Jenkins 用 SSH 登录 VM 部署，登录所有目标机的凭据和应用配置都集中在 CI 控制器上。方向反过来之后，控制器被攻破也登录不了生产机，代价在部署结果的反馈、有顺序的部署、每台 VM 上的部署脚本。K8s 上这已是主流，VM 上也有先例。

mirrord 的开发者授权从脚本式操作改成 GitOps：每人一份 RoleBinding 与 ClusterRoleBinding 写进 Git，由 Argo CD 带 prune 同步；证书签发后无法吊销，能回收的只有授权。

对比 ArgoCD 两种应用组织方式，App-of-Apps 和 ApplicationSet，在三个真实项目里的实践。按场景（单人多集群异构、团队多环境同构、混合需求）给出取舍建议和决策框架。

压测时副本数在 3 和 5 之间反复抖动，查到是 ArgoCD selfHeal 在和 HPA 抢 spec.replicas。记录这次排查的证据链、修复方式，以及引出的几个扩缩容问题。

oracle-k3s 从 Flannel 换到 Cilium，翻出 QUIC 超时、Secret 供应链断裂、健康检查和连接串失效、PVC 数据回灌四类问题，哪些复杂度值得保留也因此重新排了序。

这套 Homelab 目前的架构分五层：Proxmox 和 Oracle Cloud 两个集群打底，Terraform 加 Ansible 管基础设施，ArgoCD 管部署，Tailscale、Cloudflare、Vault 和 ZITADEL 负责打通与鉴权。

backup.meirong.dev 某天打不开之后，我给双集群 K3s Homelab 补了一套备份：数据先分类，Kopia 加 CronJob 定时跑，跨集群传备份，配置走 GitOps 管，灾难恢复另有一份 SOP。

Shipwright 是一个构建和发布工具，它是一个 Tekton 的扩展，可以用来构建镜像并发布到 dockerhub。