3. 网络拓扑参数设计原则：高内聚低耦合原则、环境差异化策略、敏感信息分离原则

在 Helm 管理网络拓扑性能调优的实践中，Values 文件的设计质量直接决定了 Chart 的可维护性、可移植性与安全性。本章围绕三大核心原则展开，帮助你在复杂的网络拓扑参数中建立清晰、健壮的管理体系。

3.1 高内聚低耦合原则

高内聚低耦合是软件工程的核心思想，在 Helm Values 设计中同样适用。其目标是将强相关的参数聚集在同一结构下，同时减少不同模块之间的参数依赖。

3.1.1 参数内聚设计

将网络拓扑中属于同一逻辑单元的参数聚合在一起。例如，与“服务网格”相关的所有参数应放在一个独立的键下，而不是分散在多个层级中。

# values.yaml — 高内聚示例
serviceMesh:
  enabled: true
  sidecar:
    cpuLimit: "500m"
    memoryLimit: "512Mi"
    logLevel: "info"
  mtls:
    mode: "strict"
    certManager: "cert-manager"

ingressGateway:
  replicas: 3
  serviceType: "LoadBalancer"
  annotations:
    service.beta.kubernetes.io/aws-load-balancer-type: "nlb"

上述示例中，serviceMesh 和 ingressGateway 各自内聚了其所属的全部参数，修改服务网格配置时无需跨层级查找。

3.1.2 低耦合设计

避免一个模块的 Values 直接引用另一个模块的内部结构。通过全局变量或共享上下文实现跨模块参数传递，而不是硬编码路径。

正确的做法是使用 global 键或通过模板函数解耦：

# values.yaml — 低耦合示例
global:
  clusterDomain: "cluster.local"
  networkPolicy:
    defaultDeny: true

serviceMesh:
  enabled: true
  mtls:
    certName: "mesh-ca"

ingressGateway:
  tlsCertName: "{{ .Values.global.tlsCertName | default .Values.serviceMesh.mtls.certName }}"

通过 global 层或模板默认值机制，ingressGateway 不再强依赖 serviceMesh 的内部结构，实现了低耦合。

3.2 环境差异化策略

网络拓扑参数在不同环境（开发、测试、预发布、生产）中往往存在显著差异。环境差异化策略旨在通过 Values 文件的层次化组织，实现一次编写、多环境适配。

3.2.1 多 Values 文件策略

Helm 原生支持通过 -f 参数叠加多个 Values 文件。推荐按环境拆分基础配置与覆盖配置：

3.2.2 环境差异化参数清单

网络拓扑中常见的环境差异化参数包括：

• 副本数：开发环境 1 副本，生产环境 3~5 副本
• 资源限制：开发环境 CPU/Memory 限制较低，生产环境按性能基线配置
• 网络策略：开发环境宽松，生产环境严格限制入站/出站流量
• 服务暴露方式：开发环境使用 ClusterIP，生产环境使用 LoadBalancer 或 Ingress
• 日志级别：开发环境 debug，生产环境 info 或 warn

# values-prod.yaml — 生产环境差异化配置
replicaCount: 5
resources:
  limits:
    cpu: "2"
    memory: "4Gi"
  requests:
    cpu: "1"
    memory: "2Gi"
networkPolicy:
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              environment: production
  egress:
    - to:
        - ipBlock:
            cidr: 0.0.0.0/0
          except:
            - 10.0.0.0/8
service:
  type: LoadBalancer
  annotations:
    service.beta.kubernetes.io/aws-load-balancer-internal: "true"
logging:
  level: info

3.3 敏感信息分离原则

网络拓扑参数中常包含敏感信息，如 TLS 证书、、数据库密码等。将这些信息直接写入 Values 文件会导致严重的安全风险。敏感信息分离原则要求将配置与机密数据严格分离。

3.3.1 使用 Kubernetes Secrets 存储敏感数据

Helm 推荐通过 secrets 或外部密钥管理服务（如 HashiCorp Vault、AWS Secrets Manager）来管理敏感信息，Values 文件中仅引用密钥名称。

# values.yaml — 引用外部 Secret
tls:
  secretName: "network-tls-secret"
  certKey: "tls.crt"
  privateKey: "tls.key"

database:
  existingSecret: "db-credentials"
  usernameKey: "username"
  passwordKey: "password"

在模板中通过 lookup 函数或挂载卷的方式读取 Secret：

{{- if .Values.tls.secretName }}
apiVersion: v1
kind: Pod
metadata:
  name: {{ include "chart.fullname" . }}
spec:
  containers:
    - name: app
      volumeMounts:
        - name: tls-certs
          mountPath: /etc/tls
          readOnly: true
  volumes:
    - name: tls-certs
      secret:
        secretName: {{ .Values.tls.secretName }}
{{- end }}

3.3.2 敏感信息分类与处理策略

3.4 原则综合应用示例

以下是一个综合应用三大原则的 values.yaml 结构示例，适用于一个包含服务网格、Ingress 网关和网络策略的微服务拓扑：

# values.yaml — 综合示例
global:
  clusterDomain: "cluster.local"
  environment: "production"

# 高内聚：服务网格参数集中管理
serviceMesh:
  enabled: true
  sidecar:
    resources:
      requests:
        cpu: "100m"
        memory: "128Mi"
      limits:
        cpu: "500m"
        memory: "512Mi"
  mtls:
    mode: "permissive"
    # 敏感信息分离：仅引用 Secret 名称
    existingSecret: "mesh-mtls-certs"

# 高内聚：Ingress 网关参数集中管理
ingressGateway:
  replicas: 3
  service:
    type: LoadBalancer
    annotations:
      service.beta.kubernetes.io/aws-load-balancer-type: "nlb"
  tls:
    # 敏感信息分离
    secretName: "ingress-tls"

# 环境差异化：通过 values-prod.yaml 覆盖
networkPolicy:
  defaultDeny: true
  ingressRules:
    - from:
        - namespaceSelector:
            matchLabels:
              environment: "{{ .Values.global.environment }}"