维度企业做法我们评价部署凭据OIDC 联合身份无长期密钥长期 ed25519 forced command⚠️ 落后但裸 VPS无 IAM 可联合镜像引用digest 钉死digest 钉死✅ 很多团队还在部署 :latest镜像可信cosign 签名 SLSA 溯源 准入控制拒绝未签名仅 Trivy 扫描❌ 最值得补的一项密钥管理Vault / Secrets Manager可轮换可审计服务器上一个 600 的明文文件❌ 最弱环节审批变更管理 职责分离作者不能批自己的必需审批人同一人单人项目的固有限制发布策略金丝雀/蓝绿 SLO 自动回滚up -d 硬切换单节点单用户金丝雀无意义版本可追溯部署标记打进 APM构建→标签→healthz→metrics→部署后核验✅ 比多数小团队做得好数据库迁移独立步骤 expand-contract容器启动时 alembic upgrade head❌ 公认反模式裸VPS是什么文章目录裸 VPSBare VPS裸 VPSBare VPS就是你直接从云厂商Vultr、Hetzner、DigitalOcean、阿里云 ECS 等租的一台虚拟机。你得到的是一个 IP 地址root SSH 登录权限一块磁盘、一些 CPU/内存你没有的是云厂商的身份与权限管理系统IAM托管的密钥管理服务与 CI/CD 平台的原生集成任何平台级别的安全基础设施它就是一台远程的 Linux 机器和你自己在机房里插网线的一台物理机在安全模型上没本质区别——认证完全靠 SSH 密钥或密码没有更高层的身份抽象。对比 Kubernetes 集群环境云厂商托管的 K8sEKS / GKE / AKS天然接入了云平台的 IAM 系统可以玩后面说的联合身份。裸 VPS 没有这层东西。