Kubernetes中的Taints和Tolerations是什么？它们是如何工作的？

在 Kubernetes 中，Taints（污点）和 Tolerations（容忍）是两个关键概念，它们共同工作来控制 Pod 的调度行为。通过这些机制，可以实现更细粒度的资源管理和调度策略，确保特定的 Pod 只能在符合某些条件的节点上运行。

Taints（污点）

Taints 是应用在节点上的属性，它告诉 Kubernetes 调度器不要将任何不能容忍这个污点的 Pod 调度到该节点上。污点由三个部分组成：

• Key：污点的键名。
• Value：可选的值。
• Effect：效果，定义了如果 Pod 不能容忍这个污点会发生什么。有三种可能的效果：
  • NoSchedule：不会将新的 Pod 调度到这个节点上，但已有的 Pod 不受影响。
  • PreferNoSchedule：尽量避免将新的 Pod 调度到这个节点上，但不是强制性的。这是一种软性约束。
  • NoExecute：不仅不会将新的 Pod 调度到这个节点上，还会驱逐已经存在的不能容忍此污点的 Pod。

Tolerations（容忍）

Tolerations 是应用于 Pod 的一种属性，它允许 Pod 忽略节点上的特定污点，并能够被调度到具有这些污点的节点上。容忍也是由三个部分组成：

• Key：必须与要容忍的污点的键匹配。
• Value：必须与要容忍的污点的值匹配（如果污点指定了值的话）。
• Effect：必须与要容忍的污点的效果匹配。

如果一个 Pod 没有指定对某个污点的容忍，那么它就不会被调度到带有那个污点的节点上。

工作原理

1. 设置污点：

   • 管理员可以通过 kubectl taint 命令给节点添加污点，例如：

     kubectl taint nodes <node-name> key=value:effect
     

   • 也可以直接编辑节点的 YAML 文件来添加污点。

2. 定义容忍：

   • 在 Pod 的 YAML 文件中，通过 tolerations 字段来定义容忍规则，例如：

     tolerations:
     - key: "key"
       operator: "Equal" # 或者 "Exists"
       value: "value"
       effect: "NoSchedule"
     

3. 调度过程：

   • 当调度器尝试为一个新的 Pod 找到合适的节点时，它会检查每个节点的污点和 Pod 的容忍。
   • 只有当 Pod 的容忍规则能够匹配节点的污点时，Pod 才会被调度到该节点上。
   • 如果节点上有 NoExecute 效果的污点，而正在运行的 Pod 无法容忍这个污点，那么这个 Pod 将被从节点上驱逐。

应用场景

1. 专用节点：

   • 你可以为某些节点设置特定的污点，然后只为特定的服务或应用程序配置相应的容忍，从而保证这些服务只运行在这些专用节点上。例如，为 GPU 节点设置污点，只有需要 GPU 的任务才能容忍这个污点并被调度到这些节点上。

2. 维护模式：

   • 在进行节点维护之前，可以给节点添加一个 NoSchedule 或 NoExecute 的污点，防止新的 Pod 被调度到该节点上，或者驱逐现有 Pod 以便安全地执行维护操作。

3. 高优先级应用：

   • 通过设置污点和对应的容忍来确保关键的应用程序总是能够获得足够的资源，即使是在资源紧张的情况下。

4. 隔离敏感数据：

   • 对于处理敏感数据的节点，可以设置污点，确保只有经过适当配置（具有相应容忍）的安全 Pod 才能被调度到这些节点上。

5. 弹性伸缩：

   • 在使用云提供商的自动伸缩组时，可以给新加入集群的节点设置默认的污点，直到它们准备好接收工作负载。这可以通过设置 PreferNoSchedule 来实现，以避免在节点完全准备好之前就调度 Pod。

通过合理地使用 Taints 和 Tolerations，Kubernetes 管理员可以更好地控制集群内的资源分配，提高集群的稳定性和安全性。这种机制特别适用于那些需要严格控制 Pod 分布和资源使用的场景。