4. 不可变基础设施：不可变镜像的概念、为什么版本控制是基础设施不可变性的基石
不可变基础设施（Immutable Infrastructure）是现代云原生运维的核心范式。它要求一旦部署的组件（如容器镜像、虚拟机镜像）被创建后，绝不进行原地修改；任何变更都必须通过构建新版本并替换旧实例来完成。容器镜像天然具备不可变的物理属性——镜像层是只读的，但版本控制才是将这种物理属性转化为可管理、可审计、可回滚的工程基石。
4.1 不可变镜像的核心概念
不可变镜像并非指镜像文件无法被删除或覆盖，而是指在发布流水线中，每个镜像版本一旦被标记为“已发布”，其内容就永久冻结。任何代码、依赖或配置的修改，都必须产生一个新的镜像标签（Tag）或摘要（Digest）。
| 特性 | 可变基础设施（传统） | 不可变基础设施（容器化） |
|---|---|---|
| 变更方式 | SSH 登录、热补丁、配置文件原地修改 | 构建新镜像 → 替换旧 Pod/实例 |
| 状态管理 | 服务器状态随时间漂移（Configuration Drift） | 每个版本状态由镜像清单（Manifest）锁定 |
| 回滚方式 | 回滚脚本、文件恢复、快照还原 | 重新部署上一个镜像版本（秒级切换） |
| 审计能力 | 依赖操作日志，难以复现历史状态 | 镜像 Digest 唯一标识，可精确复现 |
| 故障半径 | 原地修复可能引入新问题，故障扩散 | 直接替换，故障实例被销毁，风险隔离 |
关键原则： 不要修复一个运行中的容器——销毁它，然后启动一个更新版本的容器。
4.2 版本控制：不可变性的基石
没有版本控制的镜像，即使底层文件系统是只读的，也无法被称为“不可变基础设施”。版本控制为不可变性提供了三个核心能力：唯一标识、可追溯性和可重复性。
- 唯一标识（Identity）：通过
image:tag或更可靠的image@sha256:digest锁定一个不可变快照。标签（如v1.2.3）是语义化指针，摘要（Digest）是内容寻址的指纹。 - 可追溯性（Traceability）：每个镜像版本关联构建号、Git Commit、CI 流水线 ID，形成从代码到运行时的完整链路。
- 可重复性（Reproducibility）：给定相同的 Dockerfile 和构建上下文，配合版本锁定的基础镜像，可以重建出内容完全一致的镜像。
实践建议： 在 CI 流水线中，始终使用
image@sha256:... 进行部署，而不是仅依赖标签。标签可以被覆盖，但 Digest 一旦发布就不可变。
4.3 不可变镜像的版本控制模型
下图展示了从代码提交到不可变镜像发布的版本控制流程，以及回滚时如何通过版本指针切换实现基础设施的“不可变替换”。
4.4 为什么版本控制是不可变性的基石
如果没有严格的版本控制，不可变基础设施将退化为“不可变但不可管理”的混乱状态。以下是版本控制支撑不可变性的四个关键维度：
- 防止配置漂移：版本控制锁定了镜像的每一层内容。即使基础镜像更新，只要不改变版本标签，生产环境就不会意外继承新依赖。
- 实现精确回滚：回滚操作的本质是“将部署指针从当前版本切换到历史版本”。版本控制保证了历史版本仍然存在于镜像仓库中，且内容未被篡改。
- 支持灰度发布：通过版本标签（如
v1.2.3-canary.1）可以同时运行多个不可变版本，流量在版本间切换，而非在同一个实例上修改。 - 满足合规审计：每个镜像版本对应一个不可变的 Digest，配合签名（Notary/Cosign）可以证明镜像的来源和完整性，满足 SOC2、PCI-DSS 等审计要求。
常见误区： 使用
latest 标签作为不可变标识。实际上 latest 是可变的，它指向的镜像内容会随时间变化。不可变基础设施必须使用语义化版本标签（如 v1.2.3）或内容摘要（sha256:...）。
4.5 不可变镜像的版本控制策略对比
不同的版本控制策略对不可变性的保障程度不同。下表对比了三种常见策略：
| 策略 | 示例 | 不可变性保障 | 适用场景 |
|---|---|---|---|
| 语义化版本 | myapp:v1.2.3 |
高（标签不可覆盖） | 正式发布、生产环境 |
| Git Commit SHA | myapp:git-a1b2c3d |
极高（与代码一一对应） | 开发环境、CI 验证 |
| 内容摘要（Digest） | myapp@sha256:abc... |
（内容寻址） | 部署清单、审计追溯 |
最佳实践组合： 在 CI 流水线中，使用 Git SHA 作为构建标签；在通过测试后，为镜像打上语义化版本标签并推送到生产仓库；在 Kubernetes 部署清单中，使用 Digest 进行最终部署锁定。
4.6 版本控制与不可变性的协同工作流
下面的 SVG 展示了版本控制如何在整个流水线中为不可变性提供支撑，从代码提交到生产部署的完整链路。
通过上述工作流可以看出，版本控制不仅仅是给镜像打一个标签，而是构建了一个从代码提交到生产运行的可信链路。每个环节都通过版本标识符（Git SHA、Build ID、镜像 Tag/Digest）相互关联，使得基础设施的不可变性不再是理论概念，而是可操作、可审计的工程实践。