容器是轻量级、可移植、自包含的软件打包技术。应用程序 + 所有依赖（库、配置、运行时）共享宿主机内核、进程级隔离、秒级启动、低资源消耗类比：现实中的集装箱，标准化、可跨环境运输# 安装 ssh 服务# 生成 ssh 密钥# 设置 root 密码为 123456# 暴露 22 端口EXPOSE 22# 启动 ssh 服务# 设置工作目录# 安装基础工具# 解压 jdk 压缩包（提前放在构建目录）#

Volume 就是给容器接外部存储，解决容器数据丢失、多容器共享文件两大问题；临时共享用 emptyDir，注入配置用 ConfigMap/Secret，节点本地用 hostPath，共享持久化用 NFS；生产统一用 PV+PVC 解耦存储管理和使用，配合 StorageClass 实现自动供给；排障先看 Pod 事件，再看节点 kubelet 日志，最后手动测试存储连通性。

Controller 主要作用是确保所管理的资源处于用户期望的状态，通过不断地监控资源的状态，并根据实际状态与期望状态之间的差异执行相应的动作，来实现资源的自愈、自动扩展等功能。先简单回顾一下：容器按照是否持续运行可分为两类。服务类容器： 一直运行任务，通常持续提供服务， 比如HTTP等。工作类容器：一次性任务， 比如批处理程序，完成后容器就退出。Kubernetes 中用于管理服务类容器的控制器

在 Kubernetes 中，Pod 是应用运行的最小计算单元，但 Pod 本身具有临时性与动态性Deployment 执行滚动更新、扩缩容时，旧 Pod 会被销毁、新 Pod 会被创建，Pod IP 会发生变化；节点故障、资源驱逐时，Pod 会漂移到其他节点重建，IP 同样会改变。如果前端业务直接通过 Pod IP 访问后端服务，后端 Pod 的频繁变动会导致前端配置持续修改，业务无法稳定运行。

入口：访问 ClusterIP分流：进入服务调度：进入（SNAT + 负载均衡）端点转发：进入最终到达：后端 Pod客户端访问PREROUTINGnat 表服务总入口services/web 专属调度链SNAT 标记：非 Pod 网段流量概率 1/3 负载均衡概率 1/3 负载均衡默认 1/3 负载均衡DNAT 转发DNAT 转发DNAT 转发在学 Ingress 之前，我们暴露服务用的是Node

默认情况，集群网络连通性如下：集群外部主机可以访问集群内部应用集群内部应用也可以访问集群外部主机各个namespace之间没有做任何的隔离策略如果希望在 IP 地址或端口层面控制网络流量， 考虑使用 Kubernetes 网络策略（NetworkPolicy）。NetworkPolicy 是一种以应用为中心的结构，允许你设置如何允许Pod与网络上的各类网络“实体” 通信。NetworkPolicy

如何监控 Node 资源使用？如何监控 Pod 资源使用？如何依据 Pod 负载自动扩缩容？业务层监控指标，贴合真实用户流量：HTTP QPS、每秒请求数；接口响应延迟；并发连接数；接口错误率。requests = 调度器分配节点的最低资源门槛，是 ResourceQuota 统计资源的标准；limits = Linux 内核硬限制的资源天花板，防止单个 Pod 拖垮整台机器；开启资源配额后，re

超通俗大白话讲解 Namespace（命名空间）类比先看懂一整套 K8s 集群 = 一栋超大共享写字楼Namespace = 写字楼里独立上锁的办公室隔间整栋楼的水电、电梯、场地（服务器 CPU / 内存 / 磁盘）所有人共用，但隔间互相隔开：A 团队在 1 号隔间办公、B 团队在 2 号隔间，互不干扰。​Namespace 4 个核心用途，全是企业真实用法1、解决资源重名冲突（最基础作用）同一个

不用修改 K8s 底层源码，通过插件、控制器、CRD 等方式拓展集群功能，按需增加自定义能力。传统 PaaS：给你一套固定完整开发平台，限制多；Kubernetes：只是容器调度底座，只负责调度容器，其余软件、工具、流程全部让用户自由搭配。Kubernetes并不是传统的PaaS（平台即服务）系统。

完整请求流转总结 1.请求到达 API Server，完成 TLS 握手，进入认证环节 2.认证模块识别出请求者的合法身份 3.授权模块根据身份和请求内容，校验操作权限 4.依次经过所有变更型准入控制器，修改资源对象 5.依次经过所有校验型准入控制器，验证资源合规性 6.全部校验通过，资源数据写入 etcd，API Server 返回成功响应Kubernetes API 服务器对 API 请求进行