企业官网建设流程全解析

• AI Agent
• 人工智能
• 大模型
• RAG
• 运维
• 可观测性
• 根因分析
• 后端

Ongrid 是一款开源的运维 AI Agent（ops AI Agent）：它理解你的基础设施、自动定位故障根因，还能通过 Slack、Telegram、Lark、钉钉等 IM 通道直接执行修复。对新手来说，仓库里最让人困惑的通常是四个词：Edge（边缘 Agent）、拓扑（Topology）、Skills（技能）和MCP 服务器。这篇文章用 10 分钟把它们一次讲透，读完你就能看懂 Ongrid 控制台里的每一块功能。

先建立全局印象：Ongrid 解决了什么问题

传统运维的痛点是：告警响了 → 人登录机器 → 翻日志、查指标、看链路 → 拼出根因。整个过程慢，且依赖个人经验。

Ongrid 的思路是把"人"替换成"Agent 团队"：

• 告警触发自动调查：investigator Agent 沿拓扑做关联分析，把根因和证据直接回填到聊天里
• 多 Agent 协作：一个 Coordinator（协调者）把任务分派给 SRE、网络、磁盘、DB 等专家子 Agent，定义文件在 agents/ 目录
• 全程有边界：只读工具随便跑，写操作必须走审批闸门，每次调用都有审计

一句话记忆：Edge 负责"看得见"，拓扑负责"理得清"，Skills 负责"动得了"，MCP 负责"接得广"。

核心概念一：Edge —— 部署在每台主机上的采集端

Edge 是 Ongrid 的"眼睛和手"，一个运行在目标主机（或 K8s 节点）上的轻量 Agent，代码入口在 cmd/ongrid-edge/main.go，核心逻辑在 internal/edgeagent/。

它最反直觉的一点是：零入站端口。Edge 主动向外连接（dial-out）Ongrid 服务器，宿主机上不需要开放 22/80/443 端口，也不需要跳板机。数据通道基于反向隧道实现，相关代码在 internal/pkg/tunnel/。

Edge 能做什么：

安装很简单：在控制台Devices页面生成一条安装命令，在目标主机上执行即可。安装命令会自动识别架构并下载对应的ongrid-edge二进制，完整流程见 docs/install/edge.md 和 deploy/install/ 下的脚本。批量纳管可以用批量安装功能：一个 enrollment token 换发每台设备独立的密钥，token 有数量上限和过期时间，可随时吊销。

核心概念二：拓扑 —— 让 Agent"理得清"影响面

拓扑（Topology）是 Ongrid 的依赖关系图谱：应用（App）、服务（Service）、集群（Cluster）、设备（Device）、故障域（Failure Domain）作为节点，depends_on、deployed_on、member_of、routes_to等关系把它们连成图。

为什么拓扑对"根因分析"这么重要？举个典型场景：

告警说"支付平台 5xx 飙升"。没有拓扑时，Agent 只能逐台机器盲查；有了拓扑，它能沿depends_on一路往下走：支付平台 → checkout-api → mysql-commerce → k8s-prod 集群 → 某台 device，再结合指标、日志、变更记录，最终点名"0 号病人"。

这就是所谓的爆炸半径（blast radius）分析——判断一次故障会波及谁、根因又在哪一环。incident-investigator Agent 的expand_topology、find_topology_node工具就是为此设计的，定义见 agents/incident-investigator.md。

拓扑不是手画的：K8s 资源、主机接入、网络设备发现都会自动镜像（mirror）成拓扑节点，控制台里也能手动补节点。

核心概念三：Skills —— Agent 的"工具箱"

Skills（技能）是 Agent 能调用的原子工具，每个 Skill 有名字、描述、参数 Schema 和安全等级。内置技能在 internal/skill/builtin/，以 skills/bash/SKILL.md 为例，它允许在目标设备上跑单条只读 shell 命令：

• ps aux --sort=-%cpu | head -10、du -sh /var/* | sort -rh | head -10这类诊断命令随便跑
• 写操作（rm、sed -i、systemctl restart、重定向写文件）会被边端cmdpolicy沙箱直接拒绝
• 高风险动作（如重启服务）要走独立的 mutating Skill，并由 Reviewer Agent 二审

Skill 按等级分为safe/mutating/dangerous三类，控制台里的Skills页面就是一个透明清单：哪些工具存在、跑在云端还是设备上、属于什么等级，一目了然。

除了内置技能，Ongrid 还支持外部技能包：一个可执行程序 + 一个 JSON manifest 即可接入，加载与校验逻辑在 internal/skill/loader.go，子进程运行有环境变量白名单和超时上限——扩展能力但不出安全边界。

核心概念四：MCP 服务器 —— 把外部工具"接进来"

如果你熟悉 AI 领域，MCP（Model Context Protocol）已经是个热词：它是一套让 AI 应用以标准方式调用外部工具/数据源的协议。Ongrid 把 MCP 用作能力扩展的通用接口——不重新造轮子，把已有的平台直接接给 Agent 用。

在控制台的MCP页面注册外部服务器（Grafana、Kubernetes、Jira、Datadog、GitHub……），它的工具就会进入 Agent 和工作流的工具栏。关键的安全设计是：默认所有 MCP 工具执行都需要人工审批；只有你显式标记为trusted的只读服务器才能免审批直跑。

简单对比：Skills 是 Ongrid 内置的、深度绑定自家 Edge/拓扑体系的工具；MCP 是开放协议，用来接入你公司已有的任何平台。两者互补，都受同一套审批与审计治理。

这些概念如何协同：一次根因分析的旅程

把四个概念串起来，就是一次完整的 Ongrid 工作流：

1. 告警触发→ incident-investigator Agent 启动
2. 查拓扑：沿依赖图展开影响面，定位可疑节点
3. 调 Skills：对可疑设备跑只读巡检（host_bash、查进程、看日志），查 PromQL/LogQL/TraceQL
4. 接 MCP：需要查 Jira 变更单或 Grafana 面板时，调用外部 MCP 工具（审批后）
5. 回填聊天：输出带证据链的根因报告 + 建议动作；写操作进入审批闸门

报告里的每条证据（指标、日志、变更时间线）都可以点开核对——"AI 说"和"数据说"是两回事，Ongrid 刻意保留这种可审计性。

新手快速上手路线

不用一次学会所有东西，按这个顺序走最顺：

1. 装服务器：install.sh一条命令拉起完整栈（Prometheus + Loki + Tempo + Grafana 内置就绪）
2. 接第一台主机：Devices 页面生成 Edge 安装命令，跑完即可在 Monitor 看到指标
3. 注册 K8s 集群（可选）：Edge 接入集群后，工作负载与事件自动进拓扑
4. 聊起来：把 Ongrid 接进你的 IM，从问一句"这台机器内存为什么飙了"开始
5. 再扩展：按需注册 MCP 服务器、浏览 Skills 目录、把 Runbook 放进知识库

配套阅读材料：docs/install/ 安装指南、agents/ 各 Agent 角色定义、skills/ 内置技能文档、ROADMAP.zh-CN.md 了解后续规划。

小结

理解这四个概念，Ongrid 控制台里几乎所有菜单你都能对号入座了。接下来最好的学习方式，就是接上你的第一台主机，让它替你查一次"0 号病人"。

• AI Agent
• 人工智能
• 大模型
• RAG
• 运维
• 可观测性
• 根因分析
• 后端