chen_note的博客

摘要：K8s安全管理机制围绕API Server构建，采用认证-授权-准入控制三层防护体系。认证支持客户端证书、静态令牌等方式验证用户身份；授权基于RBAC模型，通过Role/ClusterRole定义权限，RoleBinding/ClusterRoleBinding分配权限，遵循最小权限原则；准入控制通过插件对请求进行最终校验。核心流程确保只有合法身份、足够权限且合规的操作才能执行，重点关注ServiceAccount授权和资源配额控制。生产环境推荐使用证书认证和RBAC授权，避免过度分配权限。

Kubernetes存储方案详解 Kubernetes提供了多种存储方案，包括临时存储和持久化存储。临时存储主要通过emptyDir实现，适用于同一Pod内容器间的数据共享，生命周期与Pod相同。持久化存储则通过PV/PVC机制实现，PV相当于物理硬盘，PVC是用户申请，两者绑定后可供Pod使用。此外，ConfigMap用于存储配置文件，Secret用于敏感数据存储。hostPath允许Pod直接挂载节点目录，适用于特定节点数据存储场景。StorageClass可自动创建PV，简化存储管理流程。

摘要：本文介绍了Kubernetes中的Ingress概念及其部署使用。Ingress作为K8s的Web服务访问入口，基于Service实现七层负载均衡，可通过域名和路径规则路由外部HTTP/HTTPS请求到集群内部服务。文章详细说明了两种部署Ingress-Controller的方法。通过Nginx和Tomcat示例演示了如何创建Deployment、Service，并配置Ingress规则实现基于域名的请求转发。最后通过修改本地hosts文件完成访问测试，验证了Ingress的实际效果。

NodePort：外部通过任意Node的IP进行访问，NodePort的默认范围是30000-32767，但可以手动指定。简单服务、对外测试；ClusterIP（默认）：只允许集群内部访问，外部不可见，用于集群内部Pod间通信，例如：后端调用，数据库连接等；ExternalName：域名转换，给域名起别名，Service通过DNS解析将请求转发到指定的外部域名。3、端口映射：隐藏Pod内部端口（如外部访问80端口，转发到Pod的8080端口）。服务发现：如何找到Pod，Pod如何找到其他的Pod；

Kubernetes提供了多种Pod控制器类型来管理容器化应用的生命周期： ReplicaSet/ReplicationController：确保指定数量的Pod副本持续运行。Deployment：管理无状态应用，支持滚动更新、回滚和扩缩容。 DaemonSet：确保每个节点运行指定Pod。 StatefulSet：管理有状态应用，提供稳定的网络标识和持久化存储。Job/CronJob：执行一次性任务或周期性任务。HorizontalPodAutoscaler：根据CPU使用率等指标自动扩缩容Pod数量。

Kubernetes中的亲和性与反亲和性调度是通过标签(label)匹配实现的。Pod作为调度主体，使用Node或Pod的label进行筛选。Node亲和性控制Pod与Node的关系，Pod亲和性控制Pod间关系。调度分为硬亲和(必须满足)和软亲和(按权重优选)。反亲和性确保Pod不被调度到特定节点。常见操作符包括In、NotIn等，topologyKey定义作用域。此外，Kubernetes提供多种Pod控制器：ReplicaSet控制副本数、Deployment管理无状态服务、DaemonSet确保节点

摘要：Kubernetes中的Labels是用于标识和选择资源的键值对，可用于分类、筛选和管理Pod等资源。调度器Scheduler负责将Pod分配到最优Node节点，支持自动调度、定向调度、亲和性调度和污点调度。污点(Taints)与容忍度(Tolerations)机制通过NoSchedule、PreferNoSchedule和NoExecute三种排斥级别控制Pod调度，可用于独占节点和驱逐Pod等场景。最佳实践包括合理使用标签、避免过度标签和保持一致性。

Kubernetes（K8s）是Google开源的容器编排系统，用于自动化部署、扩展和管理容器化应用。核心功能包括故障自愈、服务发现、自动伸缩和负载均衡等。相比Docker主要管理单机容器，K8s专注于集群管理。K8s采用分布式架构，分为控制平面(Master)和工作节点(Node)，组件包括API Server、etcd、Controller Manager等。部署方式包括kubeadm、kOps等工具，但学习曲线陡峭。优势在于高可用性和跨平台能力，缺点是复杂性强且对小型项目可能过重。K8s已成为云原生应