监控不是摆设，得让它真干活
系统跑着的时候没人喊，一出问题电话就响个不停。很多团队把监控当成上线前的“合规动作”，配完仪表盘就不管了。实际上，云原生环境里服务动不动就几十个，Pod 自动扩缩容，IP 每天变好几轮，靠人盯着界面看根本不现实。告警规则得按业务影响来设，比如支付接口延迟超过500ms就得通知值班人员，而不是等用户投诉才反应过来。
日志别堆成垃圾场
每个服务都往ELK里扔日志，结果查问题时像在翻垃圾堆。统一日志格式是第一步，JSON结构化输出，带上下文信息，比如请求ID、用户ID、服务名。排查一个订单失败的问题，能顺着trace一路追到具体哪个实例处理异常，而不是花两小时先猜日志在哪。
配置管理别再塞在代码里
改个数据库连接字符串还得重新打包镜像？这在云原生里太原始了。用ConfigMap或者专门的配置中心，环境变量通过Kubernetes注入。测试环境和生产环境切换就像换电池，不用动代码。之前有团队在生产删错配置，直接导致服务启动不了，后来上了配置版本回滚，几分钟就能恢复。
安全更新不能拖
基础镜像三个月没更新，某天爆出严重漏洞，全集群都受影响。定期扫描镜像依赖，自动提醒CVE风险。有些团队设成每周一早上自动构建一次基础镜像，包含最新补丁，哪怕没功能更新也推一把。小步快跑总比积压一堆补丁最后不敢动强。
apiVersion: batch/v1
kind: CronJob
metadata:
name: security-scan-job
spec:
schedule: "0 8 * * 1"
jobTemplate:
spec:
template:
spec:
containers:
- name: scanner
image: aquasec/trivy:latest
args:
- --scan-type=vuln
- /var/lib/docker别让网络策略成摆设
微服务之间谁都能互访，一个被攻破，横向移动分分钟扩散到整个集群。NetworkPolicy要按最小权限配置，比如订单服务只能访问数据库和用户认证服务，其他一律禁止。就像小区单元门禁，不是说你是住户就能进别人家。
备份不只是存文件
Elasticsearch数据丢了，以为有快照就万事大吉，结果恢复时发现快照权限没配，折腾半天。定期演练恢复流程，别等到真出事才发现备份不可用。StatefulSet里的数据卷、数据库、配置中心内容都得覆盖到，就像家里买保险，不光要看保单有没有，还得知道怎么理赔。