Kubernetes Operator 不是基础设施自动化的银弹，因其仅管理集群内资源，无法直接创建云厂商基础设施；应优先选用 Terraform 或 Crossplane，Operator 仅宜作为调用云 SDK 的代理层。

为什么 Kubernetes Operator 不是基础设施自动化的银弹

Operator 模式在 Go 语言云原生生态中被高估了——它适合管理有状态应用（如 etcd、Prometheus），但不直接解决底层基础设施（VM、网络策略、存储卷供给、IAM 权限）的声明式编排。Operator 本质是 CustomResourceDefinition + controller-runtime 控制循环，它依赖集群内已有资源（Pod、Service、Secret）运作，无法跨云创建 AWS EC2 实例或 Azure VNet。

• 真正需要基础设施自动化时，优先考虑 Terraform（用 terraform-provider-kubernetes 可桥接集群内资源）或 Crossplane（原生支持 Go 编写的 Composition 和 Provider）
• 若坚持用 Go 写 Operator 管理基础设施，请确保它只作为“代理层”：Operator 调用云厂商 SDK（如 aws-sdk-go-v2）执行动作，并将状态同步回 status 字段，而非自己实现幂等性逻辑
• 常见错误：把 Reconcile 函数写成“创建-检查-重试”三步硬编码流程，导致状态漂移；正确做法是每次 Reconcile 都调用云 API 获取真实状态，再比对 spec 做最小差异更新

用 Go 直接调用云 API 时如何避免凭据硬编码和权限爆炸

硬编码 AWS_ACCESS_KEY_ID 或把 ~/.aws/credentials 挂进 Pod 是典型反模式。Kubernetes 中最安全的做法是使用 IRSA（IAM Roles for Service Accounts）+ Web Identity Token，让 Go 程序通过 sts.AssumeRoleWithWebIdentity 获取临时凭证。

• Go SDK 初始化必须显式配置 config.WithCredentialsProvider，否则默认走环境变量或共享配置文件，绕过 IRSA
• 示例初始化方式：

cfg, err := config.LoadDefaultConfig(context.TODO(),
    config.WithRegion("us-west-2"),
    config.WithCredentialsProvider(credentials.NewWebIdentityRoleProvider(
        sts.NewFromConfig(cfg),
        "arn:aws:iam::123456789012:role/my-operator-role",
        func(o *stscreds.WebIdentityRoleOptions) {
            o.RoleSessionName = "operator-session"
            o.WebIdentityTokenFilePath = "/var/run/secrets/eks.amazonaws.com/serviceaccount/token"
        },
    )),
)

• 权限最小化：Operator 的 IAM Role 只应允许操作目标资源（如仅 ec2:RunInstances + ec2:DescribeInstances），禁止 iam:* 或 ec2:*
• 本地开发调试时，用 aws configure --profile local-dev + config.WithSharedConfigProfile("local-dev") 隔离测试凭据

Infrastructure-as-Code 在 Go 中的轻量替代：Pulumi Go SDK vs. 自研 DSL

当团队不愿引入 Terraform HCL 或觉得 Crossplane 太重，Pulumi 的 Go SDK 是更自然的选择——它让你用纯 Go 定义基础设施，同时保留类型安全和 IDE 支持。

• Pulumi Go 代码不是“生成模板”，而是直接调用底层 provider（如 pulumi_aws）的 gRPC 接口，状态存储在 backend（S3 + DynamoDB），与 Terraform 兼容
• 不要试图用 text/template 或 map[string]interface{} 手搓 DSL：缺乏类型校验、IDE 无法跳转、错误在运行时才暴露（比如拼错 instance_type 成 instance_typee）
• 关键区别：Terraform 用 state 文件做 diff，Pulumi 用 Go 对象的内存结构做 diff；这意味着你可以在 main.go 中加 if env == "prod" { instanceType = "m5.2xlarge" }，而不用写两套 tfvars
• 注意 Pulumi 的 StackReference 不能跨语言引用，Go Stack 引用另一个 Go Stack 没问题，但不能引用 Python Stack 输出的 output

如何让 Go 编写的基础设施控制器支持多租户隔离

单集群多租户场景下，不能靠 Namespace 隔离基础设施资源（比如不同租户的 RDS 实例都属于 AWS 账户全局），必须在 Controller 层做显式租户识别和授权。

立即学习“go语言免费学习笔记（深入）”；

• 租户标识来源只能是 CRD 的 spec.tenantID 或 label（如 tenant: acme-corp），绝不能从请求上下文或 Pod 标签推断——后者不可审计且易伪造
• 每个租户对应独立的云账号或 IAM Role，Go 控制器需按 tenantID 动态加载不同 config.Config（例如从 Vault 获取对应租户的 aws_access_key）
• CRD 必须加准入校验（ValidatingAdmissionPolicy）：拒绝 tenantID 不在白名单中的对象；同时加 ownerReferences 关联租户命名空间，防止非管理员用户创建资源
• 日志和 metrics 必须打标 tenant_id，否则排查时无法区分是哪个租户触发了 DescribeDBClusters 调用失败

基础设施自动化最难的从来不是写 Go 代码，而是定义清楚“谁有权申请什么资源、在什么条件下、产生什么成本”。Operator 或 Pulumi 都只是执行层，真正的约束必须落在 RBAC、准入控制和账单维度上。