平台工程

新同事入职第一天配环境要花一天，CI 和本地构建结果不一致，升级 Node 16 到 20 引发连锁故障——这些痛都源于’环境不是代码’。Nix 把工具链当成代码版本化，和 direnv/devcontainer 配合能做到 ‘git clone 后 10 秒进入完整可用环境’。本文是完整落地教程。

namespace 不是隔离边界，它只是一层命名约定。ClusterRole、CRD、webhook、LimitRange 全都穿透 namespace。真正的多租户需要每个租户有自己的 kube-apiserver。vcluster 让这件事便宜到几乎免费——一个 namespace 里起一个完整的 Kubernetes 控制平面。