weixin_43753680的博客

k8s集群安全机制机制说明安全主要是围绕 api server 来展开的

k8s 集群调度了解k8s 调度策略，人为干预调度过程k8s 调度器概念类似CPU调度调度过程调度分为预选和优选下面以一些预选的算法自定义调度器调度亲和性节点亲和性更倾向于于哪个node软策略值得是想去，但实在不行不去也可以硬策略指定是必须去硬策略实现方案规定了一些硬性的条件，对应node必须满足条件才可以下面列举了一些基本的条件软策略实现方案软策略和硬策略是可以放在一起的，先满足硬策略再满足软策略pod亲和性更倾向于和

k8s 存储机制configmap 存储配置文件secret 秘钥，加密方案volume 给pod 提供 共享存储卷persistent volume 持久卷ConfigMap类似于配置文件的注册中心服务运行前先去 注册中心索要 自己的配置信息（根据ip、域名等等去匹配）创建方式有三种1. 使用目录创建键值对，key 是 文件名称，value 是文件的内容使用文件创建使用字面值创建pod中使用ConfigMap来替代环境变量资源清单的方案书

k8s IngressIngress 访问方案以nginx 解决方案为例ingress 必须保证域名，一个或对个域名访问域名都会访问到我们的 nginxnginx再通过反向代理或者负载均衡访问到后端服务nginx 配置文件中会有反向代理得区域可以理解成 ingress 帮我们部署了一个 nginx，但是我们访问nginx 的时候并不需要在其内部添加配置文件，修改的时候也是这样nginx的部署方案仍是我们常见的 nodeport 部署方案，暴露给外部服务供其访问nginx 内部工作方案

k8s SVC代理模式分类目前最新版本使用的是 IPVS为什么不使用 round-robin DNS使用dns 获得 信息后存在缓存，但是并不会清除缓存，造成无论请求多少次，返回的都是同一个ip。无法实现负载均衡1、userspace 代理模式server-pod 是被访问端，先去访问到防火墙，再由 kube-proxy 代理。kube-proxy 压力较大2、iptables 代理模式直接通过防护墙完成，不通过kube-proxy 。不影响kube-proxy 的性能3、ipvs 代

k8s Service 详解做一个服务发现的功能通过标签选择匹配pod，每一个svc可以理解为一个微服务deployment 创建了三个pod，每个pod 里都有三个标签，接着又定义了一个 svc（frontend service），他的标签是 app = webapp role = frontend。匹配成功后，pod的信息会被写入到svc中，当我们访问到svc 时会随机访问到一个pod，轮巡算法（RR）。当后期有新的pod创建时，该pod的信息也会同样被更新到 svc 中限制只能通过i

k8s 控制器 job 和 CronJob 详解Job概念定义CronJob 概念不支持always，因为批处理仅仅执行一次定义描述字段CronJob 创建创建的job的操作都是幂等的，因为 会循环执行一些任务，如果不是幂等的话，会影响运行的结果...

k8s 控制器 DaemonSet 详解概念定义方案不会在主节点创建，因为所有的pod 都不会在主节点运行，主节点并不会参与调度任务，和一个污点机制有关满足一个节点 副本数目为一

rs和rc和deploymentrs和rcrs 创建模板信息可以通过命令 kubectl explain rs 查看完整信息标签修改后，会重新建立一个pod，以维持相同标签的副本数量。k8s 中很多都是通过标签来区分的deploymentdeployment 创建模板创建deployment 就会创建对应的 rsdeployment 扩容扩容 nginx 到 10 个，更新pod 数目，但不会更新模板信息deployment 更新deployment 回滚默认回滚

k8s资源清单资源根据作用域来区分的名称空间级别：命名空间集群级别：role 任何命名空间都可见和调用元数据型：指标，如HPA（根据CPU进行扩缩容）资源清单预先编写的剧本，k8s 按照预期的内容来进行资源的分配yaml格式yaml 常用字段说明必须存在的字段主要对象，不写的话给默认值额外的参数示例：容器生命周期cri完成容器的初始化初始化容器（init c）：生成相关的文件，初始化完成后就会死亡。可以有多个init c（也可以没有），不能并行，线性执行

k8s网络通讯模式让不同节点的容器都具有唯一的虚拟ip地址（扁平化，并非真正意义上的扁平化，而是从结果上看的话，是扁平化网络），修改docker0 网桥的网段来实现flanneld 是一个进程，接收发送不同主机的通讯。同一主机内不同pod 使用 docker0 网桥进行通讯，不同主机的通讯则采用 flanneld 进行通讯使用udp，转发数据flannel 和etcd 之间的联系不同主机转发数据时，对方地址ip需要在etrcd中进行查询最新版的 pod 到 service 用的

pod概念自主式pod控制器管理pod自主式死了后不会被拉起pod启动一定会启动一个pause的容器，其他容器共享pause的网络栈和存储卷。各个容器间通过localhost就可访问，各个容器的端口号不能冲突控制器的概念replication controller & replicaset & Deployment & HPA （无状态服务）deployment 主要支持滚动更新（rolling-update）deployment会创建RS，RS创建pod滚动更

k8s 组件master 节点集群的控制面板功能，负责管理整个集群，控制包括全局的角色和调度kubectl 是一个客户端管理工具，直接管理 API server，提供一个请求到 api server ，中间有一个 auth认证，认证通过后 api 将信息存储到 etcd 数据库中。api server：k8s各类资源对象的增删改查 及 watch 等http rest 接口，是整个系统的数据总线和数据中心。所有服务访问的统一入口etcd ： 键值对数据库，存储k8s重要数据。（持久化）