做隔离：给容器里面的进程制造假象，容器内部看到独立的PID，独立网络，独立主机名，独立文件系统视图。容器内部的数据全部丢失。虚拟机：完整的操作系统，内核，驱动，文件系统全部复制一份，体积大，启动慢，占用内存CPU高。把宿主机的目录挂载映射进容器，数据存储在宿主机磁盘，容器删了数据还保留。Docker容器是房子的隔间，共用一套地基，也就是宿主机的内核。类比：用模具（镜像）烤出来的蛋糕（容器），蛋糕上

一旦开swap，容器内存挤占硬盘，会出现：程序卡顿，oom杀进程，节点负载不准，调度器判断资源错乱，集群稳定性直接崩。主节点执行kubeadm init，生成控制平面（etcd，apiserver，控制器，调度器），输出join命令和管理员kubeconfig。ca-certficates：系统根证书包，装各合法网站，软件的可信证书，拉镜像，访问集群api不报错，能校验https。kubelet：

3.kubeadm init 必须指定--cri-socket=unix：///var/run/cri-dockerd.sock的原因？默认指向containerd，本环境使用docker+cri-dockerd，不指定无法识别容器运行时。2.内核参数net.bridge.bridge-nf-call-iptables=1作用？kube-proxy：维护节点service网络转发规则（iptabl

3）kubelet（k8s节点代理）运行在每一台Linux节点上，负责跟Linux系统交互，操作本机容器，磁盘，网络。可以在Linux上跑普通进程，也可以跑容器（容器的本质就是被Namespace+Cgroup隔离的Linux进程）。4）k8s只管容器应用层，底层操作系统的安装，调优，磁盘扩容，网络配置，还是需要你懂Linux来维护。一句话总结：Linux提供地基，容器是隔离的进程，k8s就是大规

控制平面（etcd/apiserver/scheduler/controller-manager）<>工作节点（kubelet/kube-proxy）<>CNI网络Calio。2）pod（最小调度单元，所有控制器底层载体）内部网状组件：pause共享网络存储容器+业务容器+init初始化+native sidecar。架构关联：etcd（唯一存储）双向同步所有组件状态，所有组件通过apiserve

你写yaml>kubectl apply把yaml内容提交给APIServer>APIServer校验>存入etcd>各个控制器循环干活，把集群实际状态对齐yaml写的期望状态。真正管理集群的是：apiserver，etcd，controller，scheduler这些组件。写yaml（yml），里面写清除我期望最终状态：我要1个pod，副本数2，镜像nginx，端口80.但你可以口头告诉工人干活

过去一段时间，我从零系统搭建自己的技术体系，从Linux底层夯实基础，逐步掌握Shell，docker，MySQL，k8s，ansible，Go，并落地真实AI部署项目。但真正深入学习后我发现：现代运维早已不是传统机房维护，而是向着自动化，平台化，云原生化，AI工程化全面演进。这篇文章复盘我的完整学习路线，技术栈结构，实战心得与未来职业方向，给正在学习运维，云原生，DevOps，MLOps的同学一

AI Agent的可观测性不仅是技术问题，更是工程实践与团队协作的系统工程。通过构建完善的可观测性体系，我们能够真正理解Agent的“思考”过程，提升系统可靠性，加速迭代优化，最终实现AI Agent的规模化、工业化应用。

AI Agent的可观测性不仅是技术问题，更是工程实践与团队协作的系统工程。通过构建完善的可观测性体系，我们能够真正理解Agent的“思考”过程，提升系统可靠性，加速迭代优化，最终实现AI Agent的规模化、工业化应用。

3）kubelet（k8s节点代理）运行在每一台Linux节点上，负责跟Linux系统交互，操作本机容器，磁盘，网络。可以在Linux上跑普通进程，也可以跑容器（容器的本质就是被Namespace+Cgroup隔离的Linux进程）。4）k8s只管容器应用层，底层操作系统的安装，调优，磁盘扩容，网络配置，还是需要你懂Linux来维护。一句话总结：Linux提供地基，容器是隔离的进程，k8s就是大规