AOwhisky的博客

特性说明关键配置固定身份每个 Pod 有唯一序号和固定 hostname有序操作创建/更新按顺序，缩容逆序由 StatefulSet 控制器自动保证稳定存储每个 Pod 独立 PVC，删除后保留固定 DNSPod 可通过访问。

组件角色说明“菜单”定义存储的规格和参数“厨师”执行创建 PV 的实际操作PVC“顾客下单”用户提出存储需求三者的协作关系│ 用户 │ │ 管理员 │ │ 系统 ││ 创建 PVC │─────▶│ 创建 │ │ 调用 ││ (下单) │ │ StorageClass│ │ Provisioner ││ │ │ (菜单) │ │ (厨师) ││▼│ 自动创建 PV ││ (自动出货) │。

Kubernetes API 服务器对每个请求进行鉴权（Authorization），根据策略决定允许或拒绝请求。默认情况下，所有请求都被拒绝（Deny by default）。鉴权流程请求通过身份认证后，进入鉴权阶段Kubernetes 按顺序检查多个鉴权模块任意一个模块批准 → 请求通过所有模块都拒绝 → 返回 403 Forbidden常用鉴权模式模式说明适用场景RBAC基于角色的访问控制生产环境推荐Node节点专用鉴权与 RBAC 配合使用ABAC基于属性的访问控制。

在开篇的引子中，我们提出了资源管理的三个层次。层次问题K8s 组件状态监控层资源用了多少？✅ 第十期已讲扩缩层资源不够怎么办？HPA✅ 第十期已讲约束层如何防止超用？✅ 本期已讲一句话回顾本期：我们通过 ResourceQuota 实现了“管住总量”，通过 LimitRange 实现了“定好规矩”——这就是集群资源管理的“安全网”和“标准尺”。

HPA（Horizontal Pod Autoscaler，水平 Pod 自动扩缩器）是 Kubernetes 中用于根据资源使用情况自动调整 Pod 副本数的控制器。适用场景流量波动大的无状态服务（如 Web 应用、API 网关、微服务）需要提高并发处理能力、削峰填谷Deployment 和 StatefulSet 都支持核心特点不修改 Pod 配置，只调整副本数实时、秒级扩缩支持 CPU、内存、自定义指标（如 QPS、延迟）支持指标来源。

是 Kubernetes 集群的默认调度器，负责将新创建的或尚未调度的 Pod 分配到合适的节点上运行。核心职责通过监测（Watch）机制发现集群中未被调度的 Pod为每个 Pod 选择最优节点将调度结果写入 API Server（绑定操作）通俗理解：kube-scheduler 就像一个“房屋中介”——有新 Pod 要入住，中介根据房客的需求（资源、标签、亲和性）和房屋的现状（节点资源、标签、污点），帮房客找到最合适的房子。方式优先级适用场景推荐度nodeName最高单节点测试。

nerdctl 和 Docker 一样，默认使用OverlayFS作为存储驱动。它利用 Linux 内核的 OverlayFS 特性，实现镜像分层存储：textContainer Layer (读写层) ←── 容器启动时创建↑Image Layer 3 (只读) ←── 最上层镜像Image Layer 2 (只读) ←── 中间层Image Layer 1 (只读) ←── 基础镜像层优点镜像分层存储，相同层可在不同容器间共享，节省磁盘空间容器启动时只需创建薄薄一层读写层，启动飞快。

在~/.bashrc末尾添加：bash# 带时间，彩色显示生效：bashNetplan 是 Canonical 开发的网络配置工具，通过YAML文件定义网络接口，然后生成后端配置（支持和Netplan 核心特点统一的 YAML 配置语法，屏蔽不同后端工具的差异支持动态切换渲染器（renderer）配置变更后执行即可生效示例配置位置bashContainerd 是CNCF 毕业的工业级容器运行时，从 Docker Engine 中分离出来的独立开源项目。向上。

默认情况下，Kubernetes 集群的网络连通性是全开放集群外部主机可以访问集群内部应用（通过 NodePort/LoadBalancer）集群内部应用可以访问集群外部主机各个 Namespace 之间没有做任何隔离策略任何 Pod 可以与集群中的任何其他 Pod 通信。这在生产环境中存在安全隐患。是 Kubernetes 用于控制 Pod 之间网络通信的 API 对象。它允许你在 IP 地址或端口层面定义哪些流量被允许、哪些被拒绝。NetworkPolicy 是一种以应用为中心的结构。

模块核心概念关键命令节点管理节点删除集群重建Namespace资源隔离、ResourceQuotaNamespace 切换kubenskubens上下文切换kubectxkubectx集群排错资源操作。

官方定义：Pod 是 Kubernetes 中最小的可部署和可管理单元，代表集群上正在运行的一个进程实例。Kubernetes 中，Pod 是容器的"外壳"，包含一个或多个容器。这些容器共享同一个网络命名空间（Network Namespace）、存储卷（Volume）和生命周期。"豌豆荚"比喻│ Pod ││ │ (infra) │ │ (业务) │ │ (日志) │ ││ 共享网络、存储、IP、端口空间 │可以把 Pod 看成一个"豌豆荚"，里面的"豆子"就是容器。

Controller（控制器）是 Kubernetes 控制平面的核心组件之一，其主要作用是确保所管理的资源处于用户期望的状态。控制器通过不断地监控资源的状态，并根据实际状态与期望状态之间的差异执行相应的动作，来实现资源的自愈、自动扩展等功能。通俗理解：控制器就像"监工"，你告诉它"我需要 3 个 Pod 一直运行"，它就负责确保始终有 3 个 Pod 在运行。如果某个 Pod 挂了，它会立即启动一个新的来替代。这种模式被称为声明式管理——你只需声明"期望状态"，控制器负责"实现并维持"这个状态。

容器天生是无状态容器重启后，文件系统会重置容器删除后，所有数据丢失多个容器之间无法共享数据Volume（存储卷）数据持久化：Pod 重启或删除后数据不丢失数据共享：同一 Pod 中的多个容器可以共享数据数据迁移：Pod 可以在不同节点间迁移，数据保持一致通俗比喻：容器就像酒店里的临时客房，每次入住都是全新的房间（干净的镜像），退房后所有个人物品（数据）都清空。Volume 就像酒店的储物柜，客人可以把自己的东西存进去，下次入住同一家酒店还能取出来。ConfigMap。

在 Kubernetes 中，Pod 是临时的、动态的每个 Pod 有自己的 IP 地址（由网络插件分配）Pod 可能因故障、滚动更新、扩缩容而被销毁和重建每次重建后 IP 地址会变化这就带来一个问题：前端应用如何找到并连接到后端 Pod？答案是 Service。Service 的核心作用固定 IP 和 DNS 名称：无论后端 Pod 如何变化，Service 的 IP 和 DNS 不变负载均衡：将流量分发到多个后端 Pod服务发现：通过 DNS 或环境变量让应用自动发现服务通俗比喻。

阶段关键操作关键命令环境准备配置仓库、安装软件、关闭 swapapt updateswapoff -a内核配置加载模块、配置 sysctlmodprobesysctl -p容器运行时安装 containerd、配置加速安装 K8s安装 kubeadm/kubelet/kubectl克隆节点克隆 VM、配置 IP/主机名集群初始化网络插件部署 Calico加入节点worker 加入集群。