本章讲解知识点API Server 认证管理API Server 授权管理Admission Control<br>1. API Server 认证管理我们知道，Kubernetes 集群中所有资源的访问和变更都是通过 Kubernetes API Server 的 REST API 实现的，所以集群安全的关键点就在于如何识别并认证客户端身份，以及随后访问权限的授权这两个关键问题。Kubernetes 集群有两种用户账号：第 1 种是集群内部的 Service Account；第 2 种是外部用的账号，可能是某个运维人员或外部应用的账号。Kubernetes 集群并不支持常规的个人...

本章讲解知识点持久卷（Persistent Volume）详解PV 详解PVC 详解StorageClass 详解总结<br>1. 持久卷（Persistent Volume）详解1.1 基本概念Kubernetes 中，对于存储资源的管理方式和计算资源 (CPU / 内存) 是完全不同的。为了使存储实现的细节对用户和管理员不可见，Kubernetes 引入了 Persistent Volume (PV) 和 Persistent Volume Claim (PVC) 两个资源对象来管理存储。自 1.0 版本以来，PV 被定义为容器应用程序可以使用的存储资源的抽象。管理员可以创建和...

本章讲解知识点Network Policy 网络原理NetworkPolicy 资源介绍<br>1. Network Policy 网络原理在 Kubernetes 中，容器之间的连通性是网络模型的关注点，而与此同时，容器之间的隔离性也是同样重要的。Kubernetes 的网络方案对“隔离”到底是如何考虑的呢？Kubernetes 又如何考虑网络“多租户”的需求。在 Kubernetes 的网络方案中，为实现容器之间的隔离性，引入了专门的 API 对象，即 NetworkPolicy。该对象提供了一种描述容器间网络隔离的机制，以满足多租户的需求。NetworkPolicy 是 Ku...

本章讲解知识点Flannel 原理概述直接路由的原理和部署示例Calico 插件原理概述<br>1. Flannel 原理概述Flannel 是一个用于容器网络的开源解决方案，它使用了虚拟网络接口技术（如 VXLAN）和 etcd 存储来提供网络服务。它的原理概述如下：Flannel 协助 Kubernetes，给每一个 Node 上的 Dockers 容器都分配互不冲突的 IP 地址。它能在这些 IP 之间建立一个覆盖网络（Overlay Network），通过这个覆盖网络，将数据包原封不动地传递到目标容器内。那么一条网络报文是怎么从一个容器发送到另外一个容器的呢？容器直接使用目...

本章讲解知识点Kubernetes 的网络实现容器到容器之间的通信同一个 Node 上 Pod 之间的通信不同 Node 上 Pod 之间的通信<br>1. Kubernetes 的网络实现Kubernetes 主要实现以下目标：容器到容器之间的通信Pod 到 Pod 之间的通信Pod 到 Service 的通信集群内部与外部组件之间的通信<br>2. 容器到容器之间的通信之前我们有讲过，对于 Docker 等大多数 Linux 容器来说，Cgroups 技术是用来制造约束的主要手段，而 Namespace 技术则是用来修改进程视图的主要方法。那么Namespace 技...

本章讲解知识点Kubernetes 网络模型网络命名空间veth 设备对网桥iptables 和 netfilter路由docker 的网络实现docker 网络的局限性<br>1. Kubernetes 网络模型Kubernetes 的网络模型设计是为了简化容器编排中的网络配置，并提供一种容器之间直接通信的方式。这个网络模型的核心原则是每个 Pod 都拥有一个独立的 IP 地址，而且所有 Pod 都在一个扁平的、直接连通的网络空间中。这意味着不管 Pod 运行在哪个节点上，它们都可以通过彼此的 IP 直接访问。这个原则的设计使得用户不需要额外考虑如何建立 Pod 之间的连接，也不...

本章讲解知识点etcd 概述Raft 原理简介etcd 其他应用场景<br>etcd 不算 Kubernetes 自研组件，etcd 自身是一个开源组件，Kubernetes 集成了它而已。但我们还是有必要讲讲 etcd。1. etcd 概述1.1 概述etcd 是一个高可用的分布式键值存储系统，被用来存储 Kubernetes 集群中的所有配置数据和状态信息。etcd 具有高可用、强一致性和快速响应等特性，可以保证 Kubernetes 集群的数据可靠性和一致性。1.2 etcd 特点键值对存储：将数据存储在分层组织的目录中，如同在标准文件系统中监测变更：监测特定的键或目录以进行...

本章讲解知识点kube-proxy 概述工作原理kube-proxy 的代理模式<br>1. kube-proxy 概述为了支持集群的水平扩展和高可用性，Kubernetes 抽象出了 Service 的概念。Service 是对一组 Pod 的抽象，它会根据访问策略（如负载均衡策略）来访问这组 Pod。Service 提供了一个稳定的 IP 地址和 DNS 名称，这使得服务可以被客户端通过这些统一的方式访问，服务会将请求转发到后端的 Pod 上。在很多情况下，Service 只是一个概念，而真正将 Service 的作用落实的是它背后的 kube-proxy 服务进程。只有理解了...

本章讲解知识点kubelet 概述节点管理Pod管理容器健康检查<br>1. kubelet 概述在 Kubernetes 集群中，每个节点（Node）上都会运行一个 kubelet 服务进程。kubelet 是 Kubernetes 中的一个重要组件，用于管理该节点上的 Pod 和容器。kubelet 进程会从 Kubernetes 的 Master 节点上接收指令，执行相应的任务，如创建、启动、停止、销毁 Pod 和容器等。同时，kubelet 会定期向 Master 节点汇报该节点上的资源使用情况和容器状态等信息，以供集群管理者进行资源调度和容器运维等工作。为了更好地监控节点...

本章讲解知识点Scheduler 概述Scheduler 原理分析Scheduler 旧版本的两阶段调度流程Scheduler Framework1. Scheduler 概述Kubernetes Scheduler 是 Kubernetes 集群中的一个核心组件，用于将 Pod 调度到适合的 Node 上运行。在 Kubernetes 中，Pod 是最小的可调度单元，而 Node 则是运行 Pod 的物理或虚拟机器。调度器负责决定每个 Pod 应该在哪个 Node 上运行，以最大程度地利用集群资源，并满足用户定义的调度策略。Kubernetes Scheduler 通过调度算法和策略来实现 ...

本章讲解知识点Controller Manager 概述Replication ControllerNode ControllerResourceQuota ControllerNamespace ControllerService Controller 与 Endpoint Controller<br>1. Controller Manager 概述1.1 基本概念一般来说，智能系统和自动系统通常会通过一个“操作系统”不断修正系统的工作状态。在 Kubernetes 集群中，每个 Controller 都是这样的一个“操作系统”，Controller Manager 作为集群内部...

本章讲解知识点Kubernetes API Server 概述etcd 简介API Server 架构解析API Server 的 List-Watch 机制独特的 Kubernetes Proxy API 接口集群功能模板之间的通信<br>1. Kubernetes API Server 概述1.1 基本概念Kubernetes API Server（API Server）是 Kubernetes 的核心组件之一，负责暴露 Kubernetes API 给用户和客户端，接收和处理来自客户端的请求，并将其存储到 etcd 中。Kubernetes API Server 主要作用是提...

本章讲解知识点Ingress 7层路由机制我们之前讲了 Service 的类型。除了 clusterIP 以外，另外三种方式都不推荐，因为这相当于将集群给暴露出去了，不安全，也不符合隔离的思想。所以在 clusterIP 的基础上结合 Ingress 就可以做到安全将服务开放给外部。这一节我们着重讲解 Ingress 。1. Ingress 7层路由机制1.1 背景根据前面对 Service 概念的说明，我们知道 Service 的表现形式为 IP 地址和端口号（ClusterIP：IP），即工作在 TCP/IP 层。而对于基于 HTTP(S) 的服务来说，不同的 URL 地址经常对应到不同的...

本章讲解知识点Service 会话保持机制Service 的多端口设置Service 支持的网络协议Kubernetes 的服务发现机制Headless ServiceEndpoint Slices<br>这一节我们来讲讲 Service 更多细节1. Service 会话保持机制Service 支持通过设置 sessionAffinity 实现基于客户端 IP 的会话保持机制，即首次将某个客户端来源 IP 发起的请求转发到后端的某个 Pod 上，之后从相同的客户端 IP 发起的请求都将被转发到相同的后端 Pod 上。配置参数为 service.spec.sessionAffini...