核心用法
本 Skill 提供 Google Cloud Platform 的全栈生产运营规则，内容覆盖六大关键领域：
成本管控：详解 Compute Engine 停机后的隐藏费用（持久磁盘+静态 IP）、Cloud NAT 按量计费陷阱、BigQuery 字节扫描计费模式，以及抢占式实例的适用场景。强调跨区域流量免费、出网流量收费的网络成本结构。
安全体系：深入 IAM 继承链（组织→文件夹→项目→资源）、服务账号的权限边界与模拟机制、VPC Service Controls 的数据防外泄配置，以及 Workload Identity Federation 无密钥方案。特别警示默认 Compute Engine 服务账号的 Editor 权限风险。
网络架构：阐明 GCP 独特的全球 VPC 设计（子网区域级）、防火墙隐式拒绝策略、Private Google Access 的必要配置，以及共享 VPC 的运维分离模式。
性能优化：对比 Cloud Functions gen1/gen2 超时限制、Cloud SQL 连接池管理、Firestore 热点规避（UUID/逆序时间戳）、GKE Autopilot 的限制条件，及 Cloud Storage 大对象并行上传策略。
可观测性：涵盖日志保留策略（默认30天 vs 合规桶400天）、告警自动关闭机制、错误分组逻辑、分布式追踪采样调整，及审计日志配置。
基础设施即代码：规范 Terraform provider 用法、gcloud 命令的声明式替代方案、Cloud Build IAM 预授权、项目删除的30天恢复期与全局唯一 ID 限制，以及标签驱动的成本分摊。
显著优点
- 实战经验密集：每条规则均附带具体场景与量化收益（如抢占式实例省80%）
- 成本敏感度极高：针对 GCP 复杂的计费模型提供明确的规避策略
- 安全纵深防御：从 IAM 最小权限到 VPC Service Controls 多层防护
- 架构决策清晰：全球 vs 区域负载均衡、Autopilot vs Standard GKE 等对比明确
潜在局限
- 时效性风险：GCP 产品迭代快，部分限制（如 Cloud Functions 超时）可能随版本更新失效
- AWS 背景用户认知负荷：全球 VPC、隐式防火墙拒绝等设计与 AWS 差异较大
- 深度不足：部分主题（如 BigQuery 优化）仅触及表面，需配合官方文档
- 无自动化工具：纯文本规则，未提供 Terraform 模块或脚本模板
适合人群
- 正在将工作负载迁移至 GCP 的云架构师
- 负责 FinOps 的成本优化工程师
- 需强化 GCP 安全合规的 DevSecOps 团队
- 已通过 GCP 认证（PCA/PCD/PCS）需实战补强的工程师
常规风险
| 风险类型 | 说明 |
|---------|------|
| 成本失控 | BigQuery `LIMIT` 不减少扫描量、NAT 网关计费模式易低估 |
| 权限扩散 | 服务账号模拟链、Primitive Role 的隐性授权 |
| 网络中断 | VPC Service Controls 配置不当导致 Console 失联 |
| 数据丢失 | 项目删除后 ID 永久不可复用、日志保留期配置错误 |
| 合规缺口 | Data Access 审计日志默认关闭、告警24小时自动收敛 |
使用建议
建议配合 gcloud CLI 实操验证，对成本敏感规则（BigQuery、NAT、Egress）建立监控基线，安全相关配置（Workload Identity、VPC SC）务必在隔离环境预演。