k8s可修改的sysctl内核参数及案例

qq_道可道

已于 2022-06-28 09:56:50 修改

阅读量4k

点赞数

分类专栏： K8S与容器文章标签： kubernetes

于 2020-10-29 17:05:07 首次发布

本文链接：https://blog.csdn.net/qq_16240085/article/details/109364270

版权

K8S与容器专栏收录该内容

28 篇文章

订阅专栏

本文介绍如何在Kubernetes中为Pod配置有命名空间的Sysctl参数，包括安全和非安全参数，并展示了一个Deployment示例，说明如何使用特权模式初始化容器来修改Linux内核参数。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

官网：
https://kubernetes.io/zh/docs/tasks/administer-cluster/sysctl-cluster/

启用非安全的 Sysctl 参数

–allowed-unsafe-sysctls

设置 Pod 的 Sysctl 参数

目前，在 Linux 内核中，有许多的 sysctl 参数都是有命名空间的。这就意味着可以为节点上的每个 Pod 分别去设置它们的 sysctl 参数。在 Kubernetes 中，只有那些有命名空间的 sysctl 参数可以通过 Pod 的 securityContext 对其进行配置。

以下列出有命名空间的 sysctl 参数，在未来的 Linux 内核版本中，此列表可能会发生变化。

kernel.shm*,
kernel.msg*,
kernel.sem,
fs.mqueue.,
net.（内核中可以在容器命名空间里被更改的网络配置项相关参数）。然而也有一些特例（例如，net.netfilter.nf_conntrack_max 和 net.netfilter.nf_conntrack_expect_max 可以在容器命名空间里被更改，但它们是非命名空间的）。
没有命名空间的 sysctl 参数称为节点级别的 sysctl 参数。如果需要对其进行设置，则必须在每个节点的操作系统上手动地去配置它们，或者通过在 DaemonSet 中运行特权模式容器来配置。

可使用 Pod 的 securityContext 来配置有命名空间的 sysctl 参数， securityContext 应用于同一个 Pod 中的所有容器。

此示例中，使用 Pod SecurityContext 来对一个安全的 sysctl 参数 kernel.shm_rmid_forced 以及两个非安全的 sysctl 参数 net.core.somaxconn 和 kernel.msgmax 进行设置。在 Pod 规约中对安全的和非安全的 sysctl 参数不做区分。

Deployment使用init特权模式修改内核参数

apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    app: nginx
  name: nginx
  namespace: default
spec:
  replicas: 1
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
        - env:
            - name: env
              value: test-app1
          image: 'nginx:stable'
          imagePullPolicy: IfNotPresent
          name: nginx
          ports:
            - containerPort: 80
              protocol: TCP
      initContainers:
        - command:
            - /bin/sh
            - '-c'
            - |
              mount -o remount rw /proc/sys
              sysctl -w net.core.somaxconn=65535
          image: 'busybox:latest'
          imagePullPolicy: IfNotPresent
          name: init-sysctl
          resources: {}
          securityContext:
            capabilities:
              add:
                - SYS_ADMIN
              drop:
                - ALL

进入pod查看

# cat /proc/sys/net/core/somaxconn 
65535