> ## Documentation Index
> Fetch the complete documentation index at: https://hilt.ai/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# GCP

> Hilt 在 GCP 上的单租户部署架构与预配。

Hilt 作为单租户平台部署在您自己的 GCP 项目中。GKE 集群运行采集、富化和仪表板；主机上的采集器将遥测写入集群内 Kafka；ClickHouse Cloud（GCP）作为分析库；Cloud SQL Postgres 保存仪表板认证。产品镜像从 Hilt 的 Artifact Registry 拉取。客户遥测始终留在您的项目内。

***

## 服务

| 服务 | 角色 |
| :- | :- |
| GKE | 托管 Kubernetes，运行采集、富化、仪表板和集群内 Kafka |
| 集群内 Kafka（KRaft） | 采集器与富化之间的事件流 |
| ClickHouse Cloud（GCP） | 分析数据库（v1 经 Cloud NAT 公网；后续 Private Service Connect） |
| Cloud SQL（PostgreSQL 15） | 仪表板认证库（私有 IP） |
| Cloud Storage | 应用配置（自动更新开关）和 Terraform 状态 |
| Artifact Registry | 工作负载拉取 Hilt 发布镜像（`us-central1-docker.pkg.dev/hilt-release/hilt`） |
| Certificate Manager | GKE HTTPS Gateway 的 TLS（`{name}.hilt.ai`） |
| Cloud NAT | 镜像拉取和 ClickHouse Cloud 出站 |

***

## 网络拓扑

* 您提供已有 VPC 和至少两个私有子网
* 采集器通过 HTTPS Gateway 访问 `{name}-ingest.hilt.ai` 和 `{name}-edr.hilt.ai`
* 仪表板位于 `https://{name}.hilt.ai`
* Workload Identity 将 GKE 服务账号绑定到 Google 服务账号（无 JSON 密钥）
* 出站经 Cloud NAT 拉取 GAR 并访问 ClickHouse Cloud；节点无公网 IP

***

## 镜像交付

Hilt 将产品镜像发布到 `hilt-release` 项目中的 Artifact Registry：

```text theme={null}
us-central1-docker.pkg.dev/hilt-release/hilt/<service>:<tag>
```

Hilt 在登记项目时授予节点服务账号（`hilt-gke-nodes@PROJECT`）和自动更新服务账号 `roles/artifactregistry.reader`。Pod 直接拉取这些镜像；客户侧 Artifact Registry 镜像为可选项。

执行 apply 所用的安装器镜像为：

```text theme={null}
us-central1-docker.pkg.dev/hilt-release/hilt/hilt-deploy:main
```

***

## 预配

Hilt 通过 `hilt-deploy`（`cloud: gcp`）用 Terraform 预配数据面：

1. 您提供 GCP 项目、VPC、两个私有子网以及 ClickHouse Cloud GCP 主机名
2. Hilt 在 dns-broker 上登记项目（`*.hilt.ai`）并授予 GAR 拉取权限
3. `hilt-deploy apply` 创建 GKE、Cloud SQL、Kafka、Gateway 和工作负载
4. Certificate Manager 变为 ACTIVE 后，HTTPS Gateway 对外提供仪表板和采集入口
5. 按照 [Linux](https://hilt.ai/docs/linux-collector/layout.md) 和 [macOS](https://hilt.ai/docs/macos-collector/layout.md) 采集器指南将采集器部署到主机

首次 apply 可在证书签发前仅使用 HTTP 负载均衡（`enable_https_frontends: false`）；生产环境会打开 HTTPS。

***

## v1 范围

GCP v1 路径不包含（与安装器功能开关一致）：

* TRACE ML 分类（`enable_classification`）
* 托管 Kafka（默认集群内 KRaft；OAUTHBEARER 托管 Kafka 为后续工作）
* Prime-usage / fleet-digest / agent-download（AWS 控制面存储桶）
* Client VPN（使用 IAP 或 `dashboard_ingress_cidr_blocks`）


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.