私有化部署不是装个 Docker 就完事了——Harness 在内网落了三次才跑通

说实话，我帮人部署 Harness 到企业内网这件事，第一次是栽在了一个我以为最不会出问题的地方上。

客户那边电话里说"环境都准备好了，服务器 Docker 也装好了，你过来搞就行"。我一听，这简单，docker-compose up 就完事了，撑死半小时收工。结果到了现场，docker-compose up 一直卡在 pulling image 这一步。我问他们网络通不通，IT 大哥特自信地说"通的呀，能上网"。结果一查——能上百度，但 Docker Hub 被防火墙策略拦截了。docker pull 任何镜像都超时，连不上 registry。

你别说，我当时还觉得改个 mirror 镜像源就能解决。结果发现 Harness 有好几个镜像不是存在 Docker Hub 上，而是存在 ghcr.io（GitHub 容器仓库）上的，这个在内网就更难通了。折腾了大半天，最后还是老老实实找了一台能通外网的机器，把所有镜像 docker pull 下来，打成 tar 包用 U 盘拷进去。

说到这个，我想起来还有一次更离谱的——镜像拷进去了，但 docker load 的时候发现 tag 对不上，因为内网私有 registry 的命名规范跟外网不一样，还得一个一个重新打 tag。这种事儿你不真的干一次，看文档是永远想不到的。

内网部署 Harness，说到底是在跟"预期"做斗争。你在公网上一行命令跑通的事，到了内网环境下，每一步都可能是断点。我踩了一圈坑之后，发现最核心的几个维度其实就三个：网络策略、权限管理、审计日志——但每个维度下面都有你意想不到的细节。

网络策略是最大的拦路虎，没有之一。Harness 的架构里，workflow 执行器需要跟控制面通信，控制面需要拉镜像，Agent 需要同步插件市场，模型服务还需要额外的 API 调用。这三条链路只要有一条断了，整个系统就转不起来。我见过最头疼的情况是——网络策略按 IP 白名单做的，但 Harness 依赖的某些外部服务用的是动态 IP，今天通的明天就断了。你查半天日志，发现昨天还能用的今天突然连不上了，结果是因为对方的 CDN 换了 IP 段。

解决方案其实不复杂：自建一个私有镜像仓库（Harbor 或者 Nexus 都行），把所有依赖的镜像提前 pull 好打上 tag 推到私有仓库里，然后修改 Harness 的配置把镜像源指向内部地址。虽然前期准备麻烦，但一劳永逸。插件市场的问题也一样——Harness 默认的插件源搭在公网上，内网环境要么提前把需要的插件包下载好离线导入，要么在内部搭一个插件源的 mirror。

权限管理是第二个大坑。Harness 本身支持 RBAC（基于角色的访问控制），它可以精确控制每个 Agent 能访问哪些 namespace、能调哪些 tool、能执行什么级别的操作。但说实话，我见过的大部分企业部署，第一步就是"先给个 admin token 跑起来再说"——然后这个 token 就一直挂在那里没人管了。如果你的 Agent 跑在 Kubernetes 上，还给了它 cluster-admin 的 ServiceAccount，那一旦 Agent 被攻破，整个集群都暴露了。

有意思的是，有一次客户跟我说"我们权限控制得很严的，每个 Agent 都有自己的 token"，结果我一查，所有 token 都是从同一个 admin token 派生出来的——那跟没控制有什么区别？我建议的做法是：给每个环境建一个独立的 ServiceAccount，权限只开到它需要的最小范围。比如一个只做代码审查的 Agent，它根本不需要访问生产环境的 namespace。这个原则在 Kubernetes 里叫 least privilege，在 Harness 的语境下就是"每个 Agent 只管自己那摊事"。

审计日志是最后一个容易被忽略的点。企业内网落地，合规是硬门槛。Harness 的执行日志默认是写在本地的，pod 一重启就没了。你需要把日志通过 Fluentd 或者 Logstash 接入到 ELK 或者 Splunk 这样的集中日志平台。另外，Harness 的 Audit Log 模块——它会记录谁在什么时间执行了什么操作——默认是关闭的，得在 dsh 的配置里显式开启。我第一次部署的时候完全没注意到这个，后来审计的时候被问住了，才回去补的。这个功能其实就一行配置的事，但如果你不知道，它就是一颗定时炸弹。

说实话，Harness 的官方文档在私有化部署这块写得不算差，但它是"按理想情况写的"。它假设你有一个干净的 Kubernetes 集群、网络全通、证书统一管理、DNS 解析正常。但企业内网的现实是——网络策略是别人管的，你没法改；镜像仓库是私有的，你没法直接拉；证书有效期一年，过期了没人通知你；甚至有时候你的服务器 DNS 只能解析内网域名，外网的 registry 地址根本解析不了。

所以我觉得，做私有化部署，最重要的不是技术能力，而是"预判能力"。你得在动手之前就想清楚所有可能断掉的环节，提前准备好方案。这不是看文档能学会的，是真踩过坑才能积累的经验。

你遇到过最离谱的内网部署问题是啥？是网络策略切断了你所有的镜像源，还是权限配置让 Agent 跑不起来？还是跟我一样，栽在了一个以为"肯定没问题"的小细节上？评论区聊聊吧。