1. Kubernetes 集群管理基础

Kubernetes（简称K8s）作为容器编排领域的事实标准，其集群管理能力直接影响着整个容器化应用的运行质量。掌握核心管理命令是每个运维和开发人员的必修课。这里我分享几个高频使用的集群管理命令，都是经过生产环境验证的实用技巧。

首先是最基础的集群状态检查命令：

kubectl cluster-info

这个命令能快速显示集群的Master地址和核心服务状态。在实际运维中，我习惯加上 --context 参数指定集群，特别是在多集群环境下。比如我们同时管理着开发、测试、生产三个集群时，明确上下文能避免误操作。

节点管理是日常运维的重点，以下命令组合是我的标准检查流程：

kubectl get nodes -o wide
kubectl describe node <node-name>

第一个命令列出所有节点及其资源概况， -o wide 参数会显示IP地址和操作系统等扩展信息。当发现某个节点状态异常时，第二个describe命令能提供详细的资源分配、事件记录等信息，对排查问题特别有帮助。

经验提示：describe命令的输出可能非常冗长，建议配合grep过滤关键信息，比如 kubectl describe node | grep -A10 Conditions 可以快速查看节点健康状态。

2. Pod 资源对象深度解析

2.1 Pod 基础操作

Pod作为K8s的最小调度单元，其管理命令的使用频率最高。创建Pod通常通过yaml文件定义：

kubectl apply -f pod.yaml

但实际调试时，我更喜欢使用命令直接创建临时Pod进行测试：

kubectl run test-pod --image=nginx:alpine --restart=Never

这个命令会立即启动一个一次性Pod，非常适合快速验证镜像能否正常运行。 --restart=Never 参数确保Pod退出后不会自动重启，避免产生僵尸Pod。

查看Pod状态有几个实用技巧：

kubectl get pods -w  # 实时监控状态变化
kubectl get pods -o yaml  # 获取完整定义
kubectl logs -f <pod-name>  # 实时日志流

特别是 -w 参数，在排查Pod启动失败时非常有用，可以观察到Pod状态的变化过程。

2.2 Pod 高级管理

当Pod出现异常时，以下诊断命令组合是我的标准流程：

kubectl describe pod <pod-name>  # 查看详细事件
kubectl logs <pod-name> --previous  # 查看前一个容器的日志
kubectl exec -it <pod-name> -- sh  # 进入容器调试

--previous 参数对于排查崩溃重启的容器特别有价值，能获取到崩溃前的日志信息。而exec命令则是调试容器内部问题的利器，但要注意生产环境慎用，避免影响运行中的服务。

资源限制是Pod定义的关键部分，以下是一个标准的资源限制配置示例：

resources:
  requests:
    cpu: "500m"
    memory: "512Mi"
  limits:
    cpu: "1000m"
    memory: "1Gi"

requests表示容器启动所需的最小资源，limits则是硬性上限。根据经验，内存限制应该始终设置，否则容器可能耗尽节点内存导致系统级问题。CPU限制则可以相对宽松，因为CPU是可压缩资源。

3. 实用命令组合与脚本

3.1 批量操作技巧

管理大规模集群时，批量操作能极大提升效率。以下是我常用的几个批量命令模式：

批量删除异常Pod：

kubectl get pods --field-selector=status.phase=Failed -o name | xargs kubectl delete

批量获取多个Pod的日志：

for pod in $(kubectl get pods -l app=nginx -o name); do
  echo "Logs for ${pod}:"
  kubectl logs ${pod}
done

标签选择器是K8s中最强大的过滤工具之一：

kubectl get pods -l 'environment in (production,staging)'

这个命令可以筛选出生产环境和预发布环境的所有Pod，比手动筛选高效得多。

3.2 调试与排错

当遇到Pod启动失败时，我的标准排查流程是：

1. 检查事件记录：

kubectl get events --sort-by=.metadata.creationTimestamp

2. 检查资源配额是否足够：

kubectl describe quota

3. 检查节点资源使用情况：

kubectl top nodes

4. 如果怀疑是镜像问题，尝试手动拉取：

docker pull <image-name>

网络问题排查常用命令：

kubectl run -it --rm test-net --image=alpine -- sh
ping <service-name>
nslookup <service-name>

这个临时Pod可以帮助验证DNS解析和网络连通性。

4. 生产环境最佳实践

4.1 Pod 设计原则

经过多个生产项目的实践，我总结了以下Pod设计经验：

1. 单一职责原则：每个Pod应该只运行一个主进程，避免将多个无关服务打包到同一个Pod中。虽然技术上可以在一个Pod中运行多个容器，但这会破坏K8s的调度和扩展能力。

2. 合理设置资源请求和限制：requests值应该接近容器实际使用量，limits可以设置为requests的1.5-2倍。过高的requests会导致资源浪费，过低的limits可能引发OOM Kill。

3. 使用Readiness和Liveness探针：

livenessProbe:
  httpGet:
    path: /healthz
    port: 8080
  initialDelaySeconds: 15
  periodSeconds: 20
readinessProbe:
  exec:
    command:
    - cat
    - /tmp/healthy
  initialDelaySeconds: 5
  periodSeconds: 5

Liveness探针决定何时重启容器，Readiness探针决定何时将Pod加入服务端点。initialDelaySeconds设置非常重要，要给应用足够的启动时间。

4.2 安全配置

生产环境Pod安全不容忽视，以下是我的安全配置清单：

1. 使用非root用户运行容器：

securityContext:
  runAsNonRoot: true
  runAsUser: 1000
  fsGroup: 2000

2. 限制容器权限：

securityContext:
  capabilities:
    drop:
    - ALL
  readOnlyRootFilesystem: true

3. 使用网络策略隔离Pod：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: default-deny
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

4. 定期更新镜像版本，修复安全漏洞：

kubectl set image deployment/<deployment-name> <container-name>=<new-image>

5. 性能优化技巧

5.1 资源利用优化

在高密度部署场景下，这些技巧可以帮助提升资源利用率：

1. 设置合适的QoS等级：K8s根据资源限制自动将Pod分为Guaranteed、Burstable和BestEffort三个等级。关键业务Pod应该配置为Guaranteed：

resources:
  limits:
    cpu: "1"
    memory: "1Gi"
  requests:
    cpu: "1"
    memory: "1Gi"

2. 使用拓扑感知调度提升性能：

affinity:
  nodeAffinity:
    requiredDuringSchedulingIgnoredDuringExecution:
      nodeSelectorTerms:
      - matchExpressions:
        - key: topology.kubernetes.io/zone
          operator: In
          values:
          - zone-a

3. 合理设置Pod中断预算（PDB）：

apiVersion: policy/v1
kind: PodDisruptionBudget
metadata:
  name: zk-pdb
spec:
  minAvailable: 2
  selector:
    matchLabels:
      app: zookeeper

5.2 监控与调优

有效的监控是性能优化的基础，我常用的监控命令组合：

1. 实时资源监控：

watch -n 2 'kubectl top pods --containers'

2. 生成资源使用报告：

kubectl resource-capacity --pods --util --sort cpu.util

3. 分析Pod历史资源使用：

kubectl resource-analyze pod/<pod-name> --since 24h

对于Java应用，还需要特别注意JVM内存设置与容器限制的匹配关系。经验法则是：

• 容器内存限制 = JVM堆内存 + 元空间 + 堆外内存 + 安全缓冲（通常20%）
• 例如容器限制4GB，JVM堆可以设置为 -Xmx3g -Xms3g

6. 常见问题与���决方案

6.1 Pod 常见错误

以下是我整理的Pod常见问题速查表：

问题现象	可能原因	排查命令	解决方案
Pod处于Pending状态	资源不足、节点选择器不匹配	kubectl describe pod	检查资源请求、节点标签
Pod不断重启	应用崩溃、健康检查失败	kubectl logs --previous	调整探针参数、修复应用
Pod运行但服务不可用	端口配置错误、网络策略限制	kubectl exec -it curl	检查服务定义、网络策略
镜像拉取失败	认证问题、镜像不存在	kubectl get events	配置imagePullSecrets

6.2 高级调试技巧

对于复杂问题，这些高级调试方法可能会派上用场：

1. 临时修改Pod定义进行调试：

kubectl get pod <pod-name> -o yaml > debug.yaml
# 修改debug.yaml后
kubectl replace --force -f debug.yaml

2. 使用ephemeral containers进行调试（K8s 1.23+）：

kubectl debug -it <pod-name> --image=busybox --target=<container-name>

3. 分析API请求日志：

kubectl get --v=8 pods  # 日志级别1-10

4. 检查kubelet日志（需要SSH到节点）：

journalctl -u kubelet -f

在长期使用K8s的过程中，我发现90%的问题都能通过 describe 和 logs 这两个基础命令解决。关键是要养成系统化的排查思路：先看事件，再看日志，最后考虑进入容器调试。同时善用标签选择器和字段选择器可以快速定位问题Pod。