阿里云 - Hilt Documentation

Hilt 作为单租户平台部署在您自己的阿里云账户中。由托管 ACK 集群运行采集接入、富化、分类和仪表板等平台工作负载；部署在您主机上的采集器通过 HTTPS 将遥测数据发送到 {name}-ingest.hilt.ai 和 {name}-edr.hilt.ai，再写入 Message Queue for Apache Kafka；ClickHouse Cloud 是分析数据库；ApsaraDB RDS（PostgreSQL）保存仪表板认证数据。产品镜像通过短期跨账号凭证从 Hilt 的容器镜像服务（ACR 企业版）拉取。所有客户遥测数据都保留在您的账户内。

服务

服务	角色
ACK	托管 Kubernetes，运行所有平台服务（采集接入、富化、分类、仪表板）
Message Queue for Apache Kafka	接入与富化之间的事件流处理（专业版，云存储 Topic）
ClickHouse Cloud	分析数据库，通过您的 NAT 网关经公网访问
ApsaraDB RDS (PostgreSQL)	仪表板认证/HITL 数据库（仅私网地址）
OSS	Terraform 远程状态、应用配置及数据导出暂存
NAT 网关 + EIP	拉取镜像和访问 ClickHouse Cloud 的出站路径
负载均衡之后的 nginx ingress	`{name}.hilt.ai`（仪表板）、`{name}-ingest.hilt.ai` 和 `{name}-edr.hilt.ai` 的 HTTPS 入口
KMS	自动生成的数据库与管理员密钥
Hilt ACR 企业版	产品镜像，跨账号拉取（`hilt-release-registry.ap-southeast-1.cr.aliyuncs.com/hilt`）
NAS（文件存储 NAS）	本地 ML 模型工件存储的共享 RWX 卷（可选）

网络拓扑

您提供已有的 VPC，至少包含两个位于不同可用区的私有 VSwitch
VPC 需要为这些 VSwitch 配置带 SNAT 的 NAT 网关。如果没有，请设置 create_nat: true，由堆栈创建并管理
采集器通过 HTTPS 访问 {name}-ingest.hilt.ai 和 {name}-edr.hilt.ai；仪表板地址为 https://{name}.hilt.ai
dashboard_ingress_cidr_blocks 限制可访问仪表板的来源；ingest_internal、dashboard_internal 和 edr_collector_internal 可让对应端点只使用私网地址
使用 RAM 角色和 RRSA（服务账户 RAM 角色）进行 Pod 级身份验证
出站互联网访问通过 NAT 网关，用于拉取镜像和访问 ClickHouse Cloud
可选 DashScope PrivateLink 用于私有 LLM 推理

功能

功能	描述
富化管道	Kafka 消费者将富化的遥测数据写入 ClickHouse，支持 GNN 边
ML 分类	异常检测评分，自动漂移监控（每 6 小时 CronJob）
本地 ML 训练	可选的自主 TRACE 模型再训练，使用 NAS 支持的工件存储
数据导出	定时匿名数据导出到 OSS，带管理员审批工作流
可观测性	集群内 Prometheus 和 Grafana 用于平台指标
仪表板	前端、后端和查询服务，通过 ingress 基于路径路由
自动扩缩容	富化的 HPA（CPU/内存目标），可配置最小/最大副本数

开始之前

项目	说明
账号就绪	新的阿里云账号必须先在控制台完成账号基本信息，并一次性开通下列服务。否则调用会失败并返回 `BASIC_INFO_UNCOMPLETED` 或 `UserDisable`，通常最先出现在 OSS。
需开通的服务	OSS、ACK、RDS、Message Queue for Apache Kafka、NLB、ALB、NAT 网关 / EIP、KMS、RAM
RAM 身份	RAM 用户或扮演角色，不能使用主账号登录。首次部署时需要对上述服务有较广的权限。
网络	VPC，至少两个位于不同可用区的私有 VSwitch
ClickHouse Cloud	可通过互联网访问的服务；由您提供主机名和密码
登记	Hilt 在 dns-broker（`*.hilt.ai`）登记您的账号 ID 和部署名称，并授予您的账号拉取 Hilt 镜像仓库的权限

镜像交付

Hilt 将产品镜像发布到 Hilt 发布账号下的 ACR 企业版：

hilt-release-registry.ap-southeast-1.cr.aliyuncs.com/hilt/<service>:<tag>

Hilt 登记您的账号时，会允许您的账号扮演 hilt-acr-customer-pull 角色。您集群中的 ACK ACR 凭证助手通过 RRSA 扮演该角色，并为工作负载服务账户附加拉取密钥；不会存储静态的镜像仓库密码。您也可以选择使用自己的 ACR 镜像仓库（个人版）。流水线运行所用的安装器镜像从 Hilt 的共享镜像仓库拉取；具体地址请见入门包 README。

预配

Hilt 通过 hilt-deploy（cloud: alibaba）使用 Terraform 预配数据平面，并在您自己环境中的 GitLab 流水线里运行：

您提供账号、VPC、两个私有 VSwitch 和 ClickHouse Cloud 主机名；Hilt 登记账号和部署名称
您将阿里云入门包导入新的 GitLab 项目，添加 CI 变量并填写 values.json
流水线自动运行 preflight（RAM 身份、镜像仓库访问、登记、网络约束），然后手动执行 plan 和 apply
apply 创建 ACK、RDS、Kafka、负载均衡和工作负载，发布公网 DNS 记录，在集群内应用 ClickHouse 与 Postgres 架构，并运行健康检查
按照 Linux 和 macOS 采集器指南将采集器部署到您的主机上

首次 apply 的预期表现

从零开始的 apply 大约需要 40 到 60 分钟
可以安全地重新执行 apply。全新集群上某个早期步骤可能失败一次（节点池与插件的时序，或 ingress 准入 Webhook 尚未就绪），重试后即可成功
在拉取密钥生成之前启动的 Pod 会短暂显示 ImagePullBackOff，之后会自行恢复
公网 TLS（通过 dns-broker 使用 Let’s Encrypt）为尽力而为。如果无法签发证书，apply 仍会完成，ingress 使用自签名证书，健康检查会将 HTTPS 项报告为失败。原因解决后重新执行 apply。遇到这种情况请联系 Hilt