集装箱化和编排

1）为什么在iGaming容器和k8s

更改速度：可预测的图像,单个CI/CD管道。
可持续性：自动重启，水平滑冰，自旋爬坡。
数据隔离/区域隔离：管辖范围内的neimspace/群集。
运营标准：资源策略，单个逻辑/度量/跟踪。

不需要时：小团队，2-3服务，稀有版本-从PaaS/模块化整体开始。

2）图像和注册表（OCI/Docker）

2.1映像组装-原理

多阶段：bold → rantime（细微的基本图像"distroless"，"alpine"谨慎）。
可重复性：在BuildKit 中捕获/sha 256、"COPY -chown"、"-mount=type=cache"版本。
SBOM和签名："cosign sign/verify"，"slsa provenance"，政策"仅签名"。
Slim-down：删除dev-tools,包括"USER nonroot"、"readOnlyRootFilesystem"。

Dockerfile示例。js)

dockerfile build
FROM node:22-bookworm AS build
WORKDIR /app
COPY package. json./
RUN npm ci --omit=dev
COPY..
RUN npm run build

runtime (distroless)
FROM gcr. io/distroless/nodejs22
WORKDIR /srv
COPY --from=build /app/dist./dist
COPY --from=build /app/node_modules./node_modules
USER 10001
ENV NODE_ENV=production
CMD ["dist/server. js"]

2.2名册和政策

私人registry+geo复制品（EU/NA）可降低潜伏期和GDPR合规性。
Retention/immutability：禁止覆盖标签,在PoP中加热缓存。
管理控制：仅限签名/扫描纯映像（cosign+Trivy/Grype）。

3）管弦乐队： 基本的Kubernetes模式

3.1个原语

部署是无状态服务（大厅，API）。
StatefulSet是钱包/队列/存储（虚名、稳定卷）。
DaemonSet-逻辑代理/网络组件。
Job/CronJob-迁移，报告，ETL。

3.2资源和QoS

指定"requests/limits" （CPU/Memory） → QoS类和可预测的调度。
Burstable仅在有意识的地方；关键的是保证。
将关键的支付POD放在专用池上（taints/tolerations, node-affinity）。

3.3可持续性和发布

Probes："startup"，"liveness"，"readiness"（带有时间表和时期）。

Rollout: `maxSurge/maxUnavailable`, canary через вес в Ingress/Gateway/Service Mesh.

PDB (PodDisruptionBudget) + graceful shutdown (PreStop hook, `terminationGracePeriodSeconds`).

升级时为Drain/cordon。

4）网络： CNI，服务，输入流量

4.1个CNI层

Calico/Cilium/Weave是用于性能的eBPF网络策略（NetworkPolicy）。
神经间规则：最低要求的egress/ingress。

4.2服务和登录

Service: `ClusterIP/NodePort/LoadBalancer`.

L7的Ingress或Gateway API：路径/头/主机，TLS，金丝雀重量。
集群内的mTLS：通过服务mesh （Istio/Linkerd）-拦截TLS和策略。

HTTPRoute示例（网关API,金丝雀重量）

yaml apiVersion: gateway. networking. k8s. io/v1 kind: HTTPRoute spec:
rules:
- backendRefs:
- name: lobby-v1 weight: 90 port: 8080
- name: lobby-v2 weight: 10 port: 8080

5）存储： CSI/PV/PVC,卷类

提供商的CSI驱动程序（EBS/PD/Premium SSD）+带有性能设置的"storageClass"。
用于Sharing的RWX （NFS/FSx/Filestore）-注意锁定。
Backup/restore： Velero/Kasten、周期性快照、恢复检查。
加密：磁盘级别和DB级别（KMS）。

6）自动缩放： HPA/VPA/KEDA

HPA（根据CPU/RAM/定制度标准-RPS，p95）：用于API/游说。
VPA（指南/汽车）-用于稳定操作员。
KEDA（事件驱动）-按队列Kafka/SQS/Redis, Cron-shedula进行缩放。
Cluster Autoscaler-负载节点；高峰的warm池（比赛/流）。

7） Mesh服务（视需要）

mTLS/ servis↔servis政策，身份授权（SPIFFE）。
电路断路器/定时/复出，outlier-ejection，镜像（影子）。
开箱即用的电视度量：单一度量和轨迹。
在需要精简流量管理（支付、游戏提供商）的地方使用。

8）安全： 秘密，政策，合规性

保密：外部经理（AWS/GCP/Azure KMS，外部保密），轮换。
策略即代码：OPA/Gatekeeper/Kyverno-禁令"：最新"，root-USER，hostPath，特权。
权利升级：Namespaces+RBAC，Dev/Stage/Prod拆分，审核。
Image Security： CI/CD中的扫描,签名（cosign）,签名管理。
内部的mTLS和JWT（mesh），入口处的WAF/Rate-limit（Ingress/Gateway）。

9）可观察性和SLO

Metrics: Prometheus/OpenTelemetry, p50/95/99, 4xx/5xx, saturations.

Logs：结构JSON → Loki/Elastic，PII/PAN/IBAN掩码。
Traces：OTLP → Tempo/Jaeger；"trace_id"来自网关。
SLO：例如，'Deposit p 95 ≤ 300 ms，success ≥ 98。5%',alerta burn-rate。
主动性：按服务/按路线行驶，通过DLQ和队列阵列的看门狗。

10) CI/CD, Helm, GitOps

CI：linters，测试（单位/合同/集成），SAST/DAST，SBOM。
Helm/Jsonnet/Kustomize：环境中带有"价值"的声明性图表。
GitOps （ArgoCD/Flux）：单个来源的真相,公关评论清单,滚回按钮。
策略：蓝绿色，金丝雀，阴影；模式迁移-扩展和合同。

values片段。yaml（资源/样本）

yaml resources:
requests: { cpu: "200m", memory: "256Mi" }
limits:  { cpu: "500m", memory: "512Mi" }
livenessProbe: { httpGet: { path: /healthz, port: 8080 }, initialDelaySeconds: 20, periodSeconds: 10 }
readinessProbe: { httpGet: { path: /readyz, port: 8080 }, initialDelaySeconds: 5, periodSeconds: 5 }

11）规划和隔离

NodePools：将付款/钱包拆分为"低噪音"快速磁盘节点。
Taints/Tolerations：用于临界负载的安全池。
（Anti-）Affinity：在区域/节点（HA）上涂抹副本。
ResourceQuota/LimitRange for neimspace-防止"噪音邻居"。

12） Multiclaster,多区域,DR

按司法管辖区划分：欧盟/LatAm/ROW集群；居民数据是本地数据。
入口处的GSLB/Anycast，先验可观察性和异常值。

• Warm standby（推荐）：关键数据库的合成复制品,定期故障检查。
• 主动读取/区域路由。
• 备份：备份（Velero），重建恢复。

13） iGaming特点

付款/钱包： p95 ≤ 300-500毫秒，单独的池和严格的PDB；canary 1→5→10%.

大厅/内容：激进的HPA RPS/INP,变暖映像/矢量凯什。
Live games/strims： LC/minimum retrais、长套接字定时器、粘合。
合规性：强硬政策的neimspace，通过KMS的秘密，Helm版本更改的审核。
负责任的游戏：限制/锁定服务-优先流量（通过策略失败打开/关闭）。

14）支票单

在发布服务之前

• 多阶段映像、USER nonroot、cosign签名、扫描通过。
• 来自外部经理的Requests/limits, probes, env/secret。

[] PDB, `maxUnavailable ≤ 1`, graceful shutdown.

• SLO/Alerts，从网关到DB的跟踪。
• 金丝雀计划和回滚计划。
• OPA/Kyverno策略通过（no root，no hostPath，no：latest）。

集群/平台

• 包括CNI和NetworkPolicy；mTLS （mesh）在哪里需要。
• StorageClass/重建,备份/还原验证。
• HPA/VPA/KEDA定制；Cluster Autoscaler и warm-pool.
• RBAC最低，审计包括在内，秘密来自KMS。
• GitOps：存储库中的图表/清单,PR审查是必需的。

15）反模式

"最新"映像，根用户，"厚"基层。
没有'requests/limits' → evicia/trottling。
Readiness=liveness（重新开始）。
在单个池上混合statful/stateless，而无需触摸。
"正面"迁移方案，而无需扩展和合同。
唯一没有区域隔离的"进入所有市场"集群。
使用PII/PAN的逻辑，ConfigMap中的秘密。
缺少PDB/阻力 →尖峰和升级中的悬崖。

16）平台度量（最低）

Кластер: CPU/mem requests vs allocatable, pod-churn, node-pressure.

网络：p95 per-route，4xx/5xx，reset/timeout，retry-rate，mTLS错误。
存储：IOPS/latency, queue-depth, CSI错误。
自动轨道：HPA决定，CA事件，热身时间。
业务：TTP，TtW，FTD-success，供应商付款拒绝。
安全：OPA不一致，未签名的图像，过期的秘密。

17）宣言示例

部署（API，金丝雀标签）

yaml apiVersion: apps/v1 kind: Deployment metadata: { name: wallet-api, labels: { app: wallet, track: stable } }
spec:
replicas: 4 strategy: { type: RollingUpdate, rollingUpdate: { maxSurge: 1, maxUnavailable: 1 } }
selector: { matchLabels: { app: wallet, track: stable } }
template:
metadata: { labels: { app: wallet, track: stable } }
spec:
serviceAccountName: wallet-sa containers:
- name: api image: registry. local/wallet/api@sha256:...
ports: [{ containerPort: 8080 }]
resources:
requests: { cpu: "250m", memory: "256Mi" }
limits:  { cpu: "500m", memory: "512Mi" }
readinessProbe: { httpGet: { path: /readyz, port: 8080 }, periodSeconds: 5 }
livenessProbe: { httpGet: { path: /healthz, port: 8080 }, initialDelaySeconds: 20 }
securityContext:
runAsNonRoot: true readOnlyRootFilesystem: true

PDB（钱包）

yaml apiVersion: policy/v1 kind: PodDisruptionBudget spec:
minAvailable: 3 selector: { matchLabels: { app: wallet } }

HPA（通过RPS通过custom-metrics）

yaml apiVersion: autoscaling/v2 kind: HorizontalPodAutoscaler spec:
minReplicas: 4 maxReplicas: 40 metrics:
- type: Pods pods:
metric:
name: http_requests_per_second target:
type: AverageValue averageValue: "50"

18）实施过程（冲刺）

1.映像构建和安全：多阶段、SBOM、签名、管理策略。
2.基本平台k8s：CNI，Ingress/Gateway，监视/识别/跟踪以及StorageClass。
3.CI/CD和GitOps：Helm图表，环境，canary/rollback，图形迁移。
4.滑板和弹性：HPA/VPA/KEDA，PDB，node池，taints/affinity，DR计划。

最终的spargalka

微妙、签名的映像+公差策略=安全基础。
样本，资源，PDB，drain=发行版的可持续性。
HPA/VPA/KEDA+调谐池=没有缩放的比例。
Gateway/Ingress+mTLS/OPA=安全周长和内部通信。
Observability+SLO+GitOps=托管更改。
区域隔离和DR=合规性和容错性。