1. 基本信息
| 项目 | 内容 |
|---|---|
| 名称 | gke-app-onboarding-google-skills |
| 作者/维护者 | Google（google/skills 官方仓库） |
| 来源链接 | https://github.com/google/skills/tree/main/skills/cloud/gke-app-onboarding |
| 许可证 | Apache-2.0（GitHub API 获取，适用于整个仓库） |
| GitHub Stars | 19,007（GitHub API 获取；该数字属整个 google/skills 合集仓库，不代表本技能自身热度） |
| Forks | 1,531（GitHub API 获取，同为合集整体数据） |
| 最新版本 | 无独立版本号；技能目录最近一次提交于 2026-08-22（GitHub API 获取，含结构性升级） |
| 安装方式 | npx skills add google/skills 后勾选 “GKE App Onboarding”，或手动复制 skills/cloud/gke-app-onboarding 目录 |
2. 功能介绍与亮点
这是一个覆盖“把一个应用第一次容器化并部署到 GKE”全流程的技能：应用评估、容器化、镜像管理、清单生成、部署与验证。核心能力包括：
- 完整可运行示例：
assets/内附一套加固过的 Node.js 示例（Dockerfile以非 root 用户运行、index.js实现独立的/healthz与/readyz探针端点、deployment.yaml绑定探针的 Deployment + ClusterIP Service），不是纯文字说明，可直接照抄改造。 - 生产加固清单强制项：正文明确列出任何 Pod 规格都必须同时满足
runAsNonRoot、readOnlyRootFilesystem、allowPrivilegeEscalation: false、capabilities.drop: ["ALL"]、seccompProfile: RuntimeDefault、镜像摘要固定等六项，缺一不可。 - 双路径操作：部署与验证步骤同时给出 MCP 工具调用（
apply_k8s_manifest等）与对应的kubectl命令行兜底，未配置 MCP 也能照常工作。 - 首次上线后的路线图：结尾指明后续该配自动扩缩容、可观测性、工作负载安全时分别去看哪个配套技能，避免用户在庞杂的 GKE 技能族里迷路。
3. 适用场景
所属分类：DevOps 与基础设施
适用于第一次把应用容器化并部署到 GKE 的开发者与平台工程师：从评估应用是否有状态、如何暴露端口，到写 Dockerfile、生成加固过的 Kubernetes 清单、构建镜像并验证上线，均可照本技能给出的标准流程与检查清单操作，无需自行拼凑分散的容器化最佳实践。
4. 跨 Agent 兼容性
| Agent | 结论 | 依据 |
|---|---|---|
| Claude Code | 原生支持 ✅ | SKILL.md 遵循 Agent Skills 规范（YAML frontmatter + assets/references 子目录） |
| Codex | 原生支持 ✅ | Codex CLI 读取同一 SKILL.md 目录结构，google/skills 官方安装文档明确列出该目标 |
| OpenClaw | 原生支持 ✅ | 采用相同的 AgentSkills SKILL.md 规范，结构可直接迁移 |
| Hermes Agent | 原生支持 ✅ | 遵循 agentskills.io 开放标准，跨兼容框架可移植 |
⚠️ 正文列出的 MCP 工具（apply_k8s_manifest 等）为可选加速路径，均配有对应的 kubectl 命令行兜底；未接入该 MCP 时技能仍可通过命令行独立完整工作。
5. 推荐理由
它把“应用第一次上 GKE”这件容易踩坑的事——探针配置错误、容器以 root 运行、镜像未固定摘要——直接落成了一份带真实可跑代码的检查清单，而不是留给使用者自己去踩生产事故。assets/ 里的示例本身就是加固过的参考实现，MCP 与 kubectl 双路径也保证了没有额外工具链依赖时同样能用。
6. 评分
| 维度 | 分数 | 说明 |
|---|---|---|
| 受欢迎程度 | 7 | 发布方 Google 是 GKE 产品与技术的所有者；google/skills 属合集仓库，19,007 星属整个仓库，不计入单个子技能，且未查到该子技能自身独立于合集之外的第三方讨论 |
| 可用性 | 9 | assets/ 内附完整可运行的加固示例（Dockerfile、探针端点、Deployment 清单），部署步骤 MCP 与 kubectl 双路径均可用，2026-08-22 有实质性更新，无付费依赖 |
| 安全性 | 9 | 开源可审计，涉及的 gcloud/docker/kubectl 命令权限范围与用途一致，无外发数据，明确建议用 Workload Identity 替代静态密钥；见下方检查清单 |
综合评分：8.33
安全检查清单：
| 检查项 | 结果 |
|---|---|
| ① Shell 命令执行范围 | gcloud/docker/kubectl 均为文档给出的标准命令，权限范围与操作目的一致 |
| ② 运行时联网外发 | 无向第三方服务器外发数据；仅与用户自己的 GCP 项目/GKE 集群交互 |
| ③ API Key/凭据 | 不要求硬编码密钥，依赖标准 gcloud 身份认证，并建议用 Workload Identity 替代静态服务账号密钥 |
| ④ 可疑指令 | 通读 SKILL.md 与 assets/references，未发现夹带无关推广或索取凭据的指令 |
| ⑤ 作者信誉 | Google 官方仓库，GKE 产品团队维护，无造假迹象 |
| ⑥ License | Apache-2.0，明确开源 |
| ⑦ 最近维护 | 2026-08-22 有结构性更新，维护活跃 |
7. 跟同类 Skills 相比的优势
| 技能 | 部署目标 | 特点 |
|---|---|---|
| gke-app-onboarding-google-skills（本技能） | GKE（Kubernetes） | 从容器化到清单生成的完整首次上线流程，附带加固过的可运行示例 |
| Cloud Run Basics Google Skills | Cloud Run（无服务器容器） | 面向无需管理集群的轻量部署场景，省去 Kubernetes 清单与探针配置 |
| gke-golden-path-google-skills | GKE 集群本身 | 提供集群级默认配置与生产就绪检查表，不涉及应用容器化与清单编写 |
| render-deploy-render-oss-skills | Render（第三方 PaaS） | 面向 Render 平台的一键部署，适合不绑定 GCP 生态的团队 |
GKE 相比 Cloud Run 需要用户自行管理集群与网络，但换来更细粒度的资源调度与工作负载控制；本技能填补的正是“决定用 GKE 之后，第一个应用具体怎么容器化上线”这一步，与专注集群本身配置的 gke-golden-path-google-skills 分工互补、不重叠。
8. 用户评价
该技能目前在第三方平台尚无具名用户评价。GKE 产品经理 Victor Szalvay 在其个人博客中提到，生产环境应优先选用 google/skills 官方仓库中的技能（而非其个人实验性质的替代品），但该文章未具体评价本技能。
9. 安装使用方式
- 通用安装：
npx skills add google/skills，交互式勾选 “GKE App Onboarding” 后自动写入当前 agent 的技能目录。 - 手动安装：直接复制仓库中的
skills/cloud/gke-app-onboarding/整个目录（含SKILL.md、assets/、references/）到所用 agent 的技能目录下。 - 使用前提：需已开通 Google Cloud 项目并完成
gcloud auth login；若使用 MCP 加速路径，需额外配置对应的 GKE MCP 工具。 - 触发方式：向 agent 提出“把这个应用部署到 GKE”或“帮我容器化这个服务”类请求即可触发，无需重启 agent。
10. 注意事项
- 技能正文给出的 Pod 加固清单（非 root、只读文件系统、丢弃全部 capabilities 等）需要使用者按自身应用逐项核对是否兼容，部分遗留应用可能需要额外改造才能满足。
- MCP 工具路径依赖用户自行配置对应的 GKE MCP 服务器，未配置时请改用文中提供的
kubectl命令行兜底。 - 与同仓库的
gke-workload-scaling、gke-observability、gke-workload-security等技能配合使用效果更完整，本技能本身不覆盖扩缩容、监控告警与运行时安全加固。