腾讯云云原生分布式云中心TDCC对接使用完全指南：从集群注册到应用分发
引言：多云时代的管理挑战
随着企业数字化转型的深入，Kubernetes集群的部署范围早已超越了单一公有云。越来越多的企业同时运行着腾讯云TKE集群、其他云厂商的Kubernetes服务、自建机房中的私有云集群，甚至是边缘节点上的轻量级K8s环境。这种多云、混合云、云边协同的架构带来了显著的业务灵活性，但也给集群管理、应用交付和运维监控带来了巨大挑战——不同集群的控制平面相互隔离，运维人员需要在多个控制台之间来回切换，应用发布需要针对每个集群重复执行相同的操作，监控日志数据分散在各处难以统一查看。
腾讯云云原生分布式云中心（Tencent Kubernetes Engine Distributed Cloud Center，TDCC）正是为解决这一系列问题而推出的产品。TDCC打通了公有云、私有云和边缘云的界限，将各种成熟的集群、网络、存储、微服务和运维能力交付到更接近用户和数据的位置，确保不同云基础设施下拥有一致的控制平面。本文将从零开始，手把手讲解TDCC的对接使用全流程。
需要先登录腾讯云控制台，点击：腾讯云控制台，还没有账号，点击：注册后再关联，已有账号点击：登录后再关联
一、TDCC是什么：核心概念与架构
1.1 产品定位
TDCC是腾讯面向多云多集群场景的应用管理平台，支持用户将云原生化的应用扩展到分布式云，以全局视角统一管理和运维分布式云资源。它的核心价值可以概括为三个关键词：统一管控、以应用为中心、一致的云原生体验。
统一管控方面，TDCC通过Kubernetes一站式接入和管理集群、服务器、主机乃至智能设备，无论是运行在公有云、私有云还是边缘云，都能获得一致的控制平面。以应用为中心方面，TDCC整合了应用镜像、流量、存储等资源，覆盖应用交付、管理、调度、容灾和运维的全生命周期。一致的云原生体验方面，TDCC全面兼容云原生标准，原生Kuberentes各类资源都可以通过TDCC进行分发和管理。
1.2 架构原理：Hub-Cluster与Child-Cluster
TDCC基于开源项目Clusternet构建。其架构核心是Hub-Cluster（中心集群）与Child-Cluster（子集群）的二级模型。用户在开通TDCC服务时，腾讯云会在后台自动创建一个托管的Hub Cluster集群。这个Hub Cluster是一个全托管的Kubernetes控制平面，用户无需自行搭建和运维。所有被纳管的Kubernetes集群（无论它们是腾讯云TKE集群、第三方云厂商集群还是本地IDC自建集群）都作为Child Cluster注册到Hub Cluster之下。
Hub Cluster承担了全局控制面的角色，它存储了所有注册集群的元数据、分发策略、应用定义等关键信息。当用户通过TDCC下发一个应用部署请求时，Hub Cluster会根据预先配置的分发策略，将应用资源（如Deployment、Service、ConfigMap等）推送到符合条件的Child Cluster上执行。Child Cluster上需要运行一个Clusternet-agent组件，负责与Hub Cluster通信并接收调度指令。这种架构设计使得TDCC能够以极低的成本实现多云多集群的应用发布管理，将应用发布逻辑与底层集群松耦合关联。
二、开通TDCC服务与Hub集群配置
2.1 前提条件
在使用TDCC服务之前，需要先完成两个基础准备工作：注册腾讯云账号并完成实名认证。如果使用的是子账号进行操作，还需要确保子账号具备相应的操作权限，特别是对容器服务TKE的操作权限。
2.2 开通服务
在腾讯云控制台中，选择"云产品" → "云原生分布式云中心"，进入TDCC控制台。首次进入时，系统会提示开通服务并进行服务授权。由于TDCC基于容器服务TKE构建，在服务授权步骤中系统会请求容器服务相关权限，单击"同意授权"即可完成。
完成服务授权后，页面将跳转至服务开通设置页面，需要配置Hub Cluster的基本信息：
- 开通地域：选择Hub Cluster部署的地域。目前支持北京、广州、上海、新加坡等地域。需要特别注意的是，创建Hub Cluster后接入地域和可用区无法更改。
- 可用区：选择Hub Cluster所在的可用区。
- 集群网络：选择一个VPC子网。访问Hub Cluster的kube-apiserver需要使用弹性网卡，TKE会自动在选定的子网内创建代理弹性网卡。如果纳管的集群主要是腾讯云TKE集群，建议Hub集群网络复用TKE集群数量最多的VPC子网，以降低网络延迟。
- Hub集群APIServer访问：选择创建Hub集群APIServer的代理负载均衡。注册集群中的Clusternet组件通过此负载均衡访问Hub集群的APIServer。默认会创建内网CLB，如果注册集群需要通过公网连接，则需要一并创建公网CLB。
- 创建EIP：选择是否创建弹性公网IP实例。Helm应用下发和TKE Anywhere云上交付依赖EIP实现。
配置完成后单击"立即开通"，开通过程可能需要数分钟。开通成功后会自动进入TDCC控制台。
2.3 关于地域选择的说明
TDCC服务目前处于内测阶段，早期仅支持在广州一地开通Hub Cluster。随着产品演进，现已支持北京、广州、上海、新加坡等多个地域。在选择开通地域时，建议遵循就近原则——将TDCC所在地域选在服务部署的主要地域。如果业务服务分散在多个地域，或者TDCC暂不支持服务所在地域，应尽量选择离服务近的地域，以降低TDCC控制面到各集群之间的网络延迟。
三、集群接入：注册已有集群的两种方式
TDCC支持纳管多种类型的Kubernetes集群，包括腾讯云TKE标准集群、TKE Serverless集群、第三方云厂商集群、本地IDC自建集群以及边缘集群等。根据集群类型的不同，接入方式分为两种：关联TKE集群和注册已有集群。
3.1 方式一：关联TKE集群（一键接入）
对于腾讯云TKE标准集群和TKE Serverless集群，TDCC提供了最为便捷的一键关联方式。操作步骤如下：
- 登录TDCC控制台，进入"分布式基础设施" → "集群"页面。
- 单击"关联TKE集群"按钮。
- 在关联TKE集群页面中，系统会自动列出当前账号下满足条件的TKE集群（已注册过的集群不会在列表中展示）。
- 选择需要纳管的TKE集群，单击"确定"即可完成关联。
这种方式的优势在于无需手动生成YAML文件并在集群内执行，所有底层配置由TDCC自动完成。不过需要注意约束条件：仅支持纳管TKE标准集群和TKE Serverless集群，且对集群状态有要求——TKE标准集群需处于"运行中"或"规模调整中"状态，TKE Serverless集群需处于"运行中"状态。TKE集群与Hub默认通过内网连接，建议TKE集群与Hub部署在同一VPC内；如果跨VPC，则需要通过云联网（CCN）进行网络打通。
3.2 方式二：注册已有集群（通用方式）
对于非腾讯云的第三方Kubernetes集群（如其他云厂商的K8s服务、本地IDC自建集群、边缘集群等），需要通过"注册已有集群"的方式接入。这种方式适用于所有兼容Kubernetes标准的集群，支持的K8s版本范围为1.18.x至1.24.x。
步骤一：创建注册集群
在TDCC控制台的"分布式基础设施" → "集群"页面，单击"注册已有集群"。在弹出页面中填写以下配置：
- 集群名称：自定义名称，不超过60个字符。
- 接入地域：选择注册集群的接入地域，目前支持广州、北京和新加坡。需要特别注意的是，接入地域与待注册集群的真实运行地域无关——接入地域指的是管理此注册集群的Hub Cluster所在地域。
- 集群所在地域：填写注册集群真实运行的地域（如实填写即可，仅用于标识）。
- 腾讯云标签：可选，为集群绑定标签后可实现资源的分类管理。
- 集群描述：可选，填写集群的相关信息。
单击"完成"后，注册集群即创建成功，此时集群状态为"等待注册"。
步骤二：生成并执行注册命令
在集群列表中找到刚创建的注册集群，单击操作列中的"查看注册命令"。系统会生成用于注册集群的kubectl命令。注册命令分为公网访问和内网访问两种类型：
- 公网访问：适用于注册集群与Hub集群之间通过公网通信的场景。需要在注册集群所在网络环境中能够访问Hub集群的公网入口地址。
- 内网访问：适用于注册集群与Hub集群之间通过内网（如VPC对等连接、云联网、专线等）通信的场景。内网访问延迟更低、安全性更高。
选择适合的方式，复制或下载注册命令，在目标第三方集群中执行该kubectl命令。注册命令的有效期为24小时，如果超时未使用，需要在控制台重新生成。Hub集群的入口地址和端口可以在注册命令的`spec.spec.containers.args: parentURL`字段中查看。
步骤三：验证注册状态
注册命令执行后，Clusternet-agent组件会在第三方集群的`clusternet-system`命名空间中部署并运行。可以通过以下命令查看代理的运行状态：
kubectl get pod -n clusternet-system正常运行时，应该看到类似以下的输出：
NAME READY STATUS RESTARTS AGE
clusternet-agent-78444974d7-f6fsc 1/1 Running 0 7m32s
clusternet-agent-78444974d7-qjp2q 1/1 Running 0 7m32s
clusternet-agent-78444974d7-r575w 1/1 Running 0 7m32s当代理Pod全部处于Running状态后，回到TDCC控制台刷新集群列表，注册集群的状态会变为"运行中"，表示接入成功。
3.3 网络连通方案详解
集群注册成功的关键前提是：目标集群能够正常连接到TDCC Hub集群。根据注册集群的网络环境不同，需要选择合适的网络连通方案：
- 同VPC场景：如果注册集群与Hub集群部署在同一个VPC内，可以直接使用内网访问方式注册，网络天然互通，无需额外配置。
- 跨VPC场景：如果注册集群与Hub集群部署在不同VPC（例如不同地域的TKE集群），需要使用云联网（CCN）将两个VPC打通。具体操作是在云联网控制台创建实例，然后将两个VPC分别关联到该云联网实例中。
- 本地IDC场景：对于部署在本地数据中心的Kubernetes集群，可以通过VPN连接、专线接入或云联网等方式与腾讯云VPC建立网络连通，然后使用内网访问方式注册。
- 公网场景：如果以上内网方案都无法实施，可以选择公网访问方式注册。但公网访问存在安全风险和数据传输延迟，建议仅在测试环境或没有内网条件的场景下使用。
四、应用分发：从一次部署到处处运行
集群注册完成后，TDCC的核心能力——应用分发——就可以真正发挥价值了。TDCC支持将原生Kubernetes资源（如Deployment、Service、ConfigMap、Secret等）通过分发策略（Subscription）批量部署到多个目标集群中。
4.1 分发策略（Subscription）
分发策略是TDCC应用分发的核心概念。它定义了"哪些应用资源"需要被分发到"哪些目标集群"。在TDCC控制台中，进入"分布式应用管理" → "订阅"页面，单击"创建"即可配置分发策略。
一个完整的分发策略包含以下关键要素：
- 应用资源定义：指定需要分发的Kubernetes资源对象。可以是单个YAML文件，也可以是包含多个资源对象的目录。
- 目标集群选择：通过标签选择器（Label Selector）来动态匹配目标集群。例如，可以给不同集群打上`environment=production`、`region=us-east`等标签，然后在分发策略中通过标签表达式筛选出符合条件的集群。
- 分发行为：支持全量分发（将所有资源部署到所有目标集群）和选择性分发（仅部署到部分集群）。
以下是一个简单的分发策略示例（使用Kubernetes CRD资源定义）：
apiVersion: apps.clusternet.io/v1alpha1
kind: Subscription
metadata:
name: nginx-subscription
namespace: default
spec:
feeds:
- apiVersion: apps/v1
kind: Deployment
name: nginx-deployment
- apiVersion: v1
kind: Service
name: nginx-service
placement:
clusterSelector:
matchLabels:
environment: production在这个示例中，名为`nginx-subscription`的分发策略会将`nginx-deployment`和`nginx-service`两个资源分发到所有带有`environment=production`标签的集群中。
4.2 差异化策略（差异化配置）
在实际业务场景中，不同集群往往需要略微不同的配置——例如，生产环境集群可能需要更多的副本数、更大的资源配额，或者不同地域的集群需要使用不同的镜像仓库地址。TDCC的差异化策略（Override Policy）正是为了解决这个问题而设计的。
差异化策略允许用户在统一的分发策略基础上，针对特定集群或特定集群组进行配置覆盖。例如：
apiVersion: apps.clusternet.io/v1alpha1
kind: Override
metadata:
name: nginx-override-production
namespace: default
spec:
target:
clusterSelector:
matchLabels:
environment: production
overrideRules:
- feeders:
- apiVersion: apps/v1
kind: Deployment
name: nginx-deployment
overriders:
- path: /spec/replicas
value: 5这个差异化策略会将所有`environment=production`集群中的`nginx-deployment`副本数调整为5，而其他环境的集群则保持分发策略中定义的默认副本数。当前TDCC版本仍在内测阶段，差异化策略的独立配置和管理能力将在未来版本中进一步增强。
4.3 灰度发布与金丝雀发布
TDCC支持应用跨集群的全量更新和灰度更新。通过灵活组合分发策略和差异化策略，可以实现复杂的发布场景，例如多集群金丝雀发布：先配置一个分发策略将新版本应用只分发到带有`canary=true`标签的小部分集群上，验证通过后再更新分发策略将新版本推广到所有集群。这种发布方式将应用发布逻辑与底层集群解耦，大幅降低了发布风险。
五、跨账号统一管理方案
在实际企业场景中，多个腾讯云账号分别管理不同业务单元或不同环境的情况非常普遍。TDCC支持跨账号的集群统一管理。
5.1 跨账号管理的核心思路
跨账号管理的核心思路是：在一个主账号（账号A）下开通TDCC服务并创建Hub集群，然后将其他账号（账号B、账号C等）下的TKE集群通过注册方式纳入统一管理。这需要解决两个关键问题：网络互通和身份认证。
5.2 网络互通方案
跨账号场景下，不同账号的VPC之间默认是隔离的。需要通过云联网（CCN）将各账号的VPC网络打通。具体操作步骤如下：
- 在主账号（账号A）下创建一个云联网实例。
- 将账号A下TDCC所使用的VPC关联到该云联网实例中。
- 将账号B下TKE集群所使用的VPC也关联到同一个云联网实例中。
网络打通后，账号B的TKE集群就可以通过内网方式注册到账号A的TDCC Hub集群中。需要注意的是，跨账号VPC关联云联网需要双方账号的授权和确认。
5.3 跨账号监控集成
跨账号统一管理的一个重要应用场景是监控体系集成。通过在账号A下部署Prometheus监控系统，利用TDCC的注册集群能力，可以让账号A的Prometheus自动在账号B的TKE集群中部署proxy-agent组件。proxy-agent与proxy-server之间建立加密通信通道，实现跨账号的监控数据采集。即使TDCC控制面临时不可用，已建立的监控数据采集通道也不会受到影响。这种方式使得企业可以在一个统一的监控平台上查看所有账号下集群的运行状态，大大提升了运维效率。
六、运维管理与可观测性
6.1 统一监控与告警
TDCC通过注册集群能力，将多个集群统一纳管到公有云管理平台上，从而提供完备的日志管理、审计管理、事件管理、监控与告警服务。系统会自动收集和分析集群的日志、审计记录、事件和指标数据，并提供可视化监控和告警功能。这解决了传统多集群运维中依赖人工现场排障、缺乏统一监控告警和日志等问题。
6.2 查看注册集群
在TDCC控制台的"分布式基础设施" → "集群"页面，可以查看所有已注册集群的列表。列表展示了每个集群的ID与名称、集群类型（第三方集群或TKE Anywhere集群）、Kubernetes版本、运行状态、节点数以及CPU和内存资源总量。单击集群名称可以跳转至容器服务集群管理页面，查看该集群的详细信息和进行深度管理。
6.3 连接与删除集群
TDCC支持通过kubectl直接连接访问已注册的集群。对于不再需要统一管理的集群，也可以随时从TDCC中解除绑定并删除。删除注册集群操作不会影响集群本身的工作负载，只是将其从TDCC的管理范围内移除。
七、最佳实践与注意事项
7.1 接入地域选择策略
接入地域的选择直接影响控制面的访问延迟和稳定性。建议遵循以下原则：将TDCC Hub集群部署在主业务集群最集中的地域；如果业务集群分散在多个地域，选择地理位置居中的地域；如果TDCC暂不支持最优地域，选择网络质量最好的地域。
7.2 注册命令有效期管理
注册命令的有效期仅为24小时。在批量注册多个集群时，建议规划好时间窗口，确保所有集群在命令有效期内完成注册。如果某个集群未能在24小时内完成注册，需要在控制台重新生成命令。
7.3 安全与权限
TDCC通过服务相关角色（Service-Linked Role）来访问用户的云资源。在开通服务时完成授权后，TDCC会在已关联策略的权限范围内访问用户的容器服务等资源。对于需要精细化权限控制的场景，可以通过CAM（访问管理）策略为子账号授予特定接口的调用权限，例如通过`AcquireClusterAdminRole`接口获取集群内的管理员角色。
7.4 内测阶段说明
TDCC服务目前仍处于内测阶段。内测期间服务不收费，但如需使用需要提交工单申请，审核通过后方可使用。内测期间功能仍在持续迭代中，部分高级特性（如多差异化策略独立配置）将在未来版本中推出。
结语
腾讯云云原生分布式云中心TDCC为企业提供了一套完整的多云多集群管理解决方案。从统一集群注册纳管，到应用的一次部署处处运行，再到跨账号的集中管理和监控，TDCC有效降低了多云架构下的运维复杂度和运营成本。随着产品从内测走向正式商业化，TDCC的能力还将持续增强，成为企业云原生分布式云战略中的重要基础设施。
常见问题解答
问：开通TDCC服务时，接入地域选择后还能修改吗？
答：不能。创建Hub Cluster后接入地域和可用区无法更改。因此在开通服务时请谨慎选择地域，建议根据业务集群的主要分布地域进行决策。
问：注册集群时生成的注册命令有效期是多久？过期了怎么办？
答：注册命令的有效期为24小时。如果超过有效期未使用，需要在TDCC控制台重新生成新的注册命令。
问：TDCC目前收费吗？
答：TDCC服务目前处于内测阶段，内测期间不收费。如需使用需要提交工单申请开通。
问：非腾讯云的Kubernetes集群能接入TDCC吗？支持哪些版本？
答：可以。TDCC支持将第三方云厂商的Kubernetes集群、本地IDC自建集群等通过"注册已有集群"方式接入。支持的K8s版本范围为1.18.x至1.24.x。
问：注册集群时选择公网访问和内网访问有什么区别？
答：公网访问通过互联网连接Hub集群，适用于没有内网直达条件的场景，但延迟较高且存在安全风险。内网访问通过VPC内网、云联网或专线连接，延迟低、安全性高，是生产环境的首选方案。
问：TDCC和TKE之间是什么关系？
答：TDCC基于容器服务TKE构建，可以理解为TKE在多云多集群场景下的管理延伸。TDCC通过Hub集群统一管理多个TKE集群以及其他第三方Kubernetes集群。TKE集群可以通过"关联TKE集群"一键接入TDCC。
