# 基础设施工程技能现代基础设施工程综合指南，涵盖 DevOps 实践、多云平台（AWS、Azure、GCP、Cloudflare）、FinOps 成本优化和 DevSecOps 安全实践。 ## 何时使用此技能在以下情况下使用此技能： * **DevOps** ：设置 CI/CD 管道（GitHub Actions、GitLab CI、Jenkins），实施 GitOps 工作流程（ArgoCD、Flux） * **AWS** ：部署到 EC2、Lambda、ECS、EKS、管理 S3、RDS、使用 CloudFormation/CDK * **Azure**：使用 Azure VM、应用服务、AKS、Azure Functions、存储帐户 * **GCP** ：管理计算引擎、GKE、Cloud Run、云存储、App Engine * **Cloudflare** ：部署 Workers、R2 存储、D1 数据库、Pages 应用程序 * **Kubernetes**：管理集群、部署、服务、入口、Helm 图表、操作员 * **Docker** ：容器化应用程序、多阶段构建、Docker Compose、注册表 * **FinOps** ：分析云成本、优化支出、预留实例、现货实例、调整规模 * **DevSecOps** ：安全扫描 (SAST/DAST)、漏洞管理、机密管理、合规性 * **IaC** ：Terraform、CloudFormation、Pulumi、配置管理 * **监控**：设置可观察性、日志记录、指标、警报、分布式跟踪 ## 平台选择指南 ### 何时使用 AWS **最适合：** * 大规模通用云计算 * 拥有200+服务的成熟生态系统 * 具有合规性要求的企业工作负载 * 与 AWS Outposts 的混合云 * 广泛的第三方集成 * 先进的网络和安全控制 **主要服务：** * EC2（虚拟机、灵活计算） * Lambda（无服务器函数，事件驱动） * ECS/EKS（容器编排） * S3（对象存储，行业标准） * RDS（托管关系数据库） * DynamoDB（NoSQL、全局表） * CloudFormation/CDK（基础设施即代码） * IAM（身份和访问管理） * VPC（虚拟私有云网络） **成本概况：** 即用即付、预留实例（高达 72% 的折扣）、储蓄计划、现货实例（高达 90% 的折扣） ### 何时使用 Azure **最适合：** * 以 Microsoft 为中心的组织（.NET、Active Directory） * 混合云场景（Azure Arc、Stack） * 与微软的企业协议 * Windows Server 和 SQL Server 工作负载 * 与 Microsoft 365 和 Dynamics 集成 * 强大的合规认证（90+认证） **主要服务：** * 虚拟机（Windows/Linux 计算） * 应用程序服务（Web 应用程序的 PaaS） * AKS（托管 Kubernetes） * Azure Functions（无服务器计算） * 存储帐户（Blob、文件、队列、表） * SQL 数据库（托管 SQL Server） * 活动目录（身份管理） * ARM 模板/Bicep（基础设施即代码） **成本概况：** 即用即付、预留实例、适用于 Windows/SQL Server 许可证的 Azure 混合权益 ### 何时使用 Cloudflare **最适合：** * 全球分布的边缘优先应用程序 * 超低延迟要求（<50ms） * 具有无服务器功能的静态站点 * 零出口成本场景（R2 存储） * WebSocket/实时应用程序（持久对象） * 边缘的人工智能/机器学习（工人人工智能） **主要产品：** * Workers（无服务器功能） * R2（对象存储，S3兼容） * D1（具有全局复制功能的SQLite数据库） * KV（键值存储） * 页面（静态托管+功能） * 持久对象（有状态计算） * 浏览器渲染（无头浏览器自动化） **成本概况：** 按请求付费、慷慨的免费套餐、零出口费用 ### 何时使用 Kubernetes **最适合：** * 大规模容器编排 * 具有10+服务的微服务架构 * 多云和混合部署 * 自我修复和自动扩展工作负载 * 复杂的部署策略（蓝/绿、金丝雀） * 服务网格架构（Istio、Linkerd） * 具有运营商的有状态应用程序 **主要特点：** * 声明式配置（YAML 清单） * 自动推出和回滚 * 服务发现和负载均衡 *自我修复（重新启动失败的容器） * 水平 Pod 自动缩放 * 秘密和配置管理 * 存储编排 * 批量作业执行 **托管选项：** EKS (AWS)、AKS (Azure)、GKE (GCP)、托管 k8s 提供商 **成本概况：** 集群管理费 + 节点成本（通过现货实例、集群自动扩展进行优化） ### 何时使用 Docker **最适合：** * 本地开发一致性 * 微服务架构 * 多语言栈应用 * 传统VPS/VM部署 * Kubernetes 工作负载的基础 * CI/CD 构建环境 * 数据库容器化（开发/测试） **关键能力：** * 应用程序隔离和可移植性 * 多阶段构建优化 * 用于多容器应用程序的 Docker Compose * 数据持久化的卷管理 * 网络配置和服务发现 * 跨平台兼容性（amd64、arm64） * BuildKit 可提高构建性能 **成本概况：** 仅基础设施成本（计算+存储），无编排开销 ### 何时使用 Google Cloud **最适合：** * 企业级应用 * 数据分析和机器学习管道（BigQuery、Vertex AI） * 混合/多云部署 * 大规模 Kubernetes (GKE) * 托管数据库（Cloud SQL、Firestore、Spanner） * 复杂的 IAM 和合规性要求 **主要服务：** * 计算引擎 (VM) * GKE（托管 Kubernetes） * Cloud Run（容器化无服务器） * 应用引擎（PaaS） * 云存储（对象存储） * Cloud SQL（托管数据库） **成本概况：** 不同的定价、持续使用折扣、承诺使用合同 ## 快速入门 ### AWS Lambda 函数 # 安装 AWS CLI 卷曲“https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip”-o“awscliv2.zip” 解压缩 awscliv2.zip && sudo ./aws/install # 配置凭据 AWS配置 # 使用 SAM 创建 Lambda 函数 sam init --运行时 python3.11 sam 构建 && sam 部署 --guided 请参阅：`references/aws-lambda.md` ### AWS EKS Kubernetes 集群 # 安装eksctl brew install eksctl # 或curl 下载 # 创建集群 eksctl 创建集群 \ --name 我的集群 \ --区域 us-west-2 \ --nodegroup-name 标准工作人员 \ --节点类型 t3.medium \ --节点 3 \ --节点最小值 1 \ --节点最大 4 请参阅：“references/kubernetes-basics.md” ### Azure 部署 # 安装 Azure CLI 卷曲-L https://aka.ms/InstallAzureCli |巴什 # 登录并创建资源登录 az group create --name myResourceGroup --location eastus az webapp create --resource-group myResourceGroup \ --name myapp --runtime "NODE:18-lts" 请参阅：“references/azure-basics.md” ### Cloudflare 工作人员 # 安装牧马人 CLI npm install -g 牧马人 # 创建并部署Worker 牧马人初始化我的工人 cd 我的工人牧马人部署请参阅：“references/cloudflare-workers-basics.md” ### Kubernetes 部署 # 创建部署 kubectl 创建部署 nginx --image=nginx:latest kubectl 公开部署 nginx --port=80 --type=LoadBalancer # 从清单申请 kubectl apply -f 部署.yaml # 检查状态 kubectl 获取 Pod、服务、部署请参阅：“references/kubernetes-basics.md” ### Docker 容器 # 创建 Dockerfile 猫 > Dockerfile < * **Azure 文档：** * **GCP 文档：** * **Cloudflare 文档：** ### 容器与编排 * **Docker 文档：** * **Kubernetes 文档：** * **头盔：** ### CI/CD 和 GitOps * **GitHub 操作：** * **GitLab CI：** * **ArgoCD：** * **通量：** ### 基础设施即代码 * **Terraform：** * **AWS CDK：** * **Pulumi：** ### 安全与合规性 * **OWASP：** * **CIS 基准：** * **HashiCorp Vault：** ### 财务运营和成本优化 * **FinOps 基金会：** * **AWS 成本优化：** * **Kubecost：** ## 实施清单 ### AWS Lambda 部署 * 安装AWS CLI和SAM CLI * 配置AWS凭证（访问密钥、秘密密钥） * 使用SAM模板创建Lambda函数 * 配置IAM角色和策略 * 使用“sam local invoke”进行本地测试 * 使用“sam部署”进行部署 * 设置CloudWatch监控和警报 ### AWS EKS Kubernetes 集群 * 安装 kubectl、eksctl、aws-cli * 配置AWS凭证 * 使用eksctl创建EKS集群 * 配置kubectl上下文 * 安装集群自动缩放器 * 设置 Helm 进行包管理 * 使用 kubectl/Helm 部署应用程序 * 配置入口控制器（ALB/NGINX） ### Azure 部署 * 安装 Azure CLI * 使用“az登录”登录 * 创建资源组 * 部署应用服务或AKS * 配置持续部署 * 使用 Application Insights 设置监控 ### 任何云上的 Kubernetes * 安装kubectl和helm * 连接到集群（更新 kubeconfig） * 为环境创建命名空间 * 应用RBAC策略 * 部署应用程序（部署、服务） * 配置外部访问的入口 * 设置监控（Prometheus、Grafana） * 使用 ArgoCD/Flux 实施 GitOps ### CI/CD 管道 (GitHub Actions) * 创建.github/workflows/deploy.yml * 配置机密（云凭证、API 密钥） * 添加构建和测试作业 * 添加容器构建并推送到注册表 * 添加部署作业到云平台 * 设置分支保护规则 * 启用状态检查和通知 ### FinOps 成本优化 * 实施资源标记策略 * 启用成本分配标签 * 设置预算提醒 * 分析资源利用率（CloudWatch、Azure Monitor） * 确定规模调整机会 * 为可预测的工作负载购买预留实例 * 配置自动伸缩和调度 * 定期成本审查和优化 ### DevSecOps 安全 * 添加 SAST 扫描到 CI/CD (SonarQube, Semgrep) * 添加依赖性扫描（Snyk、Trivy） * 实现容器镜像扫描 * 设置机密管理（Vault、云提供商） * 配置安全组和网络策略 * 启用审计日志记录 * 实施安全监控和警报 * 定期漏洞评估 ### Cloudflare 工作人员 * 安装牧马人 CLI * 创建工人项目 * 配置wrangler.toml（绑定、路由） * 使用 `wrangler dev` 进行本地测试 * 使用“wrangler部署”进行部署 ### 码头工人 * 使用多阶段构建编写 Dockerfile * 创建.dockerignore文件 * 本地测试构建 * 推送到注册表（ECR、ACR、GCR、Docker Hub） * 部署到目标平台

基础设施工程师

包含技能