一台 non-prod Jenkins 上几十个作业共用一把长期 AWS key。改成每次构建由 Jenkins 签 OIDC token、经 STS 换最长 1 小时的角色凭据后，Jenkins 里不再存 AWS 密钥，但签名私钥仍在控制器上。

Jenkins 用 SSH 登录 VM 部署，登录所有目标机的凭据和应用配置都集中在 CI 控制器上。方向反过来之后，控制器被攻破也登录不了生产机，代价在部署结果的反馈、有顺序的部署、每台 VM 上的部署脚本。K8s 上这已是主流，VM 上也有先例。

多仓库微服务的文档体系，我最后用的是中央架构 Repo 加各服务 Repo 内的 /docs/ 目录，再用 Docusaurus 收成统一入口，文档贴近代码，检索入口只有一个。

Shipwright 是一个构建和发布工具，它是一个 Tekton 的扩展，可以用来构建镜像并发布到 dockerhub。