1. 课程导论：证书轮换调度器性能基准测试的背景、目标与整体课程大纲
1.1 背景：为什么需要证书轮换调度器？
在云原生与微服务架构中，TLS/mTLS 证书已成为服务间通信的安全基石。证书具有固定的有效期（通常为 90 天、1 年或更短），到期前必须完成轮换，否则将导致服务中断。手动轮换已无法满足大规模集群的需求，因此业界出现了多种证书轮换调度器（如 cert-manager、Vault Agent、ACME 客户端等）。
然而，随着集群规模增长至数千节点、每日证书轮换请求量达到数万次，调度器的性能瓶颈逐渐暴露：
- API Server 压力：大量 CertificateRequest 资源导致 etcd 与 kube-apiserver 负载飙升。
- 签发延迟：CA 签名队列积压，证书签发时间从毫秒级退化到分钟级。
- 资源竞争：调度器内部 goroutine 池、限流器、缓存失效策略在高并发下表现不稳定。
- 指标盲区：缺乏基于 Prometheus 的细粒度性能指标，无法量化瓶颈。
核心痛点：现有调度器大多以功能正确性为目标，缺乏面向大规模集群的性能基准测试与可观测性指标体系。本课程旨在填补这一空白。
1.2 目标：构建可复现的性能基准与 Prom 指标驱动分析
本课程围绕以下四个核心目标展开：
| 目标编号 | 目标描述 | 交付物 |
|---|---|---|
| G1 | 设计一套标准化的证书轮换性能测试场景（稳态、突发、混合负载） | 测试场景定义文档 + 自动化脚本 |
| G2 | 定义关键 Prometheus 指标（SLI/SLO），覆盖签发延迟、吞吐量、错误率、资源饱和度 | PromQL 查询集 + Grafana 仪表盘模板 |
| G3 | 搭建可复现的基准测试环境（K8s + cert-manager + Prometheus + 压测工具） | Helm Chart + 部署指南 |
| G4 | 通过实际测试数据，分析调度器在不同规模下的性能拐点与优化方向 | 性能分析报告 + 优化建议 |
课程定位：本课程面向 SRE、平台工程师与性能测试工程师，要求具备 K8s 基础操作能力与 PromQL 初级知识。无需提前掌握证书轮换调度器内部实现。
1.3 整体课程大纲
课程共分为 6 个模块，30 个章节，结构如下：
- 模块一：基础概念与环境搭建（第 1-5 章） — 证书轮换原理、Prometheus 指标基础、测试集群部署。
- 模块二：性能测试方法论（第 6-10 章） — 负载模型设计、基准测试流程、数据采集与清洗。
- 模块三：核心 Prom 指标定义与采集（第 11-16 章） — 签发延迟、队列深度、限流器状态、错误率等 SLI 的 PromQL 实现。
- 模块四：基准测试执行与结果分析（第 17-23 章） — 稳态测试、突发测试、长稳测试、对比测试（不同调度器/配置）。
- 模块五：性能瓶颈定位与优化（第 24-28 章） — 基于指标的热点分析、goroutine 泄漏、缓存策略调优、CA 签名优化。
- 模块六：总结与生产化建议（第 29-30 章） — 性能基准报告模板、持续集成集成方案、生产环境注意事项。
1.4 课程架构总览
下图展示了本课程的核心技术栈与数据流关系：
注意：上图仅展示课程涉及的核心组件与数据流向。实际测试中，调度器与 Prometheus 之间可能通过 ServiceMonitor 或 PodMonitor 进行自动发现，这部分内容将在第 4 章详细展开。
1.5 课程适用角色与前置知识
| 角色 | 受益点 | 前置要求 |
|---|---|---|
| SRE | 掌握证书轮换系统的容量规划与告警阈值设定 | K8s 日常运维经验、PromQL 基础 |
| 性能测试工程师 | 学习面向 K8s 原生资源的性能测试方法论 | 熟悉至少一种压测工具（k6/Locust） |
| 平台工程师 | 了解调度器内部限流、缓存、队列机制对性能的影响 | Go 语言基础（非必须） |
| Prometheus 初学者 | 通过实际案例学习 Histogram、Gauge、Counter 的高级用法 | 已完成 Prometheus 官方入门教程 |
1.6 课程实验环境说明
本课程所有测试均在以下标准环境中执行，学员可自行复现：
- Kubernetes：v1.28+，3 控制平面 + 5 工作节点（8C16G）
- 证书轮换调度器：cert-manager v1.15+（默认配置与调优配置对比）
- Prometheus：v2.52+，保留 15 天数据，采集间隔 15s
- 压测工具：k6 v0.50+，分布式执行（最多 10 个压测节点）
- CA 后端：内置的 cert-manager 自签名 CA（避免外部 CA 网络延迟干扰）
提示：第 2 章将提供一键部署脚本，使用 Kind 或 k3d 在本地快速搭建最小测试集群。生产级环境部署请参考第 5 章。