部署提醒：新版 kubeadm、kubeasz 均默认使用 containerd，仅安装 Docker 会导致节点无法就绪。

本文档深入解析 Kubernetes 的核心工作原理，从声明式 API 与控制循环的设计哲学出发，系统阐述控制平面与数据平面各组件的职责、交互机制与协作流程，帮助读者理解 Kubernetes 如何通过**“观察-比较-执行”**的闭环控制模型，实现分布式系统的自动化管理与自愈能力。Kubernetes 最核心的设计思想是声明式 API。用户通过 YAML 或 JSON 格式的配置文件定义资源的期

容器化是操作系统级虚拟化的实现方式，通过内核命名空间（Namespace）和控制组（Cgroup）技术，将应用及其依赖环境封装为独立进程。对比维度容器虚拟机启动速度秒级分钟级镜像大小MB 级GB 级资源开销低（共享内核）高（完整 OS）隔离级别进程级隔离硬件级隔离容器共享主机系统的内核，每个隔离的工作负载都不需要整个操作系统实例，因此资源效率更高。Docker 镜像是通过镜像仓库进行存储和分发的。

在 v1.35 中，backendService（最常见）Resource（指向自定义资源，极少用）访问的域名或路径不在任何规则中时，流量进入。metadata:spec:service:port:number: 80rules:http:paths:- path: /backend:service:port:number: 80始终指定：明确指定 Ingress Controller，避免多 C

ConfigMap 是一种 API 对象，用来将非机密性的数据保存到键值对中。Pod 可以将其用作环境变量、命令行参数或者存储卷中的配置文件。核心价值：ConfigMap 将你的环境配置信息和容器镜像解耦，便于应用配置的修改。Secret 是 Kubernetes 中用于存储敏感信息的对象，如密码、OAuth 令牌、SSH 密钥、TLS 证书等。核心价值：Secret 将敏感内容与 Pod 分离，

emptyDir是 Kubernetes 中最简单的存储卷类型。当 Pod 被调度到节点上时，会在节点上创建一个空目录，该目录在 Pod 的整个生命周期内存在。生命周期：emptyDir 的生命周期与 Pod完全绑定——Pod 删除，数据随之删除。hostPath卷能将宿主机节点文件系统上的文件或目录挂载到 Pod 中。生命周期：hostPath 的数据独立于 Pod 生命周期——Pod 删除后，

用对场景只有真正需要稳定标识或持久化存储的应用才用 StatefulSet。能用 Deployment 解决的，别用 StatefulSet。提前规划存储：确保集群有可用的 StorageClass 或预先创建好 PV。Headless Service 先创建：StatefulSet 依赖它，必须先存在。谨慎缩容：缩容不会删除 PVC，如果不再需要记得手动清理，避免浪费存储资源。善用分区更新：生产

Role总是用来在某个命名空间内设置访问权限；创建 Role 时必须指定所属的命名空间。Role YAML 结构kind: Rolemetadata:namespace: default # 必须指定命名空间rules: # 权限规则列表- apiGroups: [""] # API 组（"" 表示核心 API 组）resources: ["pods"] # 资源类型（复数形式）verbs: ["

需求推荐方案Pod 必须跑在特定节点或requiredPod 最好跑在特定节点（但不强制）preferred多个 Pod 要在一起（低延迟）多个 Pod 不要在一起（高可用）节点要排斥某些 PodTaints（污点）Pod 要“无视”节点的排斥Tolerations（容忍）节点维护cordondrain。

容器化是操作系统级虚拟化的实现方式，通过内核命名空间（Namespace）和控制组（Cgroup）技术，将应用及其依赖环境封装为独立进程。对比维度容器虚拟机启动速度秒级分钟级镜像大小MB 级GB 级资源开销低（共享内核）高（完整 OS）隔离级别进程级隔离硬件级隔离容器共享主机系统的内核，每个隔离的工作负载都不需要整个操作系统实例，因此资源效率更高。Docker 镜像是通过镜像仓库进行存储和分发的。