(1)轻量化：容器共享宿主机操作系统内核，无需封装完整的客户机操作系统，镜像大小通常为几十到几百 MB（虚拟机为 GB 级）。(2)资源消耗低：容器是进程级隔离，CPU、内存开销远小于虚拟机；同样硬件可运行更多容器实例。(3)启动速度快：容器毫秒至秒级启动，虚拟机需分钟级。(4)可移植性：容器打包应用及其所有依赖（库、配置文件等），可在任何支持 OCI 标准的系统上运行。(5)快速并行运行：可快速

Kubernetes（K8s）是一个开源的容器编排平台，用于自动化部署、扩展和管理容器化应用。当容器数量从单个扩展到成百上千时，K8s通过声明式API和自动化能力简化管理，提供自动扩容、故障恢复、滚动更新等功能。其核心架构分为控制平面（APIServer、Scheduler等）和工作节点（Kubelet、KubeProxy等），前者负责全局决策，后者运行实际容器。K8s支持服务发现、负载均衡、存储

Kubernetes（K8s）与Docker并非替代关系，而是分工协作。Docker作为容器运行时负责构建镜像和启动容器，而K8s作为编排平台专注于调度和管理。2020年K8s弃用Docker作为默认运行时转向containerd，但Docker镜像仍可兼容使用。两者通过CRI接口实现解耦，K8s支持多种运行时选择。从操作对比可见，Docker适合单机容器管理，K8s则提供自动化扩缩容、故障恢复等

命名空间（Namespace） 是 K8s 中用于将集群资源划分为多个虚拟集群的机制。它允许在同一物理集群中实现多租户隔离、资源配额管理和环境区分（如开发、测试、生产）。核心作用（1）资源隔离：不同命名空间中的资源（Pod、Service、ConfigMap 等）逻辑上相互独立，但网络默认互通。（2）访问控制：结合 RBAC 可以为不同命名空间设置不同的权限策略。（3）资源配额：使用 Resour

在 Kubernetes 的早期设计中，这个概念被称为"pause" 容器，可以理解为 Pod 的根容器或基础容器，其主要职责是占位并维护 Pod 的资源，确保 Pod 的生命周期稳定。（1）作用：它是最先启动的容器，负责为整个 Pod 持有网络和 IPC 命名空间。Pod 内所有其他用户容器都会加入（共享）由这个 pause 容器创建的命名空间。（2）为什么需要它。

ReplicaSet（RS） 是Kubernetes的一个控制器，负责确保指定数量的Pod副本始终在运行。值得注意的是，我们通常不直接使用ReplicaSet，而是通过Deployment控制器间接使用它，因为Deployment提供了滚动更新、回滚等更高级功能。ReplicaSet的核心作用包括：通过副本数量维持机制，确保集群中Pod的实际数量始终与用户期望值一致（多于则删除多余Pod，少于则创

RBAC防护的是API Server，是对“操作”本身的许可。可以理解为用户登录系统后的操作权限。防护的是Pod 网络，是对“流量”的隔离。可以理解为不同服务器之间的防火墙规则。它们处理的是不同层面的安全问题，没有重叠，也不能相互替代。

Service 定义“规则”（我要访问谁），Endpoints 定义“结果”（谁能被访问）。kube-proxy 同时监视这两个对象：根据 Service 知道规则怎么配，根据 Endpoints 知道规则指向哪个具体地址。

此时，运维人员将该Web应用对应的Service类型设置为NodePort。前端Pod只需通过该Service的名称或对应的内部域名发起请求，集群内部的DNS会自动解析为Service的虚拟IP。这样，前端完全不需要关心后端Pod的具体IP变化，实现了服务发现和负载均衡，而且这个服务不会被集群外部访问，保证了内部API的安全性。即使某台节点宕机，只要开发人员切换到另一个正常节点的IP地址和相同的N

如果就绪探针失败，kubelet 会将该 Pod 的 IP 地址从所有匹配的 Service 的 EndpointSlice 中移除，确保不会有请求被路由到未就绪的 Pod。：当前 Pod 依赖的后端服务（如数据库、Redis、消息队列）出现故障时，可以将就绪探针设为失败，主动从负载均衡中摘除，避免返回错误响应。：在 Pod 被删除前，先让就绪探针失败，将 Pod 从流量转发中摘除，再执行关闭逻辑