2. 多集群基础概念：集群联邦、控制平面、工作集群、集群注册与生命周期管理
在构建基于 Automation 的多集群变更门禁系统之前，必须理解多集群架构的核心抽象。本章将拆解四个基础概念：集群联邦、控制平面、工作集群，以及集群注册与生命周期管理。这些概念构成了门禁系统跨集群编排与策略下发的底层模型。
2.1 集群联邦（Cluster Federation）
集群联邦是一种将多个独立 Kubernetes 集群统一抽象为一个逻辑集群的架构模式。联邦层负责跨集群的资源分发、服务发现与策略同步，使得上层应用无需感知底层集群的物理边界。
核心价值：联邦不是简单的集群聚合，而是提供跨集群的“单一视图”与“统一控制面”，这是多集群变更门禁能够全局生效的前提。
| 联邦能力 | 说明 | 门禁场景价值 |
|---|---|---|
| 资源模板化 | 定义通用资源模板，按集群标签差异化渲染 | 门禁策略可一次定义，多集群生效 |
| 调度策略 | 基于资源、地域、可用区等维度分发工作负载 | 变更门禁可感知集群拓扑，避免误调度 |
| 状态聚合 | 收集各集群健康、版本、事件信息 | 门禁决策依赖全局状态，而非单点视图 |
| 跨集群网络 | Service 跨集群互访，DNS 统一解析 | 门禁探针可跨集群验证服务连通性 |
2.2 控制平面（Control Plane）与工作集群（Work Cluster）
在多集群架构中，控制平面与工作集群是职责分离的核心设计。控制平面承载全局调度、策略引擎、API 网关与审计日志；工作集群仅运行用户工作负载，不直接暴露管理 API。
设计原则：控制平面故障不应影响已有工作负载的运行，但会暂停新的变更下发。门禁系统必须考虑控制平面不可用时的降级策略。
| 维度 | 控制平面（Hub/Management Cluster） | 工作集群（Work/Spoke Cluster） |
|---|---|---|
| 职责 | 策略管理、资源调度、审计、门禁决策 | 运行容器化应用、无状态/有状态服务 |
| API 暴露 | 对外暴露统一 API 入口 | 仅对内暴露，或通过隧道访问 |
| 数据存储 | etcd 存储全局状态与策略 | 本地 etcd 仅存本集群资源 |
| 扩缩容影响 | 控制平面扩缩不影响工作负载 | 工作集群扩缩不影响全局策略 |
| 故障域 | 需多副本跨可用区部署 | 单集群故障不影响其他集群 |
2.3 集群注册（Cluster Registration）
集群注册是将一个工作集群纳入控制平面管理范围的过程。注册的核心是建立双向 TLS 信任、交换接入凭证、上报集群元数据。
安全红线：注册过程必须验证工作集群的身份，防止未授权集群混入联邦。推荐使用 Bootstrap + CSR 自动签发证书的方式。
标准注册流程包含以下步骤：
- Agent 部署：在工作集群中安装注册 Agent（如 clusteradm、klusterlet）。
- 身份请求：Agent 向控制平面发起 CertificateSigningRequest（CSR）。
- 证书签发：控制平面验证 后，签发客户端证书，建立 mTLS 连接。
- 元数据上报：工作集群上报节点数、版本、可用区、标签等信息。
- 健康探测：控制平面启动定期健康检查，标记集群状态为 Ready。
# 示例：使用 clusteradm 注册工作集群
# 在控制平面生成 join
clusteradm get --cluster-id cluster-a
# 在工作集群执行 join
clusteradm join \
--hub-apiserver https://hub.example.com:6443 \
--cluster-id cluster-a \
-- xxxxx.yyyyy \
--force-internal-endpoint-lookup2.4 集群生命周期管理（Cluster Lifecycle Management）
集群生命周期管理涵盖从注册、运行、升级、扩缩容到注销的全过程。在门禁系统中，生命周期状态直接影响变更策略的生效范围。
2.5 门禁视角的关键映射
将上述概念映射到变更门禁系统，可以得到以下对应关系：
| 多集群概念 | 门禁系统中的角色 | 自动化关注点 |
|---|---|---|
| 集群联邦 | 策略统一下发与全局状态聚合 | 门禁规则模板化，避免每个集群重复配置 |
| 控制平面 | 门禁决策引擎、审计日志中心 | 高可用部署，决策延迟 < 500ms |
| 工作集群 | 变更执行目标、健康数据源 | Agent 轻量化，不占用工作负载资源 |
| 集群注册 | 门禁策略的生效范围边界 | 自动注册、证书轮换、身份撤销 |
| 生命周期 | 变更门禁的准入条件 | Degraded 集群自动暂停变更，Terminated 集群移除策略 |
实践要点：在门禁系统的集群注册模块中，必须实现“注册即纳管”的自动化流程——新集群注册成功后，自动绑定基线门禁策略，无需人工干预。同时，生命周期状态变更应触发事件驱动的工作流，例如集群进入 Degraded 状态时，自动暂停该集群的变更管道并发送告警。