Edge Impulse的私有化部署与安全
昨晚调试客户现场的Edge Impulse私有化实例，又遇到那个熟悉的报错——“Failed to connect to MQTT broker: Connection refused”。翻日志发现是TLS证书路径写死了绝对地址，容器重启后挂载卷没跟上。这种问题在公有云上永远不会出现，但私有化部署就是处处是坑。
为什么非要私有化
先说说场景。上个月帮一家医疗器械厂商做嵌入式AI，他们的心电监测数据必须留在内网，连加密传输到云端都不允许。Edge Impulse的SaaS版本虽然方便，但数据出不了医院防火墙。这时候就得把整个平台搬到自己服务器上——从数据标注、模型训练到推理部署，全链路闭环。
私有化部署的核心组件包括：Ingestion Service（数据采集）、Studio（可视化训练）、Remote Management（设备管理）、以及关键的MQTT Broker。别小看这个MQTT，它负责设备端和平台之间的实时通信，模型更新、数据回传都走它。
部署踩过的坑
容器编排的陷阱
官方给的docker-compose.yml看着挺规整，但直接跑起来大概率翻车。问题出在资源限制——默认没给Elasticsearch设置内存上限，生产环境跑两天就OOM。这里踩过坑：一定要在docker-compose里加上ES_JAVA_OPTS="-Xms2g -Xmx2g"，别相信自动分配。
另一个坑是网络模式。Edge Imp
