基础设施团队2026年第三季度回顾与第四季度计划
内容提要
2026年第三季度，Rust基础设施团队为crates.io和docs.rs启用Fastly WAF与DDoS防护，为多项服务启用审计日志并接入Datadog，配置Renovate和Dependabot，升级开发桌面与Playground实例，新增ARM、RISC-V等CI运行器，将riscv64gc-unknown-linux-musl提升至二级，迁移值班系统至Datadog，并推进基础设施即代码与部署自动化。
延伸解读
安全防护与审计日志的落地效果
本季度为crates.io和docs.rs启用Fastly WAF与DDoS防护，并成功缓解了针对crates.io的DDoS攻击，同时降低了docs.rs服务器负载。审计日志接入Datadog后，Rust基金会安全团队可利用Cloud SIEM进行分析。这些措施提升了关键服务的安全性和可观测性，但WAF规则和速率限制可能影响正常用户，需关注误报情况。
依赖更新与CI基础设施的改进
团队为rust-lang/rust配置Renovate自动更新依赖和GitHub Actions，并在组织内启用Dependabot警报，但未开启自动PR以优先使用Renovate。新增ARM、RISC-V等CI运行器，并将riscv64gc-unknown-linux-musl提升至二级，使RISC-V musl用户无需自行编译工具。这些改进降低了维护负担并扩展了平台支持。
基础设施即代码与部署自动化的进展
团队持续将手动配置迁移至IaC，并部署crabwatch工作流审计GitHub Actions，默认启用23项Zizmor审计。合并队列机器人bors现在能根据PR CI成功来门控批准，方便审查者。但当前部署仍从个人笔记本电脑进行，Q4计划简化Terraform和Terragrunt的使用，并探索自动化部署，以提升安全性和可监控性。
值班系统迁移与团队协作优化
借助Rust基金会加入Datadog开源项目，团队将值班轮换从PagerDuty迁移至Datadog On-Call，节省成本并减少依赖。同时建立了基础设施团队领导的新政策，并完成了领导轮换。此外，为可信贡献者创建了标记团队，赋予try和perf权限，使其能独立启动构建和性能测试，减少了权限委托的沟通成本。
Q&A
2026年第三季度Rust基础设施团队在安全防护方面做了哪些工作？
为crates.io和docs.rs启用了Fastly下一代WAF和DDoS防护，并为多项服务启用审计日志并发送到Datadog，供Rust基金会安全团队使用Cloud SIEM分析。
Rust基础设施团队如何管理依赖更新？
为rust-lang/rust仓库配置了Renovate，自动打开PR修复安全发现并更新Cargo锁文件和GitHub Actions；同时在rust-lang组织启用了Dependabot警报，但未启用自动PR，因为更倾向于使用Renovate。
第三季度对开发桌面和Playground做了哪些升级？
升级了开发桌面和Rust Playground的EC2实例，例如dev-desktop-eu-1从c5a.large升级到c7a.xlarge，dev-desktop-us-1从c6g.8xlarge升级到c9g.8xlarge，并将所有四个开发桌面的磁盘配额增加到每用户200GB。
Rust基础设施团队新增了哪些CI运行器？
新增了s390x-unknown-linux-gnu和armv7-unknown-linux-gnueabihf的GitHub Actions运行器，为rustls组织启用了三个大型ARM运行器（8 vCPU，32 GB RAM），并配置了EC2 m9g.metal-48xl实例用于在ARM上运行rustc-perf。
riscv64gc-unknown-linux-musl目标在第三季度有什么变化？
该目标被提升为二级（tier 2）并包含主机工具，因此针对musl的RISC-V用户不再需要自己编译rustc和cargo等Rust工具。
Rust基础设施团队的值班系统有什么变化？
由于Rust基金会加入了Datadog的开源项目，团队将值班轮换从PagerDuty迁移到了Datadog On-Call，以节省成本并减少一个依赖服务。
第四季度Rust基础设施团队的主要计划是什么？
继续完成第三季度未完成的目标，包括简化基础设施即代码设置（评估是否继续同时使用Terraform和Terragrunt），并计划从个人笔记本电脑部署转向具有强访问控制的安全环境，实现部署自动化，同时停用自托管的Prometheus、Alertmanager和Grafana监控实例。
