Kubernetes finalize | namespace卡Terminating&finalizers删除失败

在 Kubernetes 中，当删除一个 Namespace 时，控制平面并不会立即将其从集群中移除，而是首先尝试优雅清理该命名空间下所有资源对象。如果其中某个资源（如 PVC、Pod、CRD 对象等）挂起或其 finalizer 未能完成，则整个 Namespace 会无限卡在 Terminating 状态。

1、为什么会卡住？

Namespace 删除依赖于 finalizer 机制：
finalizer 是一种资源保护机制，声明“只有在某个组件完成清理动作之后，才能真正删除资源”。
若某组件（如 Operator、CRD 控制器）未完成回调或宕机，finalizer 就不会被移除，导致删除被阻塞。

2、强制删除卡住的 Namespace：操作步骤

1：导出当前 namespace 信息

kubectl get namespace <your-namespace> -o json > ns.json

编辑文件，清空 finalizers

"spec": {
  "finalizers": ["kubernetes"]
}

将其修改为：

"spec": {
  "finalizers": []
}

2：启动代理（另一个终端）以便使用 Kubernetes API Server

kubectl proxy
#这会在本地启动一个 HTTP 接口服务，用于与 Kubernetes API Server 通信。

3：使用 curl 强制删除 finalize

curl -k -H "Content-Type: application/json" -X PUT \
  --data-binary @ns.json \
  http://127.0.0.1:8001/api/v1/namespaces/<your-namespace>/finalize

3、进阶排查：删除失败可能的根因分析

在执行上述操作前，建议先排查命名空间中是否存在以下阻碍：

1. 存在未删除资源

kubectl api-resources --verbs=list --namespaced -o name | xargs -n 1 kubectl get -n <your-namespace>

2. CRD 对象未被清理（如 Argo、Istio、Datadog 之类）

kubectl get crd | grep -i <your-namespace>

3. 某个 Finalizer 的 Controller 不存在或已失效

"finalizers": [
  "kubernetes",
  "istio.io/finalizer"
]

这个资源在删除前，必须等 “kubernetes”,"istio.io/finalizer"对应的 Controller 完成“清理”逻辑，并移除它自己在 finalizers 列表里的记录。
如果其中任意一个 finalizer 对应的Controller 不再运行，这个资源就会永远卡住，因为没人来完成“我清理完了，可以删了”的这个动作。

附加技巧：用 kubectl patch 快速移除 finalizers（部分集群支持）

kubectl patch namespace <your-namespace> -p '{"spec":{"finalizers":[]}}' --type=merge

Bonus：写一个一键清理脚本（适合 CI 或排障工具）

#!/bin/bash
NS=$1
if [ -z "$NS" ]; then
  echo "用法: $0 <namespace>"
  exit 1
fi

cat <<EOF > $NS-finalizer.json
{
  "apiVersion": "v1",
  "kind": "Namespace",
  "metadata": {
    "name": "$NS"
  },
  "spec": {
    "finalizers": []
  }
}
EOF

kubectl proxy &  # 启动本地代理
sleep 2

curl -k -H "Content-Type: application/json" -X PUT \
  --data-binary @$NS-finalizer.json \
  http://127.0.0.1:8001/api/v1/namespaces/$NS/finalize