开源的应用容器引擎，基于LXC（Linux Container）实现，使用Go语言开发。

共享基础层，节省存储和带宽；容器是进程，运行在独立的命名空间中（PID、网络、用户等）。官方镜像可省略 registry 和 namespace。拥有自己的 root 文件系统、网络配置、进程空间。：多个只读层叠加，每层记录文件系统的增量变化。：存储镜像的地方（如 Docker Hub）。读取文件：从上往下查找，找到后复制到容器层。修改/删除文件：复制到容器层后再操作。容器层保存所有变化，镜像本身

安装：卸载旧版 → 安装→ 设置阿里云镜像仓库 → 安装等 → 启动并验证。卸载： 相关包，删除 。删除：（单个/多个/全部）。保存/加载： 导出 ， /导入。标签与提交： 打标签， 将容器保存为新镜像。运行： 交互式， 后台（需有前台进程）， 端口映射， 命名。退出： 后台退出， 终止。查看/启停/删除：，，。日志与进程：，，。进入容器：（新终端，推荐），（进入原终端）。文件拷贝：。作用：持久化

排查思路：服务状态 → 容器状态 → 日志分析 → 配置验证 → 网络/卷/资源深入诊断。常用命令。预防措施：定期清理、监控资源、配置健康检查、备份重要数据。推荐工具ctop（监控）、（网络诊断）、（安全）。

指标单阶段构建多阶段构建镜像大小大（含构建工具）小（仅运行时+产物）构建速度慢（全量构建）快（增量缓存）安全性低（攻击面大）高（最小依赖）部署效率低（传输慢）高（镜像小）适用场景：任何需要编译、打包、资源处理的应用程序（Go、Java、Rust、C++、前端、PHP 等）。多阶段构建是 Docker 官方推荐的镜像优化最佳实践，应作为生产环境容器化的默认方案。

text控制平面（Master）| (通过 API 交互)工作节点（Node1）工作节点（Node2）

Pod 是 Kubernetes 中最小的可部署计算单元，你可以把它看作一组一个或多个关系紧密容器：它们是 Pod 的主要执行单元。存储卷（Volume）：Pod 中的容器可以共享的存储空间。网络资源：Pod 拥有一个唯一的集群 IP 地址。配置信息：定义了如何运行这些容器。每个 Pod 都有一个独立的 IP, Pod 内的所有容器都通过localhost互相通信，并且都能访问 Pod 内挂载的共

节点一个 Pod，守护常驻跑。副本不许改，标签很重要。母机资源用，污点要容忍。滚动按节点，回滚立马好。kube-proxy是 Kubernetes 集群中负责维护节点网络规则的核心组件。当你在集群中创建一个Service来为一组 Pod 提供稳定的访问入口时，kube-proxy会负责在所有节点上设置相应的转发规则，确保访问Service的流量被正确分发到健康的 Pod 上。kube-proxy是

Ingress 就是一个 7 层路由网关，你只需要配好“哪个域名走哪个服务”，Ingress Controller 会自动帮你搭好 Nginx 并更新配置，让你用一个入口（NodePort 或 LB）暴露多个服务。

每分钟创建一个 Job，Job 再创建 Pod 执行命令（如输出时间+Hello信息），Pod 状态变为。比如：你不想让“前端”Pod 直接访问“数据库”Pod，只让“后端”Pod 去访问，就可以用它来限制。规则里可以指定：允许的 IP 段、端口、协议（TCP/UDP），或者只允许某个命名空间里的 Pod。：确保指定数量的 Pod 成功终止（完成），适用于一次性任务（如计算、批处理）。，只允许同一