📚 课程目录第4章 Values设计原则

4. Values 设计原则：分层设计、环境分离、默认值策略、敏感信息管理

在 Helm 故障域隔离演练中，Values 文件的设计质量直接决定了配置模板的可维护性、安全性和环境适应性。本章围绕四个核心原则展开，帮助你在多集群、多环境场景下构建健壮的 Values 体系。

4.1 分层设计：从全局到组件的配置抽象

分层设计将 Values 按作用域拆解为 全局层、环境层、组件层 和 实例层，避免单层 Values 文件膨胀为“配置黑洞”。

  核心分层模型： 全局层（global）→ 环境层（production/staging）→ 组件层（service-a/service-b）→ 实例层（replica-1/replica-2）

层级	作用域	典型 Key	覆盖优先级
全局层	所有环境、所有组件共享	`global.imageRegistry`, `global.clusterDomain`	最低（基础默认值）
环境层	特定环境（prod/staging）	`environment.replicaCount`, `environment.resources`	中
组件层	单个微服务或中间件	`service-a.image.tag`, `service-a.ports`	高
实例层	特定副本或金丝雀版本	`service-a.canary.weight`, `service-a.replica-1.nodeSelector`	最高（运行时覆盖）

实践建议： 在故障域隔离场景中，将 global.zoneAffinity 放在全局层，environment.failureDomain 放在环境层，service-a.topologySpreadConstraints 放在组件层，实现从集群到 Pod 的完整故障域控制。

4.2 环境分离：通过独立 Values 文件隔离配置

环境分离要求为每个目标环境维护独立的 Values 文件，避免在同一个文件中使用条件判断（{{ if eq .Values.env "prod" }}）造成逻辑混乱。

# 推荐的文件结构
values/
├── base.yaml              # 全局默认值
├── production.yaml        # 生产环境覆盖
├── staging.yaml           # 预发布环境覆盖
├── development.yaml       # 开发环境覆盖
└── secrets/
    ├── production.yaml    # 生产环境敏感信息
    └── staging.yaml       # 预发布环境敏感信息

避坑提示： 不要在 values.yaml 中写 if-else 环境判断。环境分离的核心是“文件分离”，而非“逻辑分支”。使用 helm install -f values/production.yaml 明确指定环境文件。

4.3 默认值策略：安全降级与最小权限

默认值策略遵循 安全降级 原则：当用户未显式覆盖时，系统应自动选择最保守、最安全的配置。

配置项	默认值	安全理由
`replicaCount`	`1`	避免意外创建过多副本导致资源争抢
`resources.requests.cpu`	`100m`	保证最小资源预留，防止节点过载
`resources.limits.memory`	`256Mi`	限制内存泄漏影响范围
`ingress.enabled`	`false`	默认不暴露外部访问，需显式开启
`podDisruptionBudget.minAvailable`	`1`	保证故障域隔离时至少一个副本可用

# base.yaml 中的默认值示例
global:
  imageRegistry: "docker.io/library"
  clusterDomain: "cluster.local"

service-a:
  replicaCount: 1
  image:
    tag: "latest"          # 默认使用 latest，但生产环境必须覆盖为固定版本
  resources:
    requests:
      cpu: "100m"
      memory: "128Mi"
    limits:
      memory: "256Mi"
  topologySpreadConstraints:
    - maxSkew: 1
      topologyKey: "topology.kubernetes.io/zone"
      whenUnsatisfiable: "DoNotSchedule"

  默认值校验规则： 在 Chart 的 templates/_helpers.tpl 中增加 required 函数，强制生产环境覆盖关键字段（如 image.tag、resources.limits），避免使用不安全默认值上线。

4.4 敏感信息管理：Secrets 与 Values 分离

敏感信息（密码、、证书）绝不能明文写入 Values 文件。推荐使用 外部 Secret 存储 + Helm 的 --set 或 --set-file 注入。

# values.yaml 中只声明引用，不写明文
secrets:
  dbPassword:
    existingSecret: "db-credentials"   # 引用已有 Secret
    key: "password"
  tlsCert:
    mountPath: "/etc/tls"
    secretName: "wildcard-tls"

推荐工具链： 使用 helm-secrets 插件 + sops 加密 Values 文件中的敏感字段，或通过 external-secrets-operator 实现运行时动态拉取。在故障域隔离演练中，每个故障域应使用独立的 Secret 实例，避免跨域凭证泄露。

4.5 原则协同：故障域隔离场景下的 Values 设计示例

以下示例展示如何将四个原则融合到实际的故障域隔离配置中：

# values/production.yaml
global:
  clusterDomain: "prod.k8s.local"
  zoneAffinity: true

environment:
  name: "production"
  failureDomain:
    type: "topology.kubernetes.io/zone"
    values: ["us-east-1a", "us-east-1b", "us-east-1c"]

service-a:
  replicaCount: 3
  topologySpreadConstraints:
    - maxSkew: 1
      topologyKey: "{{ .Values.environment.failureDomain.type }}"
      whenUnsatisfiable: "DoNotSchedule"
  podDisruptionBudget:
    minAvailable: 2
  resources:
    requests:
      cpu: "500m"
      memory: "512Mi"
    limits:
      memory: "1Gi"

secrets:
  dbPassword:
    existingSecret: "prod-db-credentials"

  原则协同效果： 分层设计将 global.zoneAffinity 与 environment.failureDomain 分离；环境分离通过独立文件隔离生产配置；默认值策略确保 minAvailable: 2 提供安全冗余；敏感信息管理通过 existingSecret 引用避免明文泄露。四个原则共同支撑故障域隔离的稳定运行。