这次我们来看一个运维工程师基本绕不开的组合Docker Kubernetes。无论你是在维护 Linux 服务器、做应用部署还是准备面试 DevOps 或云计算运维岗位这两样东西都是核心考点。这篇内容不是把概念抄一遍而是按 2026 年实际生产环境的使用习惯从零开始把 Docker 和 K8S 的安装、常用命令、实战部署、监控告警、故障排查全部过一遍帮你形成一条可以直接复用的学习路径。如果你正在准备转行运维、或者刚接触容器化部署那么本文可以直接收藏。下面先看这套技术栈的重点Docker 解决的是“应用怎么打包、怎么隔离、怎么跑起来”的问题Kubernetes 解决的是“容器多了以后怎么调度、怎么扩容、怎么保证不挂”的问题。先能跑通单机 Docker再上手 K8S 集群这个顺序基本不会错。本文覆盖内容Docker 环境安装、镜像与容器常用操作、MySQL 和 Redis 实战部署、Docker Compose 编排、K8S 集群架构与安装准备、Pod/Deployment/Service 核心对象、监控告警、常见故障排查清单。内容偏实战命令可以直接复制。1. Docker 与 K8S 核心能力速览很多新手会混淆 Docker 和 Kubernetes先给一张对比表后面再展开细节。能力项DockerKubernetes定位容器引擎负责构建、运行、管理单个容器容器编排平台负责集群级别的调度、伸缩、自愈是否包含容器运行时是Docker Engine 自带 containerd不直接管理镜像构建需对接 containerd、CRI-O 等运行时单机/集群单机为主配合 Swarm 也能做集群但生态较弱天然面向多节点集群安装难度较低官方脚本或包管理器即可较高涉及 kubeadm、网络插件、证书、高可用等核心对象镜像、容器、网络、数据卷Pod、Deployment、Service、Ingress、ConfigMap、Namespace适合场景本地开发、单机部署、CI/CD 镜像构建生产环境多节点应用托管、微服务治理、自动伸缩常用命令docker run、docker exec、docker buildkubectl get、kubectl apply、kubectl logs如果你是零基础建议先把 Docker 的命令和思维练熟再过渡到 K8S。K8S 本身不提供镜像构建能力它管理的对象就是 Docker 或其他运行时构建出来的容器镜像。2. 适用场景与使用边界先明确一下什么场景值得学这套东西。Docker 最适合解决“环境不一致”的问题。比如你本地跑得好好的代码到服务器上缺依赖、版本不对、系统库不兼容用镜像把运行环境固定下来这些问题会少很多。另一个典型场景是 CI/CD代码提交后自动构建镜像再自动部署到测试或生产环境Docker 是流水线里不可缺少的一环。Kubernetes 适合管理规模较大的容器集群。比如你有几十个微服务、几十台节点需要自动扩容、滚动更新、故障自愈这时用 Docker 一个个手动管理是不现实的。K8S 会把 Pod 调度到合适的节点上节点挂了会自动在其他节点重建这种能力是单机 Docker 不具备的。也要说清楚边界。如果你只有一两台服务器、跑三五个应用直接用 Docker Compose 就够没必要上 K8S。K8S 的运维成本不低控制面组件、网络插件、存储方案、监控体系都要额外维护。小项目硬上 K8S反而会增加复杂度。安全边界和合规问题也要关注镜像来源要可信尽量使用官方镜像仓库涉及数据库、Redis 等有状态服务时数据卷和备份策略要考虑清楚生产中对外提供服务时端口映射和网络安全策略要限制访问范围如果涉及用户数据、隐私数据一定要遵守相关法律法规做好访问控制和日志审计。3. Docker 本地部署环境准备Docker 支持主流 Linux 发行版、Windows 和 macOS。2026 年这个时间点主流 Linux 服务器系统基本是 Ubuntu 22.04/24.04、Rocky Linux 9、AlmaLinux 9、openEuler 等。下面按 Linux 和 Windows 两类常见场景说明。3.1 Linux 安装 Docker Engine先卸载系统里可能残留的老版本# Ubuntu / Debian sudo apt remove docker docker-engine docker.io containerd runc # Rocky / AlmaLinux / CentOS sudo yum remove docker docker-client docker-common docker-engineUbuntu 系安装依赖并添加 Docker 官方源sudo apt update sudo apt install -y ca-certificates curl sudo install -m 0755 -d /etc/apt/keyrings curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo tee /etc/apt/keyrings/docker.asc /dev/null echo deb [arch$(dpkg --print-architecture) signed-by/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/ubuntu $(. /etc/os-release echo $VERSION_CODENAME) stable | sudo tee /etc/apt/sources.list.d/docker.list /dev/null sudo apt update sudo apt install -y docker-ce docker-ce-cli containerd.io docker-compose-pluginRocky / AlmaLinux 系列sudo yum install -y yum-utils sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo sudo yum install -y docker-ce docker-ce-cli containerd.io docker-compose-plugin启动并设置开机自启sudo systemctl enable --now docker sudo systemctl status docker执行以下命令确认安装成功sudo docker run hello-world看到 “Hello from Docker!” 说明 Docker 引擎工作正常。3.2 解决普通用户权限问题默认情况下 docker 命令需要 root 权限每次加 sudo 不方便。把当前用户加入 docker 组然后重新登录即可sudo usermod -aG docker $USER newgrp docker注意将用户加入 docker 组等同于授予该用户 root 级别的系统权限仅建议在受信任的开发环境中使用生产环境要严格控制。3.3 Windows 安装 Docker DesktopWindows 环境建议直接使用 Docker Desktop。安装前需要确保 BIOS 里开启了虚拟化否则启动时会报类似 “Docker Desktop failed to start because virtualisation support was not detected” 的错。解决思路重启进入 BIOS打开 Intel VT-x 或 AMD-V。Windows 功能里开启 “适用于 Linux 的 Windows 子系统” 和 “虚拟机平台”。以管理员身份执行wsl --install然后安装 Docker Desktop启动后等待 WSL2 后端初始化即可。4. Docker 基础操作镜像与容器Docker 的使用循环是拉取镜像 - 创建容器 - 启动容器 - 进入容器或查看日志 - 停止和清理。4.1 镜像管理# 拉取镜像 docker pull nginx:1.27 # 查看本地镜像 docker images # 删除镜像 docker rmi nginx:1.274.2 容器生命周期# 运行一个 nginx 容器映射宿主机 8080 端口 docker run -d --name web01 -p 8080:80 nginx:1.27 # 查看运行中的容器 docker ps # 查看所有容器包括已停止 docker ps -a # 进入容器 docker exec -it web01 bash # 查看容器日志 docker logs -f web01 # 停止、启动、重启 docker stop web01 docker start web01 docker restart web01 # 删除容器 docker rm -f web01注意端口映射格式宿主端口:容器端口。-d表示后台运行--name指定容器名-it表示交互式终端。4.3 镜像加速配置国内拉取 Docker Hub 镜像经常超时常见做法是给 Docker 配置镜像加速器。编辑/etc/docker/daemon.json{ registry-mirrors: [ https://docker.m.daocloud.io ] }重启 Docker 生效sudo systemctl restart docker实际可用的加速器地址会变化建议根据自己网络环境测试选一个稳定可用的即可。5. Docker 实战MySQL 与 Redis 部署只看命令不实战很难记住这里用两个最常见的服务来演示关系型数据库 MySQL 和缓存中间件 Redis。5.1 安装 MySQL 8.0docker run -d \ --name mysql8 \ -p 3306:3306 \ -e MYSQL_ROOT_PASSWORDyour_password \ -e MYSQL_DATABASEtestdb \ -v mysql_data:/var/lib/mysql \ mysql:8.0注意点MYSQL_ROOT_PASSWORD是 root 初始密码首次启动时生效。-v mysql_data:/var/lib/mysql用命名卷持久化数据删除容器后数据还在。如果宿主机 3306 端口已被占用改用-p 3307:3306。验证连接docker exec -it mysql8 mysql -uroot -p进入 MySQL 命令行后执行SHOW DATABASES;看到testdb说明部署成功。5.2 安装 Redisdocker run -d \ --name redis \ -p 6379:6379 \ -v redis_data:/data \ redis:7.2测试连接docker exec -it redis redis-cli ping返回PONG表示 Redis 可用。5.3 数据卷与备份思路使用命名卷的好处是容器可以随便删数据目录独立在宿主机上。查看数据卷docker volume ls备份 MySQL 数据可以这样执行docker exec mysql8 sh -c exec mysqldump --all-databases -uroot -p$MYSQL_ROOT_PASSWORD backup.sql有状态服务一定要在部署前想好备份策略不要在数据丢了以后才考虑。6. Docker Compose 多服务编排当服务越来越多一条条docker run命令就不太方便管理了。Docker Compose 的作用是用一个 YAML 文件描述多容器应用的完整配置一次命令全部启动。以 MySQL Redis 后端应用为例docker-compose.ymlversion: 3.8 services: mysql: image: mysql:8.0 container_name: mysql8 environment: MYSQL_ROOT_PASSWORD: your_password MYSQL_DATABASE: testdb ports: - 3306:3306 volumes: - mysql_data:/var/lib/mysql restart: unless-stopped redis: image: redis:7.2 container_name: redis ports: - 6379:6379 volumes: - redis_data:/data restart: unless-stopped app: image: your_app_image:latest container_name: app ports: - 8080:8080 environment: DB_HOST: mysql REDIS_HOST: redis depends_on: - mysql - redis volumes: mysql_data: redis_data:启动服务docker compose up -d docker compose ps docker compose logs -f app停止服务docker compose downCompose 文件里的服务名mysql和redis可以直接作为容器间通信的主机名使用应用里配置数据库地址时写成mysql而不是localhost这是新手最容易踩的坑。7. K8S 集群架构与部署准备Kubernetes 集群至少包含两类角色控制面节点Control Plane和工作节点Worker Node。控制面负责调度和状态维护工作节点负责运行实际业务容器。控制面核心组件kube-apiserver集群所有 API 请求的入口。etcd集群状态存储。kube-scheduler决定 Pod 调度到哪个节点。kube-controller-manager维护控制器状态。工作节点核心组件kubelet与 apiserver 通信管理节点上的 Pod。kube-proxy处理服务网络规则。容器运行时containerd 或 CRI-O。7.1 安装 K8S 的几种方式2026 年实际场景中常用方式有三类方式适用场景特点kubeadm自建生产集群官方工具可控性高适合标准化交付k3s边缘节点、测试环境轻量安装简单资源占用低云托管 K8S云上生产环境控制面由云厂商维护运维成本低minikube / kind本地学习单机模拟集群适合入门对零基础入门来说先装 minikube 体验核心概念再上 kubeadm 搭建真实集群是性价比最高的路径。7.2 kubeadm 搭建集群的最小准备官方推荐生产环境至少 2 核 4G 内存磁盘 20G 以上。节点间网络要互通主机名不能重复swap 需要关闭。安装前完成基础设置# 关闭 swap sudo swapoff -a sudo sed -i /swap/s/^/#/ /etc/fstab # 加载内核模块 cat EOF | sudo tee /etc/modules-load.d/k8s.conf overlay br_netfilter EOF sudo modprobe overlay sudo modprobe br_netfilter # 配置网络参数 cat EOF | sudo tee /etc/sysctl.d/k8s.conf net.bridge.bridge-nf-call-iptables 1 net.bridge.bridge-nf-call-ip6tables 1 net.ipv4.ip_forward 1 EOF sudo sysctl --system接着用 kubeadm 初始化集群sudo kubeadm init --pod-network-cidr10.244.0.0/16初始化成功后按提示执行mkdir -p $HOME/.kube sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config sudo chown $(id -u):$(id -g) $HOME/.kube/config工作节点加入集群时使用kubeadm join命令包含 token 和 apiserver 地址sudo kubeadm join 192.168.1.10:6443 --token token --discovery-token-ca-cert-hash sha256:hash安装网络插件后才能让 Pod 跨节点通信这里以 Calico 示例kubectl apply -f https://raw.githubusercontent.com/projectcalico/calico/v3.28.1/manifests/calico.yaml网络插件版本和 K8S 版本需要匹配具体版本号以官方兼容矩阵为准。8. K8S 核心对象Pod、Deployment、ServiceK8S 里有一堆抽象概念先掌握三个最重要的。8.1 PodPod 是 K8S 中最小的调度单位里面可以有一个或多个容器这些容器共享网络命名空间和存储卷。一般来说一个 Pod 里只放一个主业务容器边车容器如日志收集可以放在同一 Pod 里。8.2 DeploymentDeployment 负责管理无状态应用的副本数和滚动更新。你告诉它“我要 3 个副本”它会自动创建 3 个 Pod并且保证始终有 3 个可用。下面是一个 Nginx Deployment 示例apiVersion: apps/v1 kind: Deployment metadata: name: nginx-deploy spec: replicas: 3 selector: matchLabels: app: nginx template: metadata: labels: app: nginx spec: containers: - name: nginx image: nginx:1.27 ports: - containerPort: 80创建和查看kubectl apply -f nginx-deploy.yaml kubectl get pods kubectl get deployment8.3 ServicePod 的 IP 是动态的Pod 重建后 IP 会变Service 提供了稳定的访问入口。它的核心是一组标签选择器用来匹配后端的 Pod。apiVersion: v1 kind: Service metadata: name: nginx-svc spec: selector: app: nginx ports: - port: 80 targetPort: 80 type: NodePort如果使用NodePort类型K8S 会在每个节点上随机分配一个 30000-32767 范围的端口外部可以通过任意节点 IP 加这个端口访问服务kubectl get svc8.4 entrypoint 和 cmd 的区别K8S 部署时经常会遇到“容器起不来”的问题其中一个原因是镜像的启动命令不对。这里说清楚两个概念Dockerfile 里的ENTRYPOINT定义容器的主进程不能被运行参数覆盖适合固定不变的程序入口。CMD定义默认参数可以在运行时被命令行传入的参数覆盖。K8S 的 Pod 定义里command对应 Dockerfile 的ENTRYPOINTargs对应CMD。示例spec: containers: - name: app image: myapp:latest command: [/app/start.sh] args: [--config, /etc/app/config.yaml]容器 crash 时第一件事就是确认启动命令和参数是否正确用kubectl logs看输出。9. K8S 实战部署应用到集群下面用一个完整流程演示“构建镜像 - 创建 Deployment - 暴露 Service”这样你对 K8S 工作流程会有直观认识。9.1 构建应用镜像假设有一个简单的 HTTP 服务创建DockerfileFROM nginx:alpine COPY index.html /usr/share/nginx/html/index.html EXPOSE 80构建docker build -t myweb:1.0 .如果要在集群中使用需要把镜像推送到仓库。本地测试场景也可以使用kind load docker-image或minikube image load导入。9.2 编写部署文件deploy.yamlapiVersion: apps/v1 kind: Deployment metadata: name: myweb spec: replicas: 3 selector: matchLabels: app: myweb template: metadata: labels: app: myweb spec: containers: - name: myweb image: myweb:1.0 imagePullPolicy: IfNotPresent ports: - containerPort: 80 --- apiVersion: v1 kind: Service metadata: name: myweb-svc spec: selector: app: myweb ports: - port: 80 targetPort: 80 type: NodePort应用配置kubectl apply -f deploy.yaml查看状态kubectl get deploy kubectl get pods -o wide kubectl get svc myweb-svc用节点 IP 加 NodePort 访问页面。如果不通先用kubectl get pods确认 Pod 是否 Running再kubectl logs看应用日志。9.3 滚动更新与回滚更新镜像版本kubectl set image deployment/myweb mywebmyweb:2.0查看更新状态kubectl rollout status deployment/myweb回滚到上一个版本kubectl rollout undo deployment/myweb这是 K8S 最实用的能力之一发布出问题能快速回滚。10. K8S 监控告警与故障排查在生产环境K8S 集群离不开监控体系。最常见的组合是Prometheus 采集指标Grafana 展示面板Alertmanager 负责告警node-exporter 采集节点指标。10.1 监控组件部署思路组件作用默认端口node-exporter采集节点 CPU、内存、磁盘、网络指标9100Prometheus时序数据库存储和查询指标9090Grafana可视化面板3000Alertmanager根据告警规则发送通知9093部署方式通常有两种用 Helm Chart 安装 kube-prometheus-stack或者分别安装组件。新手建议先理解各组件职责再使用 Helm 统一管理。10.2 常见磁盘告警规则监控告警里最容易出问题的是磁盘空间。一个典型的 disk 告警规则groups: - name: node.rules rules: - alert: NodeFilesystemUsage expr: (1 - (node_filesystem_avail_bytes{fstype!~tmpfs|overlay} / node_filesystem_size_bytes{fstype!~tmpfs|overlay})) * 100 85 for: 5m labels: severity: warning annotations: summary: Node filesystem usage above 85%含义是文件系统使用率超过 85%持续 5 分钟触发告警。具体阈值需要根据磁盘容量和业务写入量调整不建议直接照搬。10.3 K8S CPU Throttling热搜词里提到的 “k8s cpu throttling” 是生产环境常见问题。现象是应用延迟变高CPU 使用率却不饱和。原因一般是 Pod 的 CPU limit 设置过低容器 CPU 时间片被内核限制。排查思路# 查看 Pod 当前的 CPU 限制 kubectl get pod pod-name -o yaml | grep -A5 resources # 进入容器查看 cgroup 限制 kubectl exec -it pod-name -- cat /sys/fs/cgroup/cpu.max解决方案根据压测数据调整 CPU request 和 limit不要随意设置过小的 limit。区分 request 和 limitrequest 是调度保证limit 是硬上限。日常业务不需要设置得过死。使用 HPA 根据负载自动扩容而不是单靠加 CPU limit。如果能接受微秒级延迟抖动可以评估调整 CPU Manager 策略但需要深入理解再动。10.4 创建只读权限的 K8S 用户热搜词里有“k8s只开只读权限的用户”这也是日常工作里常见的权限需求。给运维同学或审计人员配置只读权限推荐基于 RBAC 实现。创建 ServiceAccount 并绑定只读角色apiVersion: v1 kind: ServiceAccount metadata: name: readonly-user namespace: default --- apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: readonly-role rules: - apiGroups: [] resources: [pods, services, configmaps, secrets, nodes] verbs: [get, list, watch] --- apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata: name: readonly-binding subjects: - kind: ServiceAccount name: readonly-user namespace: default roleRef: kind: ClusterRole name: readonly-role apiGroup: rbac.authorization.k8s.io应用kubectl apply -f readonly-user.yaml这个角色只能执行 get/list/watch不能创建、删除或修改资源符合只读审计需求。10.5 查看 Pod 日志和事件Pod 状态异常时按顺序排查# 查看 Pod 状态 kubectl get pods # 查看详细信息和最近事件 kubectl describe pod pod-name # 查看容器日志 kubectl logs -f pod-name # 进入容器排查 kubectl exec -it pod-name -- /bin/shkubectl describe的 Events 字段会列出拉镜像失败、调度失败、探针失败等关键信息排查顺序应该是镜像能不能拉 - 资源够不够 - 启动命令对不对 - 应用日志报什么。11. 常见问题与排查方法问题现象可能原因排查方式解决方案Docker 启动失败旧版 Docker 残留、系统参数未配置查看日志journalctl -u docker按官方文档清理旧版后重新安装Docker Desktop 启动报 virtualization 错误未开启 BIOS 虚拟化检查任务管理器性能页是否显示虚拟化已启用进入 BIOS 开启 VT-x/AMD-V启用 WSL2docker pull 超时网络到 Docker Hub 不通执行docker pull nginx观察报错配置镜像加速器或使用代理仓库容器端口无法访问防火墙未放行检查iptables -L、云安全组规则放行对应端口或改映射端口MySQL 容器反复重启数据目录权限问题docker logs mysql8检查命名卷权限必要时重新初始化kubectl 无法连接集群kubeconfig 过期或 apiserver 未启动检查~/.kube/config、kubectl cluster-info重新 export kubeconfig确认 apiserver 正常Pod 一直 Pending节点资源不足或调度约束不满足kubectl describe pod看 Events增加节点资源、调整 request、删除污点约束Pod 反复 CrashLoopBackOff启动命令错误或应用崩溃kubectl logs查看退出日志修正 command/args检查依赖服务是否就绪Service NodePort 无法访问kube-proxy 规则未生效查看kubectl get svc、检查节点防火墙重启 kube-proxy确认网络插件正常CPU 使用率被限制导致延迟飙高CPU limit 设置过小查看 cgroup cpu.max、压测对比调整 CPU limit或部署 HPA 扩容应用日志不输出日志写到文件未打印到 stdoutdocker exec查看容器内文件调整应用日志输出到 stdout由 k8s 收集批量任务卡住并发数过大或资源冲突查看任务 Pod 状态和日志限制并发、增加资源配额、设计失败重试12. 最佳实践与学习建议学 Docker 和 K8S最忌讳只看不练。下面几条建议如果你能落实学习效率会明显提高。12.1 先跑通最小闭环第一次接触不要追求理解所有底层原理。先在本地把 Docker 装好跑一个 Nginx 容器看日志、进容器、删容器建立“镜像到容器”的直观感觉。然后再部署一个带数据卷的 MySQL理解数据持久化。最后用 Docker Compose 串起两个服务这套闭环能覆盖 70% 的日常操作。12.2 K8S 学习从 minikube 开始自己搭多节点 K8S 集群对新手来说坑太多网络插件、初始化参数、节点 join每一步都可能出错。建议先用 minikube 或 kind 在本地模拟集群重点学习 kubectl 命令和 YAML 编写等基础操作熟练后再用 kubeadm 搭真实集群。12.3 定义资源配置要留余量无论是 Docker 的-m内存限制还是 K8S 的 resources 配置都要留出余量。limit 设置过小会把容器搞到 OOMKilled 或 CPU throttling设置过大会浪费集群资源。建议先不设置 limit 观察基线负载再根据监控数据逐步收紧。12.4 数据安全是第一优先级数据库、Redis 这些有状态服务必须使用数据卷持久化数据。部署前写好备份和恢复流程定期做恢复演练。容器可以随时重建但数据一旦丢失基本无法找回。12.5 监控要尽早接入不要等到集群出问题才装监控。一个最基础的监控方案只需要 node-exporter Prometheus Grafana先把节点 CPU、内存、磁盘、网络指标采集起来再逐步补充应用自定义指标和告警规则。没有监控的 K8S 集群故障排查等于盲人摸象。12.6 合规使用与安全习惯镜像源要可信生产环境不要随便跑来历不明的镜像。涉及机密数据、用户隐私的场景要确认访问控制、加密和审计策略。对外暴露的 API 尽量限制来源 IP使用 Namespace 做多环境隔离用 RBAC 控制权限范围。任何涉及人脸、声音、版权素材的部署场景必须确认已获得合法授权这一点在容器化交付和对外演示时尤其重要。13. 总结与下一步这篇内容把 Docker 和 K8S 的核心链路串了一遍从 Docker 安装、镜像容器操作、MySQL 和 Redis 实战、Compose 编排到 K8S 集群原理、Pod/Deployment/Service 概念、监控告警和故障排查。最先值得动手验证的是 Docker 单机部署和 Docker Compose 多服务编排这两个场景贴近日常运维学习曲线短能很快看到效果。最容易踩的坑有三个Docker 权限问题导致命令执行失败、端口映射冲突导致访问不通、K8S 中 Pod 资源配置不当导致崩溃或性能抖动。下一步可以按这三个方向继续深入一是学 Dockerfile 优化把镜像体积和构建速度降下来二是掌握 Helm用模板化管理复杂应用的 K8S YAML三是把 Prometheus 监控告警体系完整搭起来加上自定义指标和告警通知。这三个方向走完你基本就具备独立维护一套容器化部署环境的能力了。建议先保存这篇文章照着命令敲一遍再对照实际报错去查官方文档比单纯刷教程有用得多。
这次我们来看一个运维工程师基本绕不开的组合Docker Kubernetes。无论你是在维护 Linux 服务器、做应用部署还是准备面试 DevOps 或云计算运维岗位这两样东西都是核心考点。这篇内容不是把概念抄一遍而是按 2026 年实际生产环境的使用习惯从零开始把 Docker 和 K8S 的安装、常用命令、实战部署、监控告警、故障排查全部过一遍帮你形成一条可以直接复用的学习路径。如果你正在准备转行运维、或者刚接触容器化部署那么本文可以直接收藏。下面先看这套技术栈的重点Docker 解决的是“应用怎么打包、怎么隔离、怎么跑起来”的问题Kubernetes 解决的是“容器多了以后怎么调度、怎么扩容、怎么保证不挂”的问题。先能跑通单机 Docker再上手 K8S 集群这个顺序基本不会错。本文覆盖内容Docker 环境安装、镜像与容器常用操作、MySQL 和 Redis 实战部署、Docker Compose 编排、K8S 集群架构与安装准备、Pod/Deployment/Service 核心对象、监控告警、常见故障排查清单。内容偏实战命令可以直接复制。1. Docker 与 K8S 核心能力速览很多新手会混淆 Docker 和 Kubernetes先给一张对比表后面再展开细节。能力项DockerKubernetes定位容器引擎负责构建、运行、管理单个容器容器编排平台负责集群级别的调度、伸缩、自愈是否包含容器运行时是Docker Engine 自带 containerd不直接管理镜像构建需对接 containerd、CRI-O 等运行时单机/集群单机为主配合 Swarm 也能做集群但生态较弱天然面向多节点集群安装难度较低官方脚本或包管理器即可较高涉及 kubeadm、网络插件、证书、高可用等核心对象镜像、容器、网络、数据卷Pod、Deployment、Service、Ingress、ConfigMap、Namespace适合场景本地开发、单机部署、CI/CD 镜像构建生产环境多节点应用托管、微服务治理、自动伸缩常用命令docker run、docker exec、docker buildkubectl get、kubectl apply、kubectl logs如果你是零基础建议先把 Docker 的命令和思维练熟再过渡到 K8S。K8S 本身不提供镜像构建能力它管理的对象就是 Docker 或其他运行时构建出来的容器镜像。2. 适用场景与使用边界先明确一下什么场景值得学这套东西。Docker 最适合解决“环境不一致”的问题。比如你本地跑得好好的代码到服务器上缺依赖、版本不对、系统库不兼容用镜像把运行环境固定下来这些问题会少很多。另一个典型场景是 CI/CD代码提交后自动构建镜像再自动部署到测试或生产环境Docker 是流水线里不可缺少的一环。Kubernetes 适合管理规模较大的容器集群。比如你有几十个微服务、几十台节点需要自动扩容、滚动更新、故障自愈这时用 Docker 一个个手动管理是不现实的。K8S 会把 Pod 调度到合适的节点上节点挂了会自动在其他节点重建这种能力是单机 Docker 不具备的。也要说清楚边界。如果你只有一两台服务器、跑三五个应用直接用 Docker Compose 就够没必要上 K8S。K8S 的运维成本不低控制面组件、网络插件、存储方案、监控体系都要额外维护。小项目硬上 K8S反而会增加复杂度。安全边界和合规问题也要关注镜像来源要可信尽量使用官方镜像仓库涉及数据库、Redis 等有状态服务时数据卷和备份策略要考虑清楚生产中对外提供服务时端口映射和网络安全策略要限制访问范围如果涉及用户数据、隐私数据一定要遵守相关法律法规做好访问控制和日志审计。3. Docker 本地部署环境准备Docker 支持主流 Linux 发行版、Windows 和 macOS。2026 年这个时间点主流 Linux 服务器系统基本是 Ubuntu 22.04/24.04、Rocky Linux 9、AlmaLinux 9、openEuler 等。下面按 Linux 和 Windows 两类常见场景说明。3.1 Linux 安装 Docker Engine先卸载系统里可能残留的老版本# Ubuntu / Debian sudo apt remove docker docker-engine docker.io containerd runc # Rocky / AlmaLinux / CentOS sudo yum remove docker docker-client docker-common docker-engineUbuntu 系安装依赖并添加 Docker 官方源sudo apt update sudo apt install -y ca-certificates curl sudo install -m 0755 -d /etc/apt/keyrings curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo tee /etc/apt/keyrings/docker.asc /dev/null echo deb [arch$(dpkg --print-architecture) signed-by/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/ubuntu $(. /etc/os-release echo $VERSION_CODENAME) stable | sudo tee /etc/apt/sources.list.d/docker.list /dev/null sudo apt update sudo apt install -y docker-ce docker-ce-cli containerd.io docker-compose-pluginRocky / AlmaLinux 系列sudo yum install -y yum-utils sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo sudo yum install -y docker-ce docker-ce-cli containerd.io docker-compose-plugin启动并设置开机自启sudo systemctl enable --now docker sudo systemctl status docker执行以下命令确认安装成功sudo docker run hello-world看到 “Hello from Docker!” 说明 Docker 引擎工作正常。3.2 解决普通用户权限问题默认情况下 docker 命令需要 root 权限每次加 sudo 不方便。把当前用户加入 docker 组然后重新登录即可sudo usermod -aG docker $USER newgrp docker注意将用户加入 docker 组等同于授予该用户 root 级别的系统权限仅建议在受信任的开发环境中使用生产环境要严格控制。3.3 Windows 安装 Docker DesktopWindows 环境建议直接使用 Docker Desktop。安装前需要确保 BIOS 里开启了虚拟化否则启动时会报类似 “Docker Desktop failed to start because virtualisation support was not detected” 的错。解决思路重启进入 BIOS打开 Intel VT-x 或 AMD-V。Windows 功能里开启 “适用于 Linux 的 Windows 子系统” 和 “虚拟机平台”。以管理员身份执行wsl --install然后安装 Docker Desktop启动后等待 WSL2 后端初始化即可。4. Docker 基础操作镜像与容器Docker 的使用循环是拉取镜像 - 创建容器 - 启动容器 - 进入容器或查看日志 - 停止和清理。4.1 镜像管理# 拉取镜像 docker pull nginx:1.27 # 查看本地镜像 docker images # 删除镜像 docker rmi nginx:1.274.2 容器生命周期# 运行一个 nginx 容器映射宿主机 8080 端口 docker run -d --name web01 -p 8080:80 nginx:1.27 # 查看运行中的容器 docker ps # 查看所有容器包括已停止 docker ps -a # 进入容器 docker exec -it web01 bash # 查看容器日志 docker logs -f web01 # 停止、启动、重启 docker stop web01 docker start web01 docker restart web01 # 删除容器 docker rm -f web01注意端口映射格式宿主端口:容器端口。-d表示后台运行--name指定容器名-it表示交互式终端。4.3 镜像加速配置国内拉取 Docker Hub 镜像经常超时常见做法是给 Docker 配置镜像加速器。编辑/etc/docker/daemon.json{ registry-mirrors: [ https://docker.m.daocloud.io ] }重启 Docker 生效sudo systemctl restart docker实际可用的加速器地址会变化建议根据自己网络环境测试选一个稳定可用的即可。5. Docker 实战MySQL 与 Redis 部署只看命令不实战很难记住这里用两个最常见的服务来演示关系型数据库 MySQL 和缓存中间件 Redis。5.1 安装 MySQL 8.0docker run -d \ --name mysql8 \ -p 3306:3306 \ -e MYSQL_ROOT_PASSWORDyour_password \ -e MYSQL_DATABASEtestdb \ -v mysql_data:/var/lib/mysql \ mysql:8.0注意点MYSQL_ROOT_PASSWORD是 root 初始密码首次启动时生效。-v mysql_data:/var/lib/mysql用命名卷持久化数据删除容器后数据还在。如果宿主机 3306 端口已被占用改用-p 3307:3306。验证连接docker exec -it mysql8 mysql -uroot -p进入 MySQL 命令行后执行SHOW DATABASES;看到testdb说明部署成功。5.2 安装 Redisdocker run -d \ --name redis \ -p 6379:6379 \ -v redis_data:/data \ redis:7.2测试连接docker exec -it redis redis-cli ping返回PONG表示 Redis 可用。5.3 数据卷与备份思路使用命名卷的好处是容器可以随便删数据目录独立在宿主机上。查看数据卷docker volume ls备份 MySQL 数据可以这样执行docker exec mysql8 sh -c exec mysqldump --all-databases -uroot -p$MYSQL_ROOT_PASSWORD backup.sql有状态服务一定要在部署前想好备份策略不要在数据丢了以后才考虑。6. Docker Compose 多服务编排当服务越来越多一条条docker run命令就不太方便管理了。Docker Compose 的作用是用一个 YAML 文件描述多容器应用的完整配置一次命令全部启动。以 MySQL Redis 后端应用为例docker-compose.ymlversion: 3.8 services: mysql: image: mysql:8.0 container_name: mysql8 environment: MYSQL_ROOT_PASSWORD: your_password MYSQL_DATABASE: testdb ports: - 3306:3306 volumes: - mysql_data:/var/lib/mysql restart: unless-stopped redis: image: redis:7.2 container_name: redis ports: - 6379:6379 volumes: - redis_data:/data restart: unless-stopped app: image: your_app_image:latest container_name: app ports: - 8080:8080 environment: DB_HOST: mysql REDIS_HOST: redis depends_on: - mysql - redis volumes: mysql_data: redis_data:启动服务docker compose up -d docker compose ps docker compose logs -f app停止服务docker compose downCompose 文件里的服务名mysql和redis可以直接作为容器间通信的主机名使用应用里配置数据库地址时写成mysql而不是localhost这是新手最容易踩的坑。7. K8S 集群架构与部署准备Kubernetes 集群至少包含两类角色控制面节点Control Plane和工作节点Worker Node。控制面负责调度和状态维护工作节点负责运行实际业务容器。控制面核心组件kube-apiserver集群所有 API 请求的入口。etcd集群状态存储。kube-scheduler决定 Pod 调度到哪个节点。kube-controller-manager维护控制器状态。工作节点核心组件kubelet与 apiserver 通信管理节点上的 Pod。kube-proxy处理服务网络规则。容器运行时containerd 或 CRI-O。7.1 安装 K8S 的几种方式2026 年实际场景中常用方式有三类方式适用场景特点kubeadm自建生产集群官方工具可控性高适合标准化交付k3s边缘节点、测试环境轻量安装简单资源占用低云托管 K8S云上生产环境控制面由云厂商维护运维成本低minikube / kind本地学习单机模拟集群适合入门对零基础入门来说先装 minikube 体验核心概念再上 kubeadm 搭建真实集群是性价比最高的路径。7.2 kubeadm 搭建集群的最小准备官方推荐生产环境至少 2 核 4G 内存磁盘 20G 以上。节点间网络要互通主机名不能重复swap 需要关闭。安装前完成基础设置# 关闭 swap sudo swapoff -a sudo sed -i /swap/s/^/#/ /etc/fstab # 加载内核模块 cat EOF | sudo tee /etc/modules-load.d/k8s.conf overlay br_netfilter EOF sudo modprobe overlay sudo modprobe br_netfilter # 配置网络参数 cat EOF | sudo tee /etc/sysctl.d/k8s.conf net.bridge.bridge-nf-call-iptables 1 net.bridge.bridge-nf-call-ip6tables 1 net.ipv4.ip_forward 1 EOF sudo sysctl --system接着用 kubeadm 初始化集群sudo kubeadm init --pod-network-cidr10.244.0.0/16初始化成功后按提示执行mkdir -p $HOME/.kube sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config sudo chown $(id -u):$(id -g) $HOME/.kube/config工作节点加入集群时使用kubeadm join命令包含 token 和 apiserver 地址sudo kubeadm join 192.168.1.10:6443 --token token --discovery-token-ca-cert-hash sha256:hash安装网络插件后才能让 Pod 跨节点通信这里以 Calico 示例kubectl apply -f https://raw.githubusercontent.com/projectcalico/calico/v3.28.1/manifests/calico.yaml网络插件版本和 K8S 版本需要匹配具体版本号以官方兼容矩阵为准。8. K8S 核心对象Pod、Deployment、ServiceK8S 里有一堆抽象概念先掌握三个最重要的。8.1 PodPod 是 K8S 中最小的调度单位里面可以有一个或多个容器这些容器共享网络命名空间和存储卷。一般来说一个 Pod 里只放一个主业务容器边车容器如日志收集可以放在同一 Pod 里。8.2 DeploymentDeployment 负责管理无状态应用的副本数和滚动更新。你告诉它“我要 3 个副本”它会自动创建 3 个 Pod并且保证始终有 3 个可用。下面是一个 Nginx Deployment 示例apiVersion: apps/v1 kind: Deployment metadata: name: nginx-deploy spec: replicas: 3 selector: matchLabels: app: nginx template: metadata: labels: app: nginx spec: containers: - name: nginx image: nginx:1.27 ports: - containerPort: 80创建和查看kubectl apply -f nginx-deploy.yaml kubectl get pods kubectl get deployment8.3 ServicePod 的 IP 是动态的Pod 重建后 IP 会变Service 提供了稳定的访问入口。它的核心是一组标签选择器用来匹配后端的 Pod。apiVersion: v1 kind: Service metadata: name: nginx-svc spec: selector: app: nginx ports: - port: 80 targetPort: 80 type: NodePort如果使用NodePort类型K8S 会在每个节点上随机分配一个 30000-32767 范围的端口外部可以通过任意节点 IP 加这个端口访问服务kubectl get svc8.4 entrypoint 和 cmd 的区别K8S 部署时经常会遇到“容器起不来”的问题其中一个原因是镜像的启动命令不对。这里说清楚两个概念Dockerfile 里的ENTRYPOINT定义容器的主进程不能被运行参数覆盖适合固定不变的程序入口。CMD定义默认参数可以在运行时被命令行传入的参数覆盖。K8S 的 Pod 定义里command对应 Dockerfile 的ENTRYPOINTargs对应CMD。示例spec: containers: - name: app image: myapp:latest command: [/app/start.sh] args: [--config, /etc/app/config.yaml]容器 crash 时第一件事就是确认启动命令和参数是否正确用kubectl logs看输出。9. K8S 实战部署应用到集群下面用一个完整流程演示“构建镜像 - 创建 Deployment - 暴露 Service”这样你对 K8S 工作流程会有直观认识。9.1 构建应用镜像假设有一个简单的 HTTP 服务创建DockerfileFROM nginx:alpine COPY index.html /usr/share/nginx/html/index.html EXPOSE 80构建docker build -t myweb:1.0 .如果要在集群中使用需要把镜像推送到仓库。本地测试场景也可以使用kind load docker-image或minikube image load导入。9.2 编写部署文件deploy.yamlapiVersion: apps/v1 kind: Deployment metadata: name: myweb spec: replicas: 3 selector: matchLabels: app: myweb template: metadata: labels: app: myweb spec: containers: - name: myweb image: myweb:1.0 imagePullPolicy: IfNotPresent ports: - containerPort: 80 --- apiVersion: v1 kind: Service metadata: name: myweb-svc spec: selector: app: myweb ports: - port: 80 targetPort: 80 type: NodePort应用配置kubectl apply -f deploy.yaml查看状态kubectl get deploy kubectl get pods -o wide kubectl get svc myweb-svc用节点 IP 加 NodePort 访问页面。如果不通先用kubectl get pods确认 Pod 是否 Running再kubectl logs看应用日志。9.3 滚动更新与回滚更新镜像版本kubectl set image deployment/myweb mywebmyweb:2.0查看更新状态kubectl rollout status deployment/myweb回滚到上一个版本kubectl rollout undo deployment/myweb这是 K8S 最实用的能力之一发布出问题能快速回滚。10. K8S 监控告警与故障排查在生产环境K8S 集群离不开监控体系。最常见的组合是Prometheus 采集指标Grafana 展示面板Alertmanager 负责告警node-exporter 采集节点指标。10.1 监控组件部署思路组件作用默认端口node-exporter采集节点 CPU、内存、磁盘、网络指标9100Prometheus时序数据库存储和查询指标9090Grafana可视化面板3000Alertmanager根据告警规则发送通知9093部署方式通常有两种用 Helm Chart 安装 kube-prometheus-stack或者分别安装组件。新手建议先理解各组件职责再使用 Helm 统一管理。10.2 常见磁盘告警规则监控告警里最容易出问题的是磁盘空间。一个典型的 disk 告警规则groups: - name: node.rules rules: - alert: NodeFilesystemUsage expr: (1 - (node_filesystem_avail_bytes{fstype!~tmpfs|overlay} / node_filesystem_size_bytes{fstype!~tmpfs|overlay})) * 100 85 for: 5m labels: severity: warning annotations: summary: Node filesystem usage above 85%含义是文件系统使用率超过 85%持续 5 分钟触发告警。具体阈值需要根据磁盘容量和业务写入量调整不建议直接照搬。10.3 K8S CPU Throttling热搜词里提到的 “k8s cpu throttling” 是生产环境常见问题。现象是应用延迟变高CPU 使用率却不饱和。原因一般是 Pod 的 CPU limit 设置过低容器 CPU 时间片被内核限制。排查思路# 查看 Pod 当前的 CPU 限制 kubectl get pod pod-name -o yaml | grep -A5 resources # 进入容器查看 cgroup 限制 kubectl exec -it pod-name -- cat /sys/fs/cgroup/cpu.max解决方案根据压测数据调整 CPU request 和 limit不要随意设置过小的 limit。区分 request 和 limitrequest 是调度保证limit 是硬上限。日常业务不需要设置得过死。使用 HPA 根据负载自动扩容而不是单靠加 CPU limit。如果能接受微秒级延迟抖动可以评估调整 CPU Manager 策略但需要深入理解再动。10.4 创建只读权限的 K8S 用户热搜词里有“k8s只开只读权限的用户”这也是日常工作里常见的权限需求。给运维同学或审计人员配置只读权限推荐基于 RBAC 实现。创建 ServiceAccount 并绑定只读角色apiVersion: v1 kind: ServiceAccount metadata: name: readonly-user namespace: default --- apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: readonly-role rules: - apiGroups: [] resources: [pods, services, configmaps, secrets, nodes] verbs: [get, list, watch] --- apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRoleBinding metadata: name: readonly-binding subjects: - kind: ServiceAccount name: readonly-user namespace: default roleRef: kind: ClusterRole name: readonly-role apiGroup: rbac.authorization.k8s.io应用kubectl apply -f readonly-user.yaml这个角色只能执行 get/list/watch不能创建、删除或修改资源符合只读审计需求。10.5 查看 Pod 日志和事件Pod 状态异常时按顺序排查# 查看 Pod 状态 kubectl get pods # 查看详细信息和最近事件 kubectl describe pod pod-name # 查看容器日志 kubectl logs -f pod-name # 进入容器排查 kubectl exec -it pod-name -- /bin/shkubectl describe的 Events 字段会列出拉镜像失败、调度失败、探针失败等关键信息排查顺序应该是镜像能不能拉 - 资源够不够 - 启动命令对不对 - 应用日志报什么。11. 常见问题与排查方法问题现象可能原因排查方式解决方案Docker 启动失败旧版 Docker 残留、系统参数未配置查看日志journalctl -u docker按官方文档清理旧版后重新安装Docker Desktop 启动报 virtualization 错误未开启 BIOS 虚拟化检查任务管理器性能页是否显示虚拟化已启用进入 BIOS 开启 VT-x/AMD-V启用 WSL2docker pull 超时网络到 Docker Hub 不通执行docker pull nginx观察报错配置镜像加速器或使用代理仓库容器端口无法访问防火墙未放行检查iptables -L、云安全组规则放行对应端口或改映射端口MySQL 容器反复重启数据目录权限问题docker logs mysql8检查命名卷权限必要时重新初始化kubectl 无法连接集群kubeconfig 过期或 apiserver 未启动检查~/.kube/config、kubectl cluster-info重新 export kubeconfig确认 apiserver 正常Pod 一直 Pending节点资源不足或调度约束不满足kubectl describe pod看 Events增加节点资源、调整 request、删除污点约束Pod 反复 CrashLoopBackOff启动命令错误或应用崩溃kubectl logs查看退出日志修正 command/args检查依赖服务是否就绪Service NodePort 无法访问kube-proxy 规则未生效查看kubectl get svc、检查节点防火墙重启 kube-proxy确认网络插件正常CPU 使用率被限制导致延迟飙高CPU limit 设置过小查看 cgroup cpu.max、压测对比调整 CPU limit或部署 HPA 扩容应用日志不输出日志写到文件未打印到 stdoutdocker exec查看容器内文件调整应用日志输出到 stdout由 k8s 收集批量任务卡住并发数过大或资源冲突查看任务 Pod 状态和日志限制并发、增加资源配额、设计失败重试12. 最佳实践与学习建议学 Docker 和 K8S最忌讳只看不练。下面几条建议如果你能落实学习效率会明显提高。12.1 先跑通最小闭环第一次接触不要追求理解所有底层原理。先在本地把 Docker 装好跑一个 Nginx 容器看日志、进容器、删容器建立“镜像到容器”的直观感觉。然后再部署一个带数据卷的 MySQL理解数据持久化。最后用 Docker Compose 串起两个服务这套闭环能覆盖 70% 的日常操作。12.2 K8S 学习从 minikube 开始自己搭多节点 K8S 集群对新手来说坑太多网络插件、初始化参数、节点 join每一步都可能出错。建议先用 minikube 或 kind 在本地模拟集群重点学习 kubectl 命令和 YAML 编写等基础操作熟练后再用 kubeadm 搭真实集群。12.3 定义资源配置要留余量无论是 Docker 的-m内存限制还是 K8S 的 resources 配置都要留出余量。limit 设置过小会把容器搞到 OOMKilled 或 CPU throttling设置过大会浪费集群资源。建议先不设置 limit 观察基线负载再根据监控数据逐步收紧。12.4 数据安全是第一优先级数据库、Redis 这些有状态服务必须使用数据卷持久化数据。部署前写好备份和恢复流程定期做恢复演练。容器可以随时重建但数据一旦丢失基本无法找回。12.5 监控要尽早接入不要等到集群出问题才装监控。一个最基础的监控方案只需要 node-exporter Prometheus Grafana先把节点 CPU、内存、磁盘、网络指标采集起来再逐步补充应用自定义指标和告警规则。没有监控的 K8S 集群故障排查等于盲人摸象。12.6 合规使用与安全习惯镜像源要可信生产环境不要随便跑来历不明的镜像。涉及机密数据、用户隐私的场景要确认访问控制、加密和审计策略。对外暴露的 API 尽量限制来源 IP使用 Namespace 做多环境隔离用 RBAC 控制权限范围。任何涉及人脸、声音、版权素材的部署场景必须确认已获得合法授权这一点在容器化交付和对外演示时尤其重要。13. 总结与下一步这篇内容把 Docker 和 K8S 的核心链路串了一遍从 Docker 安装、镜像容器操作、MySQL 和 Redis 实战、Compose 编排到 K8S 集群原理、Pod/Deployment/Service 概念、监控告警和故障排查。最先值得动手验证的是 Docker 单机部署和 Docker Compose 多服务编排这两个场景贴近日常运维学习曲线短能很快看到效果。最容易踩的坑有三个Docker 权限问题导致命令执行失败、端口映射冲突导致访问不通、K8S 中 Pod 资源配置不当导致崩溃或性能抖动。下一步可以按这三个方向继续深入一是学 Dockerfile 优化把镜像体积和构建速度降下来二是掌握 Helm用模板化管理复杂应用的 K8S YAML三是把 Prometheus 监控告警体系完整搭起来加上自定义指标和告警通知。这三个方向走完你基本就具备独立维护一套容器化部署环境的能力了。建议先保存这篇文章照着命令敲一遍再对照实际报错去查官方文档比单纯刷教程有用得多。
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
