dir/deployment.labeled.yaml" "$work_dir/service.yaml" "$work_dir/service.labeled.yaml" "$work_dir/ingress.yaml" "$work_dir/pods.json" "$work_dir/events.txt" "$work_dir/port-forward.log" "$work_dir/response.txt"; rmdir "$work_dir"`。
• 工具缺失时不要把说明文字当命令：若有 kubectl 但不能启动 minikube，只对教师提供的 `deployment.yaml`、`service.yaml` 运行学习者本机静态路径 `kubectl apply --dry-run=client -f deployment.yaml -f service.yaml`，并核对 namespace、`aiknow.exercise`、`app` selector、端口和 `image: name@sha256:digest`；若连 kubectl 都没有，则逐字段审查教师提供的脱敏 YAML、对象状态、事件、EndpointSlice、imageID 与回环响应静态证据包。两条替代路径都必须标注“未实际部署/未验证运行态”，只提交静态检查表和待验证项。

自测与答案

今日完成标准

• 提交控制平面到应用的证据链，包含 context、namespace UID、归属标签、镜像 digest、对象条件、Service 后端和本机访问结果
• 清理记录证明只删除本轮 namespace/profile；任何 UID 或标签不匹配均记录为停止清理而非强制删除

常见错误与纠正提示

• 把 Service 当作进程健康保证，忽略 selector、EndpointSlice 和 readiness
• 创建 Ingress 后假设路由自动存在，未确认控制器与 IngressClass
• 在错误 context 使用默认 namespace 或批量删除命令
• 使用浮动镜像标签导致相同清单无法复现

分层任务

关联知识点

• 云计算

延伸阅读

• Kubernetes Components（Kubernetes 官方文档）
• Kubernetes Deployments（Kubernetes 官方文档）
• Kubernetes Service（Kubernetes 官方文档）
• Kubernetes Ingress（Kubernetes 官方文档）

本日概要

用 GitLab CI 理解流水线即代码：pipeline 由 jobs 和 stages 组成，Runner 执行作业；一次变更从 commit 身份开始，经过 lint、test、build、scan、package 产生不可变制品和 digest，再由受保护环境的部署步骤引用同一制品。CI 不是“脚本跑绿”即可，缓存不等于制品，浮动标签不能证明部署内容；CD 还需要审批、最小权限、显式 resource group 处理模式、期望 revision/digest 守卫、验证与回滚/前滚策略。

学习目标

• 能解释 pipeline、stage、job、Runner、cache、artifact 与容器制品的不同职责
• 能设计由 commit SHA 到 image digest 再到 deployment revision 的可追踪链
• 能把测试、扫描、审批、部署验证和回滚放入有停止条件的 CI/CD 流程
• 能识别变量泄露、特权 Runner、浮动标签和旧流水线覆盖新部署等风险

核心讲解

实践任务

在本地临时目录为小应用编写 `.gitlab-ci.yml` 设计稿，定义测试、构建、制品身份、部署验证和回滚证据；不推送、不登录 Registry、不触发真实环境。

• 平台：本地 POSIX shell 与文本编辑器；权限：只处理教师提供的无秘密示例，不登录 GitLab、不推送、不使用 Docker daemon。以 `work_dir=$(mktemp -d)` 创建本轮目录并保存路径和随机 `lab_token`。
• 在 `.gitlab-ci.yml` 设计 lint、test、build、scan、package、deploy_verify 阶段，部署 job 明确写 `resource_group: production`；另在运维清单要求维护者通过受保护 API 设置 `process_mode=newest_first`，并记录查询回读结果。说明默认 unordered 只互斥不排序，所有部署步骤必须幂等。
• 为部署伪代码定义受保护输入 `DESIRED_REVISION`、`DESIRED_IMAGE_DIGEST` 和当前流水线 `CI_COMMIT_SHA`、`IMAGE_DIGEST`；双匹配才部署，不匹配输出“陈旧 job：跳过部署”并成功退出。画 commit → artifact → digest → desired revision → environment revision → SLI 链及回滚/前滚条件。
• 安全：变量只写名称，禁止真实 token、生产地址、Docker socket 和特权 Runner；清理：确认 `work_dir` 是本轮 mktemp 路径且含 `lab_token` 标记文件后只删除该目录，不删除仓库或共享 Runner 缓存。

自测与答案

今日完成标准

• 流水线设计包含至少六个阶段、不可变制品身份、最小权限和失败停止条件
• 提交四种失败分支、部署验证、回滚/前滚和反向覆盖防护的证据图

常见错误与纠正提示

• 把 cache、artifact 和 Registry 镜像混为同一类永久制品
• 部署阶段重新构建或使用 latest，导致测试对象与运行对象不一致
• 让 Runner 持有长期管理员凭据，并在日志中输出变量
• 只声明 resource_group 却未配置 process mode，或缺少期望 revision/digest 守卫
• 只写成功路径，没有陈旧 job、数据兼容和恢复证据

分层任务

关联知识点

• 云计算
• AI开发工具链

延伸阅读

• GitLab CI/CD Pipelines（GitLab 官方文档）
• GitLab CI/CD YAML Syntax（GitLab 官方文档）
• GitLab Resource Groups（GitLab 官方文档）

本日概要

以用户问题而非工具清单组织可观测性：指标是运行时测量的聚合信号，日志记录离散事件，追踪描述一次请求经过多个组件的路径；三者用 service、environment、trace_id 等受控上下文关联。为在线服务从请求率、错误率、延迟和饱和度选择 SLI，定义窗口与分母，再从症状告警下钻到结构化日志和 span。Prometheus 标签每个组合都会生成时间序列，用户 ID 或原始 URL 等无界标签会造成基数与成本风险。

学习目标

• 能区分指标、日志、追踪各自回答的问题及其关联方式
• 能为在线应用定义带单位、分母、时间窗和阈值依据的 SLI
• 能识别高基数标签、敏感日志、采样和保留造成的可靠性与成本风险
• 能设计从用户症状到资源、日志和 span 的可复核证据链

核心讲解

实践任务

为 Week 3 小应用设计不依赖特定后端的 metrics/logs/traces 遥测契约、两个 SLI 和一条从告警到根因证据的排障路线。

• 平台：本地编辑器与教师提供的脱敏请求样例；权限：只读，不连接真实日志、Prometheus、Jaeger 或 OpenTelemetry 后端。列出用户可见失败和四个调试问题。
• 定义两个 SLI：名称、含义、分子/分母或直方图区间、单位、窗口、允许标签及阈值依据；用上界估算标签组合数量，拒绝 user_id、email、trace_id 进入指标标签。
• 设计结构化日志字段和 span 层级，让一个虚构 trace_id 能把入口、应用、数据库调用和失败日志关联；明确敏感字段禁止项、采样和保留。
• 安全：样例只用虚构 ID，不含 token、Cookie、个人数据和真实提示词；清理：所有本地遥测样例放入本轮 `mktemp -d` 目录，复核脱敏后提交报告，再只删除已确认归属的临时目录。

自测与答案

今日完成标准

• 提交两个完整 SLI、有限标签预算和时间序列基数上界估算
• 用一条脱敏样例证明指标告警可关联日志与追踪，并写明采样、保留和访问边界

常见错误与纠正提示

• 把安装 Prometheus、ELK 或 Jaeger 当作已经具备可观测性
• 把用户 ID、原始 URL 或 request_id 放进指标标签造成基数爆炸
• 只画 CPU dashboard，没有用户 SLI、阈值依据或处理动作
• 记录认证头和个人数据后再寄希望于后端权限补救

分层任务

关联知识点

• 云计算
• AI开发工具链

延伸阅读

• OpenTelemetry Signals（OpenTelemetry 官方文档）
• Prometheus Instrumentation（Prometheus 官方文档）
• Prometheus Metric and Label Naming（Prometheus 官方文档）

本日概要

把本周知识收束为一个可观测的云原生小应用部署计划：先以 IaaS/PaaS/SaaS 与部署模型说明服务边界，再完成 ECS/EVS/VPC/OBS/RDS 或等价能力选型；用 12-Factor 审查配置、制品、进程和日志；用 Kubernetes Deployment、Service 与 HTTP 入口表达期望状态；用 CI/CD 绑定 commit、digest 与 revision；最后以指标、日志、追踪、权限、恢复和成本驱动证明方案可部署而非仅可画。

学习目标

• 能把云服务、应用原则、编排、交付和遥测连接成端到端架构
• 能为一次变更定义从 commit 到运行 revision 再到 SLI 的证据链
• 能以故障、恢复、权限和成本情景检验方案的可部署性
• 能按五维四级量规定位证据缺口并完成有依据的修订

核心讲解

实践任务

完成“可观测的云原生小应用部署计划”作业草案，互评架构、可部署性、可观测性、安全和成本意识五个维度。

• 平台：绘图工具、本地编辑器和本周脱敏证据包；权限：只读，不连接云账号、Registry 或共享集群。先写用户、数据、SLO、团队和预算约束。
• 绘制请求路径与变更路径，标出服务模型/部署模型、Kubernetes 对象、数据服务、身份、digest、revision、SLI 和恢复分支。
• 用架构、可部署、可观测、安全、成本五维量规互评；每项反馈引用图中编号、清单字段、命令输出或官方来源，完成一次修订。
• 安全：不提交密钥、真实域名、个人数据或生产拓扑；清理：本课只产生文档。若引用 Day 18 实验，必须附 UID/标签核验和精确清理证据，不重新操作已经清理的 profile。

自测与答案

今日完成标准

• 完成请求与变更双路径全景图，五个维度均有可观察证据和 CO 映射
• 提交一次基于量规的互评修订记录，明确事实、推断、建议、实际访问日期和待验证项

常见错误与纠正提示

• 用产品数量或图形美观替代责任、接口和故障路径
• 只设计首次部署，不设计版本身份、验证、回滚与数据兼容
• 成本表只写过期单价，未记录用量、保留和网络等驱动
• 把课程核验日期抄成自己的实际访问日期

分层任务

关联知识点

• 云计算

延伸阅读

• NIST SP 800-145：云计算定义（NIST 官方出版物）
• The Twelve-Factor App（12-Factor 官方站点）
• Kubernetes Concepts（Kubernetes 官方文档）
• OpenTelemetry Signals（OpenTelemetry 官方文档）