> ## Documentation Index
> Fetch the complete documentation index at: https://hilt.ai/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# 阿里云

> Hilt 在阿里云上的单租户部署架构与预配。

Hilt 作为单租户平台部署在您自己的阿里云账户中。由托管 ACK 集群运行采集接入、富化、分类和仪表板等平台工作负载；部署在您主机上的采集器通过 HTTPS 将遥测数据发送到 `{name}-ingest.hilt.ai` 和 `{name}-edr.hilt.ai`，再写入 Message Queue for Apache Kafka；ClickHouse Cloud 是分析数据库；ApsaraDB RDS（PostgreSQL）保存仪表板认证数据。产品镜像通过短期跨账号凭证从 Hilt 的容器镜像服务（ACR 企业版）拉取。所有客户遥测数据都保留在您的账户内。

***

## 服务

| 服务 | 角色 |
| :- | :- |
| ACK | 托管 Kubernetes，运行所有平台服务（采集接入、富化、分类、仪表板） |
| Message Queue for Apache Kafka | 接入与富化之间的事件流处理（专业版，云存储 Topic） |
| ClickHouse Cloud | 分析数据库，通过您的 NAT 网关经公网访问 |
| ApsaraDB RDS (PostgreSQL) | 仪表板认证/HITL 数据库（仅私网地址） |
| OSS | Terraform 远程状态、应用配置及数据导出暂存 |
| NAT 网关 + EIP | 拉取镜像和访问 ClickHouse Cloud 的出站路径 |
| 负载均衡之后的 nginx ingress | `{name}.hilt.ai`（仪表板）、`{name}-ingest.hilt.ai` 和 `{name}-edr.hilt.ai` 的 HTTPS 入口 |
| KMS | 自动生成的数据库与管理员密钥 |
| Hilt ACR 企业版 | 产品镜像，跨账号拉取（`hilt-release-registry.ap-southeast-1.cr.aliyuncs.com/hilt`） |
| NAS（文件存储 NAS） | 本地 ML 模型工件存储的共享 RWX 卷（可选） |

***

## 网络拓扑

* 您提供已有的 VPC，至少包含两个位于不同可用区的私有 VSwitch
* VPC 需要为这些 VSwitch 配置带 SNAT 的 NAT 网关。如果没有，请设置 `create_nat: true`，由堆栈创建并管理
* 采集器通过 HTTPS 访问 `{name}-ingest.hilt.ai` 和 `{name}-edr.hilt.ai`；仪表板地址为 `https://{name}.hilt.ai`
* `dashboard_ingress_cidr_blocks` 限制可访问仪表板的来源；`ingest_internal`、`dashboard_internal` 和 `edr_collector_internal` 可让对应端点只使用私网地址
* 使用 RAM 角色和 RRSA（服务账户 RAM 角色）进行 Pod 级身份验证
* 出站互联网访问通过 NAT 网关，用于拉取镜像和访问 ClickHouse Cloud
* 可选 DashScope PrivateLink 用于私有 LLM 推理

***

## 功能

| 功能 | 描述 |
| :- | :- |
| 富化管道 | Kafka 消费者将富化的遥测数据写入 ClickHouse，支持 GNN 边 |
| ML 分类 | 异常检测评分，自动漂移监控（每 6 小时 CronJob） |
| 本地 ML 训练 | 可选的自主 TRACE 模型再训练，使用 NAS 支持的工件存储 |
| 数据导出 | 定时匿名数据导出到 OSS，带管理员审批工作流 |
| 可观测性 | 集群内 Prometheus 和 Grafana 用于平台指标 |
| 仪表板 | 前端、后端和查询服务，通过 ingress 基于路径路由 |
| 自动扩缩容 | 富化的 HPA（CPU/内存目标），可配置最小/最大副本数 |

***

## 开始之前

| 项目 | 说明 |
| :- | :- |
| 账号就绪 | 新的阿里云账号必须先在控制台完成账号基本信息，并一次性开通下列服务。否则调用会失败并返回 `BASIC_INFO_UNCOMPLETED` 或 `UserDisable`，通常最先出现在 OSS。 |
| 需开通的服务 | OSS、ACK、RDS、Message Queue for Apache Kafka、NLB、ALB、NAT 网关 / EIP、KMS、RAM |
| RAM 身份 | RAM 用户或扮演角色，**不能**使用主账号登录。首次部署时需要对上述服务有较广的权限。 |
| 网络 | VPC，至少两个位于不同可用区的私有 VSwitch |
| ClickHouse Cloud | 可通过互联网访问的服务；由您提供主机名和密码 |
| 登记 | Hilt 在 dns-broker（`*.hilt.ai`）登记您的账号 ID 和部署名称，并授予您的账号拉取 Hilt 镜像仓库的权限 |

***

## 镜像交付

Hilt 将产品镜像发布到 Hilt 发布账号下的 ACR 企业版：

```text theme={null}
hilt-release-registry.ap-southeast-1.cr.aliyuncs.com/hilt/<service>:<tag>
```

Hilt 登记您的账号时，会允许您的账号扮演 `hilt-acr-customer-pull` 角色。您集群中的 ACK ACR 凭证助手通过 RRSA 扮演该角色，并为工作负载服务账户附加拉取密钥；不会存储静态的镜像仓库密码。您也可以选择使用自己的 ACR 镜像仓库（个人版）。

流水线运行所用的安装器镜像从 Hilt 的共享镜像仓库拉取；具体地址请见入门包 README。

***

## 预配

Hilt 通过 `hilt-deploy`（`cloud: alibaba`）使用 Terraform 预配数据平面，并在您自己环境中的 GitLab 流水线里运行：

1. 您提供账号、VPC、两个私有 VSwitch 和 ClickHouse Cloud 主机名；Hilt 登记账号和部署名称
2. 您将阿里云入门包导入新的 GitLab 项目，添加 CI 变量并填写 `values.json`
3. 流水线自动运行 `preflight`（RAM 身份、镜像仓库访问、登记、网络约束），然后手动执行 `plan` 和 `apply`
4. `apply` 创建 ACK、RDS、Kafka、负载均衡和工作负载，发布公网 DNS 记录，在集群内应用 ClickHouse 与 Postgres 架构，并运行健康检查
5. 按照 [Linux](https://hilt.ai/docs/linux-collector/layout.md) 和 [macOS](https://hilt.ai/docs/macos-collector/layout.md) 采集器指南将采集器部署到您的主机上

### 首次 apply 的预期表现

* 从零开始的 apply 大约需要 40 到 60 分钟
* 可以安全地重新执行 `apply`。全新集群上某个早期步骤可能失败一次（节点池与插件的时序，或 ingress 准入 Webhook 尚未就绪），重试后即可成功
* 在拉取密钥生成之前启动的 Pod 会短暂显示 `ImagePullBackOff`，之后会自行恢复
* 公网 TLS（通过 dns-broker 使用 Let's Encrypt）为尽力而为。如果无法签发证书，apply 仍会完成，ingress 使用自签名证书，健康检查会将 HTTPS 项报告为失败。原因解决后重新执行 `apply`。遇到这种情况请联系 Hilt


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.