1. Kubernetes架构概述Kubernetes简称K8s作为当前最流行的容器编排系统其架构设计体现了分布式系统的最佳实践。这套架构的核心思想是将集群管理职责与工作负载执行分离通过模块化组件实现高可用和弹性扩展。提示理解K8s架构时建议类比传统企业的组织架构 - Master节点如同公司管理层负责决策和协调Node节点则像一线员工具体执行工作任务。1.1 主从架构设计解析K8s采用经典的主从架构Master-Slave这种设计带来了三个关键优势职责分离管理平面与数据平面解耦避免单点过载弹性扩展Worker节点可以动态增减不影响控制平面稳定性故障隔离节点故障不会导致集群雪崩在实际生产环境中Master节点通常需要3-5个实例组成高可用集群而Worker节点数量则根据业务负载动态调整。这种架构特别适合需要处理突发流量的互联网应用场景。2. Master节点深度剖析2.1 控制平面核心组件2.1.1 kube-apiserver作为集群的前门提供RESTful API接口。其无状态特性允许通过负载均衡器部署多个实例典型配置参数包括--max-requests-inflight默认400高负载环境需调大--etcd-servers指向etcd集群地址--service-cluster-ip-range定义Service的CIDR范围2.1.2 etcd集群采用Raft协议保证一致性的键值存储生产环境必须部署奇数个节点(3/5/7)。关键配置项--data-dir/var/lib/etcd # 数据目录 --listen-client-urlshttps://0.0.0.0:2379 # 监听地址 --advertise-client-urlshttps://node-ip:2379 # 对外地址2.1.3 调度器工作机制kube-scheduler的决策流程分为两个阶段过滤阶段排除不符合要求的节点如资源不足评分阶段对剩余节点打分考虑因素包括资源平衡、亲和性等可以通过自定义调度器策略文件修改评分权重apiVersion: kubescheduler.config.k8s.io/v1beta2 kind: KubeSchedulerConfiguration profiles: - schedulerName: default-scheduler plugins: score: enabled: - name: NodeResourcesBalancedAllocation weight: 22.2 控制器管理实践kube-controller-manager包含数十种控制器常见的有Deployment控制器维护副本数Namespace控制器处理命名空间生命周期ServiceAccount控制器确保默认账户存在重要提示生产环境建议将--leader-elect设为true避免多个控制器实例同时工作导致冲突。3. Node节点实现细节3.1 节点组件协作流程当Pod需要调度到某Node时完整工作流程如下kube-apiserver接收创建请求scheduler选择合适Node目标Node的kubelet通过watch机制获取任务container runtime创建容器kube-proxy配置网络规则cAdvisor开始监控容器指标3.2 关键组件配置建议3.2.1 kubelet参数优化--max-pods110 # 单节点最大Pod数 --kube-reservedcpu500m,memory1Gi # 为系统进程保留资源 --eviction-hardmemory.available500Mi # 内存驱逐阈值3.2.2 容器运行时选择除Docker外主流选择还包括containerd更轻量K8s原生支持CRI-O专为K8s设计的轻量运行时性能对比表特性DockercontainerdCRI-O内存占用高低最低启动速度慢快最快K8s兼容性需桥接原生原生4. 命名空间实战应用4.1 多租户隔离方案典型的多团队开发环境命名空间规划kubectl create namespace team-a kubectl create namespace team-b kubectl create namespace monitoring资源配额示例限制每个命名空间的资源使用apiVersion: v1 kind: ResourceQuota metadata: name: compute-resources namespace: team-a spec: hard: requests.cpu: 20 requests.memory: 100Gi limits.cpu: 40 limits.memory: 200Gi4.2 环境隔离策略建议为不同环境创建独立命名空间# 开发环境 kubectl apply -f ./deploy -n dev # 测试环境 kubectl apply -f ./deploy -n test # 生产环境 kubectl apply -f ./deploy -n prod网络策略示例限制命名空间间访问apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: deny-cross-ns namespace: prod spec: podSelector: {} policyTypes: - Ingress ingress: - from: - namespaceSelector: matchLabels: role: monitoring5. 生产环境运维经验5.1 Master节点高可用部署推荐的三节点部署架构----------------- | Load Balancer | ---------------- | ------------------------------ | | | | | | Master1 Master2 Master3 | -------------------------------------关键配置使用keepalivedhaproxy实现LB高可用etcd集群跨AZ部署定期备份etcd数据5.2 节点管理最佳实践节点打标通过label分类节点kubectl label nodes node-1 disktypessd污点与容忍控制Pod调度# 给GPU节点添加污点 kubectl taint nodes gpu-node-1 specialtrue:NoSchedule # 在PodSpec中添加容忍 tolerations: - key: special operator: Equal value: true effect: NoSchedule节点自动修复结合Cluster Autoscaler和Node Problem Detector实现故障节点自动替换6. 常见问题排查指南6.1 网络连接问题诊断流程检查Pod网络kubectl exec -it pod -- ping target验证Service DNS解析kubectl run -it --rm debug --imagebusybox --restartNever -- nslookup service检查kube-proxy日志kubectl logs -n kube-system kube-proxy-pod6.2 资源不足处理典型症状及解决方案症状可能原因解决方案Pod处于Pending状态节点资源不足增加节点或调整资源请求Pod频繁重启内存超出限制调整memory limits节点NotReadykubelet进程崩溃重启kubelet或排查系统问题6.3 存储问题排查PersistentVolume挂载失败时检查StorageClass配置kubectl get storageclassPV/PVC状态kubectl get pv,pvc -n namespace底层存储系统日志如Ceph、NFS等7. 监控与日志收集7.1 监控方案设计推荐监控栈组合Prometheus指标收集Grafana可视化Alertmanager告警管理关键监控指标节点CPU/内存/磁盘使用率Pod重启次数、就绪状态控制平面apiserver延迟、etcd写入延迟7.2 日志收集实践EFK栈部署示例# 部署Elasticsearch kubectl apply -f https://download.elastic.co/downloads/eck/2.6.1/crds.yaml kubectl apply -f https://download.elastic.co/downloads/eck/2.6.1/operator.yaml # 部署Fluentd daemonset kubectl apply -f fluentd-config.yaml # 部署Kibana kubectl apply -f kibana-deployment.yaml日志查询技巧# 查看特定Pod最近100行日志 kubectl logs --tail100 pod-name # 实时查看日志流 kubectl logs -f pod-name # 多容器Pod指定容器 kubectl logs pod-name -c container-name8. 安全加固建议8.1 认证与授权RBAC配置示例开发人员权限apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: namespace: dev name: developer rules: - apiGroups: [] resources: [pods, services] verbs: [get, list, create]8.2 网络策略默认拒绝所有流量策略apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: default-deny spec: podSelector: {} policyTypes: - Ingress - Egress8.3 镜像安全扫描策略建议使用私有镜像仓库集成Trivy或Clair进行漏洞扫描在CI/CD流水线中阻断高危镜像部署9. 版本升级策略9.1 滚动升级方案K8s版本升级步骤备份etcd数据升级master组件kube-apiserver等逐个drain工作节点并升级验证各组件兼容性升级检查清单检查API版本废弃情况验证自定义资源定义(CRD)兼容性测试关键业务工作负载9.2 回滚机制关键回滚点etcd快照组件二进制备份旧版本镜像保留回滚操作示例# 降级kubelet版本 sudo apt-get install kubelet1.23.5-00 sudo systemctl restart kubelet10. 性能调优经验10.1 API Server优化推荐配置调整apiServer: extraArgs: http2-max-streams-per-connection: 1000 enable-priority-and-fairness: false # 小集群可关闭10.2 etcd性能调优关键参数--quota-backend-bytes8589934592 # 8GB存储限制 --max-request-bytes1572864 # 增大请求大小限制 --snapshot-count10000 # 快照触发阈值10.3 节点资源优化Kubelet垃圾回收配置--image-gc-high-threshold85 # 镜像占用超过85%触发清理 --image-gc-low-threshold80 # 清理到80%停止 --eviction-hardmemory.available5%,nodefs.available10%在实际运维中我们发现合理设置kubelet的--max-pods参数对节点稳定性影响很大。物理机节点通常可以设置为150-200而VM节点则需要根据具体规格调整避免过度分配导致资源争抢。
1. Kubernetes架构概述Kubernetes简称K8s作为当前最流行的容器编排系统其架构设计体现了分布式系统的最佳实践。这套架构的核心思想是将集群管理职责与工作负载执行分离通过模块化组件实现高可用和弹性扩展。提示理解K8s架构时建议类比传统企业的组织架构 - Master节点如同公司管理层负责决策和协调Node节点则像一线员工具体执行工作任务。1.1 主从架构设计解析K8s采用经典的主从架构Master-Slave这种设计带来了三个关键优势职责分离管理平面与数据平面解耦避免单点过载弹性扩展Worker节点可以动态增减不影响控制平面稳定性故障隔离节点故障不会导致集群雪崩在实际生产环境中Master节点通常需要3-5个实例组成高可用集群而Worker节点数量则根据业务负载动态调整。这种架构特别适合需要处理突发流量的互联网应用场景。2. Master节点深度剖析2.1 控制平面核心组件2.1.1 kube-apiserver作为集群的前门提供RESTful API接口。其无状态特性允许通过负载均衡器部署多个实例典型配置参数包括--max-requests-inflight默认400高负载环境需调大--etcd-servers指向etcd集群地址--service-cluster-ip-range定义Service的CIDR范围2.1.2 etcd集群采用Raft协议保证一致性的键值存储生产环境必须部署奇数个节点(3/5/7)。关键配置项--data-dir/var/lib/etcd # 数据目录 --listen-client-urlshttps://0.0.0.0:2379 # 监听地址 --advertise-client-urlshttps://node-ip:2379 # 对外地址2.1.3 调度器工作机制kube-scheduler的决策流程分为两个阶段过滤阶段排除不符合要求的节点如资源不足评分阶段对剩余节点打分考虑因素包括资源平衡、亲和性等可以通过自定义调度器策略文件修改评分权重apiVersion: kubescheduler.config.k8s.io/v1beta2 kind: KubeSchedulerConfiguration profiles: - schedulerName: default-scheduler plugins: score: enabled: - name: NodeResourcesBalancedAllocation weight: 22.2 控制器管理实践kube-controller-manager包含数十种控制器常见的有Deployment控制器维护副本数Namespace控制器处理命名空间生命周期ServiceAccount控制器确保默认账户存在重要提示生产环境建议将--leader-elect设为true避免多个控制器实例同时工作导致冲突。3. Node节点实现细节3.1 节点组件协作流程当Pod需要调度到某Node时完整工作流程如下kube-apiserver接收创建请求scheduler选择合适Node目标Node的kubelet通过watch机制获取任务container runtime创建容器kube-proxy配置网络规则cAdvisor开始监控容器指标3.2 关键组件配置建议3.2.1 kubelet参数优化--max-pods110 # 单节点最大Pod数 --kube-reservedcpu500m,memory1Gi # 为系统进程保留资源 --eviction-hardmemory.available500Mi # 内存驱逐阈值3.2.2 容器运行时选择除Docker外主流选择还包括containerd更轻量K8s原生支持CRI-O专为K8s设计的轻量运行时性能对比表特性DockercontainerdCRI-O内存占用高低最低启动速度慢快最快K8s兼容性需桥接原生原生4. 命名空间实战应用4.1 多租户隔离方案典型的多团队开发环境命名空间规划kubectl create namespace team-a kubectl create namespace team-b kubectl create namespace monitoring资源配额示例限制每个命名空间的资源使用apiVersion: v1 kind: ResourceQuota metadata: name: compute-resources namespace: team-a spec: hard: requests.cpu: 20 requests.memory: 100Gi limits.cpu: 40 limits.memory: 200Gi4.2 环境隔离策略建议为不同环境创建独立命名空间# 开发环境 kubectl apply -f ./deploy -n dev # 测试环境 kubectl apply -f ./deploy -n test # 生产环境 kubectl apply -f ./deploy -n prod网络策略示例限制命名空间间访问apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: deny-cross-ns namespace: prod spec: podSelector: {} policyTypes: - Ingress ingress: - from: - namespaceSelector: matchLabels: role: monitoring5. 生产环境运维经验5.1 Master节点高可用部署推荐的三节点部署架构----------------- | Load Balancer | ---------------- | ------------------------------ | | | | | | Master1 Master2 Master3 | -------------------------------------关键配置使用keepalivedhaproxy实现LB高可用etcd集群跨AZ部署定期备份etcd数据5.2 节点管理最佳实践节点打标通过label分类节点kubectl label nodes node-1 disktypessd污点与容忍控制Pod调度# 给GPU节点添加污点 kubectl taint nodes gpu-node-1 specialtrue:NoSchedule # 在PodSpec中添加容忍 tolerations: - key: special operator: Equal value: true effect: NoSchedule节点自动修复结合Cluster Autoscaler和Node Problem Detector实现故障节点自动替换6. 常见问题排查指南6.1 网络连接问题诊断流程检查Pod网络kubectl exec -it pod -- ping target验证Service DNS解析kubectl run -it --rm debug --imagebusybox --restartNever -- nslookup service检查kube-proxy日志kubectl logs -n kube-system kube-proxy-pod6.2 资源不足处理典型症状及解决方案症状可能原因解决方案Pod处于Pending状态节点资源不足增加节点或调整资源请求Pod频繁重启内存超出限制调整memory limits节点NotReadykubelet进程崩溃重启kubelet或排查系统问题6.3 存储问题排查PersistentVolume挂载失败时检查StorageClass配置kubectl get storageclassPV/PVC状态kubectl get pv,pvc -n namespace底层存储系统日志如Ceph、NFS等7. 监控与日志收集7.1 监控方案设计推荐监控栈组合Prometheus指标收集Grafana可视化Alertmanager告警管理关键监控指标节点CPU/内存/磁盘使用率Pod重启次数、就绪状态控制平面apiserver延迟、etcd写入延迟7.2 日志收集实践EFK栈部署示例# 部署Elasticsearch kubectl apply -f https://download.elastic.co/downloads/eck/2.6.1/crds.yaml kubectl apply -f https://download.elastic.co/downloads/eck/2.6.1/operator.yaml # 部署Fluentd daemonset kubectl apply -f fluentd-config.yaml # 部署Kibana kubectl apply -f kibana-deployment.yaml日志查询技巧# 查看特定Pod最近100行日志 kubectl logs --tail100 pod-name # 实时查看日志流 kubectl logs -f pod-name # 多容器Pod指定容器 kubectl logs pod-name -c container-name8. 安全加固建议8.1 认证与授权RBAC配置示例开发人员权限apiVersion: rbac.authorization.k8s.io/v1 kind: Role metadata: namespace: dev name: developer rules: - apiGroups: [] resources: [pods, services] verbs: [get, list, create]8.2 网络策略默认拒绝所有流量策略apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: default-deny spec: podSelector: {} policyTypes: - Ingress - Egress8.3 镜像安全扫描策略建议使用私有镜像仓库集成Trivy或Clair进行漏洞扫描在CI/CD流水线中阻断高危镜像部署9. 版本升级策略9.1 滚动升级方案K8s版本升级步骤备份etcd数据升级master组件kube-apiserver等逐个drain工作节点并升级验证各组件兼容性升级检查清单检查API版本废弃情况验证自定义资源定义(CRD)兼容性测试关键业务工作负载9.2 回滚机制关键回滚点etcd快照组件二进制备份旧版本镜像保留回滚操作示例# 降级kubelet版本 sudo apt-get install kubelet1.23.5-00 sudo systemctl restart kubelet10. 性能调优经验10.1 API Server优化推荐配置调整apiServer: extraArgs: http2-max-streams-per-connection: 1000 enable-priority-and-fairness: false # 小集群可关闭10.2 etcd性能调优关键参数--quota-backend-bytes8589934592 # 8GB存储限制 --max-request-bytes1572864 # 增大请求大小限制 --snapshot-count10000 # 快照触发阈值10.3 节点资源优化Kubelet垃圾回收配置--image-gc-high-threshold85 # 镜像占用超过85%触发清理 --image-gc-low-threshold80 # 清理到80%停止 --eviction-hardmemory.available5%,nodefs.available10%在实际运维中我们发现合理设置kubelet的--max-pods参数对节点稳定性影响很大。物理机节点通常可以设置为150-200而VM节点则需要根据具体规格调整避免过度分配导致资源争抢。
