skyhook-io/radar

Radar 是一个可自托管的 Kubernetes 面板，面向需要排查线上集群的人：它把出问题的负载排成队列，展示资源拓扑和变更时间线，并通过 MCP 把同一份集群视图提供给 AI agent。它既可以跑在笔记本上读取 kubeconfig，也可以部署进集群供团队共用。

能帮你做什么

入口是一个 Issues 队列：CrashLoop、拉镜像失败、卡住的 rollout、无法调度的 Pod、悬空引用，以及 Argo CD/Flux 失败条件，每条都带 Investigate 按钮。从故障资源出发，可以在拓扑图中查看它的 owner 与 Service，在时间线中看到发生了什么改动和差异（默认存内存，可改用 SQLite/Postgres 持久化），并在详情抽屉里读事件、日志和 YAML。此外还有 Helm、GitOps、流量、成本、容量、RBAC 等视图，以及基于缓存数据、无需集群侧安装的 44 项集群审计（README 视图、Issues）。

工作原理

Radar 是单个 Go 二进制，用你的 kubeconfig 访问 Kubernetes API，通过 informer 监听集群并经 SSE 把实时更新推给浏览器。相关 HN 讨论中作者的说明是：每个客户端在本地同步数据，服务端负载在合理用户数下不大，Helm 部署进集群后一套安装可供多人使用（HN 讨论）。

MCP 服务与 AI 调查

MCP 默认开启，与 UI 同端口。/mcp-readonly 只含只读工具；/mcp 额外提供写工具（重启、扩缩容、apply、回滚、GitOps 同步、驱逐节点），并标记为破坏性操作。--mcp-read-only 会关闭 /mcp（也随之无法从 AI 调查中应用修复），--no-mcp 关闭 MCP 与 AI 调查；两者都不影响普通 UI 写入。读取 Secret 不会包含 .data/.stringData，环境变量、Helm values 和日志会按已知模式脱敏——文档明确说无法覆盖全部情况，而可选的 exec_pod 工具返回原始命令输出（MCP 安全）。

AI 调查复用你本机已登录的 agent CLI（Claude Code、Codex、Cursor、OpenCode），不需要 Radar 自带 API key。前提是开启 MCP 且关闭认证，集群内部署不支持该功能。在 Cursor 和 OpenCode 下，Radar 无法约束 agent 自身的工具，且这些客户端在调查中会自动批准工具请求（AI 调查）。

条件与限制

本地模式只需要 kubeconfig；桌面版不需要终端。集群内部署使用 Helm，支持 OIDC 或认证代理登录，并借助 impersonation 实现按用户的 RBAC；本地使用时认证默认关闭。绑定到非 loopback 地址需要认证和网络管控。流量视图依赖 Hubble、Istio、Caretta 或 Beyla（Beyla 需启用 network 功能和相关属性，否则 per-port 边会不完整）；指标和成本视图需要 Prometheus 兼容后端或 Kubecost。Karpenter、成本等视图只在检测到对应数据时出现（安装、认证）。集群数据留在本地；agent 或调查读取的内容会发往其模型提供商。用量上报默认关闭，开启后只发送匿名计数和粗略的集群信息。

项目宣称的性能结论——经 MCP 诊断约比 kubectl 快 3 倍，以及 AI SRE 对比——来自维护者自己在 3 节点 EKS 集群上基于 SREGym 的研究，应视为厂商自报数据（基准测试）。