企业官网建设流程全解析

1. 为什么 MCP 网关在 K8s 里总是“跑不通”

如果你已经在本地用 stdio 模式跑通过几个 MCP Server，把它搬进 Kubernetes 时大概率会撞上同一堵墙：Pod 起来了，Service 也通了，但 Agent 客户端一调tools/list就卡住，或者返回一堆local proxy failed。这不是你 YAML 写错了，而是 MCP 的传输层和 K8s 的网络模型之间有一层没对齐。

MCP 网关在云原生环境里的角色，说白了就是“把 N 个 Agent 和 M 个工具服务器之间的网状连线，收拢成一个可治理的星型入口”。它要同时解决四件事：统一认证、工具级 RBAC、调用审计、以及把 stdio 型 Server 桥接成 HTTP。少做一件，生产环境就会在某个深夜给你发告警。

这篇内容面向的是已经在 K8s 上跑过工作负载、想把手里的 Agent 从“单机 demo”推到“多 Agent 编排”的平台工程师。我会给出可直接kubectl apply的 MCP 网关 Deployment/Service YAML、多 Agent 编排的配置片段，以及通过 TaoToken 统一 Key 完成模型侧接入的验证步骤。模型侧不用自己维护多套厂商 Key，一个统一通道就能让编排链路里的每个 Agent 都拿到稳定的模型出口。

先说清楚一个前提：MCP 网关本身不产生智能，它只做协议转换和治理。真正决定 Agent 行为的是模型，而模型调用这一层，用统一 Key 接入能省掉大量在编排配置里散落各家 Key 的麻烦。下面从部署形态开始，一步步把链路跑通。

2. TaoToken 统一 Key 在 Agent 协议栈里的位置

在讲 YAML 之前，得先明确模型侧接入点在哪。多 Agent 编排链路里，每个 Agent Runner 最终都要调用一次模型推理。如果每个 Agent 各自配置厂商 Key，编排配置会变成密钥垃圾场，轮换一次要改十几个地方。

TaoToken 在这里承担的是“模型侧统一出口”。它的 API 地址是https://taotoken.net/api，兼容 OpenAI 风格的/v1/chat/completions调用。你只需要在编排平台里维护一份 Key，所有 Agent Runner 通过环境变量或 Secret 注入同一个 Base URL 和 Key，模型侧就统一了。

具体到配置层面，你需要准备三样东西，我把它叫做“三件套”：

这三件套在后面的 MCP 网关环境变量、Agent Runner 的 settings、以及验证请求里会反复出现。先把 Key 拿到手：进入控制台创建 API Key，路径是https://taotoken.net/console/api-keys。创建后复制一次，之后不再明文显示。

注意：不要把 Key 直接写进 Deployment 的env.value，用 Secret 引用。后面 §3 的 YAML 里我会用secretKeyRef示范。

模型侧统一之后，MCP 网关就只管工具侧治理，两边职责清晰。这也是为什么我把模型接入放在部署之前讲——编排配置里模型出口定不下来，后面 Agent Runner 的配置会反复返工。

3. 可复制的 MCP 网关 Deployment 与多 Agent 编排配置

这一节是全文最需要动手的部分。我按“先网关、再编排、后模型注入”的顺序给配置，每一段都能直接改命名空间后 apply。

3.1 MCP 网关的 Deployment 与 Service

网关镜像这里用占位名mcp-gateway:2.1.0，你替换成自己构建或拉取的镜像即可。关键点是：网关以 Streamable HTTP 单端点/mcp暴露，副本数 3，配好健康检查和 Prometheus 抓取注解。

apiVersion: apps/v1 kind: Deployment metadata: name: mcp-gateway namespace: agent-platform spec: replicas: 3 selector: matchLabels: app: mcp-gateway template: metadata: labels: app: mcp-gateway annotations: prometheus.io/scrape: "true" prometheus.io/port: "9090" spec: serviceAccountName: mcp-gateway containers: - name: gateway image: mcp-gateway:2.1.0 ports: - containerPort: 8080 name: http - containerPort: 9090 name: metrics env: - name: OAUTH_ISSUER_URL valueFrom: secretKeyRef: name: oauth-config key: issuer-url - name: REDIS_URL value: "redis://redis:6379/0" - name: MODEL_BASE_URL value: "https://taotoken.net/api" - name: MODEL_API_KEY valueFrom: secretKeyRef: name: taotoken-secret key: api-key resources: requests: memory: "256Mi" cpu: "250m" limits: memory: "512Mi" cpu: "500m" livenessProbe: httpGet: path: /healthz port: 8080 initialDelaySeconds: 5 periodSeconds: 10 readinessProbe: httpGet: path: /ready port: 8080 initialDelaySeconds: 3 periodSeconds: 5 --- apiVersion: v1 kind: Service metadata: name: mcp-gateway namespace: agent-platform spec: selector: app: mcp-gateway ports: - port: 8080 targetPort: 8080 name: http - port: 9090 targetPort: 9090 name: metrics

注意MODEL_BASE_URL和MODEL_API_KEY这两个环境变量。网关在需要做模型侧健康探测或内置推理时，会用到统一出口。Key 从 Secret 注入，先创建：

kubectl create secret generic taotoken-secret \ --namespace agent-platform \ --from-literal=api-key=sk-你的密钥

3.2 多 Agent 编排配置片段

编排层我用一个 ConfigMap 描述 Agent 注册表和任务路由。每个 Agent 声明自己的能力和模型出口，模型出口统一指向 TaoToken 的 Base URL。

apiVersion: v1 kind: ConfigMap metadata: name: agent-orchestration namespace: agent-platform data: agents.yaml: | model_gateway: base_url: "https://taotoken.net/api" api_key_ref: "taotoken-secret/api-key" default_model: "claude-sonnet-4-5" agents: - id: "data-analyst-agent" url: "http://data-analyst.agent-platform.svc:8000" card_endpoint: "/.well-known/agent.json" capabilities: ["sql_query", "data_viz"] model: "claude-sonnet-4-5" - id: "report-generator-agent" url: "http://report-gen.agent-platform.svc:8000" card_endpoint: "/.well-known/agent.json" capabilities: ["markdown_gen", "pdf_export"] model: "claude-sonnet-4-5" routing: - task: "generate_weekly_report" chain: ["data-analyst-agent", "report-generator-agent"]

这份配置里，model_gateway段就是统一 Key 的落点。所有 Agent 的model字段都从default_model继承，需要单独指定时再覆盖。这样轮换 Key 只改一个 Secret，编排配置不动。

3.3 Agent Runner 的 settings 片段

如果你的 Agent Runner 是基于 Claude Code 或类似 CLI 的形态，配置通常落在settings.json。把模型出口指向统一通道：

{ "env": { "ANTHROPIC_BASE_URL": "https://taotoken.net/api", "ANTHROPIC_API_KEY": "sk-你的密钥", "ANTHROPIC_MODEL": "claude-sonnet-4-5" }, "permissions": { "allow": ["mcp__gateway__tools_list", "mcp__gateway__tools_call"] } }

这里ANTHROPIC_BASE_URL指向 TaoToken 的 API 地址，ANTHROPIC_MODEL填你要用的 Model ID。三件套齐了：Base URL、Key、Model ID。Cline MCP 或 Codex 的auth.json同理，把 base URL 和 key 换成统一通道的值即可。

4. 验证请求与预期返回结果

配置写完，得验证链路真的通了。分两步：先验模型侧，再验 MCP 工具侧。

4.1 验证模型侧统一 Key

用一条最小请求打/v1/chat/completions：

curl -X POST https://taotoken.net/api/v1/chat/completions \ -H "Content-Type: application/json" \ -H "Authorization: Bearer sk-你的密钥" \ -d '{ "model": "claude-sonnet-4-5", "messages": [{"role": "user", "content": "回复 OK 两个字母"}], "max_tokens": 16 }'

预期返回是一个标准 JSON，choices[0].message.content里是OK。如果这里就报 401，说明 Key 或 Base URL 有问题，先解决再往下走。模型侧通了，说明统一出口没问题。

4.2 验证 MCP 网关工具列表

端口转发到本地，然后调tools/list：

kubectl port-forward -n agent-platform svc/mcp-gateway 8080:8080

另开一个终端：

curl -X POST http://localhost:8080/mcp \ -H "Content-Type: application/json" \ -H "Authorization: Bearer $(cat /tmp/agent-token)" \ -d '{ "jsonrpc": "2.0", "method": "tools/list", "id": 1 }'

预期返回里result.tools是一个数组，每个元素有name、description、inputSchema。如果你注册了 postgres 工具，会看到execute_query、list_tables这些名字。这一步通了，说明网关的协议转换和认证都正常。

4.3 验证多 Agent 编排链路

最后跑一次端到端：让编排器把generate_weekly_report任务派给两个 Agent。观察网关日志里是否出现两次tools/call，以及 Agent Runner 是否各自用统一 Key 调了一次模型。链路跑通的标志是：任务状态从submitted走到completed，中间没有auth_required卡住。

5. 本篇常见报错排查

部署过程中我踩过的坑集中在几个报错上，逐个对照。

401 Unauthorized：最常见。先确认Authorization头里的 Bearer Token 是不是网关签发的，而不是模型侧的 Key。网关认证和模型认证是两套。如果模型侧 401，检查taotoken-secret里的 Key 有没有多余空格。

local proxy failed：这个报错通常出现在 stdio 型 MCP Server 容器化时。stdio Server 期望作为子进程运行，但 K8s 里它是独立容器，没有父进程管道。解决办法是用 sidecar 桥接：

containers: - name: mcp-server-stdio image: community-mcp-server:latest - name: stdio-http-bridge image: mcp-bridge:latest args: - "--upstream=localhost:9000" - "--listen=:8080"

桥接容器把 HTTP 流量转成 stdio 喂给 Server，local proxy failed就消失了。

reading choices 相关报错：这类报错多半是模型返回体解析失败。检查MODEL_BASE_URL有没有多写或少写/v1。TaoToken 的 API 地址是https://taotoken.net/api，具体路径按文档拼接。如果返回体里choices字段为空，先看模型名是否拼错。

OAuth 相关报错：如果网关报 OAuth 校验失败，检查OAUTH_ISSUER_URL是否可达，以及 Token 的 audience 是否绑定到了网关的 Resource Server URI。Resource Indicators 没配对，Token 会被拒。

Pod 一直 CrashLoopBackOff：先看kubectl logs和kubectl describe pod。网关启动依赖 Redis，如果 Redis 没起来，网关会反复重启。确认REDIS_URL指向的 Service 已经 Ready。

6. 把链路固化下来：从验证到长期运行

链路跑通只是开始。长期运行要关注三件事：Key 轮换、网关扩缩容、以及编排配置的版本管理。

Key 轮换现在只改一个 Secret，kubectl rollout restart deployment/mcp-gateway和 Agent Runner 的 Deployment 即可，编排 ConfigMap 不动。这是统一 Key 接入最直接的好处。

网关扩缩容看mcp_tool_calls_total的 QPS，超过阈值就加副本。因为 Streamable HTTP 是无状态的，HPA 直接按 CPU 或自定义指标扩就行，不需要 sticky session。

编排配置建议放进 Git，用 ArgoCD 或 Flux 同步。Agent 注册表如果超过几百个，ConfigMap 的 1MB 限制会撞上，那时候把注册表挪到 PostgreSQL 或 etcd，ConfigMap 只留路由规则。

如果你还在单机阶段，先把模型侧统一 Key 接好，再逐步把 MCP Server 容器化。模型对话入口可以先在https://taotoken.net/models试通，确认 Key 和模型名没问题，再写进编排配置。长期跑编码类 Agent 的话，Coding Plan 的额度模型更适合持续调用，接入文档在https://taotoken.net/doc有完整说明。