1. 课程导论：IDP 平台工程概述、故障域隔离演练的重要性、资源变更模板一致性复核的目标与范围
1.1 IDP 平台工程概述
内部开发者平台（Internal Developer Platform, IDP）是平台工程的核心交付物，旨在通过抽象底层基础设施复杂性，为开发者提供一条自服务、标准化、安全的应用交付路径。IDP 并非单一工具，而是一套由技术产品、流程规范与组织协作构成的体系。
核心价值： 将“认知负载”从开发者转移到平台团队，使开发者聚焦业务代码，平台团队负责稳定性、安全性与成本治理。
一个成熟的 IDP 通常包含以下关键能力层：
| 能力层 | 说明 | 典型组件 |
|---|---|---|
| 开发者门户 | 统一入口，提供服务目录、文档、API 与自助操作界面 | Backstage、Kratix、Port |
| 编排与部署 | 声明式工作流，管理 CI/CD 管道与环境 | ArgoCD、Tekton、GitLab CI |
| 资源与配置管理 | 基础设施即代码（IaC），管理云资源、网络、中间件 | Terraform、Crossplane、Pulumi |
| 策略与治理 | 合规检查、配额管理、安全基线 | OPA、Kyverno、Vault |
| 可观测性 | 监控、日志、告警与成本分析 | Prometheus、Grafana、Datadog |
1.2 故障域隔离演练的重要性
在 IDP 环境中，故障域隔离演练是验证平台韧性的关键手段。其核心目标是通过主动模拟故障，检验平台在真实故障场景下的隔离能力、恢复速度与数据完整性。
关键认知： 故障域隔离不是“避免故障”，而是“控制爆炸半径”。在 IDP 中，一个租户的故障不应扩散至其他租户；一个可用区的故障不应导致全局不可用。
演练覆盖的典型故障域包括：
- 基础设施域： 计算节点宕机、网络分区、存储故障。
- 平台服务域： 控制面组件（如 API Server、Scheduler）不可用。
- 租户隔离域： 命名空间资源争抢、配额超限、Sidecar 故障。
- 数据域： 数据库主从切换、缓存击穿、配置中心失效。
通过定期演练，平台团队可以：
| 收益维度 | 具体表现 |
|---|---|
| 验证隔离边界 | 确认网络策略、RBAC、资源配额是否按设计生效 |
| 缩短 MTTR | 暴露运维手册盲区，优化故障恢复流程 |
| 提升团队信心 | 通过混沌工程实验建立对平台韧性的量化认知 |
| 驱动架构改进 | 发现单点故障、弱依赖、超时配置等架构缺陷 |
1.3 资源变更模板一致性复核的目标与范围
在 IDP 中，资源变更模板（如 Terraform Module、Crossplane Composition、Helm Chart）是平台能力的核心载体。一致性复核旨在确保所有模板在语法、语义、安全与合规层面保持一致，避免因模板差异导致的配置漂移与故障域扩大。
实践要点： 一致性复核不是一次性审计，而是嵌入 CI/CD 管道的持续校验机制。每次模板变更都应触发自动复核，并与故障域隔离演练结果联动。
复核目标：
- 语法一致性： 模板结构、参数命名、输出定义遵循统一规范。
- 语义一致性： 相同资源类型在不同模板中行为一致（如标签、加密、备份策略）。
- 安全一致性： 所有模板默认启用安全基线（如最小权限、加密、日志审计）。
- 合规一致性： 模板满足组织级合规要求（如数据驻留、网络策略）。
- 版本一致性： 模板依赖的 Provider、API 版本锁定，避免隐式升级。
复核范围：
| 范围维度 | 包含内容 | 排除内容 |
|---|---|---|
| 基础设施模板 | 计算、网络、存储、数据库的 IaC 定义 | 运行时配置（如应用环境变量） |
| 平台服务模板 | Service Mesh、Ingress、监控、日志采集 | 业务应用代码 |
| 策略模板 | OPA 规则、Kyverno 策略、配额定义 | 临时调试策略 |
| 配置模板 | ConfigMap、Secret、Helm Values | 用户个人配置 |