Kubernetes项目：如何判断Docker运行时移除(dockershim)是否影响你的集群
website Kubernetes website and documentation repo: 
项目地址: https://gitcode.com/gh_mirrors/webs/website
概述
在Kubernetes v1.24版本中，内置的dockershim组件已被移除。这个组件原本允许用户将Docker作为Kubernetes的容器运行时使用。本文将帮助你理解：
- 你的集群是否依赖Docker作为容器运行时
dockershim在集群中的具体作用- 如何检查工作负载是否会受到
dockershim移除的影响
如何检测应用对Docker的依赖
即使你使用Docker构建容器镜像，这本身并不构成对Docker作为容器运行时的依赖。真正的依赖体现在以下几个方面：
1. 特权Pod中的Docker命令
检查是否有特权Pod执行以下操作：
- 直接调用Docker命令（如
docker ps） - 重启Docker服务（如
systemctl restart docker.service） - 修改Docker专属配置文件（如
/etc/docker/daemon.json）
2. 私有镜像仓库配置
检查Docker配置文件（通常是/etc/docker/daemon.json）中是否包含：
- 私有镜像仓库设置
- 镜像镜像配置 这些配置通常需要为其他容器运行时重新设置
3. 节点上的外部脚本和工具
检查节点上是否有以下情况：
- 通过SSH登录节点进行故障排除的脚本
- 节点启动脚本
- 直接安装在节点上的监控和安全代理 这些组件可能直接调用Docker命令
4. 第三方工具依赖
某些工具可能依赖Docker特有行为，例如：
- 基于特定Docker指标触发告警
- 在故障排除时搜索特定的Docker日志消息 这类工具需要在迁移前在测试集群中验证其行为
Docker依赖的技术解析
容器运行时基础
容器运行时是能够执行构成Kubernetes Pod的容器的软件。Kubernetes负责Pod的编排和调度，而每个节点上的kubelet通过容器运行时接口(CRI)与运行时交互。
dockershim的作用
在Kubernetes早期版本中，Docker是唯一支持的容器运行时。随着更多运行时出现，Kubernetes设计了CRI标准。但由于Docker在CRI之前就已存在，Kubernetes项目创建了dockershim适配器，使kubelet能够像与CRI兼容的运行时一样与Docker交互。
迁移后的变化
切换到Containerd等运行时后：
- 容器直接由运行时调度，不再通过Docker
docker ps、docker inspect等命令将无法查看Kubernetes管理的容器- 容器日志、停止容器等操作需要通过Kubernetes API完成
注意：使用docker build构建的镜像需要推送到镜像仓库后才能被Kubernetes使用。
已知问题及解决方案
文件系统指标问题
问题表现
-
指标格式变化：
- Docker节点：
k8s_<container-name>_<pod-name>_... - 其他运行时（如Containerd）：
<container-id>
- Docker节点：
-
缺失的指标包括：
container_fs_inodes_free container_fs_inodes_total container_fs_io_current ...
解决方案
方案1：部署独立cAdvisor
- 获取特定版本的cAdvisor（如
vX.Y.Z-containerd-cri） - 按照cAdvisor DaemonSet部署指南进行部署
- 将指标收集器指向cAdvisor的
/metrics端点
方案2：替代方案
- 使用第三方指标收集方案
- 从Kubelet的
/stats/summaryAPI收集指标
后续步骤建议
- 全面评估集群对Docker运行时的依赖程度
- 为迁移到其他容器运行时制定计划
- 在测试环境中验证所有监控、日志和安全工具的兼容性
- 更新所有依赖Docker特有行为的脚本和工具
通过以上步骤，你可以确保集群平稳过渡到不再依赖dockershim的环境，同时保持所有关键功能的正常运行。
website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
