2. 多Plane架构详解：Control Plane、Data Plane、Management Plane的职责与交互
在KMS原子提交体系中，系统被严格划分为三个逻辑平面（Plane）。这种解耦设计是保障高可用、可观测性与安全隔离的基石。理解每个平面的职责边界与交互协议，是进行多Plane状态校验与故障排查的前提。
2.1 三平面职责对比
| 平面 | 核心职责 | 关键组件 | 故障影响范围 |
|---|---|---|---|
| Control Plane | 编排、调度、状态协调、决策下发 | KMS Controller、Scheduler、API Server、etcd | 新提交无法调度，原子提交流程中断 |
| Data Plane | 数据转发、加密/解密、密钥轮换执行 | KMS Agent、Sidecar Proxy、加密SDK | 运行时加密失败，数据泄露或不可用 |
| Management Plane | 配置管理、监控告警、审计日志、UI/API网关 | KMS Dashboard、Prometheus、Grafana、Audit Log | 运维人员无法观测，故障定位延迟 |
实战要点： 排查故障时，优先确认Control Plane的etcd集群健康状态，因为它是所有平面状态一致性的源头。Data Plane的异常往往是Control Plane决策滞后的下游表现。
2.2 三平面交互流程
一次典型的KMS原子提交，会依次穿越三个平面，形成完整的生命周期闭环：
- Management Plane 发起：运维人员通过Dashboard或API发起“密钥轮换提交”。
- Control Plane 协调：Controller接收请求，写入etcd，调度Data Plane执行。
- Data Plane 执行：Agent拉取最新密钥版本，完成加密/解密操作，上报执行结果。
- Management Plane 观测：Prometheus采集指标，Grafana展示状态，审计日志记录全链路。
关键交互协议： Control Plane与Data Plane之间通过gRPC双向流通信，确保状态变更实时推送；Management Plane通过RESTful API与Control Plane交互，通过指标端点与Data Plane交互。
2.3 三平面架构SVG图
2.4 平面间状态校验关键点
- Control Plane 状态一致性：etcd 中存储的“期望状态”必须与 Data Plane 上报的“实际状态”一致。不一致时触发自动修复或告警。
- Data Plane 心跳检测：每个 Agent 每 5 秒向 Control Plane 发送心跳，携带当前密钥版本号。连续 3 次心跳丢失，标记为“失联”。
- Management Plane 延迟监控：从提交到执行完成的端到端延迟，超过 30 秒触发 P1 告警。
常见故障模式： Control Plane 的 etcd 网络分区会导致所有平面状态校验失败，Data Plane 会因无法获取最新密钥而回退到旧版本，造成加密降级。此时 Management Plane 的告警风暴会掩盖根因。
2.5 原子提交中的平面交互时序
| 步骤 | 发起平面 | 接收平面 | 交互内容 | 超时阈值 |
|---|---|---|---|---|
| 1 | Management | Control | POST /v1/keys/rotate | 5s |
| 2 | Control | Control (etcd) | 写入新密钥版本 | 2s |
| 3 | Control | Data | gRPC Push 新密钥 | 10s |
| 4 | Data | Control | ACK + 状态上报 | 5s |
| 5 | Control | Management | 返回提交结果 | 3s |
排查口诀： “先看 etcd 后看 Agent，Management 做观测；gRPC 断流查证书，REST 超时查网络。” 掌握三平面交互的时序与超时阈值，能快速定位故障平面。