pulumi-stacks（Pulumi堆栈管理）Skill 如何管理多环境部署？

Pulumi堆栈管理Skill：用一套基础设施代码，管好开发、测试、生产三套环境

核心定位：围绕 Pulumi 堆栈（Stack）这一"隔离、独立可配置的实例"概念，帮你把同一份基础设施代码安全地部署到开发、测试、生产等多个环境。
关键能力：堆栈创建与切换、环境配置与加密秘密、条件资源创建、跨堆栈引用、堆栈输出导出、全局资源转换、状态导入导出与刷新。
使用门槛：需要本机已安装 Pulumi CLI 并配置好云厂商凭据；技能本身允许的工具为 Bash 与 Read，主要通过命令行与配置文件协同完成工作。
典型收益：避免复制粘贴多套基础设施代码，减少环境漂移与配置错误，把"改一处、全环境一致"变成常态。
适用人群：平台工程团队、DevOps/SRE、需要为多环境交付云资源的后端与全栈开发者。

该技能叫什么？如何一键安装 AI 技能提升开发效率？

技能基本信息

项目	内容
技能中文名	Pulumi堆栈管理Skill
技能英文名	pulumi-stacks
技能ID	13917
允许工具	Bash、Read
可被用户直接调用	否（由 AI 在合适的任务中自动匹配调用）

它解决什么问题

用 Pulumi 写基础设施代码的人，很快就会遇到一类共性问题：同一套代码要跑在开发、测试、生产三套环境里，但每套环境的区域、实例规格、节点数量、是否开启监控、备份保留天数都不一样。如果靠复制项目、手动改参数、临时改代码，就会出现配置漂移、秘密泄露、生产资源被误删等风险。

这个技能把 Pulumi 堆栈相关的标准做法、常用命令、配置文件结构、代码示例与最佳实践沉淀成一份可被 AI 直接读取的知识资产。当你在对话中提出"帮我给这个 Pulumi 项目加一个 staging 堆栈"“生产环境要单独设置备份保留 30 天”"怎么在代码里读取秘密配置"这类需求时，AI 可以依据技能内容给出贴合 Pulumi 实际用法的命令与代码，而不是凭空编造参数。

一键安装的思路与步骤

确认安装前提：本机需要已安装 Pulumi CLI 并完成登录与云厂商凭据配置（具体安装方式与登录命令以 Pulumi 官方说明为准）；同时确认你的 AI 客户端支持技能（Skill）机制。
获取并启用技能：在技能市场/技能管理入口中搜索技能英文名 pulumi-stacks 或技能ID 13917，执行安装或启用操作。具体入口路径、是否支持命令行安装，以你所使用平台的官方说明为准。
确认权限范围：该技能声明的允许工具为 Bash 与 Read，意味着它主要在"读文件 + 执行命令"的范围内协助你，不涉及额外的写入型工具。
验证是否生效：启用后，在对话中提出一个明确的堆栈相关请求，例如"列出创建堆栈、切换堆栈、删除堆栈的 Pulumi 命令，并说明每个堆栈应有哪些配置文件"。若回答中出现 pulumi stack init、pulumi stack select、pulumi stack ls 以及 Pulumi.dev.yaml 等与技能内容一致的信息，说明技能已正常生效。
注意调用方式：由于该技能标记为"用户不可直接调用"，通常不需要（也无法）手动点名调用，而是由 AI 根据任务语义自动匹配。

该技能的主要功能和特点

堆栈生命周期管理：覆盖初始化项目（如 pulumi new aws-typescript）、创建堆栈（pulumi stack init dev）、列出堆栈（pulumi stack ls）、选择堆栈（pulumi stack select dev）、查看当前堆栈（pulumi stack）与移除堆栈（pulumi stack rm dev）的完整操作链路。
环境配置与加密秘密：支持用 pulumi config set 设置普通配置、用 pulumi config set --secret 设置加密秘密，并提供 pulumi config get、pulumi config、pulumi config rm 的读取与清理用法，秘密在状态中保持加密。
规范化的配置文件结构：明确区分项目文件 Pulumi.yaml 与各环境堆栈文件 Pulumi.dev.yaml、Pulumi.staging.yaml、Pulumi.prod.yaml，并给出实例类型、最小/最大节点数、是否开启监控、备份保留天数等典型配置项写法。
代码内读取配置：同时提供 TypeScript 与 Python 两种语言的读取范式，包括 config.get、config.require、config.getNumber、config.getBoolean、config.requireSecret 等 API 的用法与默认值处理。
环境特定资源与条件创建：可按环境决定可用区数量、是否创建 NAT 网关、数据库实例规格、存储容量、是否多可用区、备份保留期、是否跳过最终快照，真正做到"一套代码、多套形态"。
跨堆栈引用：通过 pulumi.StackReference 引用其他堆栈（如 myorg/infra/prod）导出的 VPC ID、子网 ID 等，实现网络层、数据层、应用层的关注点分离，避免代码复制。
堆栈输出与外部集成：支持 pulumi stack output、--json 输出以及在 Shell 脚本中取值，方便把基础设施结果接入 CI/CD 或本地脚本。
全局与资源级转换：通过 pulumi.runtime.registerStackTransformation 自动为所有 AWS 资源打上环境、项目、堆栈等标签，或强制开启 S3 服务端加密、RDS 存储加密，实现"策略即代码"的统一治理。
状态管理与灾备：提供 pulumi stack export / pulumi stack import 状态备份与迁移、pulumi refresh 状态刷新、pulumi state delete 与 pulumi state rename 精细化状态操作。
生产保护机制：通过 protect 选项与 retainOnDelete 保留策略，防止误删生产数据库与存储桶。
最佳实践与常见陷阱清单：内置 15 条最佳实践与 15 条常见陷阱，例如不要在环境间共享状态、不要把秘密明文写进配置、不要硬编码环境值。

和普通"查文档"相比，它的差异在于：把命令、配置文件模板、多语言代码示例和风险提示打包成可直接落地的上下文，减少来回翻文档与试错。

如何使用该技能？

第 1 步：初始化项目与第一个堆栈

在空目录中执行 pulumi new aws-typescript 初始化项目，随后用 pulumi stack init dev 创建开发堆栈，用 pulumi stack ls 确认堆栈列表。

第 2 步：为每个环境准备配置文件

在项目根目录维护 Pulumi.yaml 定义项目名、运行时与配置项说明及默认值，再分别创建环境堆栈文件。例如生产配置：

config:
  aws:region: us-west-2
  my-infrastructure:instanceType: t3.medium
  my-infrastructure:environment: 生产
  my-infrastructure:minSize: "3"
  my-infrastructure:maxSize: "10"
  my-infrastructure:enableMonitoring: "true"
  my-infrastructure:backupRetention: "30"

测试环境则使用较小的 t3.small、2~5 个节点；开发环境用 t3.micro、1~3 个节点并关闭监控，形成清晰的规格梯度。

第 3 步：设置配置与秘密

pulumi config set aws:region us-east-1
pulumi config set instanceType t3.micro
pulumi config set --secret dbPassword mySecurePassword123
pulumi config get aws:region

第 4 步：在代码中读取配置并驱动资源

TypeScript 示例：

const config = new pulumi.Config();
const environment = config.require("environment");
const minSize = config.getNumber("minSize") || 1;
const enableMonitoring = config.getBoolean("enableMonitoring") || false;
const dbPassword = config.requireSecret("dbPassword");

const instance = new aws.ec2.Instance("web-server", {
    instanceType: config.get("instanceType") || "t3.micro",
    ami: "ami-0c55b159cbfafe1f0",
    monitoring: enableMonitoring,
    tags: { Name: `web-server-${environment}`, Environment: environment },
});

export const stackName = pulumi.getStack();
export const instanceId = instance.id;

输入是各环境的 YAML 配置，输出是带环境标签的云资源，以及可供其他堆栈或脚本消费的导出值。

第 5 步：按环境差异化创建资源

用条件判断控制资源形态，例如生产环境才创建 NAT 网关、才启用多可用区数据库与 30 天备份保留，非生产环境跳过最终快照。

第 6 步：跨堆栈引用共享基础设施

先在基础设施堆栈（如 infra）中导出 vpcId、subnetId，再在应用堆栈中引用：

const infraStack = new pulumi.StackReference("myorg/infra/prod");
const vpcId = infraStack.getOutput("vpcId");

部署顺序为：cd infra && pulumi stack select prod && pulumi up，然后 cd ../app && pulumi stack select prod && pulumi up，最后用 pulumi stack output --stack myorg/infra/prod 核对输出。

第 7 步：统一打标签与加固策略

注册全局转换，为所有 AWS 资源自动附加 Environment、ManagedBy、Stack 标签；再注册资源级转换，强制 S3 使用 AES256 服务端加密、RDS 开启 storageEncrypted。

第 8 步：备份、刷新与保护

定期执行 pulumi stack export --file stack-backup.json 备份状态；用 pulumi refresh 对齐真实云状态；对生产资源设置 protect: true 与 retainOnDelete: true。

使用提示：pulumi config get dbPassword --show-secrets、pulumi stack export --show-secrets 会输出明文秘密，仅限本地排障使用，切勿提交到仓库或贴进公共对话。

同类型竞品对比分析

方案名称	定位	核心功能	安装/使用门槛	适用场景	优势与不足
Pulumi堆栈管理Skill（pulumi-stacks）	面向 AI 助手的 Pulumi 堆栈知识技能	堆栈生命周期、环境配置、加密秘密、跨堆栈引用、状态管理与最佳实践	需已具备 Pulumi CLI 与云凭据；技能侧启用即可，具体入口以平台官方说明为准	已选型 Pulumi、需要多环境一致交付的团队	优势：命令与代码范例齐全、风险提示到位；不足：仅覆盖堆栈维度，不替代 Pulumi 官方文档与实操验证
原生 Pulumi CLI + 官方文档	基础设施即代码工具本体	全量资源编排、状态后端、策略包等	需自行安装 CLI、登录并熟悉概念	各类规模的云资源编排	优势：能力最全、权威；不足：多环境最佳实践需自行检索拼装，学习曲线较陡
Terraform（工作区/目录隔离）	主流 IaC 工具	以工作区或分目录方式隔离环境，HCL 声明式配置	需安装 Terraform 并维护状态后端	多云、强声明式的资源管理	优势：生态成熟、社区大；不足：多环境隔离多依赖工作区约定，配置复用需借助模块设计
云厂商原生 IaC（如各云资源编排服务）	云平台内置编排	与自家云深度集成，控制台可视化程度高	门槛较低，但易被单一云绑定	单云为主、追求开箱即用的团队	优势：集成度高；不足：跨云能力弱，多环境配置治理灵活度有限

选型建议：已经或倾向使用 Pulumi 的团队，优先用本技能补齐多环境规范；尚未选型时，可先用本技能了解 Pulumi 堆栈模型，再与 Terraform 工作区方案对比决策。

该技能的典型应用场景与实际体验情况

场景一：三人小团队的多环境交付

角色为全栈开发者，痛点是"改一次代码要手动同步三份配置"。使用方式是先用技能给出的 Pulumi.dev.yaml/staging/prod 模板搭建配置骨架，再用 config.getNumber、config.getBoolean 在代码里读取并驱动实例规格与监控开关。实际体验：骨架搭建阶段收益最明显，能省去反复查命令的时间；注意首次部署到新堆栈时务必先补齐必填配置，否则容易触发"缺失配置"陷阱。

场景二：平台团队拆分基础设施与应用

角色为平台工程师，痛点是网络、数据库、应用耦合在一个巨型项目里，改动风险高。使用方式是通过堆栈引用把 infra 堆栈的输出（VPC、子网）暴露给 app 堆栈，按 infra → app 顺序部署。实际体验：解耦后职责清晰、变更影响面可控；但需严格记录堆栈依赖与导出项，技能中"损坏引用""缺失导出"两条陷阱非常贴合真实故障。

场景三：生产安全加固与审计

角色为 SRE，痛点是担心有人新建 S3 桶忘了加密、生产数据库被误删。使用方式是注册全局转换统一打标签，注册资源级转换强制加密，并对生产 RDS 与存储桶设置 protect 与 retainOnDelete。实际体验：一次配置、全局生效，审计口径统一；注意转换逻辑要避免误改非目标资源类型。

场景四：多区域部署与成本归集

角色为架构师，痛点是同一业务要在多个区域上线，且需要按环境追踪成本。使用方式是采用 us-east-1-prod、us-west-2-prod 这类"区域-环境"命名堆栈，并在公共标签中写入 CostCenter、Owner。实际体验：命名规范一旦统一，堆栈列表一目了然；提醒避免"堆栈扩散"，堆栈数量增长需配合清晰的组织约定。

整体上手难度：对熟悉命令行与 YAML 的开发者偏友好；对不熟悉 Pulumi 概念（项目、堆栈、状态）的新手，建议先跑通一个 dev 堆栈再扩展。

该技能能为用户带来的价值

效率提升：堆栈初始化、配置设置、输出导出等高频操作有现成命令范式，减少查文档与试错时间；多环境配置从"复制粘贴改参数"变为"维护几份 YAML"。
降低门槛：TypeScript 与 Python 双语言示例直接给出读取配置、使用秘密、条件创建资源的写法，新手不必先啃完整概念体系即可动手。
风险收敛：内置的秘密加密用法、生产 protect/retainOnDelete、状态备份与刷新、15 条常见陷阱，把易踩的坑前置暴露，降低误删生产资源与秘密泄露的概率。
一致性收益：一套代码 + 环境化配置 + 全局标签转换，让环境之间只差"规模与开关"，显著减少配置漂移带来的排障成本。
长期价值：堆栈引用与关注点分离让基础设施可以随组织成长逐步拆分，状态导出导入能力也为迁移与灾备留出退路。

常见问题 FAQ

Q1：这个技能怎么安装？装完怎么确认生效？

在所用 AI 平台的技能管理入口搜索 pulumi-stacks 或技能ID 13917 启用即可，具体入口与是否支持命令安装以平台官方说明为准。安装前提是本机已具备 Pulumi CLI 与云凭据。验证方式是提问"创建、切换、删除堆栈分别用什么命令"，若回答包含 pulumi stack init、pulumi stack select、pulumi stack rm 即说明生效。

Q2：这个技能收费吗？

技能本身在本文档中未提供任何价格信息，是否收费取决于你所在平台的技能分发策略，请以官方说明为准。技能内容涉及的 Pulumi 工具与云资源费用，同样以 Pulumi 与云厂商官方计费说明为准。

Q3：为什么我不能直接"调用"这个技能？

技能信息中标注"用户可调用: false"，说明它不设计为手动点名触发，而是由 AI 在识别到"多环境部署、堆栈配置、秘密管理、状态迁移"等任务时自动匹配使用。你只需用自然语言描述目标即可。

Q4：它适合谁用？不适合谁？

适合已使用或准备使用 Pulumi、需要把基础设施交付到开发/测试/生产多环境的平台团队、DevOps/SRE 与后端开发者。若你完全不用 Pulumi、或只需要单环境一次性部署，收益会明显下降。

Q5：它和直接查 Pulumi 官方文档、或改用 Terraform 工作区有什么区别？

本技能把堆栈命令、配置文件模板、双语言代码示例、最佳实践与陷阱整合为可直接落地的上下文，省去检索拼装；但它不替代官方文档的完整性与实际验证。若团队已深度使用 Terraform，工作区/模块方案更顺势；若倾向用通用编程语言写基础设施并需要强多环境隔离，Pulumi 堆栈配合本技能更合适。