Dontla的博客

Buildx 是 Docker 官方提供的新一代镜像构建工具。它基于 Docker 的BuildKit构建引擎，实现了比传统多平台镜像构建高性能并行构建高级缓存机制分布式构建输出到 OCI 格式导出镜像文件多节点 Builder 集群↓BuildKit（构建引擎）↓docker buildx（高级客户端）Buildx 可以看作：docker build 的增强版。如今 Docker Desktop 默认已经集成 Buildx。

Digest是Docker镜像内容的SHA256哈希值。

Overlay在 Docker 中指的是Overlay 网络，它是一种跨主机的虚拟网络技术。

这是目前 Kubernetes 公网服务部署中最主流、最接近事实标准（de facto standard）的 HTTPS 方案。是一个免费的、自动化的、开放的 SSL/TLS 证书颁发机构（CA，Certificate Authority）。定义 cert-manager 如何向 Let’s Encrypt 申请和续期 HTTPS 证书。让网站能够使用 HTTPS 加密通信，而不用花钱购买证书。Kubernetes 最常见的自动证书管理方案。获得的证书就是正式 HTTPS 证书。全部自动获得 HTTPS。

CRD = Kubernetes 的“插件式 API 扩展机制”避免引入额外 CRD，坚持使用标准 Kubernetes Ingress + 注解方式管理 Kong 配置，以保持简洁性和兼容性。

Manifest 是 Kubernetes 最核心的概念之一。它并不是简单的 YAML 配置文件，而是 Kubernetes 声明式管理模型的具体体现。通过 Manifest，开发者描述：集群应该是什么样子。而 Kubernetes 持续保证：集群最终变成那个样子。无论未来使用 Helm、Kustomize、Argo CD 还是其他平台工具，最终都会回到 Manifest 这一基础抽象。

Kubernetes 原生 Secret 并不是真正意义上的“安全存储”Base64 不是加密，只是编码Secret 会出现在 etcd、节点内存、Pod 环境变量等多个位置企业环境通常不会直接使用原生 Secret因此围绕 Secret 管理，逐渐形成了几种主流方案。由 Bitnami 提出。Secret↓kubeseal↓↓ GitGit↓ArgoCD↓Cluster↓SecretGit 中存储密文GitOps 友好使用简单私钥保存在集群集群迁移复杂。

是一个运行在 Kubernetes 集群中的控制器，它的核心作用是：将 Kubernetes 的 Ingress / CRD 资源，转换为 Kong 网关的配置。Kubernetes 负责声明“流量应该如何走”KIC 负责“翻译这些规则”Kong 负责“真正执行流量转发与治理”CRD 是 Custom Resource Definition（自定义资源定义）的缩写，它是 Kubernetes 提供的核心 API 扩展机制。

DB-less（无数据库模式）指的是：Kong不依赖任何数据库（如 PostgreSQL / Cassandra），所有配置通过声明式文件（Declarative Config）加载。services:routes:paths:- /example部署简单（无需数据库）启动速度快性能更高（少一次 DB 查询）配置即代码（GitOps 友好）更容易容器化 / Kubernetes 化不支持 Admin API 动态修改配置修改配置需要重新加载（reload）不适合频繁变更的场景。

数据平面是系统中真正处理业务流量的部分，负责数据的转发、处理和响应。控制平面负责决策与配置分发，它不直接处理业务流量，而是指导数据平面如何工作。管理平面是面向人或外部系统的操作接口，用于配置、监控和运维。数据平面：负责“执行”（处理流量）控制平面：负责“决策”（下发规则）管理平面：负责“管理”（配置与观测）可扩展性可维护性稳定性安全性在云原生、微服务、服务网格等场景中，这种设计已经成为事实标准。理解并掌握它，是构建复杂系统的关键能力之一。

Trivy是一款由 Aqua Security 开源的综合安全扫描工具，专为云原生环境设计。它的目标很明确：用最简单的方式，扫描最广泛的安全问题。容器镜像（Docker / OCI）本地文件系统Git 仓库Kubernetes 集群IaC（Infrastructure as Code）配置软件依赖（SBOM 分析）✅ 简单易用✅ 扫描速度快✅ 覆盖面广✅ 易于集成 CI/CD。

Git Commit SHA（也称 Commit Hash）是 Git 为每一次提交生成的一个唯一标识符。长度：40 位（SHA-1）内容：十六进制字符串唯一性：理论上全局唯一（基于内容计算）Git Commit SHA 的本质是：🔑代码版本的“身份证”不可变部署（Immutable Deployment）精准回溯（Traceability）稳定发布（Reproducibility）

摘流（Draining / Traffic Draining）指的是：在服务实例下线前，先停止接收新的请求，但继续处理已在进行中的请求，直到处理完成或超时，然后再安全退出。❌ 不再接新流量✅ 把手头的活干完✅ 再优雅退出生产级系统的基础能力发布不中断扩缩容无感知故障可控摘流 = 优雅拒绝新请求 + 安全处理旧请求Kubernetes 运维微服务治理API 网关（如 Kong）那摘流是必须掌握的核心能力之一。

是一个开源项目，用于在 Kubernetes 中实现基于事件的自动伸缩。根据外部事件（如消息队列、数据库、流系统等）自动扩缩容支持将应用扩缩到与 Kubernetes HPA 深度集成提供丰富的事件源（Scaler）KEDA 是 Kubernetes 自动伸缩体系的重要补充：👉 从“资源驱动”升级到“事件驱动”消息队列异步任务Serverless 场景如果你的系统存在：✔ 队列堆积✔ 流量突发✔ 资源浪费那么 KEDA 是一个非常值得引入的组件。

kubectl 是 Kubernetes 官方提供的命令行工具，用于与 Kubernetes API Server 进行交互。简单来说：kubectl = Kubernetes 的 CLI（命令行客户端）它通过 HTTP 请求调用 Kubernetes API，实现对集群资源的管理。kubectl 是 Kubernetes 的核心操作工具，掌握它意味着你已经具备了操作 Kubernetes 集群的基本能力。可以用一句话总结：kubectl 是连接开发者与 Kubernetes 集群的桥梁。

Service Mesh 是一种专门用于处理服务间通信的基础设施层。它的核心思想是：将服务间通信的复杂逻辑从业务代码中剥离，交由独立的基础设施处理。Service A →（嵌入重试、鉴权、日志等逻辑）→ Service BService A → Sidecar Proxy → 网络 → Sidecar Proxy → Service B业务服务只关心“调用谁”，而通信细节全部由 Mesh 处理。业务与通信解耦统一治理更强的可观测性与安全性但它也带来了额外复杂度，需要结合实际情况权衡。

Envoy 是一个由 Lyft 开源的高性能 L7（应用层）代理，专为云原生应用设计。它通常运行在服务旁边（Sidecar 模式），负责处理服务间的网络通信。简单来说：Envoy = 智能流量中间层（Smart Proxy）它不仅能转发请求，还能做流量治理、监控、限流、安全控制等。Envoy 已成为现代云原生架构中的“基础设施级组件”：如果说 Kubernetes 解决的是“计算调度”，那 Envoy 解决的就是“服务通信”。服务解耦流量统一治理可观测性增强安全能力内建。

mTLS（Mutual TLS）是对传统 TLS（Transport Layer Security）的增强版本。类型谁验证谁单向 TLS客户端验证服务端mTLS客户端和服务端相互验证身份简单来说：mTLS = TLS 加上“客户端身份认证”它不仅仅是加密通信更是服务身份认证机制一句话总结：TLS 保护“数据”，mTLS 保护“身份 + 数据”mTLS + Istio 实战mTLS 证书生命周期管理SPIFFE / SPIRE 体系解析mTLS 故障排查指南。

方案运维成本灵活性控制力托管（EKS/GKE/AKS）低中低半托管中高中自托管高高高轻量级低低低越省心，越不自由；越自由，越需要能力。

是 Kubernetes 中用于限制“自愿中断”（Voluntary Disruption）的资源对象。它的核心作用是：在集群发生维护或调度操作时，确保系统中始终有足够数量的 Pod 保持可用。PDB 只对“自愿中断”生效，而不控制“非自愿中断”。PDB 是 Kubernetes 中保障服务稳定性的重要机制：“在维护过程中，系统还能不能正常服务？控制驱逐节奏防止服务雪崩提升系统可用性PDB ≠ 高可用本身，它只是高可用体系中的一环。

通过系统外部输出，推断系统内部状态的能力在软件系统中，可观测性意味着：系统现在是否健康？问题发生在哪里？为什么会发生？如何修复？Metrics 是随时间变化的数值型数据，通常以时间序列（Time Series）的形式存在。CPU 使用率请求 QPS（每秒请求数）响应时间（Latency）错误率（Error Rate）Logs 是系统运行过程中记录的离散事件文本。Traces 描述一次请求在分布式系统中的完整调用链路。

Tempo 是由 Grafana Labs 开源的分布式追踪后端系统，用于存储和查询 trace 数据。“一个专注于低成本、高可扩展的 trace 存储系统”不做复杂索引不承担数据采集专注存储 + 查询用“查询能力”换“极致成本与扩展性”它并不是 Jaeger 的替代品，而是不同场景下的最优解想要强查询能力 → 选 Jaeger想要低成本 + 高规模 → 选 Tempo。

追踪请求在微服务间的调用路径分析系统性能瓶颈排查复杂的分布式故障高可扩展性（支持大规模数据）低开销（适合生产环境）与云原生生态深度集成如今，Jaeger 已成为 Cloud Native Computing Foundation（CNCF）的毕业项目之一。✅ 强大的调用链分析能力✅ 成熟稳定的生态✅ 与 OpenTelemetry 无缝集成如果你正在构建微服务或云原生系统，Jaeger 几乎是必备工具之一。

OpenTelemetry（简称 OTel）Metrics（指标）：如 QPS、延迟、错误率Logs（日志）：系统运行日志Traces（链路追踪）：请求在分布式系统中的调用路径它由 Cloud Native Computing Foundation（CNCF）孵化，是目前事实上的可观测性标准之一。OpenTelemetry = 统一的数据采集标准 + 可插拔的数据导出机制OpenTelemetry 的核心价值在于：✅ 统一标准（避免工具割裂）✅ 解耦采集与存储✅ 支持多语言、多后端。

直接计算分位数（quantile）客户端计算延迟分析（轻量级）类型分位数计算聚合能力Histogram服务端强Summary客户端弱👉 一般推荐使用 Histogram（更适合分布式系统）

桶（Bucket）就是一个数值区间（range），用于对数据进行分组统计。简单来说：👉 桶 = 一个区间 + 落在这个区间内的数据数量0.10.30.512.5510+Inf桶含义≤0.10.1秒以内≤0.30.3秒以内≤0.50.5秒以内+Inf所有请求一句话总结桶：👉 桶就是用于统计数据分布的“区间容器”桶 = 区间 + 计数可以是等宽或自定义在监控中通常是累积桶桶的设计直接影响分析效果。

节点亲和性（Node Affinity）是 Kubernetes 中用于控制 Pod 被调度到哪些节点上的一种规则机制。简单理解就是：👉 “我这个 Pod 只想跑在满足某些条件的节点上”这些条件通常基于节点的标签（Label）来定义。Node Affinity 是 Kubernetes 调度的核心能力之一，本质是：🎯 基于标签的“节点选择策略”分为required（强制）和preferred（优先）比 nodeSelector 更灵活适用于资源隔离、性能优化、拓扑控制等场景。

在云计算平台中，一个区域（Region）通常由多个可用区（Availability Zone, AZ）组成。一个 Region（如 ap-southeast-1，新加坡）包含多个 AZ（如 ap-southeast-1a / 1b / 1c）👉 每个 AZ 本质上是一个独立的数据中心或数据中心集群独立供电独立网络物理隔离但 AZ 之间通过高速低延迟网络互联。它通过物理隔离 + 网络互联实现容灾是比单机房更可靠的部署方式也是走向 Multi-Region 的基础。

中文通常称为“通用漏洞披露”。CVE 是给每一个已公开的安全漏洞分配一个唯一编号的标准体系。你可以把它理解为：👉漏洞的“身份证号”CVE-2021-44228（著名的 Log4Shell 漏洞）CVE-2024-3094（xz 后门事件）这些编号背后，代表的是一个具体、可复现、被公开披露的安全问题。CVE 是漏洞的统一编号体系，是现代软件安全自动化的基础。CVE = “发现问题”CVSS = “评估风险”Pipeline 策略 = “决定是否发布”

GitOps = Git + Operations（运维）GitOps 是一种以Git 作为单一可信数据源（Single Source of Truth）的运维模型，通过声明式配置和自动化工具，实现基础设施和应用的持续交付。简单来说：👉 所有系统状态都定义在 Git 中👉 所有变更通过 Git 提交完成👉 系统自动同步 Git 中的期望状态GitOps 本质上是：用 Git 管理一切，用自动化确保一致性运维流程代码化部署流程标准化系统状态可追踪化。

Kustomize 是 Kubernetes 官方提供的声明式配置管理工具，它允许你在不修改原始 YAML 文件的前提下，通过“叠加（overlay）”的方式定制资源。Base + Overlay = 最终配置与 Helm 不同，Kustomize 不使用模板引擎，而是直接基于 YAML 进行结构化修改。Kustomize 是 Kubernetes 原生、轻量但强大的配置管理工具，它通过“叠加”的方式优雅地解决了多环境配置问题。去模板化（更简单）结构化修改（更安全）天然适配 GitOps（更现代）

Helm Chart 本质上是一个 Kubernetes 应用的“安装包”。技术对应关系apt / yumHelm软件包（.deb/.rpm）Chart安装软件部署 K8s 应用👉 一个 Chart = 一整套 Kubernetes 资源定义 + 参数化配置标准化可复用可管理模板化（Templates）参数化（Values）版本化（Release）微服务部署平台工程（Platform Engineering）DevOps 自动化👉 Helm Chart 几乎是必备技能。

时间序列数据模型灵活的 PromQLPull 模式采集强大的生态系统构建了完整的可观测性基础。如果你在使用 Kubernetes 或构建微服务架构，Prometheus 几乎是必备组件。

高基数问题是时序数据库和监控系统中的常见挑战，需要在数据建模阶段就充分考虑，避免后期性能问题。是指数据集中某个字段或标签具有大量不同值（即基数很高）时，导致系统性能严重下降的技术问题。：指数据集中某个字段不同值的数量。

Kubernetes（简称 K8s）是一个开源的容器编排平台，用于自动化部署、扩展和管理容器化应用。它最初由 Google 开发，现由 CNCF（云原生计算基金会）维护。K8s 是管理容器集群的操作系统。调度（Scheduling）：Pod 如何运行网络（Networking）：服务如何访问存储（Storage）：数据如何持久化控制（Control）：如何保持期望状态Kubernetes 本质上是一个“声明式系统”：你只需要描述“你想要什么状态”，系统会自动帮你实现。

HPA（Horizontal Pod Autoscaler）是 Kubernetes 中的一个控制器，用于：👉根据监控指标自动调整 Pod 副本数（Replica 数）Horizontal（水平扩展）：增加/减少 Pod 数量Vertical（垂直扩展）：增加单个 Pod 的资源（CPU / 内存）QPS请求延迟队列长度QPS请求延迟队列长度指标驱动自动扩缩容弹性资源管理帮助系统实现真正的云原生弹性架构。HPA = 用指标驱动 Pod 数量变化，实现服务的自动弹性伸缩。

RollingUpdate（滚动升级）是 Kubernetes 中的一种默认部署策略，主要用于在不中断服务的情况下，将应用从旧版本逐步替换为新版本。逐步替换 Pod，而不是一次性全部替换通过“逐步替换 + 健康检测”，实现安全、平滑的应用升级掌握它，你就掌握了云原生发布的关键能力。

Sticky Session（会话粘滞 / Session Affinity）指的是：在负载均衡场景下，将同一个用户的请求始终路由到同一台后端服务器。用户 A 第一次访问 → 被分配到 Server 1后续请求 →仍然固定走 Server 1一句话总结：Sticky Session 是一种“用路由解决状态问题”的方案，但它本质上是一种折中。方案状态管理扩展性推荐程度本地内存❌⭐⭐外部存储✅⭐⭐⭐⭐JWT无状态✅⭐⭐⭐⭐。

Kubernetes 探针是实现高可用、自愈能力→ 解决“死而不僵”→ 解决“未 ready 就接流量”→ 解决“慢启动误杀”👉 三者配合，才能构建真正稳定的生产系统。