GKE Golden Path生产级 Autopilot 集群的推荐配置实践指南【免费下载链接】skillsAgent Skills for Google products and technologies项目地址: https://gitcode.com/GitHub_Trending/skills29/skillsGKE Golden Path黄金路径是当前仓库 skills29/skills 中为 Google Kubernetes EngineGKE生产集群定义的推荐默认配置基线它以 Autopilot 模式为核心将私有集群、Workload Identity、Secret Manager 轮换、Dataplane V2、全面监控等最佳实践固化为默认值。本文将以 gke-golden-path 技能 为主体结合仓库内的完整配置样例与配套技能文档系统讲解黄金路径的规则、默认配置、可调整项、落地命令与审计方法帮助读者设计、创建并校验一个符合生产就绪标准的 GKE Autopilot 集群。什么是 GKE Golden PathGolden Path 是仓库内gke-golden-path技能定义的推荐 Autopilot 生产集群配置。它的定位非常明确提供合理的默认值用户未明确指定时一律采用黄金路径取值允许有理由的偏离用户请求不同的配置时应用用户选择同时明确标注相关的安全或运维权衡trade-off贯穿集群生命周期从 Day-0 的网络与私有性决策到 Day-1 的监控、日志、升级策略均有对应默认值。该技能主要用于设计 GKE 集群、验证 GKE 生产就绪性、对照 GKE 默认值检查配置等场景而工作负载级自动扩缩容HPA/VPA 的具体配置不属于其职责应使用 gke-workload-scaling 技能。为什么默认 Autopilot黄金路径默认启用 Autopilotautopilot.enabled: true。根据 gke-basics 核心概念 的说明Autopilot 模式下 Google 负责节点的供应、扩缩容与安全加固团队按 Pod 资源请求付费无需任何节点级运维而 Standard 模式需要自行管理节点池、OS、机器类型与升级。仅当工作负载存在 Autopilot 无法满足的硬性需求时才应选择 Standard例如需要自定义节点 OS 内核参数sysctl需要自定义节点污点或特定硬件节点池DaemonSet 需要挂载宿主机文件系统的原始hostPath。从源码结构看这一选择规则被 gke-cluster-creation 技能 进一步固化黄金路径 Autopilot 配置是所有新集群的默认模板只有在客户提出具体需求时才切换到 Standard 或其他模板。黄金路径四大规则gke-golden-path技能将使用方式收敛为四条规则它们是所有后续决策的元规则默认走黄金路径除非用户明确要求否则使用黄金路径取值偏离时说明权衡但尊重用户最终选择。区分 Day-0 与 Day-1 决策网络、私有节点、子网、IP 分配等 Day-0 决策在集群创建后几乎无法更改必须显著标注并提前确认。工具偏好MCP gcloud kubectl优先使用 MCP 工具因为它直接以结构化数据对接 GKE API可减少 Shell 语法错误与解析歧义完整的能力矩阵与覆盖选项见 gke-basics 的 CLI 参考。若用户声明使用 gcloud或使用 kubectl则在本次会话内遵从。记录决策与理由尤其对 Day-0 选择与黄金路径偏离必须记录决策依据。工具偏好链与落地示例gke-basics 的 CLI 参考 给出了默认的偏好顺序与回退规则1. GKE MCP Tools 首选——结构化、可审计、无需 Shell 2. gcloud CLI 回退——当 MCP 未暴露该操作时 3. kubectl 回退——纯粹的集群内操作对应关系举例集群创建/查询用 MCP 的create_cluster/get_cluster回退gcloud container clusters create-auto/clusters describe而查看可用 K8s 版本、获取凭据、Cloud Logging 查询等操作只有 gcloud 或 kubectl 可实现。MCP 工具统一使用分层资源路径ProjectRegion: projects/{PROJECT}/locations/{REGION} Cluster: projects/{PROJECT}/locations/{REGION}/clusters/{CLUSTER} Node Pool: projects/{PROJECT}/locations/{REGION}/clusters/{CLUSTER}/nodePools/{POOL}必需输入Required Inputs在设计集群前需要收集以下输入用户不确定时一律使用黄金路径默认值输入项说明黄金路径默认Project IDGCP 项目标识必填—Region区域例如us-central1必填—Cluster name集群名称必填—Environment typedev/test 或 productionproductionNetworking自带 VPC/子网或自动创建auto-createScale expectations预期节点/Pod 数量、工作负载类型由黄金路径自动扩缩容覆盖Cost constraintsSpot VM 容忍度、预算考量默认不启用 Spot仓库 gke-cluster-creation 技能 的创建工作流进一步要求项目、区域、集群名缺失时必须询问创建前必须将完整配置块gcloud 命令或 MCP JSON 载荷呈现给用户确认。Always-Apply Defaults默认应用的黄金路径配置以下配置是默认无条件应用的最佳实践。若用户要求修改可应用新值但必须简要说明安全或运维上的权衡。配置项黄金路径取值autopilot.enabledtrueprivateClusterConfig.enablePrivateNodestruemasterAuthorizedNetworksConfig.privateEndpointEnforcementEnabledtruesecretManagerConfig.enabledrotationInterval: 120struerbacBindingConfig.enableInsecureBinding*false两者均禁用workloadIdentityConfig.workloadPool启用PROJECT_ID.svc.id.goognetworkConfig.datapathProviderADVANCED_DATAPATHnetworkConfig.dnsConfig.clusterDnsCLOUD_DNSautoscaling.autoscalingProfileOPTIMIZE_UTILIZATIONverticalPodAutoscaling.enabledtruemonitoringConfigcomponentsSYSTEM_COMPONENTS、STORAGE、POD、DEPLOYMENT、STATEFULSET、DAEMONSET、HPA、JOBSET、CADVISOR、KUBELET、DCGM、APISERVER、SCHEDULER、CONTROLLER_MANAGERloggingConfigcomponentsSYSTEM_COMPONENTS、WORKLOADS默认启用advancedDatapathObservabilityConfig.enableMetricstruenodeConfig.shieldedInstanceConfig.enableSecureBoottruenodeConfig.workloadMetadataConfig.modeGKE_METADATAnodeConfig.gcfsConfig.enabled/gvnic.enabledtrue/trueaddonsConfig.statefulHaConfig.enabledtrueStorage CSI driversFilestore、GCS FUSE、Parallelstore启用Pod Security Standards生产命名空间强制执行restricted逐项深度解读集群模式与扩缩容。autopilot.enabled: true意味着 Google 全托管节点autoscaling.autoscalingProfile: OPTIMIZE_UTILIZATION让节点自动扩缩容优先追求资源利用率最大化verticalPodAutoscaling.enabled: true允许 VPA 自动调整 Pod 的 CPU/内存请求与 gke-workload-scaling 技能 的右置化right-sizing工作流配合先以Off模式观察 24 小时以上再按目标值 × 1.2的缓冲比例应用新请求。网络与私密性。privateClusterConfig.enablePrivateNodes: true使节点无公网 IP缩小攻击面masterAuthorizedNetworksConfig.privateEndpointEnforcementEnabled: true强制控制平面只能通过私有端点或 DNS 端点访问networkConfig.datapathProvider: ADVANCED_DATAPATH即 Dataplane V2基于 eBPF自带 Network Policy 执行能力无需额外插件CLOUD_DNS提供比 kube-dns 更可靠、可管理的集群内 DNS。这些网络项在 gke-networking 技能 中被标注为Day-0 决策——创建后不可更改。身份与密钥。workloadIdentityConfig.workloadPoolPROJECT_ID.svc.id.goog使 Pod 通过 Workload Identity 联邦直接获得 GCP IAM 身份替代在 Pod 中挂载静态 Service Account 密钥——gke-basics 技能 明确要求绝不把原始 GSA JSON 密钥挂载进 Pod正确做法是在 Kubernetes ServiceAccount 上打注解metadata: annotations: iam.gke.io/gcp-service-account: GSA_NAMEPROJECT_ID.iam.gserviceaccount.comsecretManagerConfig将 Secret Manager 中的密钥同步到集群并每 120 秒轮换一次rbacBindingConfig的两个enableInsecureBinding*选项均设为false对应 gke-cluster-creation 中的--scoped-rbs-bindings落实最小权限 RBAC。节点安全加固。enableSecureBoot: trueSecure Boot、workloadMetadataConfig.mode: GKE_METADATAGKE 元数据服务器禁用节点上未认证的 GCE 元数据端点、gvnic.enabled: truegVNIC 虚拟网卡与gcfsConfig.enabled: trueGCFS 容器文件系统共同构成 Autopilot 节点层的加固组合Shielded NodesSecure Boot 完整性监控在 Autopilot 下由平台强制。可观测性。monitoringConfig默认采集 14 类组件指标从系统组件、存储、各工作负载类型到 DCGM GPU 指标与控制平面组件loggingConfig覆盖系统组件与工作负载日志advancedDatapathObservabilityConfig.enableMetrics: true打开 Dataplane V2 的可观测性指标含networkConfig.enableIntraNodeVisibility见 gke-networking 的 Day-1 项使节点内流量也可通过 VPC Flow Logs 观测。有状态与存储。statefulHaConfig.enabled: true为有状态应用提供高可用Filestore、GCS FUSE、Parallelstore 三套 CSI 驱动默认启用覆盖文件存储、对象存储挂载与并行文件系统场景。Customer-Configurable Settings允许偏离但需先确认的配置以下配置虽有黄金路径默认值但客户可在给出合理理由时偏离。修改前必须征询确认。配置项默认值偏离理由dnsEndpointConfig.allowExternalTraffictrue若集群仅从 VPC 内部访问可限制autoIpamConfig/createSubnetworktrue/true客户已有既有 VPC/子网maxPodsPerNode48高 Pod 密度场景用110代价是占用更多 CIDR 空间subnetwork自动创建客户自带既有子网Maintenance exclusion windows配置NO_MINOR_UPGRADES1 年客户特定的维护窗口排期nodeConfig.bootDisk.diskTypepd-balancedI/O 密集用pd-ssd成本敏感用pd-standardnodeConfig.machineTypeek-standard-8Autopilot因工作负载而异用 ComputeClasses 选择偏离场景示例自带网络BYO VPC/Subnet当客户已有网络基础设施时关闭createSubnetwork与autoIpamConfig改用 gke-networking 技能 提供的自带网络命令gcloud container clusters create-auto {cluster_name} \ --region {region} \ --network {vpc_name} \ --subnetwork {subnet_name} \ --cluster-secondary-range-name {pod_range} \ --services-secondary-range-name {svc_range} \ --enable-private-nodes \ --enable-master-authorized-networks \ --quiet注意 VPC、子网与 IP 范围在创建后无法更改属于典型 Day-0 决策。机器类型选择Autopilot 模式下节点配置机器类型、磁盘等由平台自动管理不直接在集群层面配置需要按工作负载选择机器族、GPU 或 Spot 策略时应使用 ComputeClassesgke-compute-classes 技能。该技能对生成的 YAML 有严格约束machineFamily字段旁必须注释对齐既有 CUD/预留、整数/布尔值不得加引号、不得虚构不存在的 schema 字段等。maxPodsPerNode 的 CIDR 影响根据 gke-networking 的 IP 规划maxPodsPerNode48时每个节点从 Pod CIDR 取/25128 个 IP提升到110则每节点取/24256 个 IP意味着同一 CIDR 能容纳的节点更少——这就是高密度需付出更多 CIDR 空间的量化含义。完整集群级配置golden-path-autopilot.yamlgke-golden-path技能将全部集群级策略沉淀为一份可直接对照的配置文件assets/golden-path-autopilot.yaml。该文件由gcloud container clusters describe导出内容精简而来只保留集群级策略决策Autopilot 会自动管理所有节点池与节点配置。完整内容如下含注释节选关键区块# --- Cluster Mode --- autopilot: enabled: true # --- Autoscaling --- autoscaling: autoscalingProfile: OPTIMIZE_UTILIZATION enableNodeAutoprovisioning: true resourceLimits: - maximum: 1000000000 resourceType: cpu - maximum: 1000000000 resourceType: memory - maximum: 1000000000 resourceType: nvidia-tesla-t4 - maximum: 1000000000 resourceType: nvidia-tesla-a100 # --- Security --- privateClusterConfig: enablePrivateNodes: true masterAuthorizedNetworksConfig: privateEndpointEnforcementEnabled: true rbacBindingConfig: enableInsecureBindingSystemAuthenticated: false enableInsecureBindingSystemUnauthenticated: false secretManagerConfig: enabled: true rotationConfig: enabled: true rotationInterval: 120s shieldedNodes: enabled: true workloadIdentityConfig: workloadPool: PROJECT_ID.svc.id.goog # --- Networking --- networkConfig: datapathProvider: ADVANCED_DATAPATH defaultEnablePrivateNodes: true dnsConfig: clusterDns: CLOUD_DNS clusterDnsDomain: cluster.local clusterDnsScope: CLUSTER_SCOPE enableIntraNodeVisibility: true gatewayApiConfig: channel: CHANNEL_STANDARD # --- IP Allocation --- ipAllocationPolicy: autoIpamConfig: enabled: true # Customer-configurable createSubnetwork: true # Customer-configurable stackType: IPV4 useIpAliases: true defaultMaxPodsConstraint: maxPodsPerNode: 48 # Customer-configurable (48 or 110) # --- Logging Monitoring --- loggingConfig: componentConfig: enableComponents: - SYSTEM_COMPONENTS - WORKLOADS monitoringConfig: advancedDatapathObservabilityConfig: enableMetrics: true componentConfig: enableComponents: - SYSTEM_COMPONENTS - STORAGE - POD - DEPLOYMENT - STATEFULSET - DAEMONSET - HPA - JOBSET - CADVISOR - KUBELET - DCGM - APISERVER - SCHEDULER - CONTROLLER_MANAGER managedPrometheusConfig: enabled: true # --- Maintenance Upgrades --- maintenancePolicy: window: maintenanceExclusions: blackout-1: maintenanceExclusionOptions: scope: NO_MINOR_UPGRADES # 1-year exclusion (configurable dates) releaseChannel: channel: REGULAR # --- Scaling --- verticalPodAutoscaling: enabled: true # --- Addons --- addonsConfig: gcpFilestoreCsiDriverConfig: { enabled: true } gcsFuseCsiDriverConfig: { enabled: true } parallelstoreCsiDriverConfig: { enabled: true } statefulHaConfig: { enabled: true } networkPolicyConfig: { disabled: true } kubernetesDashboard: { disabled: true }这份文件是仓库内黄金路径全貌的唯一权威来源与技能文档中的 Always-Apply 表格一一对应可作为gcloud container clusters describe输出或get_cluster审计结果的对拍基准。落地从配置到真实集群方式一MCPcreate_cluster推荐gke-cluster-creation 技能 提供黄金路径 Autopilot 的 MCP 载荷{ parent: projects/PROJECT_ID/locations/REGION, cluster: { name: CLUSTER_NAME, autopilot: { enabled: true }, privateClusterConfig: { enablePrivateNodes: true }, masterAuthorizedNetworksConfig: { privateEndpointEnforcementEnabled: true }, releaseChannel: { channel: REGULAR }, secretManagerConfig: { enabled: true, rotationConfig: { enabled: true, rotationInterval: 120s } }, rbacBindingConfig: { enableInsecureBindingSystemAuthenticated: false, enableInsecureBindingSystemUnauthenticated: false } } }注意cluster.name传短名称如my-cluster作用域由parent参数projects/PROJECT_ID/locations/REGION定义。创建后用get_operation跟踪进度用get_cluster(name..., readMask*)校验黄金路径设置是否全部生效。方式二gcloud CLI当 MCP 不可用或用户要求 CLI 时黄金路径 Autopilot 的等价命令为gcloud container clusters create-auto CLUSTER_NAME \ --region REGION \ --project PROJECT_ID \ --release-channel regular \ --enable-private-nodes \ --enable-master-authorized-networks \ --enable-dns-access \ --enable-secret-manager \ --secret-manager-rotation-interval120s \ --scoped-rbs-bindings \ --monitoringSYSTEM,API_SERVER,SCHEDULER,CONTROLLER_MANAGER,STORAGE,POD,DEPLOYMENT,STATEFULSET,DAEMONSET,HPA,CADVISOR,KUBELET,DCGM \ --quiet私有集群凭据获取黄金路径创建的是私有集群gke-networking 技能 给出两种访问方式# 经 DNS 端点访问黄金路径默认VPC 外可用 gcloud container clusters get-credentials {cluster_name} \ --region {region} --dns-endpoint --quiet # 经私有端点访问须在 VPC 内或经 VPN/Interconnect gcloud container clusters get-credentials {cluster_name} \ --region {region} --internal-ip --quietAutopilot 资源请求要点gke-basics 技能 特别提醒Autopilot 下 CPU 请求必须以250m0.25 vCPU为增量例如请求 300m 会被向上取整到 500m资源请求自动等于限制limit可省略limits让 Autopilot 按 requests 补齐默认值。Day-0 与 Day-1 决策清单黄金路径反复强调区分两类决策因为Day-0 决策创建后难以或无法修改。结合 gke-networking 技能 的标注汇总如下决策黄金路径取值阶段privateClusterConfig.enablePrivateNodestrueDay-0masterAuthorizedNetworksConfig.privateEndpointEnforcementEnabledtrueDay-0controlPlaneEndpointsConfig.dnsEndpointConfig.allowExternalTraffictrueDay-0networkConfig.datapathProviderADVANCED_DATAPATHDay-0networkConfig.dnsConfig.clusterDnsCLOUD_DNSDay-0ipAllocationPolicy.autoIpamConfig.enabled/createSubnetworktrue/trueDay-0defaultMaxPodsConstraint.maxPodsPerNode48Day-0networkConfig.enableIntraNodeVisibilitytrueDay-1监控/日志组件、VPA、升级通道黄金路径默认Day-1对 Day-0 决策技能要求在动手前主动提问澄清对 Day-1 特性则提出黄金路径默认值及权衡由客户确认。Guardrails交互与审计守则gke-golden-path技能定义了与用户协作时的行为边界这也是 Agent 使用本技能时的硬性约束绝不索取或输出密钥token、key、Service Account JSON自行发现上下文通过 MCP 工具或gcloud config get-value project获取项目/集群信息不要求用户粘贴 Project IDDay-0 决策先提问再继续执行Day-1 特性先给默认值与权衡由客户确认不承诺零停机应建议配置 PDB、健康探针、多副本与分批升级审计现有集群对照黄金路径逐项比对按严重程度报告偏离并给出修复建议。配套技能生态黄金路径并非孤立存在它与仓库内的其他 GKE 技能形成完整闭环gke-basicsAutopilot 与 Standard 选型规则、私有集群创建、Workload Identity、凭据获取gke-cluster-creation黄金路径模板Autopilot、Dev/Test 简化版、Standard 高可用版、GPU/AI 推理与 AI Hypercompute 模板gke-networking黄金路径网络默认值、私有集群访问、BYO VPC、IP 规划与出口Egress方案gke-workload-scalingHPA/VPA 工作流与右置化实践与黄金路径默认开启的 VPA 直接衔接gke-compute-classesAutopilot 下机器族、GPU、Spot 策略的声明式选择替代集群级节点配置gke-upgrades 等覆盖升级、可靠性、安全、成本等其他生命周期主题。总结GKE Golden Path 的价值在于把生产就绪从一份抽象清单变成一组可执行、可对拍、可审计的默认值Autopilot 托管节点、私有网络与 Dataplane V2、Workload Identity 与 Secret Manager 轮换、全面监控日志、VPA 与OPTIMIZE_UTILIZATION扩缩容、Pod Securityrestricted——全部固化在 golden-path-autopilot.yaml 中。使用时只需记住三条主线默认走黄金路径、Day-0 决策先确认、工具按 MCP gcloud kubectl 选择。无论通过 MCPcreate_cluster还是gcloudCLI 创建集群创建后都建议用get_cluster对照黄金路径配置逐项校验将偏离项按严重程度记录并补齐修复即可获得一个安全、可观测、可扩展的 GKE 生产集群。【免费下载链接】skillsAgent Skills for Google products and technologies项目地址: https://gitcode.com/GitHub_Trending/skills29/skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
GKE Golden Path生产级 Autopilot 集群的推荐配置实践指南【免费下载链接】skillsAgent Skills for Google products and technologies项目地址: https://gitcode.com/GitHub_Trending/skills29/skillsGKE Golden Path黄金路径是当前仓库 skills29/skills 中为 Google Kubernetes EngineGKE生产集群定义的推荐默认配置基线它以 Autopilot 模式为核心将私有集群、Workload Identity、Secret Manager 轮换、Dataplane V2、全面监控等最佳实践固化为默认值。本文将以 gke-golden-path 技能 为主体结合仓库内的完整配置样例与配套技能文档系统讲解黄金路径的规则、默认配置、可调整项、落地命令与审计方法帮助读者设计、创建并校验一个符合生产就绪标准的 GKE Autopilot 集群。什么是 GKE Golden PathGolden Path 是仓库内gke-golden-path技能定义的推荐 Autopilot 生产集群配置。它的定位非常明确提供合理的默认值用户未明确指定时一律采用黄金路径取值允许有理由的偏离用户请求不同的配置时应用用户选择同时明确标注相关的安全或运维权衡trade-off贯穿集群生命周期从 Day-0 的网络与私有性决策到 Day-1 的监控、日志、升级策略均有对应默认值。该技能主要用于设计 GKE 集群、验证 GKE 生产就绪性、对照 GKE 默认值检查配置等场景而工作负载级自动扩缩容HPA/VPA 的具体配置不属于其职责应使用 gke-workload-scaling 技能。为什么默认 Autopilot黄金路径默认启用 Autopilotautopilot.enabled: true。根据 gke-basics 核心概念 的说明Autopilot 模式下 Google 负责节点的供应、扩缩容与安全加固团队按 Pod 资源请求付费无需任何节点级运维而 Standard 模式需要自行管理节点池、OS、机器类型与升级。仅当工作负载存在 Autopilot 无法满足的硬性需求时才应选择 Standard例如需要自定义节点 OS 内核参数sysctl需要自定义节点污点或特定硬件节点池DaemonSet 需要挂载宿主机文件系统的原始hostPath。从源码结构看这一选择规则被 gke-cluster-creation 技能 进一步固化黄金路径 Autopilot 配置是所有新集群的默认模板只有在客户提出具体需求时才切换到 Standard 或其他模板。黄金路径四大规则gke-golden-path技能将使用方式收敛为四条规则它们是所有后续决策的元规则默认走黄金路径除非用户明确要求否则使用黄金路径取值偏离时说明权衡但尊重用户最终选择。区分 Day-0 与 Day-1 决策网络、私有节点、子网、IP 分配等 Day-0 决策在集群创建后几乎无法更改必须显著标注并提前确认。工具偏好MCP gcloud kubectl优先使用 MCP 工具因为它直接以结构化数据对接 GKE API可减少 Shell 语法错误与解析歧义完整的能力矩阵与覆盖选项见 gke-basics 的 CLI 参考。若用户声明使用 gcloud或使用 kubectl则在本次会话内遵从。记录决策与理由尤其对 Day-0 选择与黄金路径偏离必须记录决策依据。工具偏好链与落地示例gke-basics 的 CLI 参考 给出了默认的偏好顺序与回退规则1. GKE MCP Tools 首选——结构化、可审计、无需 Shell 2. gcloud CLI 回退——当 MCP 未暴露该操作时 3. kubectl 回退——纯粹的集群内操作对应关系举例集群创建/查询用 MCP 的create_cluster/get_cluster回退gcloud container clusters create-auto/clusters describe而查看可用 K8s 版本、获取凭据、Cloud Logging 查询等操作只有 gcloud 或 kubectl 可实现。MCP 工具统一使用分层资源路径ProjectRegion: projects/{PROJECT}/locations/{REGION} Cluster: projects/{PROJECT}/locations/{REGION}/clusters/{CLUSTER} Node Pool: projects/{PROJECT}/locations/{REGION}/clusters/{CLUSTER}/nodePools/{POOL}必需输入Required Inputs在设计集群前需要收集以下输入用户不确定时一律使用黄金路径默认值输入项说明黄金路径默认Project IDGCP 项目标识必填—Region区域例如us-central1必填—Cluster name集群名称必填—Environment typedev/test 或 productionproductionNetworking自带 VPC/子网或自动创建auto-createScale expectations预期节点/Pod 数量、工作负载类型由黄金路径自动扩缩容覆盖Cost constraintsSpot VM 容忍度、预算考量默认不启用 Spot仓库 gke-cluster-creation 技能 的创建工作流进一步要求项目、区域、集群名缺失时必须询问创建前必须将完整配置块gcloud 命令或 MCP JSON 载荷呈现给用户确认。Always-Apply Defaults默认应用的黄金路径配置以下配置是默认无条件应用的最佳实践。若用户要求修改可应用新值但必须简要说明安全或运维上的权衡。配置项黄金路径取值autopilot.enabledtrueprivateClusterConfig.enablePrivateNodestruemasterAuthorizedNetworksConfig.privateEndpointEnforcementEnabledtruesecretManagerConfig.enabledrotationInterval: 120struerbacBindingConfig.enableInsecureBinding*false两者均禁用workloadIdentityConfig.workloadPool启用PROJECT_ID.svc.id.goognetworkConfig.datapathProviderADVANCED_DATAPATHnetworkConfig.dnsConfig.clusterDnsCLOUD_DNSautoscaling.autoscalingProfileOPTIMIZE_UTILIZATIONverticalPodAutoscaling.enabledtruemonitoringConfigcomponentsSYSTEM_COMPONENTS、STORAGE、POD、DEPLOYMENT、STATEFULSET、DAEMONSET、HPA、JOBSET、CADVISOR、KUBELET、DCGM、APISERVER、SCHEDULER、CONTROLLER_MANAGERloggingConfigcomponentsSYSTEM_COMPONENTS、WORKLOADS默认启用advancedDatapathObservabilityConfig.enableMetricstruenodeConfig.shieldedInstanceConfig.enableSecureBoottruenodeConfig.workloadMetadataConfig.modeGKE_METADATAnodeConfig.gcfsConfig.enabled/gvnic.enabledtrue/trueaddonsConfig.statefulHaConfig.enabledtrueStorage CSI driversFilestore、GCS FUSE、Parallelstore启用Pod Security Standards生产命名空间强制执行restricted逐项深度解读集群模式与扩缩容。autopilot.enabled: true意味着 Google 全托管节点autoscaling.autoscalingProfile: OPTIMIZE_UTILIZATION让节点自动扩缩容优先追求资源利用率最大化verticalPodAutoscaling.enabled: true允许 VPA 自动调整 Pod 的 CPU/内存请求与 gke-workload-scaling 技能 的右置化right-sizing工作流配合先以Off模式观察 24 小时以上再按目标值 × 1.2的缓冲比例应用新请求。网络与私密性。privateClusterConfig.enablePrivateNodes: true使节点无公网 IP缩小攻击面masterAuthorizedNetworksConfig.privateEndpointEnforcementEnabled: true强制控制平面只能通过私有端点或 DNS 端点访问networkConfig.datapathProvider: ADVANCED_DATAPATH即 Dataplane V2基于 eBPF自带 Network Policy 执行能力无需额外插件CLOUD_DNS提供比 kube-dns 更可靠、可管理的集群内 DNS。这些网络项在 gke-networking 技能 中被标注为Day-0 决策——创建后不可更改。身份与密钥。workloadIdentityConfig.workloadPoolPROJECT_ID.svc.id.goog使 Pod 通过 Workload Identity 联邦直接获得 GCP IAM 身份替代在 Pod 中挂载静态 Service Account 密钥——gke-basics 技能 明确要求绝不把原始 GSA JSON 密钥挂载进 Pod正确做法是在 Kubernetes ServiceAccount 上打注解metadata: annotations: iam.gke.io/gcp-service-account: GSA_NAMEPROJECT_ID.iam.gserviceaccount.comsecretManagerConfig将 Secret Manager 中的密钥同步到集群并每 120 秒轮换一次rbacBindingConfig的两个enableInsecureBinding*选项均设为false对应 gke-cluster-creation 中的--scoped-rbs-bindings落实最小权限 RBAC。节点安全加固。enableSecureBoot: trueSecure Boot、workloadMetadataConfig.mode: GKE_METADATAGKE 元数据服务器禁用节点上未认证的 GCE 元数据端点、gvnic.enabled: truegVNIC 虚拟网卡与gcfsConfig.enabled: trueGCFS 容器文件系统共同构成 Autopilot 节点层的加固组合Shielded NodesSecure Boot 完整性监控在 Autopilot 下由平台强制。可观测性。monitoringConfig默认采集 14 类组件指标从系统组件、存储、各工作负载类型到 DCGM GPU 指标与控制平面组件loggingConfig覆盖系统组件与工作负载日志advancedDatapathObservabilityConfig.enableMetrics: true打开 Dataplane V2 的可观测性指标含networkConfig.enableIntraNodeVisibility见 gke-networking 的 Day-1 项使节点内流量也可通过 VPC Flow Logs 观测。有状态与存储。statefulHaConfig.enabled: true为有状态应用提供高可用Filestore、GCS FUSE、Parallelstore 三套 CSI 驱动默认启用覆盖文件存储、对象存储挂载与并行文件系统场景。Customer-Configurable Settings允许偏离但需先确认的配置以下配置虽有黄金路径默认值但客户可在给出合理理由时偏离。修改前必须征询确认。配置项默认值偏离理由dnsEndpointConfig.allowExternalTraffictrue若集群仅从 VPC 内部访问可限制autoIpamConfig/createSubnetworktrue/true客户已有既有 VPC/子网maxPodsPerNode48高 Pod 密度场景用110代价是占用更多 CIDR 空间subnetwork自动创建客户自带既有子网Maintenance exclusion windows配置NO_MINOR_UPGRADES1 年客户特定的维护窗口排期nodeConfig.bootDisk.diskTypepd-balancedI/O 密集用pd-ssd成本敏感用pd-standardnodeConfig.machineTypeek-standard-8Autopilot因工作负载而异用 ComputeClasses 选择偏离场景示例自带网络BYO VPC/Subnet当客户已有网络基础设施时关闭createSubnetwork与autoIpamConfig改用 gke-networking 技能 提供的自带网络命令gcloud container clusters create-auto {cluster_name} \ --region {region} \ --network {vpc_name} \ --subnetwork {subnet_name} \ --cluster-secondary-range-name {pod_range} \ --services-secondary-range-name {svc_range} \ --enable-private-nodes \ --enable-master-authorized-networks \ --quiet注意 VPC、子网与 IP 范围在创建后无法更改属于典型 Day-0 决策。机器类型选择Autopilot 模式下节点配置机器类型、磁盘等由平台自动管理不直接在集群层面配置需要按工作负载选择机器族、GPU 或 Spot 策略时应使用 ComputeClassesgke-compute-classes 技能。该技能对生成的 YAML 有严格约束machineFamily字段旁必须注释对齐既有 CUD/预留、整数/布尔值不得加引号、不得虚构不存在的 schema 字段等。maxPodsPerNode 的 CIDR 影响根据 gke-networking 的 IP 规划maxPodsPerNode48时每个节点从 Pod CIDR 取/25128 个 IP提升到110则每节点取/24256 个 IP意味着同一 CIDR 能容纳的节点更少——这就是高密度需付出更多 CIDR 空间的量化含义。完整集群级配置golden-path-autopilot.yamlgke-golden-path技能将全部集群级策略沉淀为一份可直接对照的配置文件assets/golden-path-autopilot.yaml。该文件由gcloud container clusters describe导出内容精简而来只保留集群级策略决策Autopilot 会自动管理所有节点池与节点配置。完整内容如下含注释节选关键区块# --- Cluster Mode --- autopilot: enabled: true # --- Autoscaling --- autoscaling: autoscalingProfile: OPTIMIZE_UTILIZATION enableNodeAutoprovisioning: true resourceLimits: - maximum: 1000000000 resourceType: cpu - maximum: 1000000000 resourceType: memory - maximum: 1000000000 resourceType: nvidia-tesla-t4 - maximum: 1000000000 resourceType: nvidia-tesla-a100 # --- Security --- privateClusterConfig: enablePrivateNodes: true masterAuthorizedNetworksConfig: privateEndpointEnforcementEnabled: true rbacBindingConfig: enableInsecureBindingSystemAuthenticated: false enableInsecureBindingSystemUnauthenticated: false secretManagerConfig: enabled: true rotationConfig: enabled: true rotationInterval: 120s shieldedNodes: enabled: true workloadIdentityConfig: workloadPool: PROJECT_ID.svc.id.goog # --- Networking --- networkConfig: datapathProvider: ADVANCED_DATAPATH defaultEnablePrivateNodes: true dnsConfig: clusterDns: CLOUD_DNS clusterDnsDomain: cluster.local clusterDnsScope: CLUSTER_SCOPE enableIntraNodeVisibility: true gatewayApiConfig: channel: CHANNEL_STANDARD # --- IP Allocation --- ipAllocationPolicy: autoIpamConfig: enabled: true # Customer-configurable createSubnetwork: true # Customer-configurable stackType: IPV4 useIpAliases: true defaultMaxPodsConstraint: maxPodsPerNode: 48 # Customer-configurable (48 or 110) # --- Logging Monitoring --- loggingConfig: componentConfig: enableComponents: - SYSTEM_COMPONENTS - WORKLOADS monitoringConfig: advancedDatapathObservabilityConfig: enableMetrics: true componentConfig: enableComponents: - SYSTEM_COMPONENTS - STORAGE - POD - DEPLOYMENT - STATEFULSET - DAEMONSET - HPA - JOBSET - CADVISOR - KUBELET - DCGM - APISERVER - SCHEDULER - CONTROLLER_MANAGER managedPrometheusConfig: enabled: true # --- Maintenance Upgrades --- maintenancePolicy: window: maintenanceExclusions: blackout-1: maintenanceExclusionOptions: scope: NO_MINOR_UPGRADES # 1-year exclusion (configurable dates) releaseChannel: channel: REGULAR # --- Scaling --- verticalPodAutoscaling: enabled: true # --- Addons --- addonsConfig: gcpFilestoreCsiDriverConfig: { enabled: true } gcsFuseCsiDriverConfig: { enabled: true } parallelstoreCsiDriverConfig: { enabled: true } statefulHaConfig: { enabled: true } networkPolicyConfig: { disabled: true } kubernetesDashboard: { disabled: true }这份文件是仓库内黄金路径全貌的唯一权威来源与技能文档中的 Always-Apply 表格一一对应可作为gcloud container clusters describe输出或get_cluster审计结果的对拍基准。落地从配置到真实集群方式一MCPcreate_cluster推荐gke-cluster-creation 技能 提供黄金路径 Autopilot 的 MCP 载荷{ parent: projects/PROJECT_ID/locations/REGION, cluster: { name: CLUSTER_NAME, autopilot: { enabled: true }, privateClusterConfig: { enablePrivateNodes: true }, masterAuthorizedNetworksConfig: { privateEndpointEnforcementEnabled: true }, releaseChannel: { channel: REGULAR }, secretManagerConfig: { enabled: true, rotationConfig: { enabled: true, rotationInterval: 120s } }, rbacBindingConfig: { enableInsecureBindingSystemAuthenticated: false, enableInsecureBindingSystemUnauthenticated: false } } }注意cluster.name传短名称如my-cluster作用域由parent参数projects/PROJECT_ID/locations/REGION定义。创建后用get_operation跟踪进度用get_cluster(name..., readMask*)校验黄金路径设置是否全部生效。方式二gcloud CLI当 MCP 不可用或用户要求 CLI 时黄金路径 Autopilot 的等价命令为gcloud container clusters create-auto CLUSTER_NAME \ --region REGION \ --project PROJECT_ID \ --release-channel regular \ --enable-private-nodes \ --enable-master-authorized-networks \ --enable-dns-access \ --enable-secret-manager \ --secret-manager-rotation-interval120s \ --scoped-rbs-bindings \ --monitoringSYSTEM,API_SERVER,SCHEDULER,CONTROLLER_MANAGER,STORAGE,POD,DEPLOYMENT,STATEFULSET,DAEMONSET,HPA,CADVISOR,KUBELET,DCGM \ --quiet私有集群凭据获取黄金路径创建的是私有集群gke-networking 技能 给出两种访问方式# 经 DNS 端点访问黄金路径默认VPC 外可用 gcloud container clusters get-credentials {cluster_name} \ --region {region} --dns-endpoint --quiet # 经私有端点访问须在 VPC 内或经 VPN/Interconnect gcloud container clusters get-credentials {cluster_name} \ --region {region} --internal-ip --quietAutopilot 资源请求要点gke-basics 技能 特别提醒Autopilot 下 CPU 请求必须以250m0.25 vCPU为增量例如请求 300m 会被向上取整到 500m资源请求自动等于限制limit可省略limits让 Autopilot 按 requests 补齐默认值。Day-0 与 Day-1 决策清单黄金路径反复强调区分两类决策因为Day-0 决策创建后难以或无法修改。结合 gke-networking 技能 的标注汇总如下决策黄金路径取值阶段privateClusterConfig.enablePrivateNodestrueDay-0masterAuthorizedNetworksConfig.privateEndpointEnforcementEnabledtrueDay-0controlPlaneEndpointsConfig.dnsEndpointConfig.allowExternalTraffictrueDay-0networkConfig.datapathProviderADVANCED_DATAPATHDay-0networkConfig.dnsConfig.clusterDnsCLOUD_DNSDay-0ipAllocationPolicy.autoIpamConfig.enabled/createSubnetworktrue/trueDay-0defaultMaxPodsConstraint.maxPodsPerNode48Day-0networkConfig.enableIntraNodeVisibilitytrueDay-1监控/日志组件、VPA、升级通道黄金路径默认Day-1对 Day-0 决策技能要求在动手前主动提问澄清对 Day-1 特性则提出黄金路径默认值及权衡由客户确认。Guardrails交互与审计守则gke-golden-path技能定义了与用户协作时的行为边界这也是 Agent 使用本技能时的硬性约束绝不索取或输出密钥token、key、Service Account JSON自行发现上下文通过 MCP 工具或gcloud config get-value project获取项目/集群信息不要求用户粘贴 Project IDDay-0 决策先提问再继续执行Day-1 特性先给默认值与权衡由客户确认不承诺零停机应建议配置 PDB、健康探针、多副本与分批升级审计现有集群对照黄金路径逐项比对按严重程度报告偏离并给出修复建议。配套技能生态黄金路径并非孤立存在它与仓库内的其他 GKE 技能形成完整闭环gke-basicsAutopilot 与 Standard 选型规则、私有集群创建、Workload Identity、凭据获取gke-cluster-creation黄金路径模板Autopilot、Dev/Test 简化版、Standard 高可用版、GPU/AI 推理与 AI Hypercompute 模板gke-networking黄金路径网络默认值、私有集群访问、BYO VPC、IP 规划与出口Egress方案gke-workload-scalingHPA/VPA 工作流与右置化实践与黄金路径默认开启的 VPA 直接衔接gke-compute-classesAutopilot 下机器族、GPU、Spot 策略的声明式选择替代集群级节点配置gke-upgrades 等覆盖升级、可靠性、安全、成本等其他生命周期主题。总结GKE Golden Path 的价值在于把生产就绪从一份抽象清单变成一组可执行、可对拍、可审计的默认值Autopilot 托管节点、私有网络与 Dataplane V2、Workload Identity 与 Secret Manager 轮换、全面监控日志、VPA 与OPTIMIZE_UTILIZATION扩缩容、Pod Securityrestricted——全部固化在 golden-path-autopilot.yaml 中。使用时只需记住三条主线默认走黄金路径、Day-0 决策先确认、工具按 MCP gcloud kubectl 选择。无论通过 MCPcreate_cluster还是gcloudCLI 创建集群创建后都建议用get_cluster对照黄金路径配置逐项校验将偏离项按严重程度记录并补齐修复即可获得一个安全、可观测、可扩展的 GKE 生产集群。【免费下载链接】skillsAgent Skills for Google products and technologies项目地址: https://gitcode.com/GitHub_Trending/skills29/skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
