mulerun不原生兼容kubernetes，但可通过五种路径适配：一、vm-on-k8s（如kubevirt）；二、容器化为statefulset；三、agent作为job/deployment运行；四、混合部署（云控面+边缘agent）；五、强制安全策略加固。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您希望将MuleRun（骡子快跑）部署于生产级容器编排环境，但不确定其是否兼容Kubernetes平台，则需明确其运行形态与架构约束。MuleRun以用户专属云端虚拟机为默认交付单元，其核心服务封装于隔离的轻量级运行时中，并非原生设计为K8s原生应用。以下是适配K8s环境的多种部署路径：
一、通过K8s托管虚拟机实例（VM-on-K8s）
该方式复用MuleRun官方提供的独立虚拟机镜像，在Kubernetes集群中以虚拟机形式运行，保持数据物理隔离与安全闭环特性。适用于对隐私合规有强要求、且已具备KubeVirt或Harvester等VM编排能力的组织。
1、确认集群已启用KubeVirt或类似VM编排插件，并完成CRD注册。
2、将MuleRun官方发布的qcow2格式虚拟机镜像上传至集群内持久化存储（如Ceph RBD或NFS-backed PVC）。
3、创建VirtualMachine资源定义，指定CPU核数≥2、内存≥4Gi、磁盘空间≥20Gi，并挂载上述镜像。
4、配置Service类型为LoadBalancer或NodePort，暴露Web访问端口（默认443）至集群外部。
5、启动VirtualMachine实例，等待其内部系统初始化完成并响应HTTPS健康检查。
二、容器化封装后部署为StatefulSet
此方案将MuleRun运行时解包为OCI镜像，剥离对宿主机虚拟化层的依赖，以无状态服务组件方式接入K8s调度体系。需注意：该模式下用户数据需外置至独立云数据库与对象存储，不再享有默认的物理隔离保障。
1、从MuleRun开发者门户下载runtime-distribution包，提取核心服务二进制与配置模板。
2、编写Dockerfile，基于alpine:3.19基础镜像，COPY服务二进制、TLS证书及预置config.yaml。
3、构建镜像并推送至私有Registry（如Harbor），确保镜像标签包含版本号与架构标识（如amd64-v1.2.0）。
4、创建Secret资源，注入加密密钥、数据库连接串与OAuth2客户端凭证。
5、部署StatefulSet，设置replicas=1、volumeClaimTemplates绑定SSD型PVC用于日志与临时缓存。
三、Agent工作流层分离部署
该方法不直接运行MuleRun主服务，而是将其Agent网络生态中的可执行单元（即单个Agent）作为独立Job或Deployment运行于K8s，由外部控制面统一调度。适用于仅需调用特定Agent能力（如电商比价、合同解析）的轻量集成场景。
1、在MuleRun平台导出目标Agent的OpenAPI Schema与执行入口URL。
2、使用kubectl apply -f 创建一个Deployment，镜像为通用HTTP代理容器（如envoyproxy/envoy-alpine），配置上游指向Agent endpoint。
3、为Deployment添加Service与Ingress资源，启用mTLS双向认证与请求速率限制。
4、通过ConfigMap注入Agent所需的上下文参数模板（如tenant_id、workspace_key）。
5、验证Pod就绪探针返回HTTP 200且响应体含valid:true字段。
四、混合部署：核心控制面云托管 + 边缘Agent K8s原生运行
此架构将MuleRun的用户身份管理、Agent市场索引、权限策略引擎等高一致性组件保留在官方云环境，仅将用户实际调用的Agent执行器下沉至本地K8s集群，兼顾安全性与低延迟。
1、在MuleRun控制台启用“边缘执行器”开关，并获取专属activation token。
2、在目标K8s集群中部署mulerun-edge-operator Helm Chart，传入token与命名空间白名单。
3、operator自动监听MuleRun平台下发的Agent部署指令，动态生成对应的Job CRD。
4、每个Job拉取对应Agent的专用镜像（由MuleRun Builder服务构建并签名），执行完成后自动清理Pod与临时卷。
5、执行日志经Fluentd采集后，通过加密通道回传至MuleRun云侧审计中心。
五、K8s准入控制与安全加固要点
无论采用何种部署形态，均须在集群层面强制实施策略约束，防止MuleRun相关工作负载越权访问或横向渗透。
1、部署OPA Gatekeeper，加载k8srequiredlabels模板，强制所有MuleRun命名空间标注environment=prod与mulerun-version=v1.2.0。
2、启用PodSecurityPolicy或Pod Security Admission，禁止privileged:true、hostNetwork:true与hostPath卷挂载。
3、为MuleRun ServiceAccount绑定Role，仅允许get/list/watch对secrets、configmaps、pods/exec的最小权限集合。
4、配置NetworkPolicy，限制MuleRun Pod仅能访问指定IP段的数据库与对象存储Endpoint，禁止对外任意连接。
5、使用Kyverno策略自动注入sidecar容器，对所有出向HTTPS流量进行TLS证书钉扎校验，校验域名必须为*.mulerun.io或用户备案的专属域名。
