阿里云分布式云容器平台ACK One对接使用完全指南

apphuang2026年07月08日 22:10:513

引言：ACK One是什么

在云原生技术席卷企业IT架构的今天，Kubernetes已成为容器编排的事实标准。然而，随着业务规模的扩张和部署环境的复杂化，单一Kubernetes集群往往难以满足企业的全部需求——容灾多活需要跨地域部署、大促弹性需要混合云资源、安全合规要求多环境隔离、单集群规模和性能存在上限。分布式云容器平台ACK One正是阿里云面向这些混合云、多集群、分布式计算和容灾场景推出的企业级解决方案。

ACK One并非一个简单的Kubernetes发行版，而是一个以多集群管理为核心、以应用交付为目标的综合性平台。它基于阿里云容器服务ACK的强大底座，将注册集群、舰队管理、GitOps、多集群服务与网关、分布式工作流Argo集群、备份中心六大产品能力有机整合。这些能力既可以独立使用，也可以组合集成，灵活满足不同场景的需求。

本文将从零开始，系统讲解ACK One的对接与使用方法。无论你是希望将本地数据中心的Kubernetes集群接入云端统一管理，还是需要构建跨地域、跨账号的多集群应用交付体系，亦或是想通过GitOps实现声明式的持续部署，这篇文章都将提供完整的操作指南与代码示例。

需要先登录阿里云控制台，点击：阿里云控制台

一、开通服务与准备工作

1.1 开通ACK One服务

使用ACK One的第一步是开通服务。登录阿里云控制台后，在容器服务ACK的产品页面中找到分布式云容器平台ACK One的入口，按指引完成开通。开通过程中，系统会提示授权默认服务角色——这是ACK One获取必要云资源操作权限的前提。服务角色策略涵盖了访问ECS、VPC、SLB等基础云产品的权限，请务必确认授权完成。

1.2 开通关联云产品

ACK One的诸多能力依赖其他阿里云产品：注册集群需要VPC和交换机资源；GitOps需要容器镜像服务ACR存放镜像；多集群网关依赖MSE或ALB；备份中心依赖对象存储OSS作为备份仓库。建议在正式开始使用前，根据实际需求提前开通相关产品并完成基础配置。

1.3 准备访问凭证

后续操作中，你将频繁使用kubectl和阿里云CLI与ACK One交互。请确保：

已安装并配置kubectl，能够访问目标Kubernetes集群
已安装最新版阿里云CLI并配置了AccessKey凭证
如果是RAM用户操作，确保已授予AliyunAdcpFullAccess等必要权限

安装并配置阿里云CLI的示例命令如下：

# 下载并安装阿里云CLI
curl -fsSL https://aliyuncli.alicdn.com/install.sh | bash
# 配置AccessKey
aliyun configure
# 按提示输入AccessKey ID、AccessKey Secret、默认地域和输出格式

二、注册集群：将自建Kubernetes接入云端

2.1 注册集群概述

注册集群是ACK One最基础也最核心的能力之一。它帮助你将本地数据中心的自建Kubernetes集群、其他云厂商的Kubernetes集群，甚至边缘Kubernetes集群，接入阿里云容器服务管理平台进行统一管理。接入之后，你可以在阿里云控制台上查看集群状态、监控指标、审计日志，并享受云上弹性资源、安全管理和协同调度等扩展能力。

注册集群本身不收取集群管理费用——你仅需为使用的其他阿里云产品按各产品的计费规则付费。

2.2 创建注册集群

在ACK One控制台中创建注册集群的步骤如下：

登录容器服务管理控制台，在左侧导航栏选择"集群列表"
在集群列表页面，单击"创建集群"
在ACK One注册集群页签，配置相关参数

配置参数时，需要关注以下关键项：

集群名称：自定义一个易于识别的名称
地域：选择与您的业务最接近的地域
专有网络VPC：选择或创建VPC，确保与自建集群网络可达
虚拟交换机：选择VPC下的交换机

2.3 接入自建集群

创建注册集群后，需要将自建Kubernetes集群接入。具体操作是通过YAML将目标集群接入注册集群。接入过程中需要使用注册集群提供的导入命令和配置文件。

首先，在ACK One控制台获取注册集群的导入配置：

# 通过阿里云CLI获取注册集群的kubeconfig
aliyun adcp DescribeHubClusterDetails --ClusterId <YOUR_REGISTERED_CLUSTER_ID>

然后在自建集群上执行导入操作。假设你已获得导入YAML文件，执行以下命令：

# 在自建Kubernetes集群上执行导入
kubectl apply -f agent.yaml
# 验证接入状态
kubectl get nodes
kubectl get pods -n ack-one

接入成功后，你可以在ACK One控制台的集群列表中看到该集群，状态显示为"运行中"。

2.4 云上弹性扩展

注册集群的一个重要价值在于可以获得云上弹性计算资源。通过为注册集群安装ack-virtual-node组件，可以将阿里云弹性容器实例ECI接入自建集群：

# 在注册集群中安装ack-virtual-node组件
kubectl apply -f https://ack-one.aliyun.com/virtual-node.yaml
# 创建虚拟节点
kubectl apply -f virtual-node.yaml

安装完成后，你可以在自建集群中创建Pod并调度到ECI上运行，应对业务突发流量。同时，注册集群也支持将阿里云ECS节点加入到本地K8s集群中。

此外，注册集群还支持通过节点池来高效管理集群节点，节点池是一组具有相同配置的节点集合，支持在单个集群中创建多个不同类型的节点池。

三、多集群舰队：统一管理控制面

3.1 舰队概述

当企业同时运行多个Kubernetes集群时，可以通过多集群舰队ACK One Fleet来统一管理。舰队是由ACK托管的控制面，可以管理任意环境的Kubernetes集群，为企业提供一致的云原生应用管理体验。

多集群舰队控制面基于K8s控制面构建，提供标准Kubernetes API。舰队可以接入多个K8s集群——非容器服务ACK集群可以先通过注册集群接入。

3.2 创建舰队并关联集群

在ACK One控制台中开启舰队管理功能，需要配置舰队所在的地域、专有网络VPC和虚拟交换机信息。创建舰队实例后，可以将同账号下的ACK集群或注册集群纳入舰队管理，成为关联集群。舰队可以跨地域管理关联集群。

关联集群的示例操作：

# 通过阿里云CLI将集群关联到舰队
aliyun adcp AttachClusterToHub \
  --ClusterId <YOUR_FLEET_ID> \
  --AttachedClusterId <YOUR_CLUSTER_ID>

3.3 舰队核心能力

舰队提供以下核心能力：

GitOps应用分发：托管开源Argo CD，实现GitOps多集群应用分发
流量管理：集成MSE云原生网关，实现多集群应用南北流量控制；支持多集群Service，实现多集群东西流量控制
作业分发：离线作业多集群调度，选择适合的集群运行离线作业
全局监控：多集群监控大盘，一个监控大盘查看所有集群的监控指标

通过舰队，开发人员可以获得一致性的Kubernetes API，由舰队完成工作负载、应用、配置信息的调度分发。

四、GitOps持续交付：声明式应用部署

4.1 GitOps概述

ACK One GitOps提供了面向多云、多集群、混合云的多集群应用GitOps持续交付能力。通过全托管开源的Argo CD项目，集成ACK One的多集群能力、阿里云的RAM SSO等能力，为您提供开箱即用的Argo CD能力。

GitOps的核心思想是使用Git仓库作为应用部署的唯一事实来源。在ACK One GitOps中建立应用与集群的关系后，仅需提交代码到Git仓库，即可完成业务应用的自动部署和同步到相应集群。

4.2 开启GitOps

在ACK One舰队中开启GitOps功能后，可以通过Git repository对应用编排、Helm编排等实现版本管理，同时支持应用一次编排的多集群持续发布。

开启GitOps的步骤：

在ACK One控制台进入舰队详情页面
在"组件管理"中启用GitOps组件
系统会自动部署Argo CD实例

4.3 创建GitOps应用

以下是通过Argo CD在ACK One中创建多集群应用的示例：

# 定义Application资源
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: guestbook
  namespace: argocd
spec:
  project: default
  source:
    repoURL: https://github.com/argoproj/argocd-example-apps.git
    targetRevision: HEAD
    path: guestbook
  destination:
    server: https://kubernetes.default.svc
    namespace: guestbook
  syncPolicy:
    automated:
      prune: true
      selfHeal: true

对于多集群场景，可以使用ApplicationSet资源来定义多个集群的部署目标：

# ApplicationSet示例 - 部署到多个关联集群
apiVersion: argoproj.io/v1alpha1
kind: ApplicationSet
metadata:
  name: guestbook-multi
  namespace: argocd
spec:
  generators:
  - clusters:
      selector:
        matchLabels:
          environment: production
  template:
    metadata:
      name: '{{name}}-guestbook'
    spec:
      project: default
      source:
        repoURL: https://github.com/argoproj/argocd-example-apps.git
        targetRevision: HEAD
        path: guestbook
      destination:
        server: '{{server}}'
        namespace: guestbook
      syncPolicy:
        automated:
          prune: true
          selfHeal: true

4.4 GitOps的优势

ACK One GitOps的核心优势包括：

开箱即用、免运维：全托管的Argo CD服务
简化多集群应用部署：支持控制台管理ApplicationSet、原生Argo CD UI体验、阿里云RAM SSO集成
高可用性：支持5000+应用的高可用Argo CD
多租权限管理：基于阿里云RAM的多租户权限管理
完整的可观测性：Argo CD的监控告警配置、日志采集与控制台查看

五、多集群服务与网络治理

5.1 多集群Service跨集群通信

ACK One多集群服务可实现原生Service的跨集群通信，适用于因业务隔离、异地容灾等需求部署多个集群的场景。相较于传统方案，多集群服务无需部署额外负载均衡实例，简化了多集群应用的部署操作和网络架构，同时降低了公网暴露的风险和相应的成本。

使用多集群服务需要满足以下网络前提条件：

多集群处于不同VPC时，确保VPC地址段不重叠，通过VPC对等连接或云企业网CEN实现VPC互联
多集群Pod地址段和Service地址段不重叠
集群间节点池安全组相互允许访问Pod地址段

5.2 MultiClusterService配置

ACK One提供了两种多集群服务实现方案：

MultiClusterService（推荐）：配置方法简单，无需修改业务代码和DNS配置，使用原生Service域名访问
ServiceImport/ServiceExport：符合社区API规范，使用专用域名进行访问，需修改DNS配置

MultiClusterService的配置示例：

apiVersion: networking.one.alibabacloud.com/v1alpha1
kind: MultiClusterService
metadata:
  name: my-service
  namespace: default
spec:
  providerClusters:
  - cluster1
  consumerClusters:
  - cluster2
  serviceName: my-service
  serviceNamespace: default

配置完成后，Consumer Cluster中的Pod可以通过 service.<namespace> 域名直接访问Provider Cluster中的Pod。

5.3 多集群网关南北向流量管理

ACK One多集群网关基于MSE Ingress提供了强大的多集群南北向流量管理能力。它可以快速帮助用户实现同城应用多活容灾、流量多集群负载均衡、基于Header路由流量到指定集群等能力。

多集群网关使用Ingress API进行管理，极大地降低了使用门槛。创建多集群网关的YAML示例：

apiVersion: mse.alibabacloud.com/v1alpha1
kind: MseIngressConfig
metadata:
  name: ackone-gateway
  # 添加关联集群到MSE网关
  annotations:
    mse.alibabacloud.com/remote-clusters: "cluster1,cluster2"
spec:
  # 网关实例配置
  gateway:
    replicas: 2
    spec:
      # 网关规格配置

通过ALB多集群网关，结合ACK One GitOps或多集群应用分发，可以快速实现应用的同城多活容灾。在故障发生时，流量可以自动平滑迁移。

六、备份中心：应用与数据保护

6.1 备份中心概述

ACK One备份中心提供应用和数据保护，支持跨地域完整应用和数据一体迁移，以及应用多活部署的快速实施。备份中心可以备份和恢复ACK集群内以及同区域或跨区域ACK集群中的应用和数据。

将其他云厂商的Kubernetes集群接入到ACK One注册集群后，可以通过备份中心对原集群中部署的应用及数据进行备份，并在ACK集群中完成恢复，实现应用跨云的快速迁移。

6.2 使用备份中心

备份中心的使用流程：

创建备份仓库（依赖OSS存储）
在源集群中创建备份任务
在目标集群中执行恢复操作

备份中心解决了跨存储插件、跨版本集群间应用迁移的一些问题，例如需要备份未被应用使用到的Cluster级别资源、API Version自动切换至恢复集群支持的版本等。

七、分布式工作流Argo集群

7.1 工作流集群概述

ACK One的分布式工作流Argo集群是一款完全遵循社区规范的全托管式Argo Workflows服务。它致力于处理大规模计算密集型作业，通过整合阿里云ECI实现自动扩容、按需扩容以及弹性伸缩，并支持使用抢占式ECI实例以大幅降低使用成本。

工作流集群采用无服务器模式，使用阿里云弹性容器实例ECI运行工作流。通过优化Kubernetes集群参数，同时配合抢占式ECI实例，实现大规模工作流的高效弹性调度及成本优化。

7.2 创建工作流

使用工作流集群前，需要从ACK One控制台获取分布式工作流Argo实例的KubeConfig，并通过kubectl连接至工作流集群。

以下是一个简单的Argo Workflow示例：

apiVersion: argoproj.io/v1alpha1
kind: Workflow
metadata:
  generateName: hello-world-
spec:
  entrypoint: whalesay
  templates:
  - name: whalesay
    container:
      image: docker/whalesay:latest
      command: [cowsay]
      args: ["hello from ACK One Argo"]

工作流集群支持动态DAG方式编排Fan-out/Fan-in任务，可按需调度云上算力，利用云上弹性可调用数万核CPU资源。

八、多集群作业分发与AI调度

ACK One多集群作业分发是面向多集群和混合云场景提供的多集群AI作业调度和分发能力。当单一ACK集群无法满足大规模AI训练和推理任务的资源需求，或当前已有的多个ACK集群有较多资源闲置时，可以利用该能力将任务调度到多个集群。

多集群作业分发支持多种作业类型，兼容PyTorchJob、SparkApplication和TFJob等框架。ACK One舰队支持基于集群实际剩余资源的多集群Spark作业调度和分发。

舰队还引入了FederatedHPA资源对象，将原生的单集群HPA无缝扩展到多集群。同时，通过多集群HPA中心化能力，实现了跨多集群的AI推理服务灰度发布。

九、权限管理与安全

9.1 权限体系概述

ACK One的权限体系分为三个层次：服务角色、RAM权限策略和RBAC权限。您需要为服务账号授予对应的权限，才能正常使用ACK One的功能。

服务角色：ACK One获取云资源操作权限的前提
RAM权限策略：控制对ACK One服务本身的访问权限，但不控制集群内Kubernetes资源的访问
RBAC权限：控制对指定集群及其命名空间内Kubernetes资源的操作权限

9.2 授予RAM权限

若通过RAM用户或RAM角色使用ACK One，需要授予其操作权限（例如创建舰队集群、关联集群、创建工作流集群等）。ACK One提供默认系统权限策略，用于指定全局资源的读写访问控制。

授予RAM权限的示例：

# 通过阿里云CLI为RAM用户授予AliyunAdcpFullAccess策略
aliyun ram AttachPolicyToUser \
  --PolicyType System \
  --PolicyName AliyunAdcpFullAccess \
  --UserName <RAM_USER_NAME>

9.3 授予RBAC权限

RAM系统策略仅控制ACK One集群资源的操作权限（例如创建实例、查看实例列表等）。若RAM用户或RAM角色需要操作指定集群内的K8s资源（例如创建GitOps Application和Argo Workflow等），还需要获取指定ACK One集群及其命名空间的操作权限，即RBAC权限。

RBAC权限的授予通常在ACK One控制台或通过kubectl完成：

# 创建RBAC角色绑定示例
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: developer-binding
subjects:
- kind: User
  name: <RAM_USER_ID>
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: admin
  apiGroup: rbac.authorization.k8s.io

十、可观测性与监控

ACK One提供了完整的可观测性体系。注册集群支持事件中心、Ingress图表、日志采集、ARMS应用监控、ARMS Prometheus、Node Problem Detector、Metrics Adapter等能力。安全管理方面，支持RAM统一身份认证和RBAC权限管理、基于日志服务的集群审计和配置巡检功能。

ACK One支持收集Fleet实例控制平面组件和审计日志，将日志从ACK One Fleet实例控制面采集到您账号的SLS日志服务的Log Project中。多集群全局监控基于单集群Prometheus的监控指标，聚合汇总多个集群的监控指标。

开启Fleet实例日志采集的示例：

# 通过阿里云CLI开启Fleet实例的日志采集
aliyun adcp UpdateHubClusterFeature \
  --ClusterId <YOUR_FLEET_ID> \
  --EnableLogCollect true \
  --LogProject <YOUR_SLS_PROJECT>

十一、计费说明

ACK One的计费分为两类：ACK One平台费用（目前免费）和底层阿里云产品资源费用。以下ACK One功能目前免费：多集群舰队、备份中心、注册集群管理、分布式工作流Argo集群。

但如果使用了其他阿里云产品资源，需按各产品的计费规则付费。例如，使用备份中心时依赖OSS存储备份功能，需要支付OSS相关费用；使用多集群网关会产生MSE或ALB的费用；使用ECS实例或ECI实例运行工作负载需要支付相应的计算资源费用。

十二、总结与实践建议

ACK One作为阿里云面向混合云、多集群、分布式计算和容灾场景的企业级分布式云容器平台，通过注册集群、舰队管理、GitOps、多集群服务与网关、分布式工作流Argo集群、备份中心六大核心能力，为企业提供了从集群统一纳管到应用持续交付的全链路解决方案。

在实际使用中，建议按照以下路径逐步推进：

第一步：开通ACK One服务并完成授权
第二步：通过注册集群将现有Kubernetes集群接入云端
第三步：创建舰队实例并关联需要统一管理的集群
第四步：根据需求启用GitOps、多集群服务、备份中心等能力
第五步：配置相应的权限管理和监控告警体系

ACK One的各产品能力既可以单独使用，也可以组合集成，可根据实际需求灵活选用。通过合理规划和逐步实施，企业可以在混合云和多集群场景下实现统一管理、弹性扩展和持续交付的目标。

常见问题解答

问1：ACK One注册集群是否收取管理费用？

答：注册集群本身不收取集群管理费用，您仅需为使用的其他阿里云产品（如ECS、VPC、SLS等）按各产品的计费规则付费。

问2：自建Kubernetes集群接入ACK One需要满足什么网络条件？

答：自建集群需要与阿里云VPC网络可达。如果通过公网接入，可能会遇到超时等不稳定问题。建议通过专线或VPN建立稳定的网络连接。

问3：ACK One GitOps和普通Argo CD有什么区别？

答：ACK One GitOps是基于开源Argo CD的全托管服务，深度集成了ACK One的多集群管理能力和阿里云RAM SSO能力，提供了开箱即用的多集群GitOps持续交付体验。

问4：多集群Service实现跨集群通信需要额外部署负载均衡吗？

答：不需要。ACK One多集群Service可直接实现原生Service的跨集群通信，无需部署额外负载均衡实例，简化了网络架构并降低了成本。

问5：备份中心支持跨地域备份恢复吗？

答：支持。备份中心可以备份和恢复同区域内的ACK集群，也支持跨区域ACK集群的备份和恢复。

问6：使用ACK One进行多集群管理需要额外购买什么许可证吗？

答：ACK One的多集群舰队和备份中心相关功能目前免费。您只需要为使用的底层阿里云产品资源（如ECS、ECI、OSS、MSE等）按量付费。