kubernetes-operations

Kubernetes 运维

适用场景

• K8s 集群应用部署与管理。
• 故障排查 (CrashLoop / Pending / OOMKilled)。
• Helm chart 编写与管理。
• RBAC / NetworkPolicy 安全配置。
• GitOps (ArgoCD / Flux)。

不适用

• 容器镜像安全逆向 → containerrev。
• Docker 基础 → cld。
• 云 IaC → terraform。

---

核心概念速查

Workloads:
  Pod           最小调度单元 (1+ 容器)
  Deployment    无状态应用 (ReplicaSet 管理)
  StatefulSet   有状态应用 (稳定网络ID + 持久卷)
  DaemonSet     每节点一个 Pod (日志/监控 agent)
  Job/CronJob   一次性/定时任务

Networking:
  Service       Pod 集合的稳定入口 (ClusterIP/NodePort/LoadBalancer)
  Ingress       L7 HTTP(S) 路由 (nginx/traefik/istio)
  Gateway API   下一代 Ingress (更灵活)
  NetworkPolicy Pod 间网络防火墙

Storage:
  PV/PVC        持久卷声明
  StorageClass  动态卷分配 (cloud provider)
  ConfigMap     配置 (明文)
  Secret        敏感配置 (base64, 非加密!)

Security:
  RBAC          Role/ClusterRole + RoleBinding
  ServiceAccount Pod 身份
  PodSecurity   Pod 安全标准 (restricted/baseline/privileged)
  NetworkPolicy 网络隔离

常用命令

# 查看
kubectl get pods -A                        # 所有 namespace
kubectl get pods -o wide                   # 显示节点/IP
kubectl describe pod <name>                # 详细状态+事件
kubectl logs <pod> [-c container] [-f]     # 日志
kubectl logs <pod> --previous              # 上次 crash 日志
kubectl top pods                           # 资源使用

# 调试
kubectl exec -it <pod> -- /bin/sh          # 进入容器
kubectl debug <pod> --image=busybox -it    # ephemeral 调试容器
kubectl port-forward svc/<name> 8080:80    # 本地端口转发
kubectl get events --sort-by=.metadata.creationTimestamp  # 事件时间线

# 操作
kubectl apply -f manifest.yaml             # 声明式部署
kubectl rollout status deploy/<name>       # 等待部署完成
kubectl rollout undo deploy/<name>         # 回滚
kubectl scale deploy/<name> --replicas=3   # 手动扩缩
kubectl delete pod <name>                  # 删除 (Deployment 会重建)

故障排查

Pod 状态:
  Pending:
    → describe: 看 Events
    → 常见: 资源不足 / nodeSelector 不匹配 / PVC pending
  CrashLoopBackOff:
    → logs --previous: 看 crash 前日志
    → 常见: 配置错误 / 启动命令错 / 依赖不可达 / OOM
  ImagePullBackOff:
    → describe: 看 image 名和 registry 认证
    → 常见: 镜像不存在 / registry 需要认证 / tag 错误
  OOMKilled:
    → describe: 看 Last State → Reason: OOMKilled
    → 增加 resources.limits.memory
  Evicted:
    → 节点磁盘/内存压力 → 被驱逐
    → 检查节点 conditions

Service 不通:
  kubectl get endpoints <svc>              # endpoint 是否有 Pod IP?
  → 没有: label selector 不匹配 / Pod 不 Ready
  kubectl exec <client-pod> -- curl <svc>:<port>  # 从集群内测试