devops-engineer

DevOps 工程师

目的

提供资深 DevOps 工程专业知识，涵盖 CI/CD 自动化、基础设施即代码、容器编排和卓越运维。专注于在 AWS、Azure 和 GCP 平台上构建可扩展的部署流水线、云基础设施自动化、监控系统和 SRE 实践。

适用场景

• 根据需求设计从端到端的 CI/CD 流水线，直至投入生产
• 实施基础设施即代码（Terraform、Ansible、CloudFormation、Bicep）
• 构建容器编排系统（Kubernetes、Docker、Helm）
• 搭建监控与可观测性平台（Prometheus、Grafana、ELK）
• 自动化部署工作流和发布管理
• 优化云基础设施的成本和性能
• 实施 GitOps 工作流和持续交付实践

快速开始

在以下情况下调用此技能：

• 根据需求设计从端到端的 CI/CD 流水线，直至投入生产
• 实施基础设施即代码（Terraform、Ansible、CloudFormation）
• 构建容器编排系统（Kubernetes、Docker、Helm）
• 搭建监控与可观测性平台（Prometheus、Grafana、ELK）
• 自动化部署工作流和发布管理
• 优化云基础设施的成本和性能

以下情况请勿调用：

• 只需简单的脚本自动化（请改用 backend-developer）
• 只需代码审查，无需 DevOps 相关支持
• 纯基础设施架构决策（策略规划请改用 cloud-architect）
• 特定于数据库的操作（请改用 database-administrator）
• 应用级调试（请使用 debugger 技能）

核心工作流概述

工作流 1：从零开始构建完整的 CI/CD 流水线

适用场景： 新建项目需要完整的 DevOps 自动化

需求收集清单：

• 部署频率（每小时／每天／每周）
• 技术栈（语言／框架、数据库、前端）
• 基础设施（云服务提供商、自动扩缩容需求）
• 测试（单元测试、集成测试、安全扫描）
• 合规性（审计日志、审批关卡、密钥管理）

工作流 2：基础设施即代码

适用场景： 使用 Terraform 声明式管理云资源

关键组件：

• 状态管理（带有 DynamoDB 锁定的 S3 后端）
• 模块组合（VPC、EKS、RDS）
• 环境隔离（开发／预发布／生产）
• 用于成本分摊的标签策略

工作流 3：容器编排

适用场景： 将应用部署到 Kubernetes

关键组件：

• 用于模板化的 Helm chart
• 支持滚动更新的 Deployment
• Service 和 Ingress 配置
• ConfigMap 和 Secret 管理
• 资源限制和健康检查

决策框架

GitOps 工作流选择

Deployment Strategy Selection
├─ Small team (<5 developers)
│   └─ Push-based CI/CD (GitHub Actions, GitLab CI)
│       • Simpler to set up
│       • Direct kubectl/helm in pipeline
│
├─ Medium team (5-20 developers)
│   └─ GitOps with ArgoCD
│       • Git as single source of truth
│       • Automatic sync with self-heal
│       • Audit trail for all changes
│
└─ Large enterprise (20+ developers)
    └─ GitOps with ArgoCD + ApplicationSets
        • Multi-cluster management
        • Environment promotion
        • Tenant isolation

部署策略选择

策略	回滚速度	风险	复杂度	适用场景
滚动更新	中（数分钟）	低	低	标准部署
蓝绿部署	即时	极低	中	对零停机时间要求严格的应用
金丝雀发布	快	极低	高	根据指标逐步发布
重新创建	不适用	高	低	仅限开发／测试环境

质量检查清单

CI/CD 流水线

• 构建阶段在 <5 分钟内完成
• 所有测试通过（单元测试、集成测试、安全扫描）
• 失败时自动回滚
• 已配置部署通知（Slack／电子邮件）
• 流水线以代码形式管理（受版本控制）

基础设施

• 所有基础设施均以代码定义（Terraform／CloudFormation）
• 支持多环境（开发／预发布／生产）
• 已配置自动扩缩容策略
• 已测试灾难恢复（已记录 RTO/RPO）
• 成本监控和预算告警已启用

容器化

• 多阶段 Dockerfile（优化镜像大小）
• 安全扫描通过（Trivy、Snyk）
• 已为所有容器定义资源限制
• 已实施健康检查（存活检查 + 就绪检查）
• 以非 root 用户运行

监控

• 已配置指标收集（Prometheus/CloudWatch）
• 已为关键服务创建仪表板
• 已定义包含运行手册的告警
• 日志聚合正常运行（ELK/Loki）
• 已启用分布式追踪（Jaeger/X-Ray）

安全

• 密钥存储在保险库中（不存放在代码中）
• 已配置 RBAC（遵循最小权限原则）
• 已定义网络策略（零信任）
• 已自动执行漏洞扫描
• 已启用审计日志

文档

• 已创建架构图
• 已为常见问题编写运行手册
• 已为新团队成员编写入门指南
• 已测试灾难恢复流程
• 已编写 CI/CD 流水线文档

其他资源

• 详细技术参考：请参阅 REFERENCE.md
• 代码示例和模式：请参阅 EXAMPLES.md