K8S (Kubernetes) 完整知识点总结适合面试复习、系统梳理从基础概念→组件→资源对象→网络→存储→调度→安全→运维→进阶。一、K8S 基础概念1. 什么是 K8SKubernetes 是 Google 基于 Borg 开源的容器编排平台用于自动化容器部署、扩缩容、故障自愈、服务管理。作用管理大量 Docker 容器不用手动一个个启停容器定位不负责构建镜像只负责运行、调度镜像镜像由 Docker/Containerd 构建底层容器运行时containerd现在主流、docker已废弃 dockershim、cri‑oCRIContainer Runtime Interface容器运行时接口K8S 通过 CRI 对接底层容器引擎2. K8S 集群角色划分集群分为Master控制平面 Control Plane节点和Worker工作节点表格角色作用Control Plane (控制平面)整个集群大脑做调度、决策不跑业务 Pod默认Worker Node (工作节点)真正运行业务 Pod 的机器高可用集群部署 3 个控制平面节点单 master 为测试环境使用。二、控制平面Master五大核心组件1. kube‑apiserver✅集群唯一入口所有请求必经它REST API 接口所有 kubectl、各组件全部访问 apiserver身份认证、鉴权、准入控制唯一读写 etcd 的组件其他组件不能直接访问 etcd2. etcd✅集群数据库保存集群全部状态数据key‑value 数据库保存全部资源对象Pod、Deployment、Service 等必须做备份集群所有状态存在 etcd丢失 etcd 数据集群直接报废生产 etcd 独立部署或者跟 master 节点一起一定要高可用3. kube‑scheduler调度器✅ 负责Pod 调度新建 Pod 后筛选合适的 worker 节点运行 Pod筛选流程过滤Predicate 预选 → 打分Priority 优选可自定义调度策略支持自定义调度器4. kube‑controller‑manager控制器管理器运行各类控制器 Controller持续调谐Reconcile维持集群期望状态 常见内置控制器NodeController监控节点宕机ReplicationController副本控制器老版本DeploymentController、StatefulSetController、JobController 等核心思想期望状态 vs 当前状态不断循环调谐让现状追平期望5. cloud‑controller‑managerCCM 云控制器管理器对接公有云 API自建裸金属集群一般不用云厂商实现负载均衡、节点生命周期管理。Pod 创建启动分步流程面试背诵版步骤 1用户提交创建请求用户执行kubectl create/apply -f xxx.yaml通过kubectl发送创建 Pod一般是 Deployment的请求请求先经过 Auth认证鉴权发送给API‑Server。步骤 2APIServer 写入 etcd 持久化存储APIServer 完成认证、鉴权、准入校验后把 Pod 资源信息写入etcd 数据库保存集群期望状态此时 Pod 状态为 Pending。注意其它组件不会直接访问 etcd全部走 APIServer。步骤 3Controller‑manager 监听到资源变化controller‑manager 通过监听 APIServer发现有新建 Deployment生成对应的 Pod 对象再更新信息写入 apiserver→etcd。 如果直接创建裸 Pod则跳过这一步实际业务一般用 Deployment 控制器生成 Pod步骤 4Scheduler 调度器进行节点调度scheduler 持续监听 apiserver发现存在还没有绑定节点的 Pending 状态 Pod执行预选 Predicate过滤不符合条件的节点执行优选 Priority给剩下节点打分 选出最合适的 Worker 节点 调度结果Pod 绑定到某一个 node提交给 APIServer保存到 etcd。步骤 5目标 Node 上 kubelet 接收任务拉起 Pod 容器被选定工作节点上的kubelet本机节点代理通过监听 APIServer发现有分配给自己的 Pod kubelet 调用本机底层容器运行时图里是 Docker新版是 containerd拉取镜像、创建并启动 Pod 内部的 Container 容器。步骤 6kubelet 上报 Pod 状态回 APIServer容器启动之后 kubelet 收集 Pod、容器的运行状态回传给 APIServerAPIServer 把最新状态更新存入 etcd集群就可以看到 Pod 变为 Running。步骤 7kube‑proxy 维护 Service 网络规则网络负载均衡每个节点上的 kube‑proxy 监听 apiserver 中 Service、Endpoints 变化在本机生成 iptables/ipvs 转发规则实现 Service 对后端 Pod 的访问负载均衡。三、Worker Node 工作节点组件1. kubelet节点代理每个 worker 必跑✅ 节点上的代理程序跟 apiserver 通信管理本机 Pod接收 apiserver 下发 Pod 定义调用 CRI 创建 / 停止容器上报节点、Pod 状态回 apiserver定期心跳汇报节点存活kubelet 只接受 apiserver 下发指令不能别人直接操控2. kube‑proxy网络代理每个 worker 必跑✅ Service 网络组件维护节点上 iptables/ipvs 规则实现 Service 负载均衡 三种模式userspace废弃性能差iptables默认早期ipvs高性能推荐生产支持更多调度算法rr/wrr/lc 等3. 容器运行时 containerd拉镜像、启停容器CRI 接口对接 kubelet。四、K8S 最小调度单元Pod❗重点Pod 是 K8S 最小调度单元不是容器一个 Pod 可以封装 1‑N 个容器Pod 特点同一个 Pod 内部所有容器共享网络命名空间同一个 IP共享 Volume 存储本地回环 lo 互通Pod IP 是集群内部 IP集群内可见外部不能直接访问Pod 销毁重建 IP 会变无固定 IPPod 不建议直接创建不要裸写 Pod 资源上层控制器管理 PodDeployment/StatefulSetPod 内部容器分类业务主容器业务程序sidecar 边车容器和主容器一起跑日志采集、代理istio envoyinit 容器初始化容器先执行完成退出之后主容器才启动Pod 生命周期与状态Pod 的 Phase 阶段status.phasePendingapiserver 已经创建 pod还没调度或者镜像拉取中RunningPod 已经调度容器正在运行Succeeded全部容器正常执行完毕退出一次性任务 JobFailed至少一个容器异常退出Unknownapiserver 收不到 kubelet 上报节点失联Pod 重启策略 restartPolicy只针对容器崩溃Pod 本身不会重启是容器重启Always容器退出总是重启默认适合常驻业务OnFailure异常退出才重启Job 任务Never绝不重启一次性脚本Pod 探针健康检查 liveness/readiness/startupProbe面试高频三种探针livenessProbe 存活探针判断容器是否活着失败就重启容器readinessProbe 就绪探针判断容器是否就绪可以接收流量失败把 Pod 从 Service 后端端点移除不会重启 PodstartupProbe 启动探针应对程序启动慢启动探针成功之后才开始执行存活 / 就绪探针防止程序没启动完就被 liveness 误杀探针检查方式三种exec执行容器内部命令返回码判断httpGet访问容器内 http 接口tcpSockettcp 端口连通探测五、工作负载控制器Workload管理 PodPod 本身不会自愈扩缩容靠上层控制器维护副本1. Deployment无状态服务最常用✅管理 ReplicaSet副本集ReplicaSet 真正维护 Pod 副本数量Deployment 管控 RS 版本支持滚动更新、回滚、版本记录、扩缩容适合 web、nginx 这类无状态应用无状态Pod 之间无差异任意销毁重建不影响业务更新策略 strategyRollingUpdate 滚动更新默认maxSurge 最大超量maxUnavailable 最大不可用Recreate 重建更新全部删掉旧 Pod 再新建停机更新2. StatefulSet有状态服务✅用于有状态应用mysql、etcd、zookeeper特点Pod 有序命名web‑0,web‑1,web‑2稳定网络标识稳定持久化存储每个 Pod 绑定独立 PVC删除 Pod 不会自动删 pv有序部署、有序删除启动顺序 0→1→2删除 2→1→0StatefulSet 本身不做数据主从选举业务自己内部处理3. DaemonSet每个符合条件的 Node 上运行恰好一个 Pod新增节点自动部署 Pod节点删除自动销毁 典型用途节点日志采集filebeat、监控 agent、网络插件 calico/flannel适合节点级代理程序。4. Job CronJob批处理任务Job一次性任务执行到完成保证任务执行结束restartPolicy 只能 OnFailure/NeverCronJob定时 Job类似 linux crontabcron 表达式定时创建 Job 执行任务小结控制器选型速查表控制器适用场景Deployment无状态 web 业务绝大多数业务StatefulSet有状态数据库、中间件集群DaemonSet节点守护进程每个节点跑一个 agentJob一次性批处理任务CronJob定时周期性任务六、Service 服务访问 PodPod IP 飘忽不定Service 提供稳定访问入口后端对接一组 Pod提供负载均衡。 Service 的本质kube‑proxy 维护节点上 iptables/ipvs 转发规则。Service 四种类型ClusterIP默认集群内部虚拟 IP只能集群内部访问外部访问不到NodePort宿主机开放端口30000‑32767端口范围访问任意节点 IP:NodePort 即可转发后端 Pod集群内外都可访问。LoadBalancer依赖外部云厂商 LB云环境外部云负载均衡指向集群 NodePortExternalNameCNAME 别名把 service 映射到外部域名集群内访问别名直接转发外部域名无代理Service EndpointsEndpoints 资源保存 Service 后端 Pod 实际 IP 列表控制器通过 Pod 标签 selector 匹配 Pod 生成 endpoints。如果 endpoints 为空检查 service 的 selector 标签是否和 pod 标签完全匹配Headless Service无头 ServiceClusterIP: None不给分配 clusterIPDNS 直接解析返回后端全部 Pod 的 IP专门给 StatefulSet 有状态应用使用用于 Pod 之间互相发现。Ingress七层反向代理Service 是四层Ingress 实现 http/https 七层域名、路径路由。 Ingress 资源只是规则必须部署 Ingress‑Controllernginx‑ingress真正执行反向代理。配置域名、路径、证书 https对外暴露 web 业务。七、K8S 存储体系 Volume PV/PVCPod 容器本地存储 emptyDir 随 Pod 删除丢失需要持久化存储。1. 基础 VolumeemptyDirPod 启动创建临时空目录Pod 删除数据丢失pod 内多容器共享目录hostPath直接挂载宿主机本地目录数据落在 node 本机Pod 漂移到别的节点就看不到旧数据适合 kubelet 日志这类节点本地场景2. PV PVC持久化存储抽象PV (PersistentVolume)后端存储资源管理员预先创建代表一块存储nfs/ceph/local‑pv PVC (PersistentVolumeClaim)用户存储申请在 yaml 里面声明我需要多大空间PVC 绑定 PV。解耦业务 Pod 只写 PVC不用关心底层是什么存储管理员维护 PV。PV 访问模式 accessModesReadWriteOnce (RWO)只能单节点读写大部分本地盘ReadOnlyMany (ROX)多节点只读ReadWriteMany (RWX)多节点同时读写nfs、cephfsPV 回收策略 persistentVolumeReclaimPolicyRetainPVC 删除PV 保留数据保留手动清理默认Delete删 PVC 自动删除后端存储云盘Recycle废弃StorageClass 存储类动态供给不用管理员手动预先创建一堆 PV用户创建 PVCStorageClass 自动动态生成 PV。生产优先 StorageClass 动态供给。八、Namespace 命名空间逻辑隔离集群资源不是网络隔离ns 只是逻辑分组同一个集群不同 ns 之间默认网络互通默认命名空间default、kube‑system系统组件、kube‑public资源是否隔离大部分资源隔离 (Pod,Deployment,Service)Node、PV 是集群级别不属于 namespace全局资源kubectl -n xxx 指定命名空间--all‑namespaces 查看全部 ns 资源。Label 标签 Selector 选择器 Annotation 注解Labelkeyvalue 标签给资源打标记用于 selector 筛选service 匹配 pod控制器匹配 podAnnotation 注解附加描述信息不能用于筛选存额外元数据九、K8S 调度机制调度流程用户提交 Pod 到 apiserver写入 etcdscheduler 观察到未绑定 node 的 Pod预选 Predicate过滤掉不满足条件节点资源不够、nodeSelector/nodeAffinity 污点优选 Priority对剩余节点打分选出分数最高节点scheduler 绑定 Pod 到目标 Node写入 etcd对应节点 kubelet 拿到 Pod 定义调用 CRI 创建容器调度约束4 种nodeSelector简单节点标签匹配硬约束Pod 只能跑带指定标签 nodeNodeAffinity 节点亲和性更丰富节点亲和硬要求 (requiredDuringSchedulingIgnoredDuringExecution)、软偏好 (preferredDuringSchedulingIgnoredDuringExecution)PodAffinity Pod 亲和希望 Pod 和其他 Pod 调度到同一拓扑域同一个节点 / 机房业务尽量放一起PodAntiAffinity Pod 反亲和希望同类 Pod 分散开不要部署同一节点高可用副本打散不同 nodeTaint (污点) Tolerations (容忍) ✨面试重点Taint 打在Node 节点上排斥 Pod不让 Pod 随便调度上来Toleration 写在 Pod 上代表 Pod 可以容忍污点。effect 污点策略NoSchedule不能调度上来已经在节点上的 Pod 不受影响PreferNoSchedule尽量不要调度软约束NoExecute不仅不能调度已经运行在此节点上不能容忍污点的 Pod 直接驱逐赶走典型场景master 节点默认打污点业务 Pod 默认不会调度到 master特殊 Pod 加上容忍就可以跑 master。区分记忆亲和性是 Pod 选 Node污点是 Node 拒绝 Pod。十、K8S 网络模型CNIK8S 网络四大假设K8S 网络模型所有 Pod 之间不使用 NAT可以直接互通所有 Node 和所有 Pod 之间互通Pod 看到自己的 IP 就是其他 Pod 看到的 PodIP无 NATService 的 IP 只有集群内部可访问CNI Container Network InterfaceCNI 是网络插件标准集群必须部署 CNI 网络插件Pod 才有网络。 主流插件Calico支持 NetworkPolicy 网络策略bgp生产首选、Flannel简单 overlay性能弱一点无网络策略。NetworkPolicy 网络策略Pod 层面防火墙控制 Pod 之间访问权限需要 CNI 插件支持Calicoflannel 不支持 NetworkPolicy基于 Pod 标签、ns 标签管控 ingress/egress 进出流量。注意NetworkPolicy 是 Pod 防火墙不是 Node 防火墙。十一、K8S 安全1. 认证、鉴权、准入控制apiserver 三道关卡访问 apiserver 请求三层校验顺序Authentication 认证你是谁账号密码、token、证书serviceAccountAuthorization 鉴权你能干什么RBAC 权限判断Admission Controller 准入控制资源写入前拦截修改 / 校验比如默认 storageclass、podsecurityRBAC 基于角色访问控制 ✨高频面试核心资源Role命名空间内角色权限是一组 api 操作ClusterRole集群全局角色跨 namespacenode/pv 全局资源RoleBinding把 Role 绑定给用户 /serviceAccount本 ns 内ClusterRoleBindingClusterRole 全局绑定用户ServiceAccount (SA)Pod 内部访问 apiserver 使用的账号每个 ns 自带 default saPod 自动挂载 sa token 到容器内。PodSecurityPolicy (废弃) → Pod Security Admission (PSA)Pod 安全准入限制 Pod 权限禁止特权容器、禁止 hostPath 挂载、禁止以 root 运行容器。Secret ConfigMap 配置管理ConfigMap存普通明文配置环境变量或者挂载文件进 Pod非敏感配置nginx.conf配置参数Secret存敏感数据密码、token、证书base64 编码⚠️不是加密只是简单编码需要 etcd 加密存储才安全Secret 三种类型Opaque 自定义kubernetes.io/tls 证书service‑account‑token。两者更新之后挂载文件形式 Pod 内自动刷新环境变量形式 Pod不会自动刷新必须重启 Pod十二、K8S 运维与命令kubectl 常用kubectl 原理kubectl 是客户端工具读取 kubeconfig 配置文件拿到 apiserver 地址、证书访问集群。~/.kube/config基础命令分类#查看资源 kubectl get pods/deploy/svc/node -o wide kubectl describe pod xxx #详细事件排错最重要 kubectl logs pod‑xxx [-c containerName] #查看容器日志 kubectl exec -it pod‑xxx -- /bin/sh #进入pod #创建更新 kubectl apply -f xxx.yaml #声明式推荐 kubectl create -f xxx.yaml #命令式 kubectl edit deploy xxx #在线编辑资源yaml kubectl rollout history deployment xxx #版本历史 kubectl rollout undo deployment xxx --to‑revision2 #回滚版本 kubectl scale deployment nginx --replicas5 #扩缩容 #污点标签 kubectl taint nodes node‑1 keyval:NoSchedule kubectl label nodes node‑1 diskssd声明式 apply vs 命令式 create/replace生产优先 apply排错通用思路kubectl describe pod xxx看 Events 事件优先kubectl logs pod‑name看业务日志确认镜像是否正确、拉取镜像是否报错镜像私有仓库 secret探针配置是否错误资源 Limit/Request 是否 OOM 被杀死node 资源是否充足污点亲和调度问题资源配额 ResourceQuota LimitRangeResourceQuotanamespace 总资源配额限制整个 ns 所有 Pod 总 CPU 内存数量LimitRange设置 ns 内 Pod / 容器默认 request、limit防止容器不写资源限制吃光节点资源QoS 服务质量Pod 的 QOS 等级由 request 和 limit 决定Guaranteedrequestlimit最高优先级节点内存压力最后被驱逐Burstablerequestlimit中间级别BestEffort没有设置任何 request limit最低优先级内存压力最先被驱逐生产业务建议尽量设置 requestlimit拿到 Guaranteed 或者 Burstable不要 BestEffort。十三、K8S 进阶内容面试拔高HPA 水平 Pod 自动扩缩容 HorizontalPodAutoscaler根据 CPU / 内存或者自定义 metrics 指标自动增减 Deployment 副本数量注意HPA 只水平扩 Pod 数量不能垂直改变 Pod 本身 CPU 内存VPA 垂直扩缩改 Pod 资源需要 metrics‑server 采集指标。Metrics‑server集群指标采集组件替代 heapster提供 node/pod cpu 内存指标给 HPA、kubectl top 使用。kubectl top nodes kubectl top podsK8S 版本升级kubeadm upgrade滚动升级控制平面再升级 node先升级 kubelet。etcd 备份还原etcdctl snapshot save定期快照备份灾难恢复核心。kubeadm 集群部署流程 初始化 control‑planekubeadm init输出 join 命令worker 节点kubeadm join加入集群之后手动部署 CNI 网络插件。十四、常见面试坑点总结易混淆❌Pod 可以直接调度✅业务 Pod 尽量使用上层控制器管理❌Namespace 做网络隔离✅Namespace 只是逻辑隔离网络隔离靠 NetworkPolicy❌Secret 是加密✅Secret 只是 base64 编码etcd 开启加密才是真正加密❌Service 会直接管理 Pod✅Service 靠 selector 匹配通过 Endpoints 关联 Pod❌Ingress 本身可以代理✅Ingress 只是规则必须 ingress‑controller 实现七层代理❌污点是打在 Pod✅污点 Taint 在 Node容忍 Tolerations 写 Pod❌readiness 探针重启 Pod✅readiness 只摘除后端端点liveness 才重启容器❌K8S 构建镜像✅K8S 只运行镜像镜像由 docker 构建