2. 值班环境基线概念：什么是基线、基线包含哪些维度、基线漂移的危害
2.1 什么是基线
在 SRE 运维体系中，基线（Baseline）是指一个已知良好、经过验证且可重复的稳定状态。它定义了值班环境在正常运行时应满足的配置、版本、参数和性能阈值。基线是自动化核验的参照物，也是故障排查的起点。
基线不是静态的，它随业务迭代、版本升级、安全补丁而演进，但每次变更都必须经过审批、测试和记录。没有基线，值班人员无法判断当前环境是“正常”还是“异常”。
核心原则：基线 = 可观测 + 可复现 + 可审计。任何偏离基线的状态都应触发告警或自动修复流程。
2.2 基线包含的四个核心维度
值班环境基线覆盖从底层操作系统到上层业务配置的完整链路。我们将基线划分为以下四个维度：
| 维度 | 典型基线项 | 核验方法 | 常见漂移案例 |
|---|---|---|---|
| OS | 内核版本、sysctl 参数、ulimit 限制、时区、NTP 配置、文件系统挂载选项、SSH 配置 | 巡检脚本对比 /etc/sysctl.conf、/etc/security/limits.conf、/etc/ntp.conf | net.core.somaxconn 被手动改为 1024；ulimit -n 从 65535 降为 1024 |
| 中间件 | Nginx/OpenResty 版本、连接池大小、超时时间、日志级别、JVM 堆大小、GC 策略 | 版本校验、配置 diff、API 探活、JMX 指标采集 | Nginx 被回退到旧版本；JVM -Xms 被调小导致频繁 GC |
| 网络 | iptables/nftables 规则、路由表、MTU 值、DNS 解析记录、VIP/负载均衡配置、带宽限速 | 规则快照对比、连通性测试、traceroute 路径校验 | iptables 规则被误删导致端口不通；DNS 记录被意外修改 |
| 安全 | SSH 密钥轮换状态、TLS 证书有效期、密码策略、SELinux/AppArmor 状态、审计日志配置 | 证书过期扫描、安全策略合规扫描、日志完整性校验 | TLS 证书过期未更新；SELinux 被 setenforce 0 关闭 |
实战建议：每个维度至少定义 10~20 条基线项。不要追求“全量覆盖”，优先覆盖历史上出过故障的配置项。基线项越精准，自动化核验的告警噪音越低。
2.3 基线漂移的危害
基线漂移（Baseline Drift）是指环境配置、版本或参数未经授权或未记录地偏离了基线状态。漂移是值班环境中最常见的故障根源之一。以下是漂移带来的典型危害：
- 故障定位困难：漂移发生后，值班人员无法确定当前环境是否“干净”，排查时需要在“未知状态”中反复试错，MTTR（平均修复时间）显著增加。
- 自动化流程失效：部署脚本、扩容脚本、自愈脚本依赖基线假设。漂移导致脚本执行失败或产生不可预期的副作用。
- 安全合规风险：安全基线漂移（如关闭 SELinux、使用弱加密套件）可能直接导致安全漏洞被利用，在合规审计中产生严重违规项。
- 版本兼容性断裂：中间件版本漂移可能导致上下游依赖不兼容，引发接口异常、数据格式错误等连锁故障。
- 值班人员信任崩塌：当基线频繁漂移且未被及时修复，值班团队会逐渐失去对环境的信任，倾向于“手动修复一切”，反而引入更多人为错误。
⚠️ 关键认知：基线漂移不是“偶尔发生”的异常，而是必然发生的熵增现象。SRE 团队必须通过自动化核验手段，将漂移的发现时间从“故障后”提前到“故障前”，甚至实现自动修复。
2.4 基线核验的自动化切入点
基于上述四个维度，自动化基线核验通常采用以下策略：
- 定时巡检：每 5~15 分钟执行一次基线项对比，输出差异报告。
- 变更触发核验：在部署、配置变更、扩容操作后立即执行全量基线核验。
- 自愈闭环：对可自动修复的漂移项（如 sysctl 参数、ulimit 限制），直接执行修复脚本并记录审计日志。
- 不可变基础设施：在容器化或云原生场景中，通过不可变镜像彻底消除运行时漂移。