运维YAML如何版本控制

在运维（DevOps / SRE）场景下，YAML 的版本控制不仅仅是“丢进 Git”，而是要建立一套可审计、可回滚、可追溯、可协作的管理机制。下面从原则 → 工具 → 实践 → 示例四个层面系统说明。

一、核心原则

1. YAML 即代码（YaML as Code）
   • 所有配置（K8s、CI、监控、网关、Ansible）都进版本库
2. 单一事实来源（Single Source of Truth）
   • 不在服务器上手工改 YAML
3. 环境分离
   • 不同环境用不同路径或分支，不全写在一个文件
4. 可追溯 & 可回滚
   • 每次变更都有 commit、PR、审批

二、常见版本控制方式（按成熟度）

✅ 方式 1：Git 基础版（最常用）

适合：中小团队、K8s / CI / Ansible

git-repo/
├── k8s/
│   ├── prod/
│   │   └── deployment.yaml
│   ├── staging/
│   │   └── deployment.yaml
├── ci/
│   └── .gitlab-ci.yml
├── ansible/
│   └── playbook.yaml

✅ 优点

• 简单
• 天然支持 diff / blame / revert

❌ 缺点

• 容易“ YAML 地狱”
• 环境差异靠复制粘贴

✅ 方式 2：Git + 模板（推荐）

适合：多环境、多集群

工具：

• Helm
• Kustomize
• Jsonnet
• ytt

Kustomize 示例

base/
  deployment.yaml
overlays/
  prod/
    kustomization.yaml
  staging/
    kustomization.yaml

✅ 优点

• 环境差异清晰
• 不重复写 YAML

✅ 方式 3：GitOps（运维最佳实践）

适合：Kubernetes 生产环境

工具：

• ArgoCD
• Flux

流程：

开发者改 YAML → Git PR → 审批 → 合并
        ↓
   ArgoCD 自动同步到集群

✅ 优点

• 集群状态 = Git 状态
• 自动回滚
• 强审计

三、YAML 版本控制最佳实践

1️⃣ 文件组织规范

• 按 环境 / 服务 / 用途 分层
• 文件名语义化

nginx-deployment.yaml
nginx-hpa.yaml
nginx-configmap.yaml

2️⃣ 提交规范

feat(k8s): add HPA for order-service
fix(ci): correct cache path
chore(env): bump staging image tag

3️⃣ 禁止事项

❌ 直接 kubectl edit ❌ 把密码写进 YAML ❌ 一个文件 1000 行

4️⃣ 敏感信息管理

• 使用：
  • sealed-secrets
  • SOPS
  • Vault
• YAML 只存引用，不存明文

5️⃣ CI 校验（非常重要）

- yaml-lint
- kubeconform / kubeval
- helm lint

四、真实示例（GitOps）

infra-repo/
├── clusters/
│   ├── prod/
│   │   └── argocd-app.yaml
├── apps/
│   ├── order/
│   │   ├── base/
│   │   └── overlays/prod/

变更流程：

1. 改 YAML
2. 提 PR
3. Review
4. Merge
5. ArgoCD 同步

五、总结一句话

运维 YAML 的版本控制 = Git + 分层 + 模板 + 校验 + GitOps

如果你愿意，我可以：

• 给你一套 K8s YAML Git 仓库模板
• 或针对 Ansible / CI / Helm 单独讲
• 或帮你设计 你们团队的 YAML 管理规范

你现在的 YAML 主要用在哪？（K8s / CI / 配置管理？）