鼠标右键开始菜单，点击任务管理器，点击左侧边栏选择性能，并点击CPU:(若已经启用，跳过下一步开启VT-x虚拟化技术)(4)将Intel(R)Virtualization Technology设置为Enabled;(修改系统启动配置，强制禁用windows的Hyper-v虚拟化功能)运行后重启虚拟机尝试运行。Hyper-v占用VT-x,与VMware不兼容，导致VMware无法打开。根据电脑运行内

222。

镜像里最核心的东西，就是一个能直接当作容器“根目录”的 root 文件系统：应用代码、依赖库、配置文件都在里面，所以镜像一拉下来，容器就能按同样的环境跑起来。容器运行时本质上是负责容器生命周期的核心工具，分为低层运行时（runc) 和高层运行时(containerd)。容器运行时给容器运行提供了必备的资源。1）文件系统层（Rootfs）：也就是容器看到的“根文件系统视图”，和宿主机隔离，容器里的进

Kubernetes API 是集群对外提供的统一接口，由 kube-apiserver 提供，用于对各类资源对象进行增删改查，负责认证鉴权、准入控制和把集群期望状态写入 etcd，驱动控制器实现声明式管理。在 Kubernetes 里，“API”你可以把它理解成：所有人（人和程序）跟集群打交道的唯一入口。

所以从“隔离”的角度看，这两者完全不是一件事：Namespace 让不同团队的资源、权限、配额分得清清楚楚，避免“你动了我的服务”；Namespace 解决的是“大家在一个集群里怎么分开用”，cgroup 解决的则是“在同一台机器上，谁能用多少资源”。Namespace 也不会嵌套，一个资源只属于一个 Namespace，这让边界很清楚，谁的就是谁的，不会缠在一起。而 cgroup 是 Linux

在docker中，当命令发布后，会通过镜像创建一个容器出来，（容器实质上可以理解为在内存中创建的几个进程，进程以镜像为基座只读层，在其上有upper可写层，最上边为merge挂载层）在创建容器时，容器运行时runc负责在底层内核级别对这组进程进行资源隔离，共同协作运行容器。其中，kubernet负责资源编排，管理容器，它站在更高层面指挥各个节点上的containerd运行容器应用。kubernet

Role与ClusterRole是基于角色访问控制的重要概念，Role可以理解为一组权限的集合，如果授予了权限则允许相应的操作，如果未授予则不允许访问。网络策略与RBAC都是用来限制访问的，所不同的是role是由k8s中APIServer资源进行控制，是否可以访问取决于APIServer；而网络策略一般是单向或者双向的通讯限制，大多数不需要APIServer参与，网络策略资源对象是集群，监控着命名

静态 Pod 的价值就在这：不花里胡哨，但足够可靠，节点在，它就得在。这是因为 kubelet 会给静态 Pod 在 API Server 里同步一个“镜像 Pod”（mirror pod），让集群能观测到它的状态，但这个镜像只是“展示用”。顺带还有个明显特征：静态 Pod 的名字通常会带上节点名做后缀，一眼就能看出来它是绑死在某台机器上的。那静态 Pod 走的路完全不一样——它直接由 kubel

K8s 依赖 cgroup 去做资源隔离和调度决策，尤其是内存这块：该 OOM(内存不够，系统/容器被迫杀进程自救) 就 OOM，该驱逐就驱逐，保证系统整体可预期。问题是磁盘 I/O 再快也比内存慢得多，一旦系统压力上来、开始频繁换页，机器就会出现那种“CPU 不高但卡得要命”的状态：进程在等 I/O，延迟飙升，吞吐掉头。所以关闭 swap 并不是“浪费资源”，而是让 K8s 的资源治理逻辑更真实

它能让你将应用的配置信息从容器镜像中分离出来，存储在一个独立的地方，甚至在容器启动时动态加载配置。比如，你可以在本地开发、测试，或者在生产环境中，都使用相同的镜像，而只需根据不同的配置来改变应用的行为。更简单地说，镜像是构建好的，它是“只读”的，不容修改。而配置，恰恰是经常需要调整的地方。想一想，ConfigMap存储的是明文数据，容易被任何有权限的人访问，而Secret通过加密保护了数据，即使是