1. 基本信息
| 项目 | 内容 |
|---|---|
| 名称 | gke-golden-path-google-skills |
| 作者/维护者 | Google Cloud（仓库账号 google，提交记录以内部同步账号 cloud-ix-copybara 为主） |
| 来源链接 | https://github.com/google/skills/tree/main/skills/cloud/gke-golden-path |
| 许可证 | Apache-2.0（GitHub API 确认） |
| GitHub Stars / Forks | 15,200 / 1,184（GitHub API 实测；该数字为仓库整体，本技能所在子目录不单独统计 star，仅作背景参考） |
| 最新版本 | 无正式 Release/Tag，滚动更新；本技能所在子目录最近一次实质性提交为 2026-07-14 |
| 安装方式 | npx skills add google/skills，安装时从交互列表勾选本技能 |
2. 功能介绍与亮点
gke-golden-path 是 Google Cloud 官方维护的 GKE（Google Kubernetes Engine）生产集群配置基线技能，定义了一套“黄金路径”（Golden Path）Autopilot 默认配置，用于新建集群设计、生产就绪核查与既有配置比对。
主要亮点：
- 区分 Day-0 与 Day-1 决策：明确标注哪些设置（网络方案、是否私有节点、子网划分、IP 分配）在集群创建后几乎无法更改，要求在建群前优先确认，避免用户事后才发现网络架构选错。
- 默认值即表格，可直接核对：私有节点、Workload Identity、RBAC 加固、Secret Manager 轮换、Shielded VM 安全启动等十余项安全与可观测性默认设置逐条列成表格，Agent 可据此直接生成集群配置或审计既有集群的偏离项。
- 允许偏离但强制记录取舍：对于机型、磁盘类型、Pod 密度等“可自定义项”，技能要求在偏离默认值时向用户说明具体权衡（如提高
maxPodsPerNode会占用更多 CIDR 空间），而不是一刀切强制默认值。 - 工具优先级明确：正文写明“MCP 工具 > gcloud > kubectl”的调用顺序，并给出用户可显式要求改用 gcloud 或 kubectl 的例外条款，即使宿主环境没有配置 GKE MCP 服务器也能正常工作。
- 安装单元干净：目录下仅含一份 SKILL.md 与一个引用的 YAML 配置资源文件，无附带脚本。
3. 适用场景
所属固定分类：DevOps 与基础设施
- 计划新建生产级 GKE 集群、需要一套官方认可默认配置作为起点的平台工程师与 SRE。
- 需要对已有 GKE 集群做生产就绪核查、找出与官方安全基线偏离项的运维团队。
- 使用 Claude Code、Codex 等编码助手协助设计集群配置、但不熟悉 GKE 网络与安全默认值细节的初中级用户。
4. 跨 Agent 兼容性
| Agent | 结论 | 判断依据 |
|---|---|---|
| Claude Code | ✅ 原生支持 | 仓库 README 给出 npx skills add 安装命令；该安装器（vercel-labs/skills）README 明确列出 Claude Code 为核心支持对象 |
| Codex | ✅ 支持 | 同一安装器 README 明确列出 Codex 为核心支持对象 |
| OpenClaw | ✅ 支持 | 安装器源码（src/agents.ts）中存在专属 openclaw 配置项，自动探测 ~/.openclaw、~/.clawdbot、~/.moltbot 三种安装路径 |
| Hermes Agent | ✅ 支持 | 同一源码中存在专属 hermes-agent 配置项，探测路径为 ~/.hermes |
以上四个 Agent 均可用该安装器把 SKILL.md 写入各自技能目录；技能正文中提及的 GKE MCP 工具（get_cluster 等）为可选加速路径，未配置时技能会按正文说明改用 gcloud/kubectl。
5. 推荐理由
新建 GKE 生产集群时最容易踩坑的是网络架构、私有节点、Workload Identity 这类“创建后无法轻易更改”的 Day-0 决策，而这类经验通常散落在 Google Cloud 文档的不同页面里，初中级用户很难一次性拼凑齐全。这个技能把 Google Cloud 内部团队沉淀的黄金路径配置表直接结构化成 Agent 可执行的规则集，既给出可直接套用的默认值，也保留了带取舍说明的自定义空间，帮助用户在不牺牲生产安全基线的前提下快速拿到一份可信的起始配置。
6. 评分
| 维度 | 分数 | 说明 |
|---|---|---|
| 受欢迎程度 | 8 | 官方 Google Cloud 团队维护，仓库整体 15,200 stars、Apache-2.0；该数字属整个合集仓库，不代表本子技能自身热度，本子目录自身可查得的独立提交记录较少 |
| 可用性 | 9 | 一条 npx skills add 命令即可选装；SKILL.md 内容完整，含默认值表格、自定义项权衡说明与引用配置文件；子目录最近一次实质提交为 2026-07-14；无需任何额外付费依赖，仅需用户自有 GCP 账号 |
| 安全性 | 9 | 见下方检查清单 |
| 综合 | 8.7 | 三项均值 |
安全检查清单：
| 检查项 | 结果 |
|---|---|
| ① Shell 命令执行及权限范围 | 有——建议通过 MCP 工具、gcloud、kubectl 创建或更新集群，范围限定在用户自己的 GKE 集群与 GCP 项目内，每项操作均有明确用途说明 |
| ② 运行时联网外发数据 | 未发现——技能本身不发起网络请求，所有操作依赖用户自行调用的 gcloud/kubectl/MCP 工具，且正文明确要求经用户自有身份鉴权 |
| ③ API key/凭据要求及存储方式 | 复用用户既有 GCP 身份鉴权，技能本身不要求额外密钥；正文显式写明“不得索取或输出密钥、令牌、服务账号 JSON” |
| ④ SKILL.md 中可疑指令 | 亲自抓取 SKILL.md 全文逐段核实，未发现 prompt injection 或要求忽略先前指令的迹象，内容为纯技术配置参考 |
| ⑤ 作者/组织信誉 | 官方 Google Cloud 团队，提交记录以内部同步账号为主，无造假迹象 |
| ⑥ License 是否明确 | 明确，Apache-2.0 |
| ⑦ 最近维护时间 | 本子目录最近一次实质更新为 2026-07-14，仓库整体持续活跃（近 24 小时内有提交） |
7. 跟同类 Skills 相比的优势
| 维度 | gke-golden-path-google-skills（本推荐） | kubernetes-skill（LukasNiessen，306★） |
|---|---|---|
| 定位 | 面向 GKE 集群创建与生产就绪核查，给出具体默认配置值 | 面向 manifest 生成/审查阶段的六大失效模式安全诊断 |
| 平台覆盖 | 专注 GKE（Google 云托管 Kubernetes） | 原生 K8s + EKS/GKE/AKS/OpenShift/k3s 多平台通用 |
| 出品方 | Google Cloud 官方团队 | 个人开发者 |
| 交付形式 | 逐项配置默认值表格 + 可直接引用的 YAML 资源文件 | 失效模式诊断路由，不给出具体配置值 |
核心差异化：两者作用阶段不同——kubernetes-skill 关注“生成的 manifest 本身是否隐藏了不安全的默认值”，属于通用 K8s 层面的静态诊断；本技能关注“这套 GKE 集群的整体配置是否符合官方生产基线”，聚焦 GKE 专属的 Autopilot、Workload Identity、Secret Manager 等托管特性，两者可以搭配使用而非互相替代。
8. 用户评价
该技能目前在第三方平台尚无具名用户评价；google/skills 仓库整体已被多家科技媒体报道其官方发布，但报道内容未点名 gke-golden-path 这一具体子技能。
9. 其他补充
同一仓库内还收录了覆盖 GKE 其他运维环节（成本优化、可观测性、可靠性等）的官方技能，可按实际运维阶段组合安装，不属于本技能的功能范围。
10. 安装使用方式
- 通用方式（Skills CLI）：
npx skills add google/skills，从交互列表中勾选gke-golden-path - 支持平台：安装器官方支持列表包含 Claude Code、Codex、OpenClaw、Hermes Agent、Cursor 等 70 余种 Agent
- 安装后无需重启宿主 Agent；在涉及 GKE 集群创建、配置审计、生产就绪核查等对话场景中，Agent 会依据
description字段自动匹配并加载本技能
11. 注意事项
- 内容假设用户已具备 GKE 集群与相应
gcloud/kubectl访问权限，不适合尚未开通 GCP 账号的用户直接使用 - 部分默认值（如 Pod 密度、机型选型）需要结合具体工作负载判断是否偏离，技能给出了权衡说明但最终取舍仍需用户确认
- 无正式 Release/Tag，采用滚动更新，如需锁定版本建议固定到具体 commit
- GKE MCP 工具为可选加速路径，未配置时技能会自动降级为 gcloud/kubectl 指令，但生成效率会有所下降