Chrony 是现代 Linux 系统中推荐的时间同步工具，具备轻量、精度高、适应性强等优点。通过简单的配置和管理命令，就可以保障系统时间的准确性，对于运维工作来说是非常实用的基础工具之一。

Ansible 控制端（Docker 内）通过 Python 的pywinrm库发送 WinRM 请求。Windows 节点WinRM 服务接收请求 → 验证用户身份 → 调用 PowerShell 引擎执行命令。返回结果通过 WinRM 协议传回 Ansible。Ansible 汇总输出，显示在控制端。虽说 Windows 的 bat/ps1 脚本也可以存放到 Windows 节点上，但不好管理

做到这里，虽然都解决跨域问题了，但还会有个疑问：为什么“前端只一层 nginx 时 CORS 要配置在后端”，而“前端两层 nginx 时 CORS 要配置最外层前端 nginx”？浏览器不是都只看前端域名吗？？跨域检查（CORS）只有在浏览器环境中才会触发。浏览器只会对它“看得到的那一跳”做跨域检查。看不到的代理层不需要设置 CORS。哪一层返回响应给浏览器，CORS 就必须在哪一层配置。当然，

本文问题本质并非端口或服务异常，而是 Docker 默认网桥参与系统选路，导致 Horizon 回连路径选错接口。在依赖回连机制的 VDI 场景中，Docker 网络与桌面访问路径必须明确隔离或有序控制。

没那么多实体机，创建太多 VM 虚拟机也不太好管理（配地址、清理之类的），测试环境就用 multipass，创建删除管理都方便。现在前期准备了，下篇会正式开始部署 Kubernetes。

kubeconfig是一个客户端访问 Kubernetes API 的身份配置文件，解决了3个问题：我要访问谁？（集群 URL）我是谁？（我的证书、我的私钥）我要以什么身份 + 访问哪个集群？（上面两个匹对）就是 apiserver 在写入 etcd 之前，会对指定的资源字段进行加密，然后把密文写进 etcd。（）不配置 encryption-config.yaml 的话，kubernetes 一

条件文件作用合法身份xxx.crt谁是谁能证明我是我xxx.key私钥签名/解密，证明身份真实性统一信任源ca.crt验证对方证书是否合法Kubernetes 全员实名制 + 双向 TLS，确保每个组件身份可验证、通信加密。这里就过了一下 TSL 证书工作原理以及生成过程，工作上若证书丢失或过期，大致也从工作原理上明白了从哪个点进行修复。

containerd 镜像源问题（pause 镜像 + docker hub）手工 bridge CNI 下的跨节点路由问题Kubernetes Secret at-rest 加密验证可以正常创建 Pod可以跨节点通信Secret 数据已加密存储但网络仍然是“静态路由模型”。下一篇将会部署网络插件并加入新 node 节点。

这里配置得七七八八了，剩下还有一些环境 CNI 之类的配置。

使用 ARM 编译工具，建议使用容器化或其他系统设备来来隔离交叉工具链，避免环境/系统污染。操作作用检查系统是否开启了 ARM 架构卸载交叉编译器避免非原生架构工具干扰移除 armhf 架构及包恢复系统架构单一性重新安装 libc6-dev 等包恢复标准头文件和符号链接编译测试验证开发环境正常注：安装工具链/环境之前要检查会不会和原环境冲突，不然修复排查换源也挺麻烦，挺耗时间的，以后能用 dock