K8s支持多个虚拟集群，它们底层依赖同一个物理集群，这些虚拟集群就是命名空间。Pod的根容器是Pause容器，是每个Pod里最先启动、最后销毁的基础，负责统一占用网络命名空间、共享网络与存储，管控整个Pod生命周期，是同一Pod所有业务容器通信与资源共享的根基。静态Pod由kubelet本地直接管理，不需要经过集群apiserver调度，通过固定目录.yaml文件自动创建，多用于部署集群核心组件，

ReplicaSet的目的是维护一组在任何时候都处于运行状态的Pod副本的稳定集合。通过标签选择器匹配Pod，实时对比期望副本数和实际运行Pod数量，多了就删除少了就创建，主要用来维持指定数量Pod副本稳定运行。StatefulSet控制器用来管理基于相同容器规约的一组Pod，StatefulSet为它的每个Pod维护了一个有粘性的ID，持久存储绑定，重建Pod数据不丢失。主要管理有状态服务，保证

Pod有两种隔离方式：出口的隔离和入口的隔离，NetworkPolicy是一种以应用为中心的结构，允许设置如何允许Pod与网络上的各类网络“实体”通信。未匹配任何策略的Pod默认拒绝所有访问，NetworkPolicy可以多条策略叠加，满足任一规则即可通行。

容器镜像是一个分层存储的归档文件，包含运行容器所需要的所有静态文件和元数据。主要包含文件系统层Rootfs和配置元数据JSON文件。​文件系统层提供容器的根文件系统，与宿主机的文件系统隔离，是容器内进程看到的文件系统视图。​配置元数据定义容器的运行时行为，包括进程配置、安全权限、环境变量等。关键文件有：​包含容器运行时配置。​描述镜像的层级结构和配置文件的路径。​layer.tar每个文件系统层对

CRD是K8s中用于扩展API的机制，允许用户创建自己的资源类型，就像内置的Pod、Deployment、Service等资源一样。可以添加K8s原生不支持的功能，为特定领域比如数据库创建高级抽象，可以将复杂配置封装为简单的资源定义，可以通过控制器(Controller)实现声明式自动化管理CR，Custom Resource是基于CRD创建的具体实例。

podman stop 容器名/ID 可以停止容器，podman rm 容器名/ID可以删除容器，删除之前必须要保证容器是停止状态。根容器是以root用户身份运行容器，执行命令需要sudo，无根容器以普通用户身份运行容器，无需sudo，全程无管理员权限，根容器权限更高，风险也比较高，无根容器权限低、使用起来更安全。删除镜像前使用podman ps -a --filter ancestor=<镜像>

有Host模式、Container模式、None模式和Bridge模式，Host模式适用于网络性能要求较高的场景，Container模式适用于需要紧密协作的容器组中，容器可以通过localhost通信，None适用于安全性要求较高的场景，Bridge适用于大多数需要容器与宿主机或其它容器通信的场景。通过子系统来管理不同类型的资源，例如cpu：限制cpu使用率，memory：限制内存使用量，blki

是K8s中用来划分集群资源的虚拟隔离分区，相当于集群内的独立虚拟集群。在同一个K8s集群里划分出多个逻辑独立空间，实现资源隔离、权限划分、环境区分，避免不同业务、项目、环境的资源名称冲突。

K8s支持很多类型的卷，Pod可以同时使用任意数目的卷类型，临时卷类型的生命周期与Pod相同，持久卷可以比Pod有更长的存活期。当Pod被删除时，临时卷也会被删除，持久卷会保留在磁盘上，对于给Pod中的任意类型的卷，在其中的任何容器重启器件Pod中的数据都不会丢失，在.spec.volumes字段为Pod设置所需的卷类型。持久化存储声明，用户写PVC声明，写出需要的容量、读写权限、存储类别，K8s

PriorityClass是K8s调度系统的"紧急程度标签"，用于解决资源竞争时的调度决策问题，通过数值优先级和抢占机制定义Pod的相对重要性，PriorityClass不是配额机制，不能保证高优先级Pod一定能获得资源，当紧急任务需要资源时候，集群需要腾出资源，会优先终止低优先级的后台任务，如果资源仍然不足，可能会终止业务应用，绝对不会终止系统基础服务。1.Argo CD API Server：