Kubernetes自动扩容通过HPA控制器实现，基于CPU等指标动态调整Pod数量。Service类型包括ClusterIP（集群内访问）、NodePort（节点端口暴露）和LoadBalancer（外部负载均衡）。负载分发策略支持轮询(RoundRobin)和会话保持(SessionAffinity)。HeadlessService则通过不分配ClusterIP，直接返回后端Pod列表，适用于

Kubernetes外部访问集群服务的三种方式：通过hostPort映射Pod端口、nodePort映射Service端口，或使用云平台LoadBalancer。Ingress实现HTTP层路由，结合IngressController实现负载均衡，可替代kube-proxy功能。镜像下载策略包括Always（latest标签时强制下载）、Never（仅使用本地镜像）和IfNotPresent（默认

Kubernetes负载均衡器分为内部和外部两种类型，分别用于容器间和外部流量的负载均衡。各模块通过API Server的REST接口实现通信，如kubelet定期上报节点状态，Controller Manager监控节点信息，Scheduler执行Pod调度。Scheduler是核心调度模块，负责将Pod绑定到合适节点，涉及调度算法、可用节点等对象，调度完成后由目标节点的kubelet接管后续工

Kubernetes调度器使用预选(Predicates)和优选(Priorities)两种算法绑定Pod到节点：预选筛选符合条件的节点，优选对节点打分选择最优项。kubelet是节点代理，负责管理Pod/容器并监控节点资源，它通过内置的cAdvisor组件实时采集节点和容器性能指标。cAdvisor随kubelet自动启动，提供资源监控功能。

Kubernetes通过多维度机制保障集群安全：基础设施隔离容器与宿主机；权限管理采用最小权限原则和角色划分；集群层面通过APIServer认证授权（HTTPS/Token）、RBAC授权管理、Secret保护敏感数据以及准入控制机制。准入机制在请求处理流程中位于认证授权之后，通过一系列控制代码（如LimitRanger、NamespaceExists等）对请求进行校验，任一控制拒绝则立即终止请求

Kubernetes核心组件摘要：RBAC基于角色实现细粒度访问控制，支持动态调整；Secret用于安全存储敏感数据，支持自动注入、挂载和镜像拉取三种使用方式；PodSecurityPolicy通过准入控制器强化Pod安全策略，需配合RBAC策略使用。三大机制共同保障集群安全性与资源管控。

摘要： Kubernetes安全与网络机制主要包括： Pod安全策略(PSP)通过控制特权模式、宿主机资源访问、用户/组权限等实现容器运行时安全防护； 网络模型采用扁平化设计，每个Pod拥有独立IP，同Pod容器共享网络命名空间； CNI模型通过插件机制实现容器网络配置，包括基础网络插件和IP地址管理插件分工协作。

Kubernetes网络策略通过NetworkPolicy实现Pod间网络隔离，配合PolicyController执行策略。其原理是通过API监听策略定义，由节点Agent借助CNI插件实施。Flannel为Kubernetes提供底层网络支持，分配唯一Pod IP并建立覆盖网络。Calico采用BGP三层方案，通过Linux内核vRouter实现高效路由，无需NAT或隧道即可完成节点间通信，提

Kubernetes共享存储为有状态应用提供数据持久化支持，确保容器重建后仍可访问原数据。其持久化方式包括：EmptyDir（临时存储）、HostPath（宿主机目录挂载）和PersistentVolume（PV，统一存储资源）。PV是底层存储的抽象资源，PVC则是用户的存储申请。PV生命周期含四个阶段：Available（可用）、Bound（已绑定）、Released（PVC删除后待回收）和Fa

Kubernetes存储供应支持静态和动态两种模式：静态需手动创建PV，动态通过StorageClass自动创建PV。其CSI存储接口标准实现存储插件与核心解耦，包含Controller和Node组件实现存储管理。Worker节点加入集群需安装配置Docker、kubelet和kube-proxy服务，通过自动注册机制加入集群调度范围。