Logo
阅读时间：1 分钟
0 字

部署架构 ​

部署采用共享控制平面和可隔离数据平面。九个服务是责任边界，实际环境可以合并低负载服务，但数据库所有权、身份和网络策略仍保持隔离。

目标拓扑 ​

mermaid
%%{init: {"flowchart": {"curve": "linear"}}}%%
flowchart TB
    U["用户 / 应用 / Agent"] --> G["入口网关"]
    G --> API["API 服务"]
    G --> MCP["MCP 服务"]
    API --> REG["Registry"]
    API --> RUN["Runtime"]
    API --> ACT["Actions"]
    MCP --> RUN
    MCP --> ACT
    RUN --> POL["Policy"]
    ACT --> POL
    RUN --> INT["Integration"]
    ACT --> INT
    INT --> SRC[("企业数据源")]
    CP["Control Plane"] --> API
    CP --> RUN
    LIN["Lineage / Evidence"] --- REG
    LIN --- RUN
    LIN --- ACT
    DB[("PostgreSQL")]
    OBJ[("对象存储")]
    REG --- DB
    ACT --- DB
    CP --- DB
    LIN --- DB
    LIN --- OBJ

环境 ​

开发、测试、预生产和生产使用独立租户、凭据、数据库和对象存储路径。禁止用生产凭据运行本地环境。测试环境需要可重置的模拟源系统和固定数据集，支持契约与端到端测试。

网络边界 ​

入口服务位于接入区；核心服务只接受内部身份流量；Integration 根据连接器访问企业数据区。数据库、对象存储和消息系统不暴露公网。服务间使用工作负载身份和加密通信，出站访问按连接器白名单限制。

数据部署 ​

首期可以共享 PostgreSQL 实例，但按服务使用独立数据库或 Schema、账号和迁移。服务禁止跨所有权查询表。对象存储按租户和数据类别设置加密、生命周期及访问策略。

发布策略 ​

构建物使用不可变版本和内容摘要。数据库迁移先验证向后兼容，再滚动发布服务；事件和 API 契约遵循兼容窗口。发布失败优先回滚应用版本，无法回滚的数据变化采用前向修复。模型发布与应用发布是两个独立流程。

扩缩容 ​

API、MCP 和无状态 Runtime 按请求量与延迟扩缩；Integration 按连接器和源端限流扩缩；Actions Worker 按队列和状态机负载扩缩；Lineage 消费者按事件滞后扩缩。扩容不能突破租户配额或源系统承载能力。