📚 课程目录第4章蓝绿发布原理

4. 灾备剧本定义：剧本概念、剧本生命周期、剧本在灾备中的角色

灾备剧本（Disaster Recovery Playbook）是云原生环境下实现可预期、可重复、可审计的故障切换与恢复操作的核心载体。它不同于传统运维的“操作手册”，而是一套可执行、可版本化、可漂移检测的自动化策略定义。本节从概念、生命周期与角色三个维度，建立灾备剧本的完整认知框架。

4.1 剧本概念：从文档到代码的演进

在云原生灾备体系中，剧本的本质是“将专家经验转化为结构化、可版本控制的声明式配置”。其核心特征包括：

维度	传统灾备文档	云原生灾备剧本
载体形式	Word/PDF 文档	YAML/JSON + 编排引擎 DSL
执行方式	人工阅读 + 手动操作	自动化引擎解析 + 条件触发
版本管理	文件名 + 日期后缀	Git 仓库 + 语义化版本 + 签名
可审计性	依赖事后日志补录	每一步操作均有结构化审计事件
漂移检测	人工比对文档差异	剧本配置与运行时状态的持续差异分析

  关键定义：灾备剧本 = 灾备策略（Policy）+ 执行流程（Workflow）+ 条件判断（Condition）+ 回滚路径（Rollback）的组合，以代码形式存储在版本控制系统中，并通过 CI/CD 管道进行测试与部署。

4.2 剧本生命周期：从创建到退役的完整闭环

灾备剧本的生命周期遵循“定义 → 验证 → 部署 → 执行 → 审计 → 优化 → 退役”的闭环模型。每个阶段都对应特定的审计关注点。

审计要点：剧本生命周期中，“验证”与“审计”两个阶段是发现配置漂移的关键窗口。缺少自动化验证的剧本，其配置漂移风险将呈指数级上升。

定义阶段：基于 RTO/RPO 目标，编写剧本的 YAML/JSON 定义，包括触发条件、执行步骤、超时设置、回滚策略。
验证阶段：在隔离的沙箱环境中执行剧本，验证其逻辑正确性与资源依赖完整性。此阶段应生成验证报告。
部署阶段：将验证通过的剧本通过 GitOps 管道部署到目标集群，并记录部署版本与时间戳。
执行阶段：当灾备事件触发时，剧本被引擎调用执行。执行过程中的所有状态变更均需记录审计日志。
审计阶段：对比剧本定义与执行日志，检测是否存在“未定义的操作”或“跳过的步骤”，即配置漂移。
优化阶段：根据审计结果与演练反馈，更新剧本定义，进入下一轮生命周期循环。
退役阶段：当业务系统下线或灾备策略变更时，正式废弃旧版本剧本，并归档审计记录。

4.3 剧本在灾备中的角色：三大核心职能

在云原生灾备体系中，剧本承担着“策略执行者”、“状态协调者”与“审计证据链”三大角色。理解这些角色，是进行剧本配置漂移审计的前提。

4.3.1 策略执行者

剧本将抽象的灾备策略（如“RTO ≤ 5分钟”、“RPO ≤ 1分钟”）转化为具体的、可执行的步骤序列。它负责在故障发生时，按照预定义的顺序执行资源创建、流量切换、数据同步等操作。

4.3.2 状态协调者

在多集群、多区域的复杂环境中，剧本需要协调不同组件之间的状态依赖。例如：先确认数据同步完成，再切换 DNS 流量；先启动 Standby 集群，再停止 Primary 集群的写入。这种协调逻辑是防止“脑裂”与“数据不一致”的关键。

4.3.3 审计证据链

每一次剧本执行都会产生结构化的审计日志，包括：操作时间、操作对象、操作结果、触发条件、执行者身份等。这些日志构成了灾备合规审计的“不可篡改证据链”。配置漂移审计正是通过对比“剧本定义”与“审计日志”之间的差异来发现异常。

漂移风险警示：如果剧本在执行过程中绕过了预定义的审计日志记录点（例如：通过 SSH 直连服务器执行手动命令），则该操作将脱离审计证据链，形成“审计盲区”。这是配置漂移审计中最需要关注的高风险行为。

4.4 剧本定义示例：YAML 结构

以下是一个简化的灾备剧本 YAML 定义，展示了其核心组成要素：

apiVersion: dr.playbook.io/v1
kind: DisasterRecoveryPlaybook
metadata:
  name: app-a-cross-region-failover
  version: 2.1.0
spec:
  targetRTO: 300          # 目标 RTO：300 秒
  targetRPO: 60           # 目标 RPO：60 秒
  trigger:
    type: healthCheck
    condition: "primary-cluster.health.status == 'critical'"
  steps:
    - name: validate_standby_ready
      action: checkResource
      resource: "standby-cluster"
      timeout: 30
    - name: sync_data_final
      action: dataSync
      source: "primary-db"
      target: "standby-db"
      mode: "incremental"
    - name: switch_traffic
      action: dnsUpdate
      record: "app-a.example.com"
      targetIP: "203.0.113.50"
    - name: verify_service
      action: healthCheck
      endpoint: "https://app-a.example.com/health"
  rollback:
    - name: revert_dns
      action: dnsUpdate
      record: "app-a.example.com"
      targetIP: "198.51.100.10"
  audit:
    logLevel: "detailed"
    recordAllSteps: true
    outputTo: "elasticsearch://dr-audit-cluster"

审计视角：注意 audit 字段中的 recordAllSteps: true。在配置漂移审计中，如果发现某个剧本的 recordAllSteps 被设置为 false，或者 outputTo 指向了未授权的日志存储位置，这本身就是一种审计配置漂移。

4.5 剧本角色与审计映射

剧本角色	对应审计维度	漂移检测指标
策略执行者	策略一致性审计	实际执行步骤与剧本定义步骤的差异数量
状态协调者	依赖关系审计	步骤执行顺序与定义顺序的偏差次数
审计证据链	日志完整性审计	缺失审计日志的步骤占比

通过将剧本的三大角色与审计维度建立映射关系，审计人员可以快速定位配置漂移的具体类型与影响范围，为后续的治理措施提供精确输入。