企业级 Kubernetes 运维实战指南

集群搭建

高可用集群架构设计
采用多 Master 节点（至少 3 台）确保控制平面高可用，结合 Etcd 集群分布式存储。Worker 节点按业务需求横向扩展，建议使用云厂商托管服务（如 EKS、AKS）或开源工具（kubeadm、kOps）自动化部署。

关键配置

• 网络插件选择 Calico 或 Cilium，支持 NetworkPolicy 和 IPAM。
• 存储方案基于 CSI 驱动（如 AWS EBS、Ceph RBD），持久化卷声明（PVC）动态供给。
• 安全加固：启用 RBAC，Pod 配置 SecurityContext，限制特权容器。

代码示例：kubeadm 初始化集群

kubeadm init --control-plane-endpoint "LOAD_BALANCER_DNS:6443" \
--upload-certs --pod-network-cidr=192.168.0.0/16

微服务暴露（Ingress）

Ingress Controller 选型
Nginx Ingress 或 Traefik 为常见选择，云厂商 ALB/NLB 提供七层流量管理。部署时需配置 HPA 自动扩缩容，并启用 SSL 终止（Cert-Manager 自动签发证书）。

路由规则配置
定义 Ingress 资源指定 Host 和 Path 路由到不同 Service，支持灰度发布（通过 Annotation 实现流量切分）。

示例：Ingress 资源定义

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  rules:
  - host: demo.example.com
    http:
      paths:
      - path: /api
        pathType: Prefix
        backend:
          service:
            name: api-service
            port: 
              number: 80

监控告警（Prometheus + Grafana）

监控体系搭建

• Prometheus 部署：使用 Operator 管理，配置 Scrape 规则采集 Pod/Node 指标。
• 数据持久化：通过 PVC 挂载 SSD 存储，长期数据可对接 Thanos 或 Cortex。
• 自定义指标：通过 ServiceMonitor 捕获业务应用暴露的 /metrics 端点。

告警规则与通知
Alertmanager 配置路由分组和抑制规则，集成 Slack/Webhook 通知。关键告警项包括：

• 节点 CPU/Memory 持续超阈值
• Pod 频繁重启（OOMKilled 事件）
• Ingress 请求 5xx 错误率突增

示例：Prometheus 告警规则

groups:
- name: node-alerts
  rules:
  - alert: HighNodeCPU
    expr: 100 - (avg by(instance) (irate(node_cpu_seconds_total{mode="idle"}[5m])) * 100) > 80
    for: 10m
    labels:
      severity: critical
    annotations:
      summary: "High CPU usage on {{ $labels.instance }}"

运维优化实践

日志聚合
采用 EFK（Elasticsearch + Fluentd + Kibana）或 Loki 集中管理容器日志，通过 Label 过滤快速定位问题。

CI/CD 集成
Argo CD 实现 GitOps，监控 Git 仓库变更自动同步集群状态。流水线中嵌入 Helm Chart 版本控制。

灾难恢复
定期备份集群状态（etcd snapshots）和关键资源（velero 备份 PVC），跨区域部署避免单点故障。

通过上述流程，企业可构建稳定、可观测的 Kubernetes 生产环境，支撑微服务高效运维。