GCP - Hilt Documentation

Hilt 作为单租户平台部署在您自己的 GCP 项目中。GKE 集群运行采集、富化和仪表板；主机上的采集器将遥测写入集群内 Kafka；ClickHouse Cloud（GCP）作为分析库；Cloud SQL Postgres 保存仪表板认证。产品镜像从 Hilt 的 Artifact Registry 拉取。客户遥测始终留在您的项目内。

服务

服务	角色
GKE	托管 Kubernetes，运行采集、富化、仪表板和集群内 Kafka
集群内 Kafka（KRaft）	采集器与富化之间的事件流
ClickHouse Cloud（GCP）	分析数据库（v1 经 Cloud NAT 公网；后续 Private Service Connect）
Cloud SQL（PostgreSQL 15）	仪表板认证库（私有 IP）
Cloud Storage	应用配置（自动更新开关）和 Terraform 状态
Artifact Registry	工作负载拉取 Hilt 发布镜像（`us-central1-docker.pkg.dev/hilt-release/hilt`）
Certificate Manager	GKE HTTPS Gateway 的 TLS（`{name}.hilt.ai`）
Cloud NAT	镜像拉取和 ClickHouse Cloud 出站

网络拓扑

您提供已有 VPC 和至少两个私有子网
采集器通过 HTTPS Gateway 访问 {name}-ingest.hilt.ai 和 {name}-edr.hilt.ai
仪表板位于 https://{name}.hilt.ai
Workload Identity 将 GKE 服务账号绑定到 Google 服务账号（无 JSON 密钥）
出站经 Cloud NAT 拉取 GAR 并访问 ClickHouse Cloud；节点无公网 IP

镜像交付

Hilt 将产品镜像发布到 hilt-release 项目中的 Artifact Registry：

us-central1-docker.pkg.dev/hilt-release/hilt/<service>:<tag>

Hilt 在登记项目时授予节点服务账号（hilt-gke-nodes@PROJECT）和自动更新服务账号 roles/artifactregistry.reader。Pod 直接拉取这些镜像；客户侧 Artifact Registry 镜像为可选项。执行 apply 所用的安装器镜像为：

us-central1-docker.pkg.dev/hilt-release/hilt/hilt-deploy:main

预配

Hilt 通过 hilt-deploy（cloud: gcp）用 Terraform 预配数据面：

您提供 GCP 项目、VPC、两个私有子网以及 ClickHouse Cloud GCP 主机名
Hilt 在 dns-broker 上登记项目（*.hilt.ai）并授予 GAR 拉取权限
hilt-deploy apply 创建 GKE、Cloud SQL、Kafka、Gateway 和工作负载
Certificate Manager 变为 ACTIVE 后，HTTPS Gateway 对外提供仪表板和采集入口
按照 Linux 和 macOS 采集器指南将采集器部署到主机

首次 apply 可在证书签发前仅使用 HTTP 负载均衡（enable_https_frontends: false）；生产环境会打开 HTTPS。

v1 范围

GCP v1 路径不包含（与安装器功能开关一致）：

TRACE ML 分类（enable_classification）
托管 Kafka（默认集群内 KRaft；OAUTHBEARER 托管 Kafka 为后续工作）
Prime-usage / fleet-digest / agent-download（AWS 控制面存储桶）
Client VPN（使用 IAP 或 dashboard_ingress_cidr_blocks）