Among Clusters 开源 · BYOC 互联

互联那些不归你管的集群。

Among Clusters 是主权集群互联控制面。每个 Kubernetes 集群都是独立的信任域。Hub 只分发签名身份、信任包与明确的服务公告，从不接收 Kubernetes 凭据，也不在数据路径上。

了解信任模型查看代码

Gateway 传输 (mTLS 1.3)QUIC

互联资源7

OCI Chart4

Hub 持有的凭据无

互联握手逐步查看流程，或让它自动播放。

两个独立的信任域。虚线只承载控制消息。

信任模型

每个集群保管自己的钥匙。

每个集群保留自己的 API Server、CA、RBAC、调度器与生命周期。互联只分发认证与路由一个明确公告的服务所必需的内容。

由 Hub 分发

签名身份 · 由所有者侧 Agent 创建并保管
信任包 · 双方确认摘要后才安装
Gateway 端点 · 用于 QUIC 与 TLS 1.3 双向认证
服务公告 · 选定的 L4/L7 服务，绑定目标 Peer

从不同步

Kubernetes 凭据 · Hub 从不接收
PodCIDR 与 EndpointSlice · 没有 Pod 地址跨越边界
远端 API 密钥 · 不分发 kubeconfig
托管访问 · ManagedAccessGrant 独立受控，默认关闭

组件

一个控制面、一份访问合约、只读视图。

四个 OCI Chart 独立发布。镜像以不可变的 sha256 摘要配置。

Among Clusters

Hub 负责汇合、CRD 与审计；所有者侧 Agent，以及一个不带 ServiceAccount Token 的独立 QUIC Gateway Pod。

among-clusters →

ConnecTool

供应商中立的合约，通过 OIDC、ToolHive MCP 工作负载与插件市场分发 AI 工具。不保存 OAuth Token。

connectool →

Headlamp 检查

经摘要校验的只读插件，查看 Peer、链路、公告与证据。

headlamp-birfucate →

安装

接入自己的集群，保留本地权威。

在配置公网端点和已确认的 peer-bundle Secret 之前，Gateway 的 UDP 监听保持关闭。

安装 Hub，或加入已有的 Hub。
把签名的 Agent Chart 装到独立命名空间，镜像固定摘要。
给 Service 打上 peering.re8ch.com/advertise=true 和策略注解。

场景矩阵 →

export.sh

# 把一个 Service 公告给已批准的对端
kubectl label service orders peering.re8ch.com/advertise=true
kubectl annotate service orders \
  peering.re8ch.com/protocol=tcp \
  peering.re8ch.com/service-class=app.orders \
  peering.re8ch.com/policy-ref=orders-policy \
  peering.re8ch.com/target-peers=cluster-b \
  peering.re8ch.com/ttl-seconds=300

# 移除标签即撤销
kubectl label service orders peering.re8ch.com/advertise-

开源云产品家族