IDP 核心架构：平台工程四层模型与故障域定义

内部开发者平台（IDP）的架构设计遵循平台工程四层模型，该模型将平台能力从底层基础设施到顶层开发者体验进行分层抽象。每一层都有明确的职责边界和独立的故障域，这是实现故障域隔离演练与资源变更模板一致性复核的基础。

平台工程四层模型

四层模型自下而上依次为：基础设施层、编排层、服务层和开发者门户层。每一层只通过定义良好的 API 与相邻层交互，形成严格的依赖倒置结构。

各层故障域定义

故障域是系统内可能同时失效的一组组件。在 IDP 中，每一层都对应一个或多个故障域，演练时需要针对这些域设计隔离策略。

1. 基础设施层故障域

• 计算故障域：Kubernetes 节点池、虚拟机可用区、物理机架。
• 存储故障域：持久卷后端（如 Ceph RBD、AWS EBS）、对象存储桶区域。
• 网络故障域：VPC、子网、负载均衡器、DNS 解析器。
• 云区域故障域：单个云提供商区域（Region）或本地数据中心机房。

2. 编排层故障域

• 控制平面故障域：Kubernetes API Server、etcd 集群、Crossplane 管理集群。
• GitOps 故障域：ArgoCD 实例、Git 仓库连接、Webhook 接收器。
• 模板引擎故障域：资源定义（XRD）、组合（Composition）的运行时。

3. 服务层故障域

• 可观测性故障域：Prometheus 实例、Grafana 仪表盘、告警管理器。
• 策略故障域：OPA 决策引擎、Kyverno 准入控制器。
• 中间件故障域：消息队列、数据库代理、缓存集群。

4. 开发者门户层故障域

• 门户服务故障域：Backstage 应用实例、插件后端、身份认证提供商。
• 模板市场故障域：软件模板存储、脚手架引擎、文档站点。
• 用户交互故障域：前端静态资源 CDN、API 网关、会话存储。

四层模型与故障域关系图

下图展示了四层模型的结构以及各层对应的故障域边界。箭头表示层间 API 依赖方向，虚线框表示故障域隔离边界。

故障域隔离与模板一致性的关联

在资源变更模板一致性复核中，故障域隔离直接决定了模板的版本管理粒度：

• 跨层模板依赖：编排层的 Composition 模板引用了基础设施层的 ProviderConfig 模板，两个模板必须属于同一基线版本。若编排层故障域与基础设施层故障域隔离不当，可能导致模板版本漂移。
• 同层模板冗余：服务层故障域内的多个 Prometheus 实例可能使用不同的告警规则模板，故障域隔离要求这些模板在域内保持一致，但允许跨域存在差异。
• 演练验证点：在故障注入演练中，需要验证隔离后的故障域是否仍能获取到正确的模板版本。例如，切断编排层与基础设施层之间的网络后，编排层应使用本地缓存的模板继续工作，且缓存模板必须与全局基线一致。

故障域隔离策略对比