2024年06月22日玄貓（BlackCat）

Kubernetes 技術深度解析與實踐

本文探討 Kubernetes 的核心概念、關鍵技術與實踐，涵蓋服務發現、無狀態服務設計、自動化佈署等導向，並搭配程式碼範例與詳細解說，幫助讀者理解 Kubernetes 的運作機制與應用技巧。文章從開發者視角出發，解析 Kubernetes 的資源管理、排程、

容器技術雲原生

Kubernetes 容器協調 Pod Deployment 服務發現自動擴充套件

Kubernetes 作為雲原生應用的根本，提供了一套完整的宣告式 API，讓開發者得以有效管理容器化應用。本文不僅探討 Kubernetes 的核心概念，也涵蓋了資源管理、排程策略、安全機制以及自動擴充套件等關鍵技術。此外，文章還提供實務程式碼範例，讓讀者能更具體地理解 Kubernetes 的運作機制，並學習如何應用於實際場景中，提升應用佈署和管理的效率。

Kubernetes 技術深度解析與實踐

Kubernetes 核心概念與開發者視角

Kubernetes 作為現代雲原生應用的根本，其強大的功能和靈活性使其成為容器協調的首選平台。從開發者的角度來看，Kubernetes 提供了一套完整的宣告式 API，用於管理容器化應用。這些 API 不僅簡化了應用的佈署和管理，還提供了強大的擴充套件性和彈性。

Kubernetes 的歷史與發展

Kubernetes 的誕生源於 Google 對容器技術的深入研究和實踐。隨著容器技術的普及，Kubernetes 逐漸演變成一個開源專案，並得到了廣泛的社群支援。如今，Kubernetes 已成為雲原生生態系統的核心元件，為開發者提供了豐富的功能和工具。

關鍵概念與原語

Kubernetes 的設計哲學圍繞著宣告式組態和期望狀態管理。開發者透過定義資源物件（如 Pod、Service 和 Deployment），來描述應用的期望狀態。Kubernetes 則負責將實際狀態調整為期望狀態。這種設計使得應用管理變得更加直觀和高效。

資源管理與排程

在 Kubernetes 中，資源管理是確保應用高效執行的關鍵。開發者需要了解如何定義和管理資源，如 CPU 和記憶體，以確保應用的效能和穩定性。

資源組態與限制

Kubernetes 允許開發者為 Pod 定義資源請求和限制，以確保應用的資源需求得到滿足。例如，可以透過定義 ResourceQuota 物件來限制名稱空間中的資源使用量。

apiVersion: v1
kind: ResourceQuota
metadata:
  name: example-quota
spec:
  hard:
    requests.cpu: "1"
    requests.memory: 1Gi
    limits.cpu: "2"
    limits.memory: 2Gi

內容解密：

apiVersion 和 kind 定義了資源的型別和版本。
metadata.name 指定了 ResourceQuota 的名稱。
spec.hard 定義了資源的硬性限制，包括 CPU 和記憶體的請求與限制。

排程與親和性

Kubernetes 的排程機制允許開發者根據應用的需求，將 Pod 排程到合適的節點上。親和性（Affinity）和反親和性（Anti-Affinity）規則可以用來控制 Pod 的排程行為。

節點親和性

節點親和性允許開發者根據節點的標籤，將 Pod 排程到特定的節點上。例如，可以使用 nodeAffinity 來指定 Pod 應該執行在具有特定標籤的節點上。

apiVersion: v1
kind: Pod
metadata:
  name: example-pod
spec:
  affinity:
    nodeAffinity:
      requiredDuringSchedulingIgnoredDuringExecution:
        nodeSelectorTerms:
        - matchExpressions:
          - key: kubernetes.io/e2e-az-name
            operator: In
            values:
            - e2e-az1
            - e2e-az2

內容解密：

affinity.nodeAffinity 定義了節點親和性規則。
requiredDuringSchedulingIgnoredDuringExecution 指定了排程期間必須滿足的條件。
nodeSelectorTerms.matchExpressions 定義了節點標籤的比對規則。

安全與網路策略

Kubernetes 提供了多種機制來確保應用的安全性和網路隔離。網路策略（Network Policies）可以用來控制 Pod 之間的流量。

網路策略

網路策略允許開發者定義哪些 Pod 可以相互通訊。例如，可以建立一個網路策略，允許特定名稱空間中的 Pod 存取另一個名稱空間中的 Pod。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-from-same-namespace
spec:
  podSelector: {}
  ingress:
  - from:
    - podSelector: {}

內容解密：

podSelector 定義了受網路策略影響的 Pod。
ingress.from.podSelector 指定了允許存取目標 Pod 的來源 Pod。

自動擴充套件與彈性

Kubernetes 提供了多種自動擴充套件機制，以確保應用能夠根據負載變化進行動態調整。水平 Pod 自動擴充套件（Horizontal Pod Autoscaler, HPA）和垂直 Pod 自動擴充套件（Vertical Pod Autoscaler, VPA）是兩種常見的自動擴充套件策略。

水平 Pod 自動擴充套件

HPA 根據 CPU 使用率或其他自定義指標，自動調整 Pod 的副本數量。例如，可以建立一個 HPA 物件，根據 CPU 使用率來擴充套件 Deployment。

apiVersion: autoscaling/v2beta2
kind: HorizontalPodAutoscaler
metadata:
  name: example-hpa
spec:
  selector:
    matchLabels:
      app: example-app
  minReplicas: 1
  maxReplicas: 10
  metrics:
  - type: Resource
    resource:
      name: cpu
      target:
        type: Utilization
        averageUtilization: 50

內容解密：

selector.matchLabels 指定了 HPA 控制的 Deployment。
minReplicas 和 maxReplicas 定義了 Pod 副本數量的範圍。
metrics 定義了用於擴充套件的指標，這裡使用了 CPU 使用率。

Kubernetes 技術深度解析與應用實踐

Kubernetes 作為當前最流行的容器協調平台，不僅提供了強大的自動化佈署、擴充套件和管理容器化應用程式的能力，還具備豐富的生態系統和靈活的擴充套件性。本文將探討 Kubernetes 的核心概念、關鍵技術及其在實際應用中的最佳實踐。

1. Kubernetes 核心概念與架構

Kubernetes 的設計哲學圍繞著宣告式組態、自動化管理和高用性。其核心架構包括控制平面（Control Plane）和工作節點（Worker Nodes），前者負責管理和協調，後者則執行實際的工作負載。

控制平面：包含 API 伺服器、排程器、控制器管理器和 etcd 等元件，負責整個叢集的管理和決策。
工作節點：執行著 kubelet、kube-proxy 等元件，負責執行具體的容器化任務。

2. 容器協調與管理

Kubernetes 提供了多種資源物件來管理和協調容器，如 Pod、Deployment、StatefulSet 和 DaemonSet 等。

Pod：Kubernetes 中最小的佈署單元，可以包含一個或多個容器。
Deployment：用於管理無狀態應用的佈署，支援滾動更新和回復。
StatefulSet：適用於有狀態服務的佈署，提供穩定的網路識別和持久化儲存。
DaemonSet：確保每個節點上都執行一個 Pod 副本，通常用於日誌收集、監控等。

程式碼範例：建立一個簡單的 Deployment

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:1.14.2
        ports:
        - containerPort: 80

內容解密：

apiVersion 和 kind 指定了資源的型別和版本。
metadata 部分定義了 Deployment 的名稱。
spec 部分詳細描述了 Deployment 的期望狀態，包括副本數量、選擇器和 Pod 範本。
replicas: 3 表示該 Deployment 將維護 3 個 Pod 副本。
selector 和 template.metadata.labels 確保 Deployment 能正確管理對應的 Pod。
containerPort: 80 表示容器內部服務監聽在 80 埠。

3. 自動擴充套件與資源管理

Kubernetes 支援根據 CPU 使用率或其他自定義指標的自動擴充套件，能夠根據實際負載動態調整 Pod 的數量。

Horizontal Pod Autoscaler (HPA)：根據資源使用情況自動調整 Pod 的副本數量。
Vertical Pod Autoscaler (VPA)：動態調整 Pod 的資源請求和限制。
Cluster Autoscaler (CA)：根據叢集負載自動調整節點數量。

程式碼範例：建立一個 HPA

apiVersion: autoscaling/v2beta2
kind: HorizontalPodAutoscaler
metadata:
  name: nginx-hpa
spec:
  selector:
    matchLabels:
      app: nginx
  minReplicas: 1
  maxReplicas: 10
  metrics:
  - type: Resource
    resource:
      name: cpu
      target:
        type: Utilization
        averageUtilization: 50

內容解密：

apiVersion 和 kind 定義了 HPA 資源。
spec.selector 指定了 HPA 需要管理的 Pod。
minReplicas 和 maxReplicas 設定了 Pod 副本數量的範圍。
metrics 部分定義了擴充套件策略，這裡根據 CPU 使用率進行擴充套件。
averageUtilization: 50 表示當平均 CPU 使用率達到 50% 時觸發擴充套件。

4. 安全與網路策略

Kubernetes 提供了多種機制來增強叢集的安全性和網路隔離能力。

Network Policies：允許精細控制 Pod 之間的網路流量。
RBAC (Role-Based Access Control)：實作精確的許可權控制，確保使用者和服務帳戶只能執行授權的操作。
Pod Security Policies (PSP)：規範 Pod 的安全相關設定，如禁止使用特權容器。

程式碼範例：建立一個 Network Policy

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-nginx
spec:
  podSelector:
    matchLabels:
      app: nginx
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - 80

內容解密：

apiVersion 和 kind 定義了 Network Policy 資源。
spec.podSelector 指定了該策略應用於哪些 Pod。
policyTypes 定義了策略型別，包括入口（Ingress）和出口（Egress）流量控制。
ingress.from 部分允許來自標籤為 app: frontend 的 Pod 的流量進入目標 Pod 的 80 埠。

Kubernetes 模式：探討與實踐

Kubernetes 作為現代雲原生應用的根本，其強大的功能和靈活性使其成為企業級應用的首選平台。本文將探討 Kubernetes 中的多種模式和技術，包括服務發現、無狀態服務、自動化佈署等，並結合實際案例進行分析。

服務發現與外部叢集存取

在 Kubernetes 中，服務發現是一項至關重要的功能。它允許應用程式動態地發現和連線其他服務，無需手動組態 IP 地址或 DNS 名稱。對於叢集外部的服務發現，可以透過 Ingress 資源或 LoadBalancer 型別的 Service 來實作。

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: example-ingress
spec:
  rules:
  - host: example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: example-service
            port:
              number: 80

內容解密：

apiVersion 和 kind 定義了資源的 API 版本和型別。
metadata 部分包含了資源的中繼資料，如名稱。
spec 部分定義了 Ingress 的具體組態，包括路由規則和後端服務。

無狀態服務的設計與實踐

無狀態服務是指那些不依賴於本地狀態的服務，它們可以輕易地進行擴充套件和遷移。在 Kubernetes 中，無狀態服務通常透過 Deployment 資源來管理。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: stateless-deployment
spec:
  replicas: 3
  selector:
    matchLabels:
      app: stateless-app
  template:
    metadata:
      labels:
        app: stateless-app
    spec:
      containers:
      - name: stateless-container
        image: stateless-image:latest
        ports:
        - containerPort: 80

內容解密：

replicas 指定了副本的數量。
selector 和 template 定義了 Deployment 管理的 Pod 的選擇條件和範本。
containers 部分定義了容器相關的組態，包括映像檔和埠。

自動化佈署與 ReplicaSet

ReplicaSet 確保指定數量的 Pod 副本在任何時候都在執行。它是實作自動化佈署和自我修復能力的重要資源。

apiVersion: apps/v1
kind: ReplicaSet
metadata:
  name: example-replicaset
spec:
  replicas: 5
  selector:
    matchLabels:
      app: example-app
  template:
    metadata:
      labels:
        app: example-app
    spec:
      containers:
      - name: example-container
        image: example-image:latest

內容解密：

replicas 指定了要維持的 Pod 副本數量。
selector 和 template 定義了 ReplicaSet 管理的 Pod 的選擇條件和範本。

作者簡介

Bilgin Ibryam 是 Diagrid 的產品經理，曾在 Red Hat 擔任顧問和架構師。他是 Apache 軟體基金會的成員，並著有《Camel Design Patterns》一書。
Dr. Roland Huß 是 Red Hat 的資深軟體工程師，OpenShift Serverless 的架構師，並曾是 Knative TOC 的成員。他是 Java 和 Golang 的熱衷者，並活躍於開源社群。

封面動物

本文封面上的動物是紅冠棲鴨（Red-crested Whistling Duck），一種原產於歐洲和中亞濕地的鴨類別。該物種因其鮮豔的羽毛和特有的叫聲而聞名。紅冠棲鴨主要以水生植物、種子和根莖為食，並在春季和夏季築巢產卵。幸運的是，該物種的保育狀態被列為「無憂」（Least Concern）。