1. 课程导论：VPA与云原生成本优化的关系、证书轮换作业的挑战、资源水位与运维清单的核心价值
1.1 VPA 在云原生成本优化中的定位
在 Kubernetes 集群中，资源浪费的主要来源是 过度配置（Over-Provisioning）。传统方式下，运维人员往往为 Pod 设置固定的 Request 与 Limit，导致大量 CPU 和内存未被有效利用。VPA（Vertical Pod Autoscaler）通过分析历史指标与实时负载，动态调整 Pod 的资源配置，将资源利用率提升至合理区间。
核心收益：VPA 可降低集群总资源成本 20%–40%，同时减少因资源不足引发的 OOMKill 与限流事件。
VPA 与成本优化的关系可归纳为以下三个维度：
| 维度 | 传统静态配置 | VPA 动态调整 |
|---|---|---|
| 资源利用率 | 平均 30%–50% | 60%–85% |
| 运维介入频率 | 每周人工调参 | 自动推荐 + 自动更新 |
| 成本浪费比例 | 40%–60% | 10%–20% |
| 稳定性风险 | 配置过高浪费，过低 OOM | 渐进式调整，避免突变 |
1.2 证书轮换作业的特殊挑战
证书轮换是云原生安全运维中的高频操作。Kubernetes 集群内部组件（kubelet、etcd、API Server）以及服务网格（Istio、Linkerd）的 mTLS 证书均需定期轮换。这类作业具有以下特征，使其成为 VPA 成本优化的典型场景：
- 突发性负载：轮换触发时，CPU 和内存瞬间飙升（证书生成、签名验证、分发），峰值可达基线的 5–10 倍。
- 周期性规律：证书有效期通常为 90 天或 180 天，轮换作业可预测，适合 VPA 的推荐模式。
- 资源敏感：若配置过低，轮换超时导致证书过期，引发集群不可用；若配置过高，长期浪费大量资源。
- 多租户干扰：大规模集群中，多个证书轮换作业可能同时触发，造成资源争抢。
常见陷阱：直接为证书轮换 Pod 设置静态高 Request，会导致 99% 的时间资源闲置。VPA 的
UpdateMode: Auto 模式可有效解决此问题，但需要精确的 资源水位基线 作为输入。
1.3 资源水位与运维清单的核心价值
本课程围绕两个核心概念展开：资源水位 和 运维清单。它们共同构成 VPA 支撑证书轮换成本优化的落地框架。
资源水位（Resource Watermark）
资源水位是指证书轮换作业在不同阶段（空闲、预热、执行、收尾）的 CPU 与内存消耗基线。通过采集历史数据，建立 P50 / P90 / P99 分位线，VPA 据此生成精准的推荐值。
运维清单（Runbook Checklist）
运维清单是将 VPA 配置、证书轮换策略、监控告警、回滚步骤标准化为可执行的检查项，确保每次轮换操作可重复、可审计、可回溯。
课程目标：学完本章后，你将能够独立设计一套“VPA + 证书轮换”的自动化运维体系，将资源成本降低 30% 以上，同时将轮换失败率控制在 0.1% 以下。
1.4 课程知识体系总览
本课程共 30 章，分为四大模块：
- 基础篇（第 1–8 章）：VPA 原理、证书轮换机制、资源水位采集与建模。
- 实践篇（第 9–18 章）：VPA 部署配置、证书轮换自动化、水位基线生成、运维清单编写。
- 优化篇（第 19–25 章）：多集群场景、成本分摊、异常处理、性能调优。
- 案例篇（第 26–30 章）：生产环境实战、故障复盘、持续改进。
前置知识：建议读者具备 Kubernetes 基础操作能力，了解 Pod、Deployment、Service 等核心资源，熟悉 kubectl 常用命令。