📚 课程目录第3章环境规划与资源隔离

3. 环境规划与资源隔离

在信用评分特征服务的交付生命周期中，环境规划是保障模型质量、数据安全与发布节奏的基石。不同阶段的环境承载着不同的验证目标与风险容忍度，必须通过明确的划分原则与隔离手段，防止配置污染、数据串扰与权限越界。

3.1 多环境划分原则

信用评分特征服务通常划分为四个标准环境：开发 (Dev)、测试 (Test)、预发布 (Staging) 与 生产 (Prod)。每个环境在数据来源、服务等级、变更频率与访问权限上存在显著差异。

环境	核心目标	数据特征	变更频率	SLA 要求	典型用户
开发 (Dev)	快速迭代与单元验证	脱敏样本 / 合成数据	每日多次	无	数据科学家、ML 工程师
测试 (Test)	集成测试与回归验证	脱敏全量历史数据	每日 1-2 次	99% (非关键)	QA 工程师、SRE
预发布 (Staging)	生产预演与压测	脱敏近线数据 / 影子流量	每周 1-2 次	99.9%	SRE、业务验收方
生产 (Prod)	线上实时评分	真实用户数据	仅变更窗口	99.99%	终端用户、风控系统

最佳实践：预发布环境应尽量与生产环境保持“配置同构、数据脱敏、流量隔离”。建议在预发布中启用影子流量回放，以验证特征计算逻辑在真实负载下的表现。

3.2 资源隔离实现方式

资源隔离分为物理隔离与逻辑隔离两个层次。物理隔离通过独立的硬件或虚拟化边界实现，逻辑隔离则依赖云平台或容器编排的命名空间与策略控制。信用评分特征服务通常采用“物理隔离生产、逻辑隔离非生产”的混合策略。

3.2.1 VPC 隔离

VPC（虚拟私有云）是云环境中最基础的网络隔离单元。每个环境应部署在独立的 VPC 中，确保网络层面完全隔离。

生产 VPC：独立 CIDR 块，不与其他 VPC 对等连接；仅通过专线或 VPN 与内部风控系统互通。
非生产 VPC：开发、测试、预发布可共用同一 VPC 或通过 VPC Peering 有限互通，但必须通过安全组与网络 ACL 限制端口与协议。
跨 VPC 数据交换：必须经过统一的 API 网关或消息队列，禁止直接数据库互访。

3.2.2 Kubernetes 命名空间隔离

在 Kubernetes 集群中，命名空间 (Namespace) 是实现逻辑隔离的核心手段。即使多个环境共享同一集群，命名空间也能提供资源配额、网络策略与 RBAC 的隔离边界。

# 为每个环境创建独立的命名空间
kubectl create namespace credit-score-dev
kubectl create namespace credit-score-test
kubectl create namespace credit-score-staging
kubectl create namespace credit-score-prod

# 为生产命名空间设置资源配额
kubectl apply -f - <<EOF
apiVersion: v1
kind: ResourceQuota
metadata:
  name: prod-quota
  namespace: credit-score-prod
spec:
  hard:
    requests.cpu: "32"
    requests.memory: "64Gi"
    limits.cpu: "64"
    limits.memory: "128Gi"
    persistentvolumeclaims: "10"
EOF

注意：共享集群时，务必为生产命名空间配置 NetworkPolicy，拒绝所有非必要的入站流量。同时开启 PodSecurityPolicy 或 OPA/Gatekeeper，防止非生产容器逃逸到生产命名空间。

3.2.3 资源组与标签管理

资源组（如 AWS Resource Group、Azure Resource Group、阿里云资源组）用于对云资源进行逻辑分组与权限管控。结合标签 (Tag) 策略，可以实现精细化的成本分摊与运维自动化。

资源组	包含资源	标签示例	权限策略
RG-Dev	开发 ECS、RDS 实例、测试缓存	`env:dev`, `team:ml`	开发人员完全控制，禁止删除生产资源
RG-Staging	预发布 ECS、SLB、Redis 集群	`env:staging`, `tier:pre-prod`	SRE 团队读写，开发人员只读
RG-Prod	生产 ECS、RDS 主备、CDN、WAF	`env:prod`, `critical:true`	仅 SRE 主管与变更审批系统可操作

3.3 隔离架构总览

下图展示了信用评分特征服务在四个环境中的 VPC、命名空间与资源组隔离关系。生产环境独占物理 VPC，非生产环境共享 VPC 但通过命名空间与安全策略实现逻辑隔离。

3.4 隔离策略对比与选型建议

下表总结了三种隔离方式在信用评分特征服务中的适用场景与优缺点，帮助团队根据自身规模与合规要求做出选择。

隔离方式	隔离粒度	适用环境	优势	劣势
VPC 隔离	网络层	生产 vs 非生产	强网络隔离，天然防误操作	资源利用率低，跨 VPC 通信复杂
K8s 命名空间	应用层	开发 / 测试 / 预发布	资源复用率高，配额灵活	共享集群存在逃逸风险
资源组 + 标签	管理层	全环境	权限精细，成本分摊清晰	依赖云平台能力，标签规范需维护

  推荐组合：生产环境使用独立 VPC + 独立 K8s 集群 + 资源组强管控；非生产环境共享 VPC，但通过命名空间 + NetworkPolicy + 资源配额实现逻辑隔离。所有环境统一使用标签体系进行成本追踪与自动化运维。

3.5 环境规划检查清单

在落地环境规划时，建议逐项核对以下清单，避免遗漏关键隔离点：

网络隔离：生产 VPC 是否与其他 VPC 完全断开？非生产 VPC 内是否配置了 NetworkPolicy 禁止跨命名空间访问？
数据隔离：非生产环境是否使用脱敏数据？预发布是否启用了影子流量而非真实用户流量？
权限隔离：生产环境的 RBAC 是否仅授权给 SRE 团队？是否开启了变更审批流程？
资源配额：生产命名空间是否设置了 CPU/内存/存储的 ResourceQuota？是否配置了 LimitRange 防止单个 Pod 耗尽资源？
监控隔离：各环境的监控指标是否独立存储？告警通知是否区分了环境标签？
成本隔离：是否通过资源组与标签实现了按环境、按团队的成本分摊？

通过上述环境规划与资源隔离策略，信用评分特征服务能够在保证数据安全与系统稳定的前提下，实现高效的跨环境交付与迭代。