Aiops探索：基于 Dify + Kubernetes MCP Server 的智能运维实践

git clone https://github.com/containers/kubernetes-mcp-server.gitcd kubernetes-mcp-server

docker build -t kubernetes-mcp-server:latest .

# 导出镜像docker save kubernetes-mcp-server:latest -o k8s-mcp.tar
# 拷贝到各 nodescp k8s-mcp.tar root@node01:/tmp/
# 在 node 上加载进 containerdctr -n k8s.io images import /tmp/k8s-mcp.tar
# 检查是否导入成功ctr -n k8s.io images ls | grep kubernetes-mcp

apiVersion: v1kind: Namespacemetadata:  name: mcp-tools---apiVersion: v1kind: ServiceAccountmetadata:  name: k8s-mcp-server-sa  namespace: mcp-tools---# 授予最小权限原则 (Principle of Least Privilege)# 我们只授予读取、描述和日志查看权限，避免任何破坏性操作apiVersion: rbac.authorization.k8s.io/v1kind: ClusterRole # 使用 ClusterRole 以便跨命名空间查询metadata:  name: k8s-mcp-server-rolerules:- apiGroups: [""]  resources: ["pods", "nodes", "services", "namespaces", "events"]  verbs: ["get", "list", "watch"]- apiGroups: [""]  resources: ["pods/log"]  verbs: ["get"]- apiGroups: [""]  resources: ["pods/exec"]  verbs: ["create"]- apiGroups: ["apps"]  resources: ["deployments", "replicasets", "daemonsets", "statefulsets"]  verbs: ["get", "list", "watch"]- apiGroups: ["extensions"]  resources: ["deployments", "replicasets", "daemonsets"]  verbs: ["get", "list", "watch"]- apiGroups: ["metrics.k8s.io"]  resources: ["pods", "nodes"]  verbs: ["get", "list"]---apiVersion: rbac.authorization.k8s.io/v1kind: ClusterRoleBindingmetadata:  name: k8s-mcp-server-rolebindingsubjects:- kind: ServiceAccount  name: k8s-mcp-server-sa  namespace: mcp-toolsroleRef:  kind: ClusterRole  name: k8s-mcp-server-role  apiGroup: rbac.authorization.k8s.io---apiVersion: apps/v1kind: Deploymentmetadata:  name: kubernetes-mcp-server  namespace: mcp-tools  labels:    app: kubernetes-mcp-serverspec:  replicas: 1  selector:    matchLabels:      app: kubernetes-mcp-server  template:    metadata:      labels:        app: kubernetes-mcp-server    spec:      serviceAccountName: k8s-mcp-server-sa      containers:      - name: server        # 使用自己编译的镜像         image: kubernetes-mcp-server:latest        imagePullPolicy: IfNotPresent        # 该镜像默认使用集群内配置，无需额外参数        # 如果需要指定 kubeconfig，可以添加 args 和 volume        # args: ["--kubeconfig", "/etc/kubeconfig/config"]        # volumeMounts:        # - name: kubeconfig        #   mountPath: /etc/kubeconfig        #   readOnly: true      # volumes:      # - name: kubeconfig      #   secret:      #     secretName: kubeconfig-secret---apiVersion: v1kind: Servicemetadata:  name: kubernetes-mcp-server  namespace: mcp-toolsspec:  selector:    app: kubernetes-mcp-server  type: NodePort  ports:  - name: http    port: 8080          # Pod 内部端口    targetPort: 8080    nodePort: 30080

POD_NAME=$(kubectl get pods -n mcp-tools -l app=kubernetes-mcp-server -o jsonpath='{.items[0].metadata.name}')kubectl exec -it $POD_NAME -n mcp-tools -- sh

cat /var/run/secrets/kubernetes.io/serviceaccount/token

你是一个经验丰富的 Kubernetes 运维专家。你的任务是帮助用户查询和诊断 Kubernetes 集群的状态。请根据提供给你的工具来选择具体的任务，比如查看命名空间的工具就是namespaces_list，查看节点日志的工具是nodes_log。你完全可以根据工具的名称来推测其用途。请遵循以下工作流程：1.  **理解意图**：仔细分析用户的请求，明确他们想做什么。2.  **收集参数**：如果用户没有提供必要的参数（如 `namespace`, `pod_name`），请主动询问。例如，如果用户说“看看 web 服务的日志”，你需要问：“请告诉我 web 服务所在的命名空间和 Pod 名称？”3.  **调用工具**：根据收集到的信息，选择并调用最合适的工具。4.  **分析结果**：仔细分析工具返回的原始数据，特别是 `Events` 部分，它们通常是问题的关键线索。5.  **友好总结**：将技术细节和数据分析结果，用清晰、易懂的自然语言总结给用户。如果发现问题，给出可能的排查方向或建议。**重要安全原则**：- 你的权限是只读的，只能查询和诊断，**严禁执行任何修改或删除操作**（如 `delete`, `edit`, `apply`）。- 如果用户提出破坏性请求，请礼貌地拒绝，并解释你的权限限制。