当前位置：首页 > news >正文

Kubernetes的使用方法和注意事项

news 2026/5/11 19:40:56

Kubernetes (K8s) 是一个功能强大但极其复杂的容器编排系统。要正确使用它，不仅需要掌握命令行工具，更需要理解其声明式 API的设计哲学和分布式系统的内在逻辑。

以下是 K8s 的核心使用方法、最佳实践以及关键注意事项（避坑指南）。

❌ 命令式 (Imperative)：kubectl run nginx --image=nginx
- 缺点：难以版本控制，难以复现，不适合生产环境。
✅ 声明式 (Declarative)：kubectl apply -f deployment.yaml
- 优点：YAML 文件即代码 (IaC)，可存入 Git 进行版本管理，描述“期望状态”，K8s 自动 reconciling (调和) 到该状态。
- 最佳实践：所有生产资源必须通过 YAML/Helm/Kustomize 管理。

定义资源 (YAML)：编写 Deployment, Service, ConfigMap 等配置文件。
应用配置：使用 kubectl apply -f <file> 创建或更新资源。
验证状态：
- kubectl get pods (查看运行状态)
- kubectl describe pod <name> (查看详细信息和事件，排错首选)
- kubectl logs <pod-name> (查看应用日志)
调试与访问：
- kubectl exec -it <pod-name> -- /bin/bash (进入容器内部)
- kubectl port-forward <pod-name> 8080:80 (本地访问集群服务)
清理资源：kubectl delete -f <file>

这是区分新手和专家的关键领域。忽视这些点往往会导致生产事故。

问题：如果不设置，Pod 可能耗尽节点资源导致其他业务崩溃，或者因调度不当无法启动。
规则：
- Requests：调度依据。设得太高导致资源浪费（碎片化）；设得太低导致 CPU 节流 (Throttling) 或内存 OOM。
- Limits：硬限制。内存超限直接 Kill (OOMKilled)；CPU 超限降速。
- Java 应用特例：JVM 默认读取宿主机内存而非容器 Limit，需配置 -XX:MaxRAMPercentage 防止 OOM。

很多新手只配一个，或者配错，导致流量中断或服务雪崩。

Liveness Probe (存活探针)：
- 作用：判断容器是否“死”了。失败则重启容器。
- 注意：不要将依赖外部服务（如数据库）的检查放在这里。如果 DB 抖动导致 Liveness 失败，Pod 会无限重启重启风暴。
Readiness Probe (就绪探针)：
- 作用：判断容器是否“准备好接收流量”。失败则从 Service 负载均衡中剔除，但不重启。
- 注意：启动慢的应用必须配置此项，否则流量会在应用未初始化完成时打入，导致 503 错误。
Startup Probe：针对启动极慢的遗留应用，避免 Liveness 在启动期间误杀。

原则：K8s 天生为无状态 (Stateless) 应用设计。Pod 是“牲畜”而非“宠物”，随时可能被销毁重建。
禁忌：
- 不要在容器内写入重要数据（重启即丢）。
- 不要依赖 Pod IP 或 Pod 名称进行通信（IP 会变）。
有状态方案：
- 使用 StatefulSet + PVC (Persistent Volume Claim)。
- 数据库建议尽量使用云厂商托管服务 (RDS)，若在 K8s 内运行 DB，需极其小心备份、恢复和数据一致性（推荐 Operator 如 CloudNativePG）。

默认行为：默认情况下，K8s 集群内所有 Pod 互通（Flat Network）。
风险：一旦某个 Pod 被攻破，攻击者可横向移动访问所有数据库和内部服务。
对策：实施 零信任网络。默认拒绝所有流量，仅通过 NetworkPolicy 显式允许必要的通信（如 Frontend -> Backend -> DB）。

ConfigMap：存非敏感配置（环境变量、配置文件）。
Secret：存敏感信息（密码、Key）。
- 注意：默认 Secret 只是 Base64 编码，不是加密！需开启 Etcd 加密或使用外部密钥管理 (Vault, AWS Secrets Manager)。
- 挂载方式：尽量以 Volume 形式挂载而非环境变量，方便热更新（部分应用支持）。

场景：当 Pod 被删除或节点维护时，K8s 发送 SIGTERM 信号。
要求：
1. 应用捕获 SIGTERM，停止接收新请求。
2. 处理完当前正在进行的请求。
3. 关闭数据库连接，释放资源。
4. 在 terminationGracePeriodSeconds (默认 30s) 内退出。
常见坑：应用忽略信号直接杀进程，导致用户请求报错或数据丢失。同时需配合 PreStop Hook 和 Readiness Probe 确保流量先切断，再停服务。

标签规范 (Labeling)：制定统一的 Label 标准（如 app, version, team, env），这是自动化运维、监控和计费的基础。
镜像管理：
- 禁止使用 latest 标签。必须使用具体版本号或 SHA256 哈希值，确保可复现。
- 定期扫描镜像漏洞 (Trivy, Clair)。
- 使用精简镜像 (Distroless/Alpine) 减少攻击面。
高可用 (HA)：
- 关键应用 replicas >= 2。
- 配置 Pod Anti-Affinity (反亲和性)，确保同一应用的 Pod 分散在不同节点/可用区。
- 配置 PDB (Pod Disruption Budget)，防止维护时一次性驱逐过多 Pod 导致服务不可用。
可观测性：
- 必须部署 Prometheus + Grafana (监控指标)。
- 必须部署 EFK/ELK 或 Loki (日志收集)。
- 必须部署 Jaeger/SkyWalking (链路追踪，微服务必备)。
安全加固：
- 禁用特权容器 (privileged: false)。
- 以非 root 用户运行应用 (runAsNonRoot: true)。
- 只读根文件系统 (readOnlyRootFilesystem: true)。
- 定期更新 K8s 版本和安全补丁。