📚 课程目录第3章多集群基础设施概览

3. 多集群基础设施概览：Kubernetes集群、网络平面、存储层、身份认证体系的差异分析

在多集群变更门禁的自动化驱动环境移植适配中，理解各集群基础设施层的差异是制定统一门禁策略的前提。不同集群在 Kubernetes 版本、网络平面、存储后端以及身份认证体系上的异构性，直接影响变更的兼容性、安全性和可移植性。本章从四个核心维度展开差异分析，为后续的自动化适配提供结构化的认知基础。

3.1 Kubernetes 集群版本与组件差异

集群的 Kubernetes 版本差异是变更门禁必须考虑的首要因素。API 资源的版本演进、特性开关的默认状态以及 kubelet 与 kube-apiserver 的版本偏差，都会导致同一份 YAML 清单在不同集群中产生不同的行为。

差异维度	典型场景	对变更门禁的影响
API 版本弃用	v1.22 移除 `extensions/v1beta1` Ingress	门禁需校验 API 版本与目标集群的兼容性
特性开关 (Feature Gates)	`EphemeralContainers` 在 v1.23 默认启用	门禁应检测目标集群的特性开关状态
kubelet 版本偏差	控制面 v1.28，节点池 v1.27	变更涉及节点级配置时需校验偏差范围
CRD 版本	自定义资源从 v1beta1 升级到 v1	门禁需识别 CRD 的 `storage` 版本

实践建议：在门禁的预检阶段，通过 kubectl version --short 和 kubectl api-versions 采集集群版本元数据，并与变更清单中的 apiVersion 字段做交叉校验。

3.2 网络平面差异分析

多集群环境下的网络平面差异主要体现在 CNI 插件实现、Service 网络模型以及跨集群通信能力上。这些差异直接影响 Pod 间通信、服务发现以及网络策略的执行效果。

CNI 插件类型：Calico（BGP/Overlay）、Flannel（VXLAN）、Cilium（eBPF）、Weave（Fast Datapath）。不同插件对网络策略、IP 地址管理（IPAM）以及加密传输的支持程度不同。
Service 网络模型：ClusterIP、NodePort、LoadBalancer 的实现差异。部分云厂商的 LoadBalancer 仅支持特定协议（TCP/UDP），且外部流量策略（externalTrafficPolicy）的行为不一致。
跨集群通信：Submariner、Cilium ClusterMesh、Istio Multi-Cluster 等方案对 Pod IP 路由、服务发现以及 mTLS 的支持存在显著差异。

  关键指标对比：
  
    
        CNI 插件
        网络策略
        加密
        IPAM 模式
        跨集群支持
      

    
        Calico
        完整
        WireGuard
        Host-local / IPIP
        Submariner
      

        Cilium
        完整 (eBPF)
        IPsec / WireGuard
        CRD-backed
        ClusterMesh
      

        Flannel
        基础
        无
        Host-local
        需额外组件
      

  

CNI 插件	网络策略	加密	IPAM 模式	跨集群支持
Calico	完整	WireGuard	Host-local / IPIP	Submariner
Cilium	完整 (eBPF)	IPsec / WireGuard	CRD-backed	ClusterMesh
Flannel	基础	无	Host-local	需额外组件

3.3 存储层差异分析

存储层的差异主要体现在 CSI 驱动、存储类（StorageClass）配置、卷扩展能力以及数据保护机制上。变更门禁需要识别这些差异，以防止有状态应用在集群间迁移时出现数据丢失或性能降级。

CSI 驱动：不同云厂商（AWS EBS、GCE PD、Azure Disk）和自建存储（Rook/Ceph、Longhorn、OpenEBS）的 CSI 驱动在卷挂载参数、快照支持和扩容行为上存在差异。
StorageClass 参数：reclaimPolicy（Delete/Retain）、allowVolumeExpansion、mountOptions 以及 allowedTopologies 的配置差异。
卷访问模式：ReadWriteOnce（RWO）、ReadOnlyMany（ROX）、ReadWriteMany（RWX）的支持程度因存储后端而异。

存储后端	CSI 驱动	RWX 支持	快照	卷扩容	拓扑约束
AWS EBS	ebs.csi.aws.com	否	是	是	可用区
GCE PD	pd.csi.storage.gke.io	否	是	是	区域
Rook/Ceph	rook-ceph.cephfs.csi.ceph.com	是 (CephFS)	是	是	自定义
Longhorn	driver.longhorn.io	是 (v1.5+)	是	是	节点

注意：当变更涉及 StatefulSet 的 volumeClaimTemplates 时，门禁必须校验目标集群是否存在对应的 StorageClass，且 volumeBindingMode（Immediate / WaitForFirstConsumer）与变更策略一致。

3.4 身份认证体系差异分析

多集群身份认证体系的差异是变更门禁安全策略的核心输入。不同集群可能采用不同的 OIDC 提供商、证书颁发机构（CA）以及 RBAC 模型，导致同一份 ServiceAccount 或 RBAC 绑定在不同集群中产生不同的权限效果。

认证方式：X.509 客户端证书、OIDC 令牌、Webhook 令牌认证、ServiceAccount 令牌（TokenRequest API vs 静态 Secret）。
RBAC 模型：ClusterRole 与 Role 的绑定范围、聚合规则（AggregationRule）的支持程度、以及 rbac.authorization.k8s.io/v1 与 v1beta1 的差异。
ServiceAccount 令牌：Kubernetes v1.24+ 默认不再自动创建 Secret 令牌，改为使用 TokenRequest API 生成有到期时间的绑定令牌。

3.5 差异驱动的门禁适配策略

基于上述四个维度的差异分析，变更门禁的自动化驱动环境移植适配需要建立以下核心策略：

集群元数据注册：在门禁系统中注册每个集群的版本、CNI、StorageClass 和认证方式，形成集群能力矩阵。
预检规则差异化：根据集群能力矩阵动态加载预检规则，例如针对 Calico 集群校验 NetworkPolicy 的 ipBlock 语法，针对 Cilium 集群校验 CiliumNetworkPolicy 的标签选择器。
认证上下文隔离：每个集群使用独立的 kubeconfig 或 OIDC 客户端，避免跨集群的令牌泄露或权限越界。
存储类映射：建立全局 StorageClass 到集群本地 StorageClass 的映射表，确保 PVC 变更在目标集群中能找到匹配的存储后端。

自动化适配示例：以下代码片段展示了门禁预检阶段如何根据集群版本动态选择 API 版本校验规则。

# 伪代码：集群版本感知的 API 校验
def validate_api_version(cluster_version, resource_manifest):
    if cluster_version < (1, 22):
        allowed_ingress = ["extensions/v1beta1", "networking.k8s.io/v1beta1"]
    elif cluster_version < (1, 25):
        allowed_ingress = ["networking.k8s.io/v1beta1", "networking.k8s.io/v1"]
    else:
        allowed_ingress = ["networking.k8s.io/v1"]

    if resource_manifest["apiVersion"] not in allowed_ingress:
        raise ValidationError(f"Ingress API 版本 {resource_manifest['apiVersion']} 不兼容集群 {cluster_version}")