fix(platform-infra): split D601 from NC01 cluster

2026-07-20 09:50:06 +02:00
parent 4912abe5de
commit d3972699b0
10 changed files with 328 additions and 34 deletions
@@ -374,6 +374,18 @@ bun scripts/cli.ts hwlab nodes control-plane legacy-cicd --help
    - 验收统一走 `platform-infra k3s-cluster registry-smoke`，不手工 patch Caddy 或 containerd。
  - worker 安装使用短启动并由 control-plane Node Ready 轮询收口，禁止让 `trans`/SSH 长挂等待 systemd notify。
  - worker 加入集群不改变 PaC consumer 的 source commit authority，也不授权人工 PipelineRun、Argo sync 或业务 rollout。
+  - NC01 与 D601 是永久分离的调度域：
+    - `config/platform-infra/k3s-clusters.yaml` 必须保持
+      `topologyMode=separated`，D601 只作为独立单节点 k3s 集群存在；
+    - CI/CD、PaC、Tekton、Argo、GitOps、VM bootstrap 和业务 renderer
+      禁止把 D601 注册为 NC01 agent，禁止恢复跨地域 WireGuard peer，
+      禁止把 NC01 workload、DaemonSet 或 namespace 默认复制到 D601；
+    - 拆分和验收只走
+      `platform-infra k3s-cluster separate|status|smoke`；
+    - 跨地域 artifact 传输使用鉴权、只读的公网 HTTPS registry，
+      不得通过 Kubernetes Pod 网络、Service、DNS 或 VXLAN；
+    - 如未来确需跨地域计算，必须建立独立 workload 级交付规格并显式选择
+      D601 集群，不得通过重新组成单一集群获得隐式调度。
 - 长命令用异步 job 或短轮询；不要长时间挂住 trans/ssh。
 - Web 哨兵 YAML cadence 变更不新增发布 orchestrator：提交前用 `web-probe sentinel validate --local`；合并后用只读 `web-probe sentinel control-plane status --wait`。线上 desired schedule 必须来自 GitOps 清单，不能用操作者旧 worktree 的本地渲染值做阻塞门禁；收敛差异统一为非阻塞 warning。