📚 课程目录第3章回滚护栏核心概念

3. 回滚护栏核心概念：金丝雀发布、蓝绿部署、流量权重、健康检查与回滚触发条件

回滚护栏是保障线上服务在变更过程中具备快速恢复能力的机制集合。在 Ingress 流量接入层实施回滚护栏，能够将故障影响范围控制在最小粒度，并在检测到异常时自动或半自动地将流量切回稳定版本。本节围绕四个核心概念展开：金丝雀发布、蓝绿部署、流量权重、健康检查与回滚触发条件。

3.1 金丝雀发布（Canary Release）

金丝雀发布是一种渐进式流量切换策略：先让一小部分用户流量访问新版本，观察其运行状态和业务指标，确认无异常后再逐步扩大流量比例，直至全量切换。在 Ingress 层面，通常通过 nginx.ingress.kubernetes.io/canary 注解或服务网格的流量路由规则实现。

  关键特征：
  流量按比例（如 5%、10%、50%）逐步迁移到新版本。
支持基于请求头、Cookie、IP 范围等细粒度路由规则。
回滚时只需将金丝雀权重归零，即可瞬间切回稳定版本。

3.2 蓝绿部署（Blue-Green Deployment）

蓝绿部署维护两套完全独立的生产环境：蓝色环境（当前稳定版本）和绿色环境（新版本）。切换时，通过 Ingress 或负载均衡器一次性将流量从蓝色环境全部切换到绿色环境。回滚时只需将流量切回蓝色环境，切换速度极快。

对比维度	金丝雀发布	蓝绿部署
流量切换方式	渐进式、按比例	一次性全量切换
回滚速度	秒级（权重归零）	秒级（DNS/Ingress 切换）
资源占用	低（仅多部署少量副本）	高（需完整双环境）
风险暴露面	小范围逐步暴露	全量瞬间暴露
适用场景	核心业务、高敏感服务	非核心服务、批量更新

实践建议：在 Ingress 层面，蓝绿部署通常通过修改 Service 的 selector 或 Ingress 的 backend 指向实现。回滚时只需将 Ingress 指向蓝色环境的 Service，无需重新构建镜像或重新部署。

3.3 流量权重（Traffic Weight）

流量权重是金丝雀发布和蓝绿部署的核心控制参数。在 Kubernetes Ingress 中，通过 nginx.ingress.kubernetes.io/canary-weight 注解设置金丝雀版本接收的流量百分比（0-100）。权重值决定了请求分发到新版本的比例，是实现渐进式发布和快速回滚的“阀门”。

# 金丝雀 Ingress 配置示例
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: myapp-canary
  annotations:
    nginx.ingress.kubernetes.io/canary: "true"
    nginx.ingress.kubernetes.io/canary-weight: "10"   # 10% 流量到金丝雀
spec:
  rules:
  - host: myapp.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: myapp-v2-service
            port:
              number: 80

  权重调整策略：
  初始权重：5%～10%，用于验证基本功能和关键指标。
中间权重：25%～50%，用于观察性能、错误率和延迟变化。
高权重：75%～90%，用于全量切换前的最终验证。
回滚权重：直接设为 0%，流量瞬间全部回到稳定版本。

3.4 健康检查与回滚触发条件

健康检查是回滚护栏的“眼睛”，回滚触发条件是“大脑”。没有准确、实时的健康检查，回滚决策就是盲目的。在 Ingress 层面，健康检查通常分为三个层次：

存活检查（Liveness Probe）：检测容器是否存活，失败则重启容器。
就绪检查（Readiness Probe）：检测 Pod 是否准备好接收流量，失败则从 Service 端点中移除。
业务健康检查（Business Health Check）：检测业务层面的关键指标，如接口成功率、响应延迟、错误率等。

3.5 回滚触发条件设计原则

回滚触发条件需要平衡“灵敏度”和“误报率”。条件过于敏感会导致频繁回滚，影响发布效率；条件过于宽松则可能错过故障窗口。以下是设计回滚触发条件的核心原则：

原则	说明	示例
多维度检测	结合基础设施、应用、业务三个层面的指标	CPU + 错误率 + 订单量
时间窗口	连续 N 次检测均异常才触发，避免瞬时抖动	连续 3 次（每次 10s）错误率 > 5%
分级触发	严重故障立即回滚，轻微异常仅告警	错误率 > 10% 立即回滚；> 5% 告警观察
可配置性	阈值和窗口期支持动态调整，适应不同服务	通过 ConfigMap 或环境变量注入

常见陷阱：仅依赖 Liveness Probe 作为回滚触发条件。Liveness Probe 检测的是容器存活状态，无法反映业务健康度。务必增加业务层面的健康检查（如接口成功率、核心业务流程完成率），否则可能出现“容器运行正常但业务已瘫痪”的假阳性情况。

3.6 核心概念关系总结

金丝雀发布、蓝绿部署、流量权重、健康检查与回滚触发条件共同构成了 Ingress 回滚护栏的完整闭环：

金丝雀发布和蓝绿部署是发布策略，决定了流量如何从旧版本迁移到新版本。
流量权重是控制流量迁移比例的精确阀门，也是回滚时的快速切断开关。
健康检查提供新版本运行状态的实时数据，是回滚决策的输入源。
回滚触发条件将健康检查数据转化为自动化决策，驱动流量权重归零或环境切换。